Technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO

Geltungsbereich

Diese TOM gelten für die workcentrix GmbH und die filehub GmbH. Jede Gesellschaft ist für die von ihr geschlossenen Verträge Auftragsverarbeiter; wo eine Gesellschaft ohne eigenen Vertrag mit dem Kunden für die andere Daten verarbeitet, ist sie deren Unterauftragsverarbeiter. Die Maßnahmen sind Anlage 2 der jeweiligen Vereinbarung zur Auftragsverarbeitung (workcentrix.de/avv bzw. filehub.one/de/avv) und werden fortlaufend an den Stand der Technik angepasst.

workcentrix betreibt keine DMS-Instanzen (z. B. Amagno) für Kunden; die Verarbeitung erfolgt über Integrationen, die auf die Systeme des Kunden zugreifen.

1 Vertraulichkeit

1.1 Zutrittskontrolle

• Die Systeme laufen ausschließlich in Rechenzentren der Hosting-Partner in Deutschland. Diese sind nach ISO/IEC 27001 zertifiziert und verfügen über Zutrittskontrollsysteme, Videoüberwachung und Sicherheitspersonal.

• Mitarbeiter von workcentrix und filehub haben keinen physischen Zutritt zu den Rechenzentren.

• Die Geschäftsräume sind gegen unbefugten Zutritt gesichert. Besucher werden begleitet.

1.2 Zugangskontrolle

• Zugang zu allen Systemen nur über persönliche, namentlich zugeordnete Benutzerkonten. Sammelkonten sind nicht zulässig.

• Serverzugriff erfolgt ausschließlich per SSH mit persönlichem Schlüssel. Passwort-Login und Root-Login per Passwort sind deaktiviert.

• Für Benutzer gelten Vorgaben für sichere Passwörter. Mehr-Faktor-Authentifizierung wird eingesetzt, wo der jeweilige Dienst sie unterstützt.

• Bildschirme werden bei Inaktivität automatisch gesperrt.

• Beim Austritt eines Mitarbeiters werden alle Zugänge am letzten Arbeitstag gesperrt und Schlüssel widerrufen.

1.3 Zugriffskontrolle

• Ein rollen- und berechtigungsbasiertes Konzept stellt sicher, dass Berechtigte nur auf die für ihre Aufgabe erforderlichen Daten zugreifen (Need-to-know). Administrative Rechte sind auf einen kleinen, benannten Personenkreis beschränkt.

• Entschlüsselte Zugangsdaten zu Kundensystemen werden ausschließlich zur Laufzeit für den jeweiligen Integrationsaufruf verwendet. Sie werden nicht protokolliert, nicht in API-Antworten ausgegeben, nicht in Entwicklungswerkzeugen angezeigt und nicht exportiert.

• Protokolldateien enthalten keine Zugangsdaten oder Tokens und sind nur für berechtigte Administratoren zugänglich.

• Kundendaten werden nicht auf Endgeräten oder mobilen Datenträgern gespeichert. Für mobiles Arbeiten gilt eine schriftliche Richtlinie.

1.4 Trennungskontrolle

• Daten verschiedener Kunden werden logisch getrennt verarbeitet. Jeder Datensatz und jedes Dokument ist einem Mandanten zugeordnet; der Dokumentenspeicher ist mandantenbezogen strukturiert.

• Die Trennung wird auf Anwendungsebene bei jedem Zugriff erzwungen und durch automatisierte Tests abgesichert.

• Entwicklungs-, Test- und Produktivsysteme sind getrennt. In Entwicklung und Test werden keine Produktivdaten von Kunden verwendet.

1.5 Verschlüsselung

Gespeicherte Daten. Alle Datenträger, auf denen Kundendaten verarbeitet oder gespeichert werden, sind mit LUKS/dm-crypt (AES-256-XTS) vollständig verschlüsselt. Das umfasst Dokumentenspeicher, Datenbank, Temporär- und Cache-Verzeichnisse sowie die Backup-Ziele.

Zugangsdaten und Tokens. Zugangsdaten zu Drittsystemen der Kunden, OAuth Access- und Refresh-Tokens, API-Keys und Client-Secrets werden zusätzlich auf Anwendungsebene feldweise verschlüsselt (AES-256-CBC mit HMAC-SHA-256). Ein Ausfall der Verschlüsselung führt zum Abbruch der Verarbeitung; eine unverschlüsselte Speicherung ist technisch ausgeschlossen.

Schlüssel. Der Schlüssel für Zugangsdaten ist vom Anwendungsschlüssel für Sitzungen getrennt. Schlüssel liegen nicht im Quellcode und nicht in der Datenbank. Sie werden mindestens jährlich sowie anlassbezogen rotiert; Altdaten werden dabei umgeschlüsselt.

Übertragung. Jede Kommunikation mit den Cloud-Diensten erfolgt über TLS 1.2 oder höher mit HSTS. Verbindungen zu On-Premise-Systemen des Kunden werden mit dem höchsten vom Kundenserver unterstützten Verfahren nach dessen Vorgaben verschlüsselt. Die Verbindung zwischen Anwendung und Datenbank ist TLS-verschlüsselt mit Zertifikatsprüfung. Zugangsdaten, die der DATEV-Agent aus dem Kundennetz übermittelt, werden zusätzlich asymmetrisch (RSA-3072, OAEP) verschlüsselt, sodass sie auch bei TLS-Inspektion im Kundennetz nicht lesbar sind.

1.6 Fernwartung und Support

• Fernwartung erfolgt über AnyDesk mit Ende-zu-Ende-verschlüsselten Sitzungen. Im Regelfall startet der Kunde die Sitzung und kann sie jederzeit beobachten und beenden.

• Unbeaufsichtigter Zugriff wird nur eingerichtet, wenn der Kunde ihn schriftlich freigegeben hat. Die Freigabe ist jederzeit widerruflich.

• Zugriffe über VPN oder RDP des Kunden erfolgen über persönliche, vom Kunden vergebene Konten.

• Service-Accounts der Integrationen erhalten nur die für die Integration notwendigen Rechte.

• Bei Support-Sitzungen werden keine Kundendaten auf Endgeräte von workcentrix oder filehub übertragen.

2 Integrität

2.1 Eingabekontrolle

• Eingabe, Änderung und Löschung von Daten sowie Änderungen an Konfigurationen und Zugangsdaten werden mit Zeitstempel und ausführendem Benutzer protokolliert (Audit-Trail).

• Verschlüsselte Felder sind durch einen Message Authentication Code gegen Manipulation geschützt; manipulierte Datensätze werden bei der Entschlüsselung erkannt und zurückgewiesen.

2.2 Weitergabekontrolle

• Daten werden nur an vom Kunden konfigurierte Empfänger und Schnittstellen übertragen, ausschließlich über verschlüsselte Verbindungen (Abschnitt 1.5).

• Eingehende Dateien durchlaufen vor der Verarbeitung eine Prüfung auf Schadsoftware und unzulässige Formate.

• Eine Weitergabe an Dritte außerhalb der veröffentlichten Unterauftragsverarbeiter erfolgt nicht.

3 Verfügbarkeit und Belastbarkeit

Datenbanken und Dokumentenspeicher werden täglich gesichert und 30 Tage aufbewahrt, an einem vom Produktivsystem getrennten Standort.

• Die Rechenzentren verfügen über redundante Strom- und Netzanbindung, USV, Brandfrüherkennung und Klimatisierung.

• Systeme werden überwacht; bei Störungen werden die Verantwortlichen automatisch benachrichtigt.

• Sicherheitsupdates werden regelmäßig eingespielt, Abhängigkeiten automatisiert auf bekannte Schwachstellen geprüft.

4 KI-Verarbeitung

Klassifikation, Extraktion und Kontierungsvorschläge werden auf eigenen Systemen in Deutschland gesteuert; als Sprach- und OCR-Modell wird Mistral AI (EU) eingesetzt, in filehub, filehubIDP und – sofern gebucht – in SmartBooking.

• Kundendaten werden nicht zum Training von Modellen Dritter verwendet. Mit Mistral AI ist vereinbart, dass übermittelte Daten nicht für Training genutzt werden.

• An das Sprachmodell werden nur die für die jeweilige Aufgabe erforderlichen Belegdaten übermittelt.

• Lerndaten (z. B. Kontierungsmuster, Vektoren) werden je Mandant gespeichert und mit dem Mandanten gelöscht.

• Mandantenübergreifend werden ausschließlich anonymisierte Merkmale ohne Personenbezug (z. B. Layout-Merkmale von Lieferantenbelegen) auf Grundlage der AVV genutzt . Die Nutzung ist in filehub standardmäßig aktiviert; der Kunde kann sie jederzeit selbst in den Einstellungen deaktivieren.

• KI-Ergebnisse sind Vorschläge. Eine automatische Verbuchung erfolgt nur nach den vom Kunden konfigurierten Regeln und Konfidenzschwellen.

5 Datenvorhaltung und Löschung

Nach Vertragsende sind alle Daten eines Mandanten spätestens nach 90 Tagen vollständig gelöscht, einschließlich der Backups.

• Auf Weisung des Kunden werden Daten auch vor Vertragsende gelöscht.

• Die Löschung wird protokolliert und auf Anfrage schriftlich bestätigt.

• Datenträger werden durch die Hosting-Partner nach anerkannten Verfahren vernichtet.

6 Organisation und regelmäßige Überprüfung

6.1 Datenschutzorganisation

• Eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht nicht (§ 38 BDSG). Verantwortlich für den Datenschutz ist die Geschäftsführung unter datenschutz@workcentrix.de bzw. datenschutz@filehub.one

• Alle Mitarbeiter beider Gesellschaften sind schriftlich auf Vertraulichkeit und Datenschutz verpflichtet und werden jährlich zu Datenschutz und Informationssicherheit geschult.

• Weisungen des Kunden werden dokumentiert. Die Verarbeitung erfolgt ausschließlich im Rahmen der AVV.

6.2 Sicherheitsvorfälle

• Ein dokumentierter Prozess regelt Erkennung, Bewertung, Eindämmung und Dokumentation von Sicherheitsvorfällen.

• Verletzungen des Schutzes personenbezogener Daten werden dem Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis gemeldet, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

6.3 Auftragskontrolle

• Unterauftragsverarbeiter werden vor Beauftragung auf ihre TOM geprüft und vertraglich nach Art. 28 DSGVO gebunden (Anlage 3 der jeweiligen AVV).

• Änderungen bei Unterauftragsverarbeitern werden dem Kunden vorab mitgeteilt; er kann widersprechen.

6.4 Überprüfung und Bewertung

• Sicherheitsupdates werden regelmäßig eingespielt; Abhängigkeiten werden automatisiert auf Schwachstellen geprüft.

• Penetrationstests aller Dienste finden mindestens jährlich statt.

• Diese TOM, das Kryptokonzept und die Verantwortungsteilung mit den Hosting-Partnern werden jährlich und bei wesentlichen Änderungen überprüft.

• Datenschutzfreundliche Voreinstellungen und Datenschutz durch Technikgestaltung (Art. 25 DSGVO) sind Teil des Entwicklungsprozesses.

Stand: 01.07.2026

Unterauftragsverarbeiter

Die eingesetzten Unterauftragsverarbeiter mit Leistung, Ort der Verarbeitung und Garantien sind gesondert veröffentlicht: workcentrix.de/weitere-auftragsverarbeiter und filehub.one/de/weitere-auftragsverarbeiter. Alle Unterauftragsverarbeiter verarbeiten Kundendaten in der EU; das Hosting erfolgt ausschließlich in Deutschland.