Technische und organisatorische Maßnahmen (TOMs)

gemäß Art. 32 DSGVO für die webbasierte Software "Rechnungs-Programm"

Stand: 28. Oktober 2026.

Diese TOMs sind inhaltlich identisch mit Anlage 3 des Auftragsverarbeitungsvertrags (AVV) und werden hier zusätzlich als eigenständiges Dokument bereitgestellt, damit sie unabhängig vom vollständigen AVV eingesehen werden können. Bei Widersprüchen zwischen dieser Seite und dem jeweils aktuell abgeschlossenen AVV geht die Fassung im AVV vor.

1. Organisation und Zugriff

• individuelle Nutzerkonten und serverseitig geprüfte Rollen (Mitarbeiter/Teamleiter/Admin) innerhalb der Kundenumgebung;
• strikte, ausschließlich serverseitig durchgesetzte Mandantentrennung: die Firmen-ID (firmaxid) wird bei jeder Datenbankabfrage ausschließlich aus der Server-Session gelesen, nie aus Client-Parametern;
• die Zugehörigkeit einer Firma zur aktuell aufgerufenen Instanz (server_kennung) wird bei jedem Login UND bei jedem einzelnen Seitenaufruf einer laufenden Sitzung erneut geprüft, nicht nur beim Login;
• Fehler werden ausschließlich serverseitig protokolliert (error_log), niemals im Browser angezeigt.

2. Authentifizierung und Anwendungssicherheit

• Session-Cookies sind mit dem Attribut SameSite=Strict gesetzt;
• serverseitige Whitelist-Prüfung bei sicherheitsrelevanten Eingaben (z. B. Rollenwerte);
• durchgängige Verwendung von PDO mit vorbereiteten, parametrisierten Statements — keine rohe String-Interpolation von Nutzereingaben in SQL-Abfragen (durch internes Sicherheitsreview am 24. Juli 2026 bestätigt);
• durchgängige Ausgabekodierung über eine zentrale Escaping-Funktion (ENT_QUOTES) — durch internes Sicherheitsreview am 24. Juli 2026 keine XSS-Lücken festgestellt;
• E-Mail-Adressen werden vor sicherheitsrelevanten Versandvorgängen serverseitig validiert.

3. Mandantentrennung

• Datenschutzklasse 1 (Standard, online buchbar): logische Mandantentrennung auf gemeinsam genutzter Serverinfrastruktur bei netcup;
• Datenschutzklassen 2 (exklusiver vServer) und 3,5 (exklusiver physischer Server) werden individuell an den jeweiligen Kunden angepasst und sind grundsätzlich nicht online, sondern nur nach persönlichem Kontakt buchbar;
• jede Abfrage nach Rechnungen, Kunden und sonstigen Firmendaten filtert zusätzlich zwingend nach der Firmen-ID aus der serverseitigen Sitzung, auch bei der Suche nach einer firmenbezogenen Rechnungs- oder Kundennummer.

4. Nachvollziehbarkeit (Fulllog)

• nachvollziehbare Änderungsprotokollierung (Fulllog) mit Nutzerbezug, Zeitpunkt und, je nach eingestellter Log-Stufe, Vorher-/Nachher-Werten;
• die Protokollierungstiefe ist pro Firma über eine Log-Stufe konfigurierbar;
• Fulllog-Einträge werden zwei Jahre nach ihrer Entstehung gelöscht (Speicherbegrenzung); Änderungen, die nach den GoBD dauerhaft nachvollziehbar bleiben müssen, stehen zusätzlich in eigenen Änderungsverläufen zu Rechnungen, Kunden und Buchungssätzen;
• direkter Datenbankzugriff erfolgt nur durch den Anbieter selbst, keine reguläre direkte Datenbankanbindung für externe Dienstleister.

5. Datensicherung

• automatisierte Datenbanksicherung per Cronjob: Erstellung eines Dumps, Prüfung auf Mindestgröße, Komprimierung, probeweises Entpacken und Vergleich per SHA-256-Prüfsumme mit dem Original — nur bei erfolgreichem Abgleich gilt die Sicherung als verifiziert;
• die verifizierte, komprimierte Sicherung wird anschließend von einem vom Rechnungs-Programm-Webserver getrennten Verwaltungsserver abgeholt und dort gespeichert; auf dem Webserver selbst verbleibt sie nicht;
• Aufbewahrung jeder Sicherungskopie höchstens 90 Kalendertage ab Erstellung, danach automatische Löschung.

6. Sicherheitsvorfälle

Verantwortliche Kontaktperson für Sicherheitsvorfälle ist der Anbieter, Tobias Völzke, selbst. Als Einzelunternehmer kann er keine bestimmte Erreichbarkeit oder Reaktionszeit garantieren, bemüht sich jedoch nach Kenntniserlangung eines Vorfalls um eine so rasche wie im Einzelfall mögliche Erstbewertung und Information des Verantwortlichen.

Weiterentwicklung der Maßnahmen

Die technischen und organisatorischen Maßnahmen werden entsprechend Risiko, Stand der Technik und Art der Verarbeitung fortlaufend überprüft und weiterentwickelt. Kunden, die vor Vertragsschluss Details zu einzelnen Maßnahmen benötigen, können sich unter der oben genannten Kontaktadresse melden.