Technische und organisatorische Maßnahmen

Anlage 2 zum Auftragsverarbeitungsvertrag Technische und organisatorische Maßnahmen nach Art. 32 DSGVO Fassung 2026-08-01 · gültig ab 1. August 2026 Auftragsverarbeiter: HeWo Systems GbR, Elbchaussee 17, 22765 Hamburg Vorbemerkung HeWo wird als Software as a Service betrieben. Der Auftragsverarbeiter unterhält keine eigenen Rechenzentren. Datenbank, Authentifizierung und Dateispeicher werden bei Supabase betrieben, die Anwendung selbst bei Vercel. Die Maßnahmen zur physischen Sicherheit werden daher von diesen Unterauftragsverarbeitern erbracht und durch deren Zertifizierungen nachgewiesen; die Maßnahmen des Auftragsverarbeiters setzen auf dieser Ebene auf. 1. VERTRAULICHKEIT 1.1 Zutrittskontrolle Der Auftragsverarbeiter betreibt keine eigenen Serverräume. Der physische Zutritt zu den verarbeitenden Systemen wird durch die in Anlage 3 genannten Infrastrukturdienstleister sichergestellt, die hierfür anerkannte Sicherheitsstandards einhalten und entsprechende Testate vorhalten. Arbeitsplatzrechner, auf denen administrative Tätigkeiten ausgeführt werden, sind vollverschlüsselt, durch Kennwort und biometrische Merkmale gesichert und mit automatischer Bildschirmsperre konfiguriert. 1.2 Zugangskontrolle - Jede nutzende Person besitzt ein eigenes, personenbezogenes Konto. Sammelkonten sind nicht vorgesehen. - Kennwörter werden ausschließlich als Hashwert gespeichert; der Authentifizierungsdienst gibt Kennwörter zu keinem Zeitpunkt im Klartext aus. - Bei der Vergabe von Kennwörtern wird serverseitig eine Mindestlänge von zwölf Zeichen erzwungen. Die Prüfung erfolgt bei Registrierung und bei jeder Kennwortvergabe über eine Einladung. - Für Konten mit administrativen Rechten steht eine Zwei-Faktor-Authentifizierung per zeitbasiertem Einmalkennwort bereit. Administratoren, die sie nicht aktiviert haben, werden in der Anwendung dauerhaft darauf hingewiesen. - Anmeldeversuche sind mengenmäßig begrenzt. Die Begrenzung wird serverseitig in der Datenbank geführt und lässt sich clientseitig nicht umgehen. - Sitzungen werden über signierte, kurzlebige Token geführt, die serverseitig erneuert werden. Beim Abmelden werden lokale Daten des Geräts entfernt. - Einladungen neuer Beschäftigter und Kennwort-Rücksetzungen erfolgen über einmalig verwendbare, zeitlich befristete Verweise. 1.3 Zugriffskontrolle - Die Anwendung kennt ein abgestuftes Rollenmodell mit den Rollen Administrator, Büro und Monteur. Die Rolle bestimmt den Funktions- und Datenumfang. - Der Zugriff auf Datensätze wird zusätzlich unmittelbar in der Datenbank durch zeilenbasierte Zugriffsregeln (Row Level Security) durchgesetzt. Diese wirken unabhängig von der Anwendungsschicht: Ein Zugriff, der die Anwendung umgeht, erhält dieselben Einschränkungen. - Monteure sehen ausschließlich die ihnen zugewiesenen Aufträge sowie die eigenen Zeit- und Stammdaten. - Dateien wie Fotos, Dokumente und Belege liegen in nicht öffentlich lesbaren Speicherbereichen. Der Abruf erfolgt über kurzlebige, signierte Verweise. - Administrative Datenbankzugänge mit erweiterten Rechten sind auf eine abgegrenzte, im Quelltext nachvollziehbare Menge serverseitiger Endpunkte beschränkt und werden nie an Endgeräte ausgeliefert. Die Einhaltung wird bei jedem Build automatisiert geprüft. - Zugangsschlüssel werden ausschließlich als Umgebungsvariablen der Betriebsumgebung geführt und sind nicht Bestandteil des Quelltexts. 1.4 Trennungskontrolle - Die Anwendung ist mandantenfähig. Jeder Datensatz ist einem Betrieb zugeordnet; die Zuordnung wird durch die genannten zeilenbasierten Zugriffsregeln erzwungen. - Test- und Entwicklungsumgebungen sind von der Produktivumgebung getrennt und verwenden getrennte Zugangsdaten. - Für die Mandantentrennung bestehen automatisierte Prüfungen, die bei jeder Änderung am Quelltext ausgeführt werden. 1.5 Pseudonymisierung und Datensparsamkeit - Standortdaten werden ausschließlich als Einzelmessung nach ausdrücklicher Nutzerhandlung erhoben. Eine Hintergrundortung und eine fortlaufende Bewegungshistorie finden nicht statt. - Sprachaufnahmen werden nur für die Dauer der Auswertung übertragen und nicht dauerhaft gespeichert. - Das Sicherheitsprotokoll enthält Netzwerkadresse und Gerätekennung, weil beide zur Beweissicherung und zur Abwehr von Missbrauch benötigt werden. Es wird nach 90 Tagen automatisiert gelöscht und ist damit zeitlich eng begrenzt. - Beim Nachweis der Vertragsannahme werden Netzwerkadresse und Gerätekennung ausschließlich als Hashwert gespeichert, da hier die Zuordnung zur Person bereits über das handelnde Konto gesichert ist. - Technische Betriebsprotokolle sind so gestaltet, dass sie keine Inhaltsdaten wie Kundentexte oder Transkripte enthalten. 