Service Level Agreement

für die Nutzung der faktoora SaaS-Plattform

DSGVO · GoBD · ISO 27001 & SOC 2 Type II in Vorbereitung

⬇ SLA als PDF herunterladen (v4.1)

01 · Einleitung und Zweck

Dieses Service Level Agreement (SLA) der faktoora GmbH legt verbindliche Verpflichtungen zur Verfügbarkeit, Sicherheit, Betriebskontinuität und zum Supportbetrieb der faktoora SaaS-Plattform fest. Es ergänzt den Hauptvertrag sowie den Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO.

Das Dokument orientiert sich an den Anforderungen folgender Standards:

• ISO/IEC 27001:2022 – Informationssicherheits-Managementsystem (ISMS implementiert; Zertifizierung geplant)
• SOC 2 Type II – Trust Service Criteria (in Vorbereitung; Readiness-Mapping abgeschlossen)
• DSGVO – Datenschutz-Grundverordnung
• GoBD – Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern

Das SLA gilt ausschließlich für zahlende Kunden mit aktivem Vertrag. Es findet keine Anwendung auf kostenfreie Testzugänge, sofern nicht ausdrücklich schriftlich vereinbart.

02 · Geltungsbereich

Dieses SLA gilt für alle Dienste und Komponenten, die faktoora direkt betreibt, insbesondere:

• SaaS-Plattform faktoora (Webanwendung und API)
• Authentifizierungs- und Autorisierungsinfrastruktur
• Datenspeicherung und Datenbankbetrieb
• Backup- und Wiederherstellungsinfrastruktur
• Supportleistungen gemäß Abschnitt 5

Ausdrücklich nicht erfasst: Dienste von Drittanbietern (externe Payment Provider, E-Mail-Dienstleister, Netzwerkinfrastruktur von Internet Service Providern, Endgeräte des Kunden).

03 · Begriffsbestimmungen

04 · Verfügbarkeit der Plattform

4.1 Verfügbarkeitsgarantie

faktoora garantiert für alle Service-Tiers eine monatliche Mindest-Verfügbarkeit von 99,5 %.

Messmethodik

Verfügbarkeit wird über automatisierte Health-Checks aller Kernservices gemessen (internes Monitoring-System). Messzeitraum ist der Kalendermonat. Geplante Wartungsfenster werden ausgenommen. Kunden können jederzeit eine Statusabfrage per E-Mail anfordern; ein monatlicher Verfügbarkeitsbericht ist auf Anfrage erhältlich. Das Monitoring-System ist 24/7 aktiv und löst bei kritischen Incidents automatisch Alerts aus.

4.2 SLA-Credits bei Nichteinhaltung

Bei Unterschreitung der garantierten Verfügbarkeit hat der Kunde Anspruch auf folgende Gutschriften:

Credits müssen innerhalb von 30 Tagen nach dem betreffenden Monat schriftlich bei support@faktoora.com beantragt werden. Sie sind auf die Monatsgebühr des betreffenden Zeitraums begrenzt.

4.3 Ausschlüsse

Folgende Zeiträume zählen nicht als Downtime:

• Geplante Wartungsfenster gemäß Abschnitt 9
• Höhere Gewalt (Naturkatastrophen, Streik, staatliche Eingriffe)
• Ausfälle, die durch den Kunden oder Dritte verursacht wurden
• Netzwerkausfälle bei Internet Service Providern
• DDoS-Angriffe, die vereinbarte Schutzmechanismen überschreiten

05 · Supportleistungen

5.1 Kontakt und Geschäftszeiten

Geschäftszeiten: Montag bis Freitag, 09:00–17:00 Uhr CET, ausgenommen gesetzliche Feiertage in Bayern.

5.2 Prioritäten und Reaktionszeiten

Alle Fristen gelten innerhalb der Geschäftszeiten (Mo–Fr 09:00–17:00 Uhr CET). Außerhalb der Geschäftszeiten beginnen die Fristen mit dem nächsten Geschäftstag. Prio A: Kritische Incidents werden durch automatisiertes Monitoring 24/7 erkannt und soweit möglich automatisch behandelt; die menschliche Reaktion erfolgt innerhalb von 1 Stunde ab Beginn der nächsten Geschäftszeiten.

