Vorlage – vom Anwalt zu prüfen. Dieser Text ist ein Entwurf und kein geprüfter oder verbindlicher Rechtstext. Er wird erst gültig, wenn der Betreiber ihn nach rechtlicher Prüfung freigibt.
Noch nicht ausgefüllt: {Hosting-Anbieter}, {Hosting-Standort}, {Backup-Anbieter}, {Sicherungsaufbewahrung}, {Verschlüsselung-ruhender-Daten}, {Pentest-Stand}
Anlage 1 zum AVV: Technisch-organisatorische Maßnahmen (TOM)
[Betreiber und Anwalt: Maßnahmen prüfen, Platzhalter füllen und nur eintragen, was tatsächlich gilt.]
Die folgenden Angaben beschreiben, was die Software technisch umsetzt. Maßnahmen des Rechenzentrums und des Betriebs stehen in den Zeilen mit Platzhaltern.
| Bereich | Maßnahme |
|---|---|
| Zutrittskontrolle | Betrieb im Rechenzentrum von {Hosting-Anbieter}, Standort {Hosting-Standort}. |
| Zugangskontrolle | Anmeldung mit Benutzername und Passwort (Mindestlänge 10 Zeichen mit Buchstaben und Ziffern); Passwörter nur als Hash mit Salz (PBKDF2); Sperre nach Fehlversuchen; Drosselung je Absenderadresse; Zwei-Faktor-Anmeldung (Authenticator-App) einrichtbar; Sitzungen laufen nach 12 Stunden ohne Nutzung ab. |
| Zugriffskontrolle | Rollen (Administrator, Verwaltung, Servicetechniker) mit einzeln vergebbaren Rechten; Prüfung der Rechte auf dem Server bei jedem Zugriff; Änderungshistorie. |
| Trennungskontrolle | Je Mandant eine eigene Datenbank und ein eigener Datenordner; der Mandant ergibt sich nur aus der Adresse; Anmeldungen eines Mandanten gelten bei keinem anderen. |
| Weitergabekontrolle | Übertragung verschlüsselt (HTTPS); Export nur an angemeldete berechtigte Benutzer. |
| Eingabekontrolle | Änderungshistorie (wer, wann, was) für Belege, Stammdaten und Einstellungen. |
| Verfügbarkeitskontrolle | Tägliche automatische Datenbanksicherung mit Aufbewahrung; Vollsicherung; Sicherung der Mandanten durch den Betreiber nach {Backup-Anbieter}; Aufbewahrung {Sicherungsaufbewahrung}. |
| Verschlüsselung ruhender Daten | {Verschlüsselung-ruhender-Daten} |
| Löschkonzept | Kontolöschung mit Frist (30 Tage) und doppelter Bestätigung; Löschlauf mit Löschprotokoll ohne Geschäftsdaten. |
| Auftragskontrolle | Zugriff des Betreibers auf Mandantendaten: nur über den Support-Zugang mit Freigabe des Administrators des Mandanten (1 bis 24 Stunden, Umfang „lesen“ oder „lesen und schreiben“, jederzeit widerrufbar, danach automatisch beendet; kein Dauerzugang). Jede Handlung steht mit dem Kennzeichen „Support“ in der Änderungshistorie des Mandanten und in der Plattform-Protokollierung; Benutzerverwaltung, Export, Sicherungen und Zugangsdaten bleiben dem Support verschlossen. [Anwalt: Wortlaut und Rechtsgrundlage prüfen] |
| Überprüfung | Automatisierte Prüfungen der Mandantentrennung (Teil der Programmprüfungen); Penetrationstest: {Pentest-Stand}. |