Sicherheit & Compliance

Verschlüsselung

• Transport: TLS 1.3 für alle Datenübertragungen, HSTS erzwungen
• Speicherung: Verschlüsselte Datenträger (AES-256) im Rechenzentrum
• Backups: Verschlüsselte Sicherungen, getrennt vom Produktivsystem
• Zugangsdaten: Passwörter ausschließlich als Hash, Sitzungen mit begrenzter Gültigkeit

Netzwerksicherheit

• DDoS-Schutz des Rechenzentrumsbetreibers
• Ratenbegrenzung an der Anwendungsschnittstelle
• Mandantentrennung auf Datenbankebene, an jeder Abfrage durchgesetzt
• Ausgehende Verbindungen nur an geprüfte Ziele (Schutz vor SSRF)

Infrastruktur

• Betrieb in Rechenzentren, die nach ISO 27001 zertifiziert sind (Zertifizierung des Betreibers)
• Verfügbarkeitszusage von 99,9 % gemäß Service-Level-Vereinbarung
• Regelmäßige Aktualisierung von Betriebssystem und Anwendungsabhängigkeiten
• Container-Isolation der Dienste

Benutzer-Authentifizierung

• Starke Passwort-Richtlinien mit komplexen Anforderungen
• Multi-Faktor-Authentifizierung (2FA/MFA) verfügbar
• Single Sign-On (SSO) Integration mit SAML/OAuth
• Session-Management mit automatischem Timeout

Rollenbasierte Zugriffskontrolle

• Granulare Berechtigungen auf Projekt- und Funktionsebene
• Principle of Least Privilege - minimale notwendige Rechte
• Regelmäßige Überprüfung und Anpassung von Berechtigungen
• Audit-Trail für alle Berechtigungsänderungen

Administrative Kontrollen

• Getrennte Umgebungen für Entwicklung, Test und Produktion
• Änderungen am Produktivsystem laufen über einen nachvollziehbaren Freigabeweg
• Protokollierung administrativer Aktivitäten im Audit-Verlauf
• Berechtigungen im Mandanten jederzeit durch Ihre Administration einsehbar

Was wir für Ihre Prüfung bereitstellen

Für Ausschreibungen, Lieferantenprüfungen und Datenschutz-Folgenabschätzungen erhalten Sie auf Anfrage:

• Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO
• Übersicht der technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO
• Aktuelle Liste der Unterauftragsnehmer samt Verarbeitungsort
• Lösch- und Rückgabekonzept für das Vertragsende
• Ausgefüllte Sicherheitsfragebögen Ihres Hauses

Personal

• Vertraulichkeitsverpflichtung für alle Mitarbeitenden mit Datenzugriff
• Zugriff auf Produktivsysteme nur für einen benannten, kleinen Personenkreis
• Interne Regeln zum Umgang mit Kundendaten, verbindlich für alle Rollen

Störungen und Sicherheitsvorfälle

• Definierter Meldeweg mit benannten Verantwortlichen
• Meldung an betroffene Kunden gemäß Art. 33 DSGVO innerhalb der gesetzlichen Frist
• Automatische Überwachung von Verfügbarkeit und Fehlerraten mit Alarmierung
• Wiederherstellung aus Sicherungen wird geprüft, nicht nur eingerichtet

Unterauftragsnehmer

• Jeder eingesetzte Dienstleister ist in der Unterauftragsnehmerliste ausgewiesen
• Vertragliche Bindung mit denselben Datenschutzpflichten
• Die aktuelle Liste steht in der Datenschutzerklärung

Datenhoheit

• Ihre Daten bleiben vollständig in Ihrem Eigentum
• Keine Nutzung Ihrer Daten für eigene Zwecke
• Datenexport und -migration jederzeit möglich
• Sichere Datenlöschung nach Vertragsende

Standort und Jurisdiktion

• Hosting der Cloud-Variante ausschließlich in Deutschland
• Deutsches Datenschutzrecht anwendbar, Gerichtsstand in Deutschland
• Projektdaten verlassen die EU nicht. Einzige Ausnahme sind die optionalen KI-Funktionen: Wer sie einschaltet, überträgt die jeweils übergebenen Inhalte an den in der Datenschutzerklärung ausgewiesenen Anbieter. Die Funktionen lassen sich pro Mandant abschalten, und beim Betrieb im eigenen Rechenzentrum entfällt die Übertragung vollständig.
• EU-DSGVO konforme Datenverarbeitung

Backup und Wiederherstellung

• Automatische, verschlüsselte Sicherungen
• Wiederherstellung auf einen Zeitpunkt (Point-in-Time Recovery)
• Sicherungen getrennt vom Produktivsystem abgelegt
• Wiederherstellung wird regelmäßig geprüft