Technische und organisatorische Maßnahmen (TOMs)

PestDeskPro implementiert geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO). Die nachfolgenden Maßnahmen sind verbindlicher Bestandteil des AVV (Anhang A).

Maßnahmen zur Verhinderung des Zutritts Unbefugter zu Datenverarbeitungsanlagen

• Nutzung von Cloud-Rechenzentren mit ISO 27001 und SOC 2 Zertifizierung
• Physischer Zugang zu Serverstandorten nur für autorisiertes Rechenzentrumspersonal
• Videoüberwachung, Alarmanlagen und Zugangskontrollsysteme an Serverstandorten
• Kein eigener Serverbetrieb durch PestDeskPro — ausschließlich zertifizierte EU-Cloud-Anbieter

Maßnahmen zur Verhinderung der Nutzung von Datenverarbeitungssystemen durch Unbefugte

• Starke Passwortrichtlinien (Mindestlänge, Komplexität, regelmäßige Rotation)
• Zwei-Faktor-Authentifizierung (2FA) für alle administrativen Zugänge
• Automatische Sitzungstrennung nach Inaktivität
• Verschlüsselte Übertragung aller Zugangsdaten (TLS 1.2+)
• Zentrale Identitätsverwaltung und Single Sign-On (SSO) für Enterprise-Kunden
• Protokollierung aller fehlgeschlagenen Anmeldeversuche und automatische Sperrung bei Brute-Force

Maßnahmen zur Gewährleistung, dass nur befugte Personen auf die für sie relevanten Daten zugreifen können

• Rollenbasiertes Zugriffsmanagement (RBAC) — Techniker, Dispatcher, Admin, Supervisor, Auditor
• Prinzip der minimalen Rechtevergabe (Least Privilege)
• Strikte Mandantentrennung: Kunden sehen ausschließlich eigene Daten
• Keine mandantenübergreifende Datensicht ohne explizite technische Konfiguration
• Protokollierung aller Datenzugriffe in einem unveränderlichen Audit-Log
• Regelmäßige Überprüfung und Bereinigung von Berechtigungen (mindestens halbjährlich)

Maßnahmen zur getrennten Verarbeitung von Daten unterschiedlicher Auftraggeber

• Logische Mandantentrennung auf Datenbankebene (jeder Kunde hat eigene company_id-Isolation)
• Strikte Trennung von Produktions-, Test- und Entwicklungsumgebungen
• Keine Verwendung von Echtdaten in Test- oder Entwicklungsumgebungen
• Getrennte Logging-Streams pro Mandant

Maßnahmen zur Gewährleistung, dass personenbezogene Daten bei der Übertragung nicht unbefugt gelesen werden können

• Verschlüsselte Datenübertragung via TLS 1.2+ (HTTPS) für alle API- und Webzugriffe
• Verschlüsselung ruhender Daten (AES-256) auf Datenbankebene
• Keine Weitergabe von Daten an Dritte ohne ausdrückliche Weisung des Verantwortlichen
• Alle E-Mail-Benachrichtigungen enthalten keine vollständigen Datensätze, nur Verweise
• Dateiübertragungen via signierte, zeitlich begrenzte URLs

Maßnahmen zur nachträglichen Feststellung, wer Daten eingegeben, verändert oder gelöscht hat

• Vollständiges, unveränderliches Audit-Log für alle datenschutzrelevanten Aktionen
• Protokollierung von Benutzer-ID, Zeitstempel, IP-Adresse und Art der Aktion
• Versionshistorie für kritische Entitäten (Protokolle, Aufträge)
• Audit-Logs werden für mindestens 12 Monate aufbewahrt
• Kein nachträgliches Löschen von Audit-Log-Einträgen durch reguläre Nutzer möglich

Maßnahmen zum Schutz gegen zufällige oder mutwillige Zerstörung oder Verlust

• Automatisierte tägliche Datensicherungen mit mindestens 14 Tagen Aufbewahrung
• Georedundante Datenspeicherung innerhalb der EU
• Regelmäßige Disaster-Recovery-Tests
• Monitoring und automatische Alarmierung bei Systemausfällen (24/7)
• Angestrebte Verfügbarkeit: 98% im Jahresdurchschnitt (gemäß SLA im Hauptvertrag)
• DDoS-Schutz durch Cloud-Infrastrukturmaßnahmen

• Benennung eines Datenschutzbeauftragten (sofern gesetzlich erforderlich)
• Regelmäßige Datenschutz-Schulungen für alle Mitarbeitenden mit Datenzugang
• Verpflichtung aller Mitarbeitenden zur Vertraulichkeit (vertragliche und gesetzliche Grundlage)
• Dokumentiertes Incident-Response-Verfahren für Datenschutzverletzungen
• Regelmäßige interne und externe Sicherheitsaudits (mindestens jährlich)
• Durchführung von Datenschutz-Folgenabschätzungen (DSFA) bei risikoreichen Verarbeitungen
• Clean-Desk-Policy und gesperrte Bildschirme bei Verlassen des Arbeitsplatzes
• Verfahrensverzeichnis gemäß Art. 30 DSGVO wird aktuell gehalten

9. Pseudonymisierung und Verschlüsselung

• Passwörter werden ausschließlich als gesalzene Hashes (bcrypt) gespeichert — keine Klartext-Passwörter
• API-Tokens werden als nicht-umkehrbare Hashes gespeichert
• Sensible Felder (z.B. Biozid-Zulassungsnummern) können auf Wunsch zusätzlich auf Anwendungsebene verschlüsselt werden
• GPS-Daten werden nach Ablauf der Aufbewahrungsfrist automatisch pseudonymisiert

10. Überprüfung und Aktualisierung der TOMs

Die TOMs werden mindestens einmal jährlich sowie anlassbezogen (z.B. nach Sicherheitsvorfällen, wesentlichen Systemänderungen) überprüft und bei Bedarf angepasst. Wesentliche Änderungen werden dem Verantwortlichen im Rahmen der AVV-Aktualisierung mitgeteilt.