Datenschutz und Sicherheit: DSGVO im Alltag des Schlüsseldienstes

Server in Deutschland, Vertrag nach Art. 28 DSGVO

Hosting, Datenbank, Archiv und E-Mail-Versand laufen in einem Rechenzentrum in Nürnberg. Die Datenbank wird täglich gesichert, die Sicherungen werden verschlüsselt. Der SMS-Versand läuft über einen Anbieter in Deutschland. Welche Dienstleister als Unterauftragsverarbeiter eingesetzt werden, steht im Vertrag zur Auftragsverarbeitung.

Dieser Vertrag nach Art. 28 DSGVO wird mit dem Vertragsschluss Bestandteil des Nutzungsvertrags – du musst ihn nicht eigens anfordern. Den vollständigen Text findest du unter Auftragsverarbeitung, die technischen und organisatorischen Massnahmen nach Art. 32 DSGVO als Anlage unter TOM. Beides brauchst du für dein eigenes Verzeichnis von Verarbeitungstätigkeiten.

Im Cockpit bleibt jede Fassung des Vertrags abrufbar. Eine neue Fassung wird vier Wochen vorher mitgeteilt, und zwei Wochen lang kannst du widersprechen.

Die TOM-Anlage sagt auch, was sie nicht behauptet: TürPilot wird von einem Einzelunternehmen betrieben, es gibt keine eigene ISO-Zertifizierung, keine Rufbereitschaft rund um die Uhr und kein zweites Rechenzentrum. Wer höhere Anforderungen hat, soll das vor Vertragsschluss wissen.

Zugänge, Rollen und der zweite Faktor

Jeder Mitarbeiter meldet sich mit einem persönlichen Zugang an. Passwörter werden nur als Hash gespeichert und sind auch für den Betreiber nicht lesbar. Eine Bürositzung läuft nach acht Stunden ab; wer „angemeldet bleiben“ wählt, nach dreissig Tagen.

Auf Wunsch schaltet der Inhaber für alle Bürozugänge einen zweiten Faktor ein: einen sechsstelligen Code per E-Mail, zehn Minuten gültig, drei Versuche. Das Vor-Ort-Formular hat eine eigene, eingeschränkte Sitzung, die nur erfassen darf.

• Drei Rollen mit abgestuften Rechten: Inhaber, Büro, Monteur. Der Monteur erfasst Einsätze, sieht aber keine vergangenen, lädt keine PDFs und ändert keine Einstellungen. Mehr dazu unter Team und Disposition.
• Ein Prüfprotokoll hält fest, was nachweisrelevant ist: Anmeldung, Freigabe, Storno, Übertragung, Export, Änderung von Zugangsschlüsseln, Löschvorgänge. Geheimnisse stehen dort nie – nur das Ereignis.
• Ein ausgeschiedener Mitarbeiter wird deaktiviert; damit werden auch seine Sitzungen ungültig, die auf dem Handy eingeschlossen.

Mandantentrennung und Verschlüsselung

Alle Betriebe arbeiten in einer gemeinsamen Datenbank, aber jeder Datensatz trägt die Kennung seines Betriebs, und jede Abfrage filtert darauf. Die Software ist so gebaut, dass ein Betrieb die Daten eines anderen nicht erreicht. Auch der Betreiberbereich zeigt Kennzahlen und Stammdaten der Betriebe, bewusst keine Einsatzprotokolle.

• Auf dem Weg: Der gesamte Verkehr zwischen Browser und Server ist TLS-verschlüsselt.
• Zugangsschlüssel zu Buchhaltung und Kartenzahlung sowie das Passwort des eigenen Mailpostfachs: verschlüsselt mit AES-256-GCM, nie im Klartext angezeigt, in keinem Log.
• Belege im revisionssicheren Archiv: verschlüsselt mit einem eigenen Schlüssel je Beleg. Beantragst du die Löschung deines Archivs, werden die Schlüssel vernichtet – die Belege sind danach für niemanden mehr lesbar, in den verschlüsselten Datensicherungen spätestens nach zwölf Monaten.
• Die Datenbank wird täglich gesichert, die Sicherungen werden verschlüsselt.

Was TürPilot gar nicht erst speichert

Der beste Schutz für ein Datum ist, es nicht zu haben. Deshalb ist manches bewusst nicht vorgesehen:

• Keine Ausweiskopien. Das Protokoll vermerkt nur, dass ein Ausweis geprüft wurde – mit der Art des Dokuments und den letzten drei Zeichen der Nummer. Eine Kopie zu speichern ist nicht einschaltbar.
• Unterschriften werden als Bild gespeichert, ohne biometrische Daten wie Druck oder Schreibgeschwindigkeit.
• Fotos der Tür gehen nicht als Anhang an den Kunden, solange du es nicht einschaltest – ein Zahlendreher in der nachts getippten Mailadresse genügt sonst, und die Bilder einer fremden Wohnung liegen bei einem Unbeteiligten.
• An die Buchhaltung gehen Name und Anschrift des Rechnungsempfängers (E-Mail, Telefon und USt-IdNr. nur, wenn die Rechnung an den Kunden selbst geht), Leistungsdatum, Positionen und Steuersätze sowie im Fusstext der Nachweis: Protokollnummer mit Zeitpunkt der Unterschrift, Einsatzort, Öffnungsart, ob eine Legitimation geprüft wurde, und die Belegnummer der Zahlung. Keine Aufnahmen, keine Unterschriftsbilder, keine internen Notizen, keine Art oder Nummer eines Ausweises.

Löschfristen, die von selbst laufen

Der Beleg und die Fotos haben verschiedene Lebensdauern, weil verschiedene Gesetze für sie gelten. Das freigegebene Einsatzprotokoll ist aufbewahrungspflichtig; TürPilot bewahrt es als Aufzeichnung zehn Jahre auf (§ 147 Abs. 1 Nr. 1, Abs. 3 AO). Die Aufnahmen vom Einsatzort gehören nicht dazu: Sie dienen als Beweis gegenüber späteren Schadensersatzforderungen, etwa wegen eines angeblich neuen Kratzers, und dieser Zweck endet mit der regelmässigen Verjährung (§§ 195, 199 BGB).

TürPilot löscht die Aufnahmen deshalb automatisch nach drei Jahren, gerechnet ab dem Ende des Jahres, in dem der Einsatz war. Der Beleg bleibt. Mehr zu den Fristen im Ratgeber Aufbewahrungsfristen.

Auskunft und Löschverlangen – direkt im Cockpit

Meldet sich jemand, dessen Tür ihr geöffnet habt, und verlangt Auskunft oder Löschung, habt ihr einen Monat Zeit (Art. 12 Abs. 3 DSGVO). Im Cockpit unter „Datenschutz“ gebt ihr Name und Postleitzahl ein und seht die Vorgänge, bei denen Name und Postleitzahl genau übereinstimmen. Fehlt zu einem Vorgang eine der beiden Angaben, ist der Treffer gekennzeichnet und muss einzeln bestätigt werden – eine Auskunft an die falsche Person wäre selbst eine Datenpanne.

• Auskunft: Ein PDF mit den gespeicherten Angaben, dazu Zweck, Empfänger, Speicherdauer und die weiteren Rechte. Freitexte und Notizen, in denen oft Dritte vorkommen, werden benannt; ihren Wortlaut gibst du nach Prüfung im Einzelfall heraus.
• Löschung: Name, Anschrift, Kontaktdaten und Unterschriften werden entfernt. Der Einsatz selbst bleibt mit Nummer, Datum, Leistung und Betrag sowie bei Kartenzahlung dem Transaktionscode bestehen, weil die Aufbewahrungspflicht dem Löschen entgegensteht (Art. 17 Abs. 3 lit. b DSGVO). Die Aufnahmen fallen sofort oder spätestens zwei Jahre nach dem Einsatz.
• Löschen darf nur der Inhaber. Nach einem Löschverlangen geht zu diesem Einsatz auch keine Bewertungsbitte mehr hinaus.

Ein freigegebener Beleg wird erst anonymisiert, wenn seine Fassung im revisionssicheren Archiv liegt – TürPilot holt das selbsttätig nach. In den kostenlosen 30 Tagen wird noch nicht archiviert; bis dahin bleibt ein freigegebener Beleg unverändert, und das Cockpit liefert den Wortlaut, mit dem ihr das dem Kunden begründet.