Technische und organisatorische Maßnahmen (TOM)

Anhang zum Auftragsverarbeitungsvertrag · Art. 32 DSGVO · Stand: November 2026

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b)

Zutrittskontrolle: Die Serverstandorte in Frankfurt am Main werden von Vercel und Neon betrieben. Mitarbeiter des Auftragsverarbeiters haben keinen physischen Zugang.
Zugangskontrolle: Anmeldung mit E-Mail-Adresse und Passwort; Passwörter ausschließlich als bcrypt-Hash (Kostenfaktor 12), Mindestlänge zehn Zeichen für jedes neu gesetzte Passwort. Registrierung in drei Schritten mit Prüfung der USt-IdNr. über VIES und Bestätigung der E-Mail-Adresse.
Zwei-Faktor-Anmeldung: Für alle Konten steht eine zweite Anmeldestufe über ein zeitbasiertes Einmalpasswort (TOTP) zur Verfügung. Eigentümern und Administratoren wird sie in der Anwendung aktiv empfohlen; ob sie genutzt wird, entscheidet der Verantwortliche für seine Konten. Für Konten des Plattform-Betreibers, die mandantenübergreifend zugreifen können, ist sie verpflichtend.
Zugriffskontrolle: Rollenbasiertes Berechtigungssystem je Mandant (Eigentümer, Administrator, Buchhaltung, Geschäftsführung, Projektleitung, Vertrieb, Einkauf, Steuerberater, Leser). Konten des Plattform-Betreibers (mit verpflichtender Zwei-Faktor-Anmeldung) haben mandantenübergreifende Verwaltungsbereiche und können die verschlüsselte Gesamtsicherung abrufen. Hochgeladene Dateien liegen in der Dateiablage unter einer nicht erratbaren Adresse; wer diese Adresse kennt, kann die Datei ohne Anmeldung abrufen.
Trennungskontrolle: Mandantendaten liegen in einer gemeinsamen Datenbank und sind über eine Mandantenkennung logisch getrennt. Eine serverseitige Prüfung verhindert den Zugriff auf fremde Mandanten auch bei manipulierten Cookies.
Pseudonymisierung: Server-Protokolle enthalten E-Mail-Adressen nur gekürzt. Fachliche Protokolle (Änderungs-, Versand- und KI-Protokoll) enthalten Namen, Adressen und Inhalte, soweit ihr Zweck es verlangt. Passwörter werden niemals im Klartext gespeichert.

2. Integrität (Art. 32 Abs. 1 lit. b)

Weitergabekontrolle: Verbindungen zur Anwendung ausschließlich verschlüsselt (HTTPS/TLS). E-Mails werden verschlüsselt an den Postausgangsserver übergeben; beim Versand über den Server eines Kunden gilt für fehlerhafte Zertifikate derzeit noch eine Übergangsausnahme.
Eingabekontrolle: Änderungen an Geschäftsdaten werden mit Benutzerkennung, Zeitpunkt sowie altem und neuem Wert protokolliert, Löschungen mit dem ganzen Datensatz. Lesende Zugriffe werden nicht protokolliert. Aktionen des KI-Assistenten werden zusätzlich in einem eigenen Protokoll erfasst.
Verschlüsselung im Ruhezustand: Verschlüsselung im Ruhezustand durch Datenbank- und Speicheranbieter. Sicherungen zusätzlich mit eigenem Schlüssel (scrypt, AES-256-GCM).
Missbrauchsabwehr: Begrenzung von Registrierungen und Anmeldeversuchen anhand der IP-Adresse, Sperrlisten für Wegwerf-Adressen, Blockierung kostenloser Freemail-Anbieter.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c)

Verfügbarkeitskontrolle: Redundantes Netz des Hosting-Anbieters, Datenbank mit automatischer Umschaltung, Statusendpunkt für die Überwachung, Fehlerüberwachung.
Sicherungsstrategie: Tägliche automatische, verschlüsselte Datenbanksicherungen in der Dateiablage, Aufbewahrung 30 Tage rollierend (die letzten sieben bleiben auch bei einem Ausfall erhalten); eine zweite Kopie liegt 30 Tage bei GitHub. Das Zurückspielen ist dokumentiert und wird bei jeder Programmänderung automatisch mit Testdaten durchgespielt. Hochgeladene Dateien werden stündlich verschlüsselt in einen zweiten Speicher (Exoscale, Rechenzentrum Wien) kopiert; Kopien gelöschter Dateien bleiben 30 Tage, nach einem auffälligen Schwund bis zur Klärung.
Wiederherstellbarkeit: Wiederherstellung der Datenbank auf einen Zeitpunkt innerhalb des beim Datenbankanbieter eingestellten Zeitfensters oder aus einer Sicherung in eine neue Datenbank. Hochgeladene Dateien lassen sich aus der Dateisicherung zurückholen; auch das ist dokumentiert und wird bei jeder Programmänderung automatisch mit Testdaten durchgespielt.
Verfügbarkeit: Es wird keine bestimmte Verfügbarkeit zugesagt. Der unverbindliche Richtwert und die Ausnahmen ergeben sich aus § 7 AGB.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d)

