Smyq

Technische und organisatorische Maßnahmen (TOM)

nach Art. 32 DSGVO — smyq (SaaS) · Anlage 1 zum AVV · Stand: 17.07.2026

0. Betreiber / Auftragsverarbeiter

smyq by Nagel & Köpfe GmbH — Nagel & Köpfe GmbH, Gerhardstr. 25b, 47137 Duisburg, Deutschland; vertreten durch Christof Nagel; Kontakt: service@smyq.de. Hosting/Infrastruktur: Hostinger, Rechenzentrum Frankfurt am Main (DE). Keine eigene Hardware; physische Sicherheit beim RZ-Betreiber.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b)

1.1 Zutrittskontrolle (physisch)

  • Betrieb ausschließlich im RZ Frankfurt (DE) von Hostinger; physische Zutrittssicherung durch den RZ-Betreiber.
  • Hostinger sowie der Rechenzentrumsbetreiber sind nach ISO/IEC 27001:2022 zertifiziert.
  • Kein Zugriff auf physische Hardware durch Beschäftigte des Anbieters.

1.2 Zugangskontrolle (Systemnutzung)

  • Passwörter ausschließlich als bcrypt-Hash (Kostenfaktor 12), nie im Klartext.
  • Zwei-Faktor-Authentifizierung (TOTP); für administrative Rollen verpflichtend.
  • Session-Token (JWT) mit kurzer Gültigkeit (max. 24 h), kein im Code hinterlegtes Fallback-Secret.
  • Rate-Limiting an Login-Endpunkten; optional passwortloser Login (Magic Link, zeitlich begrenzte Einmal-Token).
  • Serverzugang nur für berechtigte Personen über gesicherte Verbindungen.

1.3 Zugriffskontrolle (Berechtigungen)

  • Rollen-/rechtebasiertes Modell (super-admin, org-admin, user, guest), Prinzip der geringsten Rechte.
  • Granulare Sichtbarkeits-/Berechtigungsgruppen (ACL); private Aufgaben; eng begrenzte Gastzugänge (einzelnes Projekt/Bereich).
  • Benutzer-IDs serverseitig aus dem Auth-Token, nicht aus Eingaben.

1.4 Trennungskontrolle (Mandantentrennung)

  • Mandanten-Isolation, serverseitig auf Anwendungsebene erzwungen: Jede Datenabfrage ist an die Mandanten-Kennung aus dem Auth-Token gebunden (nicht aus Eingaben ableitbar). Getrennte Datenbanken für Administration und Anwendung; getrennte Entwicklungs-/Produktionsumgebungen.

1.5 Pseudonymisierung / Verschlüsselung

  • Transportverschlüsselung durchgängig (TLS/HTTPS; Traefik, vorgelagert Bunny.net als CDN-/Sicherheits-Proxy, EU).
  • Passwörter gehasht (bcrypt); Secrets in Umgebungsdateien mit restriktiven Rechten (chmod 600).
  • Verschlüsselung ruhender Daten (at rest): Die Anwendungs- und Kundendaten — sämtliche Datenbanken (PostgreSQL) sowie der Dokumentenspeicher (Objektspeicher) — werden ruhend verschlüsselt gespeichert (LUKS2, AES-256 im XTS-Modus, 512-Bit-Schlüssel). Die Entsperrung des verschlüsselten Datenträgers erfolgt manuell durch den Anbieter; der Schlüssel wird nicht dauerhaft unverschlüsselt neben den Daten vorgehalten. Eine Ende-zu-Ende-Verschlüsselung einzelner Inhaltsfelder wird nicht zugesichert.

2. Integrität (Art. 32 Abs. 1 lit. b)

  • Eingabe-/Nachvollziehbarkeit: Audit-Log (wer/wann/was), Änderungsverlauf, Aktivitäts-Feed; Audit-Log-Export (Enterprise).
  • Weitergabekontrolle: Datenübertragung ausschließlich verschlüsselt (TLS); CORS auf produktive HTTPS-Domains beschränkt; Sicherheits-Header (helmet/CSP); begrenzte Anfrage-/Upload-Größen.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b+c)

  • Datensicherung nach dem 3-2-1-Prinzip (drei Kopien, zwei verschiedene Medien, eine externe Kopie), clientseitig verschlüsselt (AES-256). Externe Kopien an Speicherorten innerhalb der EU (Frankreich/Deutschland); eine Kopie unveränderlich (Object-Lock).
  • Gestaffelte Aufbewahrung der Sicherungen (täglich/wöchentlich/monatlich): aus dem Produktivsystem gelöschte Daten können hierdurch bis zu rund 12 Monaten in Sicherungskopien fortbestehen (bewusst zugunsten der Wiederherstellbarkeit; offengelegt, vgl. AVV § 10 und Datenschutzerklärung).
  • Kontinuierliche Sicherung des Transaktionsprotokolls (Point-in-Time-Recovery / WAL-Archivierung); Wiederherstellungspunkt-Ziel (RPO) im Minutenbereich (derzeit ≤ 5 Minuten).
  • Wiederherstellbarkeit aus Backups nach Zwischenfall (Restore-Verfahren); regelmäßige Restore-Tests.
  • Schutz vor Überlast/Angriffen: Rate-Limiting, vorgelagerter DDoS-/WAF-Schutz über Bunny.net (EU-Anbieter, EU-Routing-Filter aktiv), Health-Checks und Neustart-Routinen.
  • Papierkorb (30 Tage) als Schutz vor versehentlichem Datenverlust.
  • Zugrundeliegende Infrastruktur (Hostinger) mit 99,9 % Uptime-Garantie pro Monat.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d)

  • Regelmäßige Sicherheits-Scans, Abhängigkeits-Audits, Code-Reviews vor Inbetriebnahme.
  • Auftrags-/Unterauftragskontrolle (s. AVV Anlage 2).
  • Datenschutz-Vorfallmanagement inkl. Melde-/Eskalationskette (Art. 33/34).
  • Datenminimierung; Umsetzung der Betroffenenrechte; regelmäßige Fortschreibung dieser TOM.

5. Betroffenenrechte / Datenschutz-Funktionen

  • DSGVO-Datenexport und vollständige Löschung als Self-Service; sofortige Löschung der Organisation über „Organisation löschen" (Einstellungen → Organisation). Rechnungsdaten bleiben für gesetzliche Aufbewahrungsfristen erhalten.
  • Hosting/Datenhaltung in Deutschland (Frankfurt) — kein Drittlandtransfer durch den Basisbetrieb; Drittlandbezug nur über einzelne Unterauftragsverarbeiter (s. AVV Anlage 2), abgesichert über EU-Standardvertragsklauseln.