5.3 Eskalationsverfahren

• Stufe 1 – Support-Team: Automatische Benachrichtigung bei Fristüberschreitung
• Stufe 2 – CTO: Einbeziehung bei anhaltender Nicht-Lösung, persönliche Rückmeldung an den Kunden
• Stufe 3 – Geschäftsführung: Bei kritischen oder wiederholten SLA-Verletzungen

Manuelle Eskalation jederzeit per E-Mail mit Betreff "ESKALATION: [Ticket-ID]" möglich.

06 · Datensicherheit und Verschlüsselung

Die nachfolgenden Maßnahmen entsprechen den technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 DSGVO und sind an Anhang A der ISO/IEC 27001:2022 ausgerichtet.

6.1 Verschlüsselung

6.2 Backup und Wiederherstellung

6.3 Redundanz und Hochverfügbarkeit

• Multi-Node-Cluster mit automatischem Neustart und Verlagerung ausgefallener Services
• Zwei unabhängige Backup-Ebenen (verschlüsselte Daten-Backups und tägliche System-Snapshots)
• Hosting in ISO 27001-zertifizierten Rechenzentren mit redundanter Strom- und Netzwerkversorgung

07 · Zertifizierungen und Compliance

7.1 Zertifizierungen

faktoora stellt auf Anfrage verfügbare Zertifikate und Nachweise bereit. Sobald die ISO 27001- und SOC 2 Type II-Zertifizierungen abgeschlossen sind, werden die jeweiligen Prüfberichte auf Anfrage und nach Unterzeichnung einer NDA zur Verfügung gestellt.

7.2 SOC 2 Trust Service Criteria – Mapping

7.3 GoBD-Konformität

• Manipulationserkennbarer Audit-Trail (append-only, kryptografische Hash-Kette)
• Vollständige Protokollierung aller Datenänderungen mit Zeitstempel und Benutzeridentifikation
• Datenexport in maschinenlesbaren Formaten (u. a. CSV, XLSX, XML) auf Anfrage
• Aufbewahrung gemäß gesetzlicher Fristen (10 Jahre für steuerrelevante Daten)

08 · Zugriffskontrolle und Audit-Logging

8.1 Zugriffskontrolle (ISO 27001 A.5.15, SOC 2 CC6)

• Rollenbasiertes Zugriffsmodell (RBAC) nach Least-Privilege-Prinzip
• Mehrfaktorauthentifizierung für administrative Infrastrukturzugänge (SSH mit Schlüssel + Einmalpasswort, Cloud-Konsole, interne Entwicklersysteme)
• Vierteljährliche Überprüfung aller Produktions- und Entwicklerzugriffsrechte
• Sofortige Zugangssperrung beim Ausscheiden von Mitarbeitern
• Zugriff auf die Produktionsumgebung ist auf einen kleinen, namentlich benannten Personenkreis beschränkt
• Strikte Trennung von Entwicklungs-, Test- und Produktionsumgebung; keine automatisierten CI/CD-Zugriffe auf die Produktion

8.2 Audit-Logging (ISO 27001 A.8.15, SOC 2 CC7)

• Protokollierung aller Authentifizierungsereignisse (Login, Logout, fehlgeschlagene Versuche)
• Protokollierung aller administrativen Systemänderungen
• Append-only Audit-Trail mit kryptografischer Hash-Kette; Manipulationen sind technisch erkennbar
• Aufbewahrung anwendungsbezogener Audit-Logs gemäß gesetzlicher Aufbewahrungsfristen (bis zu 10 Jahre)
• Auskunft über protokollierte eigene Daten im Rahmen der DSGVO-Betroffenenrechte

09 · Change Management und Wartung

Alle Änderungen unterliegen einem formalen Change-Management-Prozess mit Review-Pflicht, Klassifizierung und Rollback-Fähigkeit, ausgerichtet an ISO 27001 A.8.32.

9.1 Wartungsfenster

9.2 Notfall-Changes

• Kritische Sicherheits-Patches können ohne Vorankündigung eingespielt werden
• Information betroffener Kunden zeitnah, spätestens am folgenden Geschäftstag
• Incident-Report auf Anfrage verfügbar

9.3 Change-Typen

10 · Sicherheitsvorfälle – Incident Management

Das Incident-Management entspricht ISO 27001 A.5.24–A.5.28 und SOC 2 CC7.3–CC7.5.

10.1 Klassifikation und Meldepflichten

10.2 Incident-Response-Prozess

• Erkennung: Identifikation über Monitoring, Alerts oder Kundenmeldung
• Eindämmung: Sofortige Schadensbegrenzung (Isolation, Zugangssperrung)
• Analyse: Root Cause Analysis und Auswirkungsbewertung
• Behebung: Implementierung der Korrekturmaßnahmen und Wiederherstellung
• Abschlussbericht: Interner Post-Incident-Review innerhalb von 5 Geschäftstagen; zusammenfassender Bericht an betroffene Kunden auf Anfrage
• Lessons Learned: Erkenntnisse fließen in ISMS und Prozessdokumentation ein

10.3 Schwachstellenmanagement

• Kontinuierliche automatisierte Schwachstellen-Scans bei jeder Code-Änderung (Dependency-CVE-Scanning und statische Code-Analyse)
• Jährliche externe Penetrationstests durch qualifizierte Drittanbieter
• Risikobasierte, priorisierte Behebung: kritische Schwachstellen werden unverzüglich behandelt
• Penetrationstestergebnisse auf Anfrage einsehbar (unter NDA)

11 · Datenschutz und Datenlokalisierung

• Hosting und Speicherung der Plattformdaten erfolgen in Rechenzentren in Deutschland
• Einzelne Unterauftragsverarbeiter (z. B. Zahlungsabwicklung) können Daten in Drittländern verarbeiten; Absicherung über EU-Standardvertragsklauseln (Art. 46 DSGVO); aktuelle Liste im AVV
• Auftragsverarbeitung geregelt im AVV gemäß Art. 28 DSGVO
• Beantwortung von Betroffenenanfragen (Art. 15–22 DSGVO) unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO)
• Externer Datenschutzbeauftragter: PROLIANCE GmbH, datenschutzbeauftragter@datenschutzexperte.de

12 · Audit-Rechte und Nachweispflichten

• Kunden haben das Recht auf eine jährliche Sicherheitsprüfung (eigene oder bevollmächtigte Dritte)
• Ankündigung mind. 30 Tage vorab; Durchführung innerhalb der Geschäftszeiten
• faktoora stellt auf Anfrage (unter NDA) verfügbare Nachweise bereit, insbesondere:
  • ISO 27001-Zertifikat des Rechenzentrums
  • TOM-Dokumentation gemäß Art. 32 DSGVO sowie Zusammenfassung des Statement of Applicability (ISO 27001)
  • ISO 27001- und SOC 2-Prüfberichte, sobald die Zertifizierungen abgeschlossen sind
  • Verfügbarkeitsstatistiken des vergangenen Jahres
  • Business Continuity und Disaster Recovery Plan (Zusammenfassung)
• Kosten für Audits über den jährlichen Umfang hinaus trägt der Kunde

13 · Business Continuity und Disaster Recovery

faktoora betreibt ein Business-Continuity- und Disaster-Recovery-Management, ausgerichtet an ISO 27001 A.5.29–A.5.30 sowie DORA Art. 11–12.

14 · Reporting und Transparenz

• Monatlicher Verfügbarkeitsbericht auf Anfrage (inkl. Wartungszeiten, tatsächliche Uptime)
• Jährliche Zusammenfassung der Sicherheitskennzahlen auf Anfrage (Incidents, Schwachstellenbehandlung, Backup-Tests)
• Benachrichtigung betroffener Kunden bei Incidents per E-Mail gemäß Abschnitt 10

15 · Gültigkeit, Änderungen und Sonderkündigungsrecht

• Dieses SLA gilt für die Dauer des zugrundeliegenden Hauptvertragsverhältnisses
• faktoora überprüft das SLA mindestens einmal jährlich
• Änderungen werden mindestens 30 Tage vor Inkrafttreten per E-Mail mitgeteilt
• Bei Nichtakzeptanz steht dem Kunden ein außerordentliches Kündigungsrecht innerhalb von 30 Tagen zu
• Das jeweils aktuelle SLA ist unter faktoora.com/legal abrufbar

16 · Anerkennung

Dieses SLA ist Bestandteil des Hauptvertrages und gilt mit Vertragsschluss als akzeptiert. Eine gesonderte Unterzeichnung ist nicht erforderlich, sofern im Hauptvertrag nicht anders vereinbart.

---

faktoora GmbH · Service Level Agreement · v4.1 · Juli 2026