Technische und organisatorische Maßnahmen (TOM)

1. Zutrittskontrolle

Zentroa betreibt keine eigenen Serverräume. Server, Datenbank und Speicher laufen in Rechenzentren der Unterauftragsverarbeiter (Hostinger: virtueller Server; Hetzner: Objektspeicher in Nürnberg und Falkenstein). Der physische Zutritt richtet sich nach deren Sicherheitskonzepten.

2. Zugangskontrolle (Systeme)

• Anmeldung nur mit persönlichem Konto; Passwörter mindestens 12 Zeichen, gespeichert ausschließlich als Argon2id-Hash.
• Optionale Zwei-Faktor-Anmeldung (TOTP) mit einmalig verwendbaren Wiederherstellungscodes; Schlüssel verschlüsselt (AES-256-GCM) gespeichert.
• Begrenzung von Anmeldeversuchen je Quelle, je Konto und insgesamt; gleiche Prüfdauer für unbekannte Konten.
• Sitzungen nur über sichere Cookies (Secure, HttpOnly, SameSite); Ende nach 30 Tagen, nach 14 Tagen ohne Nutzung und bei Passwortänderung.
• Sicherheitshinweise per E-Mail bei Passwortänderung, Änderung der Zwei-Faktor-Anmeldung und Anmeldung von einem lange nicht genutzten Gerät.
• Separater, besonders geschützter Zugang des Plattformbetreibers mit Passwort (mindestens 16 Zeichen) und verpflichtender Zwei-Faktor-Anmeldung.
• Server-Administration nur durch den Betreiber; Zugangsdaten und Schlüssel liegen in geschützten Dateien außerhalb des Quellcodes (Rechte 0600), nie im Quellcode oder in Protokollen.

3. Zugriffskontrolle (Daten)

• Rollen je Unternehmen (Inhaber, Administrator, Mitglied) mit festgelegten Rechten; Export und Löschanträge nur durch Inhaber; Verlängerung von Aufbewahrungsfristen nur durch Inhaber und Administratoren.
• Mira handelt nur mit den Rechten der angemeldeten Person; Aktionen mit Außenwirkung erfordern eine ausdrückliche Bestätigung; automatische E-Mail-Antworten nur nach ausdrücklicher Aktivierung durch Inhaber oder Administratoren.
• Die Anwendung greift mit eingeschränkten Datenbankrollen ohne Administratorrechte zu; Anmeldedaten sind nur über eng begrenzte Datenbankfunktionen erreichbar.

4. Trennungskontrolle

Die Daten jedes Unternehmens werden in der Datenbank durch erzwungene Zeilensicherheit (Row Level Security) getrennt: Jede Abfrage ist an genau ein Unternehmen gebunden; Daten anderer Unternehmen sind technisch nicht lesbar. Dateien liegen je Unternehmen unter getrennten Schlüsseln. Test- und Produktivsysteme sind getrennt; Tests laufen auf getrennten, synthetischen Datenbanken.

5. Weitergabekontrolle und Verschlüsselung

• Übertragung über das Internet ausschließlich verschlüsselt (TLS).
• Verbindungen zu externen Diensten nur über fest konfigurierte, TLS-gesicherte Wege zu den jeweiligen Anbietern; die Anwendung selbst hat keinen freien Internetzugang.
• Zugangsdaten verbundener Postfächer und Erneuerungs-Token verschlüsselt gespeichert (AES-256-GCM); kurzlebige Zugriffstoken nur im Arbeitsspeicher.
• Sicherungen werden vor dem Speichern verschlüsselt (AES-256).
• Eine Verschlüsselung der Datenbank und des Dateispeichers auf Datenträgerebene durch Zentroa selbst wird nicht zugesagt.

