Datenschutz & Compliance

Inhaltsverzeichnis

1. 01Auftragsverarbeitungsvertrag (AVV)
2. 02Technische und organisatorische Maßnahmen (TOMs)
3. 03Subunternehmerverzeichnis
4. 04Lösch- und Aufbewahrungskonzept
5. 05Security Whitepaper

Vertragsparteien

Dieser Auftragsverarbeitungsvertrag wird geschlossen zwischen

KoBay Solutions UG (haftungsbeschränkt)
Walddörferstraße 416, 22047 Hamburg
(nachfolgend „Auftragnehmer“)

und

dem jeweiligen Kunden von AllinOne Immo
gemäß den im Rahmen der Registrierung angegebenen Kontaktdaten
(nachfolgend „Auftraggeber“)

gemeinsam auch „Parteien“ genannt.

Präambel

Der Auftraggeber nutzt die Softwareplattform „AllinOne Immo“ zur Verwaltung von Immobilien, Mietverhältnissen, Verträgen, Dokumenten, Nebenkostenabrechnungen, Kommunikationsvorgängen sowie weiterer immobilienbezogener Prozesse. Soweit der Auftragnehmer im Rahmen der Leistungserbringung personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, schließen die Parteien diesen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Die Regelungen dieses Vertrages haben Vorrang vor abweichenden Regelungen in sonstigen zwischen den Parteien geschlossenen Vereinbarungen, soweit es die Auftragsverarbeitung betrifft.

§1 Gegenstand der Verarbeitung

(1) Gegenstand der Auftragsverarbeitung ist die Bereitstellung und der Betrieb der cloudbasierten Softwareplattform „AllinOne Immo“. Die Verarbeitung personenbezogener Daten umfasst folgende Leistungsbereiche:

• Immobilien- und Objektverwaltung
• Mieterverwaltung und Mietverhältnisse
• Dokumentenmanagement und Dokumentenverarbeitung
• Nebenkostenabrechnung und Heizkostenabrechnung
• Buchhaltung, Zahlungsverarbeitung und Finanzübersichten
• Kommunikation mit Mietern, Eigentümern und Dienstleistern
• KI-gestützte Analyse-, Extraktions- und Assistenzfunktionen
• Archivierung und Datensicherung
• Reporting und Exportfunktionen

(2) Die Verarbeitung erfolgt ausschließlich zur Erfüllung der im Hauptvertrag vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.

(3) Der Auftragnehmer verarbeitet die Daten auf Systemen von Microsoft Azure innerhalb der Europäischen Union (primär: West Europe / North Europe).

§2 Dauer der Verarbeitung

(1) Die Auftragsverarbeitung beginnt mit dem Abschluss des Hauptvertrages und endet mit dessen Beendigung.

(2) Nach Vertragsende gelten die Regelungen zur Datenlöschung und Datenrückgabe gemäß §13 fort.

§3 Art und Zweck der Verarbeitung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zu folgenden Zwecken:

• Speicherung, Organisation und Strukturierung der Daten des Auftraggebers
• Berechnung, Auswertung und Darstellung im Rahmen der Plattformfunktionen
• Bereitstellung über die webbasierte Benutzeroberfläche
• Sicherung und Archivierung der Daten
• Übertragung auf Weisung des Auftraggebers (z. B. Exportfunktionen)
• Löschung gemäß den vereinbarten Fristen
• KI-gestützte Verarbeitung von Dokumenten und Texten auf Veranlassung des Auftraggebers

(2) Eine Verarbeitung zu eigenen Zwecken, insbesondere für Werbemaßnahmen, Profilbildung oder Weitergabe an Dritte, findet ausdrücklich nicht statt.

