Sicherheit bei FlowEngine

Stand: 31. Juli 2026

1. Unser Sicherheitsverständnis

FlowEngine verarbeitet geschäftliche Dokumente und unterstützt Unternehmen bei der strukturierten Erfassung, Zuordnung, Analyse und dem Vergleich von Dokumenten. Der Schutz der verarbeiteten Informationen ist deshalb ein wesentlicher Bestandteil der Entwicklung und des Betriebs unserer Plattform.

Wir verfolgen einen risikobasierten Sicherheitsansatz. Unsere technischen und organisatorischen Maßnahmen werden unter Berücksichtigung insbesondere folgender Faktoren festgelegt:

Art und Umfang der verarbeiteten Daten,
Zweck der Verarbeitung,
Sensibilität der Dokumentinhalte,
mögliche Auswirkungen eines Sicherheitsvorfalls,
Stand der Technik,
technische Umsetzbarkeit und
Verhältnismäßigkeit der Maßnahmen.

Unsere Sicherheitsmaßnahmen werden regelmäßig überprüft und bei technischen, organisatorischen oder rechtlichen Veränderungen angepasst.

Diese Sicherheitsseite beschreibt die wesentlichen Grundsätze unseres Sicherheitskonzepts. Sie enthält bewusst keine Informationen, deren Veröffentlichung die Sicherheit unserer Systeme beeinträchtigen könnte.

2. Geltungsbereich

Die auf dieser Seite beschriebenen Sicherheitsgrundsätze gelten für:

unsere öffentliche Website,
die SaaS-Plattform FlowEngine,
Benutzer- und Administratorkonten,
die Verarbeitung hochgeladener oder per E-Mail empfangener Dokumente,
die Speicherung und Verarbeitung von Dokumentendaten,
KI-gestützte Verarbeitungsfunktionen,
interne technische Nutzungs- und Betriebsdaten,
Support- und Administrationsprozesse sowie
die für den Betrieb eingesetzte Server- und Speicherinfrastruktur.

Die konkreten vertraglichen und datenschutzrechtlichen Verpflichtungen ergeben sich zusätzlich aus:

den Nutzungsbedingungen,
den Nutzungs-, Prüf- und Haftungshinweisen,
der Datenschutzerklärung,
dem jeweiligen Kundenvertrag,
dem Auftragsverarbeitungsvertrag,
dessen Anlage zu den technischen und organisatorischen Maßnahmen und
einer gegebenenfalls gesondert vereinbarten Service-Level-Vereinbarung.

3. Hosting und technische Infrastruktur

Unsere Plattform wird auf Infrastruktur der Hetzner Online GmbH betrieben.

Hetzner Online GmbH

Industriestraße 25

91710 Gunzenhausen

Deutschland

Wir verwenden insbesondere:

Serverinfrastruktur von Hetzner,
Netzwerk- und Rechenzentrumsleistungen,
Hetzner-Speicherlösungen beziehungsweise Data Storage,
Datenbank- und Anwendungssysteme sowie
technische Sicherungs- und Wiederherstellungssysteme.

Die von uns eingesetzten Systeme werden in Deutschland betrieben. Ein genauerer Rechenzentrumsstandort wird aus Sicherheitsgründen nicht öffentlich angegeben.

Für den Betrieb der Plattform wird kein Supabase-Dienst eingesetzt. Kunden- und Dokumentendaten werden nicht an Supabase übermittelt.

Mit Hetzner besteht ein Vertrag über die Auftragsverarbeitung, soweit Hetzner personenbezogene Daten in unserem Auftrag verarbeitet.

Der Einsatz eines professionellen Hostinganbieters entbindet uns nicht von unserer eigenen Verantwortung für:

die sichere Konfiguration der Server,
die Absicherung der Anwendung,
die Verwaltung von Zugriffsrechten,
die Aktualisierung eingesetzter Software,
die Mandantentrennung,
die Löschung von Daten und
die Überwachung sicherheitsrelevanter Vorgänge.

4. Verschlüsselte Datenübertragung

Die Übertragung von Daten zwischen dem Endgerät des Nutzers und unserer Plattform erfolgt im Produktivbetrieb über verschlüsselte HTTPS-Verbindungen.

Hierdurch sollen insbesondere folgende Informationen während der Übertragung vor unbefugtem Mitlesen und unbemerkter Veränderung geschützt werden:

Anmeldedaten,
Benutzer- und Sitzungsinformationen,
hochgeladene Dokumente,
extrahierte Dokumentdaten,
Verarbeitungsergebnisse,
Supportinformationen und
administrative Einstellungen.

