Technische und organisatorische Maßnahmen

SuperSocial · Nulegal GmbH · Version 1.2 · Stand: 2. August 2026

Anlage zum Auftragsverarbeitungsvertrag, Anhang II (Art. 28 Abs. 3 lit. c i.V.m. Art. 32 DSGVO). Verantwortlich: Bork Morfaw, Geschäftsführer.

Diese Anlage beschreibt die Maßnahmen, die für die Dauer des Vertrags gelten. Sie ist bewusst knapp gehalten: jede Zusage ist eine Pflicht, und eine Anlage, die mehr aufzählt, als der Betrieb dauerhaft trägt, nützt dem Verantwortlichen nichts.

Wo eine Eigenschaft der Leistung eine Einschränkung mit sich bringt, steht sie hier ausdrücklich — insbesondere unter 2.3. Der Verantwortliche entscheidet auf dieser Grundlage, welche Konten er verbindet.

1. Vertraulichkeit

1.1 Physische Sicherheit und Zutrittskontrolle

Nulegal betreibt keine eigenen Server und keine eigenen Rechenzentren. Sämtliche Produktivsysteme laufen bei Google Cloud in der Region europe-west3 (Frankfurt am Main). Für die physische Sicherheit der Rechenzentren gelten die Maßnahmen und Zertifizierungen des Cloud-Anbieters (unter anderem ISO/IEC 27001, SOC 2).

Büroräume sind abschließbar; der Zutritt ist auf Beschäftigte und angemeldete Besucher beschränkt. Beim Ausscheiden von Beschäftigten werden ausgehändigte Schlüssel und Zugangsmedien zurückgegeben und alle Cloud- und SaaS-Zugänge zeitnah entzogen.

1.2 Zugangskontrolle (Systemzugang)

Individuelle Benutzerkonten; eine gemeinsame Nutzung von Konten findet nicht statt.
Der administrative Zugang zum Produktivserver erfolgt ausschließlich über einen identitätsgebundenen, protokollierten Tunnel des Cloud-Anbieters. Ein offener SSH-Zugang aus dem Internet besteht nicht.
Zugriff auf die Cloud-Konsole nur für benannte Personen. Jedes Konto mit Zugriff auf die Produktivumgebung ist durch Mehr-Faktor-Authentisierung geschützt.
Endgeräte sind durch Bildschirmsperre und Festplattenverschlüsselung geschützt; Passwörter werden in einem Passwortmanager verwaltet.

1.3 Zugriffskontrolle (Berechtigungen)

Rechtevergabe nach dem Erforderlichkeitsprinzip.
Die Anwendung trennt die Daten der Nutzer auf Anwendungsebene: Datenbankabfragen sind an die Kennung des jeweiligen Nutzers gebunden.
Der Zugang zur Schnittstelle für KI-Anwendungen erfolgt über OAuth 2.1 mit PKCE oder über ein persönliches Zugriffstoken. Die Erteilung eines Zugangs an eine KI-Anwendung setzt eine ausdrückliche Bestätigung des Nutzers auf einer eigenen Seite voraus. Zugriffstoken werden nicht im Klartext gespeichert, sondern als SHA-256-Hashwert; sie können widerrufen werden.
Die Anmeldung von Nutzern erfolgt passwortlos über einen einmalig verwendbaren Anmeldelink mit einer Gültigkeit von 15 Minuten. Passwörter der Nutzer werden nicht gespeichert.
Die Zugangsdaten der verbundenen Plattformen werden nicht bei Nulegal gespeichert, sondern beim Unterauftragsverarbeiter Unipile gehalten.
Änderungen am Produktivcode erfordern einen Pull Request und laufen über eine automatisierte Prüfstrecke; die Auslieferung erfolgt ausschließlich aus dem Hauptzweig. Der Schutz des Hauptzweigs gilt für alle Beteiligten einschließlich der Administratoren.
Administrative Oberfläche. Die Verwaltungsoberfläche gibt Nachrichteninhalte nicht aus. Administratoren sehen Konten, Abrechnungsdaten und Nutzungszahlen, nicht jedoch Konversationen oder einzelne Nachrichten.
Bildschirmfotos, die Nutzer freiwillig mit einer Rückmeldung übermitteln, können Nachrichteninhalte zeigen. Sie werden deshalb nicht in Übersichtslisten ausgeliefert, sondern nur einzeln und auf ausdrücklichen Abruf. Jeder Abruf durch einen Administrator wird protokolliert (siehe 2.2). Der Abruf durch die Person, die das Bildschirmfoto selbst eingereicht hat, wird nicht protokolliert.

1.4 Trennungskontrolle

Produktiv- und Testumgebung sind in getrennten Cloud-Projekten mit getrennten Zugangsdaten betrieben. Die Daten verschiedener Kunden werden in einer gemeinsamen Datenbank gespeichert und logisch anhand der Nutzerkennung getrennt.

2. Integrität

2.1 Weitergabe- und Übermittlungskontrolle

Sämtliche Übertragungen erfolgen ausschließlich TLS-verschlüsselt (HTTPS). Ein unverschlüsselter Zugang wird nicht angeboten.
Die Weitergabe an externe Dienstleister erfolgt nur auf Grundlage einer Auftragsverarbeitungsvereinbarung. Das gilt ohne Ausnahme; ein Dienstleister ohne geschlossene Vereinbarung wird nicht eingesetzt.
Die eingesetzten Unterauftragsverarbeiter sind in Anhang IV des Auftragsverarbeitungsvertrags und öffentlich unter app.getsupersocial.me/legal/subprocessors benannt.

2.2 Eingabe- und Änderungsprotokollierung

Änderungen am Produktivcode werden in Git versioniert und vollständig protokolliert.
Zugriffe auf die Cloud-Infrastruktur werden durch die Audit-Protokolle des Cloud-Anbieters erfasst.
Die Anwendung protokolliert Anmeldungen, Zugriffe über die Schnittstelle sowie sicherheitsrelevante Ereignisse.
Zugriffsprotokoll für administrative Einsichtnahme. Ruft ein Administrator personenbezogene Daten eines Nutzers ab, wird dies in einem gesonderten Protokoll festgehalten, und zwar mit Zeitpunkt, handelnder Person, Art des Zugriffs, betroffenem Datensatz, betroffener Person und IP-Adresse. Erfasst sind der Abruf eines eingereichten Bildschirmfotos und der Aufruf der Detailansicht eines Nutzerkontos. Das Protokoll wird unabhängig vom Erfolg des Zugriffs geschrieben, damit auch ein abgebrochener Abruf sichtbar bleibt.
Einträge dieses Protokolls werden so lange aufbewahrt, wie sie als Sicherheitsnachweis erforderlich sind, und danach gelöscht. Wird ein Nutzerkonto vorher gelöscht, bleibt der Eintrag bestehen; die Verknüpfung zu der betroffenen Person wird dabei sofort entfernt.
Ein Protokoll über jeden einzelnen lesenden Zugriff eines Nutzers auf seine eigenen Datensätze wird bewusst nicht geführt. Bei einer Anwendung, deren Zweck das Anzeigen der eigenen Nachrichten ist, wäre es eine Verdopplung des Datenbestands ohne Sicherheitsgewinn. Der Zugriff durch Dritte — Administratoren und die verbundene KI-Anwendung — wird dagegen protokolliert, und das ist der Zugriff, um den es geht.

2.3 Verschlüsselung

In der Übertragung: TLS für alle externen Verbindungen.
Im Ruhezustand: Die Datenträger der Produktivsysteme und der Sicherungsspeicher sind durch den Cloud-Anbieter verschlüsselt (Verschlüsselung auf Speicherebene, standardmäßig aktiv).
Zusätzlich auf Anwendungsebene (AES-256-GCM). Verschlüsselt gespeichert werden diejenigen Felder, die die Anwendung nie durchsuchen muss: zitierte Nachrichten, die Metadaten von Anhängen einschließlich der in Visitenkarten enthaltenen Telefonnummern und Adressen, die Kontaktdatensätze der Kommunikationspartner einschließlich Profilangaben, sowie noch nicht abgesendete Entwürfe und geplante Nachrichten. Die Ver- und Entschlüsselung erfolgt in der Anwendung; in der Datenbank steht ausschließlich der Geheimtext.

Nicht verschlüsselt sind Nachrichtentext, Betreff und Absendername. Das ist keine Auslassung, sondern eine Folge der Leistung: die Volltextsuche über das gesamte Nachrichtenarchiv ist eine Hauptfunktion, und der Suchindex muss diese Felder in lesbarer Form enthalten. Der Suchindex ist damit selbst ein Bestand von Nachrichteninhalten und wird hier als solcher ausgewiesen.

Wer Lesezugriff auf die Datenbank erlangt, kann Nachrichtentexte im Klartext lesen. Dieser Umstand ist in der Datenschutzerklärung offengelegt. Der Verantwortliche berücksichtigt ihn bei der Entscheidung, welche Konten er verbindet.

Die Verschlüsselung wirkt damit gegen die Weitergabe einer Datenbankkopie oder einer Sicherung, nicht gegen einen Angreifer, der die laufende Anwendung übernimmt.

Der Schlüssel wird in einem verwalteten Schlüsselspeicher des Cloud-Anbieters gehalten und der Anwendung beim Start bereitgestellt. Er liegt nicht auf demselben Datenträger wie die Datenbank oder die Sicherungen. Beim Wechsel eines Schlüssels bleiben zurückgezogene Schlüssel für die Entschlüsselung verfügbar, damit bestehende Datensätze lesbar bleiben.

3. Verfügbarkeit und Belastbarkeit

Die Anwendung läuft in einem containerisierten Dienst, der bei einem Ausfall automatisch neu gestartet wird.
Die Datenbank wird als verwalteter Dienst des Cloud-Anbieters betrieben. Sicherungen werden automatisiert erstellt und in derselben Region vorgehalten; zusätzlich besteht eine Wiederherstellung auf einen Zeitpunkt (Point-in-Time Recovery).
Sicherungen verbleiben innerhalb des verwalteten Datenbankdienstes und werden dort verschlüsselt gespeichert. Es wird keine Kopie in einen gesonderten Speicher außerhalb des Dienstes ausgeleitet.
Der Zugriff auf Sicherungen und auf die Wiederherstellung ist auf einen eng gefassten Kreis von Verwaltungsberechtigungen des Cloud-Anbieters beschränkt und getrennt von den Berechtigungen der laufenden Anwendung.
Die Anwendung wird durch eine automatisierte Prüfung überwacht, die den Betriebszustand und die Erreichbarkeit der Abhängigkeiten meldet und im Fehlerfall benachrichtigt.
Die Wiederherstellung aus einer Sicherung wird erprobt und nicht nur vorgehalten.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Änderungen am Programmcode werden ausschließlich über die Versionsverwaltung übernommen. Jede Änderung ist einzeln nachvollziehbar und lässt sich zurücknehmen. Der Zugang zur Produktivumgebung ist auf die Bereitstellung über diese Versionsverwaltung beschränkt.
Eine automatisierte Testsuite läuft bei jeder Änderung. Eine Änderung wird nicht bereitgestellt, solange diese Prüfung nicht vollständig erfolgreich ist.
Sicherheitsüberprüfungen der gesamten Anwendung und der Infrastruktur werden anlassbezogen durchgeführt; die letzte am 1. August 2026. Die dabei festgestellten Punkte werden nach Schweregrad abgearbeitet.
Die eingesetzten Fremdbibliotheken werden bei jeder Änderung automatisiert gegen die öffentlichen Schwachstellendatenbanken geprüft. Die Prüfstrecke bricht ab, sobald eine Schwachstelle auftritt, die zum Zeitpunkt der Einrichtung nicht bereits bekannt und dokumentiert war.

5. Auftragskontrolle

Weisungen des Verantwortlichen werden in Textform entgegengenommen und dokumentiert.
Beschäftigte sind zur Vertraulichkeit verpflichtet.
Unterauftragsverarbeiter werden vor ihrem Einsatz auf ihre Eignung geprüft und vertraglich verpflichtet; über Änderungen wird der Verantwortliche in Textform informiert.

6. Löschung

Löscht ein Nutzer sein Konto, werden Nachrichten, Konversationen, Kontaktdaten der Kommunikationspartner, Entwürfe, geplante Nachrichten, Anhänge, Zugriffstoken, Anmeldelinks und Kontoverbindungen aus der Datenbank entfernt und die Verbindung beim Unterauftragsverarbeiter aufgehoben. Rechnungs- und Buchungsdaten bleiben aufgrund gesetzlicher Aufbewahrungspflichten hiervon ausgenommen.

Nach Beendigung des Vertrags werden die Daten des Verantwortlichen auf Anforderung, spätestens jedoch innerhalb von 90 Tagen, gelöscht. Sicherungskopien werden im Rahmen ihres Aufbewahrungszeitraums überschrieben.

Die Löschung durch den Nutzer selbst wirkt sofort und vollständig. Sie ist nicht an eine Anfrage beim Anbieter gebunden und wird nicht verzögert.

Aufbewahrung von Nachrichteninhalten. Für Nachrichten bestehender Konten besteht bewusst keine Verfallsfrist. Die durchsuchbare Vollständigkeit des Archivs ist der Zweck der Leistung; eine gleitende Löschfrist würde sie aufheben. Diese Entscheidung ist in der Datenschutzerklärung offengelegt und in der Datenschutz-Folgenabschätzung bewertet. Sie erhöht die Anforderungen an alle übrigen Maßnahmen dieser Anlage, statt sie zu ersetzen.

Das Trennen eines einzelnen verbundenen Kontos löscht dessen Daten. Entfernt werden die Nachrichten und Konversationen dieses Kontos, die Kontaktdatensätze der darüber erreichten Kommunikationspartner, zugehörige Entwürfe und geplante Nachrichten, die dazu auf der Festplatte liegenden Anhänge sowie die Nutzungszahlen; die Verbindung beim Unterauftragsverarbeiter wird aufgehoben.

Verringerung des gespeicherten Bestands. Die Anwendung speicherte jede Nachricht zusätzlich in ihrer unveränderten Rohfassung. Diese Zweitfassung wurde entfernt; auf dem Produktivbestand gemessen sank die Datenbank dadurch von rund 397 MB auf rund 102 MB, ohne Verlust an Nachrichtenverlauf. Damit besteht von jeder Nachricht nur noch eine Kopie (Art. 5 Abs. 1 lit. c DSGVO).

Bei jeder Änderung dieser Maßnahmen werden Datum und Version aktualisiert. Ein Auftragsverarbeitungsvertrag gibt die Version an, die er einbezieht.