← Zurück zu BMA Log

Rechtliches

Technische und organisatorische Maßnahmen (TOM)

Maßnahmen nach Art. 32 DSGVO, mit denen wir die Daten in BMA Log, BMA Log Go und BMA Office schützen. Diese Übersicht ist Anlage 2 der Vereinbarung zur Auftragsverarbeitung.

Stand: November 2026

1. Grundsatz

Die Maßnahmen richten sich nach Art, Umfang, Umständen und Zwecken der Verarbeitung sowie nach Eintrittswahrscheinlichkeit und Schwere der Risiken für die betroffenen Personen. Beschrieben sind die tatsächlich umgesetzten Maßnahmen. Wir überprüfen sie bei technischen Änderungen und entwickeln sie weiter, ohne das vereinbarte Schutzniveau zu unterschreiten.

2. Infrastruktur und physische Sicherheit

  • Wir betreiben keine eigenen Server. Anwendung, Datenbank und Dateispeicher laufen bei Cloudflare, die Anmeldung bei Supabase (siehe Unterauftragsverarbeiter). Zutritt zu den Rechenzentren und deren physische Sicherung liegen bei diesen Anbietern und richten sich nach deren Vertragsunterlagen.
  • Datenbank und Dateispeicher werden nach Angaben von Cloudflare im Ruhezustand verschlüsselt gespeichert. Die produktive D1-Datenbank ist mit EU-Jurisdiktion und Region Osteuropa eingerichtet; die Lesereplikation war bei der Prüfung am 03.11.2026 deaktiviert. R2-Dateien liegen in einem Speicher mit EU-Jurisdiktion. Der Supabase-Auth-Produktivstandort ist eu-west-2 (London, Vereinigtes Königreich). Verarbeitung über die weltweiten Netzwerke bzw. Supportzugriffe ist dadurch nicht generell ausgeschlossen.
  • Zugangsdaten und Schlüssel für die eingesetzten Dienste sind nicht im Quellcode enthalten, sondern als geschützte Laufzeitgeheimnisse hinterlegt.
  • Zugriff auf die Verwaltungskonten der Anbieter haben nur Personen, die ihn für Betrieb und Entwicklung benötigen.

3. Anmeldung (Zugangskontrolle)

  • Die Anmeldung erfolgt über den Anmeldedienst Supabase Auth. Passwörter werden nicht in der Datenbank der Anwendungen gespeichert. Ein Konto ist erst nach Bestätigung der E-Mail-Adresse nutzbar.
  • Jeder Benutzer kann eine Zwei-Faktor-Anmeldung mit einer Authenticator-App (TOTP) einrichten. Ist sie eingerichtet, verlangen BMA Log, BMA Office und BMA Log Go den zweiten Faktor bei jeder Anmeldung.
  • Die Anmeldung per E-Mail-Link ist mit PKCE gegen das Abfangen des Links abgesichert.
  • Zugriffstoken gelten höchstens eine Stunde, eine Anmeldung lässt sich höchstens sieben Tage ohne erneute Eingabe verlängern. Im Browser liegen die Token in Cookies mit den Attributen HttpOnly, Secure und SameSite=Lax; die Cookies von BMA Office gelten nur für dessen Bereich.
  • BMA Log Go speichert die Anmeldung im geschützten Speicher des Betriebssystems (iOS: Schlüsselbund; Android: mit dem Android Keystore verschlüsselter Speicher).
  • Anmeldeversuche, Codes der Zwei-Faktor-Anmeldung, Einladungscodes und sicherheitsrelevante Kontoaktionen sind auf zehn Versuche je zehn Minuten begrenzt.
  • Beim Abmelden werden die Anmelde-Cookies gelöscht; BMA Log Go entfernt dabei alle Daten des Kontos vom Gerät.
  • Firmenadministratoren können Benutzer sperren. Gesperrte Benutzer und nicht freigegebene oder gesperrte Firmen erhalten keinen Zugang.