Unverschlüsselte Zugriffe werden, soweit technisch möglich, auf eine verschlüsselte Verbindung umgeleitet oder abgewiesen.

Die Verschlüsselung der Übertragungswege stellt keine Ende-zu-Ende-Verschlüsselung dar. Dokumente müssen innerhalb der geschützten Serverumgebung verarbeitet werden können, damit Funktionen wie Texterkennung, Klassifizierung, Zuordnung, Vergleich und KI-gestützte Analyse ausgeführt werden können.

5. Schutz gespeicherter Daten

Gespeicherte Daten werden durch eine Kombination technischer und organisatorischer Maßnahmen geschützt.

Hierzu gehören insbesondere:

eingeschränkte Zugriffsrechte,
rollenbezogene Berechtigungen,
Schutz der Server- und Speicherzugänge,
abgesicherte Administrationszugriffe,
getrennte Zugangsdaten für technische Systeme,
sichere Verwaltung von Zugangsschlüsseln und Geheimnissen,
Protokollierung sicherheitsrelevanter Zugriffe,
Netzwerk- und Firewallregeln,
regelmäßige Sicherheitsaktualisierungen und
kontrollierte Datensicherungsprozesse, soweit diese für das jeweilige System eingerichtet sind.

Eine Verschlüsselung auf Speicherebene wird nur für Systeme zugesichert, für die sie tatsächlich eingerichtet und nachweisbar ist. Eine pauschale Zusicherung für sämtliche Produktiv-, Speicher- und Sicherungssysteme erfolgt nicht.

6. Benutzerkonten und Authentifizierung

Der Zugriff auf die Plattform erfolgt über personenbezogene Benutzerkonten. Zugangsdaten dürfen nicht gemeinsam verwendet oder an unberechtigte Personen weitergegeben werden.

Zur Absicherung von Benutzerkonten setzen wir insbesondere folgende Maßnahmen ein:

Speicherung von Passwörtern ausschließlich in gehashter Form,
keine Speicherung von Passwörtern im Klartext,
zeitlich begrenzte Sitzungen,
Schutz vor unberechtigter Übernahme von Sitzungen,
Begrenzung oder Überwachung fehlgeschlagener Anmeldeversuche,
sichere Verfahren zur Passwortzurücksetzung,
Überprüfung der Berechtigung bei Einladungen,
Protokollierung sicherheitsrelevanter Kontoaktivitäten und
Sperrung auffälliger oder kompromittierter Zugänge.

Soweit Mehr-Faktor-Authentifizierung angeboten oder vertraglich vereinbart wird, können Kunden diese für besonders berechtigte Benutzer oder Administratoren einsetzen.

Administratoren des Kunden sind dafür verantwortlich:

Benutzerkonten nur für berechtigte Personen einzurichten,
Berechtigungen angemessen zu vergeben,
nicht mehr benötigte Konten unverzüglich zu deaktivieren,
Administratorrechte auf einen möglichst kleinen Personenkreis zu beschränken und
ihre Nutzer zum sicheren Umgang mit Zugangsdaten anzuhalten.

7. Rollen- und Berechtigungskonzept

Der Zugriff auf Funktionen und Daten wird durch ein Rollen- und Berechtigungskonzept gesteuert.

Abhängig vom gebuchten Tarif und der jeweiligen Konfiguration können insbesondere unterschiedliche Rechte bestehen für:

normale Benutzer,
Prüfer und Freigabeberechtigte,
Kundenadministratoren,
Supportmitarbeiter und
technische Systemadministratoren.

Berechtigungen werden nach dem Grundsatz vergeben, dass ein Nutzer nur auf diejenigen Funktionen und Informationen zugreifen soll, die er zur Erfüllung seiner Aufgaben benötigt. Besonders weitreichende Rechte werden gesondert geschützt und auf einen beschränkten Personenkreis begrenzt.

Interne administrative Zugriffe auf Kundendaten erfolgen nur, soweit dies erforderlich ist für:

die Bearbeitung eines konkreten Supportfalls,
die Untersuchung einer technischen Störung,
die Abwehr eines Sicherheitsvorfalls,
die Wiederherstellung der Funktionsfähigkeit,
die Erfüllung einer dokumentierten Kundenweisung oder
die Erfüllung einer gesetzlichen Verpflichtung.

