Auftragsverarbeitungsvertrag

Dieser Vertrag regelt, wie besoo die personenbezogenen Daten deiner Gäste und Geschäftspartner in deinem Auftrag verarbeitet (Art. 28 DSGVO). Er wird mit der Registrierung geschlossen, ist Teil des Nutzungsvertrags (AGB) und gilt für dessen gesamte Dauer. Eine Unterschrift ist nicht nötig; du kannst ihn jederzeit hier abrufen und ausdrucken.

1. Parteien und Gegenstand

1.1 Verantwortlicher („du“) ist der Kunde, der das besoo-Konto registriert hat, mit den im Konto hinterlegten Stammdaten. Auftragsverarbeiter („besoo“, „wir“) ist Benedikt Kalde, Höltene Klinke 8a, 48653 Coesfeld, E-Mail kontakt@besoo.de.

1.2 Gegenstand ist die Bereitstellung der Web-Anwendung besoo, in der du personenbezogene Daten deiner Gäste, Anfragenden, Zahler und Dienstleister speicherst und verarbeitest. Wir verarbeiten diese Daten ausschließlich, um dir die in den AGB beschriebene Leistung zu erbringen – nicht für eigene Zwecke (Ausnahme: anonymisierte Daten nach Ziffer 1.5).

1.3 Nicht Gegenstand dieses Vertrags sind deine eigenen Daten als Kunde (Registrierung, Rechnung, Support), für die wir selbst Verantwortlicher sind; dafür gilt die Datenschutzerklärung. Ebenfalls nicht erfasst ist der Bankabgleich über finAPI: finAPI handelt als eigenständiger, beaufsichtigter Kontoinformationsdienst auf deine Freigabe hin und ist nicht unser Unterauftragsverarbeiter; die von finAPI an uns übermittelten Umsatzdaten verarbeiten wir dann allerdings wieder in deinem Auftrag nach diesem Vertrag.

1.4 Die Dauer dieses Vertrags entspricht der Dauer des Nutzungsvertrags einschließlich der Aufbewahrungsfrist nach Vertragsende (Ziffer 8).

1.5 Wir dürfen die Daten anonymisieren und in anonymisierter Form, die keinen Rückschluss auf einzelne Personen oder auf dich als Kunden zulässt, für Statistiken und zur Verbesserung von besoo nutzen.

2. Art, Zweck und Umfang

2.1 Art der Verarbeitung: Erheben (über Formulare deiner Website und deines Buchungs-Widgets, Abruf deines E-Mail-Postfachs, Empfang von Portal-Buchungen), Speichern, Ordnen, Anzeigen, Verändern, automatisiertes Auswerten von E-Mails durch den KI-Assistenten, Umwandeln von Diktaten in Text (Spracheingabe), Übermitteln an die Dienste nach Anlage 2, Bereitstellen an die Personen, denen du einen Zugangslink gibst (Ziffer 2.4), Versenden von E-Mails, Exportieren, Löschen.

2.2 Zweck: Verwaltung deiner Ferienunterkünfte – Buchungen, Gastkommunikation einschließlich KI-gestützter Einordnung, Antwortentwürfe, Zusammenfassungen und Spracheingabe, Angebote und Rechnungen, Zahlungsabgleich, Meldeschein-Erfassung, Reinigungsplanung, Information von Ansprechpartnern vor Ort, Website und Buchungskanal-Anbindung.

2.3 Die Datenarten und Kategorien betroffener Personen sind in Anlage 1 beschrieben. Die Verarbeitung findet auf Servern in Deutschland statt; Ausnahmen für einzelne, von dir aktivierte Dienste stehen in Anlage 2 und Ziffer 6.

2.4 Reinigungskräfte und Ansprechpartner vor Ort: Gibst du einer Reinigungskraft oder einem Ansprechpartner vor Ort (etwa einem Verwalter) einen Zugangslink, stellt besoo ihr bzw. ihm auf deine Weisung Daten bereit – nur für die Ferienhäuser und Einheiten, die du zuordnest. Reinigungskräfte sehen ihre Reinigungstermine und die Belegung der nächsten Gäste (Personen, Kinder, Hunde), aber keine Namen oder Kontaktdaten von Gästen. Ansprechpartner vor Ort sehen Name, Personenzahl, Hunde sowie An- und Abreisetag der Gäste, deinen Hinweis für vor Ort und nur mit deiner Freigabe die Telefonnummer des Gasts – nie E-Mail-Adresse, Anschrift, Preis oder Zahlungen. Dieselben Angaben gehen ihnen, wenn du es einstellst, auch per E-Mail zu (kurzfristige Änderungen, Monatsübersicht); Mitteilungen per Telegram oder Push enthalten keine Gästedaten. Diese Personen sind nicht Unterauftragsverarbeiter von besoo, sondern Empfänger, die du auswählst; du entscheidest, wem du einen Link gibst, und sorgst dafür, dass sie die Daten vertraulich behandeln. Einen Link kannst du jederzeit erneuern, der alte gilt dann nicht mehr.

3. Weisungen

3.1 Wir verarbeiten die Daten nur auf deine dokumentierte Weisung. Deine Weisungen sind zunächst dieser Vertrag und die AGB; darüber hinaus erteilst du sie durch die Nutzung der Anwendung (z. B. indem du eine E-Mail versendest, einen Dienst aktivierst, einen Export auslöst oder Daten löschst). Weisungen außerhalb der Anwendung richtest du in Textform (Ticket oder E-Mail) an uns; wir bestätigen sie oder weisen darauf hin, wenn sie technisch nicht umsetzbar sind.

3.2 Halten wir eine Weisung für rechtswidrig, informieren wir dich unverzüglich und dürfen die Ausführung aussetzen, bis du sie bestätigst oder änderst.

3.3 Weisungsberechtigt sind du und die Nutzer, die du in deinem Konto angelegt hast. Weisungsempfänger auf unserer Seite ist die unter Ziffer 1.1 genannte Kontaktadresse.

4. Pflichten von besoo

4.1 Vertraulichkeit: Alle Personen, die bei uns Zugriff auf Daten haben, sind zur Vertraulichkeit verpflichtet. Mitarbeiter und freie Helfer verpflichten wir vor dem ersten Zugriff schriftlich auf die Vertraulichkeit und die Weisungsbindung.

4.2 Sicherheit: Wir treffen die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und entwickeln sie mit dem Stand der Technik weiter. Einzelne Maßnahmen dürfen wir durch mindestens gleichwertige ersetzen; das Schutzniveau darf dabei nicht sinken.

4.3 Zugriff nur bei Bedarf: Wir greifen auf deine Gästedaten nur zu, soweit es für Betrieb, Fehlerbehebung, Sicherheit oder die Bearbeitung deiner Support-Anfrage nötig ist – nicht für Werbung und nicht zur Auswertung über einzelne Personen; anonymisierte Statistiken nach Ziffer 1.5 bleiben davon unberührt. Den KI-Assistenten (OpenAI) setzen wir nur ein, um dich bei der Gastkommunikation in deinem Konto zu unterstützen (Einordnung eingehender E-Mails, Vorschläge, Antwortentwürfe, Zusammenfassungen, Spracheingabe) – nicht für eigene Zwecke.

4.4 Unterstützung bei Betroffenenrechten: Anfragen deiner Gäste (Auskunft, Berichtigung, Löschung, Datenübertragung) beantwortest du. Die Anwendung stellt dir dafür Funktionen bereit: Gastdaten einsehen, ändern und löschen; Export aller Gäste und Buchungen als CSV. Erreicht uns eine Anfrage direkt, leiten wir sie unverzüglich an dich weiter und beantworten sie nicht selbst. Bei Anfragen, die sich mit den Funktionen nicht erledigen lassen, unterstützen wir dich in angemessenem Umfang.

4.5 Datenschutzverletzungen: Stellen wir eine Verletzung des Schutzes personenbezogener Daten fest, die deine Daten betrifft (z. B. unbefugter Zugriff, Verlust, versehentliche Offenlegung), informieren wir dich unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an deine Konto-Adresse. Die Mitteilung enthält, soweit bekannt: Art des Vorfalls, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen. Wir unterstützen dich bei deiner Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und bei der Benachrichtigung Betroffener (Art. 34 DSGVO).

4.6 Weitere Unterstützung: Soweit du für die Verarbeitung eine Datenschutz-Folgenabschätzung oder eine Konsultation der Aufsichtsbehörde brauchst (Art. 35, 36 DSGVO), stellen wir dir die dafür nötigen Informationen über unsere Verarbeitung zur Verfügung.

4.7 Nachweise: Wir dokumentieren die Verarbeitung in unserem Verzeichnis nach Art. 30 Abs. 2 DSGVO und stellen dir auf Anfrage die Informationen bereit, die du für dein eigenes Verzeichnis (Art. 30 Abs. 1) und zum Nachweis der Einhaltung dieses Vertrags brauchst.