§4 Kategorien betroffener Personen

Von der Verarbeitung können insbesondere folgende Personengruppen betroffen sein:

• Mieter und ehemalige Mieter
• Mietinteressenten
• Wohnungseigentümer und Eigentümergemeinschaften (WEG)
• Bevollmächtigte und gesetzliche Vertreter
• Dienstleister, Handwerker und Lieferanten
• Geschäftspartner des Auftraggebers
• Mitarbeiter und Nutzer des Auftraggebers
• Sonstige Kontaktpersonen im Rahmen der Immobilienverwaltung

§5 Kategorien personenbezogener Daten

Je nach Nutzung der Plattform können insbesondere folgende Datenkategorien verarbeitet werden:

• Stammdaten: Vor- und Nachname, Geburtsdatum, Anschrift
• Kontaktdaten: Telefonnummer, Mobilfunknummer, E-Mail-Adresse
• Vertragsdaten: Mietverträge, Nutzungsverträge, Verwaltungsverträge, Laufzeiten und Konditionen
• Zahlungs- und Finanzdaten: Bankverbindungen (IBAN, BIC), Zahlungsströme, Buchungsdaten, Forderungen, Verbindlichkeiten
• Abrechnungsdaten: Betriebs- und Nebenkostenabrechnungen, Heizkostenabrechnungen, Verbrauchsdaten, Zählerstände
• Kommunikationsdaten: Nachrichten, E-Mails, Gesprächsnotizen, Protokolle
• Dokumenteninhalte: Hochgeladene Dokumente und deren durch KI extrahierte Inhalte

§6 Weisungsrecht

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch das Recht der EU oder der Bundesrepublik Deutschland zur Verarbeitung verpflichtet.

(2) Die Nutzung der Plattform sowie die darin ausgelösten Verarbeitungsschritte (z. B. Hochladen von Dokumenten, Auslösen von KI-Analysen, Exportvorgänge) gelten als dokumentierte Weisung im Sinne des Art. 28 Abs. 3 lit. a DSGVO.

(3) Mündliche Weisungen, die über den regulären Plattformbetrieb hinausgehen, sind unverzüglich in Textform zu bestätigen.

(4) Hält der Auftragnehmer eine Weisung für einen Verstoß gegen datenschutzrechtliche Bestimmungen, informiert er den Auftraggeber unverzüglich und kann die Ausführung bis zur Bestätigung aussetzen.

§7 Vertraulichkeit

(1) Der Auftragnehmer stellt sicher, dass alle zur Verarbeitung befugten Personen auf Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung des Vertragsverhältnisses fort.

§8 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen. Die geltenden Maßnahmen sind in Abschnitt 02 — TOMs dieses Dokuments beschrieben.

(2) Der Auftragnehmer ist berechtigt, die Maßnahmen weiterzuentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Auftraggeber mitgeteilt.

§9 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO. Das aktuelle Verzeichnis ist in Abschnitt 03 — Subunternehmerverzeichnis enthalten.

(2) Der Auftragnehmer informiert den Auftraggeber rechtzeitig über Änderungen. Der Auftraggeber kann innerhalb von 30 Tagen nach Bekanntgabe schriftlich widersprechen, sofern sachliche datenschutzrechtliche Gründe vorliegen.

(3) Unterauftragsverarbeiter in Drittländern außerhalb der EU/des EWR werden ausschließlich auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 DSGVO eingesetzt.

§10 Unterstützungspflichten des Auftragnehmers

(1) Der Auftragnehmer unterstützt den Auftraggeber, soweit technisch möglich und wirtschaftlich zumutbar, insbesondere bei:

• Auskunftsersuchen, Berichtigungen, Löschungen und Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Durchführung von Datenschutz-Folgenabschätzungen (DSFA)
• Beantwortung von Behördenanfragen
• Meldung und Dokumentation von Datenschutzverletzungen

(2) Für Leistungen, die über den regulären Plattformbetrieb hinausgehen, kann eine angemessene Vergütung auf Stundenbasis in Rechnung gestellt werden.

§11 Meldung von Datenschutzverletzungen

(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten.

(2) Die Meldung enthält mindestens: Art des Vorfalls, betroffene Daten, Kategorien und Anzahl betroffener Personen (soweit bekannt), wahrscheinliche Konsequenzen sowie ergriffene Maßnahmen.

(3) Die Meldung erfolgt an die im Account hinterlegte Administrator-E-Mail-Adresse.

§12 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber ist berechtigt, die Einhaltung der datenschutzrechtlichen Anforderungen zu überprüfen.

(2) Prüfungen sind mit mindestens 14 Werktagen Ankündigungsfrist schriftlich anzukündigen. Pro Kalenderjahr steht dem Auftraggeber eine anlasslose Prüfung zu; weitere Prüfungen bedürfen eines konkreten Anlasses.

