gemäß Art. 32 DSGVO
Der Auftragnehmer trifft unter Berücksichtigung des Stands der Technik, der Art, des Umfangs und der Zwecke der Verarbeitung geeignete technische und organisatorische Maßnahmen, um ein angemessenes Schutzniveau für personenbezogene Daten sicherzustellen.
Die Maßnahmen betreffen die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der HYPOFY-Plattform (CRM, Web-Anwendung, mobile App, Backend-Systeme) sowie der Berater-Webseiten.
Diese Maßnahmen sind Anlage 3 des Auftragsverarbeitungsvertrags (AVV).
1. Vertraulichkeit
1.1 Zutrittskontrolle
- Hosting über professionelle Rechenzentrumsbetreiber innerhalb der EU (insbesondere Netcup GmbH und Hetzner Online GmbH)
- Rechenzentren mit physischer Zugangssicherung
- Keine lokale Serverhaltung in Büroräumen des Auftragnehmers
1.2 Zugangskontrolle
- Zugriff auf Systeme nur über personalisierte Benutzerkonten
- Passwortgeschützte Authentifizierung
- Starke Passwortanforderungen
- Multi-Faktor-Authentifizierung (MFA) für Administratoren
- Automatische Session-Beendigung bei Inaktivität
- Verwaltung von Benutzerberechtigungen
1.3 Zugriffskontrolle
- Rollen- und Berechtigungskonzept
- Zugriff nach dem „Need-to-know“-Prinzip
- Mandantentrennung innerhalb der Plattform
- Beschränkung administrativer Zugriffe
- Regelmäßige Überprüfung von Berechtigungen
1.4 Trennungskontrolle
- Trennung von Test- und Produktivsystemen
- Logische Mandantentrennung
- Separate Umgebungen (z.B. Entwicklung / Staging / Produktion)
2. Integrität
2.1 Weitergabekontrolle
- Verschlüsselte Datenübertragung (TLS / HTTPS)
- Gesicherte API-Kommunikation
- Zugriffsschutz für Administrationszugänge
- Protokollierung sicherheitsrelevanter Zugriffe
2.2 Eingabekontrolle
- Nachvollziehbarkeit von Benutzeraktionen (Audit-Logs)
- Protokollierung von Änderungen (wo technisch vorgesehen)
- Zuordnung von Aktionen zu Benutzerkonten
- Dokumentierte Zuständigkeiten für Datenlöschungen
3. Verfügbarkeit und Belastbarkeit
3.1 Verfügbarkeitskontrolle
- Betrieb auf redundanter Hosting-Infrastruktur
- Verteilung der Systeme auf mehrere Anbieter / Standorte
- Systemmonitoring
3.2 Datensicherung
- Regelmäßige Backups produktiver Daten
- Getrennte Speicherung von Backups
- Dokumentierte Wiederherstellungsverfahren
3.3 Wiederherstellbarkeit
- Verfahren zur Wiederherstellung von Daten nach Störungen
- Dokumentierte Restore-Prozesse
4. Belastbarkeit / Systemsicherheit
- Monitoring der Systemstabilität
- Patch- & Update-Management
- Schutzmaßnahmen gegen Schadsoftware
- Maßnahmen zur Fehler- und Störungserkennung
5. Verfahren zur regelmäßigen Überprüfung
5.1 Sicherheits- und Datenschutzmanagement
- Regelmäßige Überprüfung der Wirksamkeit der TOM
- Schwachstellenanalysen nach Bedarf
- Dokumentierte Datenschutzprozesse
- Führung eines Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO)
5.2 Incident-Response-Management
- Verfahren zur Behandlung von Sicherheitsvorfällen
- Dokumentierte Melde- und Eskalationsprozesse
- Unterstützung bei Meldungen nach Art. 33 / 34 DSGVO
6. Verschlüsselung & Schutzmaßnahmen
- TLS-Verschlüsselung für Datenübertragungen
- Passwort-Hashing
- Verschlüsselung sensibler Daten, sofern technisch vorgesehen
7. Organisationsmaßnahmen
7.1 Vertraulichkeit & Sensibilisierung
- Verpflichtung von Mitarbeitenden auf Vertraulichkeit
- Datenschutz- und IT-Sicherheitsschulungen
- Interne Richtlinien zur sicheren Systemnutzung
7.2 Weisungsmanagement
- Verarbeitung nur auf dokumentierte Weisung des Auftraggebers
- Verfahren zur Weisungsannahme und -umsetzung
7.3 Auftragskontrolle
- Sorgfältige Auswahl von Subprozessoren
- Vertragliche Datenschutzvereinbarungen
- Löschung / Rückgabe personenbezogener Daten nach Vertragsende
8. Datenschutz durch Technikgestaltung (Art. 25 DSGVO)
- Datenminimierung
- Zweckbindung
- Rollen- und Berechtigungskonzepte
- Berücksichtigung von Privacy-by-Design bei Weiterentwicklungen
9. Löschung & Datenminimierung
- Dokumentiertes Löschkonzept
- Löschung nach Weisung / Vertragsende
- Einschränkung unnötiger Datenspeicherung
Hinweis zur Hosting-Infrastruktur
Die Verarbeitung erfolgt auf Cloud-Infrastruktur innerhalb der Europäischen Union. Zur Sicherstellung von Verfügbarkeit und Ausfallsicherheit nutzt der Auftragnehmer insbesondere:
- Netcup GmbH
- Hetzner Online GmbH
10. E-Mail-Integration (Gmail API / Microsoft Graph API)
Für die E-Mail-Integration der CRM-Plattform (Gmail API von Google sowie Microsoft Graph API für Outlook / Microsoft 365) gelten zusätzlich folgende technische und organisatorische Maßnahmen:
- Verschlüsselte Speicherung der OAuth-Refresh-Token
- Verschlüsselte Übertragung (TLS / HTTPS) beim Abruf und Versand von E-Mails
- Verarbeitung von E-Mail-Inhalten (Betreff, Absender, Empfänger, Nachrichtentext), E-Mail-Metadaten (Zeitstempel, Lese-/Ungelesen-Status, Labels und Ordner) sowie Anhängen ausschließlich zur Bereitstellung der CRM-Funktionen im Account des authentifizierten Nutzers
- Speicherung von E-Mail-Anhängen auf eigener Infrastruktur in Deutschland (Hetzner, netcup)
- Beschränkung der API-Berechtigungen auf die für die Funktion erforderlichen Scopes (gmail.modify, gmail.send)
- Keine Weitergabe von E-Mail-Inhalten an Dritte
- Keine Nutzung von E-Mail-Inhalten zur Entwicklung, Verbesserung oder zum Training von KI- oder ML-Modellen
- Nutzung der über Google-APIs empfangenen Daten im Einklang mit der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen
- Kein automatischer Versand ohne explizite Nutzeraktion
- Löschung synchronisierter E-Mail-Daten innerhalb von 30 Tagen nach Trennung des verbundenen Kontos; sofortige Löschung der OAuth-Token bei Trennung
Stand: 16.07.2026
