Technisch-organisatorische Maßnahmen (TOMs)

Verantwortlicher / Auftragnehmer:
Hurst & Lang UG (haftungsbeschränkt)
Königinstraße 101
80802 München
Deutschland

1. Server & Infrastruktur

• Serverstandort: Hetzner Online GmbH, Deutschland (ISO 27001-zertifiziert).
• Physische Zutrittskontrollen und Videoüberwachung in den Rechenzentren.
• Kein unbefugter physischer Zugriff auf Server oder Systemkomponenten.

2. Zugangs- und Zugriffskontrolle

• Zugriff auf Systeme ausschließlich für autorisierte Personen.
• Passwortschutz (8 Zeichen, muss Buchstaben und Zahlen enthalten).
• max. 10 Anfragen pro 15 Minuten zur Anmeldung.
• optionale 2-Faktor-Authentifizierung bei sicherheitsrelevanten Systemen.
• Kein Endkunden-Zugriff auf Backend-, Workflow- oder Administrationsbereiche.
• Internes Rollen- und Berechtigungskonzept.

3. Datenübertragung & Verschlüsselung

• Ausschließlich verschlüsselte Datenübertragung (HTTPS / TLS 1.2 oder höher).
• Nutzung von API-Tokens, Signaturen oder Webhook-Authentifizierung bei Schnittstellen.

4. Protokollierung & Kontrolle

• Protokollierung von System-, API- und Workflow-Zugriffen zur Fehleranalyse und Sicherheit.
• Logdaten werden ausschließlich zu betrieblichen Zwecken verwendet.
• Automatische Löschung von Logdaten nach 30–90 Tagen.

5. Verfügbarkeit & Backup

• Regelmäßige Backups und System-Snapshots.
• Technisches Monitoring und Überwachung der Systeme.
• DDoS-Schutz durch den Infrastruktur-Provider.

6. Weitergabe & Auftragskontrolle

• Keine Weitergabe personenbezogener Daten an unbefugte Dritte.
• Einsatz von Subdienstleistern ausschließlich auf vertraglicher Grundlage (AVV).
• Kein unautorisierter Zugriff durch Subdienstleister.

7. Trennungsgebot

• Logische Trennung von Mandanten- und Projektdaten.
• Keine Vermischung von Daten unterschiedlicher Kunden oder Systeme.

8. Datenschutz durch Technikgestaltung

• Speicherung personenbezogener Daten nur, soweit technisch erforderlich.
• Nutzung anonymisierter oder aggregierter Daten zur Systemoptimierung, sofern möglich.