SICHERHEIT & DATENSCHUTZ

Technische und organisatorische Massnahmen

Stand: 8. Oktober 2026

Diese Übersicht beschreibt die risikogerechten Massnahmen des aktuellen Fincero-Betriebs. Sie ist Anhang der AVV. Sie ist weder eine Zertifizierung noch eine Zusicherung absoluter Sicherheit oder einer GeBüV-/Revisionssicherheit.

1. Schutzkonzept und Verantwortlichkeiten

Sicherheitsmassnahmen werden nach Art, Umfang, Zweck und Risiko der Bearbeitung ausgewählt. CodezWerk verantwortet Anwendung, Plattformbetrieb und die von Fincero ausgewählten Dienstleister. Der Hostinganbieter verantwortet die physische und technische Basisinfrastruktur. Die Organisation verantwortet ihre Benutzer, Endgeräte, Rollen, Datenqualität, Exporte und selbst aktivierten Integrationen.

2. Zutritts- und Infrastrukturschutz

Betrieb der Anwendung und Datenbanken in einer professionellen Serverumgebung in Deutschland;
physischer Zutrittsschutz, Energieversorgung, Brand- und Umgebungsüberwachung gemäss den Massnahmen des beauftragten Hostinganbieters;
Beschränkung administrativer Infrastrukturzugriffe auf berechtigte Personen und technisch erforderliche Dienste;
Trennung von öffentlich erreichbarer Anwendung, Datenbankdienst und persistentem Speicher innerhalb der Betriebsumgebung.

3. Zugangskontrolle

persönliche Benutzerkonten; Passwörter werden mit einem anerkannten adaptiven Passwort-Hashverfahren gespeichert;
E-Mail-Verifikation bei der Registrierung und Begrenzung wiederholter Anmeldeversuche;
zeitlich begrenzte, geschützte Sitzungen und serverseitige Prüfung der Organisationszugehörigkeit;
für Organisationsbenutzer optionale Zwei-Faktor-Authentifizierung; für Plattformadministratoren verpflichtender zusätzlicher Faktor (zeitbasiertes Einmalpasswort oder Passkey), mit Wiederherstellungscodes;
Mindestanforderungen für neue Passwörter sowie erneute Prüfung des Passworts bei sicherheitsrelevanten Änderungen.

4. Zugriffskontrolle und Mandantentrennung

rollen- und berechtigungsbasierte Zugriffskontrollen für Inhaber, Mitglieder und individuell definierte Rollen;
serverseitige Berechtigungsprüfungen für geschützte Funktionen und Integrationsverwaltung;
logische Trennung der Organisationen durch organisationsbezogene PostgreSQL-Schemas und zusätzliche Organisationsprüfungen in Datenzugriffen;
persönliche, nicht gemeinsam zu nutzende Zugänge und gezielte Freigabelinks mit beschränktem Zweck für Kundenportale oder Zeiterfassung;
Beschränkung von Super-Admin- und Supportzugriffen auf betriebliche, sicherheitsbezogene oder vereinbarte Supportzwecke.

5. Übertragungs- und Weitergabekontrolle

verschlüsselte HTTPS-/TLS-Übertragung für öffentlich bereitgestellte Produktivendpunkte;
signierte Webhooks und serverseitige Prüfung von Herkunft, Mandant und Ereignis bei unterstützten Zahlungsabläufen;
Datenübermittlung an Integrationen nur nach Konfiguration durch eine berechtigte Person oder aufgrund einer erforderlichen zentralen Plattformfunktion;
kein Export von Passwörtern oder geheimen API-, SMTP-, IMAP-, SMS- und Stripe-Schlüsseln im Klartext;
Einsatz eingeschränkter Stripe-API-Schlüssel ausschliesslich mit «Checkout Sessions: Schreiben» für direkte Organisationszahlungen; keine API-Rechte auf Refunds, Disputes, Transfers, Payouts, Kontoverwaltung oder Connect und keine Verwahrung von Kundengeldern durch Fincero.

6. Schutz von Geheimnissen und Zugangsinformationen

symmetrisch authentifizierte Verschlüsselung hinterlegter Integrations-, API- und Zwei-Faktor-Geheimnisse;
Maskierung bereits gespeicherter Geheimnisse in der Benutzeroberfläche;
organisationsbezogene Speicherung und Berechtigungsprüfung beim Ändern oder Verwenden von Integrationen;
Empfehlung und technische Begrenzung auf minimal erforderliche Berechtigungen externer API-Schlüssel;
Trennung von Anwendungsgeheimnissen und öffentlich auslieferbaren Konfigurationswerten.

7. Eingabe-, Änderungs- und Nachvollziehbarkeitskontrolle

Hinterlegte Geheimnisse und ausgewählte sensible Inhalte, darunter AHV-Nummern, IBANs und Personaldateien, werden auf Anwendungsebene mit AES-256-GCM verschlüsselt. Dies ist keine Ende-zu-Ende-Verschlüsselung: berechtigte Anwendungsdienste können die Inhalte entschlüsseln. Normale Datenbankfelder und lokale Datenbanksicherungen sind dadurch nicht vollständig verschlüsselt. Externe Wiederherstellungssicherungen werden zusätzlich mit rclone Crypt verschlüsselt.

