Hinweise zur Datenverarbeitung
Diese Seite beschreibt den tatsächlichen technischen Zustand, nicht einen angestrebten.
Was verarbeitet wird
| Daten | Zweck | Aufbewahrung |
|---|---|---|
| E-Mail-Adresse, Name, Passwort | Anmeldung am Konto | bis zur Löschung des Kontos |
| Verwalterdaten (Firma, Anschrift, Bankverbindung) | Absender auf erzeugten Dokumenten | bis zur Löschung des Kontos |
| Objekt- und Abrechnungsdaten | Erstellung der Jahresabrechnung | gesetzliche Aufbewahrungsfristen |
| Hochgeladene Dokumente | Ablage zum Objekt | bis zur Löschung durch Sie |
| Protokoll (Anmeldung, Zugriff auf Dokumente, Änderungen) | Nachweis und Missbrauchserkennung | befristet |
| IP-Adresse | Erkennung missbräuchlicher Anmeldeversuche | im Protokoll |
Technische Maßnahmen, die umgesetzt sind
- Passwörter werden mit Argon2id gehasht. Der Klartext wird nicht gespeichert und nicht protokolliert.
- Sitzungen liegen serverseitig und lassen sich jederzeit beenden. Das
Sitzungscookie ist
HttpOnlyundSameSite=Lax. - Alle verändernden Formulare tragen ein Sicherheitsmerkmal gegen seitenübergreifende Anfragefälschung.
- Nach mehreren Fehlversuchen wird der Zugang vorübergehend gesperrt.
- Die Anmeldemaske gibt nicht preis, ob eine Adresse registriert ist.
- Jede Datenabfrage ist an Ihr Konto gebunden. Es gibt keinen Zugriffspfad auf Daten anderer Konten.
- Hochgeladene Dateien liegen außerhalb des ausgelieferten Verzeichnisses, tragen auf der Festplatte eine zufällige Kennung und werden ausschließlich als Anhang und nur nach Anmeldung herausgegeben.
- Zulässige Dateitypen sind auf eine feste Liste beschränkt; ausführbare Formate sind ausgeschlossen.
- Der Browser erhält Schutzvorgaben gegen Einbettung in fremde Seiten, gegen Inhaltstyp-Raten und eine Inhaltsrichtlinie ohne externe Quellen.
Verschlüsselung
Gespeicherte Daten. Verfahren ist AES-256-GCM, das zugleich verschlüsselt und die Unversehrtheit beglaubigt. Eine nachträglich veränderte Datei lässt sich nicht mehr entschlüsseln, sondern fällt beim Prüfen auf. Verschlüsselt abgelegt sind:
- alle hochgeladenen Dokumente, einschließlich ihrer Dateinamen. Auf der
Festplatte trägt jede Datei eine zufällige Kennung und die Endung
.bin, sodass schon der Name nichts über den Inhalt verrät; - Bankverbindung, Registernummer und Umsatzsteuer-Identifikationsnummer;
- Bemerkungen zu Dokumenten;
- die Einträge im Protokoll samt IP-Adresse.
Jeder Datensatz ist an seine Kennung gebunden. Verschlüsselter Inhalt lässt sich deshalb nicht zwischen zwei Datensätzen vertauschen. Gleiche Eingaben ergeben nie denselben Geheimtext, sodass sich aus einem Vergleich zweier Datensätze nichts ableiten lässt.
Übertragung. Der Zugang läuft über HTTPS. Im örtlichen Betrieb wird dafür ein selbst erzeugtes Zertifikat verwendet; es verschlüsselt die Verbindung, weist aber den Server nicht aus, weshalb der Browser warnt. Für den Betrieb im Netz gehört ein Zertifikat einer anerkannten Stelle davor.
Was nicht verschlüsselt ist und warum. Die E-Mail-Adresse bleibt lesbar, weil über sie angemeldet wird und sie dafür auffindbar sein muss. Ebenso Bezeichnungen von Objekten und Kategorien, nach denen sortiert und gesucht wird. Eine Verschlüsselung, die die Suche unmöglich macht, würde in der Praxis wieder ausgebaut.
Der Schlüssel liegt in einer gesonderten Datei oder in einer Umgebungsvariable des Servers. Geht er verloren, sind die verschlüsselten Daten unwiederbringlich verloren, auch aus einer Sicherung der Datenbank.
Was noch aussteht
Diese Punkte sind für den Wirkbetrieb erforderlich und noch offen. Sie werden hier offen benannt, statt sie zu verschweigen.
- Ein Zertifikat einer anerkannten Stelle. Örtlich wird ein selbst erzeugtes verwendet; ohne anerkanntes Zertifikat darf die Anwendung nicht öffentlich erreichbar gemacht werden.
- Verschlüsselung des gesamten Speichermediums als zusätzliche Schicht unter der Verschlüsselung einzelner Felder und Dateien.
- Prüfung durch einen Fachanwalt und einen Datenschutzbeauftragten.
- Auftragsverarbeitungsvertrag, Verzeichnis von Verarbeitungstätigkeiten, Beschreibung der technischen und organisatorischen Maßnahmen sowie ein Löschkonzept mit Fristen je Datenklasse.
- Datenschutz-Folgenabschätzung. Bei Umfang und Sensibilität der Daten einer Hausverwaltung ist sie voraussichtlich erforderlich.
- Geregeltes Verfahren für Auskunftsersuchen, Berichtigung und Löschung sowie Ausfuhr aller Daten.
- Gesicherte und wiederherstellbare Datensicherung.
- Zwei-Faktor-Anmeldung und Passwort-Zurücksetzung per E-Mail.
Rollenverteilung
Sobald das System für Dritte betrieben wird, sind die Hausverwaltungen als Kunden datenschutzrechtlich verantwortlich, der Betreiber ist Auftragsverarbeiter. Das prägt Vertrag und Pflichten und ist vor der Aufnahme des Betriebs zu klären.