Technisch-organisatorische Maßnahmen (TOM)

gemäß Art. 32 DSGVO

Im folgenden findest Du eine Erläuterung unserer Technisch-organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO. Solltest Du Fragen oder Anregungen zu unseren TOM haben, so kontaktiere uns jederzeit gern über unser Kontaktformular.

Zutrittskontrolle

Die Systeme zur Verarbeitung personenbezogener Daten werden nicht im eigenen Haus betrieben, sondern bei zwei externen Hosting-Providern:

• Hetzner Online GmbH (hetzner.com)
• IONOS SE (ionos.de)

Mit allen genannten Dienstleistern bestehen abgeschlossene Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO. Die Anbieter gewährleisten ihrerseits angemessene Zutrittskontrollen zu den Serverstandorten.

Dies umfasst typischerweise die folgenden Maßnahmen:

• Zutritt ausschließlich für autorisiertes Fachpersonal,
• elektronische Zutrittssysteme (z. B. Chipkarte, PIN, Biometrie),
• Videoüberwachung und Alarmanlagen
• protokollierte Zugangsvorgänge sowie
• abgestufte Sicherheitszonen innerhalb der Rechenzentren.

Da keine Server-Infrastruktur am Unternehmensstandort betrieben wird, entfällt eine eigenständige Zutrittskontrolle auf lokaler Ebene.

Zugangskontrolle

Die Verarbeitung personenbezogener Daten erfolgt auf gesicherten Datenbank- und Webservern (Test- und Produktivsysteme). Der direkte Zugriff auf die Infrastruktur ist nur über VPN möglich. Öffentlich zugänglich ist lediglich das DiWoka-Onlineportal.

Benutzerkonten werden ausschließlich im Vier-Augen-Prinzip durch die Geschäftsführung angelegt, verwaltet und bei Bedarf gelöscht. Die Rechtevergabe erfolgt strikt nach Aufgabenbereichen.

Zur Authentifizierung werden komplexe, automatisch generierte Passwörter verwendet (Kombination aus Buchstaben, Zahlen, Sonderzeichen, ausreichende Länge). Die Passwörter werden zentral in einem Passwordsafe verwaltet.

Alle Arbeitsplätze sind so konfiguriert, dass sie sich automatisch nach 5 Minuten Inaktivität sperren. Zusätzlich wird beim Verlassen des Arbeitsplatzes manuell gesperrt:

• unter Windows per Tastenkombination Windows + L
• unter macOS per Tastenkombination ctrl + cmd + Q

Die Benutzer- und Rechteverwaltung innerhalb von Cloud-Systemen erfolgt über Google Workspace, mit entsprechenden Sicherheitsrichtlinien.

Alle Mitarbeitenden haben eine Geheimhaltungsvereinbarung unterzeichnet und nehmen regelmäßig an Schulungen teil in den Bereichen:

• Datenschutz (DSGVO)
• IT-Sicherheit / Internet
• Security
• Clean Desk Policy
• Arbeitssicherheit

Die Schulungen werden dokumentiert und durch Zertifikate belegt.

Zugriffskontrolle

Geschäftsführung

Aufgrund der Unternehmensstruktur und der Notwendigkeit, in allen betrieblichen Bereichen (wie Support, IT-Administration, Buchhaltung oder Projektmanagement) flexibel aushelfen und Vertretungsaufgaben übernehmen zu können, verfügen die Geschäftsführer über vollständige administrative Zugriffsrechte über sämtliche Systeme und Datenbestände hinweg (Vollzugriff). Dieser weitreichende Zugriff ist im Sinne des Erforderlichkeitsprinzips gerechtfertigt, da die operative Handlungsfähigkeit, die Kontrolle und die Ausfallsicherheit des Unternehmens diese übergreifenden Berechtigungen zwingend erfordern. Dennoch erfolgt die tatsächliche Einsichtnahme in spezifische Daten – insbesondere in im Auftrag verarbeitete personenbezogene Daten – auch durch die Geschäftsführung stets streng anlassbezogen und nur in den Fällen, in denen eine aktive Mitarbeit, Fehlerbehebung oder Unterstützung im jeweiligen Fachbereich erforderlich ist.

