Technische und organisatorische Maßnahmen
Stand: 1. November 2026
Zugang und Rollen
Persönliche Supabase-Auth-Zugänge, E-Mail-Bestätigung und getrennte Organisationsmitgliedschaften. Serverseitige Prüfung von Organisation, Rolle, zugewiesenem Auftrag und Finanzrechten bei jeder Fachaktion. Mitarbeiter erhalten standardmäßig keine Preise, Rechnungen oder Bankdaten. Zusätzliche Authentifizierung kann für administrative Finanzaktionen verbindlich aktiviert werden. Zugangssperren blockieren neue Annahmen; laufende berechtigte Vorgänge werden geordnet weiterbearbeitet.
Mandantentrennung und Dokumentenschutz
Datenbanktabellen sind nicht allgemein les- oder beschreibbar. Geschäftsaktionen laufen über geprüfte Funktionen. Private Dateien werden erst nach Berechtigungsprüfung mit kurzlebigen signierten Links bereitgestellt. Originalgutachten und kaufmännische Belege sind von technischen Arbeitsauszügen getrennt. Realtime-Ereignisse besitzen eigene Empfängerrechte; interne Notizen werden nicht an Kunden oder fremde Betriebe verteilt.
Übertragung und Speicherung
HTTPS für Website und API, authentifizierte WebSocket-Verbindungen für Live-Ereignisse und providerseitige Verschlüsselung der gebuchten Speicherdienste. Geheime Serverzugangsdaten werden als Cloudflare-Secrets hinterlegt und nicht im Frontend ausgeliefert. Eine Ende-zu-Ende-Verschlüsselung der vollständigen Falldaten wird nicht behauptet. Die konkrete Datenbankregion wird im Supabase-Projekt festgelegt.
Nachvollziehbarkeit und Integrität
Verbindliche Annahmen, Vertragsversionen, Freigaben, Finanzbuchungen und relevante Verwaltungsaktionen erhalten Zeitstempel und einen Benutzerbezug. Bestätigte Preise werden nicht durch die Vergabeautomatik verändert. Ausgestellte Rechnungsstände sind unveränderlich; Korrekturen und Rückzahlungen werden mit eigenen Belegen beziehungsweise Gegenbuchungen erfasst. Doppelte Bankreferenzen und doppelte Anspruchsberechnung werden zurückgewiesen.
Datensparsamkeit
Vor Vergabe werden nur notwendige reduzierte Auftragsinformationen angezeigt. Kunden erhalten keinen dauerhaften Plattformzugang allein für eine Freigabe. Personen- und Originaldokumente werden nicht an sämtliche Marktteilnehmer verteilt. Keine Werbetracker oder extern geladenen Webfonts sind Teil der Standardauslieferung. Authentifizierungs- und Theme-Speicher dienen dem jeweiligen notwendigen beziehungsweise gewählten Funktionszweck.
Verfügbarkeit, Sicherung und Wiederanlauf
Die Sicherungs- und Wiederherstellungsfunktionen richten sich nach dem tatsächlich gebuchten Supabase-Tarif. DM Management dokumentiert die gewählte Sicherung, prüft Wiederherstellungsmöglichkeiten und sichert vor Schemaänderungen den relevanten Stand. Das Deployment wird durch TypeScript-, Funktions- und Berechtigungsprüfungen abgesichert. Eine Mailwarteschlange verhindert, dass eine bloße Versandanforderung als erfolgreiche Zustellung ausgegeben wird.
Organisation und Vorfälle
Berechtigungen und Dienstleister werden regelmäßig sowie bei Personal- oder Aufgabenwechsel überprüft. Vertraulichkeitsverpflichtungen, Sicherheitsmeldungen, Weisungen und Lösch-/Rückgabevorgänge werden dokumentiert. Ein Vorfall wird eingegrenzt, untersucht, bewertet und erforderlichenfalls an Verantwortliche beziehungsweise zuständige Stellen gemeldet. Gesetzliche Meldefristen werden berücksichtigt.