← Startseite

Technische und organisatorische Massnahmen

Stand: 25. September 2026 · Anlage zur AVV-Fassung 6

Anlage zum Vertrag über die Auftragsverarbeitung. Sie beschreibt, mit welchen Massnahmen nach Art. 32 DSGVO die Daten geschützt werden, die TürPilot im Auftrag der angeschlossenen Betriebe verarbeitet.

1. Vertraulichkeit

Zutritt zu den Räumen

TürPilot betreibt keinen eigenen Serverraum. Die Verarbeitung findet in den Rechenzentren der Hetzner Online GmbH in Nürnberg statt. Zutritt, Videoüberwachung, Brandschutz und Stromversorgung liegen dort; das Rechenzentrum ist nach ISO/IEC 27001 zertifiziert. Wir können den Zutritt weder gewähren noch kontrollieren – und behaupten es deshalb auch nicht.

Ausserhalb des Rechenzentrums liegt ein Bestand regelmässig an genau einer Stelle: Jeden Tag entsteht ein vollständiger Abzug der Datenbank – mit den Daten aller Betriebe – auf einer lokalen Festplatte eines Rechners im Büro des Betreibers in Deutschland. Der Abzug ist mit AES-256 verschlüsselt, wird nach 30 Tagen gelöscht und nie in einem Cloudspeicher abgelegt; das Sicherungsprogramm bricht ab, wenn sein Ziel in einem Ordner von Dropbox, OneDrive, Google Drive oder iCloud liegt. Für die Dauer einer Wiederherstellung liegen die dafür verwendete verschlüsselte Sicherung und die verschlüsselten Nachträge aus dem zuletzt vorhandenen Datenbestand zusätzlich auf dem Arbeitsrechner des Betreibers, ausserhalb synchronisierter Ordner, und werden nach dem Abschluss dort und auf dem Server gelöscht, spätestens nach 30 Tagen.

Zugang zu den Systemen

  • Anmeldung ausschliesslich über persönliche Zugänge; Passwörter werden nur als bcrypt-Hash mit Salt gespeichert und sind auch für uns nicht lesbar.
  • Auf Wunsch des Betriebs ein zweiter Faktor beim Anmelden: ein sechsstelliger Code per E-Mail, zehn Minuten gültig, drei Versuche.
  • Sitzungen laufen nach acht Stunden ab; wählt der Nutzer „angemeldet bleiben“, nach dreissig Tagen. Das Vor-Ort-Formular hat eine eigene, eingeschränkte Sitzung, die nur erfassen darf.
  • Administrativer Zugang zum Server ausschliesslich über SSH mit Schlüsselpaar; Passwortanmeldung ist abgeschaltet. Die Firewall lässt nur die Ports 22, 80 und 443 zu, und zwar sowohl beim Anbieter als auch auf dem Server.

Zugriff auf die Daten

  • Drei Rollen mit abgestuften Rechten: Inhaber, Büro, Monteur. Der Monteur kann Einsätze erfassen, aber keine vergangenen einsehen, keine PDF laden und keine Einstellungen ändern.
  • Jede Datenbankabfrage ist auf den Mandanten eingeschränkt. Ein Betrieb kann die Daten eines anderen technisch nicht erreichen.
  • Der Betreiberbereich zeigt Kennzahlen und Stammdaten der Betriebe, bewusst keine Einsatzprotokolle. Es gibt dort keine Leseansicht für fremde Belege – auch nicht für den Betreiber.

