Technische und organisatorische Maßnahmen

Fassung TOM-Pilot 1.0 vom 17.10.2026, Anlage 1 zum AVV. Auftragnehmer: Flowcraft Network GmbH.

Diese Anlage beschreibt die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die für Meldeblitz zum Stand dieser Fassung umgesetzt sind. Genannt werden nur Maßnahmen, die im Betrieb wirksam und geprüft sind.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

• Betrieb des Servers und Ablage der Sicherungen bei Hetzner Online GmbH im Rechenzentrum Nürnberg (Deutschland).
• Kein eigener Serverraum. Echte Daten der Betriebe liegen nur auf dem Produktionsserver, nicht auf Arbeitsplatzrechnern.

1.2 Zugangskontrolle

• Passwörter werden nur als argon2id-Hash gespeichert, Mindestlänge 12 Zeichen.
• Sperre nach 5 Fehlversuchen je Anmeldename und je Netzbereich.
• Sitzungen nur als Cookie mit HttpOnly, Secure und SameSite=Strict; zusätzlich Prüfung der Herkunft jeder ändernden Anfrage.
• Geräte-Schlüssel und Tokens für Kundenlinks werden nur als SHA-256-Hash gespeichert und genau einmal angezeigt.
• Administrativer Zugang zum Server nur per SSH-Schlüssel, Anmeldung per Passwort ist abgeschaltet.
• Die Firewall lässt von außen nur die Ports 22, 80 und 443 zu. Datenbank und Virenscanner haben keinen Port nach außen.

1.3 Zugriffskontrolle

• Rechte je Zugangsart: Der Geräte-Schlüssel der Browser-Erweiterung darf nur, was das Ausfüllen braucht.
• Rollen im Betrieb: Inhaber, Admin und Mitarbeiter mit abgestuften Rechten.
• Bankdaten werden nur auf ausdrückliche Anforderung ausgeliefert.
• Werte und Dokumente werden nur für freigegebene Portale ausgeliefert.

1.4 Trennungskontrolle

• Row Level Security mit FORCE auf den Tabellen mit Kundendaten; ohne zugeordneten Betrieb liefert die Datenbank keine Zeilen.
• Zusammengesetzte Fremdschlüssel aus Betrieb und Datensatz, damit kein Betrieb fremde Zeilen verknüpfen kann.
• Automatischer Wächtertest über die Tabellen und Isolationstest gegen PostgreSQL 16.
• Fremde Objekte antworten wie nicht vorhandene: 404 mit demselben Inhalt wie eine zufällige Kennung.
• Gegentest am 17.10.2026 mit 2 Betrieben über 16 Tabellen: 0 fremde Zeilen sichtbar.
• Die Demo läuft als eigener Wegwerf-Betrieb mit ausschließlich synthetischen Daten in derselben Datenbank wie der Produktivbetrieb und unterliegt derselben Trennung. Isolation geprüft: 42 von 42 Zugriffen auf fremde Objekte mit 404 abgewiesen.

1.5 Pseudonymisierung und Verschlüsselung

• TLS für alle Verbindungen, HSTS mit einem Jahr Gültigkeit.
• Tokens und Schlüssel werden nur als Hash gespeichert.
• Sicherungen werden verschlüsselt außer Haus abgelegt.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Sicherheits-Header: Content Security Policy ohne unsafe-inline, Skripte, Styles und Schriften nur vom eigenen Host, frame-ancestors none, nosniff, no-referrer.
• Keine Kundendaten an eine KI: Die KI-Funktion ist im Produktivbetrieb abgeschaltet.
• Die Browser-Erweiterung sendet nie selbst ab; das Absenden löst immer der Mensch aus.
• Den Erfolg nach dem Absenden erkennt die Erweiterung im Browser. An den Server gehen nur Kennungen der Zuordnungen und ihr Status, nie Werte oder Seitentext.
• Geteiltes Wissen nur als Struktur: Zuordnungen und Regeln ohne Werte, Synonyme mit Prüfung auf personenbezogene Muster, Seitenabdrücke nur aus Feldkennungen; Kopien ohne Bezug zum Betrieb.
• Benachrichtigungen per E-Mail über einen TLS-gesicherten Versanddienst.

2.2 Eingabekontrolle

• Verlauf je Vorgang: wer, wann, welche Aktion, ohne Werte.
• Zugriffsprotokoll ohne Query und Body.
• Verlauf des Betriebs ohne Werte für Inhaber und Administration.

2.3 Sichere Dateiannahme

• Hochgeladene Dateien werden am Inhalt erkannt; angenommen werden nur PDF, JPEG und PNG.
• Größenbegrenzung je Datei und Kontingent je Betrieb.
• Jede hochgeladene Datei wird vor dem Speichern auf Schadsoftware geprüft. Ist die Prüfung nicht erreichbar, wird der Upload abgelehnt.
• Dokumente werden nur als Download und mit Content-Security-Policy sandbox ausgeliefert.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Tägliche automatische Sicherung von Datenbank und Dokumenten, verschlüsselt außer Haus, Aufbewahrung 30 Tage rollierend.
• Sicherungen werden mit vollständiger Lesekontrolle der Daten geprüft; eine Wiederherstellung wurde erfolgreich erprobt.
• Ratenlimits auf Anmeldung, Kontoaktionen, Kundenlinks und Export.
• Alarmierung des Betreibers bei Fehlern im Betrieb.

4. Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d DSGVO)

• Automatische Tests bei jedem Push: Unit-Tests, Typprüfung, Lint, Ende-zu-Ende-Tests, Secret-Scan und statische Analyse.
• Bedrohungsmodell mit einem Test je Kontrolle.
• Meldeweg für Sicherheitsvorfälle und Hinweise: E-Mail an kontakt@flowcraft.network mit dem Betreff „Sicherheit".

5. Datenschutz durch Technikgestaltung (Art. 25 DSGVO)

• Löschfristen von 90, 365 und 730 Tagen; Betriebe können sie nur verkürzen, mindestens auf 10 Tage.
• Feste Fristen für Nebendaten wie Füllprotokoll, Benachrichtigungen, Links, Codes und unbestätigte Registrierungen.
• Export je Betrieb und je Vorgang als ZIP, ohne Passwörter und Tokens, mit Ratenlimit und Eintrag im Verlauf.
• Löschung des Betriebs durch den Inhaber mit Passwort und Namen, 30 Tage Karenz mit Sperre bis auf Export und Widerruf, danach erst Dateien, dann Datensätze.
• Datenschutzfreundliche Voreinstellung: KI aus, Registrierung aus, kein Support-Zugriff.