Anlage zu den Firmendaten-Hinweisen · 26. September 2026
Technische Schutzmaßnahmen
Zugang und Trennung
Öffentliche Verbindungen zur Anwendung verwenden HTTPS. Der zentrale Webserver setzt zusätzliche Sicherheitsheader. Der untersuchte App-Container hat ein schreibgeschütztes Systemlaufwerk; betriebliche Daten liegen in getrennten beschreibbaren Verzeichnissen. Die Datenbank ist in der Betriebsvorlage nicht direkt öffentlich erreichbar.
Firmen-, Benutzer- und Rollenrechte werden serverseitig geprüft. Postfächer, private Dokumente und Chatkanäle besitzen zusätzliche Zugriffsregeln. Firmen verwenden eine gemeinsame Infrastruktur; logische Mandantentrennung ist keine physische Einzelservertrennung. Notwendige administrative Zugriffe für Betrieb und Störungsbehebung bleiben möglich.
Geheimnisse und Übertragung
Passwörter werden als Prüfsummen verarbeitet. Einmal-Links und Sitzungen sind zeitlich begrenzt. Der zentrale KI-Schlüssel ist verschlüsselt gespeichert und wird der normalen Firmenoberfläche nicht ausgegeben. Dokumentenarchiv und Firmensicherungen verwenden eigene verschlüsselte Speicherformate; daraus folgt keine Zusage, dass jeder Datenbankwert oder jede Datei Ende-zu-Ende-verschlüsselt ist. Der Server muss berechtigte Inhalte zur Anzeige und Verarbeitung entschlüsseln können.
Der zentrale STRATO-Mailversand ist auf verschlüsselte SMTP-Übertragung eingestellt. Empfängerwahl, Freigaben und eingerichtete Fremddienste bestimmen, wohin Daten anschließend gelangen. Auch verschlüsselte Übertragung ersetzt keine Empfängerprüfung.
Sicherung und Wiederherstellung
Für Datenbank und Dateibestand sind getrennte, verschlüsselte Notfallsicherungen im Sechs-Stunden-Rhythmus eingerichtet. Zusätzlich gibt es firmenbezogene Sicherungspunkte. Am 26.09.2026 war die letzte geprüfte zentrale Sicherung erfolgreich. Dieser Status ist eine Momentaufnahme, kein Versprechen einer lückenlosen Verfügbarkeit oder eines festen maximalen Datenverlusts.
Firmenadministratoren können nur den eigenen Firmenbestand zurücksichern. Eine vollständige produktive Plattform-Rücksicherung benötigt eine gesonderte hostseitige Freigabe. Die Anwendung allein kann diese Freigabe nicht erteilen. Zusätzliche Schutzkopien und abweichende Aufbewahrungen sind in den Löschhinweisen beschrieben.
Nachvollziehbarkeit und Prüfungen
Sicherheitsrelevante und betriebliche Vorgänge werden je nach Bereich protokolliert. Automatisierte Prüfungen decken unter anderem Mandantentrennung, Rechte, Wiederholungen, Konflikte und Sicherungsabläufe ab. Sie ersetzen weder eine unabhängige Sicherheitszertifizierung noch die Kontrolle organisatorischer Maßnahmen, der Endgeräte und der Dienstleisterverträge.
Die Kenntnisnahme der Datenschutzhinweise wird bei Zugangsanfrage und Aktivierung mit Textfassung, Zeitpunkt und zugehöriger Identität gespeichert. Ein unbestätigtes Formular allein beweist nicht, wer die Anfrage tatsächlich gestellt hat. Die verifizierte E-Mail und Aktivierung werden deshalb getrennt dokumentiert.
Organisatorische Verantwortung
Für die verbindliche Auftragsverarbeitung gehören dazu dokumentierte Weisungen, Vertraulichkeitsverpflichtungen, ein Berechtigungskonzept, regelmäßige Kontrollen, ein Verfahren für Datenschutzvorfälle und eine geregelte Löschung. Diese organisatorischen Nachweise lassen sich nicht allein aus dem Quellcode ableiten und müssen im tatsächlichen Betrieb umgesetzt sein.
Deine Firma verwaltet die eigenen Zugänge, Rollen, Geräte und Freigaben. Entferne nicht mehr benötigte Berechtigungen und melde vermutete Datenschutzvorfälle oder Fehlfreigaben ohne unnötigen Verzug an info@sc-v.de. Sende dabei zunächst Vorgangsbezug und Fehlerbeschreibung statt ungeschützter vollständiger Mailarchive oder Zugangsdaten.