Technische und organisatorische Maßnahmen (TOMs)

Stand: Mai 2026 · Anlage 1 zum Auftragsverarbeitungsvertrag (AVV Version 1.0)

---

1. Vertraulichkeit

1.1 Zutrittskontrolle

• Server in ISO 27001-zertifizierten Rechenzentren der Hetzner Online GmbH, Frankfurt am Main
• Zutritt nur für autorisiertes Personal nach Identitätsprüfung, Videoüberwachung, Zugangsprotokollierung

1.2 Zugangskontrolle

• Authentifizierung ausschließlich über E-Mail + Passwort (min. 8 Zeichen)
• Passwörter ausschließlich als Hash (bcrypt/Argon2id) gespeichert
• Session-Tokens serverseitig invalidiert (Logout, Inaktivität nach 24 h)
• Administrativer Zugang zur Infrastruktur nur über SSH mit Public-Key-Authentifizierung

1.3 Zugriffskontrolle

• Rollenbasiertes Berechtigungssystem (Agent, Team Lead, Org Admin) — Prinzip der geringsten Rechte
• Strikte Mandantentrennung auf Datenbankebene mittels PostgreSQL Row Level Security (RLS)
• Audit-Log über administrative Zugriffe (90 Tage Aufbewahrung)

1.4 Trennungskontrolle

• Logische Trennung aller Kundendaten durch Tenant-IDs in allen Tabellen
• Test- und Produktivumgebung physisch und logisch getrennt; Testumgebung nur mit synthetischen Daten

1.5 Pseudonymisierung

• IP-Adressen in Server-Logs werden vor der Speicherung um das letzte Oktett gekürzt (x.x.x.0)
• API-Zugangsdaten zu externen Diensten (Meta, Telegram, ERP) ausschließlich AES-256-GCM verschlüsselt

---

2. Integrität

2.1 Weitergabekontrolle

• TLS 1.3 (Mindeststandard TLS 1.2) für alle Datenübertragungen
• Webhook-Empfang von Meta und Telegram über signierte/verifizierte Endpunkte (HMAC)

2.2 Eingabekontrolle

• Protokollierung aller relevanten Schreibvorgänge mit Benutzer-ID und Zeitstempel
• Aufbewahrung der Logs mindestens 90 Tage

---

3. Verfügbarkeit und Belastbarkeit

3.1 Verfügbarkeitskontrolle

• Tägliche automatisierte Backups, Aufbewahrung 30 Tage in der EU
• Rate-Limiting auf Authentifizierungs-Endpoints (Schutz vor Brute-Force)
• DDoS-Schutz durch Hetzner-Rechenzentrum
• Kritische Sicherheitsupdates innerhalb von 7 Tagen nach CVE-Veröffentlichung

3.2 Wiederherstellbarkeit

• RTO: 24 h · RPO: 24 h
• Backup-Wiederherstellung wird mindestens jährlich getestet

---

4. Überprüfung und Evaluierung

4.1 Datenschutz-Management

• Verarbeitungsverzeichnis gemäß Art. 30 DSGVO wird geführt und jährlich geprüft
• Mitarbeiter auf Vertraulichkeit verpflichtet, jährliche Datenschutz-Schulung

4.2 Incident-Response

• Meldung von Datenpannen innerhalb von 48 h an den Auftraggeber (§ 10 AVV)

4.3 Privacy by Design / by Default

• Automatische Löschung: Webhook-Logs nach 30 Tagen, Stripe-Logs nach 90 Tagen
• Automatische Löschung aller Kundendaten 30 Tage nach Vertragsende

---

5. Verschlüsselung — technischer Nachweis

Algorithmus: AES-256-GCM (Node.js crypto-Modul)

Tabelle	Spalte	Inhalt
tenant_messaging_config	tg_bot_token_encrypted	Telegram Bot Token
tenant_messaging_config	wa_access_token_encrypted	WhatsApp Access Token
tenant_messaging_config	meta_app_secret_encrypted	Meta App Secret

Schlüssellänge: 256 Bit · IV: 16 Byte zufällig pro Vorgang · Auth-Tag: 16 Byte (GCM-Integritätsschutz)

---

Diese Seite ist Anlage 1 zum AVV. Änderungen werden im AVV-Onboarding kommuniziert.