Technische und organisatorische Maßnahmen

Anlage 2 zur AVV · Art. 32 DSGVO · Stand: 28. Juli 2026

Anlage 2 zum Auftragsverarbeitungsvertrag (Art. 32 DSGVO).

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

Verarbeitung ausschließlich in Rechenzentren der Scaleway SAS in Frankreich (Region Paris/fr-par), zertifiziert nach ISO/IEC 27001; physischer Zutritt ausschließlich durch den Unterauftragsverarbeiter kontrolliert. Beim Anbieter selbst werden keine personenbezogenen Daten auf Servern vor Ort verarbeitet.

1.2 Zugangskontrolle (Systeme)

• Server-Zugang ausschließlich per SSH mit Schlüsselpaar (kein Passwort-Login); Firewall auf Ports 22/80/443 beschränkt. Der Webserver läuft über Caddy.
• Datenbank nur aus dem Anwendungsserver erreichbar (IP-Allowlist), Verbindung TLS-verschlüsselt.
• Nutzer-Anmeldung mit Passwort (Mindestlänge 12 Zeichen), Speicherung ausschließlich als argon2id-Hash; Schutz gegen Nutzer-Enumeration; Raten-Begrenzung gegen Brute-Force; Sitzungen über kurzlebige signierte Tokens mit httpOnly-Refresh-Cookie.
• Betreiber-Funktionen (Statistik) nur für explizit konfigurierte Konten.

1.3 Zugriffskontrolle (Daten)

• Fünfstufiges Rollen-/Rechtemodell je Projekt (owner, admin, participant, reader, nologin) — serverseitig bei jedem Zugriff geprüft.
• Feingranulare Sichtbarkeit: Einzeldokument-Freigaben und kategoriebasierte Sichtregeln, konsequent „fail-closed“ (im Zweifel kein Zugriff).
• Datei-Downloads nur über kurzlebige, signierte URLs bzw. geheime Empfänger-Tokens.

1.4 Trennungskontrolle

• Strikte Mandantentrennung auf Organisations- und Projektebene; jede Abfrage ist organisations-/projektgebunden.
• Der Betreiber sieht in seiner Statistik ausschließlich aggregierte Nutzungszahlen, keine Projektinhalte.

1.5 Pseudonymisierung / Verschlüsselung

• Transportverschlüsselung (TLS) auf allen öffentlichen Endpunkten.
• Speicherverschlüsselung: Datenbank und Objektspeicher sind nach dem Scaleway-Standard serverseitig verschlüsselt.
• Zugangsgeheimnisse (API-Schlüssel, Signaturschlüssel) liegen ausschließlich in einer zugriffsbeschränkten Server-Konfiguration; dokumentierter Rotationsprozess.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Eingabe-/Änderungskontrolle

• Revisionssicheres Projektprotokoll: jede projektbezogene Aktion wird mit Nutzer, Zeitstempel und fortlaufender Nummer protokolliert; die Einträge sind über eine SHA-256-Hash-Kette verkettet.
• Je Datei wird eine SHA-256-Prüfsumme gespeichert; Freigaben signieren den konkreten Dateistand (Hash) mit.
• Dateibestand ist anfügend organisiert (neue Indizes statt Überschreiben); Historie bleibt erhalten.

2.2 Weitergabekontrolle

• Versand von Unterlagen erzeugt personenbezogene Zustell- und Abrufnachweise.
• E-Mails über Scaleway Transactional Email mit SPF/DKIM/DMARC.
• Einbettungen (Embeddings) und KI-Textverarbeitung (aktiv ab Paket „Pro“) erfolgen ausschließlich über die APIs von Scaleway, unter Einsatz von Modellen, die auf der EU-Infrastruktur dieses Unterauftragsverarbeiters betrieben werden. Eine Verarbeitung auf Drittsystemen außerhalb der definierten Unterauftragsverarbeiter findet nicht statt.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b/c DSGVO)

• Tägliche automatische Datenbank-Snapshots (Aufbewahrung 7 Tage); Wiederherstellungs-Drills (Restore-Tests) sind konzipiert und werden initial vor dem kommerziellen Start sowie danach regelmäßig durchgeführt.
• Objektspeicher mit Redundanz des Unterauftragsverarbeiters.
• Automatische Gesundheitsprüfung der Anwendung, Kapazitäts- und Fehlerüberwachung (ausschließlich via Sentry, EU-Region Frankfurt, ohne Projektinhalte/PII).
• Log-Rotation mit kurzer Aufbewahrung.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Automatisierte Testsuite (> 270 Tests) vor jedem Release.
• Änderungen ausschließlich über versionierte Quellcodeverwaltung; dokumentierte Deploy-Prozedur.
• Dokumentierter Prozess für Geheimnis-Rotation und Vorfallreaktion.
• Geplant: externer Penetrationstest vor kommerziellem Go-Live; Einführung von Software-Stücklisten (SBOM) und kontinuierliches Abhängigkeits-Scanning.

5. Unterauftragsverarbeiter

Die aktuellen Unterauftragsverarbeiter sind abschließend in Anlage 3 der AVV dokumentiert.

6. Organisatorisches & Business Continuity

• Ein-Personen-Betrieb (Stand heute): Zugriff auf Produktionssysteme im regulären Betrieb ausschließlich durch den Anbieter persönlich; Vier-Augen-Prozesse werden mit Unternehmenswachstum eingeführt.
• Notfallkonzept (Business Continuity): Zur Sicherstellung der Datenverfügbarkeit existiert ein dokumentierter Notfallplan. Eine namentlich benannte, vertraglich auf das Datengeheimnis verpflichtete Vertrauensperson verfügt über einen streng limitierten Notfall-Zugang (Break-Glass-Account), um Kunden den Export ihrer Daten zu ermöglichen.
• Meldeprozess für Datenschutzvorfälle: Prüfung und ggf. Meldung an die Aufsichtsbehörde binnen 72 h.

Weitere Unterlagen

Allgemeine Geschäftsbedingungen · Auftragsverarbeitungsvertrag · Datenschutzerklärung