Technische und organisatorische Maßnahmen (TOM)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

• Server-Hardware bei Hetzner Online GmbH (Falkenstein, Deutschland) — ISO 27001-zertifiziertes Rechenzentrum
• Kein physischer Zugriff durch Steuer-Online MF GmbH erforderlich
• Hetzner-Sicherheitsmaßnahmen: 24/7 Sicherheitspersonal, biometrische Zutrittskontrolle, Video-Überwachung

1.2 Zugangskontrolle

• SSH-Zugang ausschließlich mit Public-Key-Authentication (kein Passwort-Login)
• Administrativer Zugang nur aus festgelegten Firmen-Netzen (IP-Whitelisting)
• Fail2ban mit 24 h Bantime bei fehlgeschlagenen Logins
• SSH-Schlüssel-Verwaltung in verschlüsselten lokalen Schlüsselspeichern

1.3 Zugriffskontrolle

• Trennung verschiedener Domains via Docker-Container + Nginx-Reverse-Proxy
• Plattform speichert keine personenbezogenen Mandantendaten serverseitig — Zugriffskontrolle entfällt für nicht-existente Daten
• System-Logs (Server-Login etc.) nur für Administratoren zugänglich

1.4 Trennungskontrolle

• Plattform tools.steuersoft.de ist von anderen Diensten (Mail, Kunden-DB, etc.) physisch und logisch getrennt
• Verschiedene Kundendomänen (z.B. lhv.tools.steuersoft.de) werden über separate Nginx-server-Blocks und SSL-Zertifikate getrennt
• Backups werden in separater Hetzner Storage Box mit eigener Authentifizierung gespeichert (Sub-Account)

1.5 Pseudonymisierung / Anonymisierung

• IP-Adressen in Nginx-Logs werden auf /24 gekürzt vor Persistenz
• Für sensible Tools-Pfade (Bescheid-Checker, Einspruch, Mandantenbrief, Fristen-Cockpit, Onboarding, Vollmacht): vollständige Deaktivierung des Access-Logs

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• TLS 1.3 / HTTPS für alle Verbindungen (Let's Encrypt, automatische Rotation)
• HSTS: max-age=31536000; includeSubDomains
• Content-Security-Policy (CSP) restriktiv: connect-src 'self', frame-ancestors 'none', object-src 'none'
• Subresource Integrity (SRI) für alle eingebundenen JavaScript-Bibliotheken (SHA-384-Hash-Pinning)
• Werkzeug-übergreifende Datenübergabe via Einmal-Token in localStorage (TTL 60 Sek.) statt URL-Parameter — keine Mandantendaten in URL/Server-Logs/Browser-Verlauf

2.2 Eingabekontrolle

• Alle Server-Konfiguration via versioniertem Git-Repo
• Backups mit Integrity-Check via tar -tzf nach jedem Lauf
• Automatisierte Tests laufen täglich — verifizieren Existenz + Schema-Konformität aller Datenbestände (98/98 Tests aktuell)

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

3.1 Verfügbarkeitskontrolle

• Hetzner-SLA: 99,9 % Verfügbarkeit Netzwerk-Anbindung
• Automatische Wiederherstellung der Dienste via Docker-Restart-Policies
• SSL-Zertifikats-Auto-Renewal via certbot (3 Monate vor Ablauf)

3.2 Rasche Wiederherstellbarkeit

• Tägliches Backup um 02:00 in zwei Schichten:
  • Lokal: /var/backups/steuersoft-tools/ (7 Tage daily, 4 Wochen weekly, 12 Monate monthly)
  • Off-Site: Hetzner Storage Box (separates Rechenzentrum, Sub-Account-Auth)
• Wiederherstellungszeit (RTO): < 2 Stunden bei Total-Verlust
• Wiederherstellungspunkt (RPO): < 24 Stunden (tägliches Backup)

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Tägliche automatisierte Funktionstests aller Indizes und Dienste
• Tägliches Daily-Digest um 09:30 (Status-Mail an Administratoren)
• Monatliche Review der TOM auf Aktualität und Wirksamkeit
• Bei sicherheitsrelevanten Vorfällen: ad-hoc Audit und Patch innerhalb von 24 h

5. Auftragsverarbeiter

Anbieter	Zweck	Sitz	AV-Vertrag
Hetzner Online GmbH	Server-Hosting	Deutschland (Falkenstein, Nürnberg)	✓ vorhanden
IONOS SE	Domain-Verwaltung / SMTP	Deutschland	✓ vorhanden
Let's Encrypt (ISRG)	SSL-Zertifikate	USA (gemeinnützig)	Berechtigtes Interesse Art. 6 Abs. 1 lit. f DSGVO — keine pers. Daten

Keine weiteren Auftragsverarbeiter. Insbesondere keine Cloud-KI-Anbieter (OpenAI, Anthropic, Google etc.) für Mandantendaten — die Recherche-Funktion der Plattform basiert auf einem lokal gespiegelten Open-Source-Modell und läuft vollständig auf dem eigenen Server.

