Technische und organisatorische Maßnahmen (TOM)

1. Zutrittskontrolle

Maßnahmen zur Verhinderung des unbefugten Zutritts zu Datenverarbeitungsanlagen:

• Rechenzentrum: Die physische Infrastruktur der Plattform wird in zertifizierten Rechenzentren der Hetzner Online GmbH in Deutschland, an den Standorten Nürnberg und Falkenstein, betrieben. Hetzner gewährleistet die Zutrittssicherung durch Zutrittskontrollsysteme, Sicherheitspersonal, Videoüberwachung und mehrstufige Zugangsauthentifizierung. Mitarbeiter von octoja haben keinen direkten physischen Zugang zu den Serverstandorten.
• Büroräume: Der Zugang zu den Büroräumen von octoja ist auf autorisierte Mitarbeiter beschränkt. Besucher erhalten nur in Begleitung Zugang.

2. Zugangskontrolle

Maßnahmen zur Verhinderung der unbefugten Nutzung von Datenverarbeitungssystemen:

• Sichere Passwortrichtlinie für alle internen Systeme: Mindestlänge von zwölf Zeichen sowie eine Kombination aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen.
• Verpflichtende Multi-Faktor-Authentifizierung (MFA) für alle administrativen Zugänge zur Plattforminfrastruktur.
• Automatische Sitzungstimeouts nach Inaktivität.
• Verschlüsselte Übertragung aller Zugangsdaten mittels TLS 1.2 oder höher.
• Passwort-Hashing mit modernen Verfahren wie bcrypt oder Argon2; keine Klartextspeicherung von Passwörtern.
• Nutzung eines zentralen Passwortmanagementsystems für interne Zugangsdaten.

3. Zugriffskontrolle

Maßnahmen zur Sicherstellung, dass nur berechtigte Personen auf die Daten zugreifen können:

• Rollenbasiertes Berechtigungskonzept (RBAC) auf Plattformebene mit Trennung von Administratoren, Technikern und Lesezugriffen.
• Mandantentrennung auf Datenbankebene: Daten verschiedener Reseller und MSPs sind logisch strikt voneinander getrennt.
• Prinzip der minimalen Rechtevergabe (Least Privilege): Mitarbeiter erhalten nur die Berechtigungen, die für ihre konkrete Tätigkeit erforderlich sind.
• Regelmäßige, mindestens halbjährliche Überprüfung der Zugriffsrechte und Entzug nicht mehr benötigter Berechtigungen.
• Vollständige Protokollierung aller administrativen Zugriffe auf Produktionssysteme durch Audit-Logs.
• Trennung von Entwicklungs-, Test- und Produktivumgebungen; kein Zugriff auf Produktivdaten in Testumgebungen ohne Anonymisierung.

4. Trennungskontrolle

Maßnahmen zur getrennten Verarbeitung von Daten unterschiedlicher Zwecke:

• Logische Mandantentrennung auf Datenbank- und Anwendungsebene: Daten verschiedener Auftraggeber, insbesondere Distributoren und MSPs, können nicht gegenseitig eingesehen werden.
• Verwendung getrennter Datenbankschemas oder Mandanten-IDs als Trennungsmechanismus.
• Getrennte Verarbeitung von Produktiv- und Testdaten.
• Getrennte Speicherung von Protokoll- und Log-Daten sowie operativen Nutzdaten.

5. Pseudonymisierung und Verschlüsselung

Maßnahmen gemäß Art. 32 Abs. 1 lit. a DSGVO:

• Transportverschlüsselung: Alle Datenübertragungen zwischen Client und Plattform erfolgen ausschließlich über TLS 1.2 oder höher (HTTPS). HTTP-Zugriffe werden automatisch auf HTTPS umgeleitet.
• Verschlüsselung gespeicherter Daten: Sensible Datenbankfelder, beispielsweise Authentifizierungstoken und API-Keys, werden verschlüsselt gespeichert.
• Backup-Verschlüsselung: Datenbank-Backups werden mit age verschlüsselt, bevor sie auf einen S3-kompatiblen Object Storage in Deutschland übertragen werden. Der Verschlüsselungsschlüssel verbleibt ausschließlich bei octoja.
• Pseudonymisierung: Wo technisch möglich und sinnvoll, werden in Logs und Auswertungen pseudonymisierte Identifikatoren anstelle direkter personenbezogener Merkmale verwendet.

6. Verfügbarkeitskontrolle

Maßnahmen zum Schutz vor zufälliger oder vorsätzlicher Zerstörung oder Verlust:

• Hochverfügbarkeit: Die zentrale Datenbank wird als redundanter Cluster mit automatischem Failover betrieben. Bei Ausfall einzelner Systeme übernimmt ein Ersatzsystem ohne manuelle Intervention.
• Backups: Regelmäßige vollständige Datenbanksicherungen. Alle Backups werden verschlüsselt und räumlich getrennt vom Primärstandort gespeichert.
• Wiederherstellungstests: Die Wiederherstellbarkeit der Backups wird quartalsweise durch dokumentierte Restore-Tests überprüft.
• Monitoring: Kontinuierliches 24/7-Monitoring der Plattformverfügbarkeit und kritischer Systemkomponenten mit automatischen Alarmierungsmechanismen.
• Incident Response: Definierter interner Prozess zur Reaktion auf Systemausfälle mit klar festgelegten Zuständigkeiten.
• Updates und Patches: Regelmäßiges Einspielen von Sicherheitspatches für Betriebssysteme, Abhängigkeiten und Plattformkomponenten.
• Notfallplan: Dokumentierter Business-Continuity-Plan für kritische Ausfallszenarien.