Softwareentwicklung

Erhält ausschließlich rollenbasierte Zugriffe auf Test- und Entwicklungsumgebungen. Diese Umgebungen sind logisch von der Produktivumgebung getrennt und enthalten anonymisierte oder fiktive Testdaten. Ein Zugriff auf produktive Systeme und reale personenbezogene Daten ist für Softwareentwicklung standardmäßig technisch unterbunden.

Systemadministration

Zuständig für den Betrieb der Infrastruktur, Serververwaltung und das Backup-Management. Erhält administrative Zugriffsrechte auf Netzwerkkomponenten, Server-Betriebssysteme und Backup-Systeme.

Buchhaltung

Zuständig für die Rechnungsstellung, Zahlungsabwicklung und das Mahnwesen. Erhält Zugriff auf kaufmännische Software (ERP-/Buchhaltungssysteme) sowie auf die für die Abrechnung zwingend erforderlichen Stammdaten der Auftraggeber (z. B. Rechnungsadressen, vertragliche Ansprechpartner). Einschränkung: Die Buchhaltung hat strikt keinen Zugriff auf die produktiven IT-Systeme, Datenbanken oder die im Auftrag verarbeiteten personenbezogenen Daten (Auftragsdaten).

Kundensupport

Zuständig für die Bearbeitung von technischen oder fachlichen Kundenanfragen. Erhält Zugriff auf die Support-Infrastruktur (E-Mail-Postfächer, Ticketsystem) und auf ein dediziertes, eingeschränktes Support-Interface mit ausschließlich lesendem Zugriff. Einschränkung: Der Zugriff auf kundenbezogene Daten im Support-Interface erfolgt streng anlassbezogen (z. B. gekoppelt an ein aktives Ticket). Ein direkter Zugriff auf Backend-Systeme, Server-Infrastruktur oder Rohdatenbanken ist für Support-Mitarbeiter ausgeschlossen.

Personalwesen

Zuständig für die Verwaltung der internen Mitarbeiterdaten. Erhält Zugriff auf HR-Software und Zeiterfassungssysteme. Einschränkung: Der Aufgabenbereich ist logisch und systemisch vollständig von den Kunden- und Auftragsdaten getrennt. Es besteht keine Berechtigung für Kunden- oder Produktivsysteme.

Zugriffe auf Datenbanken und Server werden vollständig protokolliert. Dies umfasst sowohl administrative Aktionen als auch Lese- und Schreibzugriffe. Die Protokolle dienen der Nachvollziehbarkeit.

Datenbank-Exporte oder sonstige Datenkopien dürfen ausschließlich durch die Geschäftsführung durchgeführt werden. Technische Zugriffsbeschränkungen wie VPN-Verpflichtung und Passwortschutz verhindern unbefugten Zugriff.

Sollte es zu einem Personalwechsel kommen, werden sämtliche Benutzerkonten, Rechte und Zugänge unverzüglich und vollständig gelöscht.

Weitergabekontrolle

Die Weitergabe personenbezogener Daten erfolgt ausschließlich über sichere Übertragungswege, entweder:

• als passwortgeschütztes ZIP-Archiv per E-Mail oder
• über freigegebene Google-Drive-Links mit gesonderter Passwortübermittlung.

Alle Übertragungswege sind durch SSL/TLS-Verschlüsselung abgesichert. Zusätzlich kommen bei Dateianhängen stets passwortgeschützte Dokumente zum Einsatz.

Eine Weitergabe personenbezogener Daten nach außen (z. B. an Behörden, Kunden oder Dienstleister) darf ausschließlich durch die Geschäftsführung erfolgen.

Jede ausgehende E-Mail – einschließlich des bisherigen Mailverlaufs – wird vor Versand sorgfältig auf ihre Relevanz für den Empfänger geprüft.

Das eingesetzte Ticketsystem (Freescout) sorgt dafür, dass Mailverläufe automatisch gekürzt werden, um unnötige Informationsweitergabe zu vermeiden.

Sämtliche Kommunikation und Datenübermittlung wird systemseitig dokumentiert – insbesondere über die Kommunikationsplattformen Freescout und Google Workspace.

Eingabekontrolle

Änderungen an personenbezogenen Daten dürfen ausschließlich durch die Geschäftsführung vorgenommen werden. Mitarbeitende haben keinen direkten Änderungszugriff auf produktive Systeme mit personenbezogenen Daten.