5a. Externe Recherchedienste — Maßnahmen nach Art. 32 DSGVO

Für die unter Abschnitt 11a der Datenschutzerklärung dokumentierten externen Recherchedienste gelten ergänzend folgende technische und organisatorische Maßnahmen:

Verschlüsselung & Übertragung

• Alle ausgehenden Anfragen erfolgen über TLS 1.2+ mit Zertifikatsprüfung; SSL-Verify aktiv für sämtliche externen Empfänger
• Alle Anfragen an die externen Dienste (VIES, Bundesbank, DESTATIS, Internet Archive) nutzen ausschließlich verschlüsselte Verbindungen
• Server-Zertifikate werden über die offiziellen Anbieter-Repositories des Betriebssystems gepflegt

Zugriffskontrolle

• Zugangsschlüssel für die externen Dienste liegen ausschließlich in geschützten, nur für Administratoren lesbaren Konfigurationsdateien — nie im Code-Repository
• Die Dienste akzeptieren ausschließlich fest vorgegebene Parameter (Whitelisting)
• Rate-Limiting der vorgelagerten Reverse-Proxy-Schicht verhindert Missbrauch

Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO)

• VIES: nur USt-IdNr (Pflicht-Eingabe nach § 18e UStG), kein Mandantenname, keine IP, kein Browser-Fingerprint
• Bundesbank/DESTATIS: ausschließlich Tabellen-/Währungs-Codes — keinerlei personenbezogene Daten
• Wayback: nur die vom Berater explizit eingegebene URL — Klick auslösender Vorgang
• Insolvenz: bei Direktlink ausschließlich der Schuldnername in der URL; kein Mandantenbezug
• BZSt-Validator: XML-Validierung lokal ohne externe Übermittlung

Audit-Log (Nachweisbarkeit nach Art. 30 DSGVO)

• Audit-Log mit strengen Zugriffsrechten — nur für Administratoren lesbar
• Pro Eintrag: Zeitstempel (UTC), aufgerufener Dienst, Eingabeparameter, Ergebnis-Status — KEINE IPs, KEINE User-Agents, KEINE Mandantenkennung
• Wöchentliche Rotation mit Komprimierung; Aufbewahrung 26 Wochen rotiert, 6 Jahre archiviert (analog § 147 AO)
• Keine Übermittlung des Audit-Logs an Dritte

Drittland-Transfer (Wayback & Internet Archive)

• Drittland-Transfer ausschließlich auf ausdrückliche Auslöse-Aktion (Klick „Snapshot anfordern") — kein automatischer Vorgang beim Seitenaufruf
• Übermittelt wird ausschließlich die vom Berater bewusst angegebene URL — kein Tracking, kein Profil
• Internet Archive Foundation ist gemeinnützig (501(c)(3)) und veröffentlicht den Snapshot selbst öffentlich; ein Personenbezug entsteht nur, wenn die ausgewählte Quell-URL personenbezogene Inhalte enthält
• Vor dem Klick erhält der Berater im Werkzeug einen Compliance-Hinweis zur Drittland-Übermittlung

Lokale Recherche-Funktion

• Die Volltext-Recherche läuft vollständig auf dem eigenen Server; es werden keine Anfragen an externe KI-Dienste oder Cloud-Anbieter gesendet — die Verarbeitung erfolgt nach dem Stand der Technik ausschließlich lokal
• Such-Anfragen werden nicht protokolliert (kein Query-Log)

6. Verantwortlich

Steuer-Online MF GmbH
Wallstr. 7
66740 Saarlouis
Deutschland

Geschäftsführer: Martin Frankenreiter
HRB 108 426, Amtsgericht Saarbrücken
USt-IdNr.: DE 351 567 389

Datenschutz-Anfragen: info@steuer-online.de

7. Änderungs­protokoll

• 27.06.2026: Abschnitt 5a ergänzt: TOMs für die externen Recherchedienste und die lokale Such-Funktion — TLS 1.2+, Zugriffsschutz für Zugangsschlüssel, Datenminimierung, Audit-Log-Konzept (Aufbewahrung nach gesetzlichen Fristen), Compliance-Hinweis für Drittland-Transfer bei der Beweis-Sicherung, lokale Such-Funktion ohne Query-Log dokumentiert
• 20.05.2026: Erstveröffentlichung. CSP-Header eingeführt, SRI-Pinning für externe Libs, Einmal-Token-Handoff zwischen Tools, Auto-Wipe LocalStorage 24 h, Access-Log-Deaktivierung für sensible Pfade.