← Startseite

Technische und organisatorische Massnahmen

Stand: 11. September 2026 · Anlage zur AVV-Fassung 2 (frühere Fassung)

Anlage zum Vertrag über die Auftragsverarbeitung. Sie beschreibt, mit welchen Massnahmen nach Art. 32 DSGVO die Daten geschützt werden, die TürPilot im Auftrag der angeschlossenen Betriebe verarbeitet.

1. Vertraulichkeit

Zutritt zu den Räumen

TürPilot betreibt keinen eigenen Serverraum. Die Verarbeitung findet in den Rechenzentren der Hetzner Online GmbH in Nürnberg statt. Zutritt, Videoüberwachung, Brandschutz und Stromversorgung liegen dort; das Rechenzentrum ist nach ISO/IEC 27001 zertifiziert. Wir können den Zutritt weder gewähren noch kontrollieren – und behaupten es deshalb auch nicht.

Zugang zu den Systemen

  • Anmeldung ausschliesslich über persönliche Zugänge; Passwörter werden nur als bcrypt-Hash mit Salt gespeichert und sind auch für uns nicht lesbar.
  • Auf Wunsch des Betriebs ein zweiter Faktor beim Anmelden: ein sechsstelliger Code per E-Mail, zehn Minuten gültig, drei Versuche.
  • Sitzungen laufen nach acht Stunden ab; wählt der Nutzer „angemeldet bleiben“, nach dreissig Tagen. Das Vor-Ort-Formular hat eine eigene, eingeschränkte Sitzung, die nur erfassen darf.
  • Administrativer Zugang zum Server ausschliesslich über SSH mit Schlüsselpaar; Passwortanmeldung ist abgeschaltet. Die Firewall lässt nur die Ports 22, 80 und 443 zu, und zwar sowohl beim Anbieter als auch auf dem Server.

Zugriff auf die Daten

  • Drei Rollen mit abgestuften Rechten: Inhaber, Büro, Monteur. Der Monteur kann Einsätze erfassen, aber keine vergangenen einsehen, keine PDF laden und keine Einstellungen ändern.
  • Jede Datenbankabfrage ist auf den Mandanten eingeschränkt. Ein Betrieb kann die Daten eines anderen technisch nicht erreichen.
  • Der Betreiberbereich zeigt Kennzahlen und Stammdaten der Betriebe, bewusst keine Einsatzprotokolle. Es gibt dort keine Leseansicht für fremde Belege – auch nicht für den Betreiber.

2. Integrität

Weitergabe

  • Sämtlicher Verkehr zwischen Browser und Server ist TLS-verschlüsselt; HTTP wird auf HTTPS umgeleitet, HSTS ist gesetzt.
  • E-Mails werden über einen authentifizierten Postausgangsserver mit STARTTLS versendet. Bietet der Gegenserver keine Verschlüsselung an, unterbleibt der Versand.
  • An die Buchhaltung gehen Stammdaten, Positionen und Steuersätze. Nicht übertragen werden Aufnahmen, interne Notizen, Unterschriften und der Legitimationsvermerk.

Eingabe und Nachvollziehbarkeit

  • Ein Protokoll ist ab der Freigabe inhaltlich unveränderbar. Korrekturen entstehen als neue Fassung mit Begründung und benannter Person; die alte Fassung bleibt erhalten. Ausgenommen ist allein die Anonymisierung auf ein Löschverlangen, soweit die archivierte Fassung den Beleg bewahrt.
  • Gelöscht wird nicht, storniert nur mit Begründung. Auch der abgebrochene Auftrag behält seine Nummer.
  • Ein Audit-Log hält sicherheits- und nachweisrelevante Vorgänge fest: Anmeldung, Freigabe, Storno, Übertragung, Export, Änderung von Zugangsschlüsseln, Löschvorgänge. Geheimnisse werden dort nie gespeichert – nur das Ereignis.

