Wie wir Ihre Daten schützen — auf einen Blick.

Verschlüsselte Verbindungen — umgesetzt

Alle Verbindungen laufen ausschließlich über HTTPS.

Eigener Schlüssel je Hausverwaltung — umgesetzt

Hochgeladene Dateien, erzeugte PDFs und sensible Angaben wie Geburtsdaten, Steuernummern und IBAN verschlüsseln wir mit einem eigenen Datenschlüssel je Hausverwaltung (AES-256-GCM).

Hauptschlüssel außerhalb unserer Server — umgesetzt

Die Datenschlüssel sind mit einem Hauptschlüssel verpackt. Ihn verwahrt ein verwalteter Schlüsseldienst in Frankfurt am Main, nicht unsere Server und nicht die Datenbank. Jede Benutzung wird protokolliert.

Passwörter nur als Hash — umgesetzt

Passwörter speichern wir ausschließlich als nicht umkehrbaren Hash.

Strikte Mandantentrennung — umgesetzt

Jeder Datensatz gehört genau einer Hausverwaltung. Jede Abfrage ist auf die Hausverwaltung der angemeldeten Person beschränkt.

Speicherort Deutschland und EU — umgesetzt

Anwendung und Datenbank laufen in Deutschland, Dokumente und Sicherungen liegen im EU-Raum.

Kein Training mit Ihren Inhalten — umgesetzt

Die KI-Auswertung läuft in Frankfurt am Main. Ihre Inhalte werden nicht zum Training der Modelle verwendet.

Zweiter Faktor bei jeder Anmeldung — umgesetzt

Alle Konten mit Zugriff auf Daten der Verwaltung — Administration, Leitung, Mitarbeitende, Eigentümer — melden sich bei jeder Anmeldung mit Passwort und einem zweiten Faktor an. Für Hausmeister und Mieter steht er ebenfalls bereit.

Rollen und Rechte — umgesetzt

Sieben Rollen mit abgestuften Rechten, dazu Sperren einzelner Bereiche je Person. Jede Anfrage wird auf dem Server gegen Rolle und Hausverwaltung geprüft.

Schutz vor Rateversuchen — umgesetzt

Wiederholte Fehlversuche bei der Anmeldung führen zu einer zeitweisen Sperre.

Begrenzte Sitzungen — umgesetzt

Sitzungen laufen über signierte Cookies, die nur über HTTPS übertragen werden und begrenzt gültig sind.

Abgeschotteter Serverzugang — umgesetzt

Administrativer Zugang zu den Produktivsystemen ist nur über ein privates Netz mit Schlüsselanmeldung möglich.

Verschlüsselte Sicherungen — umgesetzt

Datenbank und hochgeladene Dateien werden arbeitstäglich gesichert, vor dem Hochladen verschlüsselt und 30 Tage getrennt vom Anwendungsserver aufbewahrt.

Wiederherstellung monatlich erprobt — umgesetzt

Einmal im Monat spielen wir eine Sicherung probeweise ein und vergleichen das Ergebnis mit dem laufenden Bestand.

Alarm bei Fehlschlag — umgesetzt

Schlägt eine Sicherung fehl, werden wir automatisch benachrichtigt.

Nachvollziehbare Änderungen — umgesetzt

Änderungen an rechtlich relevanten Datensätzen werden mit Zeitpunkt und Person protokolliert. Festgeschriebene Buchungen sind gegen Änderung gesperrt.

Überwachung und Schutz vor Überlast — umgesetzt

Erreichbarkeit und Systemlast werden überwacht. Ein vorgeschalteter Dienst wehrt Überlastangriffe ab.

Begrenzte Anfragehäufigkeit — umgesetzt

Anmeldung und schreibende Schnittstellen sind gegen massenhafte Anfragen begrenzt.

Getrennte Umgebungen — umgesetzt

Entwicklung, Test und Produktion sind getrennt. Jede Auslieferung lässt sich auf die Vorversion zurücksetzen.

Aktualisierungen und Schwachstellenprüfung — umgesetzt

Sicherheitsaktualisierungen spielen wir zeitnah ein. Die verwendeten Bibliotheken werden automatisiert auf bekannte Schwachstellen geprüft.

Vertraulichkeit — umgesetzt

Wer bei uns Daten verarbeitet, ist zur Vertraulichkeit verpflichtet, auch über das Ende der Tätigkeit hinaus.

Meldung binnen 24 Stunden — umgesetzt

Eine Verletzung des Schutzes personenbezogener Daten melden wir Ihnen spätestens 24 Stunden, nachdem wir davon erfahren haben (§ 7 AVV).

Geprüfte Dienstleister — umgesetzt

Unterauftragsverarbeiter werden vor dem Einsatz geprüft und nach Art. 28 DSGVO verpflichtet. Einen neuen kündigen wir vier Wochen vorher an, und Sie können widersprechen (§ 5 AVV).

Löschung nach Vertragsende — umgesetzt

Nach Vertragsende halten wir Ihre Daten 60 Tage zum Abruf bereit und löschen sie dann, auf Wunsch sofort (§ 11 AVV).

Regelmäßige Überprüfung — umgesetzt

Datenschutzvorfälle werden dokumentiert und ausgewertet. Die Maßnahmen überprüfen wir mindestens einmal im Jahr und bei jeder wesentlichen Änderung.

Externer Penetrationstestgeplant

Eine Prüfung durch einen unabhängigen Dienstleister ist geplant.