Technische und organisatorische Maßnahmen

1. Zweck und Geltung

Die Maßnahmen berücksichtigen den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und die Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte betroffener Personen. Sie unterliegen dem technischen Fortschritt und dürfen durch gleichwertige oder besser geeignete Maßnahmen ersetzt werden; das Schutzniveau darf dabei nicht unterschritten werden.

Betrieb und Hosting erfolgen auf einem virtuellen Server der IONOS SE in einem Rechenzentrum in Deutschland. Für die physische Sicherheit, die Zutrittskontrolle, die Stromversorgung, die Klimatisierung und den Brandschutz des Rechenzentrums gelten die Maßnahmen und Zertifizierungen von IONOS.

2. Vertraulichkeit — Zugangs- und Zugriffskontrolle

Authentisierung

• Anmeldung ausschließlich mit persönlichem Konto und Passwort. Passwörter werden nie im Klartext gespeichert, sondern als Prüfwert eines rechenaufwendigen, speicherharten Verfahrens: Argon2id in beiden Produkten.
• Zwei-Faktor-Authentisierung nach dem Verfahren zeitbasierter Einmalcodes (TOTP, RFC 6238) — in beiden Produkten verfügbar, bei Locato Verwaltung auch für Portalzugänge. Beide nutzen dieselbe Umsetzung. Nach Aktivierung erhält der Anmeldevorgang zunächst nur ein auf fünf Minuten begrenztes Zwischen-Token, das nach dem Einlösen verfällt und höchstens fünf Fehlversuche zulässt. Zusätzlich stehen zehn einmalig verwendbare Wiederherstellungscodes zur Verfügung, die nur als Prüfwerte und zusätzlich verschlüsselt gespeichert werden. Aktivieren erfordert einen bestätigten Code, Abschalten die erneute Passworteingabe.
• Sitzungsverwaltung: Bei Locato Verwaltung kurzlebige Zugangs-Token (15 Minuten) mit Erneuerungs-Token (7 Tage). Bei Locato Ferienwohnung serverseitige Sitzungen mit 7 Tagen Gültigkeit; vom Sitzungstoken wird ausschließlich ein SHA-256-Prüfwert gespeichert, sodass ein Auslesen der Datenbank keine gültigen Token liefert. Abmelden löscht die Sitzung serverseitig.
• Passwort zurücksetzen in beiden Produkten über einen einmalig verwendbaren Token mit 60 Minuten Gültigkeit, von dem nur der Prüfwert gespeichert wird; ältere Token werden entwertet. Ablauf und Einmaligkeit müssen beide erfüllt sein — ein benutzter Link ist dauerhaft verbraucht. Die Antwort ist bewusst neutral gehalten, damit sich nicht ermitteln lässt, ob eine E-Mail-Adresse registriert ist; unbekannt, abgelaufen und schon benutzt liefern dieselbe Meldung. Bei Locato Ferienwohnung beendet das Zurücksetzen zusätzlich alle Sitzungen des Kontos.
• Optionales Single-Sign-on in beiden Produkten über OpenID Connect mit Authorization-Code-Fluss und PKCE (S256), Nonce sowie Prüfung von Signatur, Aussteller, Empfänger und Nonce des Identitätstokens gegen den Schlüsselsatz des Anbieters. Eine Selbstregistrierung über SSO ist nicht möglich — angemeldet wird nur ein bereits vorhandenes, aktives Konto; eine beim Anbieter unbestätigte E-Mail wird abgewiesen. Ohne Konfiguration ist der Anmeldeweg vollständig abgeschaltet.
• Passwort-Verfahren: argon2id in beiden Produkten. Ältere Prüfwerte aus dem Vorgängerverfahren bleiben anmeldefähig und werden bei der nächsten Anmeldung selbsttätig umgestellt.

