Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO

Anlage 1 zum Auftragsverarbeitungsvertrag (AVV) der RevScaling Agency GbR

Angabe	Beschreibung
Verantwortlich für diese TOM	RevScaling Agency GbR, Waltjenstr. 96, 28237 Bremen
Gesellschafter	Lion Grone, Samuel Obodoefuna
Kontakt	info@revscaling.de · Tel. 0157 542 558 76
Steuernummer / USt-IdNr.	60 173 00359 · DE464041375
Stand / Version	11.08.2026 · Version 1.1
Nächste Überprüfung	spätestens 11.08.2027 oder anlassbezogen (siehe Ziff. 5)

Zweck und Einordnung dieses Dokuments

Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen (nachfolgend „TOM"), die die RevScaling Agency GbR (nachfolgend „RevScaling" oder „Auftragsverarbeiter") zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus nach Art. 32 DSGVO getroffen hat. Es dient zugleich als Anlage 1 zum Auftragsverarbeitungsvertrag (AVV) und als Nachweis der nach Art. 28 Abs. 1 DSGVO geforderten „hinreichenden Garantien".

Einordnung der Unternehmensstruktur

RevScaling ist eine kleine Gesellschaft bürgerlichen Rechts (GbR) mit zwei Gesellschaftern. Sie betreibt kein eigenes Rechenzentrum, keine eigene Server-Hardware und keinen eigenen physischen Serverraum. Die eigentliche Speicherung und Verarbeitung personenbezogener Daten der Endnutzer der Kunden erfolgt nahezu vollständig bei spezialisierten, zertifizierten Cloud-Dienstleistern (u. a. nach ISO/IEC 27001 und/oder SOC 2 Type II zertifiziert). Damit dies transparent bleibt, gliedern sich die TOM konsequent in zwei Ebenen:

• Ebene A – Agentur-/Organisationsebene: Maßnahmen, die RevScaling selbst umsetzt (Endgeräte, Zugänge, Passwortmanagement, MFA, Berechtigungen, Schulung, Prozesse, Auftragsverarbeiter-Steuerung).
• Ebene B – Infrastruktur-/Dienstleisterebene: Maßnahmen, die durch die eingesetzten Unterauftragsverarbeiter erbracht und über deren Zertifizierungen, Sicherheitsdokumentationen und Auftragsverarbeitungsverträge (DPA) nachgewiesen werden. RevScaling steuert diese Ebene vertraglich und durch Auswahl und Kontrolle, betreibt sie aber nicht selbst.

Diese Zweiteilung wird bei jedem Schutzziel kenntlich gemacht, damit erkennbar bleibt, welche Maßnahme RevScaling selbst verantwortet und welche über die Zertifizierung der Dienstleister abgesichert ist.

---

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle (physischer Schutz)

Ziel: Unbefugten den physischen Zutritt zu Datenverarbeitungsanlagen verwehren.

Ebene A – RevScaling (Arbeitsorte der Gesellschafter):

• Die Verarbeitung durch RevScaling selbst findet ausschließlich an den Arbeitsplätzen der beiden Gesellschafter (Wohn-/Arbeitsräume, mobiles Arbeiten) statt; es existiert kein öffentlich zugänglicher Serverraum.
• Arbeitsräume sind durch übliche bauliche Maßnahmen (abschließbare Türen, Fenster) gegen unbefugten Zutritt Dritter gesichert.
• Endgeräte werden nicht unbeaufsichtigt in öffentlich zugänglichen Bereichen zurückgelassen; bei Verlassen des Arbeitsplatzes werden Geräte gesperrt (automatische Bildschirmsperre, siehe 1.3).
• Papierunterlagen mit Personenbezug werden – soweit überhaupt anfallend – verschlossen aufbewahrt und datenschutzgerecht vernichtet (mind. Sicherheitsstufe P-4 nach DIN 66399 bzw. beauftragter Aktenvernichtung).

