Datenschutz-Folgenabschätzung (DSFA / DPIA)
Gemäß Art. 35 DSGVO. Diese DSFA bewertet die Verarbeitung personenbezogener Daten innerhalb der Kontora-Plattform.
1. Verantwortlicher
Unglaub Kübler Media UG (haftungsbeschränkt) als Auftragsverarbeiter für die Mandanten der Kontora-Plattform.
2. Beschreibung der Verarbeitung
Kontora ist eine Multi-Tenant-SaaS-Anwendung zur Buchhaltung für Kleinunternehmen. Pro Mandant werden Kunden-Kontaktdaten, Rechnungs-Beträge und Geschäftsbelege gespeichert.
3. Notwendigkeit und Verhältnismäßigkeit
- Verarbeitung erfolgt zur Erfüllung des Hauptvertrags (Art. 6 Abs. 1 lit. b)
- Datenminimierung: nur buchhaltungsrelevante Daten werden erhoben
- Speicherdauer orientiert sich an § 147 AO (10 Jahre)
- Mandanten-Isolation auf Datenbank-Ebene: kein Cross-Tenant-Zugriff möglich
4. Risikoanalyse
Identifizierte Risiken
| Risiko | Eintrittswahrscheinlichkeit | Schaden | Maßnahmen |
|---|---|---|---|
| Unbefugter Zugriff auf Kundendaten | niedrig | hoch | bcrypt-Hashes, optionales 2FA, Session-Cookies HttpOnly+SameSite, Rate-Limiting |
| Cross-Tenant-Datenleck | sehr niedrig | hoch | Tenant-Filter auf jeder Query, automatisierte Tests |
| Datenverlust durch Server-Ausfall | niedrig | mittel | Tägliche Backups, Restore-Tests quartalsweise |
| SMTP-Credentials-Leak | niedrig | mittel | SMTP-Passwörter at-rest mit AES-256-GCM verschlüsselt |
| Datenmanipulation an finalisierten Belegen | sehr niedrig | hoch (GoBD) | Finalisierte Rechnungen sind unveränderlich, Storno nur als Gegenbuchung, Audit-Log unveränderlich |
| Brute-Force-Login | mittel | mittel | Rate-Limit pro IP + pro E-Mail, Timing-Normalisierung, optional 2FA |
5. Schutzmaßnahmen
Siehe AV-Vertrag § 7 (TOMs) sowie Datenschutzerklärung.
6. Restrisiko
Nach Umsetzung der Maßnahmen wird das Risiko als niedrig eingestuft. Eine vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) ist nicht erforderlich.
7. Überprüfung
Diese DSFA wird mindestens einmal jährlich oder bei wesentlichen Änderungen der Verarbeitung überprüft.
Stand: 4.9.2026. Diese Vorlage ersetzt keine individuelle Rechtsberatung.