4. Berechtigungen (Zugriffskontrolle)

  • BMA Log unterscheidet die Rollen Administration, Projektleiter, Techniker und Kunde. Für Projektleiter und Techniker legt die Firmenadministration einzeln fest, ob sie Anlagen hinzufügen oder bearbeiten, Daten importieren, Dokumente hochladen, Termine bearbeiten, Prüfungen starten oder abschließen und Berichte per E-Mail versenden dürfen.
  • Der Zugriff kann auf einzelne Anlagen beschränkt werden. Kunden sehen nur die ihnen zugeordneten Anlagen sowie die für sie freigegebenen Abschlüsse und Dokumente.
  • BMA Office unterscheidet die Rollen Firmenadmin, Disposition, Projektleiter und Techniker; Lager und Fuhrpark verwalten nur Firmenadmin und Disposition.
  • BMA Log und BMA Office werden je Firma und je Benutzer gesondert freigeschaltet.
  • Jede Anfrage wird serverseitig gegen Firma, Rolle, Berechtigung und Anlagenzuordnung geprüft. Dateien werden erst nach dieser Prüfung ausgeliefert.
  • Die Plattformadministration verwaltet Firmenkonten, Freischaltungen und Einladungen. Sie sieht Firmen- und Benutzerkonten (Name, E-Mail-Adresse, Rolle), hat aber keinen Zugriff auf Anlagen-, Prüf-, Auftrags- oder Rechnungsdaten anderer Firmen.

5. Mandantentrennung (Trennungskontrolle)

  • Alle Daten einer Firma tragen deren Firmenkennung. Abfragen werden serverseitig auf die Firma des angemeldeten Benutzers beschränkt; Verweise auf Datensätze anderer Firmen werden abgelehnt. Automatisierte Tests prüfen diese Trennung.
  • Eine E-Mail-Adresse kann jeweils nur einer Firma zugeordnet sein.
  • Testversionen laufen in einer getrennten Umgebung mit eigener Datenbank und eigenem Dateispeicher. Prüfungen beim Bauen verhindern, dass eine Testumgebung auf die Produktivdatenbank oder den Produktiv-Dateispeicher zugreift.
  • Automatisierte Tests arbeiten ausschließlich mit Testdaten.

6. Übertragung und Weitergabe (Weitergabekontrolle)

  • Website, Anwendungen und die Schnittstelle für BMA Log Go werden über HTTPS bereitgestellt; BMA Log Go verbindet sich ausschließlich verschlüsselt mit dem Server.
  • Schreibende Anfragen aus dem Browser werden nur angenommen, wenn sie von der eigenen Website stammen (Prüfung der Herkunft).
  • E-Mails mit Berichten, Rechnungen oder anderen Unterlagen werden nur auf Veranlassung eines berechtigten Benutzers an die von ihm gewählten Empfänger versendet; Empfängeradressen werden geprüft. In BMA Log werden Empfänger und Anhänge vor dem Versand ausdrücklich bestätigt und die Zahl der Versandaufträge je Firma begrenzt.
  • Kalender lassen sich nur über HTTPS-Abonnementlinks von Google, Microsoft (Outlook) und Apple (iCloud) einbinden.
  • An den KI-Dienst wird nur der für die jeweilige Anfrage zusammengestellte Kontext übermittelt, Handbücher und Fotos nur bei ausdrücklicher Auswahl. Die Speicherung der Antworten beim Anbieter ist deaktiviert.
  • Exporte enthalten keine Schlüssel, Sitzungen, Kalender-Zugangsdaten oder Einladungscodes.

7. Verschlüsselung und Schlüssel

  • Verbindungen zu Website, Anwendungen und App sind per TLS verschlüsselt.
  • Schlüssel für den KI- und den E-Mail-Dienst sowie Kalender-Abonnementlinks werden vor dem Speichern mit AES-GCM verschlüsselt. Der dafür verwendete Schlüssel wird getrennt von der Datenbank als Laufzeitgeheimnis verwaltet.
  • Gespeicherte Schlüssel werden nicht wieder an den Browser ausgegeben; angezeigt wird nur, ob ein Schlüssel hinterlegt ist.
  • Anmeldetoken sind für Skripte im Browser nicht lesbar.

8. Integrität und Nachvollziehbarkeit (Eingabekontrolle)

  • Alle Eingaben werden serverseitig nach festen Schemata geprüft; Anfrage- und Dateigrößen sind begrenzt.
  • Hochgeladene Dateien werden anhand ihres Inhalts und des vorgesehenen Verwendungszwecks geprüft.
  • Eine Versionsprüfung verhindert, dass parallele Bearbeitungen ältere Stände unbemerkt überschreiben.
  • Abgeschlossene Prüfungen werden als eigener Stand gespeichert und nicht nachträglich verändert. Wird ein Abschluss entfernt, wird die Prüfung wieder geöffnet und der Vorgang protokolliert.
  • Rechnungen in BMA Office werden mit der Ausstellung festgeschrieben; Korrekturen erfolgen über Stornorechnungen.
  • Programmstände werden mit einer Prüfsumme (SHA-256) abgelegt.
  • Wesentliche Aktionen in BMA Log und BMA Office werden mit Benutzer und Zeitpunkt im Aktivitätsprotokoll festgehalten. Der E-Mail-Versand wird mit Empfänger, Betreff, Status und Zeitpunkt protokolliert.

