Technische und organisatorische Maßnahmen
Stand: 25.07.2026
Bezug: Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO
Diese Seite beschreibt die technischen und organisatorischen Maßnahmen der kaIro digiTal Evolution GmbH, handelnd unter HostingUndDomains.de, gemäß Art. 32 DSGVO.
Die Maßnahmen gelten produkt- und leistungsübergreifend für Hosting-, Domain-, E-Mail-, Administrations-, Wartungs-, Support-, Backup-, Monitoring- und sonstige IT-Dienstleistungen, soweit HostingUndDomains.de personenbezogene Daten im Auftrag verarbeitet. Die konkrete Ausprägung richtet sich nach der jeweils beauftragten Leistung, der eingesetzten Systemumgebung und der Verantwortungsverteilung zwischen Kunde und HostingUndDomains.de.
1. Vertraulichkeit
1.1 Zutrittskontrolle
- Schutz von Geschäftsräumen, Arbeitsbereichen und technischen Systemen vor unbefugtem Zutritt
- angemessene Schlüssel-, Schließ- und Zugangskonzepte
- Beaufsichtigung von Besuchern in Bereichen mit Zugriffsmöglichkeit auf personenbezogene Daten
- keine unbeaufsichtigte Offenlegung von Kundendaten gegenüber Dritten
1.2 Zugangskontrolle
- personenbezogene Benutzerkonten, soweit technisch möglich und sinnvoll
- Authentifizierung durch starke Passwörter und, wo angemessen, Mehr-Faktor-Authentifizierung
- verschlüsselte Administrationszugänge, z. B. SSH, VPN oder TLS-gesicherte Weboberflächen
- Sperrung oder Entfernung nicht mehr benötigter Zugänge
- Schutz administrativer Konten durch besondere Sorgfalt
1.3 Zugriffskontrolle
- Rechtevergabe nach dem Need-to-know- und Least-Privilege-Prinzip
- rollen- oder gruppenbasierte Berechtigungen, soweit technisch möglich
- Trennung von Kundenumgebungen, Projekten, Mandanten oder Datenbeständen nach technischer Möglichkeit und beauftragter Leistung
- regelmäßige Überprüfung administrativer Berechtigungen in angemessenem Umfang
- sichere Aufbewahrung und Verwaltung von Zugangsdaten, Schlüsseln und Secrets
1.4 Trennungskontrolle
- logische oder physische Trennung von Daten unterschiedlicher Auftraggeber, soweit für die beauftragte Leistung erforderlich
- getrennte Kundenkonten, Verzeichnisse, Datenbanken, Instanzen, Namespaces oder Projekte, soweit technisch und wirtschaftlich angemessen
- getrennte Verarbeitung von Test-, Entwicklungs- und Produktivdaten, soweit vereinbart oder erforderlich
2. Integrität
2.1 Weitergabe- und Transportkontrolle
- Transportverschlüsselung bei administrativen Zugriffen und Datenübertragungen, soweit technisch möglich
- verschlüsselte Übertragung über HTTPS, SSH, SFTP, VPN oder vergleichbare Verfahren
- keine bewusste unverschlüsselte Übermittlung sensibler Zugangsdaten
- dokumentierte oder nachvollziehbare Weitergabe von Zugangsdaten und administrativen Informationen
2.2 Eingabekontrolle und Protokollierung
- Protokollierung administrativer Zugriffe und sicherheitsrelevanter Ereignisse, soweit technisch möglich und verhältnismäßig
- Nutzung von System-, Anwendungs-, Webserver-, Mailserver- oder Sicherheitslogs zur Fehleranalyse und Missbrauchserkennung
- angemessene Begrenzung von Log-Aufbewahrungsfristen unter Berücksichtigung technischer, rechtlicher und sicherheitsrelevanter Anforderungen
2.3 Änderungskontrolle
- nachvollziehbare Durchführung wesentlicher Konfigurationsänderungen
- Einsatz von Versionsverwaltung, Ticketsystemen, Dokumentation oder vergleichbaren Verfahren, soweit angemessen
- Prüfung sicherheitsrelevanter Änderungen vor produktivem Einsatz, soweit möglich und verhältnismäßig
3. Verfügbarkeit und Belastbarkeit
3.1 Backup und Wiederherstellung
- Erstellung von Sicherungskopien nach Maßgabe des Hauptvertrags oder der jeweiligen Leistungsbeschreibung
- regelmäßige oder anlassbezogene Prüfung der Wiederherstellbarkeit, soweit vereinbart oder technisch vorgesehen
- Schutz von Backups vor unbefugtem Zugriff
- angemessene Trennung von Produktivdaten und Sicherungskopien
3.2 Betriebssicherheit
- Einsatz geeigneter Sicherheitsupdates und Patches nach Risiko, Systemkritikalität und Kompatibilität
- Überwachung relevanter Systeme, Dienste oder Ressourcen, soweit Bestandteil der beauftragten Leistung
- Schutz vor Schadsoftware, Missbrauch und unberechtigten Zugriffen durch geeignete technische und organisatorische Maßnahmen
- Nutzung von Firewalls, Zugriffsbeschränkungen, Netzwerksegmentierung oder vergleichbaren Schutzmechanismen, soweit technisch sinnvoll
3.3 Wiederanlauf und Incident Response
- Verfahren zur Analyse und Behebung von Störungen
- Eskalations- und Kommunikationswege für sicherheitsrelevante Vorfälle
- Priorisierung von Vorfällen nach Kritikalität und Auswirkung
- Dokumentation wesentlicher Sicherheitsvorfälle in angemessenem Umfang
4. Regelmäßige Überprüfung, Bewertung und Evaluierung
- anlassbezogene Überprüfung der getroffenen Sicherheitsmaßnahmen
- Berücksichtigung aktueller Sicherheitsrisiken, Schwachstellen und technischer Entwicklungen
- Pflege von Dokumentationen, Konfigurationen und Sicherheitskonzepten in angemessenem Umfang
- Sensibilisierung und Verpflichtung beteiligter Personen auf Datenschutz und Vertraulichkeit
5. Mobiles Arbeiten und Privatgeräte
- Verarbeitung personenbezogener Daten außerhalb fester Geschäftsräume ist zulässig, soweit geeignete Sicherheitsmaßnahmen bestehen
- administrative Zugriffe erfolgen über gesicherte Geräte, verschlüsselte Verbindungen und angemessene Authentifizierung
- Privatgeräte dürfen nur genutzt werden, wenn sie ein angemessenes Sicherheitsniveau aufweisen und keine unkontrollierte Speicherung personenbezogener Kundendaten erfolgt
- lokale Speicherung personenbezogener Daten wird auf das erforderliche Maß beschränkt
6. Löschung und Datenträger
- Löschung personenbezogener Daten nach Weisung des Auftraggebers oder nach Ablauf vereinbarter Fristen
- sichere Entsorgung oder Löschung von Datenträgern unter Berücksichtigung des Schutzbedarfs
- bei cloud- oder hostingtypischen Speicherumgebungen Löschung nach den technischen Möglichkeiten der eingesetzten Plattform
Hinweis
Diese Maßnahmen können an technische, organisatorische oder sicherheitsrelevante Entwicklungen angepasst werden, solange das vereinbarte Sicherheitsniveau nicht unterschritten wird.