Technische und organisatorische Maßnahmen (TOM)

Stand: April 2026

Die technischen und organisatorischen Maßnahmen werden in Übereinstimmung mit Art. 32 DSGVO umgesetzt. Sie werden entsprechend der Machbarkeit und dem Stand der Technik kontinuierlich weiterentwickelt und auf ein höheres Sicherheits- und Schutzniveau gebracht.

1. Vertraulichkeit

1.1 Physische Zugangskontrolle

Maßnahmen, die geeignet sind, Unbefugten den Zugang zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren.

Technische Maßnahmen

  • Manuelle Schließsysteme
  • Türen mit Außenknauf

Organisatorische Maßnahmen

  • Sorgfältige Auswahl von Reinigungspersonal

1.2 Logische Zugangskontrolle

Maßnahmen, die geeignet sind, zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können.

Technische Maßnahmen

  • Logins mit Benutzernamen und sicheren Passwörtern
  • Verschlüsselung von Endgeräten
  • Einsatz von Multi-Faktor-Authentifizierung (MFA) für Admin- und Infrastrukturkonten
  • Automatische Desktop-Sperre
  • Endpoint-Security-Software auf Administrator-Endgeräten

Organisatorische Maßnahmen

  • Verwaltung von Benutzerberechtigungen
  • Erstellung und Pflege von Benutzerprofilen

1.3 Berechtigungskontrolle

Maßnahmen, die sicherstellen, dass die zur Nutzung eines Datenverarbeitungssystems Berechtigten nur auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können und dass personenbezogene Daten während der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können.

Technische Maßnahmen

  • SSH-verschlüsselter Zugang
  • TLS-verschlüsselte Verbindungen
  • Rollenbasiertes Zugriffskonzept (RBAC) für anwendungsinterne Rollen und Organisationszugriffe

Organisatorische Maßnahmen

  • Verwaltung von Benutzerrechten durch Administratoren
  • Keine gemeinsamen Konten, soweit technisch sinnvoll umsetzbar
  • Administrationsrechte sind auf einen engen Personenkreis beschränkt

1.4 Trennungskontrolle

Maßnahmen, die sicherstellen, dass Daten, die für unterschiedliche Zwecke erhoben wurden, getrennt verarbeitet werden können. Dies kann zum Beispiel durch eine logische und physische Trennung der Daten gewährleistet werden.

Technische Maßnahmen

  • Mehrmandantenfähigkeit von relevanten Anwendungen

Organisatorische Maßnahmen

  • Festlegung von Datenbankrechten
  • Mandantenbezogene Datenverarbeitung innerhalb der Organisationsstruktur

1.5 Pseudonymisierung

Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer bestimmten betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen getrennt aufbewahrt werden und geeigneten technischen und organisatorischen Maßnahmen unterliegen.

Technische Maßnahmen

  • Verschlüsselte Speicherung ausgewählter personenbezogener Daten

Organisatorische Maßnahmen

  • Verwaltung des zugehörigen Verschlüsselungsschlüssels über Doppler

1.6 Verschlüsselung

Maßnahmen, die sicherstellen, dass Daten im Ruhezustand und bei der Übertragung für Unbefugte nicht lesbar sind und kryptografische Schlüssel sicher verwaltet werden.

Technische Maßnahmen

  • BitLocker-Verschlüsselung der Administrator-Endgeräte
  • TLS-verschlüsselte Datenübertragungen für öffentlich erreichbare Dienste
  • TLS-gesicherte Verbindungen zur produktiven PostgreSQL-Datenbank
  • Verschlüsselte Speicherung in DigitalOcean Spaces
  • Verschlüsselte Backups der verwalteten PostgreSQL-Produktivdatenbank
  • Verwaltung von Anwendungsschlüsseln und Secrets über Doppler

Organisatorische Maßnahmen

  • Kryptographische Schutzmaßnahmen entsprechend der eingesetzten Plattformen und Authentifizierungsmechanismen
  • Verschlüsselung auf Übertragungswegen für öffentlich erreichbare Dienste

2. Integrität

2.1 Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.

