Datenschutz-Folgenabschätzung (DSFA / DPIA)
Gemäß Art. 35 DSGVO. Diese DSFA bewertet die Verarbeitung personenbezogener Daten innerhalb der Kontora-Plattform.
1. Verantwortlicher
Unglaub Kübler Media UG (haftungsbeschränkt) als Auftragsverarbeiter für die Mandanten der Kontora-Plattform.
2. Beschreibung der Verarbeitung
Kontora ist eine mandantenfähige Cloud-Anwendung zur Buchhaltung für Kleinunternehmen. Pro Mandant werden Kunden-Kontaktdaten, Rechnungs-Beträge und Geschäftsbelege gespeichert.
3. Notwendigkeit und Verhältnismäßigkeit
- Verarbeitung erfolgt zur Erfüllung des Hauptvertrags (Art. 6 Abs. 1 lit. b)
- Datenminimierung: nur buchhaltungsrelevante Daten werden erhoben
- Speicherdauer orientiert sich an § 147 AO (10 Jahre)
- Mandanten-Isolation auf Datenbank-Ebene: kein mandantenübergreifender Zugriff möglich
4. Risikoanalyse
Identifizierte Risiken
| Risiko | Eintrittswahrscheinlichkeit | Schaden | Maßnahmen |
|---|---|---|---|
| Unbefugter Zugriff auf Kundendaten | niedrig | hoch | bcrypt-Hashes, optionales 2FA, Session-Cookies HttpOnly+SameSite, Rate-Limiting |
| Datenabfluss zwischen Mandanten | sehr niedrig | hoch | Mandantentrennung bei jedem Datenbankzugriff, automatisierte Tests |
| Datenverlust durch Server-Ausfall | niedrig | mittel | Tägliche Backups, Restore-Tests quartalsweise |
| Offenlegung von SMTP-Zugangsdaten | niedrig | mittel | SMTP-Passwörter im Ruhezustand mit AES-256-GCM verschlüsselt |
| Datenmanipulation an finalisierten Belegen | sehr niedrig | hoch (GoBD) | Finalisierte Rechnungen sind unveränderlich, Storno nur als Gegenbuchung, Audit-Log unveränderlich |
| Brute-Force-Login | mittel | mittel | Rate-Limit pro IP + pro E-Mail, Timing-Normalisierung, optional 2FA |
5. Schutzmaßnahmen
Siehe AV-Vertrag § 7 (TOMs) sowie Datenschutzerklärung.
6. Restrisiko
Nach Umsetzung der Maßnahmen wird das Risiko als niedrig eingestuft. Eine vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) ist nicht erforderlich.
7. Überprüfung
Diese DSFA wird mindestens einmal jährlich oder bei wesentlichen Änderungen der Verarbeitung überprüft.
Stand: 22.9.2026