NotrufNexus LogoNotrufNexusBOS-Simulationsplattform
Zurück zur Sicherheits-Übersicht

Anlage zum Auftragsverarbeitungsvertrag

Technische und organisatorische Maßnahmen (TOMs)

Gemäß Art. 32 DSGVO zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus bei der Verarbeitung personenbezogener Daten in der NotrufNexus-Plattform.

Stand: 2026 · Verantwortlich: NomadOps – SF Digital Solutions, 64823 Groß-Umstadt

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

  • Hosting in zertifizierten deutschen Rechenzentren (Hetzner Online GmbH, Falkenstein/Nürnberg).
  • Physischer Zutritt nur für autorisiertes Rechenzentrums-Personal mit Mehrfaktor-Authentifizierung.
  • Videoüberwachung, biometrische Zugangskontrolle, Sicherheitsdienst rund um die Uhr.

Zugangskontrolle

  • Benutzer-Authentifizierung über E-Mail und Passwort (bcrypt-Hashing nach Stand der Technik).
  • 2-Faktor-Authentifizierung für Administrator-Zugänge (TOTP / Hardware-Token).
  • Restriktive Allowlist für Admin-E-Mail-Adressen, Passwort-Wechselzwang bei Verdachtsfall.
  • Automatischer Session-Timeout nach 8 Stunden Inaktivität.

Zugriffskontrolle

  • Rollenbasiertes Berechtigungssystem (RBAC) mit Trennung nach Admin, Trainer, Disponent.
  • Mandantentrennung (Tenant-Isolation) auf Datenbank- und Anwendungsebene.
  • Kein Zugriff auf rohe Anrufmitschnitte oder Trainees-Daten durch Plattform-Admins ohne dokumentierte Weisung.
  • Privileged Access nur über dedizierte Bastion-Hosts mit Logging.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

  • TLS 1.2/1.3 Verschlüsselung bei jeder Datenübertragung (HSTS aktiv).
  • Signierte API-Kommunikation zwischen Frontend, Backend und Sub-Processors.
  • Anrufmitschnitte und Transkripte werden ausschließlich über verschlüsselte Kanäle übertragen.
  • Keine Datenübertragung an unsichere Drittsysteme – jede Sub-Verarbeitung ist im AVV gelistet.

Eingabekontrolle

  • Logging aller relevanten Benutzeraktionen (Login, CRUD, Export, Sync) im Audit-Log.
  • Audit-Trails für Änderungen an Trainings, Bewertungen, Skripten und CMS-Inhalten.
  • Manipulationssichere Speicherung mit Append-Only-Logs.
  • Vollständige Nachvollziehbarkeit „Wer hat was wann geändert?“.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Backup- und Wiederherstellungskonzept

  • Tägliche, automatisierte Backups der Datenbank in einem geographisch getrennten Rechenzentrum.
  • Verschlüsselte Backups (AES-256) mit 30 Tagen Retention.
  • Regelmäßige Restore-Tests zur Verifikation der Backup-Integrität.

Monitoring & Verfügbarkeit

  • 24/7-Monitoring mit Alerting bei Auffälligkeiten (Verfügbarkeit, Latenzen, Fehlerraten).
  • Redundante Infrastruktur (mehrere Cluster-Knoten, Failover bei Ausfall).
  • DDoS-Schutz auf Netzwerk- und Anwendungsebene.
  • Definierte Service Levels (SLA): 99,5 % monatliche Verfügbarkeit.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Prüfung & Incident-Response

  • Regelmäßige Sicherheits-Reviews und Schwachstellen-Analysen (mindestens halbjährlich).
  • Patch-Management: kritische Updates innerhalb von 72 Stunden, reguläre Updates wöchentlich.
  • Dokumentierter Incident-Response-Prozess mit definierten Eskalationsstufen.
  • Meldung an Verantwortliche unverzüglich, bei meldepflichtigen Vorfällen Unterstützung der 72-Stunden-Frist nach Art. 33 DSGVO.
  • Jährliche Überprüfung der Berechtigungen und Zugangsrechte.

5. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

Datenverschlüsselung

  • AES-256 Verschlüsselung ruhender Daten (Datenbank, Backups, Audio-Aufzeichnungen).
  • Pseudonymisierung von Trainee-Identifiern in Auswertungen und Statistiken.
  • Minimierung personenbezogener Daten in externen API-Aufrufen (z. B. KI-Dienste).
  • Temporäre Verarbeitung in KI-Systemen ohne dauerhafte Speicherung.

6. Trennung (Art. 32 Abs. 1 DSGVO)

Mandanten- und Zwecktrennung

  • Strikte Mandantentrennung pro Organisation (Tenant-Isolation).
  • Logische Datenisolation zwischen Trainings-, Auswertungs- und Verwaltungsdaten.
  • Trennung von Test-, Staging- und Produktivumgebung.
  • Verarbeitung erfolgt ausschließlich zweckgebunden gemäß dem AVV.

7. Datenschutz durch Technikgestaltung (Art. 25 DSGVO)

Privacy by Design & by Default

  • Datensparsamkeit: nur notwendige Daten werden erhoben und verarbeitet.
  • Automatische Löschfristen für Anrufmitschnitte (max. 90 Tage) und Transkripte (max. 12 Monate).
  • Privacy-by-Default-Einstellungen für neue Mandanten.
  • Keine biometrische Identifikation, keine Stimmerkennung von Sprechern.
  • Keine Nutzung von Trainings-Audiodaten zum Modell-Training durch Sub-Processors.

Weiterführende Dokumente