# Technische und organisatorische Maßnahmen (TOM)

gemäß Art. 32 DSGVO — Anlage zum Auftragsverarbeitungsvertrag

## 1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

### 1.1 Zutrittskontrolle

- Die Plattform wird auf Cloud-Servern in der EU betrieben. Der physische Zutritt wird durch den Hosting-Anbieter gewährleistet (ISO 27001 zertifizierte Rechenzentren).
- Es gibt keinen physischen Serverstandort beim Auftragsverarbeiter.

### 1.2 Zugangskontrolle

- Zugang zur Plattform erfolgt ausschließlich über HTTPS (TLS 1.2+).
- HSTS (HTTP Strict Transport Security) ist aktiviert mit `max-age=31536000`.
- Authentifizierung über E-Mail und Passwort mit bcrypt-Hashing (Kostenfaktor gemäß aktuellen Best Practices).
- Session-Management mit zufällig generierten Session-IDs, `HttpOnly`- und `SameSite=Lax`-Flags.
- Account-Sperrung nach 5 fehlgeschlagenen Anmeldeversuchen.
- Rate Limiting auf öffentliche Endpunkte (Anmeldung, Registrierung, Meldekanal).

### 1.3 Zugriffskontrolle

- Rollenbasierte Zugriffskontrolle (RBAC) mit den Rollen: Owner, Case Handler.
- Case Handler haben keinen Zugriff auf Einstellungen, Abrechnungen und Benutzerverwaltung.
- Zugangsschlüssel für Hinweisgeber werden mit bcrypt gehasht und nicht im Klartext gespeichert.

### 1.4 Trennungskontrolle

- Mandantentrennung: Jeder Kunde (Tenant) hat eine eigene Datenpartition. Alle Abfragen werden durch die Tenant-ID gefiltert.
- Logische Trennung der Daten auf Anwendungsebene.

### 1.5 Pseudonymisierung und Verschlüsselung

- Alle Meldungsinhalte, Nachrichten und Dateianhänge werden mit **AES-256-GCM** verschlüsselt gespeichert.
- Jede Meldung verwendet einen individuellen Verschlüsselungsschlüssel mit eigenem Initialisierungsvektor (IV).
- Zugangsschlüssel und Passwörter werden mit **bcrypt** gehasht.
- Optionale Ende-zu-Ende-Verschlüsselung: Der Verantwortliche kann einen öffentlichen Schlüssel hinterlegen, sodass Meldungsinhalte auch für den Auftragsverarbeiter nicht einsehbar sind.

## 2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

### 2.1 Weitergabekontrolle

- Datenübertragung ausschließlich über HTTPS/TLS.
- Content-Security-Policy (CSP) Header aktiv: `default-src 'self'`.
- Weitere Security-Header: X-Content-Type-Options, X-Frame-Options (DENY), X-XSS-Protection, Referrer-Policy, Permissions-Policy.

### 2.2 Eingabekontrolle

- Unveränderlicher Audit-Trail für alle Statusänderungen an Meldungen (Zeitstempel, Aktion, Benutzer).
- Audit-Logs können nicht nachträglich verändert oder gelöscht werden.
- Alle administrativen Aktionen werden protokolliert.

## 3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

### 3.1 Verfügbarkeitskontrolle

- Angestrebte Verfügbarkeit: 99,5 % im Jahresdurchschnitt.
- Automatisierte Backups der Datenbank.
- Geplante Wartungsfenster werden vorab angekündigt.

### 3.2 Wiederherstellbarkeit

- Regelmäßige Datenbank-Backups ermöglichen die Wiederherstellung im Fehlerfall.
- Verschlüsselte Datenspeicherung gewährleistet auch bei Backup-Zugriff die Vertraulichkeit.

## 4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

### 4.1 Datenschutz-Management

- Regelmäßige Überprüfung und Aktualisierung der TOM.
- Datenschutz-Folgenabschätzungen bei wesentlichen Änderungen der Verarbeitung.

### 4.2 Incident-Response

- Definierter Prozess zur Meldung von Datenschutzverletzungen (Meldung an Verantwortlichen innerhalb von 24 Stunden).
- Dokumentation und Nachbereitung von Sicherheitsvorfällen.

### 4.3 Auftragsverarbeitungskontrolle

- Sorgfältige Auswahl von Unterauftragsverarbeitern.
- Vertragliche Verpflichtung der Unterauftragsverarbeiter auf mindestens gleichwertiges Datenschutzniveau.
- Regelmäßige Überprüfung der Unterauftragsverarbeiter.

## 5. Mitarbeiterschulung

- Alle Mitarbeiter mit Zugang zu personenbezogenen Daten sind zur Vertraulichkeit verpflichtet.
- Regelmäßige Sensibilisierung für Datenschutz- und Informationssicherheitsthemen.

*Stand: April 2026*