Datenschutz-Management: Mindestens jährliche Überprüfung des Verzeichnisses der Unterauftragsverarbeiter und ihrer Nachweise. Neue Unterauftragsverarbeiter werden mindestens 30 Tage vorher angekündigt.
Reaktion auf Vorfälle: Erkennung, interne Analyse, Meldung an den Verantwortlichen innerhalb von 24 Stunden und an die Aufsichtsbehörde innerhalb von 72 Stunden nach Art. 33 DSGVO.
Reaktion auf Anfragen: Betroffenenanfragen nach den Art. 15 bis 22 DSGVO werden innerhalb von 30 Tagen bearbeitet. Ansprechpartner: future-energy@bmsystems.at.
Auftragskontrolle: Verarbeitungen erfolgen nur auf dokumentierte Weisung des Verantwortlichen. Weisungen können jederzeit per E-Mail erteilt werden.

5. Löschung und Rückgabe

Nach Vertragsende: Nach Wahl des Verantwortlichen unmittelbare Löschung oder Bereitstellung der Daten für 30 Tage zum Export. Danach unwiderrufliche Löschung, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
Aufbewahrungspflichten: Buchhaltungsdaten sieben Jahre nach § 132 BAO, sonstige Kontaktdaten drei Jahre.
Automatische Fristen: Trial-Historie 24 Monate, Nachweise der Cookie-Einwilligung 36 Monate, Protokoll der KI-Aktionen und unbenutzte KI-Chatverläufe zwölf Monate, Versandprotokoll 36 Monate (zu Belegen) bzw. sechs Monate, Anmeldecodes und Sitzungen des Kundenportals 30 Tage, Papierkorb 30 Tage, abgelaufene Registrierungscodes 24 Stunden. Die Löschung läuft täglich automatisch.
Sicheres Löschen: Gelöschte Datensätze liegen 30 Tage im Papierkorb und werden dann von einem täglichen Lauf endgültig entfernt; aufbewahrungspflichtige Belege werden nicht endgültig gelöscht. Das Änderungsprotokoll behält den Inhalt gelöschter Datensätze. Sicherungen enthalten auch gelöschte Datensätze und werden nach Ablauf ihrer Frist gelöscht.

6. Zusätzliche Maßnahmen für die KI-Verarbeitung

Umfang der Übermittlung: An den Modellanbieter gehen nur die Eingabe des Benutzers und die zur Beantwortung erforderlichen Geschäftsdaten, nicht der gesamte Datenbestand des Mandanten.
Aufbewahrung beim Modellanbieter: Nach den kommerziellen Bedingungen von Anthropic 30 Tage; als auffällig markierte Inhalte können darüber hinaus aufbewahrt werden.
Kein Training: Kundendaten werden nicht für das Training von Modellen verwendet.
Protokollierung: Jede Aktion des Assistenten wird mit Benutzer, Zeitpunkt, Werkzeug, übergebenen Angaben und Ergebnis protokolliert. Der Benutzer kann seinen Chatverlauf jederzeit einsehen und löschen.
Bestätigungspflicht: Vorgänge mit Wirkung nach außen oder auf Zahlungen und Firmendaten — Versand von Rechnungen, Angeboten und Mahnungen, Anlegen von Mahnungen, Erfassen und Zuordnen von Zahlungen, Buchen von Bankumsätzen, Ändern der Firmendaten sowie das Löschen und Wiederherstellen von Datensätzen — führt der Assistent erst nach ausdrücklicher Bestätigung durch den Benutzer aus. Lesende Abfragen sowie das Anlegen von Stammdaten und Belegentwürfen führt er unmittelbar aus; diese Schritte sind protokolliert und umkehrbar.

Die Maßnahmen werden bei wesentlichen Änderungen aktualisiert. Der aktuell gültige Stand ist stets auf dieser Seite abrufbar. Bestandskunden werden per E-Mail informiert, wenn Änderungen ihre Verarbeitung wesentlich beeinflussen können.

Impressum Datenschutz AGB AVV TOM