(3) Der Auftragnehmer stellt auf Anforderung Zertifizierungen, Audit-Reports oder sonstige Nachweise zur Verfügung.

§13 Datenrückgabe und Löschung

(1) Nach Vertragsende erhält der Auftraggeber für 30 Tage die Möglichkeit zum vollständigen Export seiner Daten in einem maschinenlesbaren Format (CSV, JSON).

(2) Spätestens 90 Tage nach Vertragsende werden alle personenbezogenen Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Details sind in Abschnitt 04 — Lösch- und Aufbewahrungskonzept beschrieben.

(3) Die vollständige Löschung wird dem Auftraggeber auf Anforderung schriftlich bestätigt.

§14 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie den Haftungsregelungen des Hauptvertrages. Im Innenverhältnis richtet sich die Aufteilung nach dem jeweiligen Verursachungsbeitrag.

§15 Schlussbestimmungen

(1) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland. Gerichtsstand ist Hamburg, soweit gesetzlich zulässig.

(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Änderungen und Ergänzungen bedürfen der Textform.

1. Zutrittskontrolle

Maßnahmen zur Verhinderung des unbefugten physischen Zugangs zu Datenverarbeitungsanlagen.

Die Plattform wird vollständig in der Cloud betrieben; es existieren keine eigenen physischen Serverräume des Auftragnehmers. Microsoft gewährleistet die physische Sicherheit durch:

• Mehrstufige physische Zugangskontrollen (Biometrie, Chipkarten, Sicherheitspersonal)
• 24/7-Videoüberwachung der Rechenzentren
• Georedundante Rechenzentren innerhalb der EU (West Europe / North Europe)
• Regelmäßige Sicherheitsaudits und Zertifizierungen (ISO 27001, SOC 1/2)

2. Zugangskontrolle

Maßnahmen zur Verhinderung der Nutzung von Datenverarbeitungssystemen durch Unbefugte.

• Authentifizierung aller Nutzer über das System „Better Auth“
• Single Sign-On (SSO) über Microsoft Entra ID
• Passwörter ausschließlich als bcrypt-Hash gespeichert (kein Klartext)
• Mehr-Faktor-Authentifizierung (MFA) für alle Konten unterstützt
• Automatisches Session-Timeout nach Inaktivität
• Brute-Force-Schutz durch Rate-Limiting auf Authentifizierungsendpunkten
• Alle Verbindungen ausschließlich über TLS 1.2 oder höher (HTTPS)
• HTTP Strict Transport Security (HSTS) aktiviert

3. Zugriffskontrolle

Maßnahmen zur Sicherstellung, dass Berechtigte ausschließlich auf die ihrer Berechtigung unterliegenden Daten zugreifen können.

• Rollen- und Berechtigungskonzept (RBAC) auf Anwendungsebene
• Mandantentrennung auf Datenbankebene durch PostgreSQL Row Level Security (RLS): alle mandantenbezogenen Tabellen tragen eine organizationId-Spalte; RLS-Policies erzwingen, dass Abfragen ausschließlich auf Datensätze der eigenen Organisation zugreifen
• Alle API-Endpunkte prüfen zusätzlich zur Datenbankebene die Organisationszugehörigkeit
• Minimalprinzip (Least Privilege): Nutzer erhalten nur die für ihre Rolle notwendigen Rechte
• Azure Blob Storage: Zugriff nur über zeitlich begrenzte, signierte URLs (SAS Tokens)
• Keine öffentlichen Storage-Endpunkte

4. Weitergabekontrolle

Maßnahmen zur Sicherstellung, dass Daten bei der Übertragung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

• Alle Datenübertragungen zwischen Client und Server über TLS 1.2+
• Interne Service-zu-Service-Kommunikation über verschlüsselte Azure-Kanäle
• Export-Funktionen stehen ausschließlich authentifizierten und autorisierten Nutzern zur Verfügung
• KI-Anfragen an Drittanbieter über deren offizielle, verschlüsselte APIs
• Keine Weitergabe von Daten an Dritte außerhalb des Subunternehmerverzeichnisses

5. Eingabekontrolle (Audit Logging)

Maßnahmen zur Nachvollziehbarkeit, ob und von wem Daten eingegeben, verändert oder entfernt worden sind.

