Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Die Verarbeitung findet in Rechenzentren nach ISO 27001 innerhalb der EU statt. Physischen Zutritt haben ausschließlich Beschäftigte des Rechenzentrumsbetreibers. Eigene Hardware wird nicht betrieben.

• Anmeldung mit E-Mail und Passwort; Passwörter werden mit Argon2id gehasht und nie im Klartext gespeichert
• Bestätigung in zwei Schritten nach RFC 6238 für jedes Konto; ein Code gilt einmal und dreißig Sekunden
• Sperrung des Kontos nach zehn Fehlversuchen für fünfzehn Minuten
• optional Anmeldung über das Unternehmenskonto (Single Sign-on) mit Domainnachweis
• Sitzungen laufen ab und lassen sich einzeln oder vollständig zurückziehen

• Rollen mit abgestuften Rechten: Administration, Auswertung, Nur lesen
• Mandantentrennung zusätzlich in der Datenbank über Row-Level Security; ein Zugriff ohne Mandantenkontext liefert keine Zeile. Die Tabellen gehören einer eigenen Eigentümerrolle, die Dienste verbinden sich mit einer Rolle ohne Eigentumsrechte und prüfen beim Start, dass sie die Filter nicht umgeht
• API-Schlüssel mit begrenzten Rechten und Ablaufdatum; ein abgelaufener Schlüssel wird abgewiesen
• Support-Zugriff nur nach ausdrücklicher, befristeter Freigabe durch den Mandanten, eigens protokolliert und im Produkt sichtbar angezeigt

• Transport ausschließlich über TLS; HSTS ist gesetzt
• Trackingelemente sind signiert; es gibt keinen offenen Redirect und einen Schutz gegen Wiedereinspielung
• serverseitige Ereignisse können signiert übermittelt werden; die Signatur wird gegen den rohen Rumpf geprüft
• eine Weitergabe an Werbeplattformen findet nur auf ausdrückliche Einstellung des Mandanten statt und umfasst nur Kennungen, die von der jeweiligen Plattform stammen

Änderungen an Einstellungen, Zugängen, Kampagnen, Trackingelementen und Datenschutzvorgängen werden mit Person, Zeitpunkt und – wo angegeben – Begründung protokolliert. Das Protokoll ist im Produkt einsehbar und wird nicht gelöscht, solange der Mandant besteht.

Weitere Auftragsverarbeiter werden vertraglich nach Art. 28 DSGVO gebunden, vor dem Einsatz geprüft und in der Anlage „Subunternehmer“ offengelegt. Ein Wechsel wird 30 Tage vorher angekündigt.

• tägliche Sicherung der Datenbank; in der Produktionsumgebung zusätzlich Wiederherstellung auf einen Zeitpunkt der letzten sieben Tage. Die Wiederherstellung aus der täglichen Sicherung in eine neue Instanz ist am 16.09.2026 in der Cloud geprüft worden; die Wiederherstellung auf einen Zeitpunkt ist noch nicht geprüft. Eine Wiederholung je Quartal ist vorgesehen
• Verarbeitung über eine Warteschlange mit Wiederholung und Fehlerspeicher: Ein Ausfall führt zu Verzögerung, nicht zu Verlust
• Begrenzung der Annahmerate je Mandant, damit ein einzelner Absender den Betrieb nicht beeinträchtigt
• Benachrichtigung des Mandanten, wenn keine Daten mehr ankommen – fehlende Messzeit lässt sich nicht nachträglich erheben

Daten verschiedener Mandanten werden logisch getrennt und zusätzlich durch Row-Level Security abgesichert. Test- und Produktivdaten liegen in getrennten Umgebungen; Testdaten fließen in keinen Bericht und lassen sich jederzeit zurücksetzen.

• IP-Adressen im Ereignisbestand nur als gekürzter, mit einem Geheimnis gebildeter Hashwert; bei der Übertragung und zur Begrenzung der Anfragen werden sie verarbeitet
• Klartext-E-Mail-Adressen und Telefonnummern führen zur Ablehnung des Ereignisses
• kein Fingerprinting, keine probabilistische Zuordnung
• ohne passende Einwilligung wird kein Werbeereignis gespeichert, auch nicht roh

Eine Maßnahme, die niemand nachhält, ist eine Absicht. Deshalb steht hier auch der Takt.

• Rechteprüfung: Mitgliedschaften und Rollen vierteljährlich, erteilte Supportzugriffe monatlich, Dienstkonten bei jeder Änderung an der Infrastruktur
• Eintritt, Wechsel, Austritt: Zugriff nur über ein benanntes Konto mit zweitem Faktor; beim Austritt Mitgliedschaften entfernen, Sitzungen widerrufen und Zugangsdaten wechseln – am letzten Arbeitstag, nicht danach
• Schwachstellen: automatische Meldungen zu Abhängigkeiten, Behandlung nach Schwere (kritisch spätestens sieben Tage, hoch dreißig), jede Auslieferung baut neu
• Wirksamkeit: Mandantentrennung, Einwilligung, Sperrliste, Löschwege und Ratenbegrenzung haben eigene Tests, die vor jeder Auslieferung laufen

Die Datenbankinstanz hat eine öffentliche Adresse. Erreichbar ist sie trotzdem nicht: Die Liste erlaubter Netze enthält keines, jede Verbindung muss verschlüsselt sein, und die Anwendung verbindet sich über den Socket des Connectors. Der Connector allein wäre kein Beleg – die Freigabe ist es.

Der Wiederherstellungspfad ist lokal geprüft und in der Zielumgebung nicht. Ein externer Penetrationstest steht aus. Beides bleibt offen genannt, solange es offen ist.