Diese Seite beschreibt den tatsächlichen Stand der Sicherheitsmaßnahmen von Timeveo. Sie enthält bewusst keine Zusicherungen, die wir nicht belegen können. Die vertraglich verbindliche Fassung der Maßnahmen steht in Anlage 1 des Auftragsverarbeitungsvertrags.
1. Infrastruktur und Hosting
Die Timeveo-Applikation und ihre Datenbank laufen bei einem französischen Hosting-Anbieter innerhalb der Europäischen Union. DNS, Zugriffsschutz und die Auslieferung der öffentlichen Seiten laufen über Cloudflare. Es gibt keine Verarbeitung produktiver Kundendaten außerhalb der in der Subunternehmerliste genannten Dienste.
2. Verschlüsselung
- Übertragung: Der gesamte Verkehr zwischen Browser, App und angebundenen Diensten läuft über TLS. Aufrufe über HTTP werden auf HTTPS umgeleitet.
- Gespeicherte Zugangsdaten: Sicherheitsrelevante Geheimnisse werden zusätzlich anwendungsseitig verschlüsselt abgelegt, insbesondere die Zugangsdaten zur technischen Sicherheitseinrichtung, die Schlüssel der angebundenen Zahlungs- und Fiskaldienste sowie die Konfiguration der Zahlungs-Gateways.
- Passwörter: Passwörter werden ausschließlich als Hash gespeichert (bcrypt), niemals im Klartext.
3. Mandantentrennung
Timeveo ist eine mandantenfähige Anwendung. Jeder Datensatz ist einem Mandanten fest zugeordnet, und der Zugriff wird zentral auf Datenbankebene auf den aktiven Mandanten eingeschränkt, statt in jeder einzelnen Abfrage. Diese Einschränkung ist als gemeinsamer Baustein aller Datenmodelle umgesetzt und wird durch automatisierte Tests abgesichert, die einen mandantenübergreifenden Zugriff als Fehler melden.
4. Zugriffskontrolle
- Rollen- und rechtebasierte Zugriffssteuerung innerhalb jedes Mandanten; Berechtigungen sind je Bereich einzeln vergebbar.
- Zwei-Faktor-Authentifizierung für Konten der Plattform, konfigurierbar in den Sicherheitseinstellungen des Mandanten.
- Getrennte Oberflächen für den Plattformbetrieb und die Mandanten; der Zugriff auf plattformweite Auswertungen ist auf ausdrücklich berechtigte Konten beschränkt.
- Begrenzung von Anmelde- und Verifikationsversuchen, um automatisierte Angriffe zu erschweren.
5. Protokollierung und Nachvollziehbarkeit
- Audit-Protokoll: Sicherheits- und datenschutzrelevante Vorgänge werden mit Zeitpunkt, handelndem Konto und betroffenem Datensatz protokolliert.
- Protokoll ausgehender Schnittstellenaufrufe: Aufrufe an externe Dienste werden mitsamt Statuscode erfasst. Zugangsdaten und sensible Inhalte werden dabei nach einer festen Regel entfernt, bevor der Eintrag gespeichert wird.
- Aufbewahrung: Protokolle und Einwilligungsnachweise werden automatisiert nach Ablauf ihrer Aufbewahrungsfrist gelöscht.
6. Datenschutz-Werkzeuge in der Anwendung
- Einwilligungsverwaltung mit sieben getrennten Zwecken (Vertragsdatenverarbeitung, E-Mail- und SMS-Werbung, drei Cookie-Kategorien, Tracking durch Dritte). Erteilung und Widerruf werden revisionssicher mit Zeitpunkt und Herkunft festgehalten.
- Auskunftsexport für Betroffenenanfragen nach Art. 15 DSGVO. Die Exporte reichen quer durch die Anwendung, unter anderem über Termine, Kundendaten, Zahlungen, Gutscheine, Bewertungen, Benachrichtigungen und Formulareingaben.
- Löschfunktionen, die denselben Umfang abdecken und Daten in allen betroffenen Bereichen entfernen oder unwiderruflich unkenntlich machen.
7. Kassensicherheit
Beim Einsatz der Kassenfunktionen werden Kassenvorgänge über eine zertifizierte Cloud-TSE nach KassenSichV signiert. Der Export nach DSFinV-K für Betriebsprüfungen ist eingebaut. Die steuerlichen Pflichten des Betriebs, einschließlich der Anmeldung der Kasse beim Finanzamt, bleiben beim Mandanten.
8. Entwicklung und Änderungen
Änderungen an der Anwendung werden versioniert, im Vier-Augen-Prinzip überprüft und durch eine automatisierte Testsuite abgesichert, die vor jeder Übernahme in den Hauptstand vollständig laufen muss. Ergänzend läuft eine statische Codeanalyse auf hoher Stufe über die Fachmodule.
9. Meldung von Sicherheitslücken
Melde vermutete Sicherheitslücken an security@timeveo.com. Bitte beschreibe den betroffenen Bereich und die Schritte zur Reproduktion und veröffentliche den Befund nicht, bevor er behoben ist. Wir bestätigen den Eingang und melden uns mit einer Einschätzung zurück. Ein Bug-Bounty-Programm gibt es derzeit nicht.
10. Zertifizierungen
Timeveo verfügt derzeit über keine förmlichen Sicherheitszertifizierungen wie ISO 27001 oder SOC 2. Die Maßnahmen orientieren sich an Art. 32 DSGVO. Wir weisen hier nur aus, was tatsächlich umgesetzt ist.
11. Offene Punkte
Das Sicherungs- und Wiederherstellungskonzept wird derzeit dokumentiert und in der nächsten Fassung dieser Seite mit konkreten Fristen ergänzt.
Version 1.0, Stand 20. August 2026.