Technische und Organisatorische Maßnahmen (TOM)

Dies ist ein Platzhalter für die Technischen und Organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO und Anlage 1 des AVV. Muss durch den tatsächlich implementierten Sicherheitsstandard ersetzt werden.

Technische und Organisatorische Maßnahmen (TOM)

Stand: [DATUM]

1. Vertraulichkeit

Zugangskontrolle

Zugang zu Systemen ist durch starke Passwörter (mind. 8 Zeichen, Groß-/Kleinbuchstaben, Zahlen) und sessionbasierte Authentifizierung gesichert. Passwörter werden mit BCrypt (cost factor 12) gehasht und nicht im Klartext gespeichert.

Zugriffskontrolle

Rollenbasiertes Zugriffsmanagement (RBAC) mit 34 granularen Berechtigungen. Mitarbeiter erhalten nur die für ihre Tätigkeit notwendigen Berechtigungen (Least Privilege Principle).

Trennungskontrolle

Mandantentrennung durch business_id auf Datenbankebene. Kein Datenzugriff über Mandantengrenzen hinweg.

2. Integrität

Weitergabekontrolle

Kommunikation ausschließlich über verschlüsselte Verbindungen (TLS/HTTPS). API-Zugriff über Session-Token und/oder API-Keys. CSRF-Schutz für zustandsverändernde Anfragen.

Eingabekontrolle

Alle Benutzereingaben werden serverseitig validiert. Parametrisierte SQL-Abfragen (PDO Prepared Statements) verhindern SQL-Injection.

3. Verfügbarkeit

Verfügbarkeitskontrolle

Hosting bei [HOSTING-ANBIETER] mit [SLA]. Regelmäßige Datensicherungen. [PLATZHALTER — Backup-Strategie, Wiederherstellungszeiten ergänzen]

4. Belastbarkeit

[PLATZHALTER — Disaster Recovery, Notfallplan]

5. Überprüfung und Evaluierung

[PLATZHALTER — Prozess zur regelmäßigen Überprüfung der TOM beschreiben]

6. Auftragsverarbeitung

Unterauftragsverarbeiter (Twilio, [weitere Dienste]) sind sorgfältig ausgewählt und mit Auftragsverarbeitungsverträgen gebunden. Die Eignung wird regelmäßig überprüft.