Die folgenden technischen und organisatorischen Maßnahmen werden vom Auftragsverarbeiter gemäß Art. 32 DSGVO zum Schutz personenbezogener Daten umgesetzt. Diese TOMs sind Bestandteil des Auftragsverarbeitungsvertrags (AVV) für die SaaS-Plattform "Formsache".
1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
1.1 Zutrittskontrolle
Maßnahmen, die verhindern, dass Unbefugte Zutritt zu Datenverarbeitungsanlagen erhalten:
- Server werden in einem professionellen Rechenzentrum in Deutschland betrieben
- Das Rechenzentrum verfügt über Zutrittskontrollsysteme, Videoüberwachung und 24/7-Sicherheitspersonal
- Zutritt nur für autorisiertes Personal des Rechenzentrumsbetreibers
- Kein physischer Zugang des Auftragsverarbeiters zu den Servern erforderlich (verwalteter Hosting-Dienst)
1.2 Zugangskontrolle
Maßnahmen, die verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können:
- Authentifizierung über SSH-Keys für Serverzugang (kein Passwort-Login)
- Firewall-Konfiguration mit Whitelist-Prinzip
- Automatische Sperrung nach fehlgeschlagenen Login-Versuchen (Rate Limiting)
- Verschlüsselter Zugang zu allen Verwaltungssystemen (SSH, HTTPS)
- Regelmäßige Aktualisierung des Betriebssystems und der eingesetzten Software
- Intrusion Detection / Monitoring des Serverzugangs
1.3 Zugriffskontrolle
Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrem Zugriff unterliegenden Daten zugreifen können:
- Multi-Tenant-Architektur mit Row-Level Security (RLS): Auf Datenbankebene ist sichergestellt, dass jeder Mandant (Verein) nur auf seine eigenen Daten zugreifen kann
- Rollenbasiertes Berechtigungssystem (Admin, Editor, Viewer) innerhalb jedes Mandanten
- Technische Durchsetzung der Zugriffsbeschränkungen auf Datenbankebene (nicht nur Applikationsebene)
- Abteilungsbasierte Zugriffskontrolle für sensible Formulardaten
- Protokollierung aller sicherheitsrelevanten Zugriffe (Audit-Log)
1.4 Trennungskontrolle
Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden:
- Logische Mandantentrennung durch Row-Level Security (RLS) auf Datenbankebene
- Jeder API-Zugriff wird gegen den aktiven Mandanten-Kontext validiert
- Strikte Trennung von Produktions- und Entwicklungsumgebung
- Getrennte Speicherbereiche für Datei-Uploads je Mandant
- Download-Tokens sind mandantenspezifisch und zeitlich befristet
2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)
2.1 Weitergabekontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung, während des Transports oder der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können:
- TLS/SSL-Verschlüsselung: Alle Datenverbindungen zwischen Client und Server sind TLS-verschlüsselt (HTTPS)
- Verschlüsselte Datenbankverbindungen
- Verschlüsselte Speicherung sensibler Dokumente auf dem Server
- PDF-Dokumente werden nicht als E-Mail-Anhang versendet, sondern über zeitlich begrenzte, tokenbasierte Download-Links bereitgestellt
- Getrennte Download-Tokens für Einreicher und Vereinsmitarbeiter
- HSTS (HTTP Strict Transport Security) aktiviert
2.2 Eingabekontrolle
Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind:
- Audit-Logging aller relevanten Aktionen (Formulareinreichungen, Statusänderungen, Löschungen)
- Protokollierung von Login-Vorgängen und administrativen Aktionen
- Versionierung von Formularvorlagen
- Unveränderlichkeit eingereichter Formulardaten (nach Einreichung nicht durch den Einreicher editierbar)
3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)
3.1 Verfügbarkeitskontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind:
- Regelmäßige automatische Backups der Datenbank