8. Mandantentrennung

FlowEngine ist als mandantenfähige Plattform konzipiert. Kunden- und Dokumentendaten werden einem bestimmten Mandanten beziehungsweise Kundenkonto zugeordnet. Zugriffe auf Daten werden im jeweiligen Mandantenkontext ausgeführt.

Die Mandantentrennung soll verhindern, dass:

Nutzer eines Kunden auf Daten eines anderen Kunden zugreifen,
Dokumente einem falschen Kundenkonto zugeordnet werden,
administrative Einstellungen kundenübergreifend verändert werden oder
Schnittstellen Daten eines unberechtigten Mandanten ausgeben.

Die Mandantentrennung wird insbesondere berücksichtigt bei Datenbankabfragen, Dokumentenspeicherung, Benutzer- und Rollenverwaltung, API-Zugriffen, Exportfunktionen, Hintergrundverarbeitungen, Supportzugriffen und technischen Protokollen.

Eine bloße Kenntnis einer Dokumenten-, Prozess- oder Benutzerkennung darf nicht ausreichen, um auf fremde Kundendaten zuzugreifen.

9. Sichere Dokumentenverarbeitung

Hochgeladene oder per E-Mail eingehende Dokumente werden ausschließlich im Rahmen des vorgesehenen Verarbeitungsprozesses verarbeitet.

Dieser kann insbesondere umfassen:

Entgegennahme der Datei,
technische Prüfung,
Speicherung,
Texterkennung,
Klassifizierung,
Extraktion einzelner Inhalte,
Zuordnung zu einem Geschäftsvorgang,
Vergleich mit anderen Dokumenten,
KI-gestützte Analyse,
Darstellung für berechtigte Nutzer und
automatische Löschung.

Dateien werden nicht öffentlich zugänglich bereitgestellt. Dokumentenabrufe erfolgen ausschließlich über kontrollierte Plattformfunktionen und unter Berücksichtigung des angemeldeten Benutzers, des zugeordneten Kundenkontos, der jeweiligen Rolle und der erforderlichen Berechtigung. Direkte oder dauerhaft öffentliche Dokumentenadressen sollen nicht verwendet werden.

10. Prüfung hochgeladener Dateien

Hochgeladene und empfangene Dateien werden technisch geprüft, bevor sie vollständig weiterverarbeitet werden.

Soweit für den jeweiligen Uploadweg produktiv aktiviert, gehören hierzu insbesondere:

Prüfung des Dateityps,
Prüfung der Dateigröße,
Abgleich erlaubter Dateiformate,
Erkennung beschädigter Dateien,
Viren- und Schadsoftwareprüfung mit ClamAV,
Zurückweisung nicht unterstützter Dateien und
sichere Behandlung auffälliger Inhalte.

Die Dateiprüfung reduziert Sicherheitsrisiken, kann jedoch nicht garantieren, dass jede neuartige, verschleierte oder bislang unbekannte Schadsoftware erkannt wird.

Dateien, die als gefährlich, unzulässig oder technisch nicht verarbeitbar erkannt werden, können abgewiesen, isoliert, von der weiteren Verarbeitung ausgeschlossen oder gelöscht werden.

11. Datenminimierung

Wir verarbeiten nur solche Daten, die für die Bereitstellung und den sicheren Betrieb der jeweiligen Funktion erforderlich sind.

Dies bedeutet insbesondere:

Dokumente werden nur für den vereinbarten Zweck verarbeitet.
Interne technische Auswertungen sollen möglichst ohne vollständige Dokumentinhalte erfolgen.
Für Nutzungsstatistiken werden nach Möglichkeit Mengen-, Status- und Leistungsdaten statt Dokumentinhalte verwendet.
Protokolle sollen keine vollständigen Dokumenttexte enthalten, soweit dies nicht für eine konkrete Fehleranalyse erforderlich ist.
Zugriff auf Dokumentinhalte wird auf berechtigte Personen beschränkt.
Temporäre Dateien werden entfernt, sobald sie für die Verarbeitung nicht mehr benötigt werden.
Daten werden nicht ohne sachlichen Grund dauerhaft gespeichert.

12. Automatische Löschung nach 30 Tagen

Soweit keine abweichende individuelle Vereinbarung besteht, werden über die Plattform verarbeitete Dokumente automatisch nach 30 Tagen gelöscht. Die Frist beginnt grundsätzlich mit dem Eingang beziehungsweise Upload des jeweiligen Dokuments.

Die automatische Löschung umfasst grundsätzlich:

hochgeladene Originaldokumente,
per E-Mail empfangene Dokumentdateien,
Vorschaudateien,
temporäre Verarbeitungskopien,
OCR- und Texterkennungsergebnisse,
extrahierte Dokumentinhalte,
Dokumentklassifizierungen,
dokumentbezogene Zuordnungen und
dokumentbezogene KI-Verarbeitungsergebnisse.

Technische Nutzungsstatistiken können über diesen Zeitraum hinaus gespeichert werden, wenn sie keinen vollständigen Dokumentinhalt enthalten und weiterhin für Abrechnung, technische Problemanalyse, Kapazitätsplanung, Systemsicherheit oder aggregierte statistische Auswertungen benötigt werden.

Eine längere Dokumentenspeicherung erfolgt nur, wenn sie individuell mit dem Kunden vereinbart wurde, eine dokumentierte Weisung besteht, eine gesetzliche Verpflichtung vorliegt, die Daten zur Untersuchung eines Sicherheitsvorfalls erforderlich sind oder zur Geltendmachung oder Abwehr rechtlicher Ansprüche benötigt werden.

Die Plattform ist ohne gesonderte Vereinbarung kein revisionssicheres Archivierungssystem. Kunden müssen aufbewahrungspflichtige Dokumente rechtzeitig exportieren und in einem geeigneten eigenen System archivieren.

13. Umgang mit Sicherungskopien

Soweit für ein Produktivsystem Sicherungskopien eingerichtet sind, dienen sie der Wiederherstellung nach technischen Störungen oder Datenverlusten.

Eingerichtete Sicherungskopien werden:

gegen unberechtigte Zugriffe geschützt,
nur für Sicherungs- und Wiederherstellungszwecke verwendet,
von produktiven Benutzerzugriffen getrennt behandelt und
innerhalb der jeweils festgelegten Sicherungs- und Überschreibungszyklen gelöscht.

Eine Löschung im Produktivsystem kann dazu führen, dass Daten für einen begrenzten Zeitraum noch in einer Sicherungskopie enthalten sind. Diese Daten werden nicht mehr im normalen Plattformbetrieb angezeigt, nicht für neue Verarbeitungszwecke genutzt und mit Ablauf des jeweiligen Sicherungszyklus überschrieben oder gelöscht.

Konkrete Sicherungsintervalle, Aufbewahrungsfristen, Speicherorte, Verschlüsselungsmaßnahmen und Wiederherstellungstests ergeben sich aus der jeweils tatsächlich eingerichteten Betriebs- und Sicherungskonfiguration und werden nicht pauschal zugesichert.

14. KI-gestützte Verarbeitung

Für einzelne Funktionen kann FlowEngine KI-Dienste über eine geschäftliche API-Schnittstelle verwenden. Hierfür nutzen wir insbesondere Dienste von OpenAI.

Je nach Verarbeitung können insbesondere folgende Informationen an den KI-Dienst übermittelt werden:

einzelne Dokumentseiten,
extrahierte Textabschnitte,
Tabellen,
Dokumentenmetadaten,
technische Anweisungen,
für den Verarbeitungsschritt erforderliche Kontextinformationen und
vom Kunden ausgelöste Aufgabenstellungen.

Wir verfolgen dabei insbesondere folgende Grundsätze:

Es werden nur die für den jeweiligen Verarbeitungsschritt erforderlichen Daten übermittelt.
Kundendokumente werden von uns nicht freiwillig für ein allgemeines KI-Modelltraining freigegeben.
Eine optionale Freigabe von API-Daten zur Modellverbesserung wird nicht aktiviert.
KI-Ergebnisse werden als Arbeitshilfe gekennzeichnet.
Geschäftlich relevante Ergebnisse müssen durch einen Menschen geprüft werden.
KI-Ausgaben lösen nicht automatisch Zahlungen, Bestellungen, Verträge oder vergleichbare Maßnahmen aus.
Die Übermittlung und Verarbeitung wird entsprechend den datenschutzrechtlichen Vereinbarungen mit dem jeweiligen Anbieter durchgeführt.

OpenAI- beziehungsweise KI-gestützte Funktionen dürfen nicht als Ersatz für menschliche Prüf- und Freigabeprozesse verwendet werden.

15. Human-in-the-Loop-Sicherheitsprinzip

Die menschliche Prüfung ist nicht nur eine Frage der fachlichen Richtigkeit, sondern auch Bestandteil unseres Sicherheitskonzepts.

Automatisierte Systeme können beispielsweise Zahlen falsch erkennen, Dokumente falsch zuordnen, Abweichungen übersehen, scheinbar plausible aber unrichtige Ergebnisse erzeugen oder unvollständige Informationen falsch interpretieren.

Aus diesem Grund ist FlowEngine als Human-in-the-Loop-System ausgelegt.

Vor einer geschäftlich oder rechtlich erheblichen Weiterverwendung müssen insbesondere geprüft werden:

Dokumentidentität,
Dokumentvollständigkeit,
Preise,
Mengen,
Maßeinheiten,
Steuerbeträge,
Zahlungsdaten,
Lieferbedingungen,
Vertragsbedingungen,
erkannte Abweichungen und
die Übereinstimmung mit dem Originaldokument.

Ungeprüfte Ergebnisse dürfen nicht unmittelbar zur Auslösung verbindlicher Folgehandlungen verwendet werden.

16. Interne technische Nutzungsanalyse

Wir verwenden keine externen Analyse-, Werbe- oder Trackingdienste zur Auswertung des Nutzerverhaltens. Insbesondere werden keine Daten an Dienste wie Google Analytics, Meta Pixel, LinkedIn Insight Tag, Hotjar, Microsoft Clarity oder vergleichbare Werbe- und Profilingdienste übermittelt.

Technische Nutzungsdaten werden ausschließlich innerhalb unserer eigenen Plattform und der bei Hetzner betriebenen Infrastruktur ausgewertet.

Dabei können insbesondere Anzahl verarbeiteter Dokumente und Dokumenteneinheiten, Speicherverbrauch, API-Aufrufe, verwendete Plattformfunktionen, Verarbeitungsdauer, Systemantwortzeiten, Fehlermeldungen, fehlgeschlagene Verarbeitungen, Warteschlangenstatus, technische Systemauslastung und sicherheitsrelevante Ereignisse erfasst werden.

Die interne Auswertung dient ausschließlich technischer Problemanalyse, Fehlerbehebung, Ermittlung und Abrechnung von Nutzungsmengen, Steuerung tarifabhängiger Kontingente, Kapazitätsplanung, Skalierung, technischer Weiterentwicklung, Erkennung missbräuchlicher Nutzung und IT-Sicherheit.

Die Daten werden nicht für externe Werbung, personenbezogene Werbeprofile, Verkauf von Nutzungsdaten, Bonitätsbewertungen, Leistungsbewertungen von Beschäftigten oder die Verfolgung von Nutzern außerhalb unserer Plattform verwendet.

17. Protokollierung und Überwachung

Sicherheitsrelevante und technische Vorgänge können protokolliert werden. Hierzu gehören insbesondere Anmeldungen, fehlgeschlagene Anmeldeversuche, Konto- und Rollenänderungen, administrative Aktionen, API-Zugriffe, Dokumentenverarbeitungsstatus, Fehlerzustände, sicherheitsrelevante Systemereignisse, Änderungen kritischer Einstellungen und ungewöhnliche Zugriffsmuster.

Die Protokollierung dient der Erkennung von Angriffen, Untersuchung von Störungen, Nachvollziehbarkeit administrativer Vorgänge, Erkennung missbräuchlicher Nutzung, Bearbeitung von Supportfällen und Beweissicherung bei Sicherheitsvorfällen.

Protokolle werden nur so lange gespeichert, wie sie für den jeweiligen Zweck erforderlich sind. Vollständige Dokumentinhalte sollen nicht dauerhaft in allgemeinen Systemprotokollen gespeichert werden. Zugriffe auf Sicherheitsprotokolle werden auf berechtigte Personen beschränkt.

18. Sichere Softwareentwicklung

Sicherheitsanforderungen werden bei der Entwicklung und Weiterentwicklung der Plattform berücksichtigt.

Unsere Entwicklungsprozesse können insbesondere folgende Maßnahmen umfassen:

Versionsverwaltung des Quellcodes,
Überprüfung sicherheitsrelevanter Codeänderungen,
Trennung von Entwicklungs-, Test- und Produktivumgebungen,
Prüfung eingesetzter Softwareabhängigkeiten,
regelmäßige Aktualisierung von Bibliotheken und Systemkomponenten,
automatisierte Tests,
Prüfung von Eingaben,
Schutz vor typischen Webanwendungsangriffen,
sichere Fehlerbehandlung,
Schutz von API-Schnittstellen,
Verwaltung technischer Geheimnisse außerhalb des Quellcodes,
Zugriffsbeschränkung auf Quellcode und Deployment-Systeme und
kontrollierte Bereitstellung neuer Softwareversionen.

Echte Kundendokumente sollen nicht für allgemeine Entwicklungs- oder Testzwecke verwendet werden. Ist die Nutzung produktionsnaher Daten für die Untersuchung eines konkreten Fehlers erforderlich, wird der Zugriff auf den erforderlichen Umfang beschränkt, zeitlich begrenzt, dokumentiert und nach Abschluss der Untersuchung beendet.

19. Schwachstellen- und Aktualisierungsmanagement

Wir beobachten sicherheitsrelevante Hinweise zu den von uns eingesetzten Komponenten und prüfen erforderliche Aktualisierungen. Sicherheitsupdates werden nach ihrer Dringlichkeit priorisiert.

Dabei berücksichtigen wir insbesondere Schwere und Ausnutzbarkeit der Schwachstelle, Erreichbarkeit des betroffenen Systems, mögliche Auswirkungen auf Kundendaten, Verfügbarkeit einer Korrektur und Risiken des Updates. Kritische Schwachstellen sollen mit erhöhter Priorität behandelt werden.

Komponenten, die nicht mehr sicher unterstützt oder aktualisiert werden können, werden nach Möglichkeit ersetzt, isoliert, deaktiviert oder durch zusätzliche Schutzmaßnahmen abgesichert.

20. Schutz technischer Geheimnisse

Zugangsschlüssel, API-Schlüssel, Passwörter, Zertifikate und andere technische Geheimnisse dürfen nicht im öffentlich zugänglichen Quellcode oder in öffentlich erreichbaren Konfigurationsdateien gespeichert werden.

Technische Geheimnisse werden über dafür vorgesehene Konfigurations- oder Secrets-Verfahren bereitgestellt, nur berechtigten Systemen und Personen zugänglich gemacht, bei Verdacht auf Offenlegung ausgetauscht, nach Möglichkeit regelmäßig erneuert und nach Wegfall des Verwendungszwecks entfernt.

Produktivzugänge werden nicht für allgemeine Entwicklungs- oder Testzwecke verwendet.

21. Verfügbarkeit und Wiederherstellung

Wir treffen angemessene Maßnahmen, um die Verfügbarkeit und Wiederherstellbarkeit der Plattform zu unterstützen.

Hierzu können insbesondere Systemüberwachung, Fehlerprotokollierung, definierte Neustart- und Wiederherstellungsverfahren, eingerichtete Datensicherungen, Überwachung von Speicherkapazitäten, Schutz vor Überlastung, kontrollierte Softwarebereitstellungen und Verfahren zur Reaktion auf technische Störungen gehören.

Eine jederzeit vollständig unterbrechungsfreie Verfügbarkeit kann bei einem internetbasierten SaaS-Dienst nicht garantiert werden. Verbindliche Verfügbarkeiten, Reaktionszeiten und Wiederherstellungsziele gelten nur, wenn sie ausdrücklich in einem Vertrag oder einer Service-Level-Vereinbarung festgelegt wurden.

22. Sicherheitsvorfälle

Wir unterhalten einen Prozess zur Erkennung, Bewertung, Begrenzung und Bearbeitung möglicher Sicherheitsvorfälle.

Ein Sicherheitsvorfall kann insbesondere vorliegen bei unberechtigtem Zugriff, Verlust von Zugangsdaten, Offenlegung von Kundendaten, Schadsoftwarebefall, fehlerhafter Mandantenzuordnung, unzulässiger Veränderung von Daten, Verlust der Verfügbarkeit, Verdacht auf Datenabfluss oder Ausnutzung einer technischen Schwachstelle.

Abhängig von Art und Umfang des Vorfalls können insbesondere folgende Maßnahmen ergriffen werden:

technische Eingrenzung des Vorfalls,
Sicherung relevanter Protokolle,
Sperrung betroffener Zugänge,
Austausch kompromittierter Schlüssel,
Untersuchung der Ursache,
Bewertung betroffener Daten und Systeme,
Wiederherstellung eines sicheren Betriebs,
Information betroffener Kunden,
Unterstützung des Kunden bei seinen Meldepflichten und
Umsetzung von Verbesserungsmaßnahmen.

Soweit wir als Auftragsverarbeiter tätig sind, informieren wir den verantwortlichen Kunden entsprechend den gesetzlichen und vertraglichen Vorgaben über Verletzungen des Schutzes personenbezogener Daten. Der Kunde bleibt für seine eigenen gesetzlichen Melde- und Benachrichtigungspflichten verantwortlich.

23. Organisatorische Maßnahmen

Technische Maßnahmen werden durch organisatorische Sicherheitsvorgaben ergänzt.

Hierzu gehören insbesondere:

Beschränkung interner Zugriffsrechte,
Verpflichtung berechtigter Personen auf Vertraulichkeit,
Dokumentation sicherheitsrelevanter Zuständigkeiten,
geregelte Vergabe und Entziehung von Berechtigungen,
Schulung und Sensibilisierung,
Vorgaben für den Umgang mit Zugangsdaten,
Verfahren zur Bearbeitung von Sicherheitsvorfällen,
regelmäßige Prüfung der eingesetzten Dienstleister,
Dokumentation technischer und organisatorischer Maßnahmen,
Datenschutz- und Sicherheitsprüfungen bei neuen Funktionen und
Lösch- und Aufbewahrungskonzepte.

Interne Berechtigungen werden bei personellen oder organisatorischen Veränderungen angepasst. Nicht mehr erforderliche Zugänge werden deaktiviert oder entfernt.

24. Dienstleister und Unterauftragsverarbeiter

Für den Betrieb einzelner Funktionen setzen wir ausgewählte Dienstleister ein.

Hierzu gehören insbesondere:

Hetzner für Hosting und Datenspeicherung,
OpenAI für einzelne KI-gestützte Verarbeitungsschritte,
Stripe für Zahlungsabwicklung und
der tatsächlich produktiv eingesetzte Anbieter für transaktionale E-Mails, soweit ein externer Anbieter eingesetzt wird.

Dienstleister erhalten nur Zugriff auf Daten, soweit dies für die jeweilige Leistung erforderlich ist. Soweit ein Dienstleister als Auftragsverarbeiter tätig wird, wird ein entsprechender Vertrag abgeschlossen.

Bei der Auswahl und Überprüfung von Dienstleistern berücksichtigen wir insbesondere Art der verarbeiteten Daten, Verarbeitungsstandorte, Sicherheitsmaßnahmen, Unterauftragnehmer, Löschmöglichkeiten, vertragliche Datenschutzgarantien und mögliche Drittlandübermittlungen.

Nähere Angaben zu den Dienstleistern und zur Verarbeitung personenbezogener Daten enthält unsere Datenschutzerklärung.

25. Verantwortung unserer Kunden

Die Sicherheit der Plattform ist eine gemeinsame Aufgabe.

Unsere Kunden müssen insbesondere:

sichere und individuelle Passwörter verwenden,
Zugangsdaten geheim halten,
Mehr-Faktor-Authentifizierung verwenden, soweit verfügbar,
Benutzerkonten nur berechtigten Personen zuweisen,
Berechtigungen regelmäßig überprüfen,
ausgeschiedene Nutzer unverzüglich sperren,
Endgeräte und Browser aktuell halten,
eigene Systeme gegen Schadsoftware schützen,
API-Schlüssel sicher verwahren,
keine Zugangsdaten in frei zugänglichen Systemen speichern,
verdächtige Vorgänge unverzüglich melden,
Dokumente vor der geschäftlichen Verwendung prüfen,
eigene gesetzliche Aufbewahrungspflichten erfüllen und
erforderliche Daten rechtzeitig exportieren.

Der Kunde muss seine internen Prozesse so organisieren, dass ein einzelnes fehlerhaftes oder manipuliertes Dokument nicht ungeprüft zu einer erheblichen wirtschaftlichen oder rechtlichen Folge führt.

26. Meldung von Schwachstellen

Sicherheitsforscher, Kunden und Nutzer können vermutete Sicherheitslücken oder ungewöhnliche sicherheitsrelevante Vorgänge vertraulich melden.

Kontakt: h.mater@km-digitalwerk.de

Eine Meldung sollte nach Möglichkeit enthalten:

Beschreibung der vermuteten Schwachstelle,
betroffene Funktion,
nachvollziehbare Schritte,
Zeitpunkt der Beobachtung,
mögliche Auswirkungen und
Kontaktdaten für Rückfragen.