Status- und Änderungshistorien für ausgewählte Geschäftsdokumente, Buchungen, Integrationen und administrative Vorgänge;
Verknüpfung von Zahlung, Dokument und externer Referenz zur Vermeidung doppelter Verarbeitung;
Gegenbuchung statt stiller Änderung bei dafür vorgesehenen buchhalterischen Abläufen;
serverseitige Validierung von Eingaben und Schutz vor organisationsfremden Datensatz-IDs;
technische Protokolle zur Fehleranalyse und Erkennung von Angriffen.

Diese Massnahmen bilden eine betriebliche Nachvollziehbarkeit. Sie stellen ohne ein ausdrücklich vereinbartes Langzeitarchiv keine Zusicherung einer unveränderbaren zehnjährigen Archivierung dar.

8. Verfügbarkeits- und Wiederherstellungskontrolle

automatisierte betriebliche PostgreSQL-Sicherungen im derzeitigen Sicherungskonzept alle 24 Stunden mit sieben Tagen rollierender Aufbewahrung;
organisationsbezogene Sicherungen und getrennte Wiederherstellungsprüfungen; eine direkte Wiederherstellung in die laufende Datenbank über die Weboberfläche ist deaktiviert;
technische Zustandsprüfungen des Anwendungsdienstes und automatischer Neustart bei Ausfall;
strukturierter Teilexport ausgewählter Organisationsdaten ohne Klartext-Geheimnisse; Originaldateien sind separat herunterzuladen, verschlüsselte Personalfelder werden nicht entschlüsselt;
technisch vorgesehene Wiederherstellungsabläufe; ihre periodische Wirksamkeitsprüfung und Dokumentation ist Bestandteil des internen Betriebs- und Compliance-Plans.

9. Datenschutz durch Technikgestaltung

Erhebung nur der für Konto, Vertrag und gewählte Funktionen benötigten Pflichtangaben;
deaktivierte Integrationen übertragen keine Daten an den jeweiligen optionalen Anbieter;
Auswahl nur eines aktiven SMS-Gateways je Konfiguration und Begrenzung übermittelter Nachrichtendaten;
organisationsbezogene Exporte, Lösch- und Wiederherstellungsfunktionen;
technisch notwendige Cookies als Standard; nicht notwendige Dienste nur nach transparenter Aktivierung.

10. Unterauftragnehmer- und Auslandskontrolle

Die folgenden Anforderungen gelten für die Anbieterauswahl. Die eingesetzten zentralen Dienstleister, ihre Standorte und dokumentierten Unterauftragnehmer ergeben sich aus der Unterauftragnehmerliste. Wesentliche Änderungen werden vor ihrem Einsatz geprüft und dort transparent nachgeführt.

Prüfung von Zweck, Standort, Schutzmassnahmen und Vertragsgrundlage vor dem regulären Einsatz eines von Fincero ausgewählten Dienstleisters;
Auftragsbearbeitungsvereinbarungen und, soweit erforderlich, Garantien für Übermittlungen in Staaten ohne anerkannt angemessenes Datenschutzniveau;
öffentliche Unterauftragnehmerlistemit Hinweis auf optionale, vom Kunden ausgewählte Integrationen;
Verpflichtung von Unterauftragnehmern auf ein angemessenes Schutz- und Vertraulichkeitsniveau.

11. Organisation, Vorfälle und Überprüfung

geregelter Eingang für Sicherheits- und Datenschutzmeldungen über info@codezwerk.ch;
Untersuchung, Eindämmung und Dokumentation von Datenschutzverletzungen; Information betroffener Organisationen als Verantwortliche so rasch als möglich, Behördenmeldungen nach anwendbarem Recht;
ein interner Compliance-Plan für die periodische Prüfung von Berechtigungen, Geheimnissen, Abhängigkeiten, Wiederherstellung und Unterauftragnehmern;
Aktualisierung dieser Massnahmen bei wesentlichen Änderungen von Architektur, Funktionen oder Risikolage;
Vertraulichkeitsbindung sämtlicher Personen, die berechtigten Zugriff auf Auftragsdaten erhalten.

12. Mitwirkung des Kunden

Der Kunde schützt seine Endgeräte, prüft die empfohlene optionale Zwei-Faktor-Authentifizierung für Organisationsbenutzer, vergibt minimale Rollen, entfernt nicht mehr benötigte Zugänge, verwendet nur eingeschränkte API-Schlüssel und prüft Freigabelinks sowie Integrationen regelmässig. Er exportiert gesetzlich aufzubewahrende Daten rechtzeitig in ein geeignetes eigenes Archiv und meldet verdächtige Aktivitäten unverzüglich.