Fassung 1.0 vom 16. Oktober 2026. Anhang 2 des Auftragsverarbeitungsvertrags. Contals ist im frühen Zugang. Jede Maßnahme ist gekennzeichnet: Umgesetzt (gebaut und getestet, in jeder Umgebung aktiv) · Vorbereitet (gebaut, braucht einen Konfigurationsschritt beim Einrichten der Produktion) · Geplant (entschieden, noch nicht gebaut).
1. Infrastruktur
| Maßnahme | Stand |
|---|---|
| Alle Dienste laufen bei Cloudflare (Workers, Durable Objects, D1, R2, Queues). Physische Sicherheit und Rechenzentrumsbetrieb liegen bei Cloudflare (ISO/IEC 27001, 27701, 27018, SOC 2 Typ II, BSI C5, EU Cloud Code of Conduct) | Umgesetzt |
| Gespeicherte Daten in der EU-Jurisdiktion von Cloudflare: Board- und Benutzerdaten (Durable Objects), Datenbanken (D1), Archiv und Backups (R2), interne Warteschlangen | Umgesetzt (Code) · Vorbereitet (Ressourcen werden beim Start in der EU angelegt) |
| Interne Objektnamen sind zufällig und bedeutungslos; keine Titel, Namen oder E-Mail-Adressen in Objektnamen oder Speicherschlüsseln (Cloudflare protokolliert Objekt-IDs außerhalb der EU) | Umgesetzt |
| Verschlüsselung im Ruhezustand durch Cloudflare (AES-256), Schlüssel bei Cloudflare | Umgesetzt |
| Ende-zu-Ende-Verschlüsselung mit Schlüsseln bei dir | Nicht angeboten |
2. Anmeldung
| Maßnahme | Stand |
|---|---|
| Ein Konto entsteht erst nach bestätigter E-Mail-Adresse; unbestätigte Registrierungen werden nach 7 Tagen gelöscht | Umgesetzt |
| Passwort (mindestens 10 Zeichen, als scrypt-Hash gespeichert), Einmal-Anmeldelink (15 Minuten) mit einem 6-stelligen Code in derselben E-Mail für die installierte App (10 Minuten, nur als Fingerabdruck gespeichert, höchstens 5 Versuche pro Code; Link oder Code wirken einmal – was zuerst kommt), Anmeldung mit Google, Microsoft, Apple und weiteren (nur mit bestätigter Adresse), Single Sign-on (OIDC, SAML) pro Organisation | Umgesetzt |
| Ein vergessenes Passwort wird über einen Anmeldelink ersetzt: Die Sitzung, die er öffnet (nach dem zweiten Faktor), darf innerhalb von 30 Minuten einmal ein neues Passwort ohne das alte setzen; die anderen Geräte werden abgemeldet, die Änderung wird protokolliert und per E-Mail gemeldet; nicht angeboten, wenn die Organisation Single Sign-on verlangt | Umgesetzt |
| Das Anmeldeformular funktioniert auch, bevor die Skripte der Seite geladen sind (auf dem Server verarbeitet, Same-Origin-Prüfung, keine Adresse und kein Passwort in Links); beim Beitreten über einen Einladungslink mit einem anderen Anbieter merkt sich ein 30-Minuten-Cookie, das Skripte nicht lesen können, nur den Link | Umgesetzt |
| Sichere Sitzungs-Cookies (HttpOnly, Secure, SameSite, nur an app.contals.com gebunden – keine andere Adresse kann sie setzen), Sitzungen von 30 Tagen; Abmelden oder Entziehen eines Geräts schließt dessen offene Boards sofort | Umgesetzt |
| Bestätigungs- und Anmeldelinks in E-Mails wirken erst nach einem Klick auf der Seite, die sie öffnen – E-Mail-Sicherheitsprogramme können sie nicht verbrauchen | Umgesetzt |
| Verlangt eine Organisation Single Sign-on, behalten ihre Inhaberinnen und Inhaber Passwort und Anmeldelinks für Notfälle; jede solche Anmeldung wird protokolliert, den Inhabern und Admins angezeigt und per E-Mail gemeldet | Umgesetzt |
| Übersicht der angemeldeten Geräte; andere Geräte abmelden | Umgesetzt |
| Begrenzungen gegen Passwortraten und Massenregistrierungen – pro IP-Adresse am Netzwerkrand von Cloudflare gezählt, bei uns nichts gespeichert; höchstens wenige Anmeldelinks und Bestätigungs-E-Mails pro Adresse | Umgesetzt |
| Mindestalter 16 (Jüngere mit Einverständnis der Eltern oder des Vormunds): bestätigt mit einem Kästchen bei der Registrierung, bei Einladungen und wenn ein KI-Agent ein Konto verbindet; Konten aus einem Anmeldelink, einem anderen Anbieter oder Single Sign-on beantworten die Frage einmal, bevor es weitergeht; gespeichert wird nur das Datum der Bestätigung, nie ein Geburtsdatum | Umgesetzt |
| Bot-Prüfung (Cloudflare Turnstile) bei Registrierung, Anmeldelinks, Terminumfragen und Buchungen | Vorbereitet (aktiv, sobald beim Start eingerichtet) |
| Zwei-Faktor-Anmeldung: ein Code aus einer Authenticator-App nach jeder Anmeldung (Passwort, Anmeldelink, Google & Co.), 10 einmalige Wiederherstellungscodes, Passkeys (Fingerabdruck, Gesicht oder Geräte-PIN), die als beide Faktoren zählen; Änderungen brauchen eine frische Anmeldung und lösen eine Benachrichtigung aus (auch ein geändertes oder ersetztes Passwort); Owner können sie für alle in ihrer Organisation verlangen und die Faktoren eines Mitglieds zurücksetzen (protokolliert, die Person wird informiert) | Umgesetzt |
| Prüfung gegen bekannt gewordene Passwörter | Geplant |
| Abgelaufene Anmeldesitzungen (mit Browsername; eine IP-Adresse wird nicht gespeichert) werden einen Tag nach Ablauf gelöscht | Umgesetzt |
3. Zugriff auf Daten
| Maßnahme | Stand |
|---|---|
| Neue Boards sind privat: Nur hinzugefügte Personen können sie öffnen | Umgesetzt |
| Board-Rollen Betrachter, Mitwirkende, Bearbeiter, Admin; jede Änderung wird auf dem Server gegen die Rolle der Person geprüft | Umgesetzt |
| Freiwillige und Gäste können nie ein Board verwalten; Betrachter können nur lesen | Umgesetzt |
| Admins von Organisation und Workspace verwalten private Boards, ohne Inhalte zu sehen; öffnen sie eines trotzdem („Öffnen (protokolliert)“), wird das protokolliert und allen Board-Mitgliedern angezeigt | Umgesetzt |
| Wer entfernt wird, verliert den Zugriff sofort, auch über offene Verbindungen; sein Browser löscht die lokale Kopie | Umgesetzt |
| Einladungen brauchen immer die Zustimmung der eingeladenen Person | Umgesetzt |
| Einladungslinks: Nur Owner und Admins eines Workspaces erstellen sie, nur für die kostenlosen Rollen Freiwillige und Betrachter, mit Ablaufdatum und Höchstzahl; der Link wird nur als Hash gespeichert und einmal angezeigt; Beitreten braucht eine bestätigte Adresse und das eigene Konto; wer nach dem Beitritt entfernt wurde, kommt über denselben Link nicht zurück; Erstellen, Beenden und Benutzen eines Links stehen im Audit-Log | Umgesetzt |
| Exporte enthalten nur Boards, die die exportierende Person lesen kann; jeder Export wird protokolliert | Umgesetzt |
| API-Tokens haben nie mehr Rechte als ihre Besitzerin oder ihr Besitzer; gespeichert wird nur ein Hash | Umgesetzt |
