Technische und organisatorische Maßnahmen (TOMs)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

Alle Systeme werden in professionellen Rechenzentren etablierter deutscher Anbieter (STRATO GmbH, IONOS SE) betrieben. Die Rechenzentren verfügen über Zutrittskontrollsysteme, Videosicherung und 24/7-Überwachung; die Betreiber sind nach gängigen Standards (u. a. ISO 27001) zertifiziert. Es existieren keine lokalen Server mit Kundendaten beim Auftragnehmer.

Zugangskontrolle

• Administrativer Zugriff auf Server ausschließlich über verschlüsselte Verbindungen mit Schlüssel-basierter Authentifizierung
• Nutzerzugänge mit BCrypt-gehashten Passwörtern (kein Klartext), optionale Zwei-Faktor-Authentifizierung (TOTP)
• Kurzlebige JWT-Access-Tokens, Refresh-Tokens als HttpOnly-Cookies
• Maschinenzugänge (z. B. E-Mail-Import-Worker) über separate API-Schlüssel mit minimalen Rechten

Zugriffskontrolle

• Strikte mandantenbezogene Trennung: Jede Datenbankabfrage ist an das Benutzerkonto bzw. die Organisation gebunden
• Rollen- und planbasierte Berechtigungen (Nutzer, Team-Mitglieder, Administrator)
• Dokumente sind per Objektspeicher-Pfad strikt einem Konto zugeordnet; Freigaben nur über explizit erzeugte, widerrufbare Freigabe-Links (optional mit PIN und Ablaufdatum)

Trennungskontrolle

• Logische Trennung aller Kundendaten über Konto-IDs auf Datenbank- und Speicherebene
• Getrennte Umgebungen für Entwicklung und Produktion; keine Produktivdaten in Entwicklungsumgebungen

Pseudonymisierung und Verschlüsselung

• Transportverschlüsselung: alle Verbindungen ausschließlich über TLS
• At-Rest-Verschlüsselung: Dokumente werden mit AES-256 verschlüsselt gespeichert; pro Dokument wird ein eigener Datenschlüssel (DEK) verwendet, der seinerseits verschlüsselt abgelegt wird (Envelope Encryption)
• Passwörter: BCrypt mit individuellem Salt

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Eingabekontrolle / Audit-Trail: Sicherheitsrelevante Aktionen (Anmeldungen, Freigaben, Löschungen, Einstellungsänderungen) werden in einem Audit-Log protokolliert
• Unveränderbarkeit: Originaldateien bleiben unverändert erhalten; Bearbeitungen erzeugen neue Versionen mit Versionshistorie
• Weitergabekontrolle: Datenübermittlung an Unterauftragsverarbeiter ausschließlich verschlüsselt und nur im erforderlichen Umfang (z. B. Dokumenttext an die KI-Plattform, keine Kontodaten)
• Validierung aller Uploads (Dateityp-Whitelist, Magic-Bytes-Prüfung, Größenlimits)

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Tägliche automatisierte Backups von Datenbank und Konfiguration; Dateispeicher mit redundanter Ablage beim Rechenzentrumsbetreiber
• Dokumentierte Wiederherstellungsprozesse (Restore-Tests in regelmäßigen Abständen)
• Öffentliche Status-Seite mit aktueller Systemverfügbarkeit (Status)
• Ratenbegrenzung und Größenlimits zum Schutz vor Überlastung; Verarbeitung mit automatischen Wiederholungsversuchen
• Papierkorb mit Wiederherstellungsmöglichkeit vor endgültiger Löschung

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Regelmäßige Aktualisierung aller Systemkomponenten und Abhängigkeiten (Patch-Management)
• Protokollierung und Auswertung von Fehlern und sicherheitsrelevanten Ereignissen
• Datenschutzfreundliche Voreinstellungen (Privacy by Default): kein Tracking, keine Werbung, Datenminimierung
• Regelmäßige Überprüfung und Fortschreibung dieser Maßnahmen

5. Auftragskontrolle

• Unterauftragsverarbeiter (siehe AVV, Ziffer 5) werden sorgfältig ausgewählt und sind vertraglich nach Art. 28 DSGVO gebunden
• Sämtliche Verarbeitung findet ausschließlich in Rechenzentren innerhalb Deutschlands statt
• Weisungsgebundene Verarbeitung; keine Nutzung von Kundendaten für eigene Zwecke, kein Training von KI-Modellen mit Kundendokumenten

6. Löschkonzept

• Selbstbedienungs-Löschung einzelner Dokumente (Papierkorb, anschließend endgültige Löschung) und des gesamten Kontos
• Bei Kontolöschung werden alle Daten unwiderruflich entfernt – aus Datenbank und Objektspeicher
• Automatische Löschung abgelaufener Artefakte (z. B. Papierkorb-Bereinigung, abgelaufene Token)