Technische und organisatorische Maßnahmen (TOM)

1. Organisation und Verantwortung

• Anbieter und Auftragsverarbeiter ist Software und Büroservice Christine Schremmer (Einzelunternehmen). Sie ist für Betrieb, Sicherheit und Datenschutz von SL-UP verantwortlich.
• Personen, die sie zur Verarbeitung einsetzt, sind schriftlich zur Vertraulichkeit verpflichtet und arbeiten nur nach ihrer Anweisung.
• Daten von Kunden werden nur für den Betrieb von SL-UP verwendet, nicht für Werbung und nicht zum Training von KI-Systemen.
• Ein Verzeichnis der Verarbeitungstätigkeiten wird geführt (Art. 30 Abs. 2 DSGVO).

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Zutrittskontrolle

• Kein eigener Serverraum. Die Server stehen in Rechenzentren der Hetzner Online GmbH in Deutschland; Zutrittsschutz und Überwachung stellt der Rechenzentrumsbetreiber sicher.
• Arbeitsgeräte des Anbieters sind verschlüsselt und durch Anmeldung gesichert.

2.2 Zugangskontrolle

• Persönliche Benutzerkonten; Passwörter werden nur mit einem anerkannten Verfahren nach dem Stand der Technik und nie im Klartext gespeichert.
• Passwortregeln mit Mindestlänge und Prüfung auf leicht zu erratende Muster.
• Zwei-Faktor-Anmeldung per Authenticator-App oder E-Mail-Code; Kunden können sie für ihre Nutzer verbindlich vorschreiben.
• Zeitweise Sperre nach wiederholten Fehlanmeldungen; Schutz von Anmeldung und öffentlichen Formularen vor automatisierten Zugriffen.
• Sitzungen laufen nach Inaktivität automatisch ab.
• Zugangslinks und Codes zum Zurücksetzen von Passwörtern werden nicht im Klartext gespeichert.
• Der Betreiberbereich ist über eine eigene Anmeldung mit zweitem Faktor geschützt.
• Administrativer Zugang zu den Servern nur für berechtigte Personen über schlüsselbasierte, abgesicherte Verbindungen.

2.3 Zugriffskontrolle

• Rollenmodell mit abgestuften Rechten (Administrator, Manager, Mitarbeitende); der Kunde vergibt die Rollen.
• Strikte Trennung der Daten verschiedener Kunden; jeder Zugriff wird auf den eigenen Kunden (Mandanten) beschränkt und durch Rollenprüfungen ergänzt.
• Krankheitsbezogene Angaben sehen nur die dafür vorgesehenen Rollen; andere Nutzer sehen nur eine neutrale Abwesenheit. In Kalender-Abonnements und Chat-Benachrichtigungen erscheinen sie stets nur als „abwesend“.
• Support-Zugriffe des Betreibers: nur bei Support-Anfrage oder Störung, zeitlich begrenzt, technisch nur lesend, im Protokoll des Mandanten und zusätzlich in einem vom Kunden nicht löschbaren Betreiberprotokoll festgehalten. Ändernde Betreiber-Eingriffe nur auf Weisung des Kunden oder zur Gefahrenabwehr (AVV § 6).

2.4 Trennungskontrolle

• Logische Trennung der Kundendaten in der Datenhaltung.
• Produktiv-, Test- und Vorschauumgebungen sind voneinander getrennt.

2.5 Pseudonymisierung und Datensparsamkeit

• IP-Adressen werden in Protokollen gekürzt gespeichert; Sitzungs- und Gerätekennungen pseudonymisiert.
• Push-Mitteilungen enthalten nur neutrale Texte ohne Namen, Datum oder Abwesenheitsart.
• Diagnosen sind in SL-UP nicht vorgesehen.

3. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

3.1 Weitergabekontrolle

• Alle Verbindungen zu SL-UP sind nach dem Stand der Technik verschlüsselt (HTTPS), auch die der Apps und der Programmierschnittstelle.
• Der Datenverkehr läuft über einen vorgeschalteten Schutzdienst (Cloudflare), der ihn zur Prüfung kurzzeitig entschlüsselt und verschlüsselt weiterleitet (siehe Anlage 1 zum AVV).
• Übermittlungen an Unterauftragsverarbeiter nur nach Anlage 1 zum AVV; Drittlandübermittlungen nur mit Garantien nach Art. 44 ff. DSGVO.
• Anbindungen an fremde Systeme (Kalender, Chat, Webhooks, Schnittstelle) richtet nur der Kunde ein; Webhook-Meldungen sind signiert, Zugangsschlüssel sind widerrufbar.
• Versand- und Sicherheitskontrolle: Der Mailserver legt von jeder ausgehenden E-Mail eine Kopie in einem Postfach des Betreibers ab; ein täglicher Löschlauf entfernt Kopien nach 30 Tagen automatisch. In Datensicherungen des Hosters können Kopien bis zu deren turnusmäßiger Überschreibung verbleiben. Das gilt auch für E-Mails mit Daten des Kunden; Zugriff nur Betreiber (AVV § 5 Abs. 1).

3.2 Eingabekontrolle

• Protokoll sicherheitsrelevanter Vorgänge (Anmeldungen, Rechte- und Benutzeränderungen, Exporte, Löschungen, Support-Zugriffe), unabhängig von Einstellungen des Kunden.
• Fachliches Änderungsprotokoll (Urlaub, Schichten, Zeiterfassung), vom Kunden zuschaltbar.
• Änderungshistorie für ausgewählte Arbeitszeit-, Abwesenheits- und Stammdaten; Passwörter und Zugangsschlüssel werden dabei nicht gespeichert. Ein Löschanspruch nach Art. 17 DSGVO entfernt die zugehörige Historie mit.
• Protokolle sind gegen nachträgliche Änderung geschützt; Passwörter, Zugangsschlüssel und vollständige Anfrageinhalte werden nicht protokolliert.
• Schutz von Eingaben gegen Manipulation und gängige Angriffsarten.

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

4.1 Verfügbarkeitskontrolle

• Laufende verschlüsselte Spiegelung der Datenbank an einen getrennten Speicherort in Deutschland.
• Mehrmals täglich verschlüsselte Datensicherungen auf getrennten Speichersystemen in Deutschland.
• Schutz vor Überlastungsangriffen durch einen spezialisierten Dienstleister.
• Überwachung der Erreichbarkeit von innen und außen mit Alarmierung.
• Angestrebte Verfügbarkeit nach dem Hauptvertrag (AGB § 7).

4.2 Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

• Die Wiederherstellung aus Sicherungen ist dokumentiert; die Lesbarkeit der Sicherungen wird automatisch und regelmäßig geprüft.
• Ein Notfallverfahren zum Wiederanlauf auf Ersatzservern in Deutschland ist dokumentiert und wurde geübt.

5. Überprüfung, Bewertung und Vorfallbehandlung (Art. 32 Abs. 1 lit. d DSGVO)

• Sicherheitsaktualisierungen werden zeitnah eingespielt; Änderungen an der Software werden vor der Auslieferung getestet und gegengeprüft.
• Regelmäßige Sicherheitsprüfungen der Anwendung; gefundene Schwachstellen werden nach Risiko priorisiert behoben.
• Schwachstellen können vertraulich gemeldet werden: Sicherheitslücke melden.
• Datenschutzverletzungen: Information betroffener Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis (AVV § 11). Bei Vorfällen, für die der Anbieter selbst Verantwortlicher ist, Meldung an den Hessischen Beauftragten für Datenschutz und Informationsfreiheit (Art. 33 DSGVO).
• Eine Vorlage für die Datenschutz-Folgenabschätzung des Kunden ist auf Anfrage verfügbar.
• Diese TOM werden regelmäßig und bei wesentlichen Änderungen überprüft.

6. Unterauftragsverarbeiter

Die Unterauftragsverarbeiter mit Sitz, Leistung, Ort der Verarbeitung und Garantie für Drittlandübermittlungen stehen in Anlage 1 zum Auftragsverarbeitungsvertrag. Mit allen dort in Teil A genannten Unterauftragsverarbeitern bestehen Verträge nach Art. 28 Abs. 4 DSGVO; Kunden können sie auf Anfrage an [email protected] einsehen.

7. Speicherfristen (Auszug)

Die Löschläufe finden regelmäßig, teils monatlich statt; die tatsächliche Löschung kann sich deshalb um bis zu einen Monat verschieben.

8. Besondere Maßnahmen für Gesundheitsdaten (§ 22 Abs. 2 BDSG)

• Zugriff auf krankheitsbezogene Angaben nur für die dafür vorgesehenen Rollen.
• Nachvollziehbarkeit von Eingabe, Änderung und Löschung über Protokolle.
• Verschlüsselte Übertragung und verschlüsselte externe Datensicherungen.
• Neutrale Darstellung in Kalender-Abonnements, Chat-Benachrichtigungen und Push-Mitteilungen.
• Automatische Löschung von Anhängen zu Abwesenheiten nach 24 Monaten.
• Hinweis an Kunden, keine Diagnosen zu speichern (AVV § 16 Abs. 2).

Eine ausführlichere Beschreibung der Maßnahmen stellen wir Kunden auf Anfrage vertraulich zur Verfügung.