Technische und organisatorische Maßnahmen (TOM)

Version 1.0 (Entwurf) — Stand: 25. Juli 2026

Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die goodDEV Softwareentwicklung (nachfolgend „GoodFunds") zum Schutz personenbezogener Daten auf der GoodFunds-Plattform trifft. Es entspricht Anhang 2 der Vereinbarung zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO und wird unter dieser Adresse versioniert gepflegt.

Hinweis: Dieses Dokument befindet sich in anwaltlicher bzw. datenschutzrechtlicher Prüfung. Änderungen werden in der Änderungshistorie am Ende dokumentiert und den Auftraggebern gemäß AVV mit einer Frist von 4 Wochen mitgeteilt.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

• Betrieb der Plattform in einem Rechenzentrum von OVH in Limburg an der Lahn (Deutschland) mit zertifizierten physischen Sicherheitsmaßnahmen (Zutrittsbeschränkung, Überwachung, Brandschutz).
• Backups werden getrennt davon bei Hetzner Online GmbH (ISO 27001, Deutschland) gespeichert.
• Arbeitsplätze in abschließbaren Räumen; Festplattenverschlüsselung auf allen Arbeitsgeräten (FileVault/LUKS).

Zugangskontrolle

• Server-Zugang ausschließlich per SSH-Public-Key-Authentifizierung, kein Passwort-Login.
• Zwei-Faktor-Authentifizierung (2FA) für alle administrativen Zugänge (Versionsverwaltung, Hosting, Datenbank, E-Mail) sowie für Nutzerkonten der Plattform.
• Individuelle Benutzerkonten, kein Teilen von Zugangsdaten; Einsatz eines Passwort-Managers.
• Passwörter der Plattform-Nutzer werden ausschließlich als BCrypt-Hashes gespeichert, niemals im Klartext.
• Authentifizierung über RS256-signierte JWT-Tokens in HttpOnly-Cookies.

Zugriffskontrolle

• Berechtigungen nach dem Least-Privilege-Prinzip: Jede Rolle erhält nur die Rechte, die für ihre Aufgabe erforderlich sind.
• Getrennte Umgebungen für Entwicklung, Staging und Produktion; Zugriff auf Staging-Umgebungen ist auf das Entwicklungsteam beschränkt und erfolgt ausschließlich über gesicherte Verbindungen.
• Rollen- und Rechtekonzept innerhalb der Plattform (z. B. getrennte Rollen für Organisations-Administration und Mitarbeit).

Trennungskontrolle

• Mandantenfähige Datenarchitektur: Daten verschiedener Auftraggeber sind logisch voneinander getrennt.

2. Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Personenbezogene Daten (Name, E-Mail, Telefon, Adresse, IBAN u. a.) werden auf Feldebene mittels AES-256-GCM (Authenticated Encryption) verschlüsselt in der Datenbank gespeichert.
• Ausschließlich verschlüsselte Übertragung (TLS 1.2+); SSH/SFTP statt FTP.
• Verschlüsselung der Datenbank-Verbindungen (SSL/TLS).
• Passwort-Hashing mit BCrypt.

3. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Zahlungsdaten werden nicht auf eigenen Systemen gespeichert, sondern direkt an zertifizierte Payment-Provider übermittelt.
• Versionskontrolle (Git) für alle Code- und Konfigurationsänderungen; Datenbankänderungen ausschließlich über dokumentierte Migrations-Skripte.
• E-Mail-Authentifizierung per SPF, DKIM und DMARC für alle Versand-Domains — auch für Custom-Domains der Organisationen (Einrichtung über den GoodFunds Manager).
• Server- und Anwendungszugriffe werden protokolliert; Server-Logfiles werden maximal 30 Tage aufbewahrt.
• IP-Adressen werden in der Webanalyse maskiert (IP-Masking); die Webanalyse (Matomo) läuft auf eigener Infrastruktur.
• Keine Übermittlung personenbezogener Daten in Drittländer außerhalb der EU/des EWR (vgl. § 4 AVV).

4. Verfügbarkeit und Wiederherstellung (Art. 32 Abs. 1 lit. b und c DSGVO)

• Selbst betriebenes PostgreSQL-Cluster mit Patroni: automatisches Failover bei Ausfall eines Datenbank-Knotens.
• Redundante Produktions-Webserver mit Load Balancing; vorgelagerter HAProxy mit Floating IP für hochverfügbaren Zugang.
• Dateien (öffentlich und privat) liegen in einem S3-kompatiblen Objektspeicher von OVH (Region Frankfurt, Deutschland).
• Tägliche automatisierte Datenbank-Backups mit verschlüsselter Aufbewahrung bei einem vom Produktionsbetrieb getrennten Anbieter (Hetzner, Deutschland).
• Monitoring der Plattform-Verfügbarkeit mit automatischer Benachrichtigung.
• Getestete Wiederherstellungsprozeduren; Ziel: Wiederherstellung innerhalb von 24 Stunden.
• Redundante Infrastruktur (Strom, Netzwerk) durch die eingesetzten Rechenzentrumsbetreiber.

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Zeitnahe Sicherheitsupdates für Betriebssysteme und eingesetzte Software.
• Automatisierte CI/CD-Pipeline mit Sicherheitsprüfungen vor jedem Deployment.
• Regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.
• Verpflichtung aller Mitarbeitenden auf Vertraulichkeit und Datenschutz; die Pflicht besteht nach Vertragsende fort.
• Meldung von Verletzungen des Schutzes personenbezogener Daten an den Auftraggeber unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnisnahme.
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO), u. a. Datensparsamkeit bei Formularen und Logs.
• Prozesse zur Wahrung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Export).
• Definierte Löschfristen: 90 Tage Übergangsfrist nach Vertragsende, 4 Wochen Exportfrist, 10 Jahre Aufbewahrung für Zahlungs- und Steuerdaten (gesetzliche Pflicht).
• Einsatz von Subunternehmern nur auf Grundlage von Verträgen nach Art. 28 DSGVO; aktuelle Liste unter /legal/subunternehmer.
• Keine Weitergabe personenbezogener Daten an KI-Modelle; kein Training von Modellen mit Kundendaten (§ 7 AVV). Eingaben in KI-gestützte Felder durchlaufen einen PII-Filter, der versehentlich eingegebene personenbezogene Daten (z. B. Namen, E-Mail-Adressen, Anschriften) vor der Übermittlung an Sprachmodelle erkennt und entfernt.
• Überprüfungen durch den Auftraggeber sind nach Anmeldung mit mindestens 14 Tagen Vorlauf möglich (§ 9 AVV).

Änderungshistorie

Version	Datum	Änderung
1.0 (Entwurf)	25.07.2026	Erstfassung auf Basis von Anhang 2 der AVV-Vorlage (April 2026), Infrastruktur-Stand Juli 2026