Technische Maßnahmen

  • Bereitstellung über verschlüsselte Verbindungen wie https

Organisatorische Maßnahmen

  • Übermittlungen erfolgen nur über die vorgesehenen Dienste, Schnittstellen und Systemverbindungen
  • Unterauftragsverarbeiter und datenschutzrechtlich relevante Empfänger sind in den Vertrags- und Rechtsdokumenten dokumentiert

2.2 Eingabekontrolle

Maßnahmen, die sicherstellen, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder aus ihnen gelöscht worden sind. Die Eingabekontrolle erfolgt durch Protokollierung, die auf verschiedenen Ebenen (z. B. Betriebssystem, Netzwerk, Firewall, Datenbank, Anwendung) erfolgen kann.

Technische Maßnahmen

  • Protokollierung von Registrierungs-, Forgot-Password- und Passwort-Reset-Ereignissen

Organisatorische Maßnahmen

  • Nachvollziehbarkeit wird im Rahmen der vorhandenen Betriebs-, Anwendungs- und Authentifizierungsprotokolle unterstützt

3. Verfügbarkeit und Belastbarkeit

3.1 Verfügbarkeitskontrolle

Maßnahmen, die sicherstellen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind

Technische Maßnahmen

  • Hosting bei professionellen Infrastrukturanbietern mit dokumentierten Sicherheits- und Compliance-Standards
  • Health-Check der API mit Slack- und E-Mail-Benachrichtigungen
  • Automatische tägliche Backups der verwalteten PostgreSQL-Produktivdatenbank
  • E-Mail-Benachrichtigungen zu fehlgeschlagenen Deployments

Organisatorische Maßnahmen

  • Monatliche Zielverfügbarkeit in AGB geregelt

3.2 Wiederherstellbarkeit:

Maßnahmen zur raschen Wiederherstellung der Verfügbarkeit von und des Zugangs zu personenbezogenen Daten im Falle eines physischen oder technischen Zwischenfalls

Technische Maßnahmen

  • Point-in-Time-Wiederherstellung für die PostgreSQL-Produktivdatenbank

Organisatorische Maßnahmen

  • Wiederherstellung der Anwendung über versionierten Quellcode und Redeployment-Verfahren

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

4.1 Datenschutz-Management

Maßnahmen zur organisatorischen Verankerung des Datenschutzes und zur Steuerung datenschutzbezogener Pflichten

  • Interne Dokumentation aller sicherheitsrelevanten Architekturinformationen
  • Der Zugang zu zentralen Infrastrukturkonten ist organisatorisch auf autorisierte Personen beschränkt
  • Verwendung von 2FA für zentrale Plattformkonten
  • Datenschutzrechtliche Unterstützungspflichten bei Datenschutzvorfällen sind im AVV geregelt

4.2 Schwachstellenmanagement

Proaktive Maßnahmen zur Identifikation, Bewertung und Behebung von Sicherheitsschwachstellen.

  • Sicherheitsbezogene Prüfung von Code und Konfigurationen während der Entwicklung

4.3 Vorfallsreaktionsmanagement

Unterstützung bei der Reaktion auf Sicherheitsverletzungen und Prozess bei Datenschutzverletzungen.

  • Laufzeit- und Betriebslogs der produktiven Dienste für die technische Analyse von Vorfällen
  • Datenschutzrechtliche Unterstützungspflichten bei Datenschutzvorfällen sind im AVV geregelt

4.4 Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen

Maßnahmen nach Art. 25 DSGVO zur Wahrung der Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.

  • Es werden nicht mehr personenbezogene Daten erhoben als für den jeweiligen Zweck erforderlich sind
  • Einsatz von datenschutzfreundlichen Voreinstellungen in Standard- und Individualsoftware
  • Google Analytics und Google Ads werden nur nach Einwilligung aktiviert
  • Google Consent Mode ist standardmäßig auf denied gesetzt
  • Umami wird mit anonymisierten IP-Adressen und ohne direkte Nutzeridentifikatoren betrieben
  • Das Excel-Add-in setzt keine zusätzlichen Tracking-Cookies ein

4.5 Auftragskontrolle (Outsourcing, Unterauftragnehmer und Auftragsverarbeitung)

Maßnahmen, die sicherstellen, dass personenbezogene Daten, die im Auftrag des Kunden verarbeitet werden, nur gemäß den Anweisungen des Kunden verarbeitet werden

  • Sorgfältige Auswahl von Unterauftragsverarbeitern (insbesondere im Hinblick auf Datenschutz und Datensicherheit)
  • Abschluss der erforderlichen Verträge zur Auftragsverarbeitung und/oder EU Standardvertragsklauseln
  • Sicherstellung der Löschung von Daten nach Beendigung des Vertragsverhältnisses