# Datenschutz und DSGVO

## Inhaltsverzeichnis

1. Übersicht der Datenverarbeitung
2. Personenbezogene Daten im System
3. Datenspeicherorte und Verarbeitungsdienstleister
4. Auftragsverarbeitungsverträge (AVV)
5. Zugriffsberechtigungen und Rollenkonzept
6. Protokollierung (Audit-Log)
7. Datenlöschung und Aufbewahrungsfristen
8. Datensicherheit (technische Maßnahmen)
9. Betroffenenrechte
10. Datenpannen und Meldepflicht
11. Checkliste DSGVO-Konformität

---

## 1. Übersicht der Datenverarbeitung

Pachtify360 ist ein Pachtverwaltungssystem für den internen Gebrauch. Es verarbeitet personenbezogene Daten von:

- **Mitarbeitern der Organisation** (Benutzerkonten)
- **Pächtern** (Vertragspartner, natürliche und juristische Personen)
- **Verpächtern und Eigentümern** (Vertragspartner)
- **Behörden und Dienstleistern** (Kontaktdaten)

**Zweck der Verarbeitung:** Verwaltung von Pachtverträgen, Pächtern, Pachtobjekten und Abrechnungen im Rahmen des Pachtverhältnisses.

**Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Daten der Vertragspartner; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für interne Verwaltung.

---

## 2. Personenbezogene Daten im System

### 2.1 Benutzerkonten (ZITADEL)

Für jeden Mitarbeiter, der Pachtify360 nutzt, werden in ZITADEL gespeichert:

<table data-sourcepos="46:1-52:82" id="bkmrk-datenkategorie-felde"><thead data-sourcepos="46:1-46:28"><tr data-sourcepos="46:1-46:28"><th data-sourcepos="46:1-46:19">Datenkategorie</th><th data-sourcepos="46:19-46:28">Felder</th></tr></thead><tbody data-sourcepos="48:1-52:82"><tr data-sourcepos="48:1-48:53"><td data-sourcepos="48:1-48:19">Identifikation</td><td data-sourcepos="48:19-48:53">Vorname, Nachname, Benutzername</td></tr><tr data-sourcepos="49:1-49:29"><td data-sourcepos="49:1-49:12">Kontakt</td><td data-sourcepos="49:12-49:29">E-Mail-Adresse</td></tr><tr data-sourcepos="50:1-50:53"><td data-sourcepos="50:1-50:17">Anmeldedaten</td><td data-sourcepos="50:17-50:53">Passwort-Hash, Multi-Faktor-Daten</td></tr><tr data-sourcepos="51:1-51:79"><td data-sourcepos="51:1-51:19">Berechtigungen</td><td data-sourcepos="51:19-51:79">Zugewiesene Rolle (Administrator / Mitarbeiter / Auditor)</td></tr><tr data-sourcepos="52:1-52:82"><td data-sourcepos="52:1-52:25">Technische Metadaten</td><td data-sourcepos="52:25-52:82">Letzte Anmeldung, IP-Adresse bei Anmeldung, User-Agent</td></tr></tbody></table>

Speicherort: ZITADEL Cloud (Region Europa, s. Abschnitt 3.2)

### 2.2 Kontakte (Pächter, Verpächter, etc.)

In der PostgreSQL-Datenbank werden für jeden Kontakt gespeichert:

