Technische und Organisatorische Maßnahmen (TOM)

Diese Anlage beschreibt die technischen und organisatorischen Maßnahmen, die RC Marketing LTD zur Sicherheit der Verarbeitung gemäß Art. 32 DSGVO getroffen hat. Maßgeblich ist der jeweils aktuelle Stand der Technik unter Berücksichtigung der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung.

Die Plattform AOMI wird vollständig cloudbasiert betrieben. Physische Infrastruktur (Rechenzentren) wird von den eingesetzten Unterauftragsverarbeitern bereitgestellt; die entsprechenden physischen Maßnahmen werden durch deren zertifizierte Standards (u. a. ISO 27001, SOC 2) abgedeckt.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle (physischer Zugang)

Der physische Zugang zu den Servern liegt vollständig bei den Unterauftragsverarbeitern.

Die zentrale Datenhaltung (Datenbank und Datei-Speicher) erfolgt in einem zertifizierten EU-Rechenzentrum (Region Frankfurt). RC Marketing LTD betreibt keine eigenen Server und hält keine personenbezogenen Produktivdaten lokal.
Einzelne Verarbeitungen durch Unterauftragsverarbeiter außerhalb der EU (insbesondere KI-Analyse, Anwendungsauslieferung, Meeting-Transkription) erfolgen ausschließlich auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO (Standardvertragsklauseln / EU-US Data Privacy Framework; siehe Anlage 1).
Physische Sicherheitsmaßnahmen (Zutrittskontrolle, Videoüberwachung, Brandschutz) werden durch die nach ISO 27001 / SOC 2 zertifizierten Rechenzentrumsbetreiber gewährleistet.

1.2 Zugangskontrolle (Schutz vor unbefugter Systemnutzung)

Authentifizierung der Nutzer über individuelle Benutzerkonten. Passwörter werden ausschließlich als Hash gespeichert, niemals im Klartext.
Zwei-Faktor-Authentifizierung (TOTP) sowie Passkeys/WebAuthn (Touch ID / Face ID) stehen zur Verfügung; der zweite Faktor wird serverseitig erzwungen (AAL2-Prüfung in der Middleware über ein signiertes Sitzungsmerkmal) — ein reines Frontend-Gate genügt nicht.
Mehr-Faktor-Authentifizierung ist für alle administrativen Zugänge (Infrastruktur, Datenbank, Code-Repository, Plattform-Administration) verpflichtend aktiviert.
Eine serverseitige Passwort-Richtlinie ist aktiv, einschließlich einer Prüfung gegen bekannt kompromittierte Passwörter sowie Schutzmechanismen gegen automatisierte Anmeldeversuche (Rate-Limiting).
Authentifizierungs- und Systemkommunikation ausschließlich über verschlüsselte Verbindungen (TLS/HTTPS).
Sensible mandantenbezogene Zugangsdaten (SMTP-Passwörter, OAuth-Tokens) werden verschlüsselt und workspace-isoliert gespeichert (AES-256-GCM); der Verschlüsselungsschlüssel wird nicht im Klartext neben den Daten gehalten.
Systemseitige E-Mails (z. B. Bestätigungs- und Reset-Mails) werden über eine getrennte, verschlüsselte SMTP-Verbindung versendet.
Die zur Verarbeitung befugten Personen sind auf Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO); die Vertraulichkeitsverpflichtung ist dokumentiert.

1.3 Zugriffskontrolle (Schutz vor unbefugtem Datenzugriff)

Mandantentrennung auf Datenbankebene über Row Level Security (RLS): Datenzugriffe sind an die Workspace-Zugehörigkeit des Nutzers gebunden.
Serverseitige Autorisierung über eine zentrale Berechtigungsprüfung, die Sitzung, Mitgliedschaft und Rolle gemeinsam auswertet und ohne unsichere Rückfall-Werte arbeitet.
Rollen werden ausschließlich aus serverseitigen, für den Nutzer nicht beschreibbaren Metadaten abgeleitet — clientseitig manipulierbare Werte werden nicht zur Autorisierung herangezogen.
Datenbankfunktionen mit erweiterten Rechten prüfen die Workspace-Zugehörigkeit des Aufrufers intern bzw. sind auf die serverseitige Ausführung beschränkt; ein Datenzugriff durch nicht authentifizierte Aufrufer ist dadurch unterbunden bzw. wirkungslos.
Plattform-Administration ist technisch von Mandanten-Zugriffen getrennt (eigene Berechtigungsprüfung, eigene Service-Routen, eigene Rolle).
Ein dokumentiertes Berechtigungskonzept (Rollen und zugehörige Rechte) liegt vor und wird bei Änderungen überprüft.

1.4 Trennungskontrolle (mandantengetrennte Verarbeitung)

Strikte Mandantentrennung über eine Workspace-Kennung (workspace_id), die auf allen relevanten Datensätzen geführt und bei jedem Zugriff erzwungen wird. Daten unterschiedlicher Kunden werden logisch vollständig getrennt verarbeitet.
Datenbankabfragen filtern verbindlich nach Workspace; RLS dient als zusätzliche Schutzschicht (Defense-in-Depth), nicht als alleinige Garantie.
Trennung von Produktiv-, Test- und Administrations-Workspaces.

1.5 Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO)

Interne technische Schlüssel (UUIDs) werden nicht aus personenbezogenen Daten abgeleitet.
Der Personenbezug in Protokollen wird auf das für den jeweiligen Zweck Erforderliche begrenzt (begrenzte Log-Aufbewahrung).

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle (Schutz bei Transport/Übertragung)

Verschlüsselte Übertragung sämtlicher Daten im Transit (TLS/HTTPS) zwischen Nutzer, Anwendung und Datenbank.
E-Mail-Versand und -Empfang über verschlüsselte Verbindungen (SMTP über TLS, IMAP über TLS).
Verschlüsselung der Daten im Ruhezustand (Encryption at Rest) durch die Speicherinfrastruktur (EU-Region Frankfurt); besonders sensible Felder werden zusätzlich anwendungsseitig verschlüsselt (AES-256-GCM).
Übermittlungen an Drittländer ausschließlich auf Grundlage geeigneter Garantien (Standardvertragsklauseln / EU-US Data Privacy Framework, siehe Sub-Prozessoren-Liste, Anlage 1).

2.2 Eingabekontrolle (Nachvollziehbarkeit von Verarbeitungen)

Protokollierung sicherheits- und nachweisrelevanter Vorgänge: Datenübertragungen der Connector-Funktion werden mit eindeutiger Vorgangs-ID, Ergebnis und Zeitstempel revisionssicher protokolliert und in der Anwendung einsehbar.
Abgleichvorgänge im Rechnungswesen führen einen Prüfpfad (Methode und Bewertung des Treffers) zur Nachvollziehbarkeit mit.
Anmelde- und Administrationsereignisse werden durch die Infrastruktur zentral protokolliert (Audit-Logs des Auth-/Datenbank-Anbieters) mit definierter Aufbewahrung.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

3.1 Verfügbarkeitskontrolle

Betrieb auf hochverfügbarer, gemanagter Cloud-Infrastruktur mit Redundanz auf Anbieterseite.
Automatisierte, tägliche Datensicherungen der Datenbank durch den Hosting-Anbieter; zusätzlich Point-in-Time-Recovery.
Versionierte Sicherung kritischer Konfigurations-/Inhaltsdaten vor verändernden Operationen (Backup-vor-Änderung-Prinzip).
Ein Backup-Konzept mit definierter Sicherungsfrequenz und Aufbewahrungsdauer liegt vor.

3.2 Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

Wiederherstellung aus automatischen Datenbank-Sicherungen (Point-in-Time-Recovery, soweit vom Anbieter-Tarif unterstützt).
Der Wiederherstellungsprozess ist dokumentiert und wurde getestet und bestätigt (letzter erfolgreicher Restore-Test: 23.07.2026).

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

4.1 Datenschutz-Management

Grundsatz „Privacy/Security by Design": Mandantentrennung, Berechtigungsprüfung und Verschlüsselung sind feste Bestandteile der Entwicklungs- und Qualitätsrichtlinie (verbindliche Mehrfach-Prüfung jeder Änderung auf u. a. Mandanten-Lecks vor Auslieferung).
Technische Sicherheitsprüfung der Infrastruktur über automatisierte Sicherheits-Analysen der Datenbank; festgestellte Befunde werden behoben und die Behebung verifiziert. Diese Prüfungen werden regelmäßig durchgeführt.
Ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) wird geführt und aktuell gehalten.
Diese TOM wird mindestens jährlich sowie bei wesentlichen Änderungen überprüft und aktualisiert.

4.2 Incident-Response-Management

Ein Prozess zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen ist definiert, einschließlich der Benachrichtigung betroffener Verantwortlicher unverzüglich nach Kenntnis (Art. 33 Abs. 2 DSGVO) sowie einer Eskalations- und Meldekette mit Fristen.

4.3 Auftragskontrolle (Steuerung der Unterauftragsverarbeiter)

Einsatz von Unterauftragsverarbeitern nur auf Grundlage von Verträgen mit Datenschutzverpflichtungen (siehe Sub-Prozessoren-Liste, Anlage 1).
Mit allen eingesetzten Unterauftragsverarbeitern bestehen Auftragsverarbeitungsverträge (u. a. Datenbank, Hosting, Zahlungsabwicklung, KI-Textanalyse und KI-Transkription); diese sind abgeschlossen und archiviert.

4.4 Datenschutzfreundliche Voreinstellungen und Löschung (Art. 25, Art. 17 DSGVO)

Datensparsamkeit: Es werden nur die für den jeweiligen Zweck erforderlichen Daten erhoben und verarbeitet.
Bereitstellung von Export-Funktionen zur Wahrung der Betroffenenrechte (Datenexport, mandantengetrennt).
Löschung personenbezogener Daten auf Anfrage, mandantengetrennt, unter Beachtung gesetzlicher Aufbewahrungspflichten.
Ein Löschkonzept mit definierten Aufbewahrungsfristen und gesicherter Löschung nach Zweckfortfall liegt vor.

Kontakt

Fragen zu diesen technischen und organisatorischen Maßnahmen richten Sie bitte über die in der Datenschutzerklärung (hey-aomi.com/datenschutz) genannten Kontaktwege an uns.