Diese Beschreibung gibt die technischen und organisatorischen Maßnahmen der Bavariaphone24 Vertrieb & Service GmbH für die Anwendung DokuFetch nach Art. 32 DSGVO wieder. Sie ist Anlage 1 der Vereinbarung zur Auftragsverarbeitung. Beschrieben sind die Maßnahmen, die in der Anwendung und im Betrieb tatsächlich umgesetzt sind.
1. Betriebsumgebung
- Die Anwendung DokuFetch, ihre Datenbank und die Dateiablage laufen auf einem Server in einem Rechenzentrum der IONOS SE in Deutschland. Auf demselben Server betreiben wir unsere Website und unser internes Vertriebssystem.
- Belegdateien werden je Kunde in einem eigenen Verzeichnis außerhalb des öffentlich erreichbaren Bereichs des Webservers abgelegt.
- Die tägliche Datensicherung erfolgt auf ein Speichersystem in unseren eigenen Geschäftsräumen; ein externer Dienstleister ist nicht beteiligt.
2. Vertraulichkeit
2.1 Zutrittskontrolle
- Der Zutritt zum Rechenzentrum und zu den Serversystemen wird durch den Betreiber des Rechenzentrums, die IONOS SE, kontrolliert. IONOS ist als Unterauftragsverarbeiter vertraglich zu geeigneten Maßnahmen verpflichtet.
- Das Speichersystem für die Datensicherung steht in unseren eigenen, verschlossenen Geschäftsräumen; Zutritt haben nur der Geschäftsführer und von ihm benannte Mitarbeiter. Dritte sind an seinem Betrieb nicht beteiligt.
2.2 Zugangskontrolle
- Passwörter müssen mindestens 12 Zeichen lang sein; gängige Passwörter aus einer Sperrliste und reine Ziffernfolgen sind nicht zulässig.
- Passwörter werden nur als Hashwert mit dem Verfahren Argon2id gespeichert und bei der Anmeldung bei Bedarf auf das aktuelle Verfahren umgestellt.
- Zwei-Faktor-Anmeldung mit Einmalcodes nach RFC 6238; ein Code kann nicht zweimal verwendet werden. Zehn Wiederherstellungscodes werden nur als Hashwerte gespeichert. Für unsere Plattform-Administratoren ist die Zwei-Faktor-Anmeldung Pflicht; Kunden können sie für alle Benutzer ihres Unternehmens verbindlich machen.
- Nach fünf fehlgeschlagenen Anmeldeversuchen wird das Konto für 15 Minuten gesperrt und der Benutzer per E-Mail informiert. Anmeldung, Zwei-Faktor-Prüfung, Registrierung und Passwort-Zurücksetzung sind je IP-Hashwert und je E-Mail-Adresse begrenzt. Für unbekannte Konten antwortet die Anwendung mit gleicher Antwortzeit, damit sich nicht erkennen lässt, ob ein Konto existiert.
- Sitzungscookies sind nur über HTTPS übertragbar, für Skripte nicht lesbar und gegen Übernahme durch andere Websites eingeschränkt (Secure, HttpOnly, SameSite=Lax, Präfix „__Host-“). Sitzungen enden nach 30 Minuten ohne Aktivität und spätestens nach 12 Stunden. Bei der Anmeldung wird eine neue Sitzungskennung vergeben. Benutzer können Sitzungen auf anderen Geräten beenden; eine Passwortänderung beendet alle Sitzungen.
- Der Geräteschlüssel der Handy-App erlaubt nur das Hochladen von Belegen und die Anzeige der zuletzt hochgeladenen Belege und fehlenden Kassenzettel; in der Datenbank ist nur eine Prüfsumme gespeichert.
- Der administrative Zugang zum Server (Plesk, SSH) ist nur benannten Administratoren mit Zwei-Faktor-Anmeldung bzw. Schlüsselanmeldung möglich.
- Die Programmierschnittstelle ist nur mit API-Schlüssel nutzbar und begrenzt Fehlanmeldungen je IP-Adresse sowie die Zahl der Anfragen je Minute und Tag. Auch der Zugang über das DokuFetch-Netzlaufwerk begrenzt Fehlanmeldungen.
2.3 Zugriffskontrolle
- Rollen- und Rechtekonzept mit den Rollen Inhaber, Administrator, Buchhaltung, Freigeber, Mitarbeiter und Steuerberater und einer festen Zuordnung von Rechten. Tarif, Bestellungen und Kündigung kann nur ein Inhaber verwalten.
- Der Zugriff auf Daten eines Kunden ergibt sich ausschließlich aus der angemeldeten Sitzung und einer aktiven Mitgliedschaft des Benutzers im jeweiligen Unternehmen. Jeder Dateizugriff erfolgt nur mit der Kennung des Unternehmens.
- Unsere Plattform-Administratoren können sich nicht als Benutzer eines Kunden ausgeben. Der Administrationsbereich ist nur mit Zwei-Faktor-Anmeldung zugänglich. Dort sind Betriebsdaten eines Kunden sichtbar, etwa Benutzer, Mengen, Speicherbelegung, Fehlermeldungen und die letzten Einträge des Audit-Protokolls, nicht aber Belege und Dokumente.
