Technische und organisatorische Maßnahmen (TOM)

Mit diesen Maßnahmen nach Art. 32 DSGVO schützt der Plattformbetreiber von set! die personenbezogenen Daten, die er im Auftrag seiner Mandanten verarbeitet. Die Maßnahmen sind Anlage 1 des Auftragsverarbeitungs-Vertrags (AVV), den Mandant-Admins im Mandanten-Portal abschließen.

Stand: AVV-Version 1.0-demo, gültig ab 6. Oktober 2026

Eingesetzte Unterauftragsverarbeiter: Sub-Processor-Register

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren des Hosting-Dienstleisters (Anlage 2) mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal; kein eigener Serverraum des Auftragnehmers.
Zugangskontrolle: persönliche Benutzerkonten; Passwörter mit mindestens 12 Zeichen, geprüft gegen bekannte kompromittierte Passwörter (k-Anonymity-Verfahren, ohne Übermittlung des Passworts); Sperre nach 5 fehlgeschlagenen Anmeldungen innerhalb von 15 Minuten für 15 Minuten; Sitzungsende nach 2 Stunden Inaktivität, spätestens nach 8 Stunden; Zwei-Faktor-Authentifizierung verpflichtend für Plattform-Administratoren; Server-Zugriff nur per SSH-Schlüssel und Firewall.
Zugriffskontrolle: rollenbasiertes Berechtigungskonzept mit sechs Rollen; Mandantentrennung über Berechtigungsfilter auf jeder Datenabfrage (ein Mandant sieht ausschließlich eigene Daten); Lieferanten sehen nur ihnen zugewiesene Aufgaben; Freigaben an Dritte nur über widerrufbare, befristete Share-Links.
Trennungskontrolle: logische Trennung der Mandanten in einer gemeinsamen Datenbank; getrennte Datenbanken je Umgebung (Entwicklung, Test, Produktion); keine Produktivdaten in Test- oder Entwicklungsumgebungen.
Pseudonymisierung: personenbezogene Felder archivierter Personen werden auf Anweisung des Auftraggebers durch Platzhalter ersetzt; Fremdschlüssel und Bilanzen bleiben erhalten.

2. Integrität

Weitergabekontrolle: Transportverschlüsselung aller externen Verbindungen mit TLS 1.2 oder höher (bevorzugt TLS 1.3); verschlüsselte Verbindung zwischen Anwendung und Datenbank; Datenexporte nur über signierte, befristete Download-Adressen.
Eingabekontrolle: unveränderliches Audit-Log aller Änderungen mit Akteur, Zeitpunkt und geänderten Feldern (Aufbewahrung 3 Jahre, sofern nicht anders vereinbart); Schutz des Audit-Logs gegen nachträgliche Änderung auf Datenbankebene.
Schadsoftware: Prüfung hochgeladener Dateien durch einen Virenscanner vor der Ablage.

3. Verfügbarkeit und Belastbarkeit

Tägliche, verschlüsselte Datensicherung mit Wiederherstellungsziel (RPO) von höchstens 24 Stunden und einer Wiederherstellungszeit (RTO) von höchstens 4 Stunden; regelmäßige Wiederherstellungstests.
Verschlüsselung der Datenbank im Ruhezustand (at rest).
Überwachung der Dienste und Aktualisierung der Software-Komponenten (Sicherheitsupdates).

4. Verfahren zur regelmäßigen Überprüfung

Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): Aufbewahrungsfristen je Datenkategorie mit automatischer Bereinigung.
Versionierte, nachvollziehbare Auslieferung (jede Software-Version ist einem Quellcode-Stand zugeordnet).
Überprüfung dieser Maßnahmen mindestens jährlich und bei wesentlichen Änderungen; Ergebnis in einer neuen Version dieser Anlage.
Datenschutzbeauftragter des Auftragnehmers: [DEMO: Datenschutzbeauftragter].