Anlage 1 zum AVV: Technische und organisatorische Maßnahmen
Version 1.0, gültig ab 14.10.2026, veröffentlicht am 14.10.2026
Gehört zum Vertrag zur Auftragsverarbeitung · Siehe auch Anlage 2: Unterauftragsverarbeiter
| Bereich | Maßnahmen |
|---|---|
| Zutritt zu Rechenzentren | Server ausschließlich in Rechenzentren von Hosting-Dienstleistern in Deutschland mit Zugangskontrolle, Videoüberwachung und Zertifizierung nach ISO/IEC 27001. |
| Zugang zu Systemen | Administrative Anmeldung an Servern nur mit SSH-Schlüssel, keine Passwort-Anmeldung für Verwaltungszugänge; Datenübergaben einzelner Kunden per SFTP in abgeschottete Verzeichnisse ohne Zugriff auf das übrige System; automatische Sperre nach wiederholten Fehlversuchen; Firewall mit freigegebenen Diensten nur nach Bedarf; Verwaltungsoberflächen mit Zwei-Faktor-Anmeldung; Passwörter und Schlüssel in einem verschlüsselten Passwortverwalter; Kundenportal mit Anmeldung per E-Mail-Link. |
| Zugriff auf Daten | Rollen- und Rechtekonzept nach dem Grundsatz der geringsten Rechte; eigene Zugänge je Dienst mit eng begrenzten Rechten (zum Beispiel nur lesend); im Kundenportal legt der Kunde die Rechte seiner Benutzer selbst fest. |
| Trennung | Jede Website läuft in einer eigenen Umgebung; Kundendaten sind in den Datenbanken je Konto getrennt; Test- und Vorschauumgebungen sind von Live-Umgebungen getrennt; Vorschauen sind nur nach Anmeldung erreichbar. |
| Pseudonymisierung und Datensparsamkeit | IP-Adressen in der Besucherstatistik werden gekürzt gespeichert; Statistik im Browser nur nach Einwilligung; keine Weitergabe an Werbenetzwerke; Benachrichtigungen über neue Anfragen enthalten keine personenbezogenen Daten, nur einen Verweis. |
| Weitergabe | Übertragung ausschließlich verschlüsselt (HTTPS mit aktuellem TLS, HSTS); Sicherheitsrichtlinien für Inhalte (CSP) auf den Websites; Datensicherungen werden vor der Übertragung verschlüsselt und verschlüsselt gespeichert. |
| Eingabe und Protokollierung | Aktivitätsprotokoll im Kundenportal (wer hat wann was geändert); Protokolle der Server und Abläufe; Versionsverwaltung aller Website-Quellen. |
| Verfügbarkeit | Tägliche Datensicherung an einen getrennten Speicherort in Deutschland, dort 30 Tage gegen Veränderung und Löschung gesperrt; zusätzlich tägliche Sicherung der Server beim Hosting-Dienstleister; verschlüsselte Notfallkopie getrennt vom Netz; laufende Überwachung der Erreichbarkeit und der Sicherungen mit Benachrichtigung; zeitnahe Sicherheitsupdates. |
| Wiederherstellung | Dokumentierte Wiederherstellungsverfahren; vollständiger Wiederherstellungstest mindestens halbjährlich, erstmals im Oktober 2026. |
| Überprüfung | Automatische Prüfungen jeder Website vor dem Livegang (Barrierefreiheit, Sicherheit, Rechtshinweise); laufende Prüfungen der Live-Seiten; interne Überprüfung dieser Maßnahmen mindestens halbjährlich. |
| Organisation | Verpflichtung aller Beteiligten auf Vertraulichkeit; Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO; Meldeweg für Datenschutzverletzungen innerhalb von 24 Stunden. |
Alle Fassungen
- Version 1.0, gültig ab 14.10.2026 (aktuell)