← Zurück zur Startseite

Technische und Organisatorische Maßnahmen (TOMs)

Sicherheitskonzept gemäß Art. 32 Datenschutz-Grundverordnung (DSGVO) für geteventgate.de

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Hosting in deutschen ISO/IEC 27001 zertifizierten Hochsicherheits-Rechenzentren der Hetzner Online GmbH. Elektronische Schließsysteme, 24/7-Videoüberwachung, biometrische Schleusen.
• Zugangskontrolle: SSH-Zugriff nur per kryptographischen Ed25519-Schlüsseln (Passwort-Login deaktiviert). Automatische Firewall-Regeln und Fail2ban zur Abwehr unberechtigter Anmeldeversuche.
• Zugriffskontrolle: Strikte rollenbasierte Zugriffskontrolle (RBAC). Technisch erzwungene Mandantentrennung in der Datenbank (Row Level Security & Mandanten-Isolation), sodass keine Organisation Daten fremder Veranstaltungen einsehen kann.
• Pseudonymisierung & Transportverschlüsselung: Durchgehende Transportverschlüsselung (HTTPS via TLS 1.3 / TLS 1.2 mit modernen ECDHE-Ciphern und HSTS). Verschlüsselte Datenbankverbindungen.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle: Keine unverschlüsselte Übertragung von Daten. API- und Datenbankverbindungen sind isoliert und laufen über gesicherte Localhost-Sockets bzw. Docker-Netzwerke ohne öffentliche Angriffsfläche.
• Eingabekontrolle & Revisionssicherheit: Jede Statusänderung (Freigaben, Dokumenten-Uploads, Anforderungsstatus) wird mit Zeitstempel und Benutzer-ID in einem unveränderlichen Revisions-Log (Audit-Log) dokumentiert.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Verfügbarkeitskontrolle: Automatisiertes Uptime-Monitoring (`/api/health`), unterbrechungsfreie Stromversorgung (USV) und redundante Glasfaser-Netzanbindungen im Rechenzentrum.
• Wiederherstellbarkeit: Tägliche automatisierte Backups der Datenbank mit revisionssicherer Speicherung und regelmäßig getesteten Desaster-Recovery-Routinen.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Datenschutz-Management: Regelmäßige Überprüfung der installierten Software-Abhängigkeiten auf Sicherheitslücken (`npm audit`, automatische Security-Patches des Linux-Kernels).
• Incident-Response: Dokumentierte Eskalationsprozesse zur unverzüglichen Meldung von Sicherheitsvorfällen binnen 72 Stunden an die zuständigen Aufsichtsbehörden gemäß Art. 33 DSGVO.