<table data-sourcepos="60:1-67:50" id="bkmrk-datenkategorie-felde-1"><thead data-sourcepos="60:1-60:28"><tr data-sourcepos="60:1-60:28"><th data-sourcepos="60:1-60:19">Datenkategorie</th><th data-sourcepos="60:19-60:28">Felder</th></tr></thead><tbody data-sourcepos="62:1-67:50"><tr data-sourcepos="62:1-62:70"><td data-sourcepos="62:1-62:18">Personendaten</td><td data-sourcepos="62:18-62:70">Anrede, Vorname, Nachname, Firma, Kurzbezeichnung</td></tr><tr data-sourcepos="63:1-63:35"><td data-sourcepos="63:1-63:17">Kontaktdaten</td><td data-sourcepos="63:17-63:35">E-Mail, Telefon</td></tr><tr data-sourcepos="64:1-64:61"><td data-sourcepos="64:1-64:12">Adresse</td><td data-sourcepos="64:12-64:61">Straße, Hausnummer, PLZ, Ort, Bundesland, Land</td></tr><tr data-sourcepos="65:1-65:57"><td data-sourcepos="65:1-65:16">Finanzdaten</td><td data-sourcepos="65:16-65:57">Kreditorennummer, Kundennummer, USt-ID</td></tr><tr data-sourcepos="66:1-66:78"><td data-sourcepos="66:1-66:15">SEPA-Daten</td><td data-sourcepos="66:15-66:78">Mandatsart, Gläubiger-ID, Mandatsreferenz, Ausstellungsdatum</td></tr><tr data-sourcepos="67:1-67:50"><td data-sourcepos="67:1-67:13">Sonstige</td><td data-sourcepos="67:13-67:50">Notizen, benutzerdefinierte Felder</td></tr></tbody></table>

### 2.3 Pachtkonten und Abrechnungen

Pachtkonten enthalten vertragsbezogene Daten (keine direkt personenbezogenen Daten, aber verknüpft mit Kontakten):

- Kontonummer, Bezeichnung, Pachtzins, Fläche, Standort
- Verknüpfungen zu Kontakten (Pächter-ID, Verpächter-ID)
- Abrechnungsbeträge, Hebungen

### 2.4 Audit-Log

Das Audit-Log enthält:

<table data-sourcepos="80:1-85:69" id="bkmrk-feld-personenbezug-u"><thead data-sourcepos="80:1-80:25"><tr data-sourcepos="80:1-80:25"><th data-sourcepos="80:1-80:9">Feld</th><th data-sourcepos="80:9-80:25">Personenbezug</th></tr></thead><tbody data-sourcepos="82:1-85:69"><tr data-sourcepos="82:1-82:68"><td data-sourcepos="82:1-82:12">User-ID</td><td data-sourcepos="82:12-82:68">Indirekt personenbezogen (verweist auf ZITADEL-Konto)</td></tr><tr data-sourcepos="83:1-83:42"><td data-sourcepos="83:1-83:17">Benutzername</td><td data-sourcepos="83:17-83:42">Direkt personenbezogen</td></tr><tr data-sourcepos="84:1-84:40"><td data-sourcepos="84:1-84:15">IP-Adresse</td><td data-sourcepos="84:15-84:40">Direkt personenbezogen</td></tr><tr data-sourcepos="85:1-85:69"><td data-sourcepos="85:1-85:29">Aktion, Bereich, Details</td><td data-sourcepos="85:29-85:69">Sachlich, kein direkter Personenbezug</td></tr></tbody></table>

Das Audit-Log ist unveränderlich und kann nicht gelöscht werden.

---

## 3. Datenspeicherorte und Verarbeitungsdienstleister

### 3.1 Eigener Server (Hauptdatenbank)

<table data-sourcepos="95:1-97:109" id="bkmrk-dienst-beschreibung-"><thead data-sourcepos="95:1-95:40"><tr data-sourcepos="95:1-95:40"><th data-sourcepos="95:1-95:11">Dienst</th><th data-sourcepos="95:11-95:26">Beschreibung</th><th data-sourcepos="95:26-95:40">Speicherort</th></tr></thead><tbody data-sourcepos="97:1-97:109"><tr data-sourcepos="97:1-97:109"><td data-sourcepos="97:1-97:19">**PostgreSQL**</td><td data-sourcepos="97:19-97:71">Alle Stammdaten, Pachtkonten, Kontakte, Audit-Log</td><td data-sourcepos="97:71-97:109">Eigener Server (pacht.immobrand.de)</td></tr></tbody></table>

**Verantwortlich:** Heinsohn IT Solutions GmbH als Betreiber.  
**Serverstandort:** Gemäß Hosting-Provider (bitte bei Ihrem Provider prüfen und ggf. dokumentieren).

