Technische und organisatorische Maßnahmen (TOM)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

• Server-Hardware bei Hetzner Online GmbH (Falkenstein, Deutschland) — ISO 27001-zertifiziertes Rechenzentrum
• Kein physischer Zugriff durch Steuer-Online MF GmbH erforderlich
• Hetzner-Sicherheitsmaßnahmen: 24/7 Sicherheitspersonal, biometrische Zutrittskontrolle, Video-Überwachung

1.2 Zugangskontrolle

• SSH-Zugang ausschließlich mit Public-Key-Authentication (kein Passwort-Login)
• Administrativer Zugang nur aus festgelegten Firmen-Netzen (IP-Whitelisting)
• Fail2ban mit 24 h Bantime bei fehlgeschlagenen Logins
• SSH-Schlüssel-Verwaltung in verschlüsselten lokalen Schlüsselspeichern

1.3 Zugriffskontrolle

• Trennung verschiedener Domains via Docker-Container + Nginx-Reverse-Proxy
• Plattform speichert keine personenbezogenen Mandantendaten serverseitig — Zugriffskontrolle entfällt für nicht-existente Daten
• System-Logs (Server-Login etc.) nur für Administratoren zugänglich

1.4 Trennungskontrolle

• Plattform tools.steuersoft.de ist von anderen Diensten (Mail, Kunden-DB, etc.) physisch und logisch getrennt
• Verschiedene Kundendomänen (z.B. lhv.tools.steuersoft.de) werden über separate Nginx-server-Blocks und SSL-Zertifikate getrennt
• Backups werden in separater Hetzner Storage Box mit eigener Authentifizierung gespeichert (Sub-Account)

1.5 Pseudonymisierung / Anonymisierung

• IP-Adressen in Nginx-Logs werden auf /24 gekürzt vor Persistenz
• Für sensible Tools-Pfade (Bescheid-Checker, Einspruch, Mandantenbrief, Fristen-Cockpit, Onboarding, Vollmacht): vollständige Deaktivierung des Access-Logs

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• TLS 1.3 / HTTPS für alle Verbindungen (Let's Encrypt, automatische Rotation)
• HSTS: max-age=31536000; includeSubDomains
• Content-Security-Policy (CSP) restriktiv: connect-src 'self', frame-ancestors 'none', object-src 'none'
• Subresource Integrity (SRI) für alle eingebundenen JavaScript-Bibliotheken (SHA-384-Hash-Pinning)
• Werkzeug-übergreifende Datenübergabe via Einmal-Token in localStorage (TTL 60 Sek.) statt URL-Parameter — keine Mandantendaten in URL/Server-Logs/Browser-Verlauf

2.2 Eingabekontrolle

• Alle Server-Konfiguration via versioniertem Git-Repo
• Backups mit Integrity-Check via tar -tzf nach jedem Lauf
• Test-Pipeline läuft täglich um 10:00 — verifiziert Existenz + Schema-Konformität aller Datenbestände (98/98 Tests aktuell)

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

3.1 Verfügbarkeitskontrolle

• Hetzner-SLA: 99,9 % Verfügbarkeit Netzwerk-Anbindung
• Automatische Wiederherstellung der Dienste via Docker-Restart-Policies
• SSL-Zertifikats-Auto-Renewal via certbot (3 Monate vor Ablauf)

3.2 Rasche Wiederherstellbarkeit

• Tägliches Backup um 02:00 in zwei Schichten:
  • Lokal: /var/backups/steuersoft-tools/ (7 Tage daily, 4 Wochen weekly, 12 Monate monthly)
  • Off-Site: Hetzner Storage Box (separates Rechenzentrum, Sub-Account-Auth)
• Wiederherstellungszeit (RTO): < 2 Stunden bei Total-Verlust
• Wiederherstellungspunkt (RPO): < 24 Stunden (tägliches Backup)

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Tägliche Test-Pipeline um 10:00 (Smoke-Tests aller Indizes und Endpunkte)
• Tägliches Daily-Digest um 09:30 (Status-Mail an Administratoren)
• Monatliche Review der TOM auf Aktualität und Wirksamkeit
• Bei sicherheitsrelevanten Vorfällen: ad-hoc Audit und Patch innerhalb von 24 h

5. Auftragsverarbeiter

Anbieter	Zweck	Sitz	AV-Vertrag
Hetzner Online GmbH	Server-Hosting	Deutschland (Falkenstein, Nürnberg)	✓ vorhanden
IONOS SE	Domain-Verwaltung / SMTP	Deutschland	✓ vorhanden
Let's Encrypt (ISRG)	SSL-Zertifikate	USA (gemeinnützig)	Berechtigtes Interesse Art. 6 Abs. 1 lit. f DSGVO — keine pers. Daten

Keine weiteren Auftragsverarbeiter. Insbesondere keine Cloud-KI-Anbieter (OpenAI, Anthropic, Google etc.) für Mandantendaten — die semantische Suche auf der Plattform basiert auf einem lokal gespiegelten Open-Source-Modell (paraphrase-multilingual-MiniLM-L12-v2 von HuggingFace).

6. Verantwortlich

Steuer-Online MF GmbH
Wallstr. 7
66740 Saarlouis
Deutschland

Geschäftsführer: Martin Frankenreiter
HRB 108 426, Amtsgericht Saarbrücken
USt-IdNr.: DE 351 567 389

Datenschutz-Anfragen: info@steuer-online.de

7. Änderungs­protokoll

• 20.05.2026: Erstveröffentlichung. CSP-Header eingeführt, SRI-Pinning für externe Libs, Einmal-Token-Handoff zwischen Tools, Auto-Wipe LocalStorage 24 h, Access-Log-Deaktivierung für sensible Pfade.