9. Verfügbarkeit und Wiederherstellung

  • Für die Datenbank stehen Wiederherstellungspunkte des Anbieters (Cloudflare D1 Time Travel) für einen begrenzten Zeitraum zur Verfügung. Dateien speichert der Anbieter nach eigenen Angaben redundant.
  • Vor jeder Auslieferung einer neuen Version wird automatisiert geprüft, dass sich eine Sicherung der Datenbank mit dem vollständigen Datenbankschema erstellen und in eine neue Datenbank zurückspielen lässt und dass die Löschfristen nur abgelaufene Daten erfassen.
  • Eine Wiederherstellung der Produktivdatenbank wird nicht automatisch ausgelöst. Im Störungsfall führt sie eine administrativ berechtigte Person nach einer dokumentierten Prüfliste durch; Zeitpunkt, Wiederherstellungspunkt und Prüfergebnis werden dokumentiert.
  • Firmenadministratoren können jederzeit einen Export der BMA-Log-Daten ihrer Firma einschließlich der Originaldateien (bis 10 MB) herunterladen.
  • Von der Firmenadministration entfernte Anlagen, Importe und Abschlüsse kommen zunächst in einen Papierkorb und können wiederhergestellt werden.
  • BMA Log Go arbeitet ohne Verbindung weiter und überträgt unterstützte Änderungen später; zugewiesene Anlagendokumente werden für die Offline-Nutzung automatisch vorbereitet. Auch Inbetriebnahme- und Auslöseprüfungen besitzen eine lokale Warteschlange. Konflikte werden erkannt und nicht stillschweigend überschrieben.
  • Ist die Datenbank oder der Dateispeicher nicht erreichbar, bricht die Anwendung kontrolliert ab, statt Daten unvollständig zu speichern.

10. Löschung und Datenminimierung

  • Automatisch gelöscht werden Zähler zur Begrenzung von Anfragen nach Ablauf des laufenden und des vorherigen Zehn-Minuten-Fensters bzw. bei der nächsten täglichen Bereinigung, abgelaufene Einladungen 30 Tage nach Ablauf sowie Aktivitäts- und Versandprotokolle nach 180 Tagen. Die Bereinigung wird durch Anmeldevorgänge angestoßen und läuft höchstens einmal pro Kalendertag.
  • Anlagen-, Kunden-, Prüf-, Auftrags-, Rechnungs- und Dateidaten werden nicht automatisch gelöscht; für sie gelten Vertrag, Weisungen der Firma und gesetzliche Aufbewahrungspflichten.
  • Benutzer können ihr Konto selbst löschen.
  • Die Anwendungen speichern keine Zugriffsprotokolle mit IP-Adressen. Demoanfragen und Fragen an die KI-Hilfe werden nicht in der Datenbank gespeichert; zum Schutz vor Missbrauch wird die IP-Adresse dabei nur als Hashwert verarbeitet.
  • Kundenzugänge sehen nur einen eingeschränkten Datenumfang.

11. Organisatorische Maßnahmen

  • Neue Versionen werden ausschließlich aus dem Hauptzweig über eine automatisierte Auslieferung bereitgestellt. Vorher müssen Typprüfung, automatisierte Tests der Kernfunktionen und Berechtigungen, die Wiederherstellungsprobe, der Build und Prüfungen der Produktivkonfiguration erfolgreich sein. Nach der Auslieferung werden die wichtigsten Seiten automatisch geprüft.
  • Änderungen an Anmeldung, Berechtigungen, Datenübermittlungen und Dateizugriffen behandeln wir als sicherheitsrelevant und sichern sie durch automatisierte Tests ab.
  • Neue Dienstleister setzen wir erst ein, nachdem wir sie in die Liste der Unterauftragsverarbeiter aufgenommen und die Firmen informiert haben.
  • Sicherheits- und Datenschutzvorfälle bewerten wir nach Ursache, betroffenen Daten und erforderlichen Maßnahmen. Betroffene Firmen informieren wir unverzüglich, damit sie ihre eigenen Pflichten erfüllen können.
  • Wir überprüfen die Maßnahmen bei wesentlichen Änderungen, beim Einsatz neuer Dienstleister und nach Sicherheitsvorfällen.