Technisch-Organisatorische Maßnahmen (TOM)

1. Zutrittskontrolle

Maßnahmen zur Verhinderung des unbefugten Zutritts zu Datenverarbeitungsanlagen

• Rechenzentrum (Hetzner): Die physische Infrastruktur der Plattform wird in zertifizierten Rechenzentren der Hetzner Online GmbH in Deutschland (Nürnberg, Falkenstein) betrieben. Hetzner gewährleistet Zutrittssicherung durch Zutrittskontrollsysteme, Sicherheitspersonal, Videoüberwachung und mehrstufige Zugangsauthentifizierung. Mitarbeiter von octoja haben keinen direkten physischen Zugang zu den Serverstandorten.
• Büroräume von octoja: Zugang zu octoja-Büroräumen ist auf autorisierte Mitarbeiter beschränkt; Besucherzugang nur in Begleitung.

2. Zugangskontrolle

Maßnahmen zur Verhinderung der unbefugten Nutzung von Datenverarbeitungssystemen

• Sichere Passwortrichtlinie für alle internen Systeme: Mindestlänge 12 Zeichen, Kombination aus Groß-/Kleinbuchstaben, Ziffern und Sonderzeichen
• Verpflichtende Multi-Faktor-Authentifizierung (MFA) für alle administrativen Zugänge zur Plattforminfrastruktur
• Automatische Sitzungstimeouts nach Inaktivität
• Verschlüsselte Übertragung aller Zugangsdaten (TLS 1.2 oder höher)
• Passwort-Hashing mit modernen Verfahren (bcrypt/Argon2); keine Klartextspeicherung von Passwörtern
• Nutzung eines zentralen Passwortmanagementsystems für interne Zugangsdaten

3. Zugriffskontrolle

Maßnahmen zur Sicherstellung, dass nur berechtigte Personen auf die Daten zugreifen können

• Rollenbasiertes Berechtigungskonzept (RBAC) auf Plattformebene: Trennung von Administratoren, Technikern und Lesezugriffen
• Mandantentrennung auf Datenbankebene: Daten verschiedener Reseller/MSPs sind logisch strikt voneinander getrennt
• Prinzip der minimalen Rechtevergabe (Least Privilege): Mitarbeiter erhalten nur die Berechtigungen, die für ihre konkrete Tätigkeit erforderlich sind
• Regelmäßige Überprüfung und Entzug nicht mehr benötigter Zugriffsrechte (mindestens halbjährlich)
• Vollständige Protokollierung aller administrativen Zugriffe auf Produktionssysteme (Audit Logs)
• Trennung von Entwicklungs-, Test- und Produktivumgebungen; kein Zugriff auf Produktivdaten in Testumgebungen ohne Anonymisierung

4. Trennungskontrolle

Maßnahmen zur getrennten Verarbeitung von Daten unterschiedlicher Zwecke

• Logische Mandantentrennung auf Datenbank- und Anwendungsebene: Daten verschiedener Auftraggeber (Distributoren/MSPs) können nicht gegenseitig eingesehen werden
• Getrennte Datenbankschemas oder Mandanten-IDs als Trennungsmechanismus
• Getrennte Verarbeitung von Produktiv- und Testdaten
• Protokoll- und Log-Daten werden getrennt von operativen Nutzdaten gespeichert

5. Pseudonymisierung und Verschlüsselung

Maßnahmen gemäß Art. 32 Abs. 1 lit. a DSGVO

• Transportverschlüsselung: Alle Datenübertragungen zwischen Client und Plattform erfolgen ausschließlich über TLS 1.2 oder höher (HTTPS). HTTP-Zugriffe werden automatisch auf HTTPS umgeleitet.
• Verschlüsselung gespeicherter Daten: Sensible Datenbankfelder (z. B. Authentifizierungstoken, API-Keys) werden verschlüsselt gespeichert.
• Backup-Verschlüsselung: Datenbank-Backups werden mit AES-256 verschlüsselt, bevor sie auf einen S3-kompatiblen Object Storage in Deutschland übertragen werden. Der Verschlüsselungs-Key verbleibt ausschließlich bei octoja.
• Pseudonymisierung: Wo technisch möglich und sinnvoll werden in Logs und Auswertungen pseudonymisierte Identifikatoren anstelle direkter personenbezogener Merkmale verwendet.

6. Verfügbarkeitskontrolle

Maßnahmen zum Schutz vor zufälliger oder vorsätzlicher Zerstörung oder Verlust

• Hochverfügbarkeit: Die zentrale Datenbank wird als redundanter Cluster mit automatischem Failover betrieben; bei Ausfall einzelner Systeme übernimmt ein Ersatzsystem ohne manuelle Intervention.
• Backups: Regelmäßige vollständige und inkrementelle Datenbanksicherungen sowie kontinuierliche Sicherung der Transaktionsprotokolle ermöglichen eine zeitpunktgenaue Wiederherstellung (Point-in-Time-Recovery). Alle Backups werden verschlüsselt und räumlich getrennt vom Primärstandort gespeichert.
• Wiederherstellungstests: Die Wiederherstellbarkeit der Backups wird quartalsweise durch dokumentierte Restore-Tests überprüft.
• Monitoring: Kontinuierliches 24/7-Monitoring der Plattformverfügbarkeit und kritischer Systemkomponenten mit automatischen Alerting-Mechanismen
• Incident Response: Definierter interner Prozess zur Reaktion auf Systemausfälle mit klar definierten Zuständigkeiten
• Updates und Patches: Regelmäßiges Einspielen von Sicherheitspatches für Betriebssysteme, Abhängigkeiten und Plattformkomponenten
• Notfallplan: Dokumentierter Business-Continuity-Plan für kritische Ausfallszenarien