2. Integrität

Weitergabe

  • Sämtlicher Verkehr zwischen Browser und Server ist TLS-verschlüsselt; HTTP wird auf HTTPS umgeleitet, HSTS ist gesetzt.
  • E-Mails werden über einen authentifizierten Postausgangsserver mit STARTTLS versendet. Bietet der Gegenserver keine Verschlüsselung an, unterbleibt der Versand.
  • An die Buchhaltung gehen Stammdaten des Rechnungsempfängers, Positionen und Steuersätze sowie im Fusstext der Rechnung die Zuordnung zum Nachweis: Protokollnummer, Zeitpunkt der Abnahme, Einsatzort, Öffnungsart, ob eine Legitimation geprüft wurde, und die Belegnummer der Zahlung. Nicht übertragen werden Aufnahmen, interne Notizen, Unterschriften sowie Art und Nummer eines vorgelegten Ausweises.
  • Schreibt TürPilot die Rechnung für den Betrieb, geht sie als fertiger Beleg an die Buchhaltung – dieselbe Datei, die der Empfänger bekommt: PDF/A-3 mit eingebetteter maschinenlesbarer Rechnung (ZUGFeRD). Per E-Mail geht sie nur an den Kunden selbst, wenn er der Rechnungsempfänger ist; an einen abweichenden Rechnungsempfänger wird nichts verschickt, weil die erfasste Adresse dem Kunden vor Ort gehört. Eine nach einem Löschverlangen anonymisierte Rechnung wird nicht mehr verschickt.
  • Ist die Übernahme von Umsatz und Ausgaben eingeschaltet, liest die Software in die andere Richtung: Rechnungen, Belege und Gutschriften der letzten zwölf Monate werden aus dem Buchhaltungssystem des Betriebs gelesen und zu Monatssummen verdichtet. Nur diese Summen werden gespeichert, die einzelnen Vorgänge nicht.
  • Hat der Betrieb die Überwachung eines eigenen Postfachs beauftragt – für Aufträge, die ihm Drittanbieter schicken –, ist der Zugriff darauf ausschliesslich lesend: Der Ordner wird im Nur-Lese-Modus geöffnet, nichts wird als gelesen markiert, verschoben oder gelöscht. Gesucht wird auf dem Server nach einem festgelegten Absender, und nur in Nachrichten der letzten 90 Tage, höchstens 25 je Durchgang; von jedem Treffer werden Betreff, Absender, Empfänger, Zeitpunkt und Grösse gelesen, um den Auftrag als solchen zu erkennen, der Inhalt anderer Nachrichten wird nicht heruntergeladen. Das gefundene Dokument wird ausgelesen und verworfen, nicht gespeichert – ebenso ein Dokument, das der Betrieb selbst hochlädt. Gespeichert werden nur die Angaben, die in den Entwurf übernommen werden.

Eingabe und Nachvollziehbarkeit

  • Ein Protokoll ist ab der Freigabe inhaltlich unveränderbar. Korrekturen entstehen als neue Fassung mit Begründung und benannter Person; die alte Fassung bleibt erhalten. Ausgenommen ist allein die Anonymisierung auf ein Löschverlangen, soweit die archivierte Fassung den Beleg bewahrt.
  • Gelöscht wird nicht, storniert nur mit Begründung. Auch der abgebrochene Auftrag behält seine Nummer.
  • Ein Audit-Log hält sicherheits- und nachweisrelevante Vorgänge fest: Anmeldung, Freigabe, Storno, Übertragung, Export, Änderung von Zugangsschlüsseln, Löschvorgänge. Geheimnisse werden dort nie gespeichert – nur das Ereignis.

3. Verfügbarkeit und Belastbarkeit

  • Drei Sicherungen, jeweils täglich: auf dem Server die Datenbank, verschlüsselt mit einem öffentlichen GPG-Schlüssel, dessen privater Teil nicht auf dem Server liegt – der Server kann seine Sicherungen selbst nicht lesen; 30 Tages- und 12 Monatsstände. Beim Anbieter Abzüge des gesamten Servers, die der Anbieter rotierend überschreibt. Und ein vollständiger, mit AES-256 verschlüsselter Abzug der Datenbank auf einer lokalen Festplatte im Büro des Betreibers, 30 Tage lang (siehe Abschnitt 1).
  • Der Beleg ohne Aufnahmen liegt zusätzlich verschlüsselt in einem Objektspeicher mit Unveränderbarkeitssperre. Dort ist er unveränderbar; lesbar ist er nur mit seinem Schlüssel aus der Datenbank oder ihrer Sicherung. In einer kostenfreien Testphase erfolgt die Ablage noch nicht: Die Belege werden mit Beginn der Vergütungspflicht in ihrer letzten Fassung nachträglich abgelegt; endet der Vertrag mit der Testphase, unterbleibt sie ganz. Die Prüfsumme belegt dann den Stand ab der Ablage. Belege aus Aufträgen von Drittanbietern werden nicht abgelegt – gleich, ob sie aus dem überwachten Postfach stammen, aus einem hochgeladenen Dokument oder von Hand erfasst wurden: Der Beleg des Vorgangs ist das Dokument des Drittanbieters, und dieser bewahrt es nach seinen Bedingungen auf.
  • Rechnungen und Stornorechnungen, die TürPilot für einen Betrieb schreibt, liegen dort ebenso – als eigener Beleg mit eigenem Schlüssel, in der Fassung, die der Empfänger bekommt, nach derselben Regel für die Testphase und auch dann, wenn sie an einen Drittanbieter gehen. Als abgelegt gilt eine Rechnung erst, wenn der Objektspeicher die Ablage bestätigt hat; sonst wird sie nachgeholt. Gesperrt sind Einsatzprotokolle zehn Jahre, Rechnungen acht Jahre, jeweils ab dem Ende des Kalenderjahres der Leistung, bei späterer Ablage ab dem Ende des Jahres der Ablage.
  • Automatische Gesundheitsprüfung der Dienste; ein hängender Dienst wird neu gestartet. Sicherheitsupdates des Betriebssystems werden automatisch eingespielt.
  • Wiederherstellungsverfahren sind dokumentiert und mit einem Skript hinterlegt, das die Belege aus dem Archiv zurückholt und dabei jede Prüfsumme kontrolliert.

4. Trennung

Alle Betriebe arbeiten in einer gemeinsamen Datenbank, jeder Datensatz trägt jedoch die Kennung seines Mandanten, und jede Abfrage filtert darauf. Im Archiv liegt jeder Beleg unter einem Pfad, der mit der Mandantenkennung beginnt. Testdaten und Produktivdaten liegen in getrennten Umgebungen.

5. Verschlüsselung

  • Auf dem Transportweg: TLS nach dem Stand der Technik.
  • Zugangsschlüssel zu Drittsystemen (Buchhaltung, Kartenzahlung): AES-256-GCM. Sie werden nie im Klartext angezeigt und tauchen in keinem Log auf.
  • Zugangsdaten eines überwachten Postfachs: Das Passwort liegt mit AES-256-GCM verschlüsselt und wird nie im Klartext angezeigt. Host, Port und Benutzername stehen im Klartext daneben – sonst liesse sich in den Einstellungen nicht anzeigen, welches Postfach gelesen wird.
  • Belege im Archiv: AES-256-GCM, mit einem eigenen Schlüssel je Beleg. Das ist nicht Selbstzweck – erst dadurch lässt sich ein einzelner Beleg gezielt unlesbar machen, ohne alle anderen mitzunehmen.
  • Sicherungen: Die Sicherung auf dem Server ist mit GPG verschlüsselt, der private Schlüssel liegt nicht auf dem Server. Der tägliche Abzug im Büro des Betreibers ist mit AES-256 verschlüsselt.