- Unser Team erhält Zugriff auf ein Kundenkonto nur, wenn der Kunde den Supportzugriff für 1, 3 oder 7 Tage freigibt; der Kunde kann die Freigabe jederzeit beenden. Alle Aktionen werden im Audit-Protokoll festgehalten. Zugangsdaten und Einwilligungen gibt nur der Kunde ein.
2.4 Trennungskontrolle
- Mandantentrennung: Alle Daten sind einem Unternehmen zugeordnet und werden nur im Rahmen der Mitgliedschaft in diesem Unternehmen angezeigt und verarbeitet.
- Belegdateien werden je Unternehmen in getrennten Verzeichnissen und mit eigenen Schlüsseln je Datei gespeichert.
3. Pseudonymisierung und Verschlüsselung
3.1 Pseudonymisierung
- In der Datenbank der Anwendung werden IP-Adressen nicht im Klartext gespeichert, sondern nur als mit einem geheimen Schlüssel gebildeten Hashwert (HMAC-SHA256), etwa im Anmeldeprotokoll, im Audit-Protokoll und bei Zugriffsbegrenzungen.
- Im Protokoll ausgehender E-Mails wird der Empfänger nur als Hashwert gespeichert.
- Aus verbundenen Postfächern werden als privat oder als Newsletter erkannte E-Mails nicht gespeichert; zur Wiedererkennung wird nur ein Fingerabdruck (Hashwert) gespeichert.
- Vor jeder Übermittlung an den KI-Dienst schwärzt DokuFetch automatisch IBAN, BIC, Konto-, Karten- und Depotnummern, Salden, E-Mail-Adressen, Telefonnummern, Codes und TAN, Zugangsdaten, Steuer-Identifikationsnummern, Ausweis-, Pass- und Sozialversicherungsnummern, Geburtsdaten und Parameter in Internetadressen. Diese Schwärzung lässt sich nicht abschalten.
3.2 Verschlüsselung
- Übertragung: Die Anwendung ist nur über HTTPS erreichbar; unverschlüsselte Aufrufe werden umgeleitet. Browser werden angewiesen, die Anwendung ein Jahr lang nur verschlüsselt aufzurufen (HSTS). Ausgehende Verbindungen, etwa zu Postfächern, Portalen, Webhooks und Schnittstellen, prüfen das Zertifikat der Gegenstelle. Nur für eine externe Ablage des Kunden kann der Kunde die Zertifikatsprüfung abschalten; dann ist die Verbindung an das hinterlegte Zertifikat gebunden.
- Belegdateien: Jede Datei wird auf Ebene der Anwendung mit einem eigenen Schlüssel verschlüsselt (XChaCha20-Poly1305, authentifizierte Verschlüsselung). Die Dateischlüssel sind mit einem Hauptschlüssel verschlüsselt. Manipulationen an einer verschlüsselten Datei werden beim Entschlüsseln erkannt.
- Geheimnisse: Zugangsdaten zu Portalen, Postfächern, externen Ablagen und Mailservern, API-Schlüssel, Zugangsschlüssel zu Banken und Schnittstellen, das Geheimnis der Zwei-Faktor-Anmeldung sowie IBAN in Lastschriftmandaten und von Partnern werden auf Ebene der Anwendung verschlüsselt gespeichert.
- Der Hauptschlüssel liegt in einer eigenen Datei, die nur für den Systembenutzer der Anwendung lesbar ist.
- Die übrigen Inhalte der Datenbank, etwa erkannte Volltexte, ausgelesene Rechnungsfelder, Bankumsätze und Tickettexte, sind nicht gesondert verschlüsselt. Sie sind durch die Zugangs-, Zugriffs- und Trennungskontrollen geschützt.
4. Integrität
4.1 Weitergabekontrolle
- Die Anwendung sendet Sicherheitsvorgaben an den Browser, unter anderem eine Inhaltsrichtlinie (Content Security Policy) ohne zugelassene Inline-Skripte, Schutz gegen Einbettung in fremde Seiten, Schutz gegen falsch erkannte Dateitypen und eine eingeschränkte Weitergabe der Herkunftsadresse. Seiten werden nicht zwischengespeichert und nicht von Suchmaschinen erfasst.
- Belege werden nur als PDF, PNG oder JPEG direkt im Browser angezeigt; andere Dateitypen werden als Download in einer abgeschotteten Umgebung ausgeliefert.
- Jede ändernde Anfrage erfordert ein Sicherheitsmerkmal der Sitzung und eine Prüfung der Herkunft (Schutz vor Cross-Site Request Forgery).
- Webhooks an Systeme des Kunden werden signiert und enthalten nur Kennungen und Status, keine Inhalte. Die Übergabe von Anfragen der Website an die Anwendung ist ebenfalls signiert.
