Technische und organisatorische Maßnahmen

Anlage 1 zum Vertrag zur Auftragsverarbeitung nach Art. 32 DSGVO. Georg Flossmann, handelnd unter „leanframe“, Ickelsamerstraße 35, 81825 München. Stand: 1. November 2026.

1. Vertraulichkeit

Zutritt zu Rechenzentren

Die Server stehen in Rechenzentren der Hetzner Online GmbH in der EU, die nach ISO/IEC 27001 zertifiziert sind. Zutritt haben nur Personal des Rechenzentrums mit Zutrittskontrolle und Videoüberwachung.
leanframe betreibt keine eigenen Server in Büroräumen.

Zugang zu Systemen

Server sind nur über ein verschlüsseltes VPN und mit SSH-Schlüssel erreichbar, Passwörter sind für SSH abgeschaltet. Die Datenbank ist aus dem Internet nicht erreichbar.
Firewalls beim Rechenzentrum und auf jedem Server lassen nur die nötigen Verbindungen zu.
Das Portal arbeitet ohne Passwörter: Anmeldung mit einem einmaligen Code oder Link per E-Mail, der nach 15 Minuten verfällt. Sitzungen laufen nach Inaktivität ab.
Jeder Nutzer kann einen Passkey einrichten (Gerät mit Fingerabdruck, Gesicht oder PIN; gespeichert wird nur der öffentliche Schlüssel) und sich damit ohne E-Mail anmelden. Jeder Betrieb kann Passkeys für Admins oder für alle Nutzer vorschreiben; dann reicht der Code per E-Mail allein nicht. Neue Passkeys und das Zurücksetzen werden protokolliert und dem Nutzer per E-Mail gemeldet.
Der Betreiberbereich verlangt zusätzlich einen Passkey, bestätigt mindestens alle 12 Stunden.
Anfragen werden je Adresse begrenzt, um das Erraten von Zugängen zu verhindern.

Zugriff auf Daten

Jeder Betrieb ist in der Datenbank durch Zeilenschutz (Row Level Security) getrennt. Die Anwendung sieht immer nur die Daten des angemeldeten Betriebs.
Rollen im Portal (Inhaber, Mitarbeiter) bestimmen, wer was sehen und ändern darf. Abo und Zahlung dürfen nur Inhaber verwalten.
leanframe greift auf Daten eines Betriebs nur über einen Support-Zugang zu: mit Begründung, zeitlich begrenzt, im Portal sichtbar, per E-Mail gemeldet und vom Betrieb jederzeit beendbar.
Zugangsdaten zu Diensten liegen verschlüsselt vor und sind nur dem Inhaber von leanframe bekannt.
Bei Google und Microsoft meldet sich der Kunde beim Anbieter an (OAuth 2.0 mit PKCE); leanframe erhält nur einen widerrufbaren Zugriffsschlüssel, nie das Passwort, und fragt nur die nötigen Rechte an (Postfach, Kalender bzw. Kontakte; Kontakte erst, wenn der Kunde das Adressbuch einschaltet, mit eigener Zustimmung). Im Adressbuch liest und schreibt leanframe nur Kontakte der Gruppe „leanframe“, die es selbst angelegt hat; abgeglichen wird in einem getrennten Hintergrundjob, nicht im Web-Prozess.
Vertrauliche Antworten aus Fragebögen (z. B. Gesundheitsdaten, Art. 9 DSGVO) werden zusätzlich je Antwort mit AES-256-GCM verschlüsselt (eigener, abgeleiteter Schlüssel, an Betrieb und Antwort gebunden). Sehen dürfen sie nur Admins und einzeln freigegebene Mitarbeiter, erst nach Klick auf „Anzeigen“; jedes Anzeigen und jeder Export wird protokolliert. Sie gehen an kein KI-Modell, in keine E-Mail, keinen Webhook, keinen Export der Termine und in keine Protokolldatei (Logs).
Zugangsdaten der Kunden (Zugriffsschlüssel von Google/Microsoft, Passwörter bzw. App-Passwörter von Postfach und iCloud) werden mit AES-256-GCM verschlüsselt gespeichert, je Kunde gebunden; der Schlüssel liegt getrennt von der Datenbank. Sie werden nie angezeigt oder zurückgegeben.

Trennung

Daten verschiedener Betriebe sind logisch getrennt (siehe oben). Entwicklung und Tests laufen mit Testdaten, getrennt vom Betrieb.

2. Integrität

Weitergabe

Alle Verbindungen sind mit TLS verschlüsselt (HTTPS mit HSTS). Datenbankverbindungen laufen nur im privaten Netz.
Datensicherungen werden vor dem Speichern mit AES-256 verschlüsselt.
E-Mails werden über einen Versanddienst mit SPF, DKIM und DMARC versendet.
Verbindungen zum Postfach des Kunden nur verschlüsselt (IMAP über TLS, SMTP mit TLS bzw. STARTTLS) mit Prüfung des Zertifikats. Absender eingehender Mails werden per DKIM geprüft; ohne Bestätigung antwortet der Assistent nur nach Freigabe durch den Kunden.
Webhooks gehen nur an HTTPS-Adressen mit gültigem Zertifikat, nie an interne Netze; jede Meldung ist mit einem Geheimnis des Kunden signiert (HMAC-SHA256). Exporte stehen nur Admins des Kunden zur Verfügung.