Bei Sicherheitsprüfungen sind folgende Regeln einzuhalten:

Es dürfen nur eigene Konten und Daten verwendet werden.
Auf Daten anderer Kunden darf nicht zugegriffen werden.
Daten dürfen nicht verändert, veröffentlicht oder heruntergeladen werden.
Die Verfügbarkeit der Plattform darf nicht beeinträchtigt werden.
Automatisierte Massenscans und Belastungstests sind ohne vorherige Zustimmung unzulässig.
Eine Schwachstelle darf nicht öffentlich gemacht werden, bevor eine angemessene Möglichkeit zur Prüfung und Behebung bestand.
Social Engineering gegenüber Mitarbeitern oder Dienstleistern ist unzulässig.

Wir prüfen nachvollziehbare Meldungen und behandeln verantwortungsvoll handelnde Hinweisgeber fair. Diese Regelung begründet keinen Anspruch auf eine Vergütung oder Prämie.

27. Keine Sicherheits- oder Verfügbarkeitsgarantie

Kein IT-System kann gegen sämtliche denkbaren Risiken vollständig geschützt werden.

Unsere Sicherheitsmaßnahmen dienen dazu, Risiken angemessen zu reduzieren. Sie stellen jedoch keine Garantie dafür dar, dass jeder Angriff verhindert wird, jede Schadsoftware erkannt wird, die Plattform jederzeit verfügbar ist, sämtliche Datenverluste ausgeschlossen sind, jede Schwachstelle vor einer möglichen Ausnutzung erkannt wird oder ausschließlich fehlerfreie Verarbeitungsergebnisse entstehen.

Aussagen auf dieser Seite stellen insbesondere keine Garantie, Beschaffenheitsvereinbarung, Zertifizierung, Versicherungszusage, Zusicherung einer bestimmten Verfügbarkeit oder Erweiterung der gesetzlichen oder vertraglichen Haftung dar.

Verbindliche Verpflichtungen ergeben sich ausschließlich aus den ausdrücklich vereinbarten Vertragsunterlagen.

28. Keine Zertifizierungsbehauptung

Soweit nicht ausdrücklich anders angegeben, behaupten wir nicht, dass:

FlowEngine nach ISO 27001 zertifiziert ist,
ein BSI-C5-Testat für FlowEngine besteht,
die Plattform behördlich geprüft oder zugelassen wurde,
eine allgemeine „DSGVO-Zertifizierung“ vorliegt oder
sämtliche Sicherheitsmaßnahmen durch eine unabhängige Prüfstelle bestätigt wurden.

Zertifizierungen oder Prüfberichte von eingesetzten Infrastruktur- oder Unterauftragnehmern gelten nicht automatisch als Zertifizierung unserer eigenen Plattform.

Werden künftig eigene Zertifizierungen, Testate oder externe Sicherheitsprüfungen durchgeführt, werden Umfang, Geltungsbereich und Gültigkeitsdauer transparent angegeben.

29. Änderungen des Sicherheitskonzepts

Sicherheitsmaßnahmen müssen an neue technische und organisatorische Risiken angepasst werden können.

Wir können deshalb insbesondere Sicherheitsmechanismen erweitern, Authentifizierungsverfahren ändern, technische Komponenten austauschen, zusätzliche Protokollierungen einführen, Verarbeitungswege anpassen, gefährdete Funktionen vorübergehend beschränken, neue Sicherheitsanforderungen für Benutzerkonten festlegen und Dienstleister aus Sicherheitsgründen ersetzen.

Wesentliche Änderungen, die sich auf die vertragliche Nutzung oder die Verarbeitung personenbezogener Daten auswirken, werden entsprechend den gesetzlichen und vertraglichen Anforderungen kommuniziert.

30. Sicherheitskontakt

Fragen zu unserem Sicherheitskonzept und Hinweise auf mögliche Sicherheitsprobleme können gerichtet werden an:

KM-Digitalwerk Gbr

Brookstr. 4

33449 Langenberg

Deutschland

Sicherheitskontakt: h.mater@km-digitalwerk.de

Datenschutzkontakt: p.kleinehanding@km-digitalwerk.de

Support: p.kleinehanding@km-digitalwerk.de

Website: https://km-digitalwerk.de/

Bitte übermitteln Sie Passwörter, API-Schlüssel oder vollständige vertrauliche Geschäftsdokumente nicht unverschlüsselt per E-Mail.