• Unveränderliches Audit-Log-System für alle sicherheits- und finanziell relevanten Nutzeraktionen
• Protokollierte Ereignisse: Anmeldungen, Dateiuploads, Abrechnungserstellungen, Datenexporte, administrative Aktionen, KI-Verarbeitungsaufträge
• Jeder Audit-Eintrag enthält: Zeitstempel (UTC), Nutzer-ID, Organisations-ID, Aktion, betroffene Ressource
• Audit-Einträge können durch keine Nutzerrolle gelöscht oder verändert werden
• Aufbewahrung der Audit-Logs für mindestens 90 Tage
• Schutz gegen SQL-Injection durch ausschließliche Nutzung parametrisierter Datenbankabfragen

6. Auftragskontrolle

• Schriftliche Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern gemäß Art. 28 DSGVO
• KI-Funktionen werden ausschließlich auf explizite Nutzeraktion ausgeführt, nicht automatisch
• Keine eigenverantwortliche Verarbeitung von Kundendaten zu eigenen Zwecken

7. Verfügbarkeitskontrolle

• Automatisierte Datenbank-Backups: tägliche vollständige Snapshots, Point-in-Time-Recovery (PITR) für 35 Tage
• Azure Blob Storage: Georedundante Speicherung (GRS) aller hochgeladenen Dokumente
• Infrastruktur mit garantierter SLA-Verfügbarkeit ≥ 99,9 %
• Monitoring und automatische Alarmierung bei Systemausfällen
• Dokumentiertes Notfallwiederherstellungskonzept (Disaster Recovery Plan)
• DDoS-Schutz durch Azure DDoS Protection

8. Trennungskontrolle

• Vollständige mandantenseitige Datentrennung über organizationId auf allen mandantenbezogenen Tabellen
• PostgreSQL RLS erzwingt die Trennung auf Datenbankebene systembedingt
• Produktions-, Staging- und Entwicklungsumgebungen sind strikt voneinander getrennt
• Testumgebungen enthalten keine echten Produktionsdaten

9. Verschlüsselung

• Transport: TLS 1.2 / TLS 1.3 für alle Verbindungen; HSTS aktiviert
• Datenbank at rest: AES-256 (Azure-managed, Azure PostgreSQL Flexible Server)
• Dokumentenspeicher at rest: AES-256 (Azure Blob Storage, serverseitig)
• Passwörter: bcrypt-Hashwert (Cost-Factor ≥ 12)
• API-Schlüssel und Secrets: Azure Key Vault / Umgebungsvariablen mit eingeschränktem Zugriff

10. Sicherheitsorganisation

• Benannter Datenschutzverantwortlicher
• Dokumentierter Prozess zur Behandlung von Datenschutzverletzungen
• Code-Review-Prozess mit Sicherheitsprüfung vor Produktionsdeployments
• Dependency-Scanning auf bekannte Sicherheitslücken (CVE-Monitoring)
• Geplant: Regelmäßige externe Penetrationstests

Microsoft Azure

Anbieter: Microsoft Ireland Operations Limited — Sitz: Irland (EU); Rechenzentren: West Europe, North Europe

Zweck: Cloud-Infrastruktur — Hosting der Webanwendung und API, PostgreSQL-Datenbankbetrieb (Azure Database for PostgreSQL Flexible Server), Dokumentenspeicherung (Azure Blob Storage), Netzwerk, TLS-Terminierung, Monitoring.

Datenkategorien: Alle Datenkategorien gemäß §5 AVV.

Drittlandtransfer: Kein Transfer — Verarbeitung ausschließlich innerhalb der EU.

Rechtsgrundlage: Art. 28 DSGVO; Microsoft Data Processing Agreement (DPA); EU-Standardvertragsklauseln (ergänzend für US-Konzernstrukturen).

OpenAI

Anbieter: OpenAI, L.L.C. — Sitz: USA

Zweck: KI-gestützte Dokumentenverarbeitung — Extraktion strukturierter Daten aus Betriebskosten- und Heizkostenabrechnungen, Dokumentenanalyse, Textklassifikation. Verarbeitung erfolgt ausschließlich auf explizite Nutzeraktion.

Datenkategorien: Inhalte hochgeladener Dokumente; ggf. darin enthaltene personenbezogene Daten der in §4 AVV genannten Personengruppen. API-Eingaben werden nicht für das Training von Modellen verwendet.

Drittlandtransfer: USA — Rechtsgrundlage: Art. 46 Abs. 2 lit. c DSGVO; EU-Standardvertragsklauseln (SCC); OpenAI Data Processing Addendum.

Anthropic

Anbieter: Anthropic, PBC — Sitz: USA

Zweck: KI-gestützte Dokumentenverarbeitung (alternativ zu OpenAI) — Extraktion strukturierter Daten, Dokumentenanalyse, Assistenzfunktionen. Verarbeitung erfolgt ausschließlich auf explizite Nutzeraktion.

Datenkategorien: Inhalte hochgeladener Dokumente; ggf. darin enthaltene personenbezogene Daten der in §4 AVV genannten Personengruppen. API-Eingaben werden nicht für das Training von Modellen verwendet.

Drittlandtransfer: USA — Rechtsgrundlage: Art. 46 Abs. 2 lit. c DSGVO; EU-Standardvertragsklauseln (SCC); Anthropic Data Processing Addendum.

Weitere Unterauftragsverarbeiter

• E-Mail-Dienstleister: Transaktionale E-Mails (Registrierungsbestätigungen, Passwort-Resets, Systemnachrichten); Datenkategorien: E-Mail-Adressen, ggf. Namen der Empfänger.
• Zahlungsdienstleister: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland — Zahlungsabwicklung für Abonnements und Lizenzgebühren; Datenkategorien: Zahlungsdaten der Auftraggeber, Rechnungsadresse; Rechtsgrundlage Drittlandtransfer (US-Muttergesellschaft): EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.

Löschfristen nach Datenkategorie

• Mieterdaten (aktive Mietverhältnisse): Für Dauer des Mietverhältnisses + bis zu 3 Jahre — § 195 BGB
• Mieterdaten (beendete Mietverhältnisse): 3 Jahre nach Mietverhältnisende — § 195 BGB
• Vertragsdokumente (Mietverträge): 10 Jahre nach Vertragsende — § 257 HGB; § 147 AO
• Betriebs- und Heizkostenabrechnungen: 10 Jahre — § 257 HGB; § 147 AO; GoBD
• Buchungsdaten, Zahlungsbelege, Rechnungen: 10 Jahre — § 257 HGB; § 147 AO; GoBD
• Bankverbindungen: 3 Jahre nach letzter Transaktion — § 195 BGB
• Kommunikationsdaten: 3 Jahre; handelsrechtlich relevante Korrespondenz: 6 Jahre
• Übergabeprotokolle: 3–5 Jahre nach Ende des Mietverhältnisses
• Audit-Log-Einträge: Mindestens 90 Tage; sicherheitsrelevante Einträge bis zu 1 Jahr
• Session-Tokens: Invalidierung nach Sitzungsende bzw. nach 30 Tagen
• Plattform-Nutzungslogs: 90 Tage

Exportmöglichkeiten

Auftraggeber können ihre Daten jederzeit während der aktiven Vertragslaufzeit exportieren. Verfügbare Formate:

• Abrechnungsdaten: CSV (Generic, DATEV, Lexoffice)
• Mieterabrechnungen: PDF-Export
• Stamm- und Strukturdaten: JSON-Export auf Anforderung
• Dokumente: Einzeldownload oder ZIP-Archiv

Nach Vertragsende steht eine Exportfrist von 30 Tagen zur Verfügung.

Backup-Lebenszyklen

Datenbank

Tägliche vollständige Snapshots über Azure PostgreSQL Flexible Server; Point-in-Time-Recovery (PITR) für 35 Tage; georedundante Speicherung innerhalb der EU; automatische Überschreibung nach Ablauf der Aufbewahrungsfrist.

Dokumente (Azure Blob Storage)

Georedundante Speicherung (GRS); Soft-Delete: gelöschte Dateien 30 Tage wiederherstellbar; nach Ablauf der Soft-Delete-Periode endgültige Löschung.

Die vollständige Löschung aller Mandantendaten — einschließlich aller Backups — ist spätestens 90 Tage nach Vertragsende abgeschlossen. Dieser Zeitraum ergibt sich aus: 30 Tage Exportfrist + 35 Tage PITR-Retention + 30 Tage Soft-Delete.

Verfahren bei Vertragsende

1. Zugriffsstopp: Neue Anmeldungen werden gesperrt; aktive Sessions invalidiert.
2. Exportfrist (30 Tage): Eingeschränkter Lesezugriff ausschließlich zum Datenexport; keine neuen Verarbeitungsschritte möglich.
3. Datenlöschung (innerhalb 90 Tage): Alle personenbezogenen Daten werden unwiderruflich gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
4. Löschbestätigung: Auf Anforderung des Auftraggebers schriftlich.

Reaktivierung

Eine Reaktivierung ist innerhalb der 30-tägigen Exportfrist möglich. Nach Einleitung des Löschprozesses ist eine Reaktivierung ausgeschlossen. Bereits gelöschte Daten stehen nicht mehr zur Verfügung.

Gesetzliche Aufbewahrungspflichten

Steuerrechtlich relevante Unterlagen (insbesondere Rechnungen, Buchungsbelege, Betriebskostenabrechnungen) unterliegen einer Aufbewahrungspflicht von 10 Jahren nach § 257 HGB und § 147 AO. Diese Daten werden bis zum Ablauf der Frist sicher und vertraulich aufbewahrt und danach endgültig gelöscht.

1. Systemarchitektur

Die gesamte Infrastruktur wird auf Microsoft Azure betrieben. Es werden ausschließlich Azure-Regionen innerhalb der Europäischen Union genutzt (primär West Europe / Amsterdam, sekundär North Europe / Dublin). Eine Verarbeitung oder Speicherung von Produktionsdaten in Drittländern findet — mit Ausnahme der KI-Drittanbieter für explizit ausgelöste KI-Verarbeitungen — nicht statt.

Technologie-Stack

• Frontend: Next.js (TypeScript) — SSR; kein direkter Datenbankzugriff vom Client
• API / Backend: Hono (TypeScript) — typsicheres API; serverseitige Validierung aller Eingaben
• Datenbank: PostgreSQL (Azure Flexible Server) — Row Level Security; AES-256 at rest
• Authentifizierung: Better Auth + Microsoft Entra ID — Session-basiert; MFA; SSO
• Dokumentenspeicher: Azure Blob Storage — GRS; AES-256; Zugriff nur via SAS-Token
• Hosting: Microsoft Azure (EU) — ISO 27001; SOC 2; BSI C5

2. Multi-Tenancy und Mandantentrennung

Datenbankebene — PostgreSQL Row Level Security (RLS)

Alle mandantenbezogenen Tabellen tragen eine organizationId-Spalte. RLS-Policies stellen sicher, dass Datenbankabfragen systembedingt ausschließlich Datensätze der eigenen Organisation zurückgeben — unabhängig von der Anwendungslogik. Selbst ein Programmierfehler in der Anwendungsschicht kann keine Daten eines anderen Mandanten zurückgeben.

Anwendungsebene

Alle API-Endpunkte verifizieren zusätzlich die Organisationszugehörigkeit. Unbefugte Zugriffsversuche werden mit HTTP 403 abgelehnt und im Audit-Log protokolliert.

Dokumentenspeicher

Dokumente in Azure Blob Storage mit mandantenspezifischen Pfadstrukturen; Zugriff nur über signierte SAS-URLs (Gültigkeit: typisch 15 Minuten).

3. Authentifizierung und Zugangsverwaltung

• Session-basierte Authentifizierung; Tokens serverseitig verwaltet und invalidiert
• SSO über Microsoft Entra ID: zentrale Identitätsverwaltung, Conditional Access, automatische Deaktivierung bei Ausscheiden eines Mitarbeiters
• MFA für alle Konten unterstützt; bei Entra-ID-SSO gelten die MFA-Richtlinien des Auftraggebers
• Brute-Force-Schutz: Rate-Limiting und temporäre Kontosperrung nach wiederholten Fehlversuchen
• RBAC (Least Privilege): Nutzer erhalten nur rollennotwendige Berechtigungen; mandantenübergreifende Übertragung nicht möglich