Jede Änderung erfolgt nur nach vorheriger Absprache, um die Notwendigkeit und Richtigkeit der Maßnahme zu bestätigen.

Sämtliche Änderungen werden transparent im jeweiligen System dokumentiert, sodass nachvollziehbar bleibt, was geändert wurde und bei welchem Kunden oder Datensatz die Änderung erfolgt ist.

Durch die Dokumentation im jeweiligen Verlaufs- oder Änderungsprotokoll innerhalb der Systeme ist sichergestellt, dass jede Verarbeitung oder Bearbeitung personenbezogener Daten personengebunden nachvollzogen werden kann.

Auftragskontrolle

Die Verarbeitung personenbezogener Daten durch Dritte erfolgt ausschließlich auf Basis schriftlicher Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO.

Externe Dienstleister mit Zugriff auf personenbezogene Daten sind:

• Hetzner Online GmbH
• IONOS SE

Für den Betrieb und das Hosting der Anwendung DiWoka gelten besondere Auswahlkriterien:

• Der Firmensitz und der Serverstandort des Dienstleisters müssen sich in Deutschland befinden.
• Die vollständige DSGVO-Konformität ist Voraussetzung.

Die Verarbeitung durch Auftragsverarbeiter erfolgt ausschließlich auf Weisung der Geschäftsführung. Es wird darauf geachtet, dass nur erforderliche Daten übermittelt werden.

Die Verwaltung, Auswahl und Überwachung der Auftragsverarbeiter liegt vollständig bei der Geschäftsführung.

Die Einhaltung der TOM sowie der vertraglichen Vereinbarungen wird mindestens einmal jährlich im Rahmen einer dokumentierten Überprüfung bewertet.

Verfügbarkeitskontrolle

Von der gesamten IT-Infrastruktur wird täglich ein vollständiges Backup erstellt. Dies umfasst sowohl interne Werkzeuge (wie CRM und Ticketsystem) als auch das Produktivsystem der DiWoka-App.

Die Backups werden an zwei Speicherorten parallel abgelegt:

• in der Hetzner Cloud
• zusätzlich auf einem externen Backup-Ziel bei IONOS

Die Aufbewahrungsdauer richtet sich nach dem Schutzbedarf der Systeme:

• 15 Tage für interne Systeme (CRM, Ticketsystem)
• 120 Tage für das DiWoka Produktivsystem

Die Backups werden vor der Übertragung mittels AES‑256 verschlüsselt und erst anschließend auf die Backup-Ziele übertragen. Die Schlüsselverwaltung erfolgt ausschließlich durch die IT-Leitung oder die Geschäftsführung.

Für den Notfall besteht ein dokumentiertes Disaster-Recovery-Verfahren.

Diese sieht wie folgt aus:

Neben der Produktivumgebung bei Hetzner wird eine betriebsbereite Ausweichumgebung bei IONOS vorgehalten. Im Falle eines längerfristigen Ausfalls kann das letzte verfügbare Backup (maximal 23:59 Stunden alt) auf der IONOS-Umgebung eingespielt werden.

Die Wiederherstellung der Betriebsbereitschaft erfolgt innerhalb von maximal 2 Stunden nach bekannt werden. Der Wiederherstellungsprozess wird mindestens einmal pro Quartal getestet und dokumentiert.

Trennungsgebot

Es werden personenbezogene Daten zu unterschiedlichen Zwecken verarbeitet, insbesondere:

• Kundendaten zur Vertragsabwicklung und Kommunikation,
• Vertragsdaten zur Buchhaltung und Archivierung,
• Supportdaten im Rahmen von Kundenanfragen und technischer Betreuung.

Zur Vermeidung von Zweckvermischung werden die Daten in unterschiedlichen Systemen verarbeitet, z. B.:

• sevDesk für Buchhaltung und Rechnungsstellung,
• ein separates Ticketsystem (Freescout) für Supportanfragen,
• sowie interne Tools für CRM-bezogene Datenpflege.

Die Trennung der Daten erfolgt über logisch getrennte Datenstrukturen und Systeme.

Da die meisten Rollen im Unternehmen – mit Ausnahme der Softwareentwicklung – von der Geschäftsführung wahrgenommen werden, ist sichergestellt, dass nur befugte Personen Zugriff auf die jeweils relevanten Daten haben.