Technische und organisatorische Maßnahmen

Stand: [privacy.effectiveDate.de]

Diese Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gilt für alle Systeme von [company.name] [company.legalForm] („Handl"): die Schnittstelle (API), die Website mit Anbieterportal, Partner-Konsole und Verwaltungskonsole, die App „Handl Orders" und die App „Handl". Sie ist Anlage 1 zum Auftragsverarbeitungsvertrag für Anbieter. Handl überprüft die Maßnahmen regelmäßig und passt sie dem Stand der Technik an; das Schutzniveau wird dabei nicht unterschritten.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

Handl betreibt keine eigenen Rechenzentren. Server, Datenbanken und Dateispeicher laufen bei Google Cloud (in der Europäischen Union), deren Rechenzentren nach ISO/IEC 27001 zertifiziert sind und über Zutrittskontrollen, Videoüberwachung und Sicherheitspersonal verfügen. Büroräume von Handl enthalten keine Server mit personenbezogenen Daten.

1.2 Zugangskontrolle

• Anbieter, Partner und Mitarbeitende von Handl melden sich über Firebase Authentication mit E-Mail-Adresse und Passwort an; Passwörter werden nur als Hash gespeichert.
• Kunden melden sich mit einem Einmal-Code an, der zehn Minuten gilt. Anforderungen von Codes sind je IP-Adresse und E-Mail-Adresse begrenzt.
• Partner greifen mit Schlüsseln auf die Schnittstelle zu. Geheime Schlüssel werden nur als SHA-256-Hash gespeichert und nur einmal angezeigt; sie können jederzeit widerrufen und ersetzt werden. Öffentliche Schlüssel, die in Apps ausgeliefert werden, erlauben nur das Lesen des Katalogs und die Kundenanmeldung.
• Ein ungültiger Schlüssel wird abgelehnt und nie wie ein anonymer Zugriff behandelt. Fehlversuche sind je IP-Adresse begrenzt.
• Vor folgenreichen Aktionen, etwa dem Schließen eines Kontos, ist eine Anmeldung erforderlich, die nicht länger als fünf Minuten zurückliegt.
• Abgemeldete oder entzogene Sitzungen der Konsolen werden serverseitig gesperrt.
• Administrative Zugänge zur Cloud-Infrastruktur sind auf namentlich benannte Personen beschränkt und mit Zwei-Faktor-Authentifizierung geschützt.

1.3 Zugriffskontrolle

• Jeder Zugriff wird serverseitig geprüft. Grundsatz ist „verweigern, sofern nicht ausdrücklich erlaubt": Jeder Endpunkt der Schnittstelle ist geschlossen, bis er einer Rolle, einem Partnerrecht (Scope) oder einem angemeldeten Kunden zugeordnet ist.
• Rollen: Verwaltung, Anbieter (mit den Teamrollen Inhaber, Leitung und Mitarbeitende), Partner, Kunde. Mitarbeitende eines Anbieters sehen nur Aufträge und Kalender, keine Beträge.
• Daten werden je Anbieter, Partner und Kunde getrennt abgefragt; ein Zugriff auf fremde Datensätze wird wie ein nicht vorhandener Datensatz beantwortet.
• Kunden erhalten nur ihre eigenen Bestellungen und Adressen; Partner nur Bestellungen ihrer App.

1.4 Trennungskontrolle

• Test- und Echtbetrieb sind getrennt: Die Testumgebung (Sandbox) nutzt eine eigene Datenbank und Testschlüssel; Zahlungen werden dort nur simuliert.
• Mandanten (Anbieter, Partner) sind logisch durch Zuordnung jedes Datensatzes getrennt.
• Entwicklung findet nicht mit Echtdaten statt.

1.5 Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Alle Verbindungen zu Website, Schnittstelle und Apps sind mit TLS verschlüsselt.
• Daten in Datenbanken, Dateispeicher und Sicherungen sind beim Cloud-Anbieter im Ruhezustand verschlüsselt.
• Webhooks an Partner und Anbieter werden mit einem geheimen Schlüssel signiert, damit der Empfänger ihre Herkunft prüfen kann.
• Kundensitzungen werden mit signierten Zugangsschlüsseln geführt; Zahlungskartendaten erreichen Handl nicht, sie werden direkt beim Zahlungsdienstleister erfasst.
• Gelöschte Kundenkonten werden anonymisiert; Bestellungen, die aus steuerlichen Gründen aufbewahrt werden müssen, behalten nur die gesetzlich erforderlichen Angaben.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Übertragung ausschließlich verschlüsselt (TLS).
• Abrufe externer Kalender und Zustellungen von Webhooks laufen über eine Prüfung, die Verbindungen zu internen oder privaten Netzadressen verhindert.
• Partner und Anbieter erhalten nur die Daten, die für die jeweilige Bestellung erforderlich sind.

2.2 Eingabekontrolle

• Jede Anfrage an die Schnittstelle wird mit Zeitpunkt, Endpunkt, Antwortcode und dem zugehörigen Partner protokolliert.
• Bestellungen speichern ihren Statusverlauf und Änderungen an Adresse oder Termin mit Zeitpunkt und Urheber (Kunde, Partner, Anbieter oder Verwaltung).
• Wer eine Bestellung angenommen, abgelehnt, erstattet oder zugewiesen hat, ist nachvollziehbar.
• Eingaben werden serverseitig geprüft; unzulässige Felder werden abgelehnt.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Betrieb auf einer verwalteten Cloud-Plattform mit automatischer Skalierung und mehreren Instanzen; geplante Aufgaben sind gegen doppelte Ausführung gesperrt.
• Tägliche automatische Sicherung der Datenbanken mit Wiederherstellung auf einen beliebigen Zeitpunkt innerhalb der Aufbewahrungsfrist der Sicherungen (sieben Tagen).
• Anfragen an die Schnittstelle sind je Partner und je Gerät begrenzt, um Überlastung zu verhindern.
• Wiederholbare Anfragen werden über Idempotenzschlüssel nur einmal ausgeführt.
• Fehlgeschlagene Webhook-Zustellungen und Auszahlungen werden automatisch erneut versucht.
• Ein Ausfall von E-Mail- oder Push-Diensten verhindert keine Bestellung.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Datenschutz-Management: Handl führt ein Verzeichnis der Verarbeitungstätigkeiten und überprüft es mindestens jährlich sowie bei jeder wesentlichen Änderung.
• Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): keine Analyse-, Tracking- oder Werbe-Cookies; Standortabfrage in der App nur auf ausdrückliche Anforderung und nur im Vordergrund; Push-Benachrichtigungen nur nach Einwilligung.
• Löschung: Ein täglicher automatischer Lauf löscht Daten nach Ablauf ihrer Fristen (u. a. Anmeldecodes, beendete Sitzungen, Anfrage- und Webhook-Protokolle nach 400 Tagen, abgelehnte Bewerbungen nach sechs Monaten). Geschlossene Anbieter- und Partnerkonten werden nach 30 Tagen bereinigt.
• Änderungen an der Software werden vor der Auslieferung automatisiert getestet (Unit- und Integrationstests) und geprüft.
• Sicherheitsvorfälle: Handl hat ein Verfahren zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen innerhalb von 72 Stunden (Art. 33 DSGVO) und zur Benachrichtigung Betroffener (Art. 34 DSGVO).
• Auftragskontrolle: Dienstleister werden nur nach Prüfung ihrer Garantien und mit einem Vertrag nach Art. 28 DSGVO eingesetzt (siehe Empfänger und Unterauftragsverarbeiter).
• Mitarbeitende sind auf die Vertraulichkeit verpflichtet und werden im Datenschutz unterwiesen; Zugänge werden beim Ausscheiden unverzüglich entzogen.