4. Verschlüsselung

• Transport (in transit): TLS 1.2 / TLS 1.3 — HTTPS für alle Verbindungen; HSTS aktiviert
• Datenbank at rest: AES-256 (Azure-managed) — Azure PostgreSQL Flexible Server
• Dokumentenspeicher at rest: AES-256 (Azure-managed) — Azure Blob Storage, serverseitig
• Passwörter: bcrypt (Cost-Factor ≥ 12) — kein Klartext; keine reversible Verschlüsselung
• Secrets / API-Keys: Azure Key Vault / Env-Secrets — kein Credentials im Quellcode
• Dokumentenzugriff: HMAC-signierte SAS-URLs — zeitlich begrenzt (15 min)

5. Audit-Logging und Auditierbarkeit

Unveränderliches Audit-Log-System für alle sicherheits- und compliance-relevanten Aktionen:

• Nutzeranmeldungen, Dokumentenuploads, Abrechnungserstellungen, KI-Verarbeitungsaufträge, Datenexporte, administrative Aktionen, unbefugte Zugriffsversuche
• Jeder Eintrag: UTC-Zeitstempel, Nutzer-ID, Organisations-ID, Aktionstyp, betroffene Ressource, IP-Adresse
• Audit-Einträge können durch keine Nutzerrolle gelöscht oder verändert werden
• Aufbewahrung mindestens 90 Tage; längere Archivierung auf Anforderung vereinbar

6. Backup und Disaster Recovery

• RPO: ≤ 24 Stunden (tägliche Backups); ≤ 5 Minuten bei PITR
• RTO: typisch 2–4 Stunden bei Datenbankwiederherstellung
• Georedundante Datenbank-Backups; Point-in-Time-Recovery für 35 Tage
• Azure Blob Storage GRS: automatische Replikation in sekundäre Azure-EU-Region
• Regelmäßige Tests der Wiederherstellungsprozeduren
• Incident Response Plan dokumentiert; Meldung von Datenschutzverletzungen gemäß §11 AVV

7. KI-Funktionen: Sicherheit und Datenschutz

• Explizite Nutzeraktion erforderlich: Keine automatische oder permanente Übertragung von Dokumenteninhalten an KI-Anbieter
• Kein KI-Training mit Kundendaten: Weder OpenAI noch Anthropic verwenden API-Eingaben für das Training von Modellen
• Rechtsgrundlage Drittlandtransfer: EU-Standardvertragsklauseln (SCC) und DPAs der Anbieter
• Keine automatische Buchung: KI-Ergebnisse werden vor Übernahme zur manuellen Prüfung und Freigabe vorgelegt
• Vollständige Protokollierung: Alle KI-Aufträge im Audit-Log (Zeitpunkt, Nutzer, Dokument, Anbieter)

8. Compliance und Zertifizierungen

Datenschutzrechtlich

DSGVO-konforme Verarbeitung gemäß Art. 5, 24, 25, 32 DSGVO; AVV nach Art. 28 DSGVO mit allen Kunden; Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO wird geführt; Meldeverfahren für Datenschutzverletzungen nach Art. 33/34 DSGVO implementiert.

Infrastruktur (Microsoft Azure)

ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 1 Type II, SOC 2 Type II, BSI C5.

Geplant

Regelmäßige externe Penetrationstests durch akkreditierte Sicherheitsdienstleister; Vulnerability-Disclosure-Programm.

9. Sichere Softwareentwicklung

• TypeScript end-to-end: reduziert typische Laufzeitfehlerklassen
• Serverseitige Eingabevalidierung aller API-Endpunkte (Zod)
• ORM (Prisma): verhindert SQL-Injection durch parametrisierte Abfragen
• Code-Review mit Sicherheitsprüfung vor Produktionsdeployments
• Automatisches Dependency-Scanning auf CVEs
• Separierte Umgebungen; keine echten Produktionsdaten in Entwicklung/Staging
• Secrets ausschließlich in Umgebungsvariablen und Azure Key Vault; kein Credentials im Quellcode

Kontakt für Sicherheitsfragen

Bei sicherheitsrelevanten Fragen oder Meldungen von Schwachstellen (Responsible Disclosure) wenden Sie sich bitte an:

KoBay Solutions UG (haftungsbeschränkt)
Walddörferstraße 416, 22047 Hamburg
Sicherheit: security@allinone-immo.de
Datenschutz: datenschutz@allinone-immo.de