Art. 32 DSGVO

Technische und organisatorische Maßnahmen (TOM)

Dokumentation der Sicherheitsmaßnahmen zur Gewährleistung der Sicherheit der Verarbeitung gemäß Art. 32 DSGVO.

Anlage zum AV-Vertrag: Diese Dokumentation beschreibt die vom Auftragnehmer (KontaktBrücke · Igor Shykhalyev) implementierten technischen und organisatorischen Maßnahmen (TOM) zum Schutz personenbezogener Daten.

1 · Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

Schutz vor unbefugtem physischem Zutritt zu Datenverarbeitungsanlagen:

Betriebsräume in gesichertem Gebäude mit Mehrfachverriegelung
Kein Publikumsverkehr in den Entwicklungs- und Arbeitsräumen
Server-Hosting ausschließlich in zertifizierten Tier-3/Tier-4 Rechenzentren (ISO 27001 zertifiziert)

Zugangskontrolle

Schutz vor unbefugter Systemnutzung:

Zwei-Faktor-Authentifizierung (2FA / FIDO2 / TOTP) für alle administrativen Zugänge
Strikte Passwort-Richtlinien (Passwort-Manager mit ≥ 20 Zeichen)
Automatische Bildschirmsperre bei Inaktivität (nach 5 Minuten)
Authentifizierung bei SSH ausschließlich über Ed25519-Schlüssel (Passwort-Login deaktiviert)

Zugriffskontrolle

Verhinderung unbefugten Lesens, Kopierens, Veränderns oder Löschens:

Need-to-Know-Prinzip: Zugriff nur auf Daten, die für den konkreten Auftrag zwingend erforderlich sind
Rollen- und Rechtekonzept auf Betriebssystem- und Datenbankebene
Vollverschlüsselung aller Datenträger (LUKS / BitLocker mit XTS-AES 256-Bit)

Trennungsgebot & Trennungskontrolle

Getrennte Verarbeitung zu unterschiedlichen Zwecken erhobener Daten (Trennungsgebot):

Mandantenspezifische logische Trennung der Datensätze in der Datenbank
Getrennte SQLite-Dateien je Mandant und Anwendungsbereich
Strikte Trennung von Entwicklungs-, Test- und Produktivumgebung

2 · Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

Schutz vor unbefugter Einsichtnahme bei Datenübertragungen:

Ausschließliche Nutzung starker Transportverschlüsselung (TLS 1.3 / HSTS mit 31.536.000 Sekunden)
E-Mail-Sicherheit mit SPF, DKIM und DMARC auf allen Domains
Exportübergabe an Kunden über verschlüsselte Protokolle

Eingabekontrolle

Nachvollziehbarkeit von Dateneingaben, Änderungen und Löschungen:

Lückenlose Protokollierung von Statusänderungen je Kontakt mit Zeitstempel
Versionskontrolle des Quellcodes und der Migrationsskripte via Git-Historie
Revisionssichere Dokumentation von Werbewidersprüchen und Löschanforderungen

3 · Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b & c DSGVO)

Verfügbarkeitskontrolle & Wiederherstellbarkeit

Automatisierte Backups: Tägliche automatisierte Backups aller Datenbanken mit 14-Tage-Rotationszyklus.
Georedundanz: Verteilte Backups auf separaten, verschlüsselten Speichern.
Statisches CDN-Hosting: Auslieferung der Website über global verteiltes Edge-Netzwerk (Vercel) mit > 99,9 % Verfügbarkeit und automatischem DDoS-Schutz.
Notfallkonzept: Wiederherstellungstests (Disaster Recovery) werden regelmäßig simuliert; Wiederanlaufzeit (RTO) unter 4 Stunden.

4 · Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

Datenschutz-Management & Incident Response

Privacy by Design & Default: Datensparsamkeit bei der Erhebung (nur geschäftlich relevante Felder).
Incident Response Plan: Prozess zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen innerhalb von 72 Stunden an die Aufsichtsbehörde (Art. 33 DSGVO) und betroffene Auftraggeber (Art. 34 DSGVO).
Sicherheits-Patches: Automatische Aktualisierung von Sicherheitsupdates auf allen beteiligten Systemen innerhalb von 24 Stunden nach Veröffentlichung.
Löschkonzept: Regelmäßige automatisierte Bereinigung von Recherchen nach Ablauf der 12-monatigen Höchstspeicherfrist.

Gültigkeit & Revision: Stand: 31.10.2026. Diese Maßnahmen werden mindestens einmal jährlich sowie anlassbezogen bei technischen Änderungen überprüft und fortgeschrieben.