← Startseite

Technische und organisatorische Massnahmen

Stand: 20. September 2026 · Anlage zur AVV-Fassung 4 (frühere Fassung)

Anlage zum Vertrag über die Auftragsverarbeitung. Sie beschreibt, mit welchen Massnahmen nach Art. 32 DSGVO die Daten geschützt werden, die TürPilot im Auftrag der angeschlossenen Betriebe verarbeitet.

1. Vertraulichkeit

Zutritt zu den Räumen

TürPilot betreibt keinen eigenen Serverraum. Die Verarbeitung findet in den Rechenzentren der Hetzner Online GmbH in Nürnberg statt. Zutritt, Videoüberwachung, Brandschutz und Stromversorgung liegen dort; das Rechenzentrum ist nach ISO/IEC 27001 zertifiziert. Wir können den Zutritt weder gewähren noch kontrollieren – und behaupten es deshalb auch nicht.

Zugang zu den Systemen

  • Anmeldung ausschliesslich über persönliche Zugänge; Passwörter werden nur als bcrypt-Hash mit Salt gespeichert und sind auch für uns nicht lesbar.
  • Auf Wunsch des Betriebs ein zweiter Faktor beim Anmelden: ein sechsstelliger Code per E-Mail, zehn Minuten gültig, drei Versuche.
  • Sitzungen laufen nach acht Stunden ab; wählt der Nutzer „angemeldet bleiben“, nach dreissig Tagen. Das Vor-Ort-Formular hat eine eigene, eingeschränkte Sitzung, die nur erfassen darf.
  • Administrativer Zugang zum Server ausschliesslich über SSH mit Schlüsselpaar; Passwortanmeldung ist abgeschaltet. Die Firewall lässt nur die Ports 22, 80 und 443 zu, und zwar sowohl beim Anbieter als auch auf dem Server.

Zugriff auf die Daten

  • Drei Rollen mit abgestuften Rechten: Inhaber, Büro, Monteur. Der Monteur kann Einsätze erfassen, aber keine vergangenen einsehen, keine PDF laden und keine Einstellungen ändern.
  • Jede Datenbankabfrage ist auf den Mandanten eingeschränkt. Ein Betrieb kann die Daten eines anderen technisch nicht erreichen.
  • Der Betreiberbereich zeigt Kennzahlen und Stammdaten der Betriebe, bewusst keine Einsatzprotokolle. Es gibt dort keine Leseansicht für fremde Belege – auch nicht für den Betreiber.

2. Integrität

Weitergabe

  • Sämtlicher Verkehr zwischen Browser und Server ist TLS-verschlüsselt; HTTP wird auf HTTPS umgeleitet, HSTS ist gesetzt.
  • E-Mails werden über einen authentifizierten Postausgangsserver mit STARTTLS versendet. Bietet der Gegenserver keine Verschlüsselung an, unterbleibt der Versand.
  • An die Buchhaltung gehen Stammdaten, Positionen und Steuersätze. Nicht übertragen werden Aufnahmen, interne Notizen, Unterschriften und der Legitimationsvermerk.
  • Ist die Übernahme von Umsatz und Ausgaben eingeschaltet, liest die Software in die andere Richtung: Rechnungen, Belege und Gutschriften der letzten zwölf Monate werden aus dem Buchhaltungssystem des Betriebs gelesen und zu Monatssummen verdichtet. Nur diese Summen werden gespeichert, die einzelnen Vorgänge nicht.
  • Hat der Betrieb die Überwachung eines eigenen Postfachs beauftragt – für Aufträge, die ihm Drittanbieter schicken –, ist der Zugriff darauf ausschliesslich lesend: Der Ordner wird im Nur-Lese-Modus geöffnet, nichts wird als gelesen markiert, verschoben oder gelöscht. Gesucht wird auf dem Server nach einem festgelegten Absender, und nur in Nachrichten der letzten 90 Tage, höchstens 25 je Durchgang; von jedem Treffer werden Betreff, Absender, Empfänger, Zeitpunkt und Grösse gelesen, um den Auftrag als solchen zu erkennen, der Inhalt anderer Nachrichten wird nicht heruntergeladen. Das gefundene Dokument wird ausgelesen und verworfen, nicht gespeichert – ebenso ein Dokument, das der Betrieb selbst hochlädt. Gespeichert werden nur die Angaben, die in den Entwurf übernommen werden.

Eingabe und Nachvollziehbarkeit

  • Ein Protokoll ist ab der Freigabe inhaltlich unveränderbar. Korrekturen entstehen als neue Fassung mit Begründung und benannter Person; die alte Fassung bleibt erhalten. Ausgenommen ist allein die Anonymisierung auf ein Löschverlangen, soweit die archivierte Fassung den Beleg bewahrt.
  • Gelöscht wird nicht, storniert nur mit Begründung. Auch der abgebrochene Auftrag behält seine Nummer.
  • Ein Audit-Log hält sicherheits- und nachweisrelevante Vorgänge fest: Anmeldung, Freigabe, Storno, Übertragung, Export, Änderung von Zugangsschlüsseln, Löschvorgänge. Geheimnisse werden dort nie gespeichert – nur das Ereignis.