Berechtigungen

• Rollenbasiertes Rechtemodell, das serverseitig an jedem Endpunkt erzwungen wird. Ohne ausdrückliche Freigabe ist ein Endpunkt gesperrt („secure by default“) — fehlende Rechte führen zu einer Ablehnung, nicht zu einem stillen Durchlassen.
• Locato Verwaltung: drei Rollen (Administration, Sachbearbeitung, Portal) sowie zusätzlich objektbezogene Zugriffsbeschränkung, mit der einzelne Sachbearbeitende auf bestimmte Objekte begrenzt werden können.
• Locato Ferienwohnung: fünf Rollen (Inhaber, Verwaltung, Buchhaltung, Reinigung, Lesen) und zusätzlich einzeln vergebbare Rechte je Ressource und Aktion.
• Portalzugänge sind nicht nur auf einen eigenen Bereich, sondern zusätzlich auf die dem jeweiligen Kontakt zugeordneten Datensätze beschränkt. Ein Zugriff auf fremde Datensätze wird abgewiesen, ohne deren Existenz zu offenbaren.
• Ein Entziehen der eigenen Administrationsrechte durch die letzte berechtigte Person ist technisch verhindert, damit ein Mandant nicht handlungsunfähig wird.
• Innerhalb unseres Unternehmens gilt das Prinzip der geringsten Rechte: Zugriff erhalten nur Personen, die ihn zur Aufgabenerfüllung benötigen. Alle sind zur Vertraulichkeit verpflichtet und auf die Datenschutzvorgaben verpflichtet worden.

3. Mandantentrennung

Jeder Kunde bildet einen eigenen Mandanten. Alle fachlichen Datensätze tragen die Kennung des Mandanten. Die Trennung wird auf zwei Ebenen umgesetzt, die sich zwischen den Produkten unterscheiden:

In beiden Produkten wird die Mandantenkennung je Vorgang transaktionslokal gesetzt; die Datenbank selbst weist fremde Datensätze ab. Fehlt in einer Abfrage der Filter, liefert sie ein leeres Ergebnis statt eines fremden — der Fehler wird damit sichtbar, statt still Daten preiszugeben.

Grenze dieser Zusage: Die Row-Level-Security schützt gegen Programmierfehler, nicht gegen eine vollständig kompromittierte Anwendung — wer den Mandanten-Kontext frei setzen kann, erreicht alle Daten. Wir sagen ausdrücklich das Erste zu, nicht das Zweite.

Die für den Datenbankzugriff verwendete Rolle besitzt keine Datenbankadministratorenrechte, damit Schutzmechanismen nicht umgangen werden können. Dateien werden je Mandant in getrennten Ablagepfaden gespeichert; ein Ausbrechen aus dem Pfad wird abgewiesen.

4. Verschlüsselung und Pseudonymisierung

Übertragung

• Alle Zugriffe erfolgen ausschließlich über HTTPS mit TLS. Die Zertifikate werden automatisiert bezogen und erneuert.
• Der Datenbankdienst ist nicht aus dem Internet erreichbar, sondern nur lokal auf dem Server gebunden.
• Bei der Bankanbindung wird für die Adressen der Bankschnittstellen HTTPS technisch erzwungen; ein unverschlüsselter Verbindungsaufbau wird abgelehnt.

Gespeicherte Daten

• Mit AES-256-GCM feldverschlüsselt gespeichert werden: Zugangsdaten zum E-Mail-Versand und -Abruf des Kunden, Zugangsdaten der Bankverbindungen (Schlüssel des Kontoinformationsdienstes, Zugangsparameter des EBICS-Teilnehmerzugangs), Zugangsdaten der Kanalanbindung an Buchungsportale, Geheimnisse der Zwei-Faktor-Authentisierung, deren Wiederherstellungscodes sowie die Geheimnisse hinterlegter Integrationen. Der Schlüssel wird ausschließlich aus der Betriebsumgebung geladen und liegt nicht im Programmcode.
• Passwörter und Sitzungstoken werden ausschließlich als nicht umkehrbare Prüfwerte gespeichert (Abschnitt 2).
• Nicht feldverschlüsselt gespeichert sind die fachlichen Inhaltsdaten, darunter IBAN und BIC in Kontakten, SEPA-Mandaten, Bankkonten und Eingangsrechnungen sowie die Bilder von Unterschriften in Übergabeprotokollen. Für sie gelten die Zugriffskontrolle nach Abschnitt 2 und die Mandantentrennung nach Abschnitt 3. Eine Feldverschlüsselung der Bankverbindungen ist geplant (Abschnitt 12).
• Für die Auskunfts- und Löschfunktionen steht eine Anonymisierung zur Verfügung, bei der die personenbezogenen Merkmale eines Kontakts oder Gastes entfernt werden, während die buchhalterisch erforderlichen Strukturdaten erhalten bleiben. In Locato Ferienwohnung werden dabei auch die Inhalte der Nachrichten ersetzt.

5. Integrität — Eingabe- und Weitergabekontrolle

• Alle Datenbankabfragen sind parametrisiert; dynamische Bestandteile wie Sortier- und Filterfelder werden gegen feste Positivlisten geprüft. Ein Einbringen von Datenbankbefehlen über Eingaben ist damit ausgeschlossen.
• Jede eingehende Anfrage wird zentral bereinigt: Steuerzeichen und Auszeichnungsmarkierungen werden entfernt. Felder, deren Inhalt zeichengenau erhalten bleiben muss — Passwörter, Token, Geheimnisse, IBAN und BIC —, sind davon ausgenommen.
• Eingaben werden serverseitig gegen ein festes Schema geprüft; unbekannte Felder werden abgewiesen, statt sie zu übernehmen.
• HTML-Inhalte in Serienbriefvorlagen werden vor der Ausgabe bereinigt. Im Frontend werden keine ungeprüften HTML-Inhalte eingefügt.
• Sicherheitsrelevante HTTP-Kopfzeilen werden gesetzt, darunter eine Richtlinie zur Inhaltsicherheit, die das Nachladen fremder Skripte und das Einbetten in fremde Seiten unterbindet.
• Der Ursprung zugelassener Aufrufe wird eingeschränkt, sodass nur die eigene Anwendung auf die Schnittstelle zugreifen kann.
• Die Anzahl der Anfragen wird begrenzt: allgemein sowie besonders streng bei Anmeldung, Registrierung, Zurücksetzen des Passworts und beim öffentlichen Formular der Mieterselbstauskunft. Letzteres enthält zusätzlich ein für Menschen unsichtbares Feld zur Abwehr automatisierter Einsendungen.
• Datei-Uploads sind auf zulässige Dateitypen und eine Höchstgröße begrenzt.
• Detaillierte technische Fehlermeldungen werden im Produktivbetrieb nicht an den Browser ausgegeben.
• Buchungen werden nicht gelöscht, sondern durch Gegenbuchung storniert; abgeschlossene Wirtschaftsjahre sind gegen Änderungen gesperrt.

6. Verfügbarkeit und Belastbarkeit

• Betrieb im Rechenzentrum von IONOS in Deutschland mit dessen Maßnahmen zu Stromversorgung, Klimatisierung, Brandschutz und Netzanbindung.
• Regelmäßige Sicherung von Datenbank und Dateiablage über ein automatisiertes Verfahren. Vorgesehen ist eine tägliche Sicherung; aufbewahrt werden bei Locato Verwaltung die jeweils letzten 14 Stände je Art, bei Locato Ferienwohnung die Stände der letzten 30 Tage.
• Ein Wiederherstellungsverfahren ist vorhanden und mit einer Sicherheitsabfrage gegen versehentliches Auslösen geschützt. Der Schlüssel für die Feldverschlüsselung wird getrennt von den Sicherungen aufbewahrt, damit eine Wiederherstellung möglich bleibt.
• Offener Punkt: räumlich getrennte Kopie. Die Sicherungen liegen derzeit auf demselben Server wie der Betrieb. Gegen den Verlust einzelner Daten, gegen fehlerhafte Änderungen und gegen ein defektes Dateisystem schützt das; gegen den Ausfall des Servers selbst nicht. Eine zusätzliche Ablage in einem getrennten Speicher innerhalb der EU ist in Vorbereitung und wird hier vermerkt, sobald sie eingerichtet ist.
• Verfügbarkeitszusage und Wartungsfenster ergeben sich aus § 13 der AGB.
• Kein externes Fehler-Monitoring. Fehler werden in den Protokollen des eigenen Servers erfasst und dort ausgewertet; ein Dienst eines Dritten, an den Fehlermeldungen samt Stapelspuren und IP-Adressen gesendet würden, ist nicht angebunden. Beide Anwendungen starten nicht, wenn ein solcher Dienst konfiguriert wird, ohne dass diese Erklärung und die Liste der Unterauftragsverarbeiter zuvor nachgezogen wurden.

7. Protokollierung und Nachvollziehbarkeit

• Änderungsprotokoll: Jeder verändernde Zugriff wird mit handelnder Person, deren E-Mail-Adresse, Aktion, betroffenem Datensatz, Ergebnis, Zeitstempel und IP-Adresse festgehalten. Bei Locato Ferienwohnung werden zusätzlich Anmeldung, Registrierung, Statuswechsel, Exporte und die Datenschutzfunktionen protokolliert.
• Die Einsicht in das Änderungsprotokoll ist auf die Administration beschränkt.
• Versandprotokoll: Zu jeder ausgehenden E-Mail werden Empfänger, Betreff, Anlass, Erfolg und etwaige Fehlermeldung festgehalten, damit der Zugang von Abrechnungen und Schreiben belegbar ist.
• Laufprotokoll der automatisierten Vorgänge mit Ergebnis und Zusammenfassung.
• Protokolldaten werden nur zur Sicherheit, zur Nachvollziehbarkeit und zur Störungsanalyse verwendet, nicht zur Verhaltens- oder Leistungskontrolle.