7. Belastbarkeit der Systeme

Maßnahmen zur dauerhaften Belastbarkeit gemäß Art. 32 Abs. 1 lit. b DSGVO

• Skalierbare Cloud-Infrastruktur bei Hetzner ermöglicht Anpassung an Lastspitzen
• Load-Balancing für kritische Plattformkomponenten
• Regelmäßige Lasttests und Kapazitätsplanung
• Automatisches Restart-Management für ausgefallene Dienste

8. Weitergabekontrolle

Maßnahmen zur Sicherstellung, dass Daten bei elektronischer Übermittlung nicht unbefugt gelesen, kopiert oder verändert werden können

• Ausschließlich verschlüsselte Übertragungswege (TLS 1.2+) für alle externen Datenkommunikationen
• Keine unverschlüsselte Übertragung personenbezogener Daten per E-Mail; sensitive Kommunikation erfolgt über verschlüsselte Kanäle
• API-Kommunikation mit Drittanbieterdiensten (z. B. ThreatDown, Lywand, Microsoft 365) ausschließlich über gesicherte, authentifizierte Verbindungen (HTTPS/TLS, API-Key-Authentifizierung)
• Auslieferung statischer Plattforminhalte über Bunny CDN ausschließlich via HTTPS/TLS; im CDN-Cache werden keine personenbezogenen Nutzdaten gespeichert; Bunny CDN ist als EU-ansässiger Anbieter (Slowenien) DSGVO-konform
• Protokollierung von Datenweitergaben an Subauftragsverarbeiter
• Keine Weitergabe personenbezogener Daten an Dritte außerhalb des AVV ohne Weisung des Auftraggebers

9. Eingabekontrolle

Maßnahmen zur Protokollierung, ob Daten eingegeben, verändert oder gelöscht wurden

• Vollständige Audit-Logs für alle sicherheitsrelevanten Aktionen auf der Plattform (Anmeldungen, Rechteänderungen, Konfigurationsänderungen, Skriptausführungen)
• Protokollierung administrativer Aktionen mit Zeitstempel und Benutzer-ID
• Unveränderliche Log-Speicherung (Logs können nicht vom Nutzer gelöscht werden)
• Aufbewahrung von Audit-Logs für mindestens 90 Tage

10. Auftragskontrolle

Maßnahmen zur Sicherstellung, dass Daten nur gemäß den Weisungen des Auftraggebers verarbeitet werden

• Schriftlicher AVV mit allen Subauftragsverarbeitern gemäß Art. 28 DSGVO
• Regelmäßige Überprüfung der Subauftragsverarbeiter auf Einhaltung datenschutzrechtlicher Anforderungen
• Interne Schulungen der Mitarbeiter von octoja zu Datenschutz und Weisungsgebundenheit
• Dokumentierte Weisung des Auftraggebers als Voraussetzung für jede Datenverarbeitung außerhalb des regulären Plattformbetriebs

11. Organisatorische Maßnahmen

• Datenschutzbeauftragter: octoja unterliegt derzeit nicht der Pflicht zur Bestellung eines Datenschutzbeauftragten gemäß Art. 37 DSGVO i.V.m. § 38 BDSG. Die Bestellungspflicht wird regelmäßig, insbesondere bei Personalwachstum, neu bewertet. Ansprechpartner für alle Datenschutzanfragen: datenschutz@octoja.de
• Mitarbeiterschulung: Alle Mitarbeiter mit Zugang zu personenbezogenen Daten werden bei Aufnahme ihrer Tätigkeit und mindestens jährlich in Datenschutz und Informationssicherheit geschult
• Vertraulichkeitsverpflichtung: Alle Mitarbeiter sind schriftlich zur Vertraulichkeit verpflichtet
• Datenschutzrichtlinie: Interne Datenschutzrichtlinie regelt den Umgang mit personenbezogenen Daten im Unternehmen
• Vorfallmanagement: Dokumentierter Prozess zur Erkennung, Meldung und Bearbeitung von Datenschutzverletzungen

12. Überprüfung der Wirksamkeit der Maßnahmen

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung gemäß Art. 32 Abs. 1 lit. d DSGVO

• Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird regelmäßig überprüft, u. a. durch quartalsweise Restore-Tests gemäß Ziff. 6 sowie mindestens jährliche Penetrationstests.
• Ergebnisse der Überprüfungen werden dokumentiert; festgestellte Schwachstellen werden priorisiert behoben.
• Diese TOM werden mindestens jährlich sowie anlassbezogen bei wesentlichen Änderungen der Infrastruktur überprüft und aktualisiert.

13. Maßnahmen bei Einsatz von Drittanbieterdiensten

Die folgenden Drittanbieterdienste sind in die Plattform integriert oder werden für den Betrieb eingesetzt. Für diese Dienste gelten jeweils die eigenen TOM und Datenschutzdokumente der Anbieter, die durch octoja auf Angemessenheit geprüft werden: