Technische und organisatorische Maßnahmen (TOM)

Beschreibung aller technischen und organisatorischen Maßnahmen zur Sicherstellung des Datenschutzes bei Flowmatix.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle (Server)

• Server gehostet bei Hetzner Online GmbH, Rechenzentrum Frankfurt
• ISO 27001 zertifiziert
• Biometrische Zutrittskontrolle, Videoüberwachung 24/7, Sicherheitspersonal
• Brand- und Einbruchmeldesysteme
• Redundante Stromversorgung und Klimatisierung

1.2 Zugangskontrolle (Systeme)

• SSH-Zugang zum Server nur mit Public-Key-Authentifizierung (kein Passwort-Login)
• Datenbank-Zugang ausschließlich aus dem internen Docker-Netz
• Webapplikation mit E-Mail/Passwort (min. 8 Zeichen, Hash mit bcrypt)
• Session-Tokens mit Ablaufzeit
• Multi-Faktor-Authentifizierung (MFA) für administrative Konten verfügbar

1.3 Zugriffskontrolle (RBAC)

1.4 Trennungskontrolle

• Mandantentrennung auf Datenbankebene durch PostgreSQL Row Level Security (RLS)
• Jede Klinik (Organisation) sieht ausschließlich eigene Daten
• Tenant-Plugin im API-Layer prüft jede Anfrage auf korrekte org_id

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• TLS 1.3 für alle externen Verbindungen (Mindestanforderung TLS 1.2)
• HSTS-Header gesetzt
• Zertifikate von Let's Encrypt, automatisch erneuert
• WhatsApp: End-to-End-Verschlüsselung über Signal Protocol
• Keine Datenübertragung außerhalb der dokumentierten Auftragsverarbeiter

2.2 Eingabekontrolle

• Audit-Logs für alle Schreiboperationen (User-ID, Zeitstempel, Aktion, Ressource)
• Login-Versuche werden protokolliert
• Datenänderungen sind nachvollziehbar (Wer hat wann was geändert)

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

3.1 Verfügbarkeitskontrolle

• Tägliche verschlüsselte Backups (30 Tage Aufbewahrung)
• Backup-Speicherort: separater EU-Standort
• Backup-Verschlüsselung: AES-256
• Disaster Recovery Plan (RTO: 24h, RPO: 24h)
• Monitoring 24/7 (Uptime Kuma, Prometheus, Grafana)
• Health-Checks für alle kritischen Services

3.2 Wiederherstellbarkeit

• Automatische Backups: täglich
• Manuelle Restore-Tests: vierteljährlich
• Backup-Integrität: SHA-256 Checksumme nach jedem Backup

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Vierteljährliche TOM-Überprüfung
• Jährliche externe Sicherheitsüberprüfung (Pentest, geplant)
• Continuous Security Monitoring durch Loki + Prometheus
• Vulnerability Scans (Container-Images via Trivy)

5. Pseudonymisierung & Verschlüsselung

• At Rest — Backups: AES-256 (GPG-verschlüsselt vor dem Hochladen)
• At Rest — Cloud Object Storage: AES-256 für Patientenfotos in Cloudflare R2 (Cloudflare-managed)
• At Rest — Live-Datenbank: Physisch geschützt durch Hetzner Rechenzentrum Frankfurt (ISO 27001:2022 zertifiziert), Zugriff nur über verschlüsselte SSH-Tunnel und Container-Isolation
• At Rest — Sensible Felder: Anwendungs-Level-Verschlüsselung (z. B. WhatsApp Access Tokens, OAuth-Credentials) via dedizierter crypto.ts-Library
• In Transit: TLS 1.3 für alle externen Verbindungen, mTLS zwischen internen Services
• Pseudonymisierung: Audit-Logs nach Patient-Löschung enthalten nur Patient-Hash, keine Klardaten
• Passwörter: bcrypt mit Salt (12 Rounds)

6. Auftragsverarbeitung

Auftragsverarbeiter werden sorgfältig ausgewählt. Mit jedem besteht ein AVV (Art. 28 DSGVO). Vollständige Liste: Subprocessor-Verzeichnis

7. Datenschutz durch Technikgestaltung (Art. 25 DSGVO)

• Standardmäßig minimale Datenverarbeitung (data minimization)
• Pflichtfelder für Anmeldung auf das absolute Minimum beschränkt
• Konsens vor jeder besonderen Datenkategorie (Fotos, Anamnese)
• Defaults: Tracking deaktiviert, Cookies nur funktional

8. Schulung und Sensibilisierung

• Verpflichtung aller mit Datenverarbeitung betrauten Personen auf das Datengeheimnis (§ 5 BDSG)
• Regelmäßige Datenschutzschulungen
• Sicherheitsleitfaden im internen Wiki

9. Kontaktdaten

Datenschutzanfragen: datenschutz@flowmatix.io

Sicherheitsmeldungen: security@flowmatix.io