Technische und organisatorische Maßnahmen

Anlage zum Auftragsverarbeitungsvertrag nach Art. 32 DSGVO.

Stand: 09.09.2026 · Contently Kundenverwaltung

Dieses Dokument beschreibt den tatsächlichen Stand der Software. Es ist die

einzige Anlage, die nicht von einer Vorlage stammt, sondern aus dem Quellcode.

1. Zutrittskontrolle

Der Server steht bei [HOSTER EINTRAGEN] in [STANDORT, EU]. Der

physische Zutritt wird vom Rechenzentrumsbetreiber kontrolliert; dessen

Zertifizierungen sind als Unteranlage beizufügen.

2. Zugangskontrolle

• Anmeldung ausschließlich über E-Mail und Passwort. Kein Zugang ohne Konto.
• Passwörter werden nie im Klartext gespeichert, sondern als PBKDF2-HMAC-SHA256

mit 200.000 Iterationen und einem eigenen, zufälligen Salz je Konto.

• Mindestlänge 10 Zeichen für Mitarbeitende, 8 Zeichen für Model-Zugänge.
• Nach acht Fehlversuchen wird die Anmeldung je Gegenstelle fünf Minuten

gesperrt. Anmeldungen von Mitarbeitenden und von Models werden getrennt

gezählt.

• Sitzungen laufen über signierte Cookies (HMAC-SHA256), sind auf 30 Tage

begrenzt, HttpOnly, SameSite=Lax und über HTTPS zusätzlich Secure.

• Die Signatur ist an den Passwort-Hash gebunden: Ein Passwortwechsel, ein

Sperren oder ein Zurücksetzen beendet alle laufenden Sitzungen sofort.

3. Zugriffskontrolle

• Rollenmodell: Betreiber, Inhaber, Mitarbeiter, Model. Jede Rolle sieht nur,

was ihre Aufgabe erfordert.

• Ein Model sieht ausschließlich die eigenen Einsätze, Honorare, Skripte und

die ihr zugeordneten Videos. Kein Zugriff auf Kunden, Rechnungen, Umsätze

oder andere Models.

• Model-Zugänge sind technisch von den Mitarbeiterzugängen getrennt; ein

Model-Cookie öffnet keine einzige Verwaltungsfunktion.

4. Trennung der Auftraggeber (Mandantentrennung)

• Jede Datentabelle führt eine Kennung der Firma (firma_id).
• Jede lesende Abfrage filtert darauf; jedes Ändern und Löschen verlangt

zusätzlich die Übereinstimmung der Firma.

• Ein Zugriff auf einen fremden Datensatz endet mit „nicht gefunden", nicht mit

fremden Daten.

• Geprüft wurde: Lesen, Ändern und Löschen fremder Kunden, Anlegen von

Terminen bei fremden Kunden, Herunterladen fremder Rechnungsbelege,

Zuordnen fremder Videos, Wechsel der Firma und Einsicht in fremde

Nutzerlisten. Alle Versuche werden abgewiesen.

5. Weitergabekontrolle

• Übertragung ausschließlich über HTTPS (TLS), erzwungen über

Strict-Transport-Security mit einer Gültigkeit von einem Jahr.

• Der Browser erhält bei jeder Antwort eine Content-Security-Policy, die

ausschließlich eigene Inhalte zulässt (default-src 'self'), fremde

Skripte und Objekte ausschließt und das Einbetten der Anwendung in

fremde Seiten verbietet (frame-ancestors 'none', zusätzlich

X-Frame-Options: DENY).

• Schreibende Zugriffe (POST, PUT, DELETE) werden abgewiesen, wenn sie von

einer fremden Herkunft ausgelöst wurden. Zusammen mit SameSite=Lax

besteht damit ein zweifacher Schutz gegen untergeschobene Anfragen (CSRF).

• Hochgeladene Logos werden anhand ihres Dateiinhalts geprüft; zugelassen

sind ausschließlich PNG und JPEG. SVG wird abgewiesen, da es Skripte

enthalten kann.

• Video-Freigabelinks enthalten eine zufällige, nicht erratbare Kennung und

lassen sich jederzeit einzeln sperren. Aufrufe werden gezählt.

• Es findet keine Übermittlung an Dritte statt außer an die unter

„Unterauftragsverarbeiter" genannten Dienstleister.

6. Eingabekontrolle

• Anlage- und Änderungszeitpunkte werden je Datensatz gespeichert.
• Der Zeitpunkt der letzten Anmeldung wird je Konto festgehalten.
• Zugriffe auf den Server werden protokolliert.

*Offen: Ein revisionssicheres Änderungsprotokoll je Datensatz besteht noch

nicht. Vor einer Zusage gegenüber Auftraggebern ist dies zu ergänzen oder

ausdrücklich auszunehmen.*

7. Verfügbarkeitskontrolle

• Datenbank im Modus synchronous = FULL: Jede Buchung ist beim Zurückmelden

auf dem Datenträger, auch bei Stromausfall.

• Sicherungen über die Backup-Funktion von SQLite, dadurch in sich stimmig

auch im laufenden Betrieb. Jede Sicherung wird auf Lesbarkeit geprüft.

• Aufbewahrung der letzten 30 Sicherungen.

*Offen: Sicherungen müssen auf ein zweites, räumlich getrenntes System

gespiegelt werden. Solange sie nur auf demselben Datenträger liegen, ist die

Verfügbarkeit bei Hardwaredefekt nicht gewährleistet.*

8. Löschung und Datenübertragbarkeit

• Vollständiger Export aller Daten eines Auftraggebers als JSON-Datei,

jederzeit selbst auslösbar (Art. 20 DSGVO).

• Vollständige Löschung eines Auftraggebers samt aller Dateien auf dem

Datenträger, in einem Schritt (Art. 17 DSGVO).

• Beim Löschen eines Kunden werden dessen Videos und Belege mit entfernt.

9. Unterauftragsverarbeiter

Dienst	Zweck	Ort
[HOSTER EINTRAGEN]	Betrieb des Servers	[EU-STANDORT]
Stripe Payments Europe, Ltd.	Zahlungsabwicklung	Irland
[OBJEKTSPEICHER, FALLS GENUTZT]	Ablage der Videos	[EU-STANDORT]

Mit jedem dieser Dienstleister ist ein eigener Auftragsverarbeitungsvertrag zu

schließen und dem Auftraggeber auf Verlangen vorzulegen.

10. Bekannte Lücken

Ehrlich benannt, damit sie nicht übersehen werden:

1. Videos und Belege liegen unverschlüsselt im Dateisystem. Bei einem

verschlüsselten Datenträger ist das vertretbar, sollte aber im AVV so

beschrieben werden.

2. Kein Zwei-Faktor-Schutz für Mitarbeiterkonten.

3. Kein automatisches Löschkonzept nach Ablauf von Aufbewahrungsfristen.

4. Sicherungen liegen ohne zusätzliche Verschlüsselung vor.

5. Video-Freigabelinks sind bewusst ohne Anmeldung abrufbar, damit

Auftraggeber sie weiterreichen können. Wer die Kennung kennt, sieht das

Video, solange der Link nicht gesperrt ist.