3. Verfügbarkeit und Belastbarkeit

  • Tägliche Sicherung der Datenbank; zusätzlich Sicherungen des gesamten Systems beim Anbieter.
  • Der Beleg ohne Aufnahmen liegt zusätzlich verschlüsselt in einem Objektspeicher mit Unveränderbarkeitssperre. Dort ist er unveränderbar; lesbar ist er nur mit seinem Schlüssel aus der Datenbank oder ihrer Sicherung. In einer kostenfreien Testphase erfolgt die Ablage noch nicht: Die Belege werden mit Beginn der Vergütungspflicht in ihrer letzten Fassung nachträglich abgelegt; endet der Vertrag mit der Testphase, unterbleibt sie ganz. Die Prüfsumme belegt dann den Stand ab der Ablage. Belege aus Aufträgen von Drittanbietern werden nicht abgelegt – gleich, ob sie aus dem überwachten Postfach stammen, aus einem hochgeladenen Dokument oder von Hand erfasst wurden: Der Beleg des Vorgangs ist das Dokument des Drittanbieters, und dieser bewahrt es nach seinen Bedingungen auf.
  • Automatische Gesundheitsprüfung der Dienste; ein hängender Dienst wird neu gestartet. Sicherheitsupdates des Betriebssystems werden automatisch eingespielt.
  • Wiederherstellungsverfahren sind dokumentiert und mit einem Skript hinterlegt, das die Belege aus dem Archiv zurückholt und dabei jede Prüfsumme kontrolliert.

4. Trennung

Alle Betriebe arbeiten in einer gemeinsamen Datenbank, jeder Datensatz trägt jedoch die Kennung seines Mandanten, und jede Abfrage filtert darauf. Im Archiv liegt jeder Beleg unter einem Pfad, der mit der Mandantenkennung beginnt. Testdaten und Produktivdaten liegen in getrennten Umgebungen.

5. Verschlüsselung

  • Auf dem Transportweg: TLS nach dem Stand der Technik.
  • Zugangsschlüssel zu Drittsystemen (Buchhaltung, Kartenzahlung): AES-256-GCM. Sie werden nie im Klartext angezeigt und tauchen in keinem Log auf.
  • Zugangsdaten eines überwachten Postfachs: Das Passwort liegt mit AES-256-GCM verschlüsselt und wird nie im Klartext angezeigt. Host, Port und Benutzername stehen im Klartext daneben – sonst liesse sich in den Einstellungen nicht anzeigen, welches Postfach gelesen wird.
  • Belege im Archiv: AES-256-GCM, mit einem eigenen Schlüssel je Beleg. Das ist nicht Selbstzweck – erst dadurch lässt sich ein einzelner Beleg gezielt unlesbar machen, ohne alle anderen mitzunehmen.

6. Löschung und Einschränkung

  • Aufnahmen des Einsatzortes werden nach drei Jahren automatisch gelöscht, gerechnet ab dem Ende des Jahres der Leistung.
  • Die Zugangsdaten eines überwachten Postfachs werden gelöscht, sobald der Betrieb die Schnittstelle entfernt. Danach wird nichts mehr gelesen; die bereits angelegten Belege bleiben davon unberührt.
  • Verlangt eine betroffene Person Löschung, entfernt der Betrieb über die Software die personenbezogenen Angaben aus dem Vorgang; Nummer, Datum, Leistung und Betrag bleiben, weil sie aufbewahrungspflichtig sind. Ein freigegebener Beleg wird erst anonymisiert, wenn seine Fassung im Archiv liegt; die Software holt das selbsttätig nach, sobald das der Fall ist. Unterbleibt die Ablage, weil der Vertrag mit der Testphase endet, bleibt der Beleg unverändert – ebenso, wenn der Betrieb sein Archiv auf eigenen Antrag hat unlesbar machen lassen. Im Archiv bleibt der Beleg unverändert.
  • Belege im Archiv sind bis zum Fristende unveränderbar. Verlangt der Betrieb die Löschung seines Archivs, werden die Schlüssel vernichtet; die Objekte sind danach für niemanden mehr lesbar – in den verschlüsselten Datensicherungen mit deren Ablauf, spätestens nach zwölf Monaten. Ausgeführt wird das nur auf einen dokumentierten Antrag des Betriebs hin.

7. Überprüfung

  • Ein Selbsttest prüft, ob die Unveränderbarkeitssperre des Archivs tatsächlich greift: Er legt ein Objekt mit Frist ab und versucht, die gesperrte Fassung zu löschen. Gelingt das, gilt der Test als fehlgeschlagen.
  • Beim Zurückholen eines Belegs wird die Prüfsumme gegen die bei der Ablage festgehaltene gehalten. Weicht sie ab, wird die Datei nicht herausgegeben.
  • Die Verbindung zu Buchhaltung und Kartenzahlung lässt sich jederzeit prüfen; Ergebnis und Zeitpunkt werden festgehalten.

Was diese Anlage nicht behauptet

TürPilot wird von einem Einzelunternehmen betrieben. Es gibt keine eigene ISO-Zertifizierung, keinen Penetrationstest durch Dritte, keine Rufbereitschaft rund um die Uhr und kein zweites Rechenzentrum für den Fall, dass das erste ausfällt. Ein benannter Datenschutzbeauftragter besteht nicht; die Schwelle des § 38 BDSG ist nicht erreicht.

Das steht hier, weil eine Auflistung, die nur Stärken zeigt, als Grundlage für eine Risikoabwägung wertlos ist – und diese Abwägung muss der Betrieb treffen, nicht wir. Wer höhere Anforderungen hat, soll das vor Vertragsschluss wissen und nicht danach.

Änderungen

Diese Anlage wird fortgeschrieben. Massnahmen dürfen ergänzt oder durch gleichwertige ersetzt werden; eine Verschlechterung des Schutzniveaus wird den Betrieben mindestens vier Wochen vorher in Textform mitgeteilt.