Technische und organisatorische Maßnahmen (TOMs)

gemäß Art. 32 DSGVO für den webbasierten Dienst "Projekt-LOG"

Stand: 21. Oktober 2026.

Diese TOMs sind inhaltlich identisch mit Anlage 3 des Auftragsverarbeitungsvertrags (AVV) und werden hier zusätzlich als eigenständiges Dokument bereitgestellt, damit sie unabhängig vom vollständigen AVV eingesehen werden können. Bei Widersprüchen zwischen dieser Seite und dem jeweils aktuell abgeschlossenen AVV geht die Fassung im AVV vor.

1. Organisation und Zugriff

• individuelle Nutzerkonten und serverseitig geprüfte Rollen (Admin/User) innerhalb der Kundenumgebung; ein Admin kann seine eigene Rolle und sein eigenes Konto nicht ändern oder löschen (Schutz gegen versehentliches Aussperren);
• strikte, ausschließlich serverseitig durchgesetzte Mandantentrennung: die Firmen-ID wird bei jeder Datenbankabfrage ausschließlich aus der Server-Session gelesen, nie aus Client-Parametern;
• die Zugehörigkeit einer Firma zur aktuell aufgerufenen Instanz sowie der Kontostatus werden bei jedem Login UND bei jedem einzelnen Seitenaufruf einer laufenden Sitzung erneut geprüft, nicht nur beim Login;
• beim Sperren oder Entfernen eines Nutzers werden dessen „Angemeldet bleiben“-Anmeldungen sofort ungültig;
• Fehler werden ausschließlich serverseitig protokolliert, niemals im Browser angezeigt.

2. Authentifizierung und Anwendungssicherheit

• TLS-verschlüsselte Übertragung zwischen Browser und Server;
• Passwörter werden ausschließlich mit Argon2id gehasht (Fallback: SHA-256-Vorhash kombiniert mit bcrypt, falls Argon2id auf dem Server nicht verfügbar ist) — nie im Klartext gespeichert oder protokolliert; auch sehr lange Passwörter aus Passwort-Managern werden vollständig berücksichtigt;
• Sperre eines Kontos für 15 Minuten nach fünf fehlgeschlagenen Anmeldeversuchen;
• Session-Cookies sind mit den Attributen HttpOnly, Secure und SameSite=Strict gesetzt;
• „Angemeldet bleiben“ nur auf ausdrücklichen Wunsch, höchstens 7 Tage, serverseitig nur als Prüfwert gespeichert;
• Links zum Zurücksetzen des Passworts werden ausschließlich mit der fest hinterlegten Adresse des Dienstes erzeugt;
• serverseitige Whitelist-Prüfung bei sicherheitsrelevanten Eingaben (z. B. Rollenwerte);
• durchgängige Verwendung von PDO mit vorbereiteten, parametrisierten Statements — keine rohe String-Interpolation von Nutzereingaben in SQL-Abfragen;
• durchgängige Ausgabekodierung über eine zentrale Escaping-Funktion (ENT_QUOTES);
• E-Mail-Adressen werden vor sicherheitsrelevanten Versandvorgängen serverseitig validiert.

3. Mandantentrennung

• strikte, ausschließlich serverseitig durchgesetzte logische Mandantentrennung auf gemeinsam genutzter Serverinfrastruktur;
• jeder Kunde sieht ausschließlich die eigenen Daten, jede Datenbankabfrage ist zwingend nach der Firmen-ID aus der Server-Session gefiltert.

4. Nachvollziehbarkeit (Fulllog)

• nachvollziehbare Änderungsprotokollierung (Fulllog) mit Nutzerbezug, Zeitpunkt und, je nach eingestellter Protokollierungsstufe, Vorher-/Nachher-Werten;
• die Protokollierungstiefe ist pro Kunde über drei Stufen konfigurierbar: „Minimal“ (nur Fehler und technische Angaben), „Mittel“ (zusätzlich jede Änderung mit Vorher-/Nachher-Werten) und „Extrem“ (zusätzlich, wer welchen Datensatz angesehen hat); neue Kunden starten mit „Extrem“;
• direkter Datenbankzugriff erfolgt nur durch den Anbieter selbst, keine reguläre direkte Datenbankanbindung für externe Dienstleister.

5. Datensicherung

• stündliche Sicherung der Datenbank, komprimiert und nach jeder Sicherung durch probeweises Entpacken mit Prüfsummenvergleich auf Fehlerfreiheit geprüft;
• automatische Überwachung: bleibt eine Sicherung aus oder schlägt sie fehl, wird der Anbieter benachrichtigt;
• die Sicherungskopien werden von einem eigenen Server des Anbieters abgeholt und höchstens 90 Kalendertage aufbewahrt, danach automatisch gelöscht.

6. Sicherheitsvorfälle

Verantwortliche Kontaktperson für Sicherheitsvorfälle ist der Anbieter, Tobias Völzke, selbst. Als Einzelunternehmer kann er keine bestimmte Erreichbarkeit oder Reaktionszeit garantieren, bemüht sich jedoch nach Kenntniserlangung eines Vorfalls um eine so rasche wie im Einzelfall mögliche Erstbewertung und Information des Verantwortlichen.

Weiterentwicklung der Maßnahmen

Die technischen und organisatorischen Maßnahmen werden entsprechend Risiko, Stand der Technik und Art der Verarbeitung fortlaufend überprüft und weiterentwickelt.