7. Belastbarkeit der Systeme

Maßnahmen zur dauerhaften Belastbarkeit gemäß Art. 32 Abs. 1 lit. b DSGVO:

• Skalierbare Cloud-Infrastruktur bei Hetzner zur Anpassung an Lastspitzen.
• Load-Balancing für kritische Plattformkomponenten.
• Regelmäßige Lasttests und Kapazitätsplanung.
• Automatisches Restart-Management für ausgefallene Dienste.

8. Weitergabekontrolle

Maßnahmen zur Sicherstellung, dass Daten bei elektronischer Übermittlung nicht unbefugt gelesen, kopiert oder verändert werden können:

• Ausschließlich verschlüsselte Übertragungswege mittels TLS 1.2 oder höher für alle externen Datenkommunikationen.
• Keine unverschlüsselte Übertragung personenbezogener Daten per E-Mail; sensible Kommunikation erfolgt über verschlüsselte Kanäle.
• API-Kommunikation mit Drittanbieterdiensten, beispielsweise ThreatDown, Lywand und Microsoft 365, ausschließlich über gesicherte, authentifizierte Verbindungen mittels HTTPS/TLS und API-Key-Authentifizierung.
• Auslieferung statischer Plattforminhalte über Bunny CDN ausschließlich mittels HTTPS/TLS. Im CDN-Cache werden keine personenbezogenen Nutzdaten gespeichert. Bunny CDN ist als EU-ansässiger Anbieter in Slowenien DSGVO-konform.
• Protokollierung von Datenweitergaben an Subauftragsverarbeiter.
• Keine Weitergabe personenbezogener Daten an Dritte außerhalb der AV ohne Weisung des Auftraggebers.

9. Eingabekontrolle

Maßnahmen zur Protokollierung, ob Daten eingegeben, verändert oder gelöscht wurden:

• Vollständige Audit-Logs für alle sicherheitsrelevanten Aktionen auf der Plattform, insbesondere Anmeldungen, Rechteänderungen, Konfigurationsänderungen und Skriptausführungen.
• Protokollierung administrativer Aktionen mit Zeitstempel und Benutzer-ID.
• Unveränderliche Log-Speicherung; Logs können nicht vom Nutzer gelöscht werden.
• Aufbewahrung von Audit-Logs für mindestens 90 Tage.

10. Auftragskontrolle

Maßnahmen zur Sicherstellung, dass Daten nur gemäß den Weisungen des Auftraggebers verarbeitet werden:

• Schriftliche Auftragsverarbeitungsvereinbarungen mit allen Subauftragsverarbeitern gemäß Art. 28 DSGVO.
• Regelmäßige Überprüfung der Subauftragsverarbeiter auf Einhaltung datenschutzrechtlicher Anforderungen.
• Interne Schulungen der Mitarbeiter von octoja zu Datenschutz und Weisungsgebundenheit.
• Dokumentierte Weisung des Auftraggebers als Voraussetzung für jede Datenverarbeitung außerhalb des regulären Plattformbetriebs.

11. Organisatorische Maßnahmen

• Datenschutzbeauftragter: octoja unterliegt derzeit nicht der Pflicht zur Bestellung eines Datenschutzbeauftragten gemäß Art. 37 DSGVO in Verbindung mit § 38 BDSG. Die Bestellungspflicht wird regelmäßig, insbesondere bei Personalwachstum, neu bewertet. Ansprechpartner für alle Datenschutzanfragen: datenschutz@octoja.de.
• Mitarbeiterschulung: Alle Mitarbeiter mit Zugang zu personenbezogenen Daten werden bei Aufnahme ihrer Tätigkeit und mindestens jährlich in Datenschutz und Informationssicherheit geschult.
• Vertraulichkeitsverpflichtung: Alle Mitarbeiter sind schriftlich zur Vertraulichkeit verpflichtet.
• Datenschutzrichtlinie: Eine interne Datenschutzrichtlinie regelt den Umgang mit personenbezogenen Daten im Unternehmen.
• Vorfallmanagement: Dokumentierter Prozess zur Erkennung, Meldung und Bearbeitung von Datenschutzverletzungen.

12. Überprüfung der Wirksamkeit der Maßnahmen

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung gemäß Art. 32 Abs. 1 lit. d DSGVO:

• Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird regelmäßig überprüft, unter anderem durch quartalsweise Restore-Tests gemäß Ziffer 6 sowie mindestens jährliche Penetrationstests.
• Die Ergebnisse der Überprüfungen werden dokumentiert. Festgestellte Schwachstellen werden priorisiert behoben.
• Diese TOM werden mindestens jährlich sowie anlassbezogen bei wesentlichen Änderungen der Infrastruktur überprüft und aktualisiert.
• Für Anpassungen gilt die in der Einleitung festgelegte Regelung zur Weiterentwicklung der Maßnahmen.

13. Maßnahmen bei Einsatz von Drittanbieterdiensten

Die folgenden Drittanbieterdienste sind in die Plattform integriert oder werden für deren Betrieb und den Kundensupport eingesetzt. Die jeweiligen technischen und organisatorischen Maßnahmen sowie Datenschutzdokumente der Anbieter werden durch octoja auf Angemessenheit geprüft.

Die Liste der im Rahmen dieser AV genehmigten Subauftragsverarbeiter ergibt sich aus § 5 der AV.