Anlage zum Auftragsverarbeitungsvertrag: Technische und organisatorische Maßnahmen

Fassung 2026-09-16-v2 · Alle Vertragsunterlagen

Fassung vom 15. September 2026

1. Geltungsbereich

Die beschriebenen Maßnahmen betreffen die bimetrics-Anwendung, die zugehörige Datenhaltung, den eigenen Sicherungsweg und die technische Betriebsüberwachung. Der Umfang der beauftragten Verarbeitung ergibt sich aus dem Auftragsverarbeitungsvertrag. Die konkret eingesetzten Dienstleister und Verarbeitungsorte werden im zugehörigen Unterauftragnehmerverzeichnis benannt.

Eigene Auswertungszwecke von bimetrics sind in den Datenschutzhinweisen gesondert beschrieben. Aus der Nutzung europäischer Infrastruktur für einzelne Komponenten folgt keine Beschränkung sämtlicher Verarbeitung auf Europa; insbesondere sind die verwendeten KI- und Kommunikationsdienste gesondert zu berücksichtigen.

2. Zugriff auf die Anwendung und Trennung von Kundenbereichen

Der Zugriff auf geschützte Anwendungsfunktionen erfordert eine technische Authentifizierung. Die Anwendung verknüpft den angemeldeten Benutzer mit dem angeforderten Firmenbereich und prüft die aktive Mitgliedschaft sowie die für die Funktion vorgesehenen Rollen. Firmenbezogene API-Schlüssel werden als gesonderte Zugangsart mit begrenztem Funktionsumfang behandelt.

Benutzerpasswörter werden als Hashwerte gespeichert. Die Anwendungsberechtigung wird serverseitig geprüft; die bloße Auswahl einer Firma in der Benutzeroberfläche erteilt keine Zugriffsrechte auf deren Daten.

3. Geschützte Übertragung und Datensicherung

Der öffentliche Zugriff auf die Anwendung erfolgt über HTTPS. Der eigene Datensicherungsweg überträgt Sicherungen über eine SSH-Verbindung auf eine getrennte Hetzner Storage Box. Die Sicherungsdaten werden durch restic verschlüsselt und mit Integritätsprüfungen versehen.

Die lokale Konfiguration dieses Sicherungswegs ist auf dem Produktionsserver nur für den administrativen Systembenutzer lesbar und schreibbar. Auch das Arbeitsverzeichnis für temporäre Datenbankexporte ist diesem Benutzer vorbehalten. Temporäre Exportdateien werden nach erfolgreichem Abschluss des vorgesehenen Sicherungsablaufs entfernt.

Diese Beschreibung der Sicherungsverschlüsselung umfasst nicht automatisch jede produktive Datenbank, jedes Dateisystem oder jede Speicherung bei einem Dienstleister.

4. Sicherung und Wiederherstellung

Der eigene Sicherungsablauf wird stündlich eingeplant. Er umfasst einen konsistenten Export der Anwendungsdatenbank einschließlich der für die Wiederherstellung vorgesehenen Rolleninformationen, den Dokumentenspeicher und die Laufzeitkonfiguration.

Für diesen Sicherungsweg ist eine Rotation mit 48 stündlichen, 30 täglichen, zwölf wöchentlichen und zwölf monatlichen Sicherungsständen eingerichtet. Ein wöchentlicher Bereinigungslauf gibt nicht mehr benötigten Sicherungsspeicher frei; zusätzlich ist eine wöchentliche Integritätsprüfung einer Datenstichprobe vorgesehen. Diese Rotation ist keine gesetzliche Aufbewahrungsfrist für Kundenbelege.

Eine Umstellung auf Sicherungsstände mit einem Höchstalter von 90 Tagen ist technisch vorbereitet, aber noch nicht installiert oder aktiviert. Die neue Auswahl berücksichtigt das tatsächliche Alter der Sicherungen. Störungen der Sicherung oder Bereinigung werden als Fehler behandelt und nachbearbeitet; aus der Vorbereitung entsteht keine Zusage, dass bereits alle älteren Sicherungen entfernt wurden. Sicherungszyklen verlängern eigenständige Lösch- oder Datenabrufpflichten nicht automatisch.

Der Betrieb erfasst den Abschlussstatus und den Zeitpunkt erfolgreicher Sicherungen. Eine technische Sperre verhindert gleichzeitig gestartete eigene Sicherungsläufe. Dokumentierte Wiederherstellungswege sehen die Rückgewinnung von Datenbank, Dokumenten und Konfiguration vor. Die Durchführung vollständiger Wiederherstellungsübungen und gegebenenfalls vertraglich vereinbarte Wiederherstellungsziele werden gesondert dokumentiert; aus dem Stundenrhythmus entsteht kein zugesagtes Wiederherstellungszeitfenster.

Für den 11. September 2026 ist eine erfolgreiche Wiederherstellung der befüllten Anwendungsdatenbank in einer getrennten Testdatenbank mit Tabellenvergleich dokumentiert. Eine Kopie des Sicherungskennworts wird nach dem Betriebsnachweis im Passwortmanager aufbewahrt. Der dokumentierte Datenbanktest umfasst keine vollständige Wiederherstellung aller Dokumentdateien und der gesamten Serverumgebung.

5. Technische Überwachung und Fehlerbehandlung

Die Anwendung besitzt eine technische Bereitschaftsprüfung, die die Erreichbarkeit des vorhandenen Datenbankpools berücksichtigt. Die öffentliche Antwort enthält nur einen festen Verfügbarkeitsstatus und keine Datenbankdetails. Der bestehende externe Verfügbarkeitsmonitor nutzt diese Prüfung.

