Technisch-organisatorische Maßnahmen (TOMs)

1. Vertraulichkeit

1.1 Zutrittskontrolle

• Serverinfrastruktur wird von spezialisierten Rechenzentren betrieben (Supabase, Vercel)

• Rechenzentren verfügen über physische Zugangskontrollen (Zutrittskarten, Videoüberwachung, Sicherheitspersonal)

• Kein physischer Zugang zu Servern durch den Anbieter erforderlich

1.2 Zugangskontrolle

• Zugang zur Plattform nur mit individuellem Benutzerkonto (E-Mail/Passwort)

• Passwörter werden mittels bcrypt (Supabase Auth) gehasht

• Der Anbieter setzt technische Maßnahmen zur Absicherung administrativer Zugänge ein

• Administrativer Zugang beschränkt auf autorisierte Mitarbeiter des Anbieters

1.3 Zugriffskontrolle

• Rollenbasiertes Berechtigungskonzept (Admin, Abonnent, Nutzer)

• Mandantentrennung durch Row Level Security (RLS) auf Datenbankebene

• Abonnenten haben ausschließlich Zugriff auf eigene Daten

• Prinzip der minimalen Rechte (Least Privilege) für alle Zugriffsebenen

1.4 Trennungskontrolle

• Logische Trennung der Daten verschiedener Abonnenten

• Separate Datenbankbereiche je Abonnent (Multi-Tenant-Architektur mit RLS)

• Nutzungsstatistiken werden in aggregierter Form gespeichert

2. Integrität

2.1 Weitergabekontrolle

• Datenübertragung erfolgt ausschließlich über TLS 1.2 oder höher

• Veraltete Protokolle (TLS 1.0/1.1, SSL) sind deaktiviert

• HTTPS ist für alle Endpunkte erzwungen (HSTS aktiviert)

• Keine unverschlüsselte Übertragung personenbezogener Daten

2.2 Speicherverschlüsselung (Encryption at Rest)

• Personenbezogene Daten werden auf Datenbankebene mit AES-256 verschlüsselt gespeichert (Encryption at rest, bereitgestellt durch Supabase)

• Backups sind ebenfalls verschlüsselt

• Verschlüsselungsschlüssel werden getrennt von den verschlüsselten Daten verwaltet

2.3 Eingabekontrolle

• Protokollierung von Änderungen an Inhalten mit Zeitstempel und Benutzerkennung

• Nachvollziehbarkeit von Bearbeitungen durch Audit-Trail

• Alle Zugriffe auf personenbezogene Daten werden mit Zeitstempel, Benutzerkennung und durchgeführter Aktion protokolliert

• Administrative Aktionen (Benutzerverwaltung, Konfiguration) werden gesondert protokolliert

• Logs werden für mindestens 90 Tage aufbewahrt und vor unbefugter Änderung geschützt

2.4 Schnittstellensicherheit (API/Webhooks)

• API-Zugriffe erfordern Authentifizierung (Supabase Auth Token)

• Rate Limiting ist für alle öffentlichen Endpunkte aktiviert

• Eingehende Webhooks werden mittels Signaturen verifiziert

• CORS-Richtlinien beschränken den Zugriff auf autorisierte Domains

• Alle API-Eingaben werden server-seitig validiert

3. Verfügbarkeit und Belastbarkeit

3.1 Verfügbarkeitskontrolle

• Hosting bei professionellen Cloud-Anbietern mit hoher Verfügbarkeit (Vercel, Supabase)

• Redundante Datenhaltung durch Cloud-Infrastruktur

• DDoS-Schutz durch Vercel Edge Network

• Automatische Skalierung bei erhöhter Last

3.2 Backup und Wiederherstellung

• Supabase führt tägliche automatische Backups der Datenbank durch

• Backups werden für mindestens sieben (7) Tage vorgehalten

• Speicherort der Backups: innerhalb der EU (Frankfurt)

• Recovery Point Objective (RPO): maximal 24 Stunden

• Recovery Time Objective (RTO): maximal 4 Stunden

• Die Wiederherstellbarkeit wird quartalsweise getestet und dokumentiert

4. Verfahren zur regelmäßigen Überprüfung

4.1 Datenschutz-Management

• Regelmäßige Überprüfung der Sicherheitsmaßnahmen (mindestens jährlich)

• Anpassung der TOMs bei Bedarf und nach Stand der Technik

• Dokumentation aller Änderungen in der Versionshistorie

4.2 Incident-Response-Management

• Dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen

• Unverzügliche Information des Verantwortlichen bei Datenschutzverletzungen (innerhalb von 24 Stunden)

• Nachbereitung und Dokumentation aller Vorfälle

4.3 Auftragsverarbeiter-Management

• Sorgfältige Auswahl von Unterauftragsverarbeitern nach Datenschutzkriterien

• Vertragliche Verpflichtung auf gleichwertige Schutzmaßnahmen

• Regelmäßige Überprüfung der Unterauftragsverarbeiter

4.4 Schwachstellenmanagement

• Sicherheitsupdates der eingesetzten Frameworks und Bibliotheken werden regelmäßig geprüft (npm audit, Dependabot)

• Kritische Sicherheitsupdates werden innerhalb von 48 Stunden eingespielt

• Regelmäßige Dependency-Audits werden mindestens monatlich durchgeführt

• Der Anbieter verfolgt Sicherheitshinweise der eingesetzten Dienste (Supabase, Vercel, Next.js)

4.5 Schulung und Sensibilisierung

• Alle Mitarbeiter des Anbieters, die Zugang zu personenbezogenen Daten haben, werden bei Einstellung und danach jährlich zum Datenschutz geschult

• Die Schulung umfasst insbesondere:

  • Grundlagen des Datenschutzrechts

  • Erkennen von Datenschutzverletzungen

  • Sicherer Umgang mit Zugangsdaten

  • Meldewege bei Vorfällen

• Die Teilnahme wird dokumentiert

5. Eingesetzte Infrastruktur

Weitere Unterauftragsverarbeiter sind unter doctrend.de/subunternehmer dokumentiert.

6. Änderungshistorie

Hinweis: Diese TOMs werden regelmäßig überprüft und dem Stand der Technik angepasst. Die jeweils aktuelle Fassung ist Bestandteil des AVV gemäß § 6 Abs. 3.