Sicherheit und Datenschutz
Gebaut für sensible Daten.
Schadenakten enthalten Namen, Adressen, Fotos aus Wohnungen und Rechnungen. MeduSafe ist von Anfang an darauf ausgelegt. Hier finden Ihre IT, Ihr Datenschutzbeauftragter und Ihre Compliance die Maßnahmen im Überblick.
Deutschland
Standort der Server und Dateien
über 2.500
Automatische Prüfungen der Mandantentrennung bei jeder Änderung
24 h
Reaktionsfrist bei kritischen Sicherheitslücken
01
Hosting und Sicherung
- Server und Dateien in Deutschland: Hetzner, Rechenzentrum Falkenstein
- Alle Verbindungen ins Internet verschlüsselt (TLS, HSTS)
- E-Mail-Versand und -Empfang über Dienstleister mit Sitz in der EU
- Sicherung der Datenbank täglich, dazu laufende Protokollsicherung; 30 Tage aufbewahrt, verschlüsselt (AES-256)
- Wiederherstellung jede Woche auf einem zweiten Server geprobt
02
Anmeldung
- Makler und Betriebe: Passwort mit mindestens 12 Zeichen plus zweiter Faktor (App-Code oder Passkey), Backup-Codes
- Hausverwaltung und Bewohner: Anmeldelink per E-Mail, 15 Minuten gültig, nur einmal nutzbar
- Sperre für 15 Minuten nach zehn Fehlversuchen, erneute Bestätigung vor sensiblen Aktionen
- Sitzungsübersicht mit Abmelden; Hinweis-Mail bei Änderungen an Passwort und zweitem Faktor
03
Mandantentrennung und Rechte
- Jeder Makler ist ein eigener Mandant; Rechte je Rolle: Inhaber, Admin, Sachbearbeitung, Mitglied, Lesezugriff
- Bei jeder Änderung automatisch geprüft: jede Schnittstelle aus acht Blickwinkeln (ohne Anmeldung, fremder Makler, Betrieb, Hausverwaltung, Bewohner, Betreiber und weitere)
- Support des Betreibers nur nach Freigabe durch den Makler – 24 Stunden, nur lesend, protokolliert
04
Datensparsamkeit im Ablauf
- Betriebe sehen in der Anfrage die Objektadresse, aber keine Kontaktdaten; Name und Telefon des Bewohners erst ab dem Auftrag
- Bewohner sehen keine Beträge, keine Angebote und keine internen Notizen
- Hausverwaltungen sehen nur ihre eigenen Objekte
05
Dateien und Fotos
- Virenscan jeder Datei, bevor sie sichtbar wird
- Standortdaten (EXIF, GPS) werden aus den angezeigten Fotos entfernt
- Abruf nur über zeitlich begrenzte Links; Sichtbarkeit je Rolle geregelt
06
Protokollierung
- Jede Änderung mit Person und Zeitpunkt im Protokoll
- Einträge werden nur angefügt – Ändern ist gesperrt; gelöscht wird nur im protokollierten Löschlauf nach Ablauf der Aufbewahrungsfrist
- Stellvertretende Eingaben des Maklers sind gekennzeichnet
07
Datenschutz nach DSGVO
- Löschkonzept nach DIN 66398: Fristen als Regeln, monatlicher Löschvorschlag mit Bestätigung
- Betroffenenrechte: Selbstauskunft als ZIP, Lösch- und Berichtigungsanträge mit Frist
- Einwilligungen werden bei der Meldung eingeholt und gespeichert
08
Rechnungen und Archiv
- E-Rechnung: XRechnung (UBL, CII), ZUGFeRD und PDF; Prüfung der Pflichtangaben und Rechenregeln nach EN 16931
- Original bleibt unverändert; Archivkopie unveränderbar (Object Lock) für zehn Jahre nach GoBD
- Prüfprotokoll mit Prüfsumme (SHA-256)
- Aktenauszug, Auftragsbestätigung, Schadenanzeige und Monatsbericht als PDF/A-2b
09
Betrieb und Qualität
- Laufende Überwachung mit automatischer Alarmierung
- Täglicher Abgleich mit Sicherheitsmeldungen; Fristen: kritisch 24 Stunden, hoch 7 Tage, mittel 30 Tage
- Prüfung auf bekannte Schwachstellen vor jeder Auslieferung; über 140 automatische Browser-Tests
10
Barrierefreiheit
- Ziel WCAG 2.1 AA, vor allem für den Weg der Bewohner
- Automatische Prüfung in jedem Testlauf, Bedienung per Tastatur, Tippflächen mindestens 44 Pixel
- Große Schrift und hohe Kontraste auf allen Geräten
11
Auftragsverarbeitung und DORA
- MeduSafe verarbeitet die Daten im Auftrag des Maklers. AV-Vertrag, TOM und die Liste der Unterauftragsverarbeiter erhalten Sie vor dem Start.
- Für Häuser unter DORA: Die Angaben für Ihr Informationsregister stellen wir auf Anfrage zusammen; ein DORA-Vertragsmuster folgt.
Offen gesagt: was bis zum Produktivbetrieb noch folgt
- Externer Penetrationstest
- Erfolgt vor dem Produktivbetrieb
- Verschlüsselung ruhender Daten
- Sicherungen verschlüsselt; Datenbank und Dateien folgen vor dem Produktivbetrieb
- Datenschutzunterlagen
- Als Entwurf vorhanden – Prüfung mit einem externen Datenschutzberater
- Produktionsbetrieb
- Vorbereitet, mit zweitem Sicherungsstandort – Aufbau folgt
- Barrierefreiheit
- Automatisch geprüft – manueller Prüfbericht nach WCAG folgt
- Betreibergesellschaft
- MeduSafe GmbH in Gründung
Fragen Ihrer IT oder Ihres Datenschutzbeauftragten?
Wir beantworten sie gern im Detail – auch gemeinsam in einem Termin. Das Datenblatt „Sicherheit und Datenschutz“ schicken wir Ihnen auf Anfrage.