### 3.2 ZITADEL Cloud

**Zweck:** Authentifizierung und Benutzerverwaltung  
**Betreiber:** ZITADEL Enterprise GmbH (Schweiz)  
**Serverstandort:** EU1 — Europa (konkret: Deutschland oder Niederlande, je nach gewählter Region)  
**Datenschutz-Website:** [zitadel.com/privacy](https://zitadel.com/privacy)  
**AVV:** ZITADEL stellt einen standardisierten Auftragsverarbeitungsvertrag zur Verfügung (s. Abschnitt 4)

**Gespeicherte Daten:** Benutzerkonten der Mitarbeiter (Abschnitt 2.1)

### 3.3 Wasabi S3

**Zweck:** Speicherung von Dokumenten (z. B. Abrechnungs-PDFs)  
**Betreiber:** Wasabi Technologies LLC (USA), Serverstandort EU: Frankfurt (eu-central-2)  
**Datenschutz-Website:** [wasabi.com/legal/privacy-policy](https://wasabi.com/legal/privacy-policy)  
**Besonderheit:** US-Unternehmen mit EU-Servern; Standardvertragsklauseln (SCCs) erforderlich (s. Abschnitt 4)

**Gespeicherte Daten:** PDF-Dokumente, die personenbezogene Daten von Pächtern und Verpächtern enthalten können

### 3.4 GitHub (GHCR / GitHub Actions)

**Zweck:** Quellcode-Verwaltung, CI/CD-Pipeline, Docker-Image-Registry  
**Betreiber:** GitHub Inc. (USA)  
**Gespeicherte Daten:** Ausschließlich **kein** Personenbezug aus Pachtify360 — nur Quellcode, Build-Artefakte, Deployment-Konfiguration

---

## 4. Auftragsverarbeitungsverträge (AVV)

Für alle Dienstleister, die personenbezogene Daten im Auftrag verarbeiten, ist ein AVV nach Art. 28 DSGVO erforderlich.

<table data-sourcepos="133:1-138:63" id="bkmrk-dienstleister-avv-er"><thead data-sourcepos="133:1-133:46"><tr data-sourcepos="133:1-133:46"><th data-sourcepos="133:1-133:18">Dienstleister</th><th data-sourcepos="133:18-133:37">AVV erforderlich</th><th data-sourcepos="133:37-133:46">Status</th></tr></thead><tbody data-sourcepos="135:1-138:63"><tr data-sourcepos="135:1-135:130"><td data-sourcepos="135:1-135:29">ZITADEL (Benutzerkonten)</td><td data-sourcepos="135:29-135:34">Ja</td><td data-sourcepos="135:34-135:130">AVV unter [zitadel.com/dpa](https://zitadel.com/dpa) verfügbar; abschließen und dokumentieren</td></tr><tr data-sourcepos="136:1-136:167"><td data-sourcepos="136:1-136:41">Wasabi (Dokumente mit Personenbezug)</td><td data-sourcepos="136:41-136:46">Ja</td><td data-sourcepos="136:46-136:167">DPA unter [wasabi.com/legal](https://wasabi.com/legal/data-processing-addendum) verfügbar; für EU-Standort SCCs prüfen</td></tr><tr data-sourcepos="137:1-137:81"><td data-sourcepos="137:1-137:30">Hosting-Provider (Server)</td><td data-sourcepos="137:30-137:35">Ja</td><td data-sourcepos="137:35-137:81">Beim Hosting-Provider individuell anfordern</td></tr><tr data-sourcepos="138:1-138:63"><td data-sourcepos="138:1-138:32">GitHub (kein Personenbezug)</td><td data-sourcepos="138:32-138:39">Nein</td><td data-sourcepos="138:39-138:63">Kein AVV erforderlich</td></tr></tbody></table>

> **Handlungsbedarf:** AVVs mit ZITADEL und Wasabi müssen formell abgeschlossen und im Verzeichnis der Verarbeitungstätigkeiten (VVT) dokumentiert werden.

---

## 5. Zugriffsberechtigungen und Rollenkonzept

Pachtify360 setzt das **Prinzip der minimalen Berechtigung** um:

<table data-sourcepos="148:1-152:75" id="bkmrk-rolle-zugriff-auf-pe"><thead data-sourcepos="148:1-148:47"><tr data-sourcepos="148:1-148:47"><th data-sourcepos="148:1-148:10">Rolle</th><th data-sourcepos="148:10-148:47">Zugriff auf personenbezogene Daten</th></tr></thead><tbody data-sourcepos="150:1-152:75"><tr data-sourcepos="150:1-150:75"><td data-sourcepos="150:1-150:22">**Administrator**</td><td data-sourcepos="150:22-150:75">Vollzugriff: Lesen, Schreiben, Löschen aller Daten</td></tr><tr data-sourcepos="151:1-151:88"><td data-sourcepos="151:1-151:20">**Mitarbeiter**</td><td data-sourcepos="151:20-151:88">Lesen und Bearbeiten von Kontakt- und Vertragsdaten; kein Löschen</td></tr><tr data-sourcepos="152:1-152:75"><td data-sourcepos="152:1-152:16">**Auditor**</td><td data-sourcepos="152:16-152:75">Nur-Lesen aller Daten inkl. Audit-Log; keine Bearbeitung</td></tr></tbody></table>

**Zugangskontrolle:** Authentifizierung über ZITADEL mit OIDC/PKCE; optionale Zwei-Faktor-Authentifizierung über ZITADEL konfigurierbar.

**Empfehlung:** 2FA für alle Administrator-Konten in ZITADEL aktivieren.

---

## 6. Protokollierung (Audit-Log)

Pachtify360 protokolliert automatisch alle Schreib- und Anmeldeoperationen:

- Jedes Anlegen, Bearbeiten und Löschen von Datensätzen
- Jede Anmeldung und Abmeldung
- Jede Break-Glass-Anmeldung
- IP-Adresse, Benutzername, Zeitstempel

**Zweck der Protokollierung:** Nachvollziehbarkeit von Änderungen, Sicherheitsüberwachung, Nachweis bei Datenpannen.

**Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Systemsicherheit), Art. 32 DSGVO (technische Sicherheitsmaßnahme).

**Aufbewahrungsdauer:** Da das Audit-Log technisch unveränderlich ist, empfehlen wir eine Aufbewahrungsdauer von **2 Jahren** und danach gezielte Löschung älterer Einträge durch den Administrator (aktuell nur per direktem Datenbankzugriff möglich).

