Hinweise zur Datenverarbeitung

Was verarbeitet wird

Daten	Zweck	Aufbewahrung
E-Mail-Adresse, Name, Passwort	Anmeldung am Konto	bis zur Löschung des Kontos
Verwalterdaten (Firma, Anschrift, Bankverbindung)	Absender auf erzeugten Dokumenten	bis zur Löschung des Kontos
Objekt- und Abrechnungsdaten	Erstellung der Jahresabrechnung	gesetzliche Aufbewahrungsfristen
Hochgeladene Dokumente	Ablage zum Objekt	bis zur Löschung durch Sie
Protokoll (Anmeldung, Zugriff auf Dokumente, Änderungen)	Nachweis und Missbrauchserkennung	befristet
IP-Adresse	Erkennung missbräuchlicher Anmeldeversuche	im Protokoll

Technische Maßnahmen, die umgesetzt sind

• Passwörter werden mit Argon2id gehasht. Der Klartext wird nicht gespeichert und nicht protokolliert.
• Sitzungen liegen serverseitig und lassen sich jederzeit beenden. Das Sitzungscookie ist HttpOnly und SameSite=Lax.
• Alle verändernden Formulare tragen ein Sicherheitsmerkmal gegen seitenübergreifende Anfragefälschung.
• Nach mehreren Fehlversuchen wird der Zugang vorübergehend gesperrt.
• Die Anmeldemaske gibt nicht preis, ob eine Adresse registriert ist.
• Jede Datenabfrage ist an Ihr Konto gebunden. Es gibt keinen Zugriffspfad auf Daten anderer Konten.
• Hochgeladene Dateien liegen außerhalb des ausgelieferten Verzeichnisses, tragen auf der Festplatte eine zufällige Kennung und werden ausschließlich als Anhang und nur nach Anmeldung herausgegeben.
• Zulässige Dateitypen sind auf eine feste Liste beschränkt; ausführbare Formate sind ausgeschlossen.
• Der Browser erhält Schutzvorgaben gegen Einbettung in fremde Seiten, gegen Inhaltstyp-Raten und eine Inhaltsrichtlinie ohne externe Quellen.

Verschlüsselung

Gespeicherte Daten. Verfahren ist AES-256-GCM, das zugleich verschlüsselt und die Unversehrtheit beglaubigt. Eine nachträglich veränderte Datei lässt sich nicht mehr entschlüsseln, sondern fällt beim Prüfen auf. Verschlüsselt abgelegt sind:

• alle hochgeladenen Dokumente, einschließlich ihrer Dateinamen. Auf der Festplatte trägt jede Datei eine zufällige Kennung und die Endung .bin, sodass schon der Name nichts über den Inhalt verrät;
• Bankverbindung, Registernummer und Umsatzsteuer-Identifikationsnummer;
• Bemerkungen zu Dokumenten;
• die Einträge im Protokoll samt IP-Adresse.

Jeder Datensatz ist an seine Kennung gebunden. Verschlüsselter Inhalt lässt sich deshalb nicht zwischen zwei Datensätzen vertauschen. Gleiche Eingaben ergeben nie denselben Geheimtext, sodass sich aus einem Vergleich zweier Datensätze nichts ableiten lässt.

Übertragung. Der Zugang läuft ausschließlich über HTTPS mit einem Zertifikat einer anerkannten Stelle (Let's Encrypt), das selbsttätig erneuert wird. Unverschlüsselte Aufrufe werden umgeleitet.

Was nicht verschlüsselt ist und warum. Die E-Mail-Adresse bleibt lesbar, weil über sie angemeldet wird und sie dafür auffindbar sein muss. Ebenso Bezeichnungen von Objekten und Kategorien, nach denen sortiert und gesucht wird. Eine Verschlüsselung, die die Suche unmöglich macht, würde in der Praxis wieder ausgebaut.

Der Schlüssel liegt in einer gesonderten Datei oder in einer Umgebungsvariable des Servers. Geht er verloren, sind die verschlüsselten Daten unwiederbringlich verloren, auch aus einer Sicherung der Datenbank.

Was noch aussteht

Diese Punkte sind für den Wirkbetrieb erforderlich und noch offen. Sie werden hier offen benannt, statt sie zu verschweigen.

• Verschlüsselung des gesamten Speichermediums als zusätzliche Schicht unter der Verschlüsselung einzelner Felder und Dateien.
• Prüfung durch einen Fachanwalt und einen Datenschutzbeauftragten.
• Auftragsverarbeitungsvertrag, Verzeichnis von Verarbeitungstätigkeiten, Beschreibung der technischen und organisatorischen Maßnahmen sowie ein Löschkonzept mit Fristen je Datenklasse.
• Datenschutz-Folgenabschätzung. Bei Umfang und Sensibilität der Daten einer Hausverwaltung ist sie voraussichtlich erforderlich.
• Geregeltes Verfahren für Auskunftsersuchen, Berichtigung und Löschung. Die Ausfuhr aller Daten ist bereits möglich: der Vollexport steht jederzeit im Konto bereit, auch im Lesemodus.
• Zwei-Faktor-Anmeldung.

Wer sonst noch verarbeitet

Die Anwendung läuft auf einem Server der Hetzner Online GmbH in einem Rechenzentrum in Deutschland. Die Daten verlassen die Anlage nicht; eine tägliche, auf Wiederherstellbarkeit geprüfte Sicherung liegt auf demselben Server.

Für den Versand von System-E-Mails (etwa beim Zurücksetzen des Passworts) wird der europäische Dienstleister Brevo eingesetzt; dabei werden Name und E-Mail-Adresse des Empfängers übertragen. Weitere Dienste Dritter sind nicht eingebunden — keine Analysewerkzeuge, keine eingebetteten Inhalte fremder Server.

Rollenverteilung

Die Hausverwaltungen und Selbstverwalter sind als Kunden für die Daten ihrer Objekte datenschutzrechtlich verantwortlich; der Betreiber verarbeitet sie in ihrem Auftrag. Der förmliche Vertrag zur Auftragsverarbeitung ist in Vorbereitung (siehe oben). Erreichbar ist der Betreiber unter info@weg-saldo.de.