8. Trennung von Zwecken und Umgebungen

• Entwicklung, Test und Produktivbetrieb sind getrennt. In Entwicklung und Test werden keine echten Kundendaten verwendet, sondern eigens erzeugte Beispieldaten.
• Die Daten der Kunden werden ausschließlich zur Erbringung der vertraglichen Leistung verwendet, nicht für eigene Zwecke und nicht zum Trainieren von Modellen künstlicher Intelligenz.
• Belegerkennung und Texterkennung laufen als lokales Verfahren auf unserem eigenen Server; ein externer Erkennungsdienst wird nicht eingesetzt. Erzeugung von PDF-Dateien und von QR-Codes erfolgt ebenfalls lokal.
• Keine Fremd-Hosts in der Benutzeroberfläche: Schriftarten, Stylesheets und Skripte werden mit dem Build ausgeliefert und kommen ausschließlich von eigenen Servern. Die Content-Security-Policy erlaubt für Schriften und Stylesheets keine externen Hosts, sodass ein versehentlich eingefügter Verweis auf ein fremdes Netzwerk als Verstoß auffällt und blockiert wird — nicht still Daten abfließen lässt. Ein automatisierter Test prüft das bei jeder Änderung mit.

9. Löschung und Aufbewahrung

• Einzelne Datensätze können jederzeit gelöscht werden; abhängige Datensätze werden dabei konsistent behandelt. Dateien werden zusammen mit dem Datensatz aus der Ablage entfernt.
• Wo Aufbewahrungspflichten einer Löschung entgegenstehen, steht die Anonymisierung nach Abschnitt 4 zur Verfügung.
• Abgelehnte Mieterbewerbungen können gesammelt gelöscht werden; vorgesehen ist eine Grenze von 90 Tagen nach Abschluss des Verfahrens.
• Nach Vertragsende läuft ein automatischer Aufräumlauf: 30 Tage bleibt der Zugang auf Lesen und Export beschränkt erhalten, dann wird der Bestand gesperrt und nach weiteren 90 Tagen gelöscht. Vor beiden Stichtagen geht ein Hinweis in Textform heraus. Dasselbe gilt für Testzugänge, die nicht fortgeführt werden — sie werden 90 Tage nach Ablauf der Testphase geräumt. Ausgenommen sind unsere eigenen Rechnungsbelege, die wir nach § 147 AO zehn Jahre aufbewahren müssen; sie hängen deshalb bewusst nicht an der Löschung des Mandanten.
• Die Fristen im Einzelnen stehen in Abschnitt 12 der AVV.

10. Organisatorische Maßnahmen

• Alle mit der Verarbeitung befassten Personen sind auf die Vertraulichkeit verpflichtet und werden mit den für sie geltenden Datenschutzvorgaben vertraut gemacht.
• Mit allen Dienstleistern, die Zugang zu personenbezogenen Daten haben, bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Sie sind in der Anlage 3 aufgeführt.
• Wir führen ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
• Für Datenschutzverletzungen besteht ein Meldeweg mit einer Frist von 24 Stunden gegenüber dem Auftraggeber (Abschnitt 8 der AVV).
• Zuständige Ansprechstelle für Datenschutzfragen: datenschutz@locato.immo.

11. Überprüfung der Wirksamkeit

• Bei jeder Änderung des Programmcodes laufen automatisiert Typprüfung, Erstellung des Programms, Testlauf und ein Durchlauf der Datenbankmigrationen gegen eine leere Datenbank.
• Zusätzlich laufen gezielte Sicherheitstests mit, die die Mandantentrennung, die Wirksamkeit des Rechtemodells, die Sperre nach Ablauf der Testphase, die Eingabebereinigung, die Speicherform der Geheimnisse und das Setzen der Sicherheitskopfzeilen prüfen. Ein Fehlschlag verhindert die Übernahme der Änderung.
• Die Maßnahmen und die zugrunde liegenden Annahmen werden anlassbezogen und mindestens jährlich überprüft und, wo erforderlich, angepasst.

12. Offene Punkte

Wir benennen offene Punkte, damit unsere Kunden ihr eigenes Risiko zutreffend bewerten können. Derzeit sind das:

Diesen Stand aktualisieren wir laufend. Kunden, die eine verbindliche Zusage zu einem dieser Punkte benötigen, erreichen uns unter datenschutz@locato.immo.