Datensicherheit

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Anlage 1 zum Auftragsverarbeitungsvertrag, Version 2026-10-de-2.

Imovara Property CloudStand: 20.10.2026

1. Vertraulichkeit

Betrieb ausschließlich in Rechenzentren der IONOS SE (Deutschland) und der Hetzner Online GmbH (Falkenstein, Deutschland), die nach ISO/IEC 27001 zertifiziert sind; Zutrittsschutz durch die Rechenzentrumsbetreiber.
Kein Betrieb eigener Server in Büro- oder Wohnräumen.

Serverzugang ausschließlich per SSH-Schlüssel; Anmeldung per Passwort deaktiviert, auch für das Administratorkonto.
Firewall mit Freigabe nur der benötigten Ports; Datenbank nicht aus dem Internet erreichbar.
Passwörter der Nutzer werden ausschließlich mit Argon2 gehasht gespeichert.
Zwei-Faktor-Authentifizierung für alle administrativen Konten bei Hosting-, Storage- und E-Mail-Anbietern.
Serverseitige Sitzungen in sicheren, Host-only, HttpOnly-Cookies; automatische Abmeldung nach zwei Stunden Inaktivität.
Rate Limits und Bot-Schutz für Anmeldung und Formulare.

Rollen- und objektbezogenes Berechtigungskonzept; Mieter-Nutzer sehen ausschließlich die für sie freigegebenen Daten.
Serverseitige Prüfung jeder Zugriffsberechtigung.
Administrativer Zugriff auf Kundendaten nur durch den Inhaber und nur zur Leistungserbringung, für Support auf Anforderung oder zur Störungsbehebung; administrative Zugriffe werden protokolliert.
Zugriff auf Dateien nur über signierte, zeitlich begrenzte URLs.

Logische Mandantentrennung: Jeder Datensatz ist einem Kunden zugeordnet; mandantenübergreifende Zugriffe werden serverseitig ausgeschlossen.
Trennung von Produktiv- und Entwicklungsumgebung; in der Entwicklung werden keine echten Kundendaten verwendet.

Übermittlung an Unterauftragsverarbeiter ausschließlich verschlüsselt und nur im in Anlage 2 beschriebenen Umfang.
Push-Benachrichtigungen enthalten keine Inhalte aus Nachrichten oder Dokumenten.

Audit-Protokollierung sicherheitsrelevanter und administrativer Vorgänge (z. B. Anmeldungen, Rechteänderungen, Löschungen) mit Zeitpunkt und Konto; Aufbewahrung zwölf Monate.
Eingabevalidierung und Größenbeschränkungen für Uploads.
Transaktionale Datenbankänderungen; idempotente Verarbeitung von Zahlungs- und Webhook-Ereignissen.

Tägliche Datenbanksicherung mit Prüfung auf Vollständigkeit; die Sicherungen liegen auf dem Anwendungsserver in einem nur für den Administrator zugänglichen Verzeichnis.
Aufbewahrung der Sicherungen: 14 Tage; ältere Stände werden automatisch gelöscht.
Prozessüberwachung mit automatischem Neustart (PM2) und Health-Checks der Anwendung.
Wiederholungsmechanismen für E-Mail- und Storage-Vorgänge.
Zeitnahes Einspielen von Sicherheitsupdates für Betriebssystem und Abhängigkeiten, bei kritischen Lücken innerhalb von 72 Stunden.

Wiederherstellungspunkt (RPO): maximal 24 Stunden, soweit der Server selbst erhalten bleibt. Eine zusätzliche Sicherung außerhalb des Servers ist in Vorbereitung.
Wiederanlaufzeit (RTO): Ziel innerhalb von 24 Stunden.
Dokumentierter Wiederherstellungsprozess; Wiederherstellungstest mindestens vierteljährlich mit Protokoll.

Mindestens jährliche Überprüfung dieser Maßnahmen sowie nach wesentlichen technischen Änderungen.
Regelmäßige automatisierte Prüfung von Abhängigkeiten auf bekannte Sicherheitslücken.
Quartalsweise Überprüfung von Zugängen und Berechtigungen.
Dokumentierter Prozess für Sicherheitsvorfälle einschließlich Meldung an Verantwortliche (siehe § 8 AVV).
Lösch- und Aufbewahrungskonzept mit automatisierter Löschung von Webserver-Logfiles (14 Tage), Anwendungs- und Datenbankprotokollen (höchstens 30 Tage) und Sicherheitsprotokollen (12 Monate).
Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern; Prüfung bei Auswahl und bei Änderungen.