| Kalender-Feeds: geheimer Link pro Person (als Hash gespeichert), erneuer- und widerrufbar, Zugriff bei jedem Abruf geprüft; vertrauliche Boards zeigen nur „Beschäftigt“ | Umgesetzt |
| Importe: Exportdateien werden im Browser gelesen; hochgeladene Inhalte liegen nur, solange der Import läuft, in einem Speicher in der EU, mit Größengrenzen pro Import und Organisation (am Ende gelöscht, Reste spätestens nach 7 Tagen); für importierte Personen werden keine Konten erstellt; Trello-Schlüssel werden nie gespeichert | Umgesetzt |
| Vertrauliche Boards (eine Einstellung für Board-Admins): keine Titel in Links, Dateinamen von Downloads oder Titeln von Browser-Tabs; keine Inhalte in Chat-Benachrichtigungen oder Einträgen im Eingang; E-Mails und die Zusammenfassung nennen es nur „ein vertrauliches Board“; Kalender-Abos zeigen „Beschäftigt“; nie an KI-Anbieter gesendet; nicht über die API, den MCP-Server oder KI-Agenten erreichbar; jedes Öffnen wird protokolliert. Öffentliche Seiten (Buchungen, Umfragen) funktionieren weiter und sind nicht abgedeckt | Umgesetzt |
| KI mit dem eigenen Anbieter deiner Organisation: aus, bis eine Eigentümerin, ein Eigentümer oder ein Admin einen Anbieter einträgt, einen Auftragsverarbeitungsvertrag mit ihm bestätigt und KI einschaltet; deine Datenregeln bestimmen, was gesendet werden darf (Titel immer; Beschreibungen und Checklisten standardmäßig an, Kommentare und Namen von Personen aus; E-Mail-Adressen nie); KI lässt sich pro Workspace und pro Funktion ausschalten; jede Änderung, die der Assistent vorschlägt, wartet auf Bestätigung; serverseitig geprüft | Umgesetzt |
| Community-Vorlagen: Die öffentliche Struktur entsteht auf dem Server über eine Positivliste (keine Beschreibungen, Kommentare, Personen, Feldwerte, Links, Anhänge oder Daten – Fälligkeiten werden zu relativen Tagen); ihre Texte werden auf Kontaktdaten geprüft; das Contals-Team prüft jede Vorlage, bevor sie öffentlich wird; vertrauliche Boards lassen sich nie teilen; ein Entfernen oder Zurückziehen erreicht die Website innerhalb von 10 Minuten (Edge-Cache) | Umgesetzt |
| Öffentliche Seiten für Terminumfragen und Buchungen: geheime Links, die sich erneuern oder sofort widerrufen lassen, öffentliche Links pro Board abschaltbar, Begrenzungen pro IP-Adresse (nichts gespeichert), nur Name, E-Mail und Antworten werden aufbewahrt – außerhalb des Board-Speichers und seines Archivs; die Angaben einer buchenden Person sehen nur Bearbeiter und Admins des Boards | Umgesetzt |
4. Trennung der Kunden
| Maßnahme | Stand |
|---|---|
| Jedes Board hat eine eigene Datenbank (ein Durable Object pro Board) | Umgesetzt |
| Suchen und Listen über mehrere Boards sind immer auf die Boards beschränkt, die die Person öffnen darf | Umgesetzt |
| Produktion und Testumgebung getrennt (eigene Namen, Datenbanken, Speicher, Schlüssel und Zugriffstokens) | Umgesetzt |
| Administrativer Zugriff auf die Infrastruktur auf die Unique-P GmbH beschränkt (derzeit ihren Geschäftsführer), durch Zwei-Faktor-Authentifizierung geschützt; Zugriffe von Mitarbeitenden von Cloudflare richten sich nach dem Auftragsverarbeitungsvertrag von Cloudflare | Umgesetzt |
5. Übertragung und Integrität
| Maßnahme | Stand |
|---|---|
