Technische und organisatorische Maßnahmen

nach Art. 32 DSGVO. Stand: 12. September 2026. Anlage zum Vertrag zur Auftragsverarbeitung. Hier steht, was tatsächlich eingerichtet ist, nicht was üblich wäre.

Vertraulichkeit

Zutritt zu den Räumen

Die Server stehen im Rechenzentrum der IONOS SE in Berlin. Zutrittskontrolle, Videoüberwachung, Brandschutz und Stromversorgung liegen dort und sind vom Betreiber zertifiziert (ISO 27001). fendr selbst betreibt keine eigenen Räume mit Kundendaten.

Zugang zu den Systemen

Anmeldung am Server nur mit SSH-Schlüssel. Passwortanmeldung ist abgeschaltet, wiederholte Fehlversuche sperrt fail2ban, eine Firewall lässt nur die nötigen Ports zu (22, 80, 443).
Die Installation jedes Kunden lauscht nur lokal; von außen erreichbar ist sie ausschließlich über den Webserver mit TLS.
Zugänge zur Software: eigener Benutzer je Person, Passwort als bcrypt-Hash, erzwungener Wechsel beim ersten Anmelden, Sperren statt Löschen beim Ausscheiden.
Das Hersteller-Dashboard ist durch Anmeldung, Rollen und eine zweite Stufe (TOTP) geschützt; jede Anmeldung und jede Aktion steht im Protokoll.

Zugriff auf die Daten

Rollen in der Software (Admin, Büro, Zeiterfassung, Crew) und zusätzlich Rechte je Seite. Die Bord-App hat ein eigenes, auf ein Schiff beschränktes Token.
Ein Zugang des Herstellers in die Installation eines Kunden ist nur über eine einmalige, fünf Minuten gültige, signierte Tür möglich. Jeder Einstieg steht mit Grund im Protokoll des Kunden und in seinem Kundenkonto. Der Kunde kann diese Tür abschalten.
Passwort-Hashes verlassen die Installation nie, auch nicht bei der Verwaltung der Benutzer durch den Hersteller.

Trennung

Je Kunde eine eigene Datenbank, ein eigener Systembenutzer, ein eigener Dienst und ein eigenes Verzeichnis. Kein gemeinsamer Datenbestand, keine Mandantenspalte.
Test- und Wegwerfumgebungen laufen mit erfundenen Daten, nie mit einem Abzug eines Kunden.

Integrität

Übertragung nur über TLS (HTTPS, Zertifikate automatisch erneuert). Kein Aufruf fremder Server aus der Oberfläche: Schriften und Bibliotheken liegen lokal.
Geräte am Anleger (NFC-Terminals) melden sich mit HMAC-Signatur; der Schlüssel lässt sich wechseln.
Lizenzen und Fernzugänge sind mit Ed25519 signiert und an die einzelne Installation gebunden.
Änderungen an Fahrten, Buchungen und Zeiten stehen in Protokollen; das Protokoll der Verwaltung ist über Prüfsummen verkettet, nachträgliche Änderungen fallen auf.

Verfügbarkeit und Wiederherstellbarkeit

Sicherung jeder Installation jede Nacht: Datenbank und abgelegte Dateien, Aufbewahrung 30 Tage.
Eine Kopie der Sicherungen außerhalb des Servers, täglich abgeholt.
Wöchentlich wird der jüngste Abzug in eine Wegwerf-Datenbank zurückgespielt und verglichen. Das Ergebnis steht im Protokoll.
Eine Sonde prüft alle fünf Minuten die Erreichbarkeit; Alarme (Platte, Speicher, alte Sicherung, Zertifikat, Antwortzeit, Stille) gehen per Mail heraus. Der gemessene Stand ist öffentlich: fendr.de/status.
Der Betrieb wird nicht abgeschaltet, wenn eine Lizenz ausläuft: Module entfallen, Fahrten, Buchungen und Anmeldung laufen weiter.

Datenminimierung und Voreinstellungen

Zur Wartung meldet jede Installation nur Anzahlen, nie Zeilen, nie Namen.
Der Standort wird beim Stempeln nur geprüft, nicht gespeichert.
Die Bord-App führt keine Gästelisten, wo Zahlen reichen.
Sondendaten werden nach 30 Tagen verdichtet, Messwerte des Servers nach 90 Tagen gelöscht.

Auftragskontrolle und Organisation

Unterauftragnehmer sind im Vertrag zur Auftragsverarbeitung benannt; weitere werden vorher mitgeteilt.
Änderungen an der Software gehen über Tests und eine automatische Auslieferung; jede Fassung ist nachvollziehbar, ein Rückschritt ist möglich.
Meldungen aus der Software landen beim Hersteller mit Text und Namen des Melders, weil sie an ihn gerichtet sind. Das steht auf der Meldeseite.

Was nicht eingerichtet ist

Ehrlichkeit gehört dazu:

Die Festplatten der Server sind nicht zusätzlich verschlüsselt; der Schutz liegt bei Zugangskontrolle und Rechenzentrum.
Es gibt keine Hochverfügbarkeit mit zweitem Server. Ein Ausfall der Maschine wird aus der Sicherung wiederhergestellt.
Es gibt keine Zertifizierung nach ISO 27001 für fendr selbst, nur für das Rechenzentrum.