Ebene B – Dienstleister (Rechenzentren):

• Die physische Sicherheit der eigentlichen Datenverarbeitungsanlagen (Server, Storage) wird durch die eingesetzten Cloud-Dienstleister bzw. deren Rechenzentrumsbetreiber gewährleistet (u. a. Zutrittskontrollsysteme, Videoüberwachung, Vereinzelungsanlagen, 24/7-Bewachung) und ist Bestandteil von deren ISO/IEC 27001- und/oder SOC-2-Zertifizierung. RevScaling betreibt keine eigenen Rechenzentren.

1.2 Zugangskontrolle (Schutz vor unbefugter Systemnutzung)

Ziel: Verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können.

Ebene A – RevScaling:

• Benutzerauthentifizierung: auf allen Endgeräten mit individuellen Benutzerkonten und starkem Anmeldeschutz (Kennwort/biometrisch).
• Passwortmanagement: Zugangsdaten werden über einen zentralen Passwortmanager (verschlüsselter Passwort-Tresor) verwaltet und ausschließlich dort gespeichert, nicht in Klartextdateien, ungeschützten Browsern oder Notizen.
• Passwortrichtlinie: ausreichend lange, einzigartige Passwörter je Dienst (keine Wiederverwendung), Generierung bevorzugt automatisch durch den Passwortmanager.
• Multi-Faktor-Authentifizierung (MFA/2FA): für alle sicherheitsrelevanten Dienste aktiviert, insbesondere für Hosting-/Infrastruktur-Konten, Backend-/Datenbank-Konsolen, E-Mail-Versand-Dienste, Telefonie-/KI-Dienste, Domain-/DNS-Verwaltung, Code-Repository sowie den Passwortmanager selbst.
• Automatische Bildschirmsperre: nach kurzer Inaktivität; zusätzlich manuelle Sperrung beim Verlassen des Geräts.
• Trennung von privater und geschäftlicher Nutzung, soweit praktikabel; keine Weitergabe von Zugangsdaten an Dritte.

Ebene B – Dienstleister:

• Die Absicherung der Administrationszugänge auf Plattformebene (u. a. rollenbasierte Zugänge, MFA-Unterstützung, Audit-Logging) ist Bestandteil der Dienstleisterplattformen und deren Zertifizierung.

1.3 Zugriffskontrolle (Need-to-know / Berechtigungskonzept)

Ziel: Sicherstellen, dass nur berechtigte Personen ausschließlich auf die ihnen zugewiesenen Daten zugreifen können.

Ebene A – RevScaling:

• Berechtigungskonzept nach dem Need-to-know-Prinzip: Zugriff auf Kunden- bzw. Endnutzerdaten nur, soweit dies zur Vertragserfüllung erforderlich ist. Angesichts der Größe (zwei Gesellschafter) ist der Kreis der Zugriffsberechtigten minimal und namentlich bekannt.
• Rollen- und rechtebasierte Zugriffe: in den eingesetzten Systemen (Administrator-, Betreiber-, Nur-Lese-Rollen), soweit der jeweilige Dienst dies unterstützt; Vergabe des jeweils geringstmöglichen Rechtsumfangs (Least-Privilege).
• Kundentrennung: Zugriff auf die Daten eines Kunden erfolgt getrennt (siehe 1.4 Trennungskontrolle); kein pauschaler Sammelzugriff über alle Kundendaten hinweg ohne Anlass.
• Entzug von Berechtigungen: unverzüglich bei Wegfall der Erforderlichkeit (z. B. Beendigung eines Auftrags, Wechsel eines eingesetzten Dienstleisters, Ausscheiden einer beauftragten Person).
• Protokollierung: administrativer Zugriffe, soweit von den Diensten bereitgestellt (siehe 2.1 Eingabekontrolle / Logging).

Ebene B – Dienstleister:

• Feingranulare Zugriffssteuerung, Verschlüsselung und Mandantentrennung auf Plattformebene sind über die Dienstleister und deren Zertifizierung abgesichert.

1.4 Trennungskontrolle

Ziel: Zu unterschiedlichen Zwecken bzw. für unterschiedliche Kunden erhobene Daten getrennt verarbeiten.

Ebene A – RevScaling:

• Getrennte Projekt-/Kundenumgebungen: Jeder Kunde erhält eine eigene, logisch getrennte Umgebung (eigenes Hosting-Projekt, eigene Datenbank bzw. eigenes Datenbank-Schema oder mandantengetrennte Speicherung, eigene Domain).
• Trennung von Test-/Entwicklungs- und Produktivumgebung, soweit einschlägig; keine Nutzung echter personenbezogener Endnutzerdaten in Testumgebungen ohne Notwendigkeit.
• Zweckbindung: Daten werden nur für den jeweils vereinbarten Zweck (Website-Betrieb, Buchungssystem, KI-Telefon-Rezeptionist) verarbeitet; keine zweckfremde Zusammenführung.

Ebene B – Dienstleister:

• Die logische Mandanten-/Projekttrennung auf Datenbank- und Hosting-Ebene wird durch die Plattformarchitektur der Dienstleister gewährleistet.

1.5 Weitergabekontrolle (Vertraulichkeit bei Transport/Übermittlung)

Ziel: Sicherstellen, dass Daten bei Übertragung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Ebene A – RevScaling und Ebene B – Dienstleister (gemeinsam):

• Transportverschlüsselung durchgängig: Datenübertragungen erfolgen ausschließlich über verschlüsselte Verbindungen (TLS 1.2 / TLS 1.3, HTTPS). Websites werden ausschließlich über HTTPS ausgeliefert (erzwungene HTTP→HTTPS-Weiterleitung, gültige TLS-Zertifikate).
• Verschlüsselte administrative Zugänge: über HTTPS-Konsolen, SSH bzw. verschlüsselte API-Verbindungen.
• E-Mail-Versand: transaktionale Nachrichten werden über einen spezialisierten Versanddienst mit Transportverschlüsselung zugestellt.
• Keine Datenübermittlung auf unverschlüsselten Datenträgern: der Datenaustausch findet über die abgesicherten Plattformen statt, nicht per ungesichertem USB-Stick o. Ä.
• Verschlüsselung ruhender Daten (at rest): Die Speicherung personenbezogener Daten bei den Dienstleistern erfolgt verschlüsselt (Storage-/Datenbankverschlüsselung als Plattformstandard der eingesetzten zertifizierten Anbieter).
• Drittlandübermittlungen: Soweit Daten an Unterauftragsverarbeiter in Drittländern (insbesondere USA) übermittelt werden, erfolgt dies auf Grundlage der in Anlage 2 des AVV benannten Übermittlungsgrundlagen (EU-Standardvertragsklauseln, Durchführungsbeschluss (EU) 2021/914, Modul 3, nebst Transfer Impact Assessment; soweit einschlägig zusätzlich EU-U.S. Data Privacy Framework, Angemessenheitsbeschluss (EU) 2023/1795). Details, Verarbeitungsorte und Rechtsgrundlagen ergeben sich abschließend aus Anlage 2 des AVV.

---

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Eingabekontrolle / Nachvollziehbarkeit (Logging)

Ziel: Nachträglich prüfen und feststellen können, ob und von wem personenbezogene Daten eingegeben, verändert oder entfernt worden sind.

Ebene A – RevScaling:

• Protokollierung (Logging): von system- und sicherheitsrelevanten Ereignissen, soweit von den eingesetzten Diensten bereitgestellt (Zugriffs-/Änderungslogs, Admin-Aktionen, Anmeldungen).
• Versionierung: von Website-Code und Konfiguration über ein Code-Repository (Nachvollziehbarkeit von Änderungen, Rückverfolgbarkeit über die Commit-Historie).
• Kein unkontrolliertes manuelles Verändern von Endnutzer-Datensätzen ohne dokumentierten Anlass; Änderungen an Kundendaten nur auf dokumentierte Weisung des Verantwortlichen (§ 3 AVV).

Ebene B – Dienstleister:

• Plattformseitige Audit-Logs, Datenbank-Transaktionsprotokolle und Zugriffsprotokolle werden durch die Dienstleister vorgehalten und sind Bestandteil von deren Sicherheitsdokumentation.

2.2 Integritätssicherung der Verarbeitung

• Schutz vor unbefugter Veränderung: durch die unter Ziff. 1 beschriebenen Zugangs- und Zugriffsbeschränkungen sowie die Transportverschlüsselung.
• Schutz gegen Schadsoftware: aktuelle Betriebssysteme und Sicherheitsupdates auf allen Endgeräten, aktivierte Betriebssystem-Schutzfunktionen (Firewall, Malware-Schutz).
• Sichere Softwareentwicklung: Einsatz gepflegter Frameworks und Bibliotheken, zeitnahes Einspielen sicherheitsrelevanter Updates von Abhängigkeiten, Vermeidung bekannter Schwachstellenklassen (u. a. Eingabevalidierung, parametrisierte Datenbankzugriffe zur Vermeidung von Injection).

---

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und lit. c DSGVO)

Ziel: Sicherstellen, dass personenbezogene Daten gegen Verlust und Zerstörung geschützt sind und Systeme verfügbar und belastbar bleiben.

Ebene A – RevScaling:

• Datensicherung / Backups: Personenbezogene Endnutzerdaten (insbesondere Buchungs-/Termindaten) werden über die Backup-Mechanismen der eingesetzten Backend-/Datenbank-Dienstleister gesichert (automatisierte, regelmäßige Backups). Konfigurations- und Website-Quellcode wird zusätzlich über das Code-Repository vorgehalten.
• Restore-Tests: Die Wiederherstellbarkeit von Daten aus Backups wird stichprobenartig geprüft. Bei Ersteinrichtung eines Buchungssystems bzw. anlassbezogen wird ein Wiederherstellungsvorgang getestet, um die Funktionsfähigkeit der Backups zu verifizieren. Das Ergebnis wird dokumentiert.
• Redundanz durch Cloud-Infrastruktur: Nutzung hochverfügbarer, geografisch redundanter Cloud-Infrastruktur (CDN, verteilte Rechenzentren) der eingesetzten Dienstleister.
• Kein garantiertes Service-Level (SLA): RevScaling schuldet keine bestimmte Mindestverfügbarkeit im Sinne einer zugesicherten Uptime-Quote (vgl. AGB); es werden jedoch die üblichen Sorgfaltsmaßnahmen zur Aufrechterhaltung des Betriebs getroffen und Störungen im Rahmen der Wartung und des Supports behoben.
• Wartung und Monitoring: Beobachtung der Erreichbarkeit der betreuten Websites und Systeme; zeitnahe Reaktion auf erkannte Ausfälle oder Störungen im Rahmen des vereinbarten Supports.

Ebene B – Dienstleister:

• Hochverfügbarkeit, Ausfallsicherheit, Georedundanz, DDoS-Schutz und Notfallwiederherstellung (Disaster Recovery) werden durch die zertifizierten Infrastruktur-Dienstleister erbracht und sind Bestandteil von deren ISO/IEC 27001- bzw. SOC-2-Kontrollen. RevScaling betreibt keine eigene Ausfallinfrastruktur, sondern stützt sich auf diese nachgewiesenen Kontrollen.

---

4. Besondere Maßnahmen für KI-Telefon-Rezeptionist und Sprachdaten

Soweit der Kunde die Leistung KI-Telefon-Rezeptionist beauftragt hat, gelten ergänzend folgende Maßnahmen (korrespondierend mit § 6a AVV):

• Datensparsamkeit bei Sprach-/Audiodaten: Sprachaufnahmen, Transkripte und an Sprachmodelle übergebene Kontextdaten werden nur verarbeitet, soweit dies für die Anrufbearbeitung erforderlich ist.
• Keine Nutzung zu Trainingszwecken (No-Training / Zero-/Kurz-Retention): Bei den eingesetzten Sprach-, KI- und Telefonieanbietern werden – soweit vom jeweiligen Anbieter angeboten – Vertrags- und Konfigurationsoptionen gewählt, die eine Nutzung der im Auftrag verarbeiteten Daten zu eigenen Zwecken der Anbieter, insbesondere zum Training oder zur Verbesserung von KI-Modellen, ausschließen, sowie eine kurze bzw. keine Aufbewahrung (Zero-/Kurz-Retention) vorsehen.
• Löschung von Sprach-/Gesprächsdaten: Sprachaufzeichnungen, Transkripte und Kontextdaten werden nach Zweckerfüllung bzw. nach Ablauf der im Hauptvertrag vereinbarten Frist gelöscht (siehe Ziff. 6 Löschkonzept, § 10 AVV).
• Transparenz / KI-Kennzeichnung: Der Dienst wird so eingerichtet, dass Anrufende zu Beginn darüber informiert werden können, dass sie mit einem KI-System sprechen (Art. 50 VO (EU) 2024/1689). Für die inhaltliche Ausgestaltung der Ansage und die Rechtsgrundlage ist der Verantwortliche (Betreiber) zuständig.
• Aufzeichnung nur bei Vereinbarung: Eine Gesprächsaufzeichnung erfolgt nur, soweit im Hauptvertrag ausdrücklich vereinbart; die Einholung erforderlicher Einwilligungen und Hinweise (u. a. § 201 StGB, TDDDG) obliegt dem Verantwortlichen.
• Zugriffsbeschränkung: Zugriff auf Gesprächs- und Audiodaten ausschließlich nach dem Need-to-know-Prinzip (Ziff. 1.3).

---

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

Ziel: Wirksamkeit der TOM regelmäßig kontrollieren und fortentwickeln.

Organisatorische Maßnahmen der RevScaling:

• Regelmäßige Überprüfung der TOM: mindestens jährlich sowie anlassbezogen (bei neuen Leistungen, neuen Unterauftragsverarbeitern, Sicherheitsvorfällen, wesentlichen Änderungen der Rechtslage). Das Ergebnis wird im Versionsstempel dieses Dokuments fortgeschrieben.
• Auftragsverarbeiter-Steuerung / Kontrolle der Dienstleister: Vor Einsatz eines Dienstleisters wird geprüft, ob dieser hinreichende Garantien bietet (Art. 28 Abs. 1 DSGVO): Abschluss eines Auftragsverarbeitungsvertrags (DPA) inkl. Standardvertragsklauseln, Prüfung vorliegender Zertifizierungen (ISO/IEC 27001, SOC 2 Type II) und Sicherheitsdokumentationen, Prüfung des Drittland-Übermittlungsstatus (DPF-Listung/SCC). Die eingesetzten Unterauftragsverarbeiter sind in Anlage 2 des AVV mit Leistung, Verarbeitungsort und Übermittlungsgrundlage geführt.
• Verifizierung vor jedem Kundenvertragsschluss: Prüfung des aktuellen DPF-Status je US-Gesellschaft, Vorliegen der DPA/SCC, gewählte Speicherregion (bei Buchungs-Backends bevorzugt EU/EWR), No-Training-/Retention-Konfiguration bei KI- und Sprachdiensten. Das Ergebnis wird dokumentiert.
• Datenschutz-Management (schlank, größenangemessen): Führung eines Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO), Dokumentation der Weisungen des Verantwortlichen, Führung dieser TOM als lebendes Dokument.
• Reaktion auf Schwachstellen: zeitnahe Umsetzung sicherheitsrelevanter Updates; Bewertung gemeldeter Schwachstellen der eingesetzten Komponenten.