| Nur verschlüsselte Verbindungen (HTTPS, sichere WebSockets), HSTS | Umgesetzt · Vorbereitet (Zoneneinstellungen beim Start) |
| Content Security Policy, Schutz vor Einbettung, kein MIME-Sniffing, keine vollständigen Referrer an andere Websites, Herkunftsprüfung | Umgesetzt |
| Jede Änderung an einem Board wird erfasst (wer, wann, was) und ist als Aktivität sichtbar | Umgesetzt |
| Audit-Protokoll sicherheitsrelevanter Aktionen (Zugriff erteilt oder entzogen, Notfallzugriff, Exporte, Löschungen, Einladungen, API-Tokens, Single Sign-on, Öffnen vertraulicher Boards): 180 Tage in der Datenbank, danach 2 Jahre im getrennten Backup-Speicher | Umgesetzt · Vorbereitet (Speicherregel beim Start eingerichtet) |
| Seite des Audit-Protokolls für Owner und Admins der Organisation in jedem Plan: Filter nach Person, Art und Datum, CSV-Download (selbst protokolliert); Einträge nennen Personen über ihre ID, ältere Einträge zeigen E-Mail-Adressen maskiert | Umgesetzt |
| «Missbrauch melden» auf öffentlichen Umfrage- und Buchungsseiten (was und warum und das Link-Token der Seite, damit sie sich finden lässt – keine Identität der meldenden Person, keine IP-Adresse); eine Sperrung schließt die offenen Meldungen der Seite und informiert die Verwaltenden des Boards oder die Person, die die Vorlage veröffentlicht hat; Links in öffentlichen Texten von Gratis-Organisationen erscheinen als Text | Umgesetzt |
| Geheimnisse von Integrationen (Single Sign-on, Chat-Webhooks, Schlüssel von KI-Anbietern) zusätzlich verschlüsselt (AES-256-GCM), mit Schlüsselwechsel; nur maskiert angezeigt | Umgesetzt |
| Angehängte Dateien: Die Art wird aus dem Inhalt gelesen (Programme und Skripte abgelehnt); Aufnahmeort und Kameradaten werden aus Fotos entfernt, bevor sie gespeichert werden; Dateien öffnen sich nur über einen eigenen Host (files.contals.com, der die Cookies der App nie sieht) mit Links, die nach 10 bis 20 Minuten ablaufen, ohne Cookies, nie als Seite; auf vertraulichen Boards keine Dateinamen in Links; ein Speicherlimit pro Organisation | Umgesetzt · Vorbereitet (der Signaturschlüssel beim Start) |
| Anfragen an Chat-Plattformen nur an bekannte Plattform-Hosts über HTTPS; Anfragen an deinen KI-Anbieter nur über HTTPS an öffentliche Adressen, ohne Weiterleitungen | Umgesetzt |
| Push-Benachrichtigungen Ende-zu-Ende für das empfangende Gerät verschlüsselt und mit unserem Schlüssel signiert; als Adressen werden nur die Push-Dienste der Browser-Hersteller akzeptiert; Texte auf dem Sperrbildschirm nach Wahl der Person und bei vertraulichen Boards immer knapp; Push erst nach einem Klick, nie auf geteilten Geräten, bei der Abmeldung entfernt | Umgesetzt |
6. Verfügbarkeit
| Maßnahme | Stand |
|---|---|
| Eine Änderung wird erst bestätigt, wenn sie dauerhaft gespeichert ist | Umgesetzt |
| Wiederherstellung auf einen Zeitpunkt für 30 Tage (Boards und Datenbanken) | Umgesetzt (Plattform) · Offen: Cloudflare dokumentiert nicht eigens, wo die Wiederherstellungsdaten liegen; unsere eigenen Backups unten bleiben in der EU |
| Manipulationssicheres Archiv aller Board-Änderungen (Bucket Lock), 90 Tage aufbewahrt | Umgesetzt · Vorbereitet (Speicherregeln beim Start eingerichtet) |
