SAYKI CRM

Technische und organisatorische Maßnahmen

Anlage zum AVV nach Art. 32 DSGVO · Stand 14.10.2026

Diese Anlage beschreibt die Maßnahmen, die in SAYKI CRM fest eingebaut sind, und die Maßnahmen im Betrieb.

1. Trennung der Kunden

• Jede Firma hat eine eigene Datenbankdatei. Die Software öffnet nur die Datei der Firma aus der geprüften Sitzung; eine Kennung aus einem Formular oder der Adresse wird dafür nie verwendet.
• Datenbankdateien sind nur für das Benutzerkonto des Dienstes lesbar (Rechte 600). Die Datenbank ist nicht über das Netz erreichbar.

2. Zugangskontrolle

• Passwörter mindestens 10 Zeichen, geprüft gegen häufige Passwörter; gespeichert nur als scrypt-Hash.
• Zwei-Faktor-Anmeldung (TOTP) mit Notfallcodes; für den Betreiberbereich dringend empfohlen und per Einstellung verpflichtend.
• Bremse gegen Durchprobieren: 5 Fehlversuche je Konto und 30 je Absender in 15 Minuten, danach Sperre.
• Sitzungen: zufälliger Schlüssel, gespeichert nur als Hash; Keks HttpOnly, SameSite=Strict, über HTTPS nur verschlüsselt; Abmeldung nach 60 Minuten ohne Nutzung und spätestens nach 12 Stunden; nach einem Passwortwechsel enden alle anderen Anmeldungen.
• Einladungs-, Bestätigungs- und Passwortlinks sind zufällig, nur einmal verwendbar, befristet und nur als Hash gespeichert.
• Schutz der Registrierung durch eine Rechenaufgabe im Browser, Honigtopf-Feld, Mindestzeit und Sperrliste für Wegwerf-Adressen.

3. Zugriffskontrolle (Rollen)

• Inhaber: alles, auch Einstellungen, Zugänge, Tarif, Export und Löschen.
• Vertrieb: Unternehmen, Kontakte, Leads, Verkaufschancen, Angebote, Aufgaben und Berichte ansehen und bearbeiten. Kein Löschen von Unternehmen, Kontakten und Chancen, kein Export ganzer Listen, keine Einstellungen, kein Team, kein Tarif.
• Rolle und Sperre werden bei jeder Anfrage frisch aus der Datenbank gelesen; der Server prüft alles, was die Oberfläche prüft, noch einmal selbst.
• Optional „nur eigene Datensätze“: Der Inhaber kann einstellen, dass der Vertrieb nur eigene Unternehmen (samt allem daran), Leads, Kontakte, Chancen, Angebote und Aufgaben sieht. Der Filter sitzt zentral in der Datenbankschicht des Servers und gilt für Listen, Suche, Berichte und den direkten Abruf über eine Kennung.

4. Weitergabekontrolle

• Übertragung nur verschlüsselt (HTTPS mit HSTS). Sicherheitskopfzeilen: Content-Security-Policy ohne fremde Quellen, kein Einbetten in fremde Seiten, keine Weitergabe der Herkunftsadresse.
• Ändernde Anfragen nur als JSON und nur von der eigenen Adresse (Schutz gegen CSRF).
• Stripe-Webhooks werden über ihre Unterschrift geprüft; der Abo-Stand wird frisch bei Stripe geladen.
• KI nur auf Wunsch des Kunden: mit dessen eigenem Mistral-Schlüssel, verschlüsselt gespeichert (AES-256-GCM, Serverschlüssel nur in der Umgebung, an die Firma gebunden), nie angezeigt; übermittelt wird nur beim Klick auf einen KI-Knopf, ohne E-Mail-Adressen, Telefonnummern und Geburtstage; Bremse je Person (20 Anfragen je Minute); Protokoll ohne Inhalte; Ergebnisse nur als gekennzeichneter Entwurf mit menschlicher Freigabe.
• Kalender-Abo nur nach Erlaubnis des Inhabers, je Person mit geheimer Adresse (in der Datenbank nur als SHA-256-Wert), jederzeit erneuerbar; endet mit dem Zugang; nur eigene Termine, ohne Telefonnummern und E-Mail-Adressen; Abrufe je Absender begrenzt.
• E-Mail aus dem CRM nur über das eigene Postfach des Kunden: Passwort verschlüsselt (AES-256-GCM, an Firma und Zweck gebunden), nie angezeigt; Verbindung nur verschlüsselt (Port 465 oder 587 mit STARTTLS) und nur zu öffentlichen Adressen (Schutz vor Zugriffen auf interne Netze); höchstens 5 Empfänger und 5 in Kopie je Mail, 30 Mails je Person und Stunde, 300 je Firma und Tag; keine eingeschmuggelten Kopfzeilen.
• Der Export enthält keine Passwörter, Zwei-Faktor-Schlüssel oder Zahlungskennungen; Tabelleninhalte werden gegen Formel-Einschleusung entschärft.

5. Eingabekontrolle

Anlegen, Ändern, Löschen, Importe und Exporte von Unternehmen, Kontakten, Leads, Chancen, Angeboten und Aktivitäten werden je Firma mit Zeitpunkt und Konto protokolliert; jeder Phasenwechsel einer Verkaufschance zusätzlich mit Wert. Einwilligungen in Werbung werden mit Datum, Person und Nachweis gespeichert. Versendete Angebote lassen sich nicht mehr ändern; Änderungen entstehen als neue Fassung mit eigener Nummer. Sicherheitsrelevante Vorgänge stehen im Sicherheitsprotokoll (ohne Passwörter, Codes oder Inhalte).

6. Verfügbarkeit und Wiederherstellung

• Tägliche Sicherung aller Datenbanken im laufenden Betrieb; zusätzlich sichert ein eigener Backup-Server des Hosting-Anbieters den Server an einem zweiten Ort und hält dort die letzten 30 Sicherungen vor; Aufbewahrung der eigenen Sicherungen 30 Tage. Die Sicherungen sind verschlüsselt (AES-256-GCM). Die Wiederherstellung wird einmal im Quartal probeweise geprüft.
• Hosting: IONOS SE, Rechenzentrum innerhalb der EU.
• Überwachung über eine Gesundheitsprüfung, die keine Daten preisgibt.

7. Organisation

• Geheimnisse (Schlüssel für Stripe und E-Mail) liegen nur in der Umgebungsdatei auf dem Server, nie im Quellcode.
• Der Dienst läuft in einem Container ohne Administratorrechte.
• Daten beendeter Tests und Verträge werden nach Ablauf der Frist aus den AGB automatisch gelöscht; der Inhaber wird bei Beginn der Frist und sieben Tage vor der Löschung per E-Mail benachrichtigt. Nachweise über Zustimmungen zu AGB und AVV werden drei Jahre nach dem Löschen der Firma entfernt, das Sicherheitsprotokoll nach 90 Tagen.
• Sicherheitsupdates von Betriebssystem und Laufzeit werden zeitnah eingespielt. Vierteljährliche Prüfung der Zugänge, Sicherungen und Updates.
• Vor jeder neuen Version laufen automatische Tests, darunter Angriffe auf Mandantentrennung, Rollen und Anmeldung.