---

## 7. Datenlöschung und Aufbewahrungsfristen

### 7.1 Aufbewahrungsfristen

<table data-sourcepos="181:1-188:143" id="bkmrk-datenkategorie-aufbe"><thead data-sourcepos="181:1-181:52"><tr data-sourcepos="181:1-181:52"><th data-sourcepos="181:1-181:19">Datenkategorie</th><th data-sourcepos="181:19-181:40">Aufbewahrungsfrist</th><th data-sourcepos="181:40-181:52">Grundlage</th></tr></thead><tbody data-sourcepos="183:1-188:143"><tr data-sourcepos="183:1-183:83"><td data-sourcepos="183:1-183:41">Pachtvertragsdaten (aktive Verträge)</td><td data-sourcepos="183:41-183:63">Laufzeit + 10 Jahre</td><td data-sourcepos="183:63-183:83">§257 HGB, §147 AO</td></tr><tr data-sourcepos="184:1-184:47"><td data-sourcepos="184:1-184:25">Abrechnungsdokumente</td><td data-sourcepos="184:25-184:36">10 Jahre</td><td data-sourcepos="184:36-184:47">§257 HGB</td></tr><tr data-sourcepos="185:1-185:75"><td data-sourcepos="185:1-185:42">Kontaktdaten (aktive Vertragspartner)</td><td data-sourcepos="185:42-185:64">Laufzeit + 10 Jahre</td><td data-sourcepos="185:64-185:75">§257 HGB</td></tr><tr data-sourcepos="186:1-186:110"><td data-sourcepos="186:1-186:42">Kontaktdaten (keine aktiven Verträge)</td><td data-sourcepos="186:42-186:94">Bis Löschantrag oder 3 Jahre nach letztem Kontakt</td><td data-sourcepos="186:94-186:110">DSGVO Art. 17</td></tr><tr data-sourcepos="187:1-187:52"><td data-sourcepos="187:1-187:14">Audit-Log</td><td data-sourcepos="187:14-187:36">Empfehlung: 2 Jahre</td><td data-sourcepos="187:36-187:52">Art. 32 DSGVO</td></tr><tr data-sourcepos="188:1-188:143"><td data-sourcepos="188:1-188:56">ZITADEL-Benutzerkonten (ausgeschiedene Mitarbeiter)</td><td data-sourcepos="188:56-188:114">Sofort nach Ausscheiden sperren, nach 6 Monaten löschen</td><td data-sourcepos="188:114-188:143">DSGVO Art. 5 Abs. 1 lit. e</td></tr></tbody></table>

### 7.2 Löschprozess für Kontakte

Wenn ein Kontakt gelöscht werden soll (z. B. auf Antrag der betroffenen Person):

1. Prüfen: Bestehen noch aktive Pachtverträge mit diesem Kontakt? → Falls ja, Löschung erst nach Vertragsende und Ablauf der Aufbewahrungsfrist möglich
2. In Pachtify360: Kontakt öffnen → Löschen (nur durch Administrator)
3. Protokollieren: Datum und Grund der Löschung im internen Datenschutz-Log festhalten

> **Hinweis:** Das Audit-Log enthält weiterhin den Benutzernamen historischer Einträge — dieser kann technisch nicht rückwirkend entfernt werden. Aus dem Audit-Log können gelöschte Kontaktdaten nicht wiederhergestellt werden.

### 7.3 Löschprozess für ausgeschiedene Mitarbeiter

1. ZITADEL-Konto sofort **sperren** (nicht löschen, s. Benutzerverwaltungs-Anleitung)
2. Nach 6 Monaten: Konto **löschen** (sofern keine laufenden Untersuchungen o. ä.)
3. Falls Audit-Log-Einträge des Benutzers aufbewahrt werden: Anonymisierung auf Wunsch durch Entfernen des Namens aus dem Audit-Log (nur per direktem Datenbankzugriff, technisch möglich, aber nicht empfohlen wegen Nachvollziehbarkeit)

---

## 8. Datensicherheit (technische Maßnahmen)

### Transportverschlüsselung

- Alle Verbindungen zwischen Browser und Server: **TLS 1.3** (über Caddy / Let's Encrypt)
- Caddy erzwingt HTTPS, HTTP wird automatisch auf HTTPS umgeleitet
- Alle API-Verbindungen intern zwischen Containern: Docker-internes Netzwerk (nicht öffentlich zugänglich)

### Datenverschlüsselung im Ruhezustand

- PostgreSQL: Keine native At-Rest-Verschlüsselung (Standardkonfiguration). **Empfehlung:** LUKS-Vollverschlüsselung des Serverdatenträgers auf Host-Ebene aktivieren
- Wasabi S3: Server-Side Encryption (SSE) ist standardmäßig aktiviert
- ZITADEL: Passwörter werden gehasht gespeichert (bcrypt)

### Authentifizierung und Session-Sicherheit

- Sessions werden in PostgreSQL gespeichert (nicht im Arbeitsspeicher)
- Session-Cookies: `HttpOnly`, `Secure`, `SameSite=Lax`
- Session-Secret: zufällig generiert, min. 64 Zeichen
- PKCE-Flow: verhindert Authorization-Code-Interception-Angriffe

### Sicherheits-HTTP-Header

Caddy setzt automatisch:

- `X-Frame-Options: SAMEORIGIN` — verhindert Clickjacking
- `X-Content-Type-Options: nosniff` — verhindert MIME-Sniffing
- `Referrer-Policy: strict-origin-when-cross-origin`
- `Server`-Header wird entfernt (keine Versionsoffenbarung)

### Zugangsbeschränkungen

- Kein direkter Datenbankzugang aus dem Internet (nur über Docker-internes Netzwerk)
- SSH-Zugang zum Server: nur mit SSH-Key, kein Passwort-Login empfohlen
- Break-Glass-Passwort: bcrypt-gehasht mit Work-Factor 12

---

## 9. Betroffenenrechte

Pachtify360 ist ein internes Verwaltungssystem. Dennoch haben betroffene Personen (insbesondere Pächter und Verpächter) folgende Rechte nach DSGVO:

<table data-sourcepos="249:1-256:78" id="bkmrk-recht-art.-dsgvo-ums"><thead data-sourcepos="249:1-249:50"><tr data-sourcepos="249:1-249:50"><th data-sourcepos="249:1-249:10">Recht</th><th data-sourcepos="249:10-249:23">Art. DSGVO</th><th data-sourcepos="249:23-249:50">Umsetzung in Pachtify360</th></tr></thead><tbody data-sourcepos="251:1-256:78"><tr data-sourcepos="251:1-251:126"><td data-sourcepos="251:1-251:17">**Auskunft**</td><td data-sourcepos="251:17-251:27">Art. 15</td><td data-sourcepos="251:27-251:126">Administrator kann alle Daten einer Person exportieren (manuell aus Kontaktdetail + Pachtkonten)</td></tr><tr data-sourcepos="252:1-252:98"><td data-sourcepos="252:1-252:21">**Berichtigung**</td><td data-sourcepos="252:21-252:31">Art. 16</td><td data-sourcepos="252:31-252:98">Administrator oder Mitarbeiter bearbeitet Kontaktdaten im System</td></tr><tr data-sourcepos="253:1-253:115"><td data-sourcepos="253:1-253:17">**Löschung**</td><td data-sourcepos="253:17-253:27">Art. 17</td><td data-sourcepos="253:27-253:115">Administrator löscht Kontakt (sofern Aufbewahrungsfristen abgelaufen, s. Abschnitt 7)</td></tr><tr data-sourcepos="254:1-254:104"><td data-sourcepos="254:1-254:22">**Einschränkung**</td><td data-sourcepos="254:22-254:32">Art. 18</td><td data-sourcepos="254:32-254:104">Manuell: Kontakt als „Inaktiv" markieren und Bearbeitung einschränken</td></tr><tr data-sourcepos="255:1-255:116"><td data-sourcepos="255:1-255:29">**Datenübertragbarkeit**</td><td data-sourcepos="255:29-255:39">Art. 20</td><td data-sourcepos="255:39-255:116">Manueller Export durch Administrator (kein automatisierter Export aktuell)</td></tr><tr data-sourcepos="256:1-256:78"><td data-sourcepos="256:1-256:20">**Widerspruch**</td><td data-sourcepos="256:20-256:30">Art. 21</td><td data-sourcepos="256:30-256:78">Einzelfallentscheidung durch Verantwortlichen</td></tr></tbody></table>

**Ansprechpartner für Betroffenenrechte:** Bitte intern festlegen und in der Datenschutzerklärung Ihres Unternehmens benennen.

**Frist:** Anfragen zu Betroffenenrechten müssen innerhalb von **einem Monat** beantwortet werden (Art. 12 Abs. 3 DSGVO).

