Anlage 1 zum AVV: Technische und organisatorische Maßnahmen

Fassung vom 10. September 2026. Anlage zum Auftragsverarbeitungsvertrag, Ziffer 5.

1. Vertraulichkeit

• Zugangskontrolle: Zugriff auf die Anwendung ausschließlich über persönliche Konten mit Passwort; Passwörter werden ausschließlich als Hash gespeichert. Zwei-Faktor-Authentifizierung (TOTP) ist verfügbar, für Betreiberzugänge verpflichtend. Fehlversuche werden begrenzt, Sitzungen laufen nach zwölf Stunden ab und lassen sich zentral widerrufen.
• Zugriffskontrolle: Rollen- und Rechtevergabe je Konto; Lese- und Schreibzugriffe sind serverseitig auf die authentifizierte Agentur begrenzt (Mandantentrennung). Betreiberfunktionen liegen hinter einem getrennten Zugang.
• Mandantentrennung: Alle mandantenbezogenen Abfragen tragen den Agenturbezug im Server; übergebene Kennungen aus dem Client sind kein Nachweis der Berechtigung.
• Verpflichtung der eingesetzten Personen: siehe Ziffer 11 des Vertrags.

2. Integrität

• Übertragungskontrolle: Transportverschlüsselung (TLS) für alle Verbindungen zur Anwendung und zur Datenbank.
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Verwaltungsvorgänge in einem Audit-Protokoll mit Zeitpunkt und handelndem Konto.
• Trennung der Prüfumgebung: Geprüfte Websites werden als nicht vertrauenswürdig behandelt. Der Browser, der sie abruft, läuft isoliert von Anwendungsgeheimnissen und vom internen Netz; ausgehende Verbindungen werden gegen private und interne Adressbereiche geprüft.

3. Verfügbarkeit und Belastbarkeit

• Sicherung: regelmäßige, automatisierte Sicherung der Datenbank.
• Begrenzung: Größen-, Zeit- und Mengengrenzen für Prüfläufe und Artefakte, damit ein einzelner Lauf den Betrieb nicht beeinträchtigt.
• Überwachung: Betriebsalarme bei fehlgeschlagenen Hintergrundläufen; Fehlerberichte laufen auf eigener Infrastruktur und ohne Anfragedaten wie IP-Adressen oder Autorisierungs-Header.

4. Verfahren zur regelmäßigen Überprüfung

• Auftragskontrolle: Unterauftragsverarbeiter nach Anlage 2, vertraglich nach Art. 28 Abs. 4 DSGVO verpflichtet.
• Löschung: technisch durchgesetzte Aufbewahrungsfristen und Löschung nach Vertragsende nach Ziffer 10 des Vertrags.
• Prüfung von Änderungen: Änderungen an der Anwendung werden vor der Auslieferung automatisiert getestet, einschließlich Zugriffs- und Mandantentrennung.