- Redundante Speicherung der Datenbank
- Unterbrechungsfreie Stromversorgung (USV) und Notstromversorgung im Rechenzentrum
- Brandschutz- und Klimatisierungssysteme im Rechenzentrum
- Monitoring der Systemverfügbarkeit mit automatischer Alarmierung
- Dokumentierter Wiederherstellungsplan (Disaster Recovery)
- Geplante Wartungsarbeiten werden vorab angekündigt
3.2 Belastbarkeit
Maßnahmen zur Sicherstellung der Belastbarkeit der Systeme:
- Skalierbare Server-Infrastruktur
- Rate Limiting zum Schutz vor Überlastung und Missbrauch
- Automatische Überwachung der Systemauslastung
- Getrennte Verarbeitung von Hintergrundaufgaben (z. B. E-Mail-Versand, PDF-Generierung)
3.3 Rasche Wiederherstellbarkeit
Maßnahmen, die gewährleisten, dass die Verfügbarkeit der personenbezogenen Daten und der Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederhergestellt werden kann:
- Automatisierte Backup-Strategie mit regelmäßigen Wiederherstellungstests
- Dokumentierte Wiederherstellungsprozeduren
- Monitoring mit automatischer Benachrichtigung bei Ausfällen
- Ziel: Wiederherstellung innerhalb von 4 Stunden nach Erkennung eines Ausfalls
4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)
4.1 Datenschutz-Management
- Regelmäßige Überprüfung und Aktualisierung dieser TOMs (mindestens jährlich)
- Sensibilisierung und Schulung des Auftragsverarbeiters zu Datenschutz und IT-Sicherheit
- Dokumentation aller datenschutzrelevanten Prozesse
- Datenschutzfreundliche Voreinstellungen (Privacy by Design / Privacy by Default)
4.2 Incident-Response-Management
- Dokumentierter Prozess zur Erkennung und Behandlung von Sicherheitsvorfällen
- Meldekette für Datenschutzverletzungen (Benachrichtigung des Verantwortlichen innerhalb von 24 Stunden)
- Post-Incident-Analyse und Ableitung von Verbesserungsmaßnahmen
4.3 Auftragsverarbeitungskontrolle
- Sorgfältige Auswahl von Unterauftragsverarbeitern
- Abschluss von Auftragsverarbeitungsverträgen mit allen Unterauftragsverarbeitern
- Regelmäßige Überprüfung der Unterauftragsverarbeiter hinsichtlich der Einhaltung der Datenschutzanforderungen
5. Besondere Maßnahmen für die Plattform Formsache
5.1 Automatische Datenlöschung
- Eingereichte Formulardaten werden nach 60 Tagen automatisch und unwiderruflich gelöscht
- Die Plattform ist als Durchlaufsystem konzipiert — keine dauerhafte Datenarchivierung
- Gelöschte Daten werden auch aus Backups innerhalb des regulären Backup-Rotationszyklus entfernt
5.2 Authentifizierung
- Passwortlose Authentifizierung via Magic Links (E-Mail-basiert)
- Unterstützung von WebAuthn/Passkeys für erhöhte Sicherheit
- Session-basierte Authentifizierung mit begrenzter Gültigkeitsdauer (max. 7 Tage, Erneuerung nach 3 Tagen)
- Separate Authentifizierung für Plattform-Administration und Mandanten-Zugang
5.3 Mandantentrennung
- Row-Level Security (RLS) auf PostgreSQL-Datenbankebene als primärer Isolationsmechanismus
- Jede Datenbankabfrage wird automatisch auf den aktiven Mandanten eingeschränkt
- Getrennte Dateispeicherbereiche je Mandant
- API-Schlüssel sind mandantenspezifisch
5.4 Sichere Dokumentenbereitstellung
- PDF-Downloads über temporäre, tokenbasierte URLs
- Separate Tokens für Einreicher und Vereinsmitarbeiter mit unterschiedlichen Berechtigungen
- Zeitliche Begrenzung der Download-Tokens
- Verschlüsselte Speicherung sensibler Dokumente
6. Versionierung
| Version | Datum | Änderung |
|---|---|---|
| 1.0 | April 2026 | Erstversion |
Diese TOMs werden regelmäßig überprüft und bei Bedarf aktualisiert. Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage zur Verfügung gestellt.