Technisch-organisatorische Maßnahmen (TOMs)
Dokumentation gemäß Art. 32 DS-GVO
Die folgenden technischen und organisatorischen Maßnahmen wurden implementiert, um ein dem Risiko angemessenes Schutzniveau für die Verarbeitung personenbezogener Daten zu gewährleisten.
1. Zutrittskontrolle
Maßnahmen zur Verhinderung des unbefugten Zutritts zu Datenverarbeitungsanlagen
- Serverstandort in zertifizierten deutschen Rechenzentren (ISO 27001)
- Zutrittskontrollsysteme mit elektronischen Schlüsselkarten
- 24/7 Videoüberwachung der Serverräume
- Besucherprotokollierung und Begleitpflicht
- Mehrstufige Sicherheitszonen
2. Zugangskontrolle
Maßnahmen zur Verhinderung der unbefugten Nutzung von Datenverarbeitungssystemen
- Passwortrichtlinien (min. 12 Zeichen, Komplexitätsanforderungen)
- Zwei-Faktor-Authentifizierung (2FA) für alle administrativen Zugänge
- Automatische Sperrung nach fehlgeschlagenen Anmeldeversuchen
- Verschlüsselte VPN-Verbindungen für Remote-Zugriffe
- Regelmäßige Überprüfung und Deaktivierung nicht mehr benötigter Accounts
3. Zugriffskontrolle
Maßnahmen zur Gewährleistung, dass nur autorisierte Personen auf Daten zugreifen
- Rollenbasiertes Berechtigungskonzept (RBAC)
- Need-to-know-Prinzip für Datenzugriffe
- Protokollierung aller Datenzugriffe (Audit-Logs)
- Regelmäßige Überprüfung der Zugriffsberechtigungen
- Sichere Löschung von Daten nach Aufbewahrungsfristen
4. Weitergabekontrolle
Maßnahmen zum Schutz bei der elektronischen Übertragung von Daten
- HTTPS/TLS für alle Datenübertragungen
- Dateiverarbeitung auf deutschen Servern (keine Cloud-KI für Upload-Inhalte)
- Sichere API-Authentifizierung (z.B. JWT) und Rate-Limits
- Drittländer nur für notwendige Nebenleistungen (z.B. E-Mail-Versand) – siehe Subunternehmer-Verzeichnis
- Protokollierung sicherheitsrelevanter Vorgänge (Audit-Logs, Fehlerlogs)
5. Eingabekontrolle
Maßnahmen zur Nachvollziehbarkeit von Dateneingaben und -änderungen
- Vollständige Protokollierung aller Eingaben mit Zeitstempel
- Benutzeridentifikation bei allen Vorgängen
- Unveränderbare Audit-Trails
- Versionierung von Dokumenten und Konfigurationen
- Regelmäßige Auswertung der Protokolle
6. Auftragskontrolle
Maßnahmen zur weisungsgemäßen Verarbeitung durch Auftragnehmer
- Sorgfältige Auswahl von Unterauftragnehmern
- Abschluss von AVVs mit allen Unterauftragnehmern
- Regelmäßige Überprüfung der Unterauftragnehmer
- Dokumentation aller Weisungen
- Transparente Subunternehmer-Liste
7. Verfügbarkeitskontrolle
Maßnahmen zum Schutz gegen Datenverlust und zur Wiederherstellung
- Tägliche automatisierte Backups
- Geografisch getrennte Backup-Speicherung
- Regelmäßige Wiederherstellungstests
- Redundante Serverinfrastruktur
- USV und Notstromversorgung im Rechenzentrum
- Disaster Recovery Plan mit definierten RTO/RPO
8. Trennungskontrolle
Maßnahmen zur getrennten Verarbeitung von Daten verschiedener Auftraggeber
- Logische Mandantentrennung in der Datenbank
- Separate Verschlüsselungsschlüssel pro Mandant
- Isolierte Verarbeitungsumgebungen
- Strikte Trennung von Entwicklungs- und Produktionsumgebungen
- Keine mandantenübergreifenden Datenzugriffe
Regelmäßige Überprüfung
Die technischen und organisatorischen Maßnahmen werden regelmäßig auf ihre Wirksamkeit geprüft und bei Bedarf angepasst. Änderungen werden dokumentiert und den Auftraggebern bei wesentlichen Änderungen mitgeteilt.