Technische und organisatorische Maßnahmen (TOMs)

1. Zutrittskontrolle

Nutzung des professionellen Rechenzentrums der Open Telekom Cloud (Telekom Deutschland GmbH, deutsche Rechenzentren). Der physische Zugang zu den Rechenzentren ist auf autorisiertes Personal beschränkt; FEAZY selbst hat keinen unmittelbaren physischen Zugang zu den Serverräumen.

2. Zugangskontrolle

• Starke Authentifizierung für alle Nutzerkonten (mind. Passwort-Policy mit Komplexitätsanforderungen).
• Multi-Faktor-Authentifizierung (MFA) für alle administrativen und privilegierten Zugänge.
• Gehärtete Endgeräte gemäß BYOD-/Endgeräterichtlinie; automatische Bildschirmsperrung und Verschlüsselung.
• Einsatz von Virenschutz und Antimalware-Lösungen auf allen verwalteten Endgeräten und Servern.

3. Zugriffskontrolle

• Dokumentiertes Berechtigungskonzept nach dem Least-Privilege-Prinzip.
• Role-Based Access Control (RBAC) für alle Systeme und Datenbanken.
• Regelmäßige Berechtigungsreviews zur Überprüfung und Bereinigung von Zugriffsrechten.
• Protokollierung privilegierter Zugriffe.

4. Weitergabe-/Übertragungskontrolle

• Transportverschlüsselung mit TLS 1.2 oder höher (bevorzugt TLS 1.3) und HTTPS für alle Datenübertragungen.
• Verschlüsselung im Ruhezustand (at rest) mit AES-256 für alle gespeicherten personenbezogenen Daten.
• Keine Übermittlung personenbezogener Daten über unsichere Kanäle (z. B. unverschlüsselte E-Mail ohne besonderen Schutz).

5. Eingabekontrolle

• Audit-Logs für sicherheitsrelevante Ereignisse (Login, Zugriffsänderungen, Datenlöschungen).
• Log-Erfassung über Grafana Alloy, zentrale Auswertung in Grafana Cloud (EU-gehostet).
• Aufbewahrung der Logs: 14 Tage (enforced Retention).
• Zugang zu Logs ist auf autorisiertes Betriebspersonal beschränkt.

6. Verfügbarkeits-/Wiederherstellungskontrolle

• Verschlüsselte Backups nach dem Prinzip 7 tägliche, 4 wöchentliche und 3 monatliche Sicherungen (Aufbewahrung rund 90 Tage), gespeichert ausschließlich in der Open Telekom Cloud (EU).
• Dokumentierter Wiederherstellungsprozess; Backup-Wiederherstellungen werden regelmäßig getestet.
• Monitoring der Systemverfügbarkeit über Grafana Cloud (EU-gehostet).

7. Trennungskontrolle

• Logische Mandantentrennung: Kundendaten werden strikt voneinander getrennt verarbeitet und gespeichert.
• Getrennte Verarbeitung von Kunden-, Test- und Produktivdaten auf Datenbankebene.
• Produktions- und Entwicklungsumgebungen sind voneinander isoliert.

8. Datenschutz durch Technikgestaltung & Voreinstellungen

• Privacy by Design: Datenschutzanforderungen werden bereits bei der Systemarchitektur und Produktentwicklung berücksichtigt.
• Datenschutzfreundliche Voreinstellungen (Privacy by Default): Standardmäßig werden nur die für den jeweiligen Zweck notwendigen Daten verarbeitet.
• Datenminimierung: Erhebung und Verarbeitung nur der für den Zweck erforderlichen Daten.

9. Organisatorische/personelle Maßnahmen

• Verpflichtung aller Mitarbeitenden und eingesetzten Auftragnehmer auf Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b, Art. 29 und Art. 32 Abs. 4 DSGVO.
• Regelmäßige Datenschutz- und Awareness-Schulungen für alle Mitarbeitenden.
• Klare interne Zuständigkeiten und Meldewege für Datenschutzvorfälle.
• Dokumentierte Richtlinien (Clean Desk, BYOD, Wechseldatenträger, VPN etc.).

10. Kontrolle/Verbesserung

• Regelmäßige Reviews der TOMs, mindestens jährlich oder anlassbezogen bei wesentlichen Änderungen.
• Anpassung der Maßnahmen bei technischen oder organisatorischen Änderungen sowie bei neuen Bedrohungslagen.
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung gemäß Art. 32 Abs. 1 lit. d DSGVO.

Unter-Kontrollen / ergänzende Richtlinien

Die folgenden internen Richtlinien konkretisieren einzelne Kategorien dieser TOMs:

• BYOD-Richtlinie — Kategorie 3 (Zugriffskontrolle)
• Richtlinie Clean Desk & Bildschirmsperre — Kategorie 9 (Organisatorisch)
• Richtlinie Wechseldatenträger — Kategorie 4 (Weitergabe-/Übertragungskontrolle)
• Richtlinie Virenschutz & Antimalware — Kategorie 2 (Zugangskontrolle)
• Richtlinie Physische Datenübermittlung — Kategorie 4
• Richtlinie Firewall & Netzwerkschutz — Kategorie 2
• Richtlinie VPN & Remote-Arbeit — Kategorie 2/4
• Lasttest-Verfahren — Kategorie 6 (Verfügbarkeit)
• Richtlinie Datenträger-Inventar — Kategorie 4

Sicherstellung geeigneter TOMs bei Unterauftragsverarbeitern

Grundsatz

FEAZY setzt Unterauftragsverarbeiter ausschließlich ein, wenn diese geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO implementiert haben, die ein dem Risiko angemessenes Schutzniveau gewährleisten.

Die Maßnahmen müssen mindestens ein gleichwertiges Sicherheitsniveau zu den durch FEAZY implementierten Maßnahmen gewährleisten.

Sicherstellungsmechanismen

Die Gleichwertigkeit wird insbesondere sichergestellt durch:

• Abschluss von Auftragsverarbeitungsverträgen gemäß Art. 28 DSGVO
• Prüfung der implementierten Sicherheitsmaßnahmen vor Beauftragung
• Berücksichtigung einschlägiger Zertifizierungen (z. B. ISO 27001)
• Überprüfung der Standorte der Datenverarbeitung (EU/EWR)
• Regelmäßige Überprüfung öffentlich zugänglicher Sicherheitsnachweise

Vertragliche Absicherung

Mit sämtlichen Unterauftragsverarbeitern bestehen vertragliche Vereinbarungen, die:

• die Einhaltung der DSGVO verpflichtend vorsehen
• angemessene technische und organisatorische Maßnahmen vorschreiben
• Kontroll- und Informationsrechte sicherstellen
• Regelungen zur Drittlandverarbeitung enthalten

Dokumentation

Die Prüfung und Bewertung der Unterauftragsverarbeiter wird intern dokumentiert.

Auf Anfrage können geeignete Nachweise zur Verfügung gestellt werden, soweit keine überwiegenden Betriebs- oder Sicherheitsinteressen entgegenstehen.

Änderungshistorie