Eingabekontrolle

Änderungen an Terminen werden mit Zeitpunkt und handelnder Person protokolliert. Der Verlauf lässt sich nur ergänzen, nicht ändern.
Eingriffe aus dem Betreiberbereich und Support-Zugänge stehen in einem eigenen Protokoll.

3. Verfügbarkeit und Belastbarkeit

Die Datenbank wird laufend gesichert: Änderungsprotokolle fortlaufend, eine Differenzsicherung täglich, eine Vollsicherung wöchentlich, gespeichert in einem getrennten Objektspeicher (Hetzner, Finnland). Jede Nacht wird eine Kopie dieser verschlüsselten Sicherungen in einen zweiten Objektspeicher bei einem anderen Anbieter übertragen (Scaleway, Frankreich). Die Kopie hat eigene Zugangsdaten, ist versioniert und mit einer Objektsperre geschützt: jede Datei ist 14 Tage nach dem Schreiben weder löschbar noch veränderbar, auch nicht mit den Zugangsdaten des Servers.
Das Zurückspielen von Sicherungen wird regelmäßig geprobt.
Eine Überwachung meldet Ausfälle, ausbleibende Sicherungen, Fehlerquoten und langsame Antworten sofort.
Belastungsgrenzen je Betrieb und je Adresse schützen vor Missbrauch und Überlastung.

4. Löschung und Datensparsamkeit

Chatverläufe und Mails aus dem verbundenen Postfach werden nach einer einstellbaren Frist gelöscht, Bestätigungs- und Erinnerungsmails nach 30 Tagen, Anmelde-Mails nach einem Tag. Bei dauerhaft nicht zustellbaren Adressen bleiben nur Adresse, Art und Datum für die Versandsperre (einstellbar, Standard 90 Tage), der Inhalt wird nach 30 Tagen gelöscht. Zu Terminmails bleiben Betreff, Zeitpunkt und eine Prüfsumme des Textes als Nachweis, welcher Text verschickt wurde.
Kontakte aus abgebrochenen Buchungen, die sonst nirgends verwendet werden, werden nach 7 Tagen anonymisiert. Alle Löschfristen gelten auch für pausierte und geschlossene, noch nicht gelöschte Betriebe.
Kunden lassen sich im Portal auf Wunsch löschen. Termine bleiben dann nur anonym für die Statistik erhalten.
Nachsorge: Nachweise beendeter Einwilligungen werden 3 Jahre nach Widerruf oder Löschung gelöscht, das Protokoll der Nachsorge-Mails nach 3 Jahren, Abmeldelinks nach 2 Jahren. Die Nachweise sind für die Anwendung nur ergänzbar, nicht änderbar. Abmeldelinks liegen nur als Prüfwert (SHA-256) in der Datenbank; der Pfad der Ein-Klick-Abmeldung wird nicht protokolliert. Klicks auf den Bewertungslink werden nicht erfasst.
Fragebögen: vertrauliche Antworten werden nach einer einstellbaren Frist gelöscht (Standard 3 Jahre nach dem letzten Termin des Kunden, 1 Monat bis 10 Jahre), sofort bei Widerruf, außer der Betrieb hat eine gesetzliche Aufbewahrungspflicht markiert (dann gesperrt bis Fristende, nicht mehr angezeigt oder verwendet); übrige Antworten nach einer einstellbaren Frist ab dem letzten Termin (Standard 24 Monate). Nachweise der Einwilligung und das Protokoll des Anzeigens nach 3 Jahren; die Anwendung kann sie nur ergänzen, nicht ändern.
Das KI-Modell erhält nur die Daten, die für das jeweilige Gespräch nötig sind, nie vertrauliche Fragebogen-Antworten. Chat-Nachrichten, die der Betrieb als vertraulich markiert, gehen in späteren Runden nicht mehr an das Modell; im Portal sind sie nur für Berechtigte und erst nach Klick sichtbar (protokolliert).
Mitarbeiter ändern Termine anderer Mitarbeiter nur mit eigenem Recht, das ein Admin vergibt.
Kalender-Abo-Links je Mitarbeiter liegen nur als Prüfwert (SHA-256) in der Datenbank, enthalten nur Leistung, Zeit, Ort-Art und den Vornamen des Kunden, ihr Pfad wird nicht protokolliert; ein neuer Link macht den alten sofort ungültig.

5. Regelmäßige Überprüfung

Jede Änderung am Code durchläuft automatische Tests, darunter Tests der Trennung zwischen Betrieben, und eine Prüfung der Abhängigkeiten auf bekannte Sicherheitslücken.
Server und Software werden mindestens monatlich aktualisiert, Sicherheitsupdates zeitnah.
Vor jeder Änderung an der Datenbank wird eine Sicherung erstellt.
Diese Maßnahmen werden bei wesentlichen Änderungen, mindestens jährlich, überprüft.

6. Auftragskontrolle

Alle Personen mit Zugang zu Daten sind schriftlich zur Vertraulichkeit verpflichtet; bei Kunden mit Berufsgeheimnis (§ 203 StGB) zusätzlich zur Verschwiegenheit über fremde Geheimnisse mit Belehrung über die Strafbarkeit (§ 203 Abs. 4 StGB), ebenso Unterauftragnehmer.
Unterauftragnehmer werden nur nach Art. 28 DSGVO eingesetzt und sind in Anlage 2 aufgeführt.
leanframe verarbeitet Daten nur im Rahmen der Weisungen des Kunden.