Sicherheitspaket. Fakten statt Versprechen.

1. Zweck und Art des Pakets

Das Paket bündelt an einer Stelle die Antworten auf die Fragen, die ein Unternehmen oder sein Berater vor der Wahl einer Anwendung stellt: wo die Daten liegen, wer Zugriff auf sie hat, wie sie geschützt werden und was bei einer Störung geschieht. Der Dienst wird von MIVARE GROUP PROSTA SPÓŁKA AKCYJNA mit Sitz in Krasnobród, KRS 0001268091, NIP 9223092251, REGON 545767254, handelnd unter der Marke Mivare Space, nachfolgend „Mivare“, erbracht.

Das Paket dient ausschließlich der Information und begründet keine Verpflichtungen über die Vertragsdokumente hinaus. Verbindlich sind: die Nutzungsbedingungen des Dienstes Mivare Space (MSP-LEG-001), der Vertrag über die Auftragsverarbeitung personenbezogener Daten Mivare Space (MSP-LEG-003, nachfolgend „DPA“) und das Service-Level Mivare Space (MSP-LEG-005, nachfolgend „SLA“). Bei Abweichungen haben diese Dokumente Vorrang. Das Paket beschreibt ausschließlich tatsächlich angewandte Schutzmaßnahmen; wo etwas nicht umgesetzt ist, sagt es dies offen.

2. Speicherort der Daten

• Die Anwendung samt Datenbank wird auf einem Server der Contabo GmbH in einem Rechenzentrum in der Europäischen Union betrieben.
• Dateien (Fotos, Anhänge) werden in einem privaten Dateispeicher (Object Storage) in der Europäischen Union gespeichert, getrennt für jedes Unternehmenskonto.
• Datensicherungen werden in der Europäischen Union in einem separaten Speicher aufbewahrt, der vom Server der Anwendung und vom Dateispeicher getrennt ist.
• Anvertraute Daten werden nicht außerhalb des Europäischen Wirtschaftsraums übermittelt.

Die vollständige Liste der Unterauftragsverarbeiter (Contabo, OVH, Mistral AI) mit dem Umfang ihres Zugriffs auf die Daten enthält Abschnitt 8 des DPA. Über die geplante Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informieren wir den Kontoadministrator vorab per E-Mail, und das Unternehmen kann innerhalb von 14 Tagen Einspruch erheben.

3. Trennung der Daten der Unternehmen

Die Daten jedes Unternehmenskontos sind auf Ebene der Anwendung und der Datenbank logisch von den Daten anderer Unternehmen getrennt. Dateien werden für jedes Konto getrennt gespeichert und ausschließlich über die Anwendung nach Prüfung der Berechtigungen bereitgestellt. Wir verknüpfen die Daten verschiedener Unternehmen nicht, verkaufen sie nicht und verwenden sie weder für Profiling noch für das Training von Modellen künstlicher Intelligenz.

4. Anmeldung und Zugriff der Nutzer

• Passwörter werden ausschließlich als Hashwert mit dem Algorithmus Argon2id gespeichert; die Anwendung prüft die Passwortstärke und weist allgemein bekannte Passwörter zurück.
• Die Zwei-Faktor-Authentifizierung (TOTP) steht jedem Nutzer zur Verfügung, und der Kontoadministrator kann sie für alle verpflichtend vorschreiben.
• Die Anmeldeversuche sind begrenzt, und nach fehlgeschlagenen Versuchen wird das Konto gesperrt.
• Inaktive Sitzungen laufen automatisch ab.
• Der Kontoadministrator erteilt und entzieht Zugänge und legt die Berechtigungen jedes Nutzers fest.
• Handlungen in der Anwendung werden im Ereignisprotokoll erfasst, das der Kontoadministrator für einen gewählten Zeitraum von 30 bis 180 Tagen aufbewahrt.

5. Schutz der Daten in der Anwendung

Stand der Schutzmaßnahmen zum Gültigkeitsdatum des Pakets:

• Verschlüsselung der Verbindungen mit dem TLS-Protokoll: umgesetzt;
• Verschlüsselung der Dateien durch die Anwendung vor dem Speichern im Dateispeicher, Entschlüsselung erst beim Herunterladen durch einen berechtigten Nutzer: umgesetzt;
• Prüfung jeder hochgeladenen Datei mit Antivirensoftware vor dem Speichern: umgesetzt;
• öffentliche Funktionen der Anwendung ausschließlich über Links mit zufälligem Schlüssel und Ablaufdatum zugänglich, wobei der Schlüssel in der Datenbank ausschließlich als Hashwert gespeichert wird, mit zusätzlicher Verifizierung anhand von Daten, die der berechtigten Person bekannt sind, einer Begrenzung der Versuche und Protokollierung jedes Aufrufs: umgesetzt;
• Entfernung von Metadaten, einschließlich der Position, aus hochgeladenen Fotos: umgesetzt;
• gesonderte Berechtigung für Kosten und Margen: umgesetzt;
• Verschlüsselung der Datensicherungen vor dem Speichern, wobei der Schlüssel außerhalb des Servers und außerhalb des Speicherorts der Datensicherungen aufbewahrt wird: umgesetzt;
• Updates und Sicherheitspatches: umgesetzt;
• Verfahren zur Behandlung von Sicherheitsvorfällen: umgesetzt;
• Verschlüsselung der Datenbank auf der Serverfestplatte: nicht umgesetzt, geplant. Bis zur Umsetzung werden die Daten in der Datenbank durch Zugriffskontrolle, das Prinzip minimaler Berechtigungen und die Ereignisprotokollierung geschützt.

Wir verfügen über keine ISO- oder SOC-Zertifizierung und erklären keine Konformität mit solchen Normen.

6. Zugriff des Personals von Mivare

Zugang zu den Daten erhalten ausschließlich befugte Personen, die zur Vertraulichkeit verpflichtet sind. Der Zugriff auf die Daten eines konkreten Unternehmenskontos erfolgt ausschließlich in dem Umfang, der zur Bearbeitung einer Meldung des Kontoadministrators, zur Behebung einer Störung oder zur Gewährleistung der Sicherheit erforderlich ist. Die administrativen Konten von Mivare sind durch Zwei-Faktor-Authentifizierung geschützt und arbeiten nach dem Prinzip minimaler Berechtigungen.

7. Datensicherungen und Betriebskontinuität

• Stündlich eine Sicherung der Datenbank, die 7 Tage lang aufbewahrt wird.
• Täglich eine vollständige Sicherung der Datenbank, die 3 Tage lang aufbewahrt wird.
• Eine laufende Sicherung der Dateien, in der eine gelöschte Datei höchstens 30 Tage verbleibt.
• Regelmäßige Tests der Wiederherstellung der Daten.

Der Dienst wird nach dem Prinzip des bestmöglichen Bemühens (best effort) erbracht: Wir erklären weder ein prozentuales Verfügbarkeitsniveau noch eine maximale Wiederherstellungszeit oder einen maximalen Zeitraum des Datenverlusts (RTO und RPO). Geplante Unterbrechungen von mehr als 15 Minuten kündigen wir mindestens 48 Stunden im Voraus an. Einzelheiten, einschließlich der Prioritäten der Meldungen und der Bearbeitungsziele, enthält das SLA.

8. Die Assistentin Mivi

Die Assistentin Mivi ist standardmäßig deaktiviert. Der Kontoadministrator aktiviert sie für das gesamte Unternehmen, und anschließend entscheidet jeder Nutzer selbst, ob er sie nutzt. Anfragen werden von Mistral AI in der Europäischen Union bearbeitet, ohne Verwendung der Daten zum Training von Modellen; der Anbieter speichert Anfragen und Antworten höchstens 30 Tage ausschließlich zur Missbrauchserkennung.

An die Assistentin werden nur die für die Antwort erforderlichen Daten übermittelt, auf die der betreffende Nutzer Zugriff hat. Nicht übermittelt werden Passwörter, Authentifizierungsdaten, Zahlungskartendaten, PESEL-Nummern und Nummern von Ausweisdokumenten. Die Deaktivierung der Assistentin beendet die Übermittlung von Daten sofort. Den vollständigen Umfang der Daten beschreibt Abschnitt 8 des DPA.

9. Vorfälle und Datenschutzverletzungen

Eine Verletzung des Schutzes personenbezogener Daten melden wir dem Kontoadministrator unverzüglich, spätestens innerhalb von 48 Stunden nach ihrer Feststellung, und übermitteln die Informationen, die für die Meldung der Verletzung an die Aufsichtsbehörde erforderlich sind. Über eine Störung, die mehrere Kunden betrifft, informieren wir die Kontoadministratoren und teilen nach ihrer Behebung die Ursache und die ergriffenen Maßnahmen mit.

10. Daten nach Beendigung des Vertrags

Das Unternehmen kann jederzeit mit der Exportfunktion der Anwendung eine Kopie seiner Daten herunterladen (ZIP-Archiv mit CSV-Dateien und angehängten Dateien). Nach Beendigung des Vertrags speichern wir die Daten 30 Tage lang, um ihren Export oder die Wiederaufnahme des Dienstes zu ermöglichen, und löschen sie anschließend, spätestens 60 Tage nach Beendigung des Vertrags. Daten in den Datensicherungen werden im Rotationszyklus gelöscht, spätestens 30 Tage nach der Löschung aus der Anwendung. Auf Verlangen bestätigen wir die Löschung.

11. Fragen und Audit

Fragen zur Anwendung, zu den Schutzmaßnahmen und zu den Unterauftragsverarbeitern beantworten wir innerhalb von 14 Tagen; bitte richten Sie diese an hello@mivaregroup.com. Reichen die Antworten nicht aus, kann das Unternehmen oder ein zur Vertraulichkeit verpflichteter unabhängiger Prüfer ein Audit nach Maßgabe von Abschnitt 13 des DPA durchführen, höchstens einmal in 12 Monaten, ausgenommen ein Audit nach einer Verletzung des Schutzes personenbezogener Daten.

Technische Meldungen und Störungen: support@mivarespace.com. Der Meldung sollten keine Passwörter oder Authentifizierungscodes beigefügt werden.

Das Paket wird in sieben Sprachfassungen bereitgestellt; bei Abweichungen ist die polnische Fassung maßgeblich. Die aktuelle Fassung ist unter folgender Adresse verfügbar: https://mivaregroup.com/de/legal/space/security/

Dieses Paket gilt ab dem 30. Oktober 2026.