Back
WorkosyWorkosy

Technische und organisatorische Maßnahmen

Anlage 1 zum Auftragsverarbeitungsvertrag (AVV) — Stand: 7. April 2026

Die folgenden Maßnahmen beschreiben den aktuellen Stand der technischen und organisatorischen Vorkehrungen gemäß Art. 32 DSGVO, die der Auftragsverarbeiter zum Schutz personenbezogener Daten trifft. Der Auftragsverarbeiter behält sich vor, einzelne Maßnahmen jederzeit anzupassen, solange das Schutzniveau insgesamt nicht unterschritten wird.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

Maßnahmen, die Unbefugten den physischen Zutritt zu Datenverarbeitungsanlagen verwehren:

  • Alle Produktivsysteme laufen in Rechenzentren der Hetzner Online GmbH in Deutschland (Standorte Falkenstein, Nürnberg). Die Rechenzentren verfügen über:
    • mehrstufige Zutrittskontrollsysteme (Schleusen, Vereinzelungsanlagen),
    • 24/7-Videoüberwachung aller Zugangsbereiche,
    • biometrische Zugangskontrolle für Serverräume,
    • personalisierte Zutrittskarten mit Protokollierung,
    • Sicherheitspersonal vor Ort.
  • Der Auftragsverarbeiter betreibt keine eigenen Serverräume. Entwicklungsarbeitsplätze befinden sich in gesicherten Büroräumen mit Zutrittskontrolle.

1.2 Zugangskontrolle

Maßnahmen, die verhindern, dass Unbefugte die Datenverarbeitungssysteme nutzen:

  • Endnutzer-Authentifizierung: Über Clerk mit Unterstützung für Multi-Faktor-Authentifizierung (MFA), Social-Login (OAuth 2.0) und passwortlose Anmeldung (Magic Links). Passwortkomplexitätsrichtlinien durch Clerk erzwungen.
  • Session-Management: JWT-basierte Sessions mit konfigurierbarer Gültigkeitsdauer. Automatische Session-Invalidierung bei Inaktivität.
  • Administrativer Zugang zur Infrastruktur: Ausschließlich über SSH-Key-Authentifizierung (keine Passwort-Logins). Zugang zum Deployment-System (Coolify) über HTTPS mit individuellen Accounts und MFA.
  • Datenbank-Zugang: Nur über interne Netzwerke (kein öffentlich exponierter Port). Zugriff über SSH-Tunnel oder VPN.
  • Fehlgeschlagene Anmeldeversuche: Rate-Limiting und temporäre Kontosperrung bei wiederholten Fehlversuchen (durch Clerk und Cloudflare).

1.3 Zugriffskontrolle

Maßnahmen, die sicherstellen, dass Berechtigte nur auf die ihrem Zugriffsprofil unterliegenden Daten zugreifen:

  • Rollenbasierte Zugriffskontrolle (RBAC): Feature-basiertes Berechtigungssystem mit vier Standard-Rollen (Owner, Admin, Member, Guest) und Unterstützung für benutzerdefinierte Rollen. Berechtigungen nach dem Muster modul.ressource.aktion mit Wildcard-Support.
  • Workspace-Isolation: Alle Business-Daten sind einem Workspace zugeordnet. Automatische workspace_id-Filterung auf allen Datenbankabfragen über zentrale Helper-Funktionen. Cross-Workspace-Zugriff auf Nutzerdaten ist technisch unterbunden.
  • Least-Privilege-Prinzip: Interne Systeme und Service-Accounts erhalten nur die minimal erforderlichen Berechtigungen.
  • OAuth-Scopes: Drittanbieter-Integrationen (Microsoft Graph) nutzen die minimal erforderlichen Scopes (Calendars.ReadWrite, Mail.Read).

1.4 Trennungskontrolle

Maßnahmen, die sicherstellen, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden:

  • Logische Mandantentrennung über workspace_id als Fremdschlüssel auf allen Business-Tabellen.
  • Separate Datenbankschemas für verschiedene Funktionsbereiche (CRM, Tasks, Docs, Auth).
  • Strikte Trennung von Produktions-, Staging- und Entwicklungsumgebungen.
  • OAuth-Tokens und Kalender-Credentials werden benutzerbezogen gespeichert und nie workspace-übergreifend geteilt.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

Maßnahmen, die verhindern, dass Daten bei der Übertragung oder Speicherung unbefugt gelesen, kopiert oder verändert werden:

  • Transport-Verschlüsselung: Alle Client-Server-Verbindungen über TLS 1.2+ (HTTPS). Erzwingung über Cloudflare (HSTS, automatische HTTP→HTTPS-Umleitung). TLS-Zertifikate über Cloudflare/Let's Encrypt automatisch erneuert.
  • Verschlüsselung at Rest: OAuth-Tokens und sensible Zugangsdaten werden vor der Speicherung mit AES-256-GCM verschlüsselt (anwendungsseitige Verschlüsselung). Hetzner Object Storage: serverseitige Verschlüsselung. PostgreSQL-Backups: verschlüsselte Übertragung und Speicherung.
  • Interne Kommunikation: Kommunikation zwischen Application Server, PostgreSQL, Redis und Hocuspocus über privates Hetzner-Netzwerk (nicht öffentlich erreichbar).
  • Websocket-Verbindungen: Verschlüsselt über WSS (TLS) via Pusher.
  • E-Mail-Versand: Transaktions-E-Mails über Resend mit TLS-Verschlüsselung, DKIM-, SPF- und DMARC-konfiguriert.

2.2 Eingabekontrolle

Maßnahmen, die die nachträgliche Überprüfung ermöglichen, ob und von wem Daten eingegeben, verändert oder entfernt wurden:

  • Aktivitätsprotokolle: Zentrale activities-Tabelle protokolliert wesentliche Datenänderungen mit Zeitstempel, Nutzer-ID und Aktion (Created, Updated, Deleted, StatusChanged, etc.).
  • Dokumenten-Versionierung: Automatische Versionierung über den Echtzeit-Editor (Yjs). Änderungen sind nachvollziehbar.
  • Soft Delete: Löschungen werden über deleted_at-Timestamps realisiert, sodass eine Wiederherstellung innerhalb eines definierten Zeitraums möglich ist.
  • Server-Logs: Application-Logs mit Zugriffsprotokollierung. Log-Rotation und Aufbewahrung gemäß betrieblichen Anforderungen.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

3.1 Verfügbarkeitskontrolle

Maßnahmen, die sicherstellen, dass Daten gegen zufällige Zerstörung oder Verlust geschützt sind:

  • Backup-Strategie: Tägliche automatisierte Backups der PostgreSQL-Datenbank. Backups werden verschlüsselt auf Hetzner Object Storage abgelegt. Aufbewahrung: mindestens 14 Tage rollierend.
  • Dateispeicherung: Dateien auf Hetzner Object Storage mit redundanter Speicherung (mindestens 3-fache Replikation innerhalb des Standorts).
  • Monitoring und Alerting: Automatisierte Überwachung aller kritischen Dienste (Application Server, PostgreSQL, Redis, Hocuspocus). Automatische Benachrichtigung bei Ausfällen oder Leistungseinbrüchen.
  • Disaster Recovery: Dokumentiertes Wiederherstellungskonzept. Recovery Point Objective (RPO): 24 Stunden (tägliches Backup). Recovery Time Objective (RTO): 4 Stunden (Zielwert).
  • DDoS-Schutz: Cloudflare als vorgelagerter Reverse-Proxy mit automatischer DDoS-Mitigation, Rate-Limiting und Web Application Firewall (WAF).

3.2 Belastbarkeit

Maßnahmen zur Sicherstellung der Belastbarkeit der Systeme:

  • Container-Architektur: Alle Dienste laufen in Docker-Containern, verwaltet über Coolify. Automatischer Neustart bei Container-Absturz (Restart-Policy).
  • Skalierbarkeit: Application Server horizontal skalierbar. Datenbank vertikal skalierbar (Hetzner Cloud Server Upgrade).
  • Ressourcen-Isolation: Separate Container für Application Server, PostgreSQL, Redis, Hocuspocus und BullMQ Worker. Ein Ausfall eines Dienstes beeinträchtigt andere Dienste nicht unmittelbar.

3.3 Wiederherstellbarkeit

Maßnahmen zur raschen Wiederherstellung nach einem Zwischenfall:

  • Dokumentierte Wiederherstellungsprozeduren für Datenbank-Recovery aus Backups.
  • Infrastructure-as-Code: Deployment-Konfiguration versioniert und reproduzierbar.
  • Echtzeit-Dokumente: Client-seitig zwischengespeichert (IndexedDB), sodass Nutzer bei kurzzeitigen Server-Ausfällen weiterarbeiten können und Daten bei Wiederverbindung synchronisiert werden.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

4.1 Datenschutz-Management

  • Regelmäßige Überprüfung und Aktualisierung der TOMs, mindestens einmal jährlich oder bei wesentlichen Änderungen der Verarbeitungstätigkeiten.
  • Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs und der Zwecke der Verarbeitung bei der Anpassung der Maßnahmen.
  • Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 DSGVO.

4.2 Incident-Response

  • Definierter Prozess zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen (siehe § 12 des AVV).
  • Automatisiertes Monitoring zur frühzeitigen Erkennung von Anomalien und Sicherheitsvorfällen.

4.3 Mitarbeiter

  • Verpflichtung aller Mitarbeiter und Auftragnehmer auf Vertraulichkeit und Datenschutz.
  • Sensibilisierung für datenschutzrelevante Themen und Informationssicherheit.

4.4 Auftragnehmer- und Lieferantenkontrolle

  • Sorgfältige Auswahl von Unterauftragsverarbeitern unter Berücksichtigung ihrer technisch-organisatorischen Maßnahmen.
  • Vertragliche Verpflichtung aller Unterauftragsverarbeiter auf ein angemessenes Datenschutzniveau (siehe § 6 des AVV).
  • Regelmäßige Überprüfung der Datenschutzerklärungen und Compliance-Nachweise der Unterauftragsverarbeiter.

5. Ergänzende Maßnahmen

5.1 Privacy by Design und Privacy by Default

  • Datenschutzfreundliche Voreinstellungen: Neue Workspaces starten mit restriktiven Berechtigungen (Guest-Rolle ohne Schreibzugriff).
  • KI-Assistent ist standardmäßig deaktiviert und muss vom Workspace-Owner bewusst aktiviert werden.
  • Kalender- und E-Mail-Integrationen erfordern explizite OAuth-Autorisierung pro Nutzer.
  • Soft Delete ermöglicht Wiederherstellung versehentlich gelöschter Daten.

5.2 Datenminimierung

  • Kalender-Synchronisation: Nur die für die Anzeige und Planung erforderlichen Event-Daten werden gespeichert.
  • E-Mail-Kontext im CRM: E-Mails werden on-demand abgerufen und nicht dauerhaft in der Plattform gespeichert.
  • KI-Assistent: An Anthropic übermittelte Daten werden nicht zum Modell-Training verwendet. API-Eingaben werden für maximal 30 Tage zur Missbrauchserkennung gespeichert (Anthropic-Policy).
  • Server-Logs: Automatische Rotation und Löschung nach betrieblich erforderlichem Zeitraum.

5.3 Sichere Entwicklung

  • Code-Reviews vor Produktiv-Deployments.
  • Dependency-Monitoring auf bekannte Sicherheitslücken.
  • Eingabevalidierung und Ausgabe-Encoding zur Vermeidung von Injection-Angriffen (SQL-Injection, XSS).
  • Einsatz von Drizzle ORM mit parametrisierten Queries zur Verhinderung von SQL-Injection.
  • Content Security Policy (CSP) und weitere Security-Header über Cloudflare und Next.js.

Diese Anlage wird vom Auftragsverarbeiter bei Bedarf aktualisiert. Die jeweils aktuelle Fassung ist auf dieser Seite einsehbar. Bei wesentlichen Änderungen wird der Verantwortliche gemäß § 16 Abs. 1 des AVV informiert.