Technische und organisatorische Maßnahmen (TOM)

Anlage zum Auftragsverarbeitungsvertrag zwischen Renting & Renting GbR und dem jeweiligen Kunden

Die Maßnahmen gelten für die Plattform venvy. Für die Zusatzmodule „Personal & Zeiterfassung" und „venvy Agent" gelten ergänzend die dortigen Anlagen.

1. Orte der Verarbeitung

Anwendung und Datenbank laufen in der EU: die Anwendung bei Vercel in Frankfurt am Main, Datenbank, Anmeldung und Dateispeicher bei Supabase in Frankfurt am Main. Zusätzlich liegen Daten an folgenden Orten:

Zweck, Standort und Grundlage jeder Übermittlung stehen in der Liste der Unterauftragsverarbeiter.

2. Vertraulichkeit

2.1 Zutritt

Die Rechenzentren betreiben die jeweiligen Anbieter (Supabase auf Amazon Web Services, Vercel, Hetzner). Der Netzwerkspeicher steht in verschlossenen Räumen des Anbieters und enthält ausschließlich ein verschlüsseltes Archiv.

2.2 Zugang

• Anmeldung mit E-Mail-Adresse und Passwort über Supabase Auth; Passwörter werden nur als Hash gespeichert. Mindestlänge bei der Registrierung: 8 Zeichen.
• Begrenzung der Anmeldeversuche je IP-Adresse.
• Eine Zwei-Faktor-Anmeldung per Authenticator-App (Einmal-Code) kann jede Person für ihr Konto einrichten. Wer sie eingerichtet hat, muss den Code bei jeder Anmeldung eingeben; die Prüfung erfolgt in der Anwendung. Eine Pflicht für alle Konten eines Kunden gibt es nicht; für Plattform-Administratoren von venvy ist sie vorgesehen.
• Zugangsdaten zu Postfächern und angebundenen Diensten (IMAP/SMTP, Zugangstoken von Google und Meta) werden mit AES-256-GCM verschlüsselt gespeichert; der Schlüssel liegt außerhalb der Datenbank.
• Zugriffe des Anbieter-Personals auf Daten eines Kunden werden in einem Protokoll festgehalten, das sich weder ändern noch löschen lässt; Zugriffe auf Inhalte brauchen einen dokumentierten Grund. Aufbewahrung 36 Monate.

2.3 Zugriff innerhalb eines Kunden

• Rollenmodell Inhaber, Administrator, Manager, Mitarbeiter, Betrachter. Die Rolle wird in der Oberfläche, in Serveraktionen, Schnittstellen und in der Datenbank durchgesetzt.
• Jede Tabelle im Anwendungsschema trägt Row Level Security. Ohne aktive, angenommene Mitgliedschaft gibt es keinen Zugriff; gekündigte Kunden verlieren den Zugriff.
• Neue Tabellen werden mit entzogenen Standardrechten und Row Level Security angelegt.
• Chats, Freigaben und Aufträge des Assistenten sieht nur die Person, die sie angelegt hat.

2.4 Trennung

Mandantentrennung über eine Kunden-Kennung an jeder Zeile und Row Level Security. Geschlossene Dateispeicher erlauben keinen Zugriff ohne passende Regel. Vier Dateispeicher sind bewusst öffentlich lesbar: Profilbilder, Logos, Bilder der öffentlichen Seite und Medien des Showrooms.

3. Integrität

3.1 Weitergabe

• Übertragung nur verschlüsselt (TLS), mit Strict-Transport-Security, Schutz vor Einbettung durch Dritte und einer Content-Security-Policy je Fläche. Datenbankverbindungen sind verschlüsselt.
• E-Mails verlassen die Plattform über den Mailserver des Kunden. Nutzt ein Kunde das Relay von venvy, läuft der Versand über Resend.
• Ein Not-Aus für jede Kundenmail und eine Prüfung der Absender-Domain sind eingebaut.

3.2 Nachvollziehbarkeit

• Aktivitätsprotokoll an jedem Vorgang.
• Annahme von Verträgen und Anlagen mit Zeitstempel, Nutzer und Fassung; die Einträge lassen sich nur anfügen, nicht ändern.
• Protokoll jeder KI-Anfrage (Modell, Zweck, Datenkategorie, Verbrauch) und jedes Werkzeugaufrufs des Assistenten samt Freigabe.
• Löschläufe werden protokolliert.

3.3 Schutz bei KI-Verarbeitung

• Texteingaben werden vor der Übergabe an ein Sprachmodell bereinigt (Schutz vor Prompt-Injection).
• Nach außen wirkende Aktionen des Assistenten (zum Beispiel Mailversand) brauchen die Freigabe durch einen Menschen. Automatische Freigabe gibt es nur für interne Schreibaktionen und nur nach ausdrücklicher Einstellung durch den Kunden.
• Widerspricht eine betroffene Person der automatischen Einschätzung ihrer Anfrage (Art. 21 DSGVO), werden ihre Daten dafür nicht mehr an das Sprachmodell übergeben.
• Kosten- und Mengengrenzen für KI-Aufrufe.

4. Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit

4.1 Sicherungen

Die Datenbank wird in vier Schichten gesichert:

1. täglich durch Supabase,
2. täglich durch eine eigene Kette auf dem Server in Falkenstein (Datenbank, Dateispeicher, Anwendungscode, verschlüsseltes Archiv),
3. in einem Archiv in Helsinki, das durch Schnappschüsse gegen Löschung geschützt ist,
4. als dritte Kopie auf dem Netzwerkspeicher, der das Archiv selbst abholt; der Server hat keinen Zugang dorthin.

Aufbewahrung der eigenen Archive: 14 tägliche, 8 wöchentliche, 12 monatliche und 3 jährliche Stände. Der mögliche Datenverlust bei einer Wiederherstellung (RPO) beträgt höchstens 24 Stunden. Die Wiederherstellungszeit ist ein internes Ziel, keine Zusage: bis zu 4 Stunden bei Datenverlust in der Plattform, bis zu 2 Tage bei Verlust eines Anbieterkontos.

4.2 Verschlüsselung der Sicherungen

• Das Archiv ist an allen drei Orten verschlüsselt. Das Passwort liegt nicht auf dem Netzwerkspeicher und nicht im Archiv.
• Zugangsdaten der Plattform liegen nicht in den Sicherungen.
• Auf dem Server in Falkenstein liegt zwischen zwei Läufen eine unverschlüsselte Zwischenablage der Datenbank und der Dateispeicher. Der Server ist nur für den Anbieter zugänglich.

4.3 Wiederherstellungsproben

Die Sicherung wird zurückgespielt und gegen den Sollzustand geprüft (Zeilen je Tabelle, Struktur, Rechte, Dateien mit Prüfsumme, Entschlüsselbarkeit). Proben bestanden am 20.08.2026 und am 09.10.2026. Fehlende Sicherungsläufe lösen einen Alarm aus.

4.4 Betriebsüberwachung

Zeitgesteuerte Aufgaben laufen mit Protokoll. Ein externer Überwachungsdienst schlägt Alarm, wenn sie ausbleiben.

5. Aufbewahrung und Löschung

• Gelöschte Einträge verschwinden sofort aus allen Ansichten und werden danach endgültig bereinigt.
• Dreistufiges Löschen: aufbewahrungspflichtige Belege werden gesperrt, Personenbezug mit Auswertungswert wird anonymisiert, alles andere wird gelöscht.
• Nach Vertragsende gilt ein Fenster von 30 Tagen; danach werden Daten, Zugangsdaten und Dateispeicher des Kunden bereinigt (Abschnitt 9 des AVV).
• In den Sicherungsarchiven bleiben gelöschte Daten bis zum Ablauf des jeweiligen Stands erhalten, längstens drei Jahre. Wird eine Sicherung zurückgespielt, wendet venvy ein Löschregister erneut an, damit bereits gelöschte Personen nicht wieder auftauchen.
• Export je Konto und je Person über Funktionen der Anwendung.

6. Auftragskontrolle

• Weisungen ergeben sich aus dem AVV, seinen Anlagen und der Konfiguration des Kunden (Einstellungen, Schalter).
• Unterauftragsverarbeiter und das Verfahren bei Änderungen stehen in der Liste der Unterauftragsverarbeiter.
• Dienste, die der Kunde selbst anbindet (eigener Mailserver, eigene Fachdienste, Conversion-Übermittlung an Google oder Meta), wählt und verantwortet der Kunde.
• Der Assistent handelt mit den Rechten der angemeldeten Person; jedes Werkzeug trägt eine Mindestrolle.

7. Regelmäßige Überprüfung

• Automatische Tests und Typprüfung vor jeder Auslieferung, dazu Tests, die sicherheitsrelevante Muster festhalten (Rechte auf Tabellen, Rollenprüfungen, Mandantentrennung).
• Interne Sicherheitsprüfungen (Juli und August 2026) und eine externe Architekturprüfung mit Abschlussbericht vom 14.10.2026.
• Ein Penetrationstest durch Dritte hat bisher nicht stattgefunden.
• Wiederherstellungsproben nach 4.3. Das Sicherheitskonzept wird mindestens jährlich überprüft.

8. Organisatorische Maßnahmen

• Beschäftigte und Beauftragte mit Zugriff auf Kundendaten sind zur Vertraulichkeit verpflichtet.
• Verletzungen des Schutzes personenbezogener Daten meldet venvy dem betroffenen Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden (Art. 33 Abs. 2 DSGVO), an die im Konto hinterlegte Adresse des Inhabers. Die Meldung an die Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) ist Sache des Kunden; venvy unterstützt dabei. Ansprechpartner bei venvy: datenschutz@venvy.app.
• Schlüssel und Passwörter für die Wiederherstellung sind in festgelegter Reihenfolge wiederbeschaffbar.