Technische und organisatorische Maßnahmen (TOMs)

Anlage zum Auftragsverarbeitungsvertrag gemäß Art. 32 DSGVO. Stand: laufend aktualisiert.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

  • Zutrittskontrolle: Primäre Datenbankinfrastruktur in der EU-Region Irland mit physischer Zugangssicherung durch die eingesetzten Infrastrukturbetreiber.

  • Zugangskontrolle: Authentifizierung über individuelle Benutzerkonten, Passwort-Richtlinien sowie Unterstützung von Passkeys (WebAuthn/FIDO2). Kiosk-Zugang über PIN mit HMAC-signierten, kurzlebigen Sitzungstoken.

  • Zugriffskontrolle: Rollenbasiertes Berechtigungssystem (RBAC) und mandantenweise Datentrennung über Row Level Security (RLS) auf Datenbankebene. Zugriff streng nach Need-to-know.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

  • Weitergabekontrolle: Verschlüsselte Übertragung sämtlicher Daten über TLS/HTTPS.

  • Eingabekontrolle: Revisionssichere Protokollierung (Audit-Logs) aller Änderungen an sensiblen Daten (Verträge, Zeiten, Gehalt) inkl. Protokollierung lesender Zugriffe auf Personalakten.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

  • Verfügbarkeitskontrolle: Tägliche automatisierte Backups, redundante Speicherung sowie Schutzmaßnahmen gegen Datenverlust.

  • Rasche Wiederherstellbarkeit: Definierte Wiederherstellungsprozesse (Point-in-Time-Recovery) zur Wiederherstellung der Verfügbarkeit nach einem physischen oder technischen Zwischenfall.

4. Verschlüsselung und Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO)

  • Verschlüsselung der Daten bei der Übertragung (in transit) und im Ruhezustand (at rest) auf Infrastrukturebene.

  • API-Schlüssel und Secrets werden ausschließlich serverseitig in isolierten Edge Functions verwendet, niemals im Client.

5. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

  • Auftragskontrolle: Verarbeitung ausschließlich auf Weisung des Verantwortlichen.

  • Regelmäßige Evaluierung: Überprüfung der Wirksamkeit der Maßnahmen sowie automatisierte Sicherheits-Audits der Datenbank-Konfiguration (Security Advisor).