3. Verfügbarkeit und Belastbarkeit

  • Tägliche Sicherung der Datenbank; zusätzlich Sicherungen des gesamten Systems beim Anbieter.
  • Der Beleg ohne Aufnahmen liegt zusätzlich verschlüsselt in einem Objektspeicher mit Unveränderbarkeitssperre. Dort ist er unveränderbar; lesbar ist er nur mit seinem Schlüssel aus der Datenbank oder ihrer Sicherung.
  • Automatische Gesundheitsprüfung der Dienste; ein hängender Dienst wird neu gestartet. Sicherheitsupdates des Betriebssystems werden automatisch eingespielt.
  • Wiederherstellungsverfahren sind dokumentiert und mit einem Skript hinterlegt, das die Belege aus dem Archiv zurückholt und dabei jede Prüfsumme kontrolliert.

4. Trennung

Alle Betriebe arbeiten in einer gemeinsamen Datenbank, jeder Datensatz trägt jedoch die Kennung seines Mandanten, und jede Abfrage filtert darauf. Im Archiv liegt jeder Beleg unter einem Pfad, der mit der Mandantenkennung beginnt. Testdaten und Produktivdaten liegen in getrennten Umgebungen.

5. Verschlüsselung

  • Auf dem Transportweg: TLS nach dem Stand der Technik.
  • Zugangsschlüssel zu Drittsystemen (Buchhaltung, Kartenzahlung): AES-256-GCM. Sie werden nie im Klartext angezeigt und tauchen in keinem Log auf.
  • Belege im Archiv: AES-256-GCM, mit einem eigenen Schlüssel je Beleg. Das ist nicht Selbstzweck – erst dadurch lässt sich ein einzelner Beleg gezielt unlesbar machen, ohne alle anderen mitzunehmen.

6. Löschung und Einschränkung

  • Aufnahmen des Einsatzortes werden nach drei Jahren automatisch gelöscht, gerechnet ab dem Ende des Jahres der Leistung.
  • Verlangt eine betroffene Person Löschung, entfernt der Betrieb über die Software die personenbezogenen Angaben aus dem Vorgang; Nummer, Datum, Leistung und Betrag bleiben, weil sie aufbewahrungspflichtig sind. Ein freigegebener Beleg kann erst anonymisiert werden, wenn seine Fassung im Archiv liegt; der Betrieb löst die Anonymisierung dann erneut aus. Im Archiv bleibt der Beleg unverändert.
  • Belege im Archiv sind bis zum Fristende unveränderbar. Verlangt der Betrieb die Löschung seines Archivs, werden die Schlüssel vernichtet; die Objekte sind danach für niemanden mehr lesbar – in den verschlüsselten Datensicherungen mit deren Ablauf, spätestens nach zwölf Monaten. Ausgeführt wird das nur auf einen dokumentierten Antrag des Betriebs hin.

7. Überprüfung

  • Ein Selbsttest prüft, ob die Unveränderbarkeitssperre des Archivs tatsächlich greift: Er legt ein Objekt mit Frist ab und versucht, die gesperrte Fassung zu löschen. Gelingt das, gilt der Test als fehlgeschlagen.
  • Beim Zurückholen eines Belegs wird die Prüfsumme gegen die bei der Ablage festgehaltene gehalten. Weicht sie ab, wird die Datei nicht herausgegeben.
  • Die Verbindung zu Buchhaltung und Kartenzahlung lässt sich jederzeit prüfen; Ergebnis und Zeitpunkt werden festgehalten.

Was diese Anlage nicht behauptet

TürPilot wird von einem Einzelunternehmen betrieben. Es gibt keine eigene ISO-Zertifizierung, keinen Penetrationstest durch Dritte, keine Rufbereitschaft rund um die Uhr und kein zweites Rechenzentrum für den Fall, dass das erste ausfällt. Ein benannter Datenschutzbeauftragter besteht nicht; die Schwelle des § 38 BDSG ist nicht erreicht.

Das steht hier, weil eine Auflistung, die nur Stärken zeigt, als Grundlage für eine Risikoabwägung wertlos ist – und diese Abwägung muss der Betrieb treffen, nicht wir. Wer höhere Anforderungen hat, soll das vor Vertragsschluss wissen und nicht danach.

Änderungen

Diese Anlage wird fortgeschrieben. Massnahmen dürfen ergänzt oder durch gleichwertige ersetzt werden; eine Verschlechterung des Schutzniveaus wird den Betrieben mindestens vier Wochen vorher in Textform mitgeteilt.