Technische und organisatorische Maßnahmen (TOMs)

knallmacher

Stand: 01.06.2026

Dieses Dokument ist nur gültig als Anlage eines Auftragsverarbeitungsvertrages.

Zusammenfassung

Die technischen und organisatorischen Maßnahmen (TOMs) von knallmacher orientieren sich an den Anforderungen der DSGVO, insbesondere Art. 28 DSGVO und Art. 32 DSGVO:

Vertraulichkeit: Zugriffe werden durch individuelle Benutzerkennungen, Passwort- und Authentifizierungsschutz sowie Sensibilisierung der Mitarbeitenden gesichert. Subprozessoren werden vor ihrem Einsatz datenschutzrechtlich und sicherheitsbezogen geprüft und vertraglich eingebunden.
Integrität: Sämtliche Datenübertragungen erfolgen verschlüsselt. Endgeräte dienen grundsätzlich als Zugänge; eine planmäßige oder dauerhafte lokale Speicherung personenbezogener Daten findet nicht statt. Technisch unvermeidbare temporäre Datenverarbeitungen werden auf das erforderliche Maß beschränkt und nach Wegfall des Zwecks entfernt.
Verfügbarkeit: Ein Vorfall- und Störungsmanagement ist etabliert. Im Rahmen des Betriebs bestehen infrastrukturelle Redundanzen sowie eine Versionierung von Code und Inhalten. Diese dienen dem Betrieb und der Wiederherstellung im Störungsfall und begründen keinen Anspruch auf Sicherung, Archivierung oder Wiederherstellung von Kundendaten.
Rechenschaftspflicht und Wirksamkeitsnachweis: Alle relevanten Datenschutzprozesse sind dokumentiert. Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird mindestens jährlich überprüft. Jede Verarbeitungstätigkeit wird in einem Verzeichnis mit den festgelegten Aufbewahrungs- und Löschfristen geführt. Die Einhaltung wird regelmäßig kontrolliert und dokumentiert.
Unterstützung bei Betroffenenrechten: Betroffenenanfragen werden durch standardisierte Prozesse unverzüglich an den jeweiligen Verantwortlichen weitergeleitet; knallmacher unterstützt diesen im erforderlichen Umfang.

Vertraulichkeit

knallmacher gewährleistet die Vertraulichkeit personenbezogener Daten gemäß Art. 32 DSGVO, indem organisatorische und technische Maßnahmen getroffen werden, die unbefugten Personen den Zugang und die Nutzung von Daten oder Datenverarbeitungssystemen verwehren.

Benutzerverwaltung

Individuelle Benutzerkennungen: Jeder Benutzer erhält eine eindeutige Benutzerkennung, soweit eingesetzte Software dies technisch zulässt. Eine gemeinsame Nutzung von Konten wird vermieden, um die Nachvollziehbarkeit von Zugriffen sicherzustellen.
Rechtevergabe nach Erforderlichkeit: Zugriffsrechte werden ausschließlich nach Erforderlichkeit vergeben. Benutzer erhalten nur die Berechtigungen, die für die jeweilige Tätigkeit zwingend erforderlich sind.
Benutzerlebenszyklus: Die Anlage, Änderung, Deaktivierung und Löschung von Benutzerkonten erfolgt nach einem standardisierten, dokumentierten Prozess. Hierbei wird sichergestellt, dass Zugriffsrechte nach Ausscheiden oder Rollenwechsel eines Mitarbeiters unverzüglich entzogen werden.

Passwort- und Authentifizierungsschutz

Authentisierung: Alle Benutzerkonten werden durch mindestens ein Authentifizierungsmerkmal geschützt. Hierzu werden Passwörter oder andere Faktoren (z. B. Token, OTP, kryptographische Schlüssel) eingesetzt, soweit technisch verfügbar, um eine eindeutige Identifizierung sicherzustellen.
Starke Passwörter: Benutzerkonten und Systeme nutzen Passwörter nach dem Stand der Technik.
Einmaligkeit: Eine Verwendung eines Passwortes für unterschiedliche Dienste ist untersagt, es sei denn, ein zentrales Identitätsmanagement-System gewährleistet die Sicherheit nachweislich.
Passwortmanager: Zur sicheren Verwaltung wird ein zentral freigegebener Passwortmanager verpflichtend eingesetzt. Unsichere Speicherpraktiken (z. B. die Ablage von Passwörtern in unverschlüsselten Dateien) sind untersagt.
Passwortspeicherung im Browser: Eine Speicherung von Passwörtern im Browser ist untersagt, sofern diese nicht durch technische Maßnahmen nach dem Stand der Technik abgesichert sind.
Änderung und Zurücksetzung: Nach Sicherheitsvorfällen oder bei administrativer Zurücksetzung sind Mitarbeiter verpflichtet, Passwörter unverzüglich zu ändern.
Verbot der Passwortweitergabe: Die Weitergabe von Passwörtern ist untersagt. In Ausnahmefällen wird das Passwort ausschließlich durch einen Administrator zurückgesetzt und dokumentiert.

Subprozessoren

Auswahl und Prüfung: Vor dem Einsatz von Subprozessoren prüft knallmacher deren Eignung hinsichtlich Datenschutz und Informationssicherheit.
Vertragliche Einbindung: Soweit Dritte als Subprozessoren personenbezogene Daten im Auftrag verarbeiten, werden sie vor Beginn der Verarbeitung gemäß Art. 28 DSGVO vertraglich eingebunden. Die vereinbarten TOMs müssen Art und Umfang der Dienstleistung angemessen berücksichtigen.
Meldepflicht: Subprozessoren sind vertraglich verpflichtet, Datenschutzverletzungen und sicherheitsrelevante Vorfälle unverzüglich an knallmacher zu melden.

Datenspeicherung

Vermeidung lokaler Speicherung: Eine planmäßige oder dauerhafte lokale Speicherung personenbezogener Daten auf Endgeräten findet nicht statt. Technisch unvermeidbare temporäre Datenverarbeitungen werden auf das erforderliche Maß beschränkt und nach Wegfall des Zwecks entfernt.
Zentrale Speicherung: Soweit personenbezogene Daten im Rahmen der Leistung gespeichert werden, erfolgt dies in zentralen Systemen der eingesetzten Infrastruktur.

Sensibilisierung

Sensibilisierung: Mitarbeiter werden regelmäßig in den Bereichen Datenschutz, Informationssicherheit und vertraulicher Umgang mit personenbezogenen Daten sensibilisiert.
Verpflichtung: Alle Mitarbeiter sind vertraglich und organisatorisch zur Wahrung der Vertraulichkeit verpflichtet. Verstöße werden geahndet und können arbeitsrechtliche Konsequenzen haben.

Integrität

knallmacher gewährleistet die Integrität im Sinne von Art. 32 Abs. 1 lit. b DSGVO i. V. m. Art. 5 Abs. 1 lit. f DSGVO, indem personenbezogene Daten vor unbeabsichtigtem Verlust, Veränderung oder Beschädigung geschützt sind. knallmacher setzt Maßnahmen ein, um die Vollständigkeit und Unversehrtheit der Daten sicherzustellen.

Verschlüsselungsmaßnahmen

Transportverschlüsselung: Für den Zugriff auf Systeme und die Übertragung über von knallmacher kontrollierte Webschnittstellen werden verschlüsselte Verbindungen nach dem Stand der Technik eingesetzt. Für die Übermittlung von E-Mails kann eine Ende-zu-Ende- oder Transportverschlüsselung gegenüber externen Empfängern nicht allgemein gewährleistet werden.
Infrastrukturelle Verschlüsselung: Bei der Auswahl der eingesetzten Infrastruktur berücksichtigt knallmacher geeignete Verschlüsselungs- und Sicherheitsmaßnahmen der jeweiligen Anbieter.

Verfügbarkeit und Belastbarkeit

knallmacher bewertet und trifft Maßnahmen zur Verfügbarkeit und Belastbarkeit im Sinne des Art. 32 Abs. 1 lit. b und c DSGVO risikoorientiert. Dazu zählen die eingesetzte Infrastruktur mit Redundanzen. Eine über den Betrieb hinausgehende, zugesicherte Datensicherung, Archivierung oder Wiederherstellung von Kundendaten ist nicht vorgesehen und begründet keinen Anspruch.

Verfügbarkeit

Verfügbarkeit durch eingesetzte Infrastruktur: Bei der Auswahl eingesetzter Infrastruktur berücksichtigt knallmacher die Anforderungen an Verfügbarkeit und Belastbarkeit. Infrastrukturelle Redundanzen oder Sicherungskopien begründen keinen Anspruch auf Wiederherstellung oder Archivierung von Kundendaten.

Vorfall- & Störungsmanagement

Monitoring: Die eingesetzte Infrastruktur bietet Monitoring- und Benachrichtigungsfunktionen; ein darüber hinausgehendes, systemübergreifendes Monitoring mit Alarmierung ist nicht eingerichtet.
Störungsbearbeitung: Bei Bekanntwerden einer Störung wird deren Prüfung und, soweit erforderlich, die Koordination der Behebung unverzüglich eingeleitet. Ziel ist die zeitnahe Wiederherstellung der Systemverfügbarkeit nach dem Stand der Technik.
Einschaltung von Subprozessoren sowie sonstigen Subdienstleistern und Partnern: Soweit die Störung Daten und Systeme betrifft, die von Subprozessoren oder sonstigen Subdienstleistern und Partnern betrieben werden, erfolgt eine unverzügliche Kontaktaufnahme mit diesen, um die Wiederherstellung zu koordinieren.
Dokumentation: Alle Sicherheitsvorfälle und Datenpannen werden einschließlich Zeitpunkt, Art des Vorfalls, Folgen und getroffener Maßnahmen nachvollziehbar dokumentiert, um Transparenz, Rechenschaftspflicht und kontinuierliche Verbesserung sicherzustellen.
Unverzüglichkeit: Sicherheitsverletzungen werden ohne schuldhaftes Zögern gemeldet, um die gesetzlichen Fristen einzuhalten.

Rechenschaftspflicht und Wirksamkeitsnachweis

knallmacher gewährleistet die Rechenschaftspflicht im Sinne von Art. 5 Abs. 2 DSGVO, indem alle relevanten Prozesse und Maßnahmen zur Verarbeitung personenbezogener Daten dokumentiert und deren Einhaltung regelmäßig überprüft werden. Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird gemäß Art. 32 Abs. 1 lit. d DSGVO in angemessenen Abständen sowie anlassbezogen überprüft, bewertet und evaluiert. Zudem führt knallmacher ein Verzeichnis sämtlicher Verarbeitungstätigkeiten gemäß Art. 30 DSGVO. Dieses Verzeichnis bildet die Grundlage für die Einhaltung der Rechenschaftspflicht und ermöglicht eine nachvollziehbare Dokumentation sämtlicher Datenflüsse.

Dokumentation von Prozessen

Prozessdokumentation: Zentrale Datenschutzprozesse sind dokumentiert.
Auftragsverarbeitungsverträge: Alle Auftragsverarbeitungsverträge mit Subprozessoren werden vollständig vorgehalten.

Wirksamkeitsprüfung

Regelmäßige Evaluierung: knallmacher überprüft die Wirksamkeit der implementierten technischen und organisatorischen Maßnahmen in angemessenen Intervallen (mindestens einmal jährlich) sowie anlassbezogen insbesondere nach sicherheitsrelevanten Vorfällen, wesentlichen Änderungen der Infrastruktur oder beim Einsatz neuer Subprozessoren sowie sonstiger Subdienstleister und Partner.
Methodik: Die Überprüfung erfolgt durch interne Kontrollen, Plausibilitätsprüfungen, Testabrufe sowie durch die Einsichtnahme in von Subprozessoren sowie sonstigen Subdienstleistern und Partnern bereitgestellte Nachweise (z. B. Zertifizierungen, Audit-Reports, Sicherheitsberichte).
Rechenschaftsnachweis: Die Ergebnisse der Wirksamkeitsprüfung werden protokolliert und können auf Anfrage gegenüber Aufsichtsbehörden oder Vertragspartnern als Nachweis der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO vorgelegt werden.

Verarbeitungstätigkeiten

Dokumentation: Alle Verarbeitungstätigkeiten werden dokumentiert.
Aktualität: Die Verarbeitungstätigkeiten werden regelmäßig überprüft und anlassbezogen aktualisiert.
Verknüpfung: Die jeweils einschlägigen technischen und organisatorischen Maßnahmen werden den einzelnen Verarbeitungstätigkeiten zugeordnet, sodass eine direkte Nachvollziehbarkeit besteht.

Löschkonzept

Definition: Für jede Verarbeitungstätigkeit personenbezogener Daten werden Zweck, Speicherort, Aufbewahrungsfrist und Löschfrist festgelegt.
Löschungen: Löschungen oder Anonymisierungen erfolgen nach dem jeweils einschlägigen Löschkonzept sowie anlassbezogen, insbesondere bei Vertragsende, auf Weisung des Verantwortlichen oder bei Zweckfortfall.
Verantwortlichkeit: Löschungen werden von autorisierten Administratoren oder, soweit Daten bei Subprozessoren gespeichert sind, durch diese im Auftrag von knallmacher durchgeführt.
Kontrolle: Die Umsetzung des Löschkonzepts wird regelmäßig überprüft, mindestens einmal jährlich oder anlassbezogen.
Nachweis und Dokumentation: Durch Protokollierung der Löschvorgänge wird die Einhaltung der Löschpflichten nachgewiesen. Bei Subprozessoren erfolgt der Nachweis durch vertragliche Verpflichtungen, Zertifizierungen, sonstige geeignete Nachweise oder eine Dokumentation im Rahmen der regelmäßigen Überprüfung.

Implementierung von Maßnahmen zur Umsetzung von Betroffenenrechten im Systemdesign (Privacy by Design/Privacy by Default)

Datenminimierung: Personenbezogene Daten werden nur in dem Umfang erhoben und verarbeitet, wie es für den jeweiligen festgelegten Zweck zwingend erforderlich ist.

Unterstützung bei Betroffenenrechten

Soweit knallmacher personenbezogene Daten im Auftrag verarbeitet, bleibt der jeweilige Auftraggeber für die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO sowie für die Beantwortung von Betroffenenanfragen verantwortlich. knallmacher unterstützt den Auