Technische und organisatorische Maßnahmen

Anlage 1 zum Vertrag zur Auftragsverarbeitung. Beschrieben sind die Maßnahmen, die Sebastian Krüger als Auftragsverarbeiter nach Art. 32 DSGVO getroffen hat. Die Darstellung gibt den tatsächlichen Ist-Stand zum oben genannten Datum wieder; noch nicht umgesetzte Maßnahmen sind als solche gekennzeichnet.

Geschuldet ist das durch diese Maßnahmen erreichte Schutzniveau. Der Auftragsverarbeiter darf die Maßnahmen nach § 5.2 des AV-Vertrags fortentwickeln, solange dieses Schutzniveau nicht unterschritten wird; die Nennung eines einzelnen Verfahrens oder Produkts begründet keine Garantie im Sinne des § 2.7 der AGB.

1. Vertraulichkeit

Zutrittskontrolle

Der physische Zugang zu den produktiven Systemen liegt ausschließlich bei den Rechenzentrumsbetreibern:

• Betrieb in zertifizierten Rechenzentren (Hetzner, Nürnberg; ALL-INKL, Dresden). Die physische Sicherheit verantworten die Betreiber.

Die Arbeitsstätte des Anbieters ist gegen Einbruch und unbefugten Zutritt gesichert:

• Sicherheitsschloss an den Zugängen
• Videoüberwachung der Zugänge

Zugangskontrolle

Auf Ebene der Server und Verwaltungszugänge:

• Serverzugriff ausschließlich durch den Anbieter, per SSH-Schlüssel; eine Anmeldung mit Passwort ist nicht möglich.
• Zwei-Faktor-Authentifizierung für das Hosting-Konto und die weiteren Verwaltungszugänge.

Auf Ebene der Anwendung:

• Anmeldung mit individuellem Benutzerkonto und Passwortrichtlinie (mindestens zehn Zeichen sowie je mindestens ein Groß- und Kleinbuchstabe, eine Ziffer und ein Sonderzeichen). Passwörter werden ausschließlich als Hash (bcrypt) gespeichert.
• Zwei-Faktor-Authentifizierung steht bereit, ist rollenabhängig aktivierbar und für administrative Rollen verpflichtend.

Auf Ebene der Arbeitsgeräte des Anbieters:

• NAT-Firewall im Router, zusätzlich Software-Firewall
• Virenschutz beziehungsweise aktiver Betriebssystem-Schutz
• Einsatz einer Passwortverwaltung
• Verschlüsselung mobiler Geräte (Notebook, Mobiltelefon)

Zugriffskontrolle

• Feingranulares Rollen- und Rechtesystem in der Anwendung: Rechte wirken bis auf die einzelne Funktion und den einzelnen Datensatz.
• Hochgeladene Dateien sind nicht öffentlich abrufbar und werden erst nach Berechtigungsprüfung ausgeliefert.

Trennungskontrolle

• Mehrmandantenfähigkeit: Die Trennung der Mandanten erfolgt durchgängig über eine Mandantenkennung, die jeder Datensatz trägt; hochgeladene Dateien liegen je Mandant in einem eigenen Speicherverzeichnis.
• Getrennte Umgebungen für Produktion, Test und Entwicklung.

2. Integrität

Weitergabekontrolle

• Durchgängige Transportverschlüsselung (TLS/HTTPS) der Anwendungsdaten, einschließlich automatischer Weiterleitung unverschlüsselter Aufrufe.
• Transportverschlüsselung des E-Mail-Verkehrs und der sonstigen Kommunikationswege.

Eingabekontrolle

Es ist nachvollziehbar, welche Verarbeitungsvorgänge stattgefunden haben:

• Audit-Log für die wesentlichen Datenänderungen (wer, wann, was, mit altem und neuem Wert).
• Protokollierung von Zugriffen und Aktionen; Speicherung des letzten Anmeldezeitpunkts je Benutzerkonto.
• Zuordnung von Eingabe, Änderung und Löschung über die individuellen Benutzerkonten.

3. Verfügbarkeit und Belastbarkeit

Datensicherung

• Tägliche Sicherung auf ein getrenntes Host-System im selben Rechenzentrum.
• Zusätzliche Sicherung an einem getrennten, ausgelagerten Ort bei einem zweiten Anbieter.
• Aufbewahrung der Sicherungen mindestens sieben Tage, längstens drei Monate.

Wiederherstellbarkeit

• Es besteht ein Backup- und Wiederherstellungskonzept; die Wiederherstellung erfolgt nach Aufwand.
• Sicherheitsaktualisierungen von Betriebssystem, Laufzeitumgebung und eingesetzten Bibliotheken werden entsprechend der Sicherheitslage eingespielt, mindestens jährlich, und in die regulären Releases integriert.

4. Verschlüsselung und Pseudonymisierung

• Transport: durchgängig verschlüsselt (TLS/HTTPS).
• Pseudonymisierung: Wo eine vollständige Löschung technisch nicht möglich ist, steht eine Pseudonymisierung zur Verfügung.

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird mindestens einmal jährlich sowie anlassbezogen überprüft. Anlassbezogene Prüfungen erfolgen insbesondere bei wesentlichen Änderungen der eingesetzten Systeme, Verarbeitungsverfahren oder Risikolage sowie nach Datenschutz- oder Sicherheitsvorfällen.

Die Überprüfung umfasst insbesondere Berechtigungs- und Zugriffskonzepte, Datensicherungen und Wiederherstellungsverfahren, Protokollierungen, Löschverfahren, technische Sicherheitsmaßnahmen sowie die Einhaltung organisatorischer Vorgaben. Die Ergebnisse werden dokumentiert. Festgestellte Mängel werden bewertet, mit Verantwortlichkeiten und Fristen versehen und nach Umsetzung erneut auf ihre Wirksamkeit geprüft.

6. Auftragskontrolle

Für die eingesetzten Unterauftragsverarbeiter gilt:

• Auswahl nach Sorgfaltsgesichtspunkten, insbesondere im Hinblick auf Datensicherheit.
• Abschluss DSGVO-konformer Auftragsverarbeitungsverträge.
• Zugänge zu Hosting und Serverwartung sind durch Zwei-Faktor-Authentifizierung geschützt.

Die eingesetzten Unterauftragsverarbeiter sind in Anlage 2 – Unterauftragnehmer aufgeführt. Sämtliche Verarbeitung findet in Deutschland statt; eine Übermittlung in ein Drittland erfolgt nicht.

7. Datenschutzmanagement und Betroffenenrechte

• Die Verarbeitung erfolgt ausschließlich weisungsgebunden nach Maßgabe des AV-Vertrags.
• Der Anbieter unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen; die Anwendung stellt hierfür Auskunfts- und Löschfunktionen sowie die Pseudonymisierung bereit.
• Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter dem Verantwortlichen unverzüglich nach Maßgabe des AV-Vertrags.

Fragen zu diesen Maßnahmen richten Sie an hallo1@georg.app.