Technische und organisatorische Maßnahmen (TOM)

Geltungsbereich

Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen für die Online-Dienste von Cutoverly (Lizenzverwaltung, Team-Synchronisation) und die Desktop-Anwendung. Es ist Anlage 1 der Vereinbarung zur Auftragsverarbeitung.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutritts- und Zugangskontrolle

• Das Hosting erfolgt in professionellen Rechenzentren des Anbieters Railway (Rechenzentrum Amsterdam, Niederlande) mit physischen Zutrittskontrollen; Railway ist SOC 2 Type II zertifiziert.
• Zugang zu Produktionssystemen (Hosting-Konsole, Datenbank, DNS, Zahlungsdienstleister) hat ausschließlich der Betreiber. Die Administrationskonten sind durch starke Passwörter und Zwei-Faktor-Authentifizierung geschützt.
• Zugangsdaten und Geheimnisse (API-Schlüssel, Signaturschlüssel) werden nicht im Quellcode, sondern als Umgebungsvariablen der Hosting-Plattform verwaltet.

1.2 Zugriffskontrolle

• Authentifizierung der Nutzer über E-Mail-Adresse und Passwort; Passwörter werden ausschließlich als bcrypt-Hash (12 Runden) gespeichert.
• Sitzungsverwaltung über kurzlebige Access-Tokens und rotierende Refresh-Tokens (7 Tage Gültigkeit, Einmalverwendung — bei jeder Erneuerung wird der vorherige Token ungültig).
• Lizenz-Tokens sind kryptographisch signiert (RS256) und werden auf den Endgeräten verschlüsselt gespeichert (Electron safeStorage).
• Zugriff auf Projektdaten im Team-Modus nur für eingeladene Projektmitglieder; Berechtigungen werden serverseitig bei jedem Zugriff geprüft.
• Rate-Limiting auf Verbindungs- und Nachrichtenebene zum Schutz vor Missbrauch.

1.3 Trennungskontrolle

• Logische Mandantentrennung: Alle Projektdaten sind projekt- und nutzerbezogen getrennt; jede Abfrage ist auf das jeweilige Projekt und die Mitgliedschaft des Nutzers beschränkt.
• Referenzielle Integrität mit kaskadierender Löschung (Fremdschlüssel-Constraints), sodass beim Löschen eines Projekts alle zugehörigen Daten entfernt werden.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Sämtliche Datenübertragungen erfolgen ausschließlich verschlüsselt über TLS (HTTPS) bzw. WSS (verschlüsselte WebSocket-Verbindungen).
• Ruhende Daten werden beim Hosting-Anbieter verschlüsselt gespeichert (Encryption at Rest).
• Änderungen an Projektdaten werden nutzer- und zeitbezogen verarbeitet und über ein versioniertes Event-Protokoll synchronisiert.
• Eingaben werden serverseitig validiert; ungültige Sync-Ereignisse werden verworfen.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Hosting auf einer professionellen Plattform (Railway, SOC 2 Type II) mit Monitoring und automatischen Neustarts; Health-Check-Endpunkte überwachen den Dienstzustand.
• Regelmäßige Sicherungen der Server-Datenbank über die Backup-Mechanismen der Hosting-Plattform.
• Architekturbedingte Redundanz: Jedes Teammitglied hält eine vollständige lokale Kopie der Projektdaten; bei Ausfall der Online-Dienste bleibt die Anwendung lokal arbeitsfähig, und Änderungen werden nach Wiederverfügbarkeit synchronisiert.

4. Datenminimierung

• Es werden nur die für den Dienst erforderlichen Daten erhoben (E-Mail-Adresse, Passwort-Hash, Projektdaten).
• Kein Einsatz von Cookies, Tracking- oder Analysediensten auf der Website.
• Im Local-Modus verlassen Projektdaten das Endgerät des Nutzers nicht.
• Zahlungsdaten werden ausschließlich vom Zahlungsdienstleister Stripe verarbeitet und sind für den Betreiber nicht einsehbar.

5. Auftragskontrolle (Art. 28 DSGVO)

• Mit allen eingesetzten Dienstleistern bestehen Auftragsverarbeitungsverträge (DPAs) mit EU-Standardvertragsklauseln bzw. Zertifizierung unter dem EU-US Data Privacy Framework (Details: AVV, Anlage 2).
• Dienstleister werden nach Datenschutz- und Sicherheitskriterien ausgewählt (EU-Datenstandort, Zertifizierungen, veröffentlichte Subunternehmerlisten).

6. Organisatorische Maßnahmen und Überprüfung

• Sicherheitsrelevante Abhängigkeiten der Software werden regelmäßig aktualisiert.
• Verletzungen des Schutzes personenbezogener Daten werden dokumentiert und gemäß Art. 33/34 DSGVO gemeldet (siehe AVV, Ziffer 5).
• Die Wirksamkeit der Maßnahmen wird regelmäßig überprüft; dieses Dokument wird bei Änderungen der Architektur oder der Dienstleister aktualisiert.