Zum Inhalt springen
Rechtliches

Sicherheit & Datenschutz

Stand: Oktober 2026

Vorlage: Alle Angaben in [eckigen Klammern] muss der Betreiber vor der Veröffentlichung ausfüllen. Die Texte sind ein Ausgangspunkt und ersetzen keine Rechtsberatung.

In Bürofy liegen Rechnungen, Kundendaten und Ihre Buchhaltung. Diese Seite beschreibt, wie wir sie schützen – zugleich die technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO als Anlage zum Auftragsverarbeitungsvertrag.

Zutritts- und Zugangskontrolle

  • [Rechenzentrum mit Zutrittskontrolle, Videoüberwachung und Zertifizierung (z. B. ISO 27001) beim Hosting-Anbieter]
  • Anmeldung nur mit persönlichem Konto; Passwörter ausschließlich als bcrypt-Hash gespeichert
  • Drosselung von Anmelde-, Registrierungs- und Passwort-Zurücksetzen-Versuchen gegen Passwortraten; gleiche Antwortzeit für unbekannte Konten
  • Sitzungs-Cookie nur über HTTPS, nicht per Skript lesbar (HttpOnly, SameSite); Sitzungen werden bei Passwort- und E-Mail-Änderung beendet
  • Passwort-Links sind einmalig, zeitlich begrenzt und reaktivieren keine gesperrten Konten
  • [Administrativer Zugang zu Servern nur per Schlüssel und für namentlich benannte Personen]

Zugriffskontrolle und Trennung

  • Strikte Mandantentrennung: jede Datenbankabfrage ist auf den eigenen Betrieb beschränkt
  • Rollen mit abgestuften Rechten (Inhaber, Administrator, Büro / Projektleitung, Mitarbeiter/Monteur)
  • Monteure sehen nur zugewiesene Projekte und freigegebene Dateien, keine Preise, Belege oder Kundenlisten
  • API-Schlüssel und Verbindungen zu KI-Assistenten sind widerrufbar und nur als Hash gespeichert

Weitergabe- und Eingabekontrolle

  • Transportverschlüsselung per TLS; HSTS, Schutz vor Einbettung in fremde Seiten (Clickjacking) und weitere Sicherheits-Header
  • Webhooks nur mit Signatur bzw. Geheimnis (Zahlungsanbieter, Telefonie, E-Mail-Eingang)
  • Öffentliche Links (Online-Angebot, Bericht unterschreiben) mit zufälligen 192-Bit-Schlüsseln; Unterschriftslinks nur als Hash gespeichert und befristet
  • Änderungsprotokoll für relevante Vorgänge; festgeschriebene Belege mit Belegsiegel (Prüfsumme) und Festschreibung nach GoBD
  • Hochgeladene Dateien werden am Inhalt erkannt; aktive Inhalte (HTML, Skripte) werden nie im Browser ausgeführt
  • Exporte (CSV/DATEV) gegen Formel-Einschleusung geschützt

Verschlüsselung

  • Gespeicherte Zugangsdaten (z. B. SMTP-Passwörter, Bankzugänge) mit AES-256-GCM verschlüsselt
  • [Verschlüsselung der Datenträger und Datensicherungen im Rechenzentrum]

Verfügbarkeit und Belastbarkeit

  • [Tägliche, verschlüsselte Datensicherung mit Aufbewahrung von [Anzahl] Tagen an einem getrennten Standort]
  • [Regelmäßig geprüfte Wiederherstellung aus der Datensicherung]
  • [Überwachung von Erreichbarkeit und Fehlern mit Alarmierung]
  • Begrenzung von Upload-Größen und Anfragen gegen Überlastung

Überprüfung und Datenschutz durch Technik

  • Automatische Tests (Unit- und End-to-End-Tests der Kernabläufe und Rechte) bei jeder Änderung
  • Sicherheitsprüfung des Quellcodes (zuletzt Oktober 2026) mit Behebung aller Befunde der Stufen kritisch/hoch
  • Keine Analyse- oder Werbe-Tracker; Schriftarten vom eigenen Server; KI-Funktionen abschaltbar
  • Datenexport aller Daten jederzeit durch den Betrieb; Löschung des Kontos durch den Inhaber

Dienstleister

Welche Dienstleister wofür eingesetzt werden, steht unter Unterauftragnehmer.

Sicherheitslücke gefunden?

Bitte melden Sie sie vertraulich an [security@…]. Wir bestätigen den Eingang innerhalb von zwei Werktagen und informieren Sie über die Behebung.