Anlage 1 zum Auftragsverarbeitungsvertrag

Technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO

Stand: 23.10.2026 Auftragsverarbeiter: Sat-iTec Systemhaus GmbH Plattform: ChatiTec (Hosting: Rechenzentrum Augsburg, eigene Proxmox-Infrastruktur)

Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO).

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle (physischer Zugang zu Verarbeitungsanlagen)

• Betrieb in einem Rechenzentrum in Augsburg mit Zutrittsschutz (z. B. Vereinzelungsanlagen/Schließsysteme, Protokollierung von Zutritten, Videoüberwachung).
• Server in verschlossenen Racks; Zutritt nur für autorisiertes Personal nach dem Need-to-know-Prinzip.
• Besucher werden begleitet und protokolliert.

1.2 Zugangskontrolle (Schutz vor unbefugter Systemnutzung)

• Authentifizierung über individuelle Benutzerkonten; keine Sammelkonten für administrative Tätigkeiten.
• Passwörter werden mit Argon2 gehasht (speicher- und rechenintensives, salted Hashing-Verfahren).
• Zwei-Faktor-Authentifizierung (TOTP-2FA) für Konten verfügbar/erzwingbar.
• JWT-basierte Session-Token mit Rotation (kurze Gültigkeitsdauer, Erneuerung/Invalidierung).
• Rate-Limiting zur Abwehr von Brute-Force- und Missbrauchsversuchen.
• Automatische Sperrung/Time-out inaktiver Sitzungen.

1.3 Zugriffskontrolle (berechtigungsgerechter Datenzugriff)

• Rollen- und Rechtekonzept (Least Privilege); getrennte Administrations- und Nutzerrollen.
• Protokollierung sicherheitsrelevanter Zugriffe im Audit-Log.
• Provider-Secrets (API-Schlüssel externer KI-Provider) werden mit Fernet verschlüsselt gespeichert; kein Klartext in Konfiguration oder Repository.
• Regelmäßige Überprüfung und Entzug nicht mehr benötigter Berechtigungen.

1.4 Trennungskontrolle (Mandanten-/Zweckbindung)

• Getrennte Datenbank-VM (Datenhaltung auf separater virtueller Maschine, getrennt von Applikationsdiensten).
• Logische Trennung der Daten verschiedener Kunden/Mandanten.
• Trennung von Produktions-, Test- und Entwicklungsumgebungen.

1.5 Pseudonymisierung und Anonymisierung

• PII-Tokenisierung vor jeder Übermittlung an externe KI-Provider: Personenbezogene Daten und Berufsgeheimnisse werden automatisiert erkannt und durch Platzhalter ersetzt.
• Die Anonymisierung ist standardmäßig erzwungen (PII_FORCE_FOR_EXTERNAL=true); ein Versand identifizierender Klartextdaten an externe Provider ist systemseitig unterbunden.
• Die Rück-Zuordnung der Platzhalter ist ausschließlich lokal auf der deutschen Infrastruktur möglich und ist Fernet-verschlüsselt.
• Rein lokale Modelle (Ollama/vLLM) stehen als transferfreie Alternative ohne externen Datenabfluss zur Verfügung.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle (Transport)

• Transportverschlüsselung mittels TLS (Zertifikate über Let's Encrypt) für sämtliche Verbindungen zur Plattform.
• Externe Übermittlungen erfolgen ausschließlich verschlüsselt und ausschließlich in anonymisierter Form.

2.2 Eingabekontrolle (Nachvollziehbarkeit)

• Audit-Log zur Protokollierung sicherheitsrelevanter Ereignisse (z. B. Anmeldungen, administrative Änderungen).
• Zeitstempelung und – soweit erforderlich – Zuordnung zu auslösenden Benutzerkonten.
• Schutz der Protokolle vor unbefugter Veränderung.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Datensicherung: tägliche vollständige Sicherung der Datenbank mit automatischer Plausibilitätsprüfung; Aufbewahrung 14 Tage; zusätzlich Sicherung der Systeme in einem räumlich getrennten Brandabschnitt als unveränderbare Online-Sicherung (Immutable Backup, Schutz vor Löschung und Verschlüsselung durch Schadsoftware); Schlüsselmaterial wird getrennt von den Sicherungen aufbewahrt.
• Wiederherstellungsverfahren und regelmäßige Tests der Restore-Fähigkeit (Art. 32 Abs. 1 lit. c DSGVO).
• Betrieb auf Proxmox-Virtualisierung mit getrennten virtuellen Maschinen für Anwendung, Datenbank und Datensicherung.
• Schutzmaßnahmen gegen Überlastung und Angriffe (u. a. Rate-Limiting, Monitoring).
• Unterbrechungsfreie Stromversorgung und Klimatisierung durch das Rechenzentrum.
• Schutz vor Schadsoftware (Härtung, zeitnahes Patch-Management).

4. Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Transport: TLS für alle externen Verbindungen.
• Geheimnisse/Secrets: Fernet-Verschlüsselung der Provider-API-Schlüssel und der lokalen PII-Zuordnungsdaten.
• Passwörter: Argon2-Hashing (keine reversible Speicherung).
• Verschlüsselung gespeicherter Inhalte auf Anwendungsebene: Chat-Inhalte, Platzhalter-Zuordnungen und Gedächtnis-Einträge werden mit Fernet (AES-128-CBC + HMAC-SHA256) verschlüsselt, Schlüssel je Mandant abgeleitet.

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Datenschutz-Managementprozess mit regelmäßiger Überprüfung der Wirksamkeit der TOM.
• Regelmäßiges Patch- und Schwachstellenmanagement; zeitnahe Einspielung sicherheitsrelevanter Updates.
• Auftragskontrolle: vertragliche Bindung und Überwachung von Unterauftragsverarbeitern (vgl. Anlage 2).
• Verpflichtung der Beschäftigten auf Datengeheimnis und – soweit einschlägig – Berufsgeheimnis (§ 203 StGB), Sensibilisierung/Schulung.
• Incident-Response-Prozess für Datenschutzvorfälle (Erkennung, Bewertung, Meldung gemäß AVV § 7).
• Regelmäßige interne Sicherheitsprüfungen der Anwendung und Konfiguration sowie zeitnahes Einspielen von Sicherheitsupdates.

6. Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)

• Datensparsamkeit durch standardmäßig erzwungene Anonymisierung vor externer Verarbeitung.
• Möglichkeit des vollständig lokalen Betriebs ohne externen Transfer als datenschutzfreundliche Voreinstellung für besonders schutzbedürftige Verarbeitungen.
• Deaktivierung von Providern mit erhöhter Drittlandproblematik (DeepSeek standardmäßig deaktiviert).

Stand: 23.10.2026 – Die Maßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst.