Sicherheit & Datenschutz bei Bürofluss

Diese Seite erklärt in Alltagssprache, wie Bürofluss die Daten Ihrer Klientinnen und Klienten schützt. Die vollständige, rechtlich verbindliche Fassung finden Sie in den technischen und organisatorischen Maßnahmen sowie im Vertrag zur Auftragsverarbeitung, die wir Ihnen auf Anfrage zusenden. Weicht diese Seite von jenen Dokumenten ab, gelten die dortigen Angaben.

Speicherort Ihrer Daten: deutsches Rechenzentrum statt US-Cloud

Bürofluss läuft auf einem eigenen Server in einem deutschen Rechenzentrum. Anwendung, Datenbank und Dateiablage befinden sich an einem Ort: es gibt keine Auslagerung an einen US-amerikanischen Cloud-Anbieter. Die Daten der von Ihnen betreuten Personen verlassen die Europäische Union nicht.

Mandantentrennung: wie Ihre Konten voneinander getrennt sind

Jedes Betreuungsbüro sieht ausschließlich seine eigenen Daten. Diese Trennung ist nicht nur eine Regel in der Software, sondern zusätzlich auf Ebene der Datenbank selbst technisch erzwungen: ein Schutz an zwei unabhängigen Stellen statt an nur einer.

Zwei-Faktor-Authentifizierung (2FA): wie Ihre Zugänge geschützt sind

Sie können die Zwei-Faktor-Authentifizierung für Ihre gesamte Organisation verbindlich vorschreiben. Solange Sie das nicht tun, ist sie für Ihre Mitarbeitenden optional. Wir empfehlen ausdrücklich, sie verbindlich zu schalten.

Wie Gesundheits- und Vermögensdaten geschützt werden (Art. 9 DSGVO)

Strukturierte Angaben mit besonderem Schutzbedarf, insbesondere Gesundheitsangaben sowie Bank- und Vermögensdaten, sind im Ruhezustand feldverschlüsselt; die Schlüssel liegen getrennt von der Datenbank. Frei geschriebener Text in Dokumenten, Aktenvermerken und Korrespondenz unterliegt dieser Feldverschlüsselung noch nicht. Eine vollständige Verschlüsselung des gesamten Datenbestands auf Datenträgerebene ist vorgesehen, aber zum jetzigen Stand noch nicht umgesetzt.

Revisionssichere Buchungsführung: keine nachträglichen Änderungen

Buchungssätze werden ausschließlich hinzugefügt, niemals nachträglich verändert. Eine Korrektur erfolgt als Gegenbuchung, nicht durch Überschreiben. Das ist sowohl in der Anwendung als auch in der Datenbank selbst erzwungen.

Aufbewahrungsfrist für Buchungsdaten: 8 Jahre nach § 257 HGB

Für Buchungsbelege schreibt das Handelsgesetzbuch (§ 257 HGB) eine Aufbewahrungsfrist von acht Jahren vor. Ist diese Frist für eine Buchung abgelaufen, entfernt ein automatischer nächtlicher Lauf ausschließlich ihre Freitextfelder: Beschreibung, Kategorie, Belegnummer. Betrag, Buchungs- und Wertstellungsdatum bleiben unverändert erhalten, weil sie für die Nachvollziehbarkeit der Buchungshistorie auch nach Fristablauf noch gebraucht werden.

Backup & Datensicherung: wie Ihre Daten gesichert werden

Ihre Daten werden automatisch gesichert: täglich um 2:30 Uhr nachts, inklusive aller zugehörigen Dateien, mit einem wöchentlichen Test, dass sich diese Sicherung tatsächlich wiederherstellen lässt. Zum jetzigen Stand liegt diese Sicherung noch auf demselben Server wie die Produktivdatenbank. Eine zusätzliche Kopie an einem zweiten Standort ist vorgesehen, aber noch nicht umgesetzt. Bis dahin schützt sie vor Datenverlust durch fehlerhafte Änderungen oder Softwarefehler, nicht aber vor einem vollständigen Ausfall des Servers selbst.

Sicherheitstests: wie wir Schwachstellen finden, bevor Sie es tun

Vor jeder größeren Änderung lassen wir eine eigene Testreihe laufen, die sich an anerkannten Prüfkatalogen orientiert: Zugriffsschutz zwischen Organisationen, Angriffe auf die Anmeldung, Rate-Limiting und typische Web-Schwachstellen. Gefundene Punkte beheben wir, bevor sie live gehen. Eine kostenpflichtige externe Zertifizierung ist bei der aktuellen Größe des Programms nicht vorgesehen.

Was bei einer Datenschutzverletzung passiert

Wir melden Ihnen eine Verletzung des Schutzes personenbezogener Daten innerhalb von 24 Stunden nach Kenntnis, einen begründeten Verdacht innerhalb von 48 Stunden, mit allen Angaben, die Sie für Ihre eigene Meldung an die Aufsichtsbehörde benötigen.

Weiterführende Unterlagen: TOM, AVV und Unterauftragsverarbeiter

Die vollständige, für Datenschutzbeauftragte und juristische Prüfung gedachte Fassung dieser Angaben, die technischen und organisatorischen Maßnahmen, senden wir Ihnen auf Anfrage zu. Wie die Verarbeitung Ihrer Klientendaten vertraglich geregelt ist, steht im Vertrag zur Auftragsverarbeitung, den wir Ihnen ebenfalls auf Anfrage vorab zusenden und der nach Vertragsschluss dauerhaft in Ihrem Kundenkonto abrufbar ist. Welche externen Dienstleister wir einsetzen, listet die dort als Anlage beigefügte Liste der Unterauftragsverarbeiter.