Technische und organisatorische Maßnahmen (TOM)

Stand: August 2026. Anlage 1 zum Auftragsverarbeitungsvertrag — Maßnahmen gemäß Art. 32 DSGVO. Die Maßnahmen werden entsprechend dem Stand der Technik fortentwickelt; das beschriebene Schutzniveau wird dabei nicht unterschritten.

1. Zugangskontrolle (Authentifizierung)

• Persönliche Benutzerkonten; Passwörter werden ausschließlich nach dem Stand der Technik gehasht gespeichert, nie im Klartext.
• Zwei-Faktor-Authentifizierung (TOTP) sowie Passkeys als zweiter Faktor für alle Benutzer aktivierbar.
• Schutz vor Brute-Force-Angriffen: Warnhinweis per E-Mail (inkl. IP/Standort) nach mehreren Fehlversuchen, temporäre Kontosperre bei fortgesetzten Fehlversuchen.
• Sitzungs-Cookies mit Secure- und HttpOnly-Attributen; Anmeldung über verschlüsselte Verbindungen.
• Administrativer Serverzugriff nur über gesicherte, schlüsselbasierte Verbindungen und nur für den Betriebsverantwortlichen.

2. Zugriffs- & Berechtigungskontrolle

• Rollen- und Rechtesystem je Organisation und Projekt; Benutzer sehen nur Daten ihrer Organisation bzw. der Projekte, zu denen sie berechtigt sind.
• Strikte Mandantentrennung auf Datenebene (organisationsbezogene Zuordnung aller Datensätze, Prüfung bei jedem Zugriff).
• Vergabe von Berechtigungen nach dem Prinzip der geringsten Rechte.

3. Übertragungskontrolle

• Transportverschlüsselung (TLS/HTTPS) für sämtliche Verbindungen; unverschlüsselte Zugriffe werden umgeleitet.
• HTTP Strict Transport Security (HSTS) einschließlich Subdomains sowie weitere Sicherheits-Header (u. a. Content-Security-Policy).
• Übermittlungen an Dritte nur auf Veranlassung des Kunden (z. B. E-Rechnung an den Bund) über die dafür vorgesehenen, verschlüsselten Schnittstellen.

4. Eingabekontrolle (Nachvollziehbarkeit)

• Änderungshistorie auf Feldebene für fachliche Daten (wer hat wann was geändert).
• Revisionssicheres Protokoll für Abrechnungs- und Abo-Vorgänge (Billing-Audit-Log).
• Server- und Fehlerprotokollierung; Zugriffs- und Serverprotokolle werden nach spätestens 90 Tagen überschrieben.

5. Verfügbarkeitskontrolle

• Regelmäßige Datensicherungen (Backups); Sicherungen werden nach 30 Tagen überschrieben.
• Wiederherstellungsziel (RTO) von maximal 24 Stunden an Werktagen (siehe Punkt 8 der AGB).
• Überwachung des Betriebs mit automatischem Neustart der Dienste im Störungsfall.
• Betrieb in professionellen Rechenzentren in Deutschland mit redundanter Strom- und Netzanbindung (siehe Anlage 2).

6. Trennungskontrolle

• Logische Trennung der Daten je Organisation (Mandant) innerhalb der Anwendung.
• Trennung von Test- und Produktivumgebung; Tests erfolgen nicht mit personenbezogenen Echtdaten Dritter.

7. Auftragskontrolle

• Unterauftragsverarbeiter werden sorgfältig ausgewählt und sind durch Verträge gemäß Art. 28 DSGVO gebunden (siehe Anlage 2).
• Verarbeitung ausschließlich in EU-Rechenzentren; Drittlandübermittlungen nur in den im AVV (Punkt 12) beschriebenen Fällen.

8. Organisatorische Maßnahmen

• Verpflichtung aller mit der Verarbeitung befassten Personen zur Vertraulichkeit (§ 6 DSG).
• Zeitnahe Einspielung von Sicherheitsupdates für Betriebssystem und Anwendungskomponenten.
• Meldeweg für Sicherheitslücken (Responsible Disclosure, siehe Nutzungsrichtlinien Punkt 8) und definierter Prozess zur unverzüglichen Information betroffener Kunden bei Datenschutzverletzungen (AVV Punkt 9).