- Daten werden nur an die in der Vereinbarung zur Auftragsverarbeitung genannten Unterauftragsverarbeiter und an vom Kunden bestimmte Empfänger übermittelt.
4.2 Eingabekontrolle
- Ein Audit-Protokoll hält fest, wer wann welche Aktion ausgeführt hat, mit den Werten vor und nach einer Änderung und dem Hashwert der IP-Adresse. Geheimnisse werden darin maskiert, IBAN gekürzt und lange Werte gekürzt. Die Anwendung schreibt das Protokoll nur fort und ändert keine bestehenden Einträge.
- Der Kunde kann das Audit-Protokoll seines Unternehmens einsehen und exportieren. Es wird für die Dauer des Vertrags aufbewahrt.
4.3 Unveränderbarkeit von Belegen
- Originaldateien werden nie überschrieben. Änderungen, Ergänzungen und Zusatzblätter werden als neue Version gespeichert.
- Zu jeder Datei wird eine Prüfsumme (SHA-256) gespeichert und beim Lesen geprüft.
- Freigegebene oder an Buchhaltungssysteme übergebene Rechnungen sind gegen Löschung gesperrt; zusätzlich kann jedes Dokument mit einer Sperre gegen Löschung (Legal Hold) versehen werden.
- Der Datenexport enthält die Prüfsummen der exportierten Dateien.
5. Verfügbarkeit und Belastbarkeit
- Hintergrundaufgaben werden jede Minute in getrennten Verarbeitungsspuren mit Zeitbegrenzung ausgeführt, damit eine einzelne Aufgabe die übrigen nicht blockiert.
- Fehlgeschlagene Aufgaben werden bis zu sechsmal mit zunehmendem Abstand wiederholt, Anfragen an den KI-Dienst bis zu dreimal, Webhooks bis zu achtmal.
- Eingehende Belege werden nie wegen eines erreichten Kontingents abgewiesen.
- Begrenzungen der Anfragen je Zugang schützen die Anwendung vor Überlastung und automatisierten Massenzugriffen.
- Protokolldateien der Anwendung werden monatlich und zusätzlich ab einer Größe von 20 MB gewechselt; alte Fassungen werden 60 Tage nach ihrem letzten Eintrag gelöscht, sodass kein Eintrag älter als 90 Tage ist.
6. Wiederherstellbarkeit
- Die Daten des Servers werden täglich auf ein Speichersystem in unseren Geschäftsräumen gesichert. Die Sicherungen werden verschlüsselt übertragen und mit Kennwort verschlüsselt gespeichert, rollierend überschrieben und sind höchstens 30 Tage alt. Der Hauptschlüssel der Anwendung ist Teil der Serversicherung; die Sicherungen sind deshalb wie die Daten selbst geschützt.
- Nach einem Ausfall stellen wir den Betrieb aus der letzten geeigneten Sicherung wieder her.
- Vor jeder Aktualisierung der Anwendung wird eine Sicherung des Programmstands angelegt, auf die bei Problemen zurückgegriffen werden kann.
- Der Kunde kann jederzeit einen vollständigen Datenexport aller Originaldateien mit Versionen, der E-Mails und aller Datensätze als Tabellen erstellen (ohne Kennwörter und Zugangsdaten); die Exportdatei wird verschlüsselt abgelegt und nach 14 Tagen gelöscht.
7. Auftragskontrolle und Organisation
- Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Die Unterauftragsverarbeiter sind in Anlage 2 der Vereinbarung zur Auftragsverarbeitung genannt.
- Personen, die mit der Verarbeitung befasst sind, sind zur Vertraulichkeit verpflichtet.
- Weisungen erteilt der Kunde über die Einstellungen der Anwendung oder in Textform.
- KI-Funktionen und Bankanbindung sind nur aktiv, wenn der Kunde sie einschaltet. Dokumente, die DokuFetch als Kontoauszug oder als Lohn-, Gehalts-, Personal- oder Gesundheitsunterlage erkannt hat, werden nicht an den KI-Dienst übermittelt; alle übermittelten Texte werden vorher geschwärzt.
- Lieferantenportale werden nur mit Zugangsdaten abgerufen, die der Kunde selbst hinterlegt; Sicherheitsabfragen wie Captchas werden nie umgangen.
8. Verfahren zur Überprüfung, Bewertung und Evaluierung
- Wir prüfen die Wirksamkeit der Maßnahmen regelmäßig, mindestens einmal im Jahr, und zusätzlich anlassbezogen, insbesondere vor Änderungen der Anwendung, bei Änderungen der Unterauftragsverarbeiter und nach Sicherheitsvorfällen, und passen Maßnahmen und diese Beschreibung an.
- Verletzungen des Schutzes personenbezogener Daten melden wir dem Kunden unverzüglich, spätestens 48 Stunden nach Kenntnis.
- Kunden können die Einhaltung der Maßnahmen nach Ziffer 14 der Vereinbarung zur Auftragsverarbeitung überprüfen.
Stand: 13. Oktober 2026