Technische & Organisatorische Massnahmen (TOMs)
Aktualisiert am 01.01.2025
Im Folgenden werden die spezifischen technischen und organisatorischen Massnahmen aufgelistet, die gemaess Art. 24(1) der EU-Datenschutz-Grundverordnung (DSGVO) fuer die Auftragsverarbeitung getroffen wurden.
Die Acai Technologies GmbH erfuellt die in der DSGVO festgelegte Verpflichtung, die Verarbeitung von personenbezogenen Daten durch geeignete technische und organisatorische Massnahmen zu schuetzen und, soweit moeglich, zu anonymisieren oder zu pseudonymisieren. Alle Massnahmen beruecksichtigen das Risiko des jeweiligen Verarbeitungsvorgangs und den Stand der Technik unter besonderer Beruecksichtigung von:
- Vertraulichkeit: Schutz vor unberechtigtem Zugriff
- Integritaet: sachliche und technische Richtigkeit der Daten
- Verfuegbarkeit: Erreichbarkeit der Informationen und Systeme
- Belastbarkeit: Funktionsfaehigkeit bei Ausfaellen und Angriffen
1. Gewaehrleistung der Vertraulichkeit
1.1 Zutrittskontrolle
Massnahmen:
- Zutritt zu Datenverarbeitungsanlagen nur fuer Befugte
- Buerogebaeude mit Schliessanlage und Videoueberwachung
- Speicherung ausschliesslich bei zertifizierten Unterauftragsverarbeitern
1.2 Zugangskontrolle
Massnahmen:
- Passwoerter mit Mindestlaenge 16 Zeichen inkl. Zahlen & Buchstaben
- Automatische Sperrung des Desktops bei Inaktivitaet
- Rollenbasierte Rechtevergabe
- Hosting-Anbieter ISO 27001-zertifiziert
1.3 Zugriffskontrolle
Massnahmen:
- Softwareseitige Schutzmechanismen gegen unbefugten Zugriff
- Protokollierung aller Logins
- Benachrichtigungen bei Produktiv-Logins
- Zugriffskontrollrichtlinie im ISMS
1.4 Trennungskontrolle
Massnahmen:
- Mandantenfaehiges System zur Trennung von Kundendaten
- Produktiv- und Testsysteme sind physikalisch/logisch getrennt
- Kundenzugriff nur auf eigene Daten moeglich
2. Gewaehrleistung der Integritaet
2.1 Weitergabekontrolle
Massnahmen:
- Datenuebertragung ausschliesslich per TLS >= 1.2
- Aktenvernichtung nach ISO/IEC 21964 Stufe P3
- Datentraegervernichtung nach ISO/IEC 21964 Stufen E3/H3
2.2 Eingabekontrolle
Massnahmen:
- Eingaben erfolgen ausschliesslich durch Kunden
- Dokumentation der Eingabeprozesse durch Kundenumgebung
3. Pseudonymisierung und Verschluesselung
3.1 Pseudonymisierung
Massnahmen:
- Daten werden nach 30 Tagen durch UUIDs pseudonymisiert
3.2 Verschluesselung
Massnahmen:
- Uebertragung via TLS >= 1.2
- Ende-zu-Ende-Verschluesselung: XSalsa20+Poly1305, X25519
- Backups werden zusaetzlich mit age verschluesselt
4. Verfuegbarkeit, Belastbarkeit & Wiederherstellbarkeit
4.1 Verfuegbarkeit
Massnahmen:
- Stuendliche Backups auf externe Systeme
- USV-geschuetzte Infrastruktur bei Dienstleistern
- Geo-redundante Auslegung aller Systeme
- Firewall-Schutz gegen externe Angriffe
4.2 Belastbarkeit
Massnahmen:
- Monitoring und Alerting der Produktivsysteme
4.3 Wiederherstellbarkeit
Massnahmen:
- Wiederherstellung aus Backup innerhalb von ca. 2 Stunden
5. Pruef-, Bewertungs- & Evaluierungsverfahren
5.1 Auftragskontrolle
Massnahmen:
- Abschluss AV-Vertraege und Standardvertragsklauseln
- Auswahl nach Sorgfaltspflicht
- Verpflichtung auf das Datengeheimnis
- Datenvernichtung nach Auftragsende
5.2 Datenschutz-Management
Massnahmen:
- PDCA-Zyklus zur TOM-Ueberpruefung (mind. jaehrlich)
- Informationspflichten nach Art. 13 & 14 DSGVO
- Dokumentation aller Prozesse
- Datenschutzfolgeabschaetzungen bei Bedarf
- Mitarbeiterschulungen und Verpflichtungen
5.3 Incident-Response-Management
Massnahmen:
- Dokumentation von Vorfaellen
- Einsatz und regelmaessige Updates von Firewalls, Virenscannern, Spamfiltern
- Schwachstellenscans von Codebase und Infrastruktur
5.4 Datenschutzfreundliche Voreinstellungen
Massnahmen:
- Erhebung personenbezogener Daten nur bei Notwendigkeit