| Tägliches Backup der Kontodatenbanken (alle Tabellen, die eine Wiederherstellung braucht) in einen eigenen Backup-Speicher in der EU-Jurisdiktion, 35 Tage aufbewahrt | Umgesetzt · Vorbereitet (Speicherregeln beim Start eingerichtet) |
| Nächtliche Kopie jedes Boards, das sich geändert hat, 35 Tage im selben Backup-Speicher (und verschlüsselt bei DigitalOcean); ein einzelnes Board lässt sich aus der Kopie einer Nacht wiederherstellen – jede seither festgehaltene Löschung wird erneut angewendet, und die Wiederherstellung wird protokolliert | Umgesetzt · Vorbereitet (Speicherregeln beim Start eingerichtet) |
| Eine zweite Kopie der Backups und der nächtlichen Board-Kopien bei DigitalOcean in Frankfurt, von uns verschlüsselt, bevor sie das Haus verlässt (DigitalOcean kann sie nicht lesen), 35 Tage aufbewahrt (Audit-Archiv 2 Jahre) | Umgesetzt · Vorbereitet (Speicher und Schlüssel beim Start eingerichtet) |
| Wiederherstellungsübung: Ein Skript stellt die Backups einer Nacht in leeren Datenbanken wieder her, wendet jede festgehaltene Löschung erneut an und prüft sie und eine Board-Kopie; monatlich | Umgesetzt (Skript) · Vorbereitet (monatlich ab dem Start) |
| Begrenzungen gegen Missbrauch (Boards, Karten, Änderungen pro Minute, Einladungen, API-Anfragen) | Umgesetzt |
| Firewall-Regeln, die unbekannte Pfade sperren, bevor die Anwendung läuft; DDoS-Schutz durch Cloudflare | Vorbereitet |
| Zustandsprüfungen und Alarme an den Betreiber (ohne Kundendaten); externe Verfügbarkeitsüberwachung | Umgesetzt · Vorbereitet |
7. Löschung und deine Rechte
| Maßnahme | Stand |
|---|---|
| Konto selbst löschen: Zugriff endet und der Name wird sofort pseudonymisiert; übrige persönliche Daten werden nach 30 Tagen gelöscht. In diesen 30 Tagen kann nur der Support ein Konto wiederherstellen, auf Wunsch der Person von deren Adresse aus: Name, Adresse und persönliche Einstellungen kommen zurück, Mitgliedschaften, Anmeldedaten, API-Tokens und Kalender-Links nicht; die Liste der Löschungen hält die Wiederherstellung fest, bevor sich etwas ändert, sodass eine spätere Wiederherstellung aus einem Backup beim selben Stand endet, die Wiederherstellung wird protokolliert (IDs), und die Person erfährt sie per E-Mail | Umgesetzt |
| Gelöschte Boards kommen in den Papierkorb und werden nach 14 Tagen endgültig entfernt | Umgesetzt |
| Organisationen werden 30 Tage, nachdem ein Owner es verlangt hat, gelöscht (das Ende eines bezahlten Plans löscht nichts – die Organisation läuft im Gratisplan weiter): 30 Tage schreibgeschützt und exportierbar, die Owner werden per E-Mail informiert; danach werden alle Workspaces, Boards, Mitgliederlisten und Dateien von Importen gelöscht; Abrechnungsbelege bleiben 10 Jahre, Nutzungs- und Audit-Einträge nur mit IDs | Umgesetzt |
| Jedes Board behält seinen Verlauf 13 Monate; ältere Änderungen werden ins Board eingerechnet und ihre früheren Texte gelöscht | Umgesetzt |
| Eine gelöschte angehängte Datei wird nach 24 Stunden endgültig gelöscht; Dateien sind nicht Teil von Backups und kommen mit einer Wiederherstellung nicht zurück | Umgesetzt |
| Export eines Boards, Workspaces oder einer Organisation als JSON mit dem Board-Verlauf der letzten 13 Monate | Umgesetzt |