---

6. Löschkonzept (Art. 17, Art. 5 Abs. 1 lit. e DSGVO)

• Grundsatz Speicherbegrenzung: Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist bzw. gesetzliche Aufbewahrungspflichten bestehen.
• Weisungsgebundene Löschung/Rückgabe nach Auftragsende: Nach Beendigung des Auftrags werden die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (§ 10 AVV).
• Löschroutinen: regelmäßige bzw. anlassbezogene Löschung nicht mehr benötigter Daten (u. a. Formular-/Kontaktnachrichten, Buchungs-/Termindaten nach Zweckerreichung, Server-/Zugriffslogs nach den Fristen der Dienstleister).
• Sprach-/Gesprächsdaten (KI-Rezeptionist): ausdrückliche Löschung von Sprachaufzeichnungen, Transkripten und LLM-Kontextdaten nach Zweckerfüllung bzw. nach der im Hauptvertrag vereinbarten Frist (siehe Ziff. 4).
• Sichere Löschung: Die Löschung erfolgt über die Lösch-/Purge-Funktionen der jeweiligen Dienste; bei Endgeräten und Datenträgern erfolgt bei Aussonderung eine sichere Löschung bzw. physische Vernichtung.

---

7. Incident Response / Meldung von Datenschutzverletzungen

• Erkennung und Bewertung: Hinweise auf Sicherheitsvorfälle (eigene Beobachtung, Meldung eines Dienstleisters, Betroffenenhinweis) werden unverzüglich bewertet.
• Meldung an den Verantwortlichen binnen 24 Stunden: RevScaling informiert den Verantwortlichen bei einer Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO; § 9 AVV). Damit wird der Verantwortliche in die Lage versetzt, seine eigene 72-Stunden-Frist gegenüber der Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) einzuhalten.
• Inhalt der Meldung: Art des Vorfalls, betroffene Datenkategorien und -umfang (soweit bekannt), wahrscheinliche Folgen, ergriffene und vorgeschlagene Gegenmaßnahmen.
• Eindämmung und Dokumentation: Sofortmaßnahmen zur Eindämmung (z. B. Sperrung kompromittierter Zugänge, Passwort-/Schlüsselwechsel, Einschaltung des betroffenen Dienstleisters); Dokumentation des Vorfalls und der Maßnahmen.

---

8. Organisatorische Maßnahmen (Personal und Prozesse)

• Verpflichtung auf Vertraulichkeit / Datengeheimnis: Alle Personen, die im Auftrag Zugang zu personenbezogenen Daten haben – einschließlich der Gesellschafter selbst sowie etwaiger Auftragnehmer/Freelancer –, sind auf die Vertraulichkeit und das Datengeheimnis verpflichtet (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Verpflichtung gilt über das Vertragsende hinaus fort.
• Sensibilisierung und Schulung: regelmäßige Sensibilisierung für Datenschutz und IT-Sicherheit (u. a. Phishing-Erkennung, sicherer Umgang mit Zugangsdaten, Meldewege bei Vorfällen). Angesichts der Unternehmensgröße erfolgt dies als gezielte, dokumentierte Selbst- und Fortbildung der Gesellschafter; bei Hinzuziehung weiterer Personen wird die Schulung vor Tätigkeitsaufnahme durchgeführt.
• Klare Weisungslage: Verarbeitung von Kundendaten ausschließlich auf dokumentierte Weisung des Verantwortlichen (§ 3 AVV); Hinweispflicht bei offensichtlich rechtswidrigen Weisungen.
• Auftragsverarbeiter-Steuerung wie unter Ziff. 5 beschrieben (Auswahl, DPA, Zertifizierungsprüfung, Anlage 2, laufende Kontrolle).

---

9. Geräteverwaltung, Homeoffice und mobiles Arbeiten

Da RevScaling ortsunabhängig und mobil arbeitet, gelten folgende Maßnahmen für alle Endgeräte (Notebooks, Mobilgeräte), mit denen auf Kunden- und Endnutzerdaten zugegriffen werden kann:

• Festplatten-/Geräteverschlüsselung: vollständige Verschlüsselung der Datenträger aller Endgeräte (z. B. FileVault unter macOS, BitLocker unter Windows, geräteseitige Verschlüsselung mobiler Geräte). Damit sind Daten bei Verlust oder Diebstahl geschützt.
• Bildschirmsperre / Geräteschutz: automatische Sperre nach Inaktivität, starke Anmeldung (Passwort/biometrisch), Aktivierung von „Gerät suchen/Fernlöschen"-Funktionen, soweit verfügbar.
• Aktuelle Software: zeitnahe Installation von Betriebssystem- und Sicherheitsupdates; Betrieb nur unterstützter Systemversionen.
• Schutzsoftware: aktivierte Firewall und Malware-Schutz.
• Sichere Netzwerke: Zugriff auf Kundensysteme über vertrauenswürdige Netzwerke bzw. verschlüsselte Verbindungen; keine Übertragung sensibler Zugangsdaten über ungesicherte öffentliche WLANs ohne Verschlüsselung.
• Datensparsamkeit auf dem Endgerät: keine dauerhafte lokale Speicherung personenbezogener Endnutzerdaten auf den Endgeräten über das erforderliche Maß hinaus; Verarbeitung bevorzugt direkt in den abgesicherten Cloud-Systemen.
• Verlustmeldung: Verlust oder Diebstahl eines Geräts löst unverzüglich Sperr-/Fernlösch-Maßnahmen und einen Passwortwechsel aus und wird als möglicher Sicherheitsvorfall nach Ziff. 7 behandelt.

---

10. Übersicht der Schutzmaßnahmen nach Schutzziel (Zusammenfassung)

Schutzziel	Kernmaßnahmen RevScaling (Ebene A)	Absicherung Dienstleister (Ebene B)
Vertraulichkeit	Need-to-know-Berechtigungen, Passwortmanager, MFA, Geräteverschlüsselung, Kundentrennung, Verpflichtung auf Vertraulichkeit	Rechenzentrums-Zutrittsschutz, Mandantentrennung, Zugriffssteuerung (ISO 27001/SOC 2)
Integrität	Logging, Code-Versionierung, sichere Entwicklung, Weisungsbindung, Malware-Schutz, Updates	Audit-Logs, DB-Transaktionsprotokolle, Plattform-Integritätskontrollen
Verfügbarkeit & Belastbarkeit	Backups + Restore-Tests, Monitoring, Wartung/Support	Georedundanz, Hochverfügbarkeit, DDoS-Schutz, Disaster Recovery
Verschlüsselung	TLS/HTTPS erzwungen, verschlüsselte Admin-Zugänge, Geräteverschlüsselung	Storage-/DB-Verschlüsselung at rest
Überprüfung/Evaluierung	jährliche + anlassbezogene TOM-Prüfung, Dienstleister-Kontrolle, Verifizierungs-Checkliste	vorgelegte Zertifikate/Audit-Berichte (SOC 2, ISO 27001)
Löschung	Löschroutinen, Sprach-/Transkript-Löschung, sichere Datenträgervernichtung	Purge-/Löschfunktionen der Plattformen
Incident Response	24-h-Meldung an Verantwortlichen, Eindämmung, Dokumentation	anbieterseitige Vorfallmeldung an RevScaling

---

11. Bereitstellung dieser TOM

Diese TOM sind Anlage 1 zum Auftragsverarbeitungsvertrag. Jedem Kunden, für den eine Auftragsverarbeitung stattfindet, werden sie zusammen mit dem Auftragsverarbeitungsvertrag bereitgestellt. Darüber hinaus erhält der Verantwortliche sie jederzeit auf Anforderung in der jeweils aktuellen Fassung (Art. 28 Abs. 1 und Abs. 3 lit. h DSGVO). Wesentliche Änderungen teilt RevScaling dem Verantwortlichen in Textform mit.

---

Diese technischen und organisatorischen Maßnahmen werden regelmäßig überprüft und fortgeschrieben (Ziff. 5). Stand: 11.08.2026.