Technisch-Organisatorische Maßnahmen (Art. 32 DSGVO)

Verantwortlicher: NLTS Global Analytics s.r.o., Malá 43/6, 301 00 Pilsen, CZ

Stand: April 2026

1. Zutrittskontrolle

• Serverstandort: EU (DigitalOcean, Frankfurt am Main).
• Physische Sicherheit wird durch den Rechenzentrumsbetreiber gewährleistet (ISO 27001, SOC 2 zertifiziert).
• NLTS betreibt kein eigenes Rechenzentrum.

2. Zugangskontrolle

• Magic-Link-Authentifizierung (keine Passwörter gespeichert).
• API-Key-Hashing mit SHA-256.
• Session-Management mit kryptographisch sicheren Tokens.
• Rate-Limiting auf allen Endpunkten.

3. Zugriffskontrolle

• Rollenbasiertes Berechtigungskonzept (RBAC).
• Strikte Admin/User-Trennung.
• API-Keys mit Tier-basiertem Zugang (erlaubte Scan-Typen, individuelle Rate-Limits).

4. Weitergabekontrolle

• TLS 1.3 für alle Verbindungen.
• HSTS mit includeSubDomains und Preload.
• Ed25519-signierte Reports (kryptographischer Herkunftsnachweis).
• Content-Hash (SHA-256) in jedem Report zur Integritätsprüfung.
• Cloudflare WAF als zusätzliche Schutzschicht.

5. Eingabekontrolle

• Append-Only Audit-Log für alle Scan-Vorgänge.
• Zeitstempel (UTC) in allen Reports.
• Unveränderbare Scan-IDs (UUID v4).

6. Auftragskontrolle

• Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO — siehe AVV.
• Dokumentierte Weisungsbindung.
• Subunternehmer-Verzeichnis — siehe Subunternehmer.

7. Verfügbarkeitskontrolle

• Redis-basierte Job-Queue mit automatischem Retry-Mechanismus.
• Automatischer Neustart bei Prozessfehlern.
• Tägliche Datenbank-Backups.
• SLA-Vereinbarung — siehe SLA.

8. Trennungsgebot

• Mandantentrennung über User-IDs.
• Scan-Daten isoliert pro Auftrag.
• Separate Datenbanktabellen für verschiedene Datentypen.

9. Pseudonymisierung

• IP-Adressen werden nach 7 Tagen anonymisiert.
• Scan-IDs als UUID (nicht rückverfolgbar auf natürliche Personen).
• E-Mail-Adressen nur für Zustellung erforderlich und gespeichert.

10. Verschlüsselung

• TLS 1.3 — Transportverschlüsselung für alle Verbindungen.
• Ed25519 — kryptographische Report-Signatur.
• SHA-256 — Content-Integritätsprüfung in Reports.
• API-Keys gesalzen und gehasht gespeichert.

11. Regelmäßige Überprüfung

• Jährliche Überprüfung der technisch-organisatorischen Maßnahmen.
• Aktualisierung bei technischen Änderungen oder neuen Bedrohungslagen.
• Dokumentation aller Änderungen an diesen Maßnahmen.

---

Stand: April 2026. Nächste planmäßige Überprüfung: April 2027.