2. INTEGRITÄT 2.1 Weitergabekontrolle - Sämtliche Verbindungen zwischen Endgerät und Anwendung sowie zwischen Anwendung und Datenbank sind transportverschlüsselt nach dem Stand der Technik. - Daten ruhen im Dateispeicher und in der Datenbank verschlüsselt. - Die mobile Anwendung verschlüsselt Daten, die zur Offline-Nutzung auf dem Gerät vorgehalten werden, zusätzlich mit einem im gesicherten Schlüsselspeicher des Betriebssystems abgelegten Schlüssel. - Ein Versand personenbezogener Daten auf Datenträgern findet nicht statt. 2.2 Eingabekontrolle - Anlage, Änderung und Löschung fachlicher Datensätze sind mit Zeitpunkt und handelnder Person nachvollziehbar. - Sicherheitsrelevante Ereignisse — Anmeldung, Abmeldung, fehlgeschlagene Anmeldung, Registrierung — werden mit Zeitpunkt, Konto, Netzwerkadresse und Gerätekennung protokolliert und nach 90 Tagen automatisiert gelöscht. - Administrative Eingriffe über die Plattformverwaltung werden in einem gesonderten Protokoll erfasst, auf das ausschließlich der Betreiber Zugriff hat. - Gelöschte Aufträge und Rechnungen werden zunächst in einen Papierkorb überführt und erst nach Ablauf einer Frist endgültig entfernt, sodass irrtümliche Löschungen erkennbar und umkehrbar bleiben. 2.3 Auftragskontrolle - Unterauftragsverarbeiter werden nur nach vorheriger Prüfung eingesetzt und vertraglich auf entsprechende Pflichten verpflichtet. Die eingesetzten Stellen sind in Anlage 3 abschließend aufgeführt. - Weisungen des Verantwortlichen werden in Textform entgegengenommen und dokumentiert. - Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. 3. VERFÜGBARKEIT UND BELASTBARKEIT - Die Anwendung wird auf einer mehrfach ausgelegten Infrastruktur betrieben, die den Ausfall einzelner Instanzen ohne Datenverlust auffängt. - Die Datenbank wird durch den Infrastrukturdienstleister automatisiert gesichert. Die Sicherungen werden verschlüsselt und getrennt von den Produktivdaten aufbewahrt. - Die Wiederherstellbarkeit aus einer Sicherung wird regelmäßig, mindestens jährlich, erprobt und das Ergebnis dokumentiert. - Der Datenbankstand ist vollständig durch versionierte, im Versionsverwaltungs- system nachvollziehbare Migrationsskripte beschrieben und dadurch reproduzierbar. - Die mobile Anwendung ist offlinefähig. Erfasste Daten verbleiben verschlüsselt auf dem Gerät, bis sie übertragen werden konnten; offene Übertragungen werden nicht allein wegen Zeitablaufs verworfen. - Übertragungen sind gegen Doppelverarbeitung abgesichert, sodass ein Verbindungsabbruch nicht zu doppelten oder verlorenen Datensätzen führt. 4. VERFAHREN ZUR REGELMÄSSIGEN ÜBERPRÜFUNG 4.1 Datenschutz-Management - Es besteht ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. - Es besteht ein dokumentierter Prozess zur Behandlung von Verletzungen des Schutzes personenbezogener Daten mit festgelegten Zuständigkeiten und Fristen. - Die Löschung von Daten folgt festgelegten Aufbewahrungsregeln, die öffentlich beschrieben und technisch umgesetzt sind. - Beschäftigte und beauftragte Personen sind zur Vertraulichkeit verpflichtet. 4.2 Sichere Softwareentwicklung - Änderungen am Quelltext werden versionsverwaltet und vor Übernahme in die Produktivumgebung überprüft. - Bei jeder Änderung laufen automatisierte Prüfungen auf statische Sicherheitsmängel sowie auf versehentlich eingecheckte Zugangsdaten. - Abhängigkeiten werden automatisiert auf bekannte Schwachstellen geprüft. - Für sicherheitskritische Bereiche — Mandantentrennung, Rechteprüfung, Zugriffsschutz der Schnittstellen — bestehen automatisierte Tests, die bei jeder Änderung ausgeführt werden. - Sicherheitsaktualisierungen der eingesetzten Bibliotheken werden zeitnah eingespielt. 4.3 Vorfallserkennung - Auffällige Muster, insbesondere eine ungewöhnliche Häufung fehlgeschlagener Anmeldeversuche, lösen eine automatische Benachrichtigung der Betreiber aus. - Meldungen über Sicherheitsmängel können jederzeit an kontakt@hewosystems.com gerichtet werden und werden vorrangig bearbeitet. 4.4 Überprüfung dieser Anlage Diese Anlage wird mindestens jährlich sowie anlassbezogen bei wesentlichen Änderungen an der Verarbeitung überprüft und fortgeschrieben. Die jeweils geltende Fassung ist unter der in Anlage 3 genannten Adresse abrufbar.