Anlage zum AVV nach Art. 32 DSGVO. Vereinario läuft auf einem eigenen Cloud-Server bei Hetzner in der EU.
| Bereich | Maßnahme |
|---|---|
| Zutrittskontrolle | Rechenzentrum der Hetzner Online GmbH (ISO/IEC 27001 zertifiziert), Zutritt nur für berechtigtes Personal. |
| Zugangskontrolle Server | Administration nur über ein WireGuard-VPN; SSH nur mit Schlüssel, Anmeldung per Passwort abgeschaltet; Firewall lässt nur HTTPS und VPN zu; Sicherheitsupdates des Betriebssystems automatisch. |
| Zugangskontrolle Anwendung | Persönliche Logins; Passwörter nur als bcrypt-Hash; Sperre nach 10 Fehlversuchen für 15 Minuten; Sitzung per HttpOnly-Cookie (SameSite=Strict, Secure), Ablauf nach 7 Tagen ohne Nutzung bzw. 30 Tagen, Ende bei Passwortänderung; kein Standardpasswort. |
| Zugriffskontrolle | Rollen Vorstand, Kassenprüfer (ohne Bankdaten und Mitglieder-Dokumente) und Mitglied (nur Kassenstand und eigene Einreichungen); serverseitige Prüfung bei jeder Anfrage; Vorstände verwalten nur Logins ihres Vereins. |
| Trennungskontrolle | Eigener Datenordner je Verein; Anwendung in eigenem Container getrennt von anderen Diensten; Datenordner wird nie direkt ausgeliefert. |
| Weitergabekontrolle | Nur verschlüsselte Verbindungen (HTTPS/TLS); keine Verbindungen zu Dritten aus der App; Schutz vor Anfragen fremder Webseiten (CSRF). |
| Eingabekontrolle | Änderungsprotokoll für Buchungen, Vereinseinstellungen und Logins mit Zeit, Login, altem und neuem Stand, in derselben Datenbank-Transaktion wie die Änderung und gegen nachträgliches Ändern gesperrt; Storno statt Löschen; Belege an Buchungen bleiben erhalten. |
| Verfügbarkeit | Wöchentliche, mit AES-256 verschlüsselte Datensicherung, Aufbewahrung 8 Wochen; Container starten nach Neustart automatisch. |
| Protokolle | Webserver-Protokolle mit gekürzten IP-Adressen, ohne Cookies und Passwörter; Löschung nach 7 Tagen. |
| Löschkonzept | Gesetzliche Fristen zentral hinterlegt: Buchungsbelege 8 Jahre, Kassenbuch und Protokoll 10 Jahre, Mitgliederdaten 3 Jahre nach Austritt (SEPA-Mandat mind. 14 Monate nach letzter Lastschrift); abgelaufene Daten zeigt die Software an und löscht sie nach Bestätigung; Datenauskunft je Mitglied. |
| Organisation | Vertraulichkeitsverpflichtung aller Personen mit Serverzugang; Meldung von Datenschutzverletzungen innerhalb von 24 Stunden; Fristen und Texte werden bei Gesetzesänderungen angepasst (Rechtsstand in der Software sichtbar). |
Stand: 12.10.2026