Der eigene Sicherungsablauf meldet Start und Abschluss an die Betriebsüberwachung. Ein Erfolgsstatus wird erst nach den vorgesehenen Sicherungs-, Aufbewahrungs- und Aufräumschritten gesetzt. Fehler im Versand der Überwachungsmeldung ersetzen nicht den tatsächlichen Fehlerstatus des Sicherungslaufs.

Ausgewählte technische Fehler, etwa bei Belegverarbeitung, Bankabgleich oder Mailzustellung, werden getrennt von erwarteten fachlichen Zuständen erfasst. Diese technische Überwachung ist keine Zusage einer durchgehend besetzten Bereitschaft oder einer bestimmten menschlichen Reaktionszeit.

6. Begrenzung technischer Diagnosedaten

Die Sentry-Integration bereinigt Ereignisse vor der Übertragung anhand festgelegter Datenfelder. Rohinhalte von Belegen, Request- und Response-Inhalte, Header, Cookies und URL-Abfrageparameter werden in diesem Übertragungsweg entfernt. Technische Kennungen, Status- und Versionsinformationen können zur Fehlerzuordnung erhalten bleiben. Solche internen Kennungen sind Pseudonyme und werden nicht als anonyme Daten behandelt.

Für diese Integration sind Sitzungsaufzeichnungen und Profiling deaktiviert. Neue technische Request-Traces werden grundsätzlich mit einer Quote von fünf Prozent erfasst; zusammengehörige Traces können die vorgelagerte Auswahl übernehmen. Zusätzliche lokale Mengenbegrenzungen beschränken die Übertragung. Diese Festlegungen betreffen die genannte Diagnoseintegration und ersetzen keine gesonderte Beschreibung anderer Analyse- oder Supportdienste.

7. Verarbeitungskonsistenz und Änderungen am System

Die Anwendung verwendet Datenbanktransaktionen für zusammengehörige Verarbeitungsschritte. Die gesonderte Auswertungsverarbeitung prüft ihre Eingangsstruktur und veröffentlicht zusammengehörige Tabellen und Tageshistorien in einer gemeinsamen Warehouse-Transaktion, damit Fehler keinen als vollständig ausgegebenen Teilstand hinterlassen.

Der dokumentierte Releaseweg verwendet getrennte Build- und Prüfabläufe sowie festgelegte Quellversionen und Container-Identitäten. Der Zugriff des technischen Deployment-Kontos ist eingeschränkt. Vorhandene Prüf- und Versionsnachweise ermöglichen die Zuordnung eines ausgelieferten Standes zu seiner Quelle.

8. Löschung und unterschiedliche Datenbestände

Die Anwendung unterscheidet zwischen der Schließung eines Unternehmensprofils, einer zulässigen Wiederherstellung und der endgültigen Löschung. Für den koordinierten Release ist ein Ablauf mit 30 Tagen Rückholung über support@bimetrics.de vorbereitet. Der Schließungsvorgang hält die betroffenen Datensätze und ihre vorherigen Löschzustände fest, damit nur die hierdurch entzogenen Daten und zulässigen Zugänge wiederhergestellt werden. Die abschließende Einführung dieses Ablaufs steht noch aus.

Die endgültige Entfernung erfolgt nach Prüfung des betroffenen Unternehmensbereichs, der maßgeblichen Fristen und konkret zulässiger Zurückstellungen. Erfasste Firmenlöschungen werden vom allgemeinen Bereinigungslauf ausgenommen, bis sie über den kontrollierten Vorgang bearbeitet werden. Dateibestände, Dienstleisterdaten und notwendige Nachweise erhalten gesonderte Prüfschritte; der Datenbankabschluss wird nicht mit dem Abschluss aller Empfänger gleichgesetzt. Eine erforderliche frühere Löschung wird gesondert bearbeitet; unabhängige Übergangs- und Abrufrechte bleiben geschützt.

Für die Wiederherstellung aus Sicherungen ist ein außerhalb der zurückgesetzten Datenbank geführtes Löschjournal mit getrennter Sicherung vorbereitet. Der vorgesehene Startabgleich erkennt einen Widerspruch zwischen bestätigten Löschvorgängen und einem älteren Datenbankstand. Vor der Wiederinbetriebnahme werden erfasste Löschungen erneut angewendet und der abgearbeitete Umfang geprüft. Fehlt ein nachweisbarer Endstand des ursprünglichen Journals, wird keine automatische Wiederinbetriebnahme freigegeben. Diese Maßnahmen werden erst mit der abgestimmten Installation und Betriebsprüfung wirksam.

Diese Mechanismen sind kein einheitlicher Löschlauf für sämtliche Empfänger. Nachrichten, Supportvorgänge, Diagnosedaten, Auswertungsereignisse, besondere Nachweisdaten und Sicherungskopien unterliegen jeweils eigenen Abläufen. Die verbindlichen Regeln für Rückgabe, Löschauftrag, Aufbewahrungsausnahmen und verbleibende Sicherungen werden im Auftragsverarbeitungsvertrag und der Exit-Anlage festgelegt. Gesetzliche Aufbewahrungspflichten des Auftraggebers werden durch eine technische Karenz oder Sicherungsrotation nicht ersetzt.

9. Abstimmung mit dem Auftraggeber

Der Auftraggeber verwaltet die von ihm eingeräumten Anwendungszugänge und Rollen im Rahmen der bereitgestellten Funktionen. Anfragen zur Auftragsverarbeitung, Sicherheitsmeldungen und Löschanliegen können an support@bimetrics.de gerichtet werden. Datenschutzkontakt ist Geschäftsführer Kermin Zahirovic; ein Datenschutzbeauftragter ist nicht bestellt. Weisungen und Zuständigkeiten richten sich nach dem Auftragsverarbeitungsvertrag.