| Eine Karte oder einen Kommentar zu löschen entfernt sie vom Board | Umgesetzt |
| Wird ein Kommentar bearbeitet oder gelöscht oder ein Status-Update gelöscht, verschwindet der frühere Text auch aus dem Board-Verlauf, dem Suchindex und aus Exporten | Umgesetzt – frühere Fassungen von Kartentiteln und Beschreibungen bleiben bis zu 13 Monate im Verlauf; das manipulationssichere Archiv und die Wiederherstellungskopien behalten den Text bis zum Ende ihrer Frist |
| Das manipulationssichere Archiv (90 Tage) und die Backups (35 Tage) behalten Daten bis zum Ende ihrer Frist (im AVV offengelegt); jede Löschung wird vorher in einer eigenen Liste festgehalten (nur IDs, 120 Tage) und nach jeder Wiederherstellung erneut angewendet | Vorbereitet (Archiv) · Umgesetzt (Liste der Löschungen) |
| Inbox: gelesene Einträge werden nach 90 Tagen gelöscht, höchstens 2000 Einträge pro Person | Umgesetzt |
| Push-Abonnements (pro Gerät, im persönlichen Speicher der Person in der EU) werden gelöscht, wenn Push ausgeschaltet wird, bei der Abmeldung auf dem Gerät, wenn der Push-Dienst sie als abgelaufen meldet, und sofort beim Löschen des Kontos; Pläne für Fälligkeits-Erinnerungen bleiben bis zwei Tage nach dem Fälligkeitsdatum; Benachrichtigungs-E-Mails nur für Ungelesenes, außerhalb der Ruhezeiten der Person, mit Abbestellung per Klick | Umgesetzt |
| KI: Gespräche mit dem Assistenten bleiben 30 Tage im persönlichen Speicher der Person (EU) und lassen sich jederzeit löschen; das Nutzungsprotokoll zählt nur Tokens – keine Eingaben, keine Antworten | Umgesetzt |
| „Seit deinem letzten Besuch“: pro Person und Board nur die zuletzt gesehene Version, nach 400 Tagen ohne Besuch vergessen; die Zusammenfassung auf dem Board zitiert nie Kommentare | Umgesetzt |
| Zusammenfassung per E-Mail: nur Boards, die die Person öffnen kann, keine Titel aus vertraulichen Boards, nie Kommentartexte, leere Zusammenfassungen werden nicht verschickt, ein Klick bestellt ab; das Versandprotokoll enthält 90 Tage lang nur IDs und Zähler | Umgesetzt (ab dem E-Mail-Start) |
| E-Mail: Adresse und Inhalt bleiben nur bis zum Versand gespeichert, danach nur ein Hash der Adresse und der Zustellstatus für 30 Tage – auch nach dem Löschen eines Kontos, zum Schutz vor Missbrauch; Benachrichtigungs-E-Mails lassen sich mit einem Klick abbestellen | Umgesetzt (ab dem E-Mail-Start) |
| Terminumfragen: Die E-Mail-Adresse eines Gasts wird nach dem Versand des endgültigen Termins gelöscht, mit seiner Antwort oder der Umfrage und spätestens 90 Tage nach dem letzten Termin der Umfrage. Buchungen: Name, E-Mail-Adresse und Antworten der buchenden Person löscht ein Admin (die Karte erhält dann einen neutralen Titel, und ihre früheren Titel verschwinden aus dem Verlauf), mit dem Board und automatisch 90 Tage nach dem Termin | Umgesetzt |
| Aufbewahrungsregeln pro Board (Board-Admins, standardmäßig aus): Erledigte Karten werden eine gewählte Anzahl Tage nach dem Erledigen archiviert oder gelöscht; beim Löschen verschwinden auch ihre Kommentare und Texte aus dem Board-Verlauf; Karten mit Daten von Personen ohne Konto (Terminumfragen, Buchungen) werden stattdessen archiviert | Umgesetzt |
| Eine Gratis-Organisation, die 90 Tage niemand benutzt, ruht (schreibgeschützt, nichts gelöscht), bis sich ein Owner anmeldet; Owner erfahren es 14 und 3 Tage vorher | Umgesetzt |
8. Protokolle und Betreiberzugriff
| Maßnahme | Stand |
|---|---|
| Protokolle und Nutzungsstatistiken enthalten nur IDs, Zähler und Fehlercodes – keine Inhalte, keine E-Mail-Adressen | Umgesetzt |
| Seitenaufrufe der Website, der Dokumentation (nicht ihrer Suche) und der Seiten der App zum Anmelden, für Einladungen und Einladungslinks zählt Fathom Analytics: keine Cookies; bei Global Privacy Control oder Do Not Track wird nichts geladen; in der App nur Vorlagen der Seiten, nie Tokens oder Abfragen; nie nach der Anmeldung oder auf öffentlichen Seiten | Umgesetzt |
| Cloudflare verarbeitet Anfragedaten (IP-Adresse, URL-Pfad, Browser) teilweise außerhalb der EU. Links auf normale Boards enthalten Board- und Kartentitel; Links auf vertrauliche Boards nicht, und eine Organisation kann „Keine Titel in Links“ für alle ihre Boards einschalten | Umgesetzt |
| Der Betriebsbereich ist mit Cloudflare Access geschützt und zeigt Nutzung und Zustand, die Anfragen für den kostenlosen Trello-Umzug (was die anfragende Person eingegeben hat, mit Name und E-Mail-Adresse) und die Community-Vorlagen in Prüfung (die Struktur, die eine Organisation zur Veröffentlichung eingereicht hat) – nie Board-Inhalte | Umgesetzt |
| Kostenloser Trello-Umzug: Das Team fragt nie nach Passwörtern, meldet sich nie in Konten von Kunden an und erhält nie Exportdateien – die Kundin startet den Import in ihrem eigenen Konto und teilt im Gespräch ihren Bildschirm; Gespräche werden nicht aufgezeichnet; Anfragen werden 180 Tage nach dem Abschluss gelöscht | Umgesetzt (Regeln) · Vorbereitet (das Werkzeug für Videogespräche wird vor dem ersten Gespräch gewählt) |
| Das Contals-Team liest im normalen Betrieb keine Kundeninhalte; dafür gibt es kein Support-Werkzeug. Zugriff für den Support braucht deine Anfrage für den konkreten Fall und wird protokolliert | Umgesetzt · Geplant (formales Verfahren) |
| Wer das Cloudflare-Konto verwaltet, kann technisch auf gespeicherte Daten zugreifen: Das ist nur die Unique-P GmbH (derzeit ihr Geschäftsführer), mit Zwei-Faktor-Authentifizierung | Umgesetzt |
| Schriftliche Verschwiegenheitsverpflichtung für alle mit Zugriff auf die Produktion | Geplant (mit der ersten Mitarbeiterin oder dem ersten Mitarbeiter) |
| Ablauf für Sicherheitsvorfälle und Meldung von Datenpannen (Zusammenfassung); Meldungen gehen an die Owner der Organisation und die Kontaktperson für den Datenschutz aus ihren Einstellungen | Umgesetzt |
9. Entwicklung
| Maßnahme | Stand |
|---|---|
| Jede Änderung besteht Typprüfung, Architekturregeln, Unit-, Property- und End-to-End-Tests, einschließlich generierter Berechtigungstests | Umgesetzt |
| Regeln für Abhängigkeiten (Lockfile, Mindestalter neuer Versionen, gesperrte Installationsskripte) und regelmäßige Prüfung auf Schwachstellen | Umgesetzt |
| Interne Sicherheitsprüfung in maximaler Tiefe (Oktober 2026): hohe Befunde behoben, mittlere teilweise offen | Umgesetzt |
| Externer Penetrationstest | Geplant |
| Entwicklung und Tests nur mit Testdaten | Umgesetzt |