Technische und organi­satorische Maßnahmen

1. Vertraulichkeit

Zutritt zu den Rechenzentren

• Die Server stehen in Rechenzentren der Hetzner Online GmbH in Deutschland. Den Zutritt regelt der Hoster.
• Standorte: Vom Inhaber zu bestätigen: Standorte der Rechenzentren.
• Nachweis: Vom Inhaber zu bestätigen: Nachweis des Hosters zur physischen Sicherheit.

Zugang zu den Systemen

• Anmeldung an der Anwendung nur mit E-Mail-Adresse und persönlichem Passwort; mindestens zehn Zeichen, gespeichert nur als scrypt-Hash mit eigenem Salz.
• Nach acht Fehlversuchen innerhalb von 15 Minuten werden weitere Anmeldeversuche gesperrt, getrennt je E-Mail-Adresse und je IP-Adresse.
• Signierte Sitzungscookies (HMAC, HttpOnly, SameSite=Lax), Ablauf spätestens nach 14 Tagen; ein Passwortwechsel oder eine Sperre beendet alle Sitzungen.
• Einladungslinks gelten einmal und sieben Tage und werden nur als Hash gespeichert.
• Administrativer Zugang zu den Servern: Vom Inhaber zu bestätigen: wer Zugang hat und wie er geschützt ist.

Zugriff auf Daten

• Rollen je Firma: Inhaber, Bearbeiter, Leser. Die Rechte prüft der Server bei jeder Anfrage.
• Jede Abfrage prüft, ob ein Datensatz zur angemeldeten Firma gehört. Das gilt auch für Dateien, Hintergrundaufträge und die Werkzeuge des Assistenten.
• Der Assistent handelt nur mit den Rechten der angemeldeten Person; unumkehrbare Schritte brauchen einen Klick.
• Plattformzugang des Betreiberteams: Vom Inhaber zu bestätigen: wer darauf zugreifen darf, wofür und wie Zugriffe festgehalten werden.

Trennung

• Jede Firma ist ein eigener Mandant mit eigenem Team, Firmenwissen, Vorgängen und Dateien.
• Dateien liegen in getrennten Verzeichnissen je Firma; Pfade werden gegen Ausbrechen aus der Ablage geprüft.
• Öffentliche Bekanntmachungen sind für alle gleich; alles, was eine Firma daraus macht, gehört nur ihr.

Pseudonymisierung und Verschlüsselung

• Übertragung zwischen Browser und Zuschlag.ai nur verschlüsselt (TLS).
• E-Mail-Versand an den Mailserver verschlüsselt (TLS).
• Verbindung zwischen Anwendungsserver und KI-Server: Vom Inhaber zu bestätigen: Verschlüsselung der Verbindung.
• Gespeicherte Daten: Vom Inhaber zu bestätigen: Verschlüsselung der Datenträger für Datenbank, Dateien und Sicherungen.
• Passwörter und Einladungslinks nur als Hash. Bei Demo-Anfragen speichern wir statt der IP-Adresse einen täglich wechselnden Prüfwert.

2. Integrität

Weitergabe

• Für KI-Aufgaben werden keine Daten an Dritte übermittelt. Sprachmodell, Spracherkennung und Sprachausgabe laufen auf eigenen Servern.
• Keine Übermittlung in Länder außerhalb der Europäischen Union.
• Abrufe der Anwendung ins Internet (Einrichtung über Ihre Website) gehen nur an öffentliche Adressen.

Eingabe und Änderung

• Der Verlauf jedes Angebotsvorgangs hält fest, wer wann was getan hat, auch der Assistent.
• Entscheidungen und Statuswechsel im Radar werden mit Person und Zeitpunkt gespeichert.
• Originale der Vergabeunterlagen sind schreibgeschützt; bearbeitet werden nur Kopien.
• Texte aus Unterlagen und Websites gelten für den Assistenten als Daten, nicht als Anweisungen.

3. Verfügbarkeit und Belastbarkeit

• Sicherungen: Vom Inhaber zu bestätigen: Rhythmus, Aufbewahrung, Ort und Verschlüsselung der Sicherungen.
• Wiederherstellung: Vom Inhaber zu bestätigen: wie oft die Wiederherstellung geprobt wird.
• Die Dienste laufen in Containern, die nach einer Störung von selbst neu starten; eine Gesundheitsprüfung meldet, ob die Anwendung antwortet.
• Fällt der KI-Server aus, übernimmt ein zweiter eigener Server.
• Uploads haben eine Größengrenze; ZIP-Archive werden mit Schutz gegen Archivbomben entpackt.
• Überwachung: Vom Inhaber zu bestätigen: Überwachung der Verfügbarkeit und Alarmierung.

4. Regelmäßige Überprüfung

• Änderungen an der Anwendung prüft eine automatisierte Testsuite, unter anderem Mandantentrennung, Anmeldung und Zugriffsrechte. Nach jeder Auslieferung läuft ein Rauchtest.
• Überprüfung dieser Maßnahmen: Vom Inhaber zu bestätigen: Rhythmus und Verantwortung.

5. Organisation

• Verarbeitung nur auf Weisung des Kunden, geregelt im Vertrag zur Auftragsverarbeitung.
• Vertraulichkeit: Vom Inhaber zu bestätigen: Verpflichtung der Beschäftigten auf Vertraulichkeit.
• Datenschutzbeauftragter: Vom Inhaber zu bestätigen: benannt mit Kontakt oder nicht erforderlich.
• Meldung von Datenschutzverletzungen an Kunden: Vom Inhaber zu bestätigen: Frist und Weg der Meldung.
• Unterauftragsverarbeiter nur nach vorheriger Information des Kunden; aktuelle Liste unter Unterauftragsverarbeiter.
• Löschung: Demo-Anfragen, die erledigt oder als Spam markiert sind, löscht Zuschlag.ai automatisch 90 Tage nach diesem Vermerk. Kundendaten bei Vertragsende: Vom Inhaber zu bestätigen: Fristen für Rückgabe und Löschung, auch in Sicherungen.