Technische und organisatorische Maßnahmen

Anlage 1 und 2 zum Auftragsverarbeitungsvertrag.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Verarbeitung ausschließlich in Rechenzentren von STACKIT (Schwarz Gruppe) in Deutschland, ISO 27001 und BSI C5.
• Zugangskontrolle:
  • Konten nur auf Einladung, keine Selbstregistrierung.
  • Passwörter nur als Argon2id-Hash.
  • Zwei-Faktor-Authentifizierung (TOTP) ist Pflicht, mit Wiederherstellungscodes.
  • Begrenzung von Anmeldeversuchen je Konto und Adresse, Sperre nach wiederholten Fehlern.
  • Sitzungen enden nach 30 Minuten Inaktivität, spätestens nach 12 Stunden.
• Zugriffskontrolle:
  • Rollen (Administrator, lesend) je Betrieb.
  • Strikte Trennung der Mandanten in der Datenbank (Row Level Security), durch automatische Tests geprüft.
• Beim Verantwortlichen: Der Agent liest nur eine Kopie der Datenbank, nie die laufende Produktion, und nur mit Leserechten. Er öffnet keinen Port.
• Verschlüsselung:
  • Übertragung mit TLS 1.3 und hybridem Post-Quanten-Schlüsselaustausch.
  • Jeder Datenlauf wird beim Verantwortlichen vor dem Senden verschlüsselt (ML-KEM-1024 + X25519, AES-256-GCM) und so gespeichert; der Schlüssel ist je Betrieb verschieden.
  • Geheimnisse liegen im STACKIT Secrets Manager, nie im Quellcode.

2. Integrität

• Weitergabekontrolle: Keine Übermittlung in Drittstaaten. Alle Datenflüsse sind in Anlage 2 dokumentiert.
• Echtheit der Daten: Jeder Datenlauf ist mit dem Schlüssel des registrierten Geräts signiert (Ed25519 + ML-DSA-65); fremde oder veränderte Pakete werden abgewiesen.
• Eingabekontrolle: Anmeldungen, Einladungen, Geräte, Freigaben und Datenläufe landen in einem verketteten, signierten Protokoll (Ed25519 + ML-DSA-65) mit täglich außerhalb der Datenbank abgelegten Prüfpunkten.

3. Verfügbarkeit und Belastbarkeit

• Plattform: Ein Server bei STACKIT; keine Hochverfügbarkeit. Bei einem Ausfall behält der Agent die Datenläufe lokal und überträgt sie beim nächsten Lauf.
• Sicherung: Tägliche Datenbanksicherung, verschlüsselt (ML-KEM-1024 + X25519) im STACKIT Object Storage, 32 Tage aufbewahrt. Der Schlüssel zum Öffnen liegt nicht auf dem Server. Die Wiederherstellung ist dokumentiert und geprüft.

4. Verfahren zur regelmäßigen Überprüfung

• Bei jeder Änderung: automatische Tests einschließlich Mandantentrennung und Zwei-Faktor-Pflicht.
• Sicherheitstests: unabhängige Prüfung und automatisierter Sicherheitsscan im November 2026, die Befunde sind behoben.
• Einmal jährlich: vollständige Überprüfung dieser TOMs.

5. Speicherdauer und Löschung

• Datenläufe: bis zum Vertragsende, danach Löschung nach § 9.
• Sicherungen: 32 Tage.
• Zugänge: Der Administrator des Betriebs kann Konten sperren; die Löschung von Konten erfolgt auf Anfrage.

Anlage 2 — Subprozessoren

Geplant, wird vor Aktivierung nach § 5 angekündigt: Versand von System-E-Mails (Einladungen) über Kundrio (Pioneerdesk GmbH) mit einem E-Mail-Dienstleister in der EU.