4.8 Behördenanfragen: Verlangt eine Behörde oder ein Gericht von uns Zugang zu deinen Daten, informieren wir dich vorab, soweit das rechtlich zulässig ist, und geben nur heraus, wozu wir verpflichtet sind.

5. Unterauftragsverarbeiter

5.1 Du genehmigst die in Anlage 2 genannten Unterauftragsverarbeiter. Für alle Konten setzen wir nur den dort genannten Hosting-Anbieter ein; die übrigen Dienste werden erst dann zu Unterauftragsverarbeitern deiner Daten, wenn du sie in deinem Konto aktivierst. Deaktivierst du einen Dienst, endet die Übermittlung an ihn.

5.2 Unterauftragsverarbeitern erlegen wir vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO); bei Anbietern wie Hetzner geschieht das über deren Standard-Auftragsverarbeitungsverträge. Erfüllt ein Unterauftragsverarbeiter seine Datenschutzpflichten nicht, stehen wir dir gegenüber für deren Einhaltung ein; der Umfang unserer Haftung richtet sich nach Ziffer 14 der AGB.

5.3 Wollen wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informieren wir dich mindestens 14 Tage vorher per E-Mail und aktualisieren Anlage 2. Du kannst der Änderung aus einem sachlichen datenschutzrechtlichen Grund bis zum Wirksamwerden widersprechen. Können wir den Grund nicht ausräumen, kannst du den Nutzungsvertrag zu diesem Zeitpunkt außerordentlich kündigen; für vorausbezahlte Zeiträume danach erstatten wir anteilig. Ein Widerspruch gegen einen Dienst, den nur du aktivierst, erledigt sich, indem du den Dienst nicht aktivierst.

6. Verarbeitung außerhalb der EU

6.1 Speicherung und Verarbeitung in der Anwendung finden in Deutschland statt. Eine Übermittlung in Länder außerhalb der EU bzw. des EWR erfolgt nur über die in Anlage 2 gekennzeichneten Dienste und nur, wenn du sie aktivierst.

6.2 Die Grundlage ist dort angegeben: ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework bei zertifizierten US-Anbietern) oder die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

6.3 Benachrichtigungen per Telegram (Sitz in den VAE, ohne Angemessenheitsbeschluss) enthalten keine Gästedaten, sondern nur Unterkunft, Zeitraum, Buchungsnummer und gegebenenfalls einen Betrag. Telegram ist deshalb kein Unterauftragsverarbeiter im Sinne dieses Vertrags.

6.4 Push-Benachrichtigungen verschlüsseln wir auf unserem Server für das einzelne Gerät (Web Push nach RFC 8291) und stellen sie über den Push-Dienst zu, den das Gerät vorgibt (Google, Apple, Mozilla oder Microsoft, teils mit Sitz in den USA). Diese Dienste erhalten nur den verschlüsselten Inhalt und können ihn nicht lesen. Sie sind deshalb keine Unterauftragsverarbeiter im Sinne dieses Vertrags.

6.5 Ansprechpartner vor Ort können die Belegung als Kalender abonnieren (iCal). Den Kalender ruft dann ihr eigener Kalenderanbieter ab (z. B. Google oder Apple, teils mit Sitz in den USA). Die Termine enthalten deshalb nur Einheit, An- und Abreisetag, Personenzahl und Hunde – keine Namen, Telefonnummern oder Hinweise – und verweisen für Einzelheiten auf die Belegungsseite. Der Kalenderanbieter ist der des Ansprechpartners und kein Unterauftragsverarbeiter im Sinne dieses Vertrags.

7. Kontrollrechte

7.1 Du hast das Recht, die Einhaltung dieses Vertrags zu überprüfen. Dafür stellen wir dir zunächst Auskünfte, Selbstauskünfte und vorhandene Nachweise (z. B. Zertifikate des Rechenzentrums, Beschreibung der Maßnahmen nach Anlage 3) zur Verfügung.

7.2 Reicht das im Einzelfall nicht aus, kannst du – selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer, der nicht in einem Wettbewerbsverhältnis zu uns steht – eine Überprüfung durchführen: nach Ankündigung mit einer Frist von mindestens 30 Tagen, zu den üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal im Jahr, es sei denn, ein konkreter Vorfall gibt Anlass. Die Prüfung erfolgt durch Einsicht in Dokumentation und Nachweise, etwa im Rahmen einer Videokonferenz; einen eigenen Zugriff auf unsere Systeme oder auf Daten anderer Kunden erhältst du dabei nicht. Deine eigenen Kosten trägst du selbst; unseren Aufwand, der über die Auskunft nach 7.1 hinausgeht, hast du uns angemessen zu vergüten, sofern die Prüfung keinen Verstoß ergibt. Die dabei erhaltenen Informationen über unsere Sicherheitsmaßnahmen behandelst du vertraulich.

8. Ende der Verarbeitung

8.1 Während der Laufzeit kannst du Daten jederzeit selbst löschen oder exportieren. Nach dem Ende des Nutzungsvertrags bleibt das Konto 30 Tage gesperrt erhalten, damit du Daten exportieren oder das Abo fortsetzen kannst; in dieser Zeit findet keine weitere Verarbeitung statt außer der Aufbewahrung.

8.2 Nach Ablauf dieser Frist löschen wir alle in deinem Auftrag verarbeiteten Daten vollständig – einschließlich Gästedaten, E-Mails, Anhängen, Meldescheinen und Umsätzen – und bestätigen dir das auf Anfrage. Sicherungskopien, die die Daten noch enthalten, werden turnusmäßig überschrieben und bis dahin nicht zurückgespielt, außer zur Wiederherstellung nach einem Ausfall; in diesem Fall löschen wir die Daten erneut.

8.3 Von der Löschung ausgenommen sind Daten, die wir selbst gesetzlich aufbewahren müssen (unsere Rechnungen an dich – keine Gästedaten). Deine eigenen Aufbewahrungspflichten (Meldescheine, Rechnungen an Gäste) erfüllst du mit dem Export vor Vertragsende.

Anlage 1: Daten und Betroffene

Betroffene	Datenkategorien
Gäste und Anfragende	Name, Anrede, Anschrift, E-Mail, Telefon, Sprache, Reisezeitraum, Personenzahl (auch Kinder, Haustiere), Buchungs- und Preisdaten, Nachrichtenverläufe (E-Mails, Anhänge), Angebote, Rechnungen, Zahlungsstatus, Notizen des Gastgebers
Gäste mit Meldeschein	Zusätzlich die Angaben des Meldescheins nach §§ 29, 30 BMG bzw. Satzung der Gemeinde: Staatsangehörigkeit, Anzahl Mitreisender und – je nachdem, welche Pflichtfelder du für Gäste mit deutscher bzw. anderer Staatsangehörigkeit einstellst – Geburtsdatum, Anschrift und Ausweisnummer
Zahler (Kontoumsätze)	Name, IBAN, Betrag, Buchungsdatum, Verwendungszweck – aus den über finAPI abgerufenen Umsätzen deines Geschäftskontos; in der Regel Gäste, gelegentlich Dritte
Portal-Buchende	Von Buchungsportalen übermittelte Buchungsdaten: Name, Kontaktdaten, Zeitraum, Preis, Buchungsnummer
Dienstleister (z. B. Reinigungskräfte)	Name, Kontaktdaten, Einsatzplanung, gegebenenfalls Telegram-Verknüpfung und Geräte für Push-Benachrichtigungen
Ansprechpartner vor Ort (z. B. Verwalter)	Name, Kontaktdaten, zugeordnete Ferienhäuser, gewählte Benachrichtigungswege, gegebenenfalls Telegram-Verknüpfung und Geräte für Push-Benachrichtigungen
Du und deine Benutzer	Stimme beim Diktieren im Posteingang (Spracheingabe) – geht direkt vom Gerät an OpenAI, wird nur in Text umgewandelt und von uns nicht gespeichert; gespeichert werden nur Zeitpunkt und Dauer des Diktats
Besucher deiner Website	IP-Adresse und Zugriffsdaten in Server-Protokollen (kurzfristig), Formulareingaben bei Buchungsanfragen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; du solltest sie nicht in Freitextfeldern hinterlegen. Ausweisnummern aus Meldescheinen sind keine besondere Kategorie, aber sensibel – sie sind nur für angemeldete Nutzer deines Kontos sichtbar.

Anlage 2: Unterauftragsverarbeiter

Für alle Konten:

Unternehmen	Leistung	Ort der Verarbeitung
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Hosting der Anwendung, Datenbank, Sicherungen, Versand unserer System-E-Mails	Deutschland

Nur, wenn du den Dienst in deinem Konto aktivierst:

Unternehmen	Leistung	Ort / Grundlage bei Drittland
Beds24 GmbH, Invalidenstraße 65, 10557 Berlin	Kanalpartner für die Buchungskanal-Anbindung: Übermittlung von Verfügbarkeiten, Preisen und Buchungen (mit Gastname und Preis) zwischen besoo und den Portalen	Deutschland
Cloudflare, Inc., 101 Townsend St, San Francisco, USA	Auslieferung deiner Website unter eigener Domain (Namensauflösung, TLS, Weiterleitung); verarbeitet IP-Adressen der Besucher	USA – EU-US Data Privacy Framework
INWX GmbH, Prinzessinnenstr. 30, 10969 Berlin	Domain-Registrierung; erhält deine Inhaberdaten, keine Gästedaten	Deutschland
OpenAI Ireland Ltd., Dublin	KI-Assistent: Auswertung eingehender E-Mails mit Buchungsbezug (Absendername, Betreff, Text der neuesten Nachricht ohne Zitat), Antwortentwürfe und Zusammenfassungen (Verlauf, Buchungs-, Preis- und Hausdaten), Vorschläge von Buchungsdaten, Spracheingabe (Ton direkt vom Gerät; Namen von Häusern, Einheiten, Gastgeber und Gast als Schreibhilfe); keine Nutzung zum Training, Löschung nach spätestens 30 Tagen	Irland; Verarbeitung in den USA möglich – EU-Standardvertragsklauseln

Nicht in dieser Liste: finAPI GmbH (eigenständiger Verantwortlicher, Ziffer 1.3), Telegram (Benachrichtigungen ohne Gästedaten, Ziffer 6.3), die Push-Dienste von Google, Apple, Mozilla und Microsoft (nur verschlüsselte Inhalte, Ziffer 6.4), Stripe (verarbeitet nur deine Daten als Kunde, keine Gästedaten) sowie die Buchungsportale selbst und dein E-Mail-Anbieter (jeweils dein eigener Vertragspartner).

Anlage 3: Technische und organisatorische Maßnahmen

Stand: 2. November 2026. Die Maßnahmen beschreiben, was zum Schutz der Daten tatsächlich eingerichtet ist.

Zutritt, Zugang, Zugriff

• Betrieb in ISO-27001-zertifizierten Rechenzentren der Hetzner Online GmbH in Deutschland mit Zutrittskontrolle, Videoüberwachung, redundanter Stromversorgung und Klimatisierung.
• Administrativer Zugang zum Server nur für autorisierte Administratoren, über verschlüsselte Verbindungen; keine geteilten Konten.
• Anmeldung in der Anwendung mit E-Mail-Adresse und Passwort oder – freiwillig – mit einem Passkey (WebAuthn; der private Schlüssel verlässt das Gerät des Nutzers nicht). Passwörter werden ausschließlich als Hash mit individuellem Salt (bcrypt) gespeichert und sind auch für uns nicht lesbar.
• Zweiter Faktor bei unbekannten Geräten: Meldet sich ein Nutzer mit Passwort von einem Gerät an, das für ihn noch nicht bestätigt ist, muss er zusätzlich einen sechsstelligen Code eingeben, der an seine hinterlegte E-Mail-Adresse geht (gültig 10 Minuten, höchstens 5 Versuche). Bestätigte Geräte werden an einer zufälligen Kennung im Browser erkannt, von der nur ein Hash gespeichert wird; sie verfallen ein Jahr nach der letzten Nutzung.
• Schutz gegen Passwort-Raten: Nach 5 Fehlversuchen je E-Mail-Adresse oder 30 je IP-Adresse innerhalb von 15 Minuten wird die Anmeldung vorübergehend gesperrt.
• Links per E-Mail sind befristet, nur einmal verwendbar und werden nur als Hash gespeichert: Passwort zurücksetzen 15 Minuten, erstes Passwort nach der Registrierung 24 Stunden, Einladung weiterer Benutzer 72 Stunden. Eine neue Login-Adresse gilt erst, wenn sie über einen Link an diese Adresse bestätigt ist (24 Stunden); die bisherige Adresse erhält einen Hinweis.
• Sitzungen über ein Cookie mit den Attributen Secure, HttpOnly und SameSite; die Sitzung läuft 30 Tage nach der letzten Nutzung ab und endet sofort mit dem Abmelden. Nach einer Passwortänderung enden alle anderen Sitzungen des Nutzers, und jedes andere Gerät braucht wieder einen Code.
• Rollen im Kundenkonto: Inhaber (zusätzlich Benutzerverwaltung, Abo und Kontolöschung) und Mitarbeiter. Rollenwechsel und das Entfernen eines Benutzers wirken sofort, auch in einer offenen Sitzung. E-Mails von besoo selbst (z. B. Anmeldecodes und Passwort-Links) werden nicht in den Posteingang der Anwendung übernommen, damit andere Benutzer des Kontos sie nicht lesen können.
• Betreiberfunktionen der Plattform sind vom Kundenbereich getrennt und nur autorisierten Administratoren zugänglich.

Trennung und Weitergabe

• Strikte Mandantentrennung: Jeder Datensatz ist einem Konto zugeordnet, jede Abfrage der Anwendung ist auf das angemeldete Konto eingeschränkt. Websites und Buchungs-Widget sind bewusst öffentlich und zeigen nur, was du zur Veröffentlichung freigibst (z. B. Texte, Bilder, Belegung, Preise), keine Gastdaten. Das Meldeschein-Formular, die Auftragsseite für Reinigungskräfte und die Belegungsseite für Ansprechpartner vor Ort (samt Kalender-Abo) sind nur über nicht erratbare Zugangsschlüssel erreichbar; den Schlüssel einer Reinigungskraft oder eines Ansprechpartners kannst du jederzeit erneuern. Die Belegungsseite zeigt nur die in Ziffer 2.4 genannten Angaben und lädt alle übrigen Gästedaten gar nicht erst.
• Alle Verbindungen zur Anwendung, zu deinem E-Mail-Postfach und zu Fremddiensten sind per TLS verschlüsselt.
• Push-Benachrichtigungen werden je Gerät Ende-zu-Ende verschlüsselt (Web Push nach RFC 8291); der Push-Dienst dazwischen sieht nur verschlüsselte Inhalte.
• Zugangsdaten zu Fremddiensten (E-Mail-Postfach, Bank-Freigabe, Schnittstellen) werden mit AES-256-GCM verschlüsselt gespeichert; der Schlüssel liegt außerhalb der Datenbank in einer nur für den Anwendungsprozess lesbaren Konfigurationsdatei.
• Datenübermittlungen an Fremddienste erfolgen nur, wenn du den Dienst aktiviert hast, und beschränken sich auf die für die Funktion nötigen Felder (siehe Anlage 2).

Integrität und Verfügbarkeit

• Formulare sind gegen Fremdübermittlung (CSRF) geschützt; alle Eingaben werden serverseitig geprüft, Ausgaben gegen Einschleusung (XSS) maskiert, Datenbankzugriffe ausschließlich parametrisiert.
• Öffentliche Formulare sind ratenbegrenzt (IP-Adresse, 24 Stunden) und mit unsichtbaren Feldern gegen automatisierten Missbrauch geschützt.
• Sicherheitsrelevante Vorgänge werden mit Zeitpunkt und IP-Adresse protokolliert: Anmeldungen (auch per Passkey) und fehlgeschlagene Anmeldeversuche, neu bestätigte Geräte, Änderungen von Passwort und Login-Adresse, angelegte und gelöschte Passkeys sowie das Einladen, Entfernen und der Rollenwechsel von Benutzern.
• Tägliche, verschlüsselte Sicherungen von Datenbank und hochgeladenen Dateien am Standort des Rechenzentrums, zusätzlich regelmäßig eine verschlüsselte Kopie außerhalb des Rechenzentrums bei uns in Deutschland (verschlüsselt mit einem öffentlichen Schlüssel, der Schlüssel zum Entschlüsseln wird getrennt davon aufbewahrt); alle Sicherungen werden nach 14 Tagen überschrieben bzw. gelöscht.
• Software-Komponenten werden zeitnah aktualisiert; die Anwendung läuft in getrennten Umgebungen (Entwicklung, Test, Produktion).

Löschung und Organisation

• Löschkonzept mit festen Fristen: Konto 30 Tage nach Vertragsende, Rate-Limit-Einträge und fehlgeschlagene Anmeldeversuche 24 Stunden, bestätigte Geräte ein Jahr nach der letzten Nutzung, Webserver- und Mailserver-Protokolle 7 Tage, Sicherungen 14 Tage, Benachrichtigungen 30/120 Tage.
• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO) wird geführt; Unterauftragsverarbeiter sind vertraglich gebunden (Art. 28 Abs. 4).
• Datenschutzvorfälle werden dokumentiert und nach Ziffer 4.5 gemeldet.
• Ein Datenschutzbeauftragter ist nicht zu benennen (weniger als 20 Personen mit Datenverarbeitung, § 38 Abs. 1 BDSG); Ansprechpartner: kontakt@besoo.de.