6. Eingabekontrolle

Wesentliche Aktionen werden in einem nur erweiterbaren Protokoll festgehalten (Person bzw. System, Zeitpunkt, Aktion, Ergebnis), u. a. Dateizugriffe, Freigaben, Abrechnungsvorgänge, Abrufe von Gesprächstexten und Eingriffe des Plattformbetreibers. Ausgestellte Dokumente sind unveränderbar archiviert (Prüfsumme SHA-256); jeder Abruf, Export und jede Fristverlängerung wird protokolliert. Anmeldeereignisse werden ohne E-Mail-Adresse und IP-Adresse gespeichert und nach 90 Tagen gelöscht.

7. Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit

• Verschlüsselte Sicherung der Datenbank, der Kundendateien und der Serverdaten alle sechs Stunden in einen getrennten Objektspeicher (Hetzner, Falkenstein) mit Unveränderbarkeitssperre (30 Tage).
• Aufbewahrung der Sicherungen: alle der letzten 24 Stunden, 7 tägliche, 4 wöchentliche und 3 monatliche Stände.
• Archiv ausgestellter Dokumente zusätzlich in einem getrennten Objektspeicher (Hetzner, Falkenstein): jedes Dokument bis zum Ende seiner gesetzlichen Frist gegen Änderung und Löschung gesperrt (Object Lock, Compliance-Modus); tägliche Übernahme mit Prüfsummenvergleich, wöchentliche vollständige Prüfung.
• Server-Firewall: eingehend nur verschlüsselte Webzugriffe und die Server-Administration (SSH mit Schlüssel); Container sind aus dem Internet nicht direkt erreichbar.
• Wöchentliche Integritätsprüfung und wöchentliche Probe-Wiederherstellung in eine getrennte Datenbank mit Abgleich der Prüfsummen.
• Zielwerte (keine Zusage): Datenverlust höchstens sechs Stunden, Wiederherstellung innerhalb von vier Stunden.
• Automatische Überwachung mit Benachrichtigung des Betreibers bei überfälligen oder fehlgeschlagenen Sicherungen, nicht erreichbarem Speicher oder Virenscanner, knappem Speicherplatz, gestörten Hintergrundprozessen und auffälligen Anmeldefehlern.
• Prüfung hochgeladener Dateien auf Schadsoftware vor dem Speichern; bei Ausfall der Prüfung werden Uploads abgewiesen.
• Betrieb in Containern mit minimalen Rechten (schreibgeschütztes Dateisystem, keine zusätzlichen Berechtigungen, Ressourcenlimits).

8. Auftragskontrolle

Unterauftragsverarbeiter werden nur nach der veröffentlichten Liste eingesetzt. Personenbezogene Daten werden nicht für eigene Zwecke von Zentroa oder zum Training allgemeiner KI-Modelle verwendet; Anfragen an die OpenAI API erfolgen ohne Speicherung des Antwortobjekts (store: false).

9. Datenschutzfreundliche Voreinstellungen und Löschung

• Automatische E-Mail-Antworten sind ausgeschaltet, bis Inhaber oder Administratoren sie aktivieren.
• Gelöschte Dateien werden nach sieben Tagen im Papierkorb endgültig entfernt; Datenexporte werden nach sieben Tagen gelöscht.
• Nach Vertragsende bleiben die Daten für den Export lesbar. 60 Tage nach dem Ende wird die Löschung geplant und dem Inhaber angekündigt; ausgeführt wird sie frühestens 90 Tage nach dem Ende und 30 Tage nach der Ankündigung, auf Antrag des Inhabers nach Prüfung früher. Die Löschung führt der Betreiber über eine Datenbankfunktion aus, die gesetzlich aufzubewahrende Unterlagen, Aufbewahrungsfristen und Schutzmechanismen nie umgeht; jede Löschung wird mit Umfang und Ausnahmen protokolliert.

10. Regelmäßige Überprüfung

Die Maßnahmen werden bei Änderungen der Software durch automatisierte Tests (u. a. der Mandantentrennung und Berechtigungen) geprüft; Sicherung und Wiederherstellung werden wöchentlich getestet. Eine externe Zertifizierung besteht nicht.