Technische und organisatorische Maßnahmen (TOM)

Diese technischen und organisatorischen Maßnahmen (TOM) beschreiben den Schutz personenbezogener Daten bei Betrieb von Buchhaltung Direkt 24 durch <dein Firmenname> gemäß Art. 32 DSGVO. Sie sind Anlage zum Auftragsverarbeitungsvertrag (AVV).

Hinweis: Maßnahmen können sich mit dem Produktstand weiterentwickeln. Wesentliche Änderungen werden bei Bedarf aktualisiert. Dies ist keine Zertifizierung und ersetzt keine individuelle Risikoanalyse des Verantwortlichen.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

• Betrieb in professionellen Rechenzentren / Cloud-Umgebungen mit Zutritts- und Sicherheitskonzept des Anbieters
• kein physischer Dauerzutritt von Mitarbeitenden zu Serverräumen erforderlich; Administrationszugang nur über gesicherte Remote-Wege

1.2 Zugangskontrolle

• Authentifizierung über Identity-Provider (OpenID Connect / Keycloak)
• Rollen- und Rechtekonzept im Firmenportal (Admin/Mitarbeiter mit granularen Berechtigungen)
• Zwei-Faktor-Authentifizierung (TOTP) für Firmenzugänge verfügbar und empfohlen
• geschützte Sessions/Tokens; Rate-Limiting an sensiblen Auth-Endpunkten
• mobile App: Session-Sperre und optionale Geräte-/Transportabsicherung (z. B. SSL-Pinning, soweit konfiguriert)

1.3 Zugriffskontrolle

• Mandantentrennung über Firmen-/Kundenkennungen (companyId / customerClientId)
• Soft-RLS auf Anwendungsebene: Query-Filter im Tenant-Kontext des Firmen- und Mandantenzugangs
• PostgreSQL Row-Level Security mit FORCE und eigenem App-DB-User (buchhaltungdirekt24_app, ohne BYPASSRLS); Session-GUCs setzen company_id / Bypass im Request-Kontext
• Support-/Admin-Zugriffe auf Firmendaten werden auditiert (u. a. company.view)

1.4 Trennungskontrolle

• logische Trennung der Mandantendaten je Firma und Mandant
• getrennte Speicherpfade im Object Storage nach Firma/Mandant/Dokument
• produktive und nicht-produktive Umgebungen werden getrennt betrieben, soweit vorhanden

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Transportverschlüsselung (TLS) für Web-, API- und App-Kommunikation
• Security-Header (u. a. über Helmet) und HSTS in Production
• Exports und Downloads nur für berechtigte Nutzer der jeweiligen Firma

2.2 Eingabekontrolle / Nachvollziehbarkeit

• Document-Audit-Logs für Upload, Ansicht, Download und Löschung
• Admin-Audit-Logs für administrative Aktionen
• CSV-Export der Beleg-Audit-Trails für Firmen (Nachweisbarkeit)

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• regelmäßige Datenbanksicherungen (Backup-Skripte / Betriebsprozess)
• dokumentierter Restore-Drill (siehe Projektdokumentation postgresql-backup) mit RPO/RTO-Zielen
• redundante Speicherung je nach Cloud-/Hosting-Anbieter
• Monitoring und Fehlerprotokollierung im Betrieb
• Graceful Shutdown und kontrollierte Cron-/Worker-Prozesse für Hintergrundaufgaben

4. Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• TLS in transit
• Belege: serverseitige Verschlüsselung im Object Storage (SSE) und/oder anwendungsseitige AES-256-GCM-Verschlüsselung
• in Production ist DOCUMENT_ENCRYPTION_KEY (App-Verschlüsselung) verpflichtend konfiguriert
• Speicherregion standardmäßig EU (z. B. eu-central-1), soweit der eingesetzte Anbieter dies vorsieht

5. Aufbewahrung und Löschung

• steuerrelevante Belege erhalten eine Aufbewahrungsfrist (Standard: 10 Jahre, Ende des Kalenderjahres gemäß AO § 147 Abs. 3)
• Löschen im Portal ist zunächst Soft-Delete; physische Entfernung aus dem Speicher erst nach Ablauf von retentionUntil
• Endgültige Mandantenlöschung ist blockiert, solange Belege unter Aufbewahrungsfrist stehen
• IP-/User-Agent-Daten in Admin-Audit-Logs werden nach konfigurierbarer Frist anonymisiert

6. Auftragskontrolle

• klare Rollen: Firma als Verantwortliche, Plattformbetreiber als Auftragsverarbeiter (siehe AVV)
• Unterauftragsverarbeiter nur mit Art.-28-Verträgen und vergleichbarem Schutzniveau
• keine Nutzung der Kundendaten zu eigenen Zwecken außerhalb des Auftrags

7. Organisationskontrolle

• Zugriff auf Produktionssysteme nur für notwendige Betriebsrollen
• Vertraulichkeitsverpflichtungen für eingesetzte Personen
• regelmäßige Überprüfung und Weiterentwicklung der TOM anhand des Produktstands
• Datenschutzkontakt: privacy@buchhaltungdirekt24.de

8. Verfahren bei Sicherheitsvorfällen

• interne Eskalation und Dokumentation von Vorfällen
• unverzügliche Information des Verantwortlichen bei Verletzungen des Schutzes personenbezogener Daten gemäß AVV / Art. 33 DSGVO-Unterstützung
• Maßnahmen zur Eindämmung, Behebung und Nachbereitung

9. Bezugsdokumente

Auftragsverarbeitungsvertrag (AVV)
Datenschutzerklärung
Impressum

Interne Nachweise zu Penetrationstests, ISO-27001-Roadmap und Backup-Drills werden betrieblich geführt und auf Anfrage von Verantwortlichen im Rahmen von Audits bereitgestellt (ohne Veröffentlichung sensibler Prüfergebnisse).

Stand: Mai 2026