6. Löschung und Einschränkung

  • Aufnahmen des Einsatzortes werden nach drei Jahren automatisch gelöscht, gerechnet ab dem Ende des Jahres der Leistung.
  • Die Zugangsdaten eines überwachten Postfachs werden gelöscht, sobald der Betrieb die Schnittstelle entfernt. Danach wird nichts mehr gelesen; die bereits angelegten Belege bleiben davon unberührt.
  • Verlangt eine betroffene Person Löschung, entfernt der Betrieb über die Software die personenbezogenen Angaben aus dem Vorgang; Nummer, Datum, Leistung und Betrag bleiben, weil sie aufbewahrungspflichtig sind. Ein freigegebener Beleg wird erst anonymisiert, wenn seine Fassung im Archiv liegt; die Software holt das selbsttätig nach, sobald das der Fall ist. Unterbleibt die Ablage, weil der Vertrag mit der Testphase endet, bleibt der Beleg unverändert – ebenso, wenn der Betrieb sein Archiv auf eigenen Antrag hat unlesbar machen lassen. Im Archiv bleibt der Beleg unverändert.
  • Belege im Archiv sind bis zum Fristende unveränderbar. Verlangt der Betrieb die Löschung seines Archivs, werden die Schlüssel vernichtet; die Objekte sind danach für niemanden mehr lesbar – in den verschlüsselten Datensicherungen mit deren Ablauf, spätestens nach zwölf Monaten. Ausgeführt wird das nur auf einen dokumentierten Antrag des Betriebs hin.
  • Die Sicherungen löschen sich selbst: auf dem Server nach 30 Tagen beziehungsweise nach zwölf Monatsständen, im Büro des Betreibers nach 30 Tagen, beim Anbieter mit dem Überschreiben der Abzüge. Löschungen und Anonymisierungen wirken dort erst mit dem Ablauf des letzten Stands. Nach einer Wiederherstellung führt die Software fristgebundene Löschungen selbst erneut aus. Löschverlangen, die seit dem Stand der Sicherung ausgeführt wurden, stellt der Betreiber aus dem Prüfprotokoll des zuletzt vorhandenen Datenbestands fest und vermerkt sie erneut; was die Software daraufhin nicht selbst nachholt, nennt er dem Betrieb, der es erneut auslöst. Ebenso bringt er Schnittstellen, die seit dem Stand der Sicherung entfernt oder abgeschaltet wurden, gelöschte Zugangsdaten, eine beendete Übernahme aus der Buchhaltung sowie geänderte Passwörter und gesperrte Zugänge vor dem Start der Software auf den Stand dieses Datenbestands – ein entferntes Postfach wird nach einer Wiederherstellung nicht wieder gelesen. Die dafür gesondert gesicherten, verschlüsselten Nachträge werden nach dem Abschluss gelöscht, spätestens nach 30 Tagen. Ist kein solcher Datenbestand mehr vorhanden, teilt der Betreiber dem Betrieb den Stand der Sicherung mit.

7. Überprüfung

  • Ein Selbsttest prüft, ob die Unveränderbarkeitssperre des Archivs tatsächlich greift: Er legt ein Objekt mit Frist ab und versucht, die gesperrte Fassung zu löschen. Gelingt das, gilt der Test als fehlgeschlagen.
  • Beim Zurückholen eines Belegs wird die Prüfsumme gegen die bei der Ablage festgehaltene gehalten. Weicht sie ab, wird die Datei nicht herausgegeben.
  • Die Verbindung zu Buchhaltung und Kartenzahlung lässt sich jederzeit prüfen; Ergebnis und Zeitpunkt werden festgehalten.

Was diese Anlage nicht behauptet

TürPilot wird von einem Einzelunternehmen betrieben. Es gibt keine eigene ISO-Zertifizierung, keinen Penetrationstest durch Dritte, keine Rufbereitschaft rund um die Uhr und kein zweites Rechenzentrum für den Fall, dass das erste ausfällt. Ein benannter Datenschutzbeauftragter besteht nicht; die Schwelle des § 38 BDSG ist nicht erreicht. Der Rechner im Büro, auf dem der tägliche Abzug der Datenbank liegt, steht nicht in einem Rechenzentrum und hat nicht dessen Zutrittsschutz.

Das steht hier, weil eine Auflistung, die nur Stärken zeigt, als Grundlage für eine Risikoabwägung wertlos ist – und diese Abwägung muss der Betrieb treffen, nicht wir. Wer höhere Anforderungen hat, soll das vor Vertragsschluss wissen und nicht danach.

Änderungen

Diese Anlage wird fortgeschrieben. Massnahmen dürfen ergänzt oder durch gleichwertige ersetzt werden; eine Verschlechterung des Schutzniveaus wird den Betrieben mindestens vier Wochen vorher in Textform mitgeteilt.