---

## 10. Datenpannen und Meldepflicht

### Was gilt als Datenpanne?

- Unbefugter Zugriff auf das System oder die Datenbank
- Verlust oder Diebstahl von Zugangsdaten
- Versehentliches Löschen von personenbezogenen Daten
- Datenleck durch Sicherheitslücke

### Sofortmaßnahmen bei Datenpanne

1. **Ausmaß feststellen:** Welche Daten, welcher Zeitraum, wie viele Betroffene?
2. **Zugang sperren:** Betroffene Accounts sperren, ggf. Passwörter zurücksetzen
3. **Audit-Log sichern:** Exportieren als Nachweis
4. **Dokumentieren:** Zeitstempel, Entdeckungsweg, betroffene Datenkategorien, Anzahl Betroffene, mögliche Folgen

### Meldepflicht

<table data-sourcepos="282:1-286:64" id="bkmrk-wann-an-wen-frist-we"><thead data-sourcepos="282:1-282:26"><tr data-sourcepos="282:1-282:26"><th data-sourcepos="282:1-282:9">Wann</th><th data-sourcepos="282:9-282:18">An wen</th><th data-sourcepos="282:18-282:26">Frist</th></tr></thead><tbody data-sourcepos="284:1-286:64"><tr data-sourcepos="284:1-284:142"><td data-sourcepos="284:1-284:39">Wenn Risiko für Betroffene besteht</td><td data-sourcepos="284:39-284:93">Zuständige Datenschutzbehörde (BSI / Landesbehörde)</td><td data-sourcepos="284:93-284:142">**72 Stunden** nach Entdeckung (Art. 33 DSGVO)</td></tr><tr data-sourcepos="285:1-285:123"><td data-sourcepos="285:1-285:45">Wenn hohes Risiko für Betroffene besteht</td><td data-sourcepos="285:45-285:74">Betroffene Personen direkt</td><td data-sourcepos="285:74-285:123">Ohne unangemessene Verzögerung (Art. 34 DSGVO)</td></tr><tr data-sourcepos="286:1-286:64"><td data-sourcepos="286:1-286:11">Intern</td><td data-sourcepos="286:11-286:55">Datenschutzbeauftragter (falls vorhanden)</td><td data-sourcepos="286:55-286:64">Sofort</td></tr></tbody></table>

**Zuständige Datenschutzbehörde:** Je nach Bundesland des Unternehmenssitzes (z. B. Landesbeauftragter für Datenschutz und Informationsfreiheit).

---

## 11. Checkliste DSGVO-Konformität

### Einmalig (bei Inbetriebnahme)

- [ ]  AVV mit ZITADEL abgeschlossen und dokumentiert
- [ ]  AVV mit Wasabi (inkl. SCCs für US-Unternehmen) abgeschlossen und dokumentiert
- [ ]  AVV mit Hosting-Provider abgeschlossen und dokumentiert
- [ ]  Pachtify360 im Verzeichnis der Verarbeitungstätigkeiten (VVT) erfasst
- [ ]  Datenschutzbeauftragten informiert (falls vorhanden)
- [ ]  Serverstandorte dokumentiert
- [ ]  2FA für Administrator-Konten in ZITADEL aktiviert
- [ ]  LUKS-Verschlüsselung auf Server-Datenträger geprüft/aktiviert (Empfehlung)

### Laufend

- [ ]  Ausgeschiedene Mitarbeiter sofort in ZITADEL sperren
- [ ]  Alle 6 Monate: Benutzerliste in ZITADEL prüfen (keine veralteten Konten)
- [ ]  Jährlich: Aufbewahrungsfristen prüfen und abgelaufene Datensätze löschen
- [ ]  Bei Datenpannen: Meldepflicht (72 h) einhalten
- [ ]  Break-Glass-Zugang: Protokoll nach jeder Nutzung prüfen

---

*Dieses Dokument dient als interne Orientierungshilfe und ersetzt keine Rechtsberatung. Für verbindliche datenschutzrechtliche Einschätzungen empfehlen wir die Hinzuziehung eines Datenschutzbeauftragten oder Rechtsanwalts.*