Anlage 1 · Technische und organisatorische Maßnahmen

Fassung 2026-11-12 · gehört zur Vereinbarung zur Auftragsverarbeitung (Fassung 1.2) · Berkan Akdag, Graz · hello@stammkartl.at

Gegliedert wie die Checkliste der Mustervereinbarung der Wirtschaftskammer. Beschrieben ist der tatsächliche Stand der Software.

A · Vertraulichkeit

Zutritt: Stammkartl betreibt keine eigenen Server. Die Rechenzentren gehören den Unterauftragsverarbeitern (Supabase, Vercel); deren Verträge regeln den Zutrittsschutz.
Zugang für Betriebe: sechsstellige PIN, gespeichert nur als bcrypt-Hash. Die Sitzung ist ein signiertes Cookie (HMAC-SHA256), gilt 30 Tage, wird nur über HTTPS gesendet und ist für Skripte im Browser nicht lesbar.
Zugang für Mitarbeiter: eigene PIN je Person und Betrieb, als bcrypt-Hash gespeichert; Sitzung wie oben. Der Betrieb kann Mitarbeiter sperren; „Überall abmelden" beendet alle Sitzungen.
Zugang für die Verwaltung: Passwort aus der Serverumgebung mit zeitsicherem Vergleich, Sitzung 4 Stunden.
Fehlversuche: Nach 5 falschen Versuchen je Netz und Konto folgt eine Sperre von 5 Minuten, bei Verwaltung und PIN-Wechsel 15 Minuten.
Zugriff: Jede Tabelle der Datenbank hat Zeilenschutz (Row Level Security). Der Browser liest keine Gästedaten direkt aus der Datenbank, nur über geprüfte Serverwege. Welcher Mitarbeiter stempelt, entnimmt der Server der Sitzung, nie der Anfrage.
Trennung: Alle Daten tragen die Kennung ihres Betriebs. Ein Betrieb sieht nur seine eigenen Gäste.
Datensparsamkeit: Gäste geben weder E-Mail noch Telefonnummer an. Die Ratenbegrenzung speichert IP-Adressen nur gekürzt (/24 bei IPv4, /64 bei IPv6). Fehler gehen nur gekürzt ins Log, Kennungen und Zugangsschlüssel werden darin unkenntlich gemacht. Einen externen Fehlerdienst gibt es nicht.

Übertragung: nur verschlüsselt über HTTPS, mit HSTS (ein Jahr, samt Unterdomains). Weitere Sicherheits-Kopfzeilen: X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy. Eine Content-Security-Policy ist derzeit nicht gesetzt.
Gefälschte Anfragen: Schreibende Anfragen prüfen die Herkunft (Origin gegen Host); Cookies tragen SameSite=Lax.
Eingabekontrolle: Je Stempel, Einlösung und Geschenk steht, welcher Mitarbeiter ihn gegeben hat (13 Monate). Die Verwaltung protokolliert ihre Zugriffe mit Aktion, Zeitpunkt, IP-Adresse und Browser (90 Tage). Vertragsannahmen und Einwilligungen stehen in Protokollen, die sich nur ergänzen lassen.
Doppelte Buchungen: Jeder Scan trägt eine eigene Kennung; dieselbe Karte ist danach 12 Sekunden gesperrt.

Betrieb: Programmlogik bei Vercel in Frankfurt, Datenbank bei Supabase in Irland.
Sicherungen: Im gewählten Tarif des Datenbankanbieters gibt es keine automatischen Sicherungen. Vor Änderungen an der Datenbankstruktur legt Stammkartl eine Sicherung von Hand an; sie wird gelöscht, sobald sie ersetzt ist, spätestens nach 90 Tagen.
Überlastung: Ratenbegrenzung je Funktion, etwa beim Anlegen von Karten 120 je Anschluss und 200 je Betrieb in 10 Minuten.
Überwachung: Der Zeitplan der Automationen läuft bei Vercel; ein stündlicher Takt setzt den Pro-Tarif voraus. Jeder Lauf prüft unter anderem, ob der letzte Lauf rechtzeitig kam und wann das Apple-Zertifikat abläuft. Alarme stehen in der Verwaltung unter „Status" und im Log.

Automatische Tests prüfen bei jeder Änderung unter anderem: Zeilenschutz an jeder Tabelle, keine Gästedaten an die KI, keine Personendaten in Logzeilen, unveränderte Prüfsummen der angenommenen Vertragstexte.
Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art 28 DSGVO (Anlage „Unterauftragsverarbeiter").
Datenpannen: Meldung an den Betrieb spätestens 24 Stunden nach Bekanntwerden (AVV § 3 Abs 7).
Fortschreibung: Ändern sich die Maßnahmen, bekommt diese Anlage eine neue Fassung. Eine Absenkung braucht eine neue Fassung der Vereinbarung zur Auftragsverarbeitung.