Laravel ← Zur Startseite

Technische und organisatorische Maßnahmen

TECHNISCHE UND ORGANISATORISCHE MAßNAHMEN (TOM) NACH ART. 32 DSGVO

Stand: April 2026

Verantwortlich Arento AI GmbH, Wiesenstr. 28, 53773 Hennef E-Mail: info@arento.ai

Diese TOM-Liste beschreibt die zum Schutz personenbezogener Daten eingesetzten Maßnahmen und ist Anlage zum Vertrag zur Auftrags- verarbeitung.

  1. VERTRAULICHKEIT (ART. 32 ABS. 1 LIT. B DSGVO)

Zutrittskontrolle (physisch) — Hosting bei DigitalOcean (Rechenzentrum Frankfurt FRA1, ISO 27001- zertifiziert). — Kein direkter Zutritt der Mitarbeiter des Auftragnehmers zu Servern. — Büroräume sind durch Schließanlage und Alarmanlage gesichert.

Zugangskontrolle (logisch) — Authentifizierung mit individuellen Benutzerkonten (E-Mail + Passwort). — Passwörter gespeichert als bcrypt-Hash (nicht im Klartext). — Zwei-Faktor-Authentifizierung (TOTP) optional, für Admins erzwingbar. — Brute-Force-Schutz mit Login-Throttling. — Sitzungs-Cookies sind HttpOnly, Secure, SameSite=Lax.

Zugriffskontrolle (Berechtigungskonzept) — Drei Rollen pro Mandant: Owner, Admin, Member. — Sensible Bereiche (Versicherungen, Audit-Log, Versionsfreigaben) nur für Admin/Owner. — Mandantentrennung auf Anwendungs- und Datenbankebene (BelongsToCurrentCompany-Trait, Global Scope). — Lückenloses Audit-Log über alle sicherheitsrelevanten Änderungen.

Trennungskontrolle (Mandantentrennung) — Jeder Datensatz hat ein company_id-Feld; sämtliche Queries werden automatisch gefiltert. — Cross-Tenant-Zugriffe sind weder über die UI noch über die API möglich (HTTP 403).

Pseudonymisierung — UUIDs als Primärschlüssel; keine sequentiellen IDs in URLs. — Personenbezogene Daten werden nicht pseudonymisiert für die Verarbeitung selbst, da der Zweck der Plattform die direkte Adressierbarkeit der Personen erfordert (Notfall-Kontaktdaten).

  1. INTEGRITÄT (ART. 32 ABS. 1 LIT. B DSGVO)

Eingabekontrolle — Vollständiges Audit-Log (Wer, Wann, Was, Vorher/Nachher) für alle audit-relevanten Tabellen. — Audit-Log ist nur lesbar (keine Bearbeitung), automatische Aufbewahrung pro Mandant konfigurierbar.

Weitergabekontrolle — Alle Verbindungen verschlüsselt mit TLS 1.2 oder höher. — HTTPS strict (HSTS-Header), keine HTTP-Endpunkte für Datenübertragung. — API-Webhooks ausschließlich mit Bearer-Token-Authentifizierung; Token werden als SHA-256-Hash gespeichert.

  1. VERFÜGBARKEIT UND BELASTBARKEIT (ART. 32 ABS. 1 LIT. B DSGVO)

Verfügbarkeitskontrolle — Tägliche Datenbank-Backups, 30 Tage Aufbewahrung. — Hosting-Anbieter mit Multi-AZ-Architektur (Hochverfügbarkeit). — Monitoring der Anwendung mit automatischen Alarmen.

Wiederherstellbarkeit — Datenbank-Restore aus Backup innerhalb von 4 Stunden. — Mandanten-Archiv (ZIP) jederzeit durch den Auftraggeber abrufbar (vollständiger Selbst-Export aller Stammdaten, Audit-Log und Handbuch-PDFs).

  1. VERFAHREN ZUR REGELMÄßIGEN ÜBERPRÜFUNG (ART. 32 ABS. 1 LIT. D DSGVO)

— Sicherheits-Updates der Plattform-Komponenten werden mindestens monatlich eingespielt; sicherheitskritische Updates innerhalb von 7 Tagen. — Composer- und npm-Abhängigkeiten werden auf bekannte Schwachstellen gescannt (Composer Audit, npm audit). — Automatisierte Test-Suite mit über 600 Tests, die bei jedem Release durchläuft. — Vulnerability-Disclosure-Policy unter /.well-known/security.txt mit Kontakt für Sicherheits-Meldungen.

  1. INCIDENT-RESPONSE

— Internes Incident-Response-Verfahren mit Rollen, Eskalation und Meldekette. — Datenpannen werden binnen 24 Stunden nach Kenntnisnahme an betroffene Auftraggeber gemeldet. — Aufsichtsbehörde wird gemäß Art. 33 DSGVO binnen 72 Stunden informiert.

Hinweis: Diese TOM beschreibt den aktuellen Stand. Maßnahmen werden fortlaufend dem Stand der Technik angepasst. Wesentliche Änderungen werden den Auftraggebern in Textform mitgeteilt.