Technische und organisatorische Maßnahmen

Anhang zum Auftragsverarbeitungsvertrag nach Art. 28 und 32 DSGVO. Verantwortlich für die Umsetzung: Dipl.-Ing. (FH) Dominik Rattenberger, BSc, Föhrenweg 5, 9321 Kappel am Krappfeld, Österreich.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

• Die Datenverarbeitung erfolgt ausschließlich in Rechenzentren der Hetzner Online GmbH an Standorten in Deutschland. Physische Sicherheit, Zutrittskontrolle und Zertifizierungen (u. a. ISO 27001) stellt Hetzner sicher.
• Es gibt keinen eigenen Serverbetrieb in Büro- oder Privaträumen.

Zugangskontrolle

• Anmeldung ausschließlich über individuelle Konten mit E-Mail-Adresse und Passwort.
• Passwörter werden niemals im Klartext gespeichert, sondern ausschließlich als gesalzener kryptografischer Hash (bcrypt, Kostenfaktor 12).
• Sitzungen laufen über signierte JSON Web Tokens. Das Signaturgeheimnis wird in der Produktionsumgebung erzwungen — fehlt es, verweigert die Anwendung den Start.
• Eine Mindestlänge von acht Zeichen für Passwörter wird erzwungen.
• Anmeldung, Registrierung, Passwort-Anforderung und Passwort-Zurücksetzung sind je Absenderadresse mengenmäßig begrenzt und damit gegen automatisiertes Durchprobieren geschützt.

Zugriffskontrolle

• Rollenbasiertes Berechtigungskonzept: Mitglied und Administrator je Verein sowie Superadministrator für den Plattformbetrieb.
• Der Zugriff auf Vereinsdaten ist auf Mitglieder des jeweiligen Vereins beschränkt.
• Anbieterprofile und Angebote des Dienstleistungs-Marktplatzes hängen am Benutzerkonto, nicht am Verein, und sind ausschließlich für den jeweiligen Kontoinhaber zugreifbar.
• Jeder Zugriff wird serverseitig geprüft, nicht nur in der Benutzeroberfläche.

Trennungskontrolle

• Logische Trennung der Vereinsdaten anhand der Vereinszugehörigkeit auf Datenbankebene.
• Getrennte Umgebungen für Entwicklung und Produktion.

Pseudonymisierung und Verschlüsselung

• Verschlüsselte Datenübertragung über TLS/HTTPS.
• Passwörter ausschließlich als Einweg-Hash; Token zum Zurücksetzen des Passworts haben eine kurze Gültigkeit und verfallen nach einmaliger Verwendung.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

• Personenbezogene Daten werden ausschließlich über verschlüsselte Verbindungen übertragen; HTTPS wird über HSTS erzwungen.
• Auf allen ausgelieferten Seiten sind Sicherheits-Kopfzeilen gesetzt: Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options als Schutz gegen die Einbettung in fremde Seiten sowie Referrer-Policy.
• Zugriffe aus fremden Domains sind technisch eingeschränkt (CORS).
• Der E-Mail-Versand läuft über einen Auftragsverarbeiter (siehe Abschnitt 5).

Eingabekontrolle

• Sicherheitsrelevante Aktionen werden mit Zeitstempel protokolliert (Audit-Log).
• Eingehende Daten werden serverseitig validiert.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• Betrieb auf redundant ausgelegter Infrastruktur der Hetzner Online GmbH.
• Regelmäßige, automatisierte Datensicherungen der Datenbank durch die verwaltete PostgreSQL-Instanz der Betriebsplattform.
• Wiederherstellbarkeit der Daten nach einem Zwischenfall.

4. Regelmäßige Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d DSGVO)

• Einsatz aktueller, gepflegter Software-Abhängigkeiten und regelmäßige Sicherheits-Updates.
• Trennung von Test- und Produktivdaten.
• Subprozessoren werden vertraglich verpflichtet und regelmäßig überprüft (Auftragskontrolle).
• Datenschutzverletzungen werden dem Verantwortlichen unverzüglich nach Bekanntwerden gemeldet.

5. Subprozessoren

Für den Betrieb werden die folgenden Unterauftragsverarbeiter eingesetzt. Mit Abschluss des Auftragsverarbeitungsvertrags stimmt der Verein deren Einsatz zu.

• Hetzner Online GmbH, Gunzenhausen, Deutschland — Hosting, Server- und Datenbankbetrieb, Speicherung. Datenstandort Deutschland; ein Drittlandtransfer findet nicht statt.
• Resend, Inc., San Francisco, USA — Versand der transaktionalen E-Mails (Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Buchungs- und Beitrittsbenachrichtigungen, Weiterleitung von Anfragen an Anbieter). Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 DSGVO.

Bei Aktivierung weiterer Funktionen kommt ein Zahlungsdienstleister hinzu (Stripe Payments Europe, Ltd., Irland) — ausschließlich für die Abwicklung kostenpflichtiger Tarife und erst mit deren Freischaltung. Über die Hinzuziehung weiterer Unterauftragsverarbeiter informieren wir rechtzeitig vorab; der Verein kann widersprechen.

Diese Maßnahmen beschreiben den Stand zum oben genannten Datum. Sie werden fortlaufend an den Stand der Technik angepasst; wesentliche Änderungen geben wir hier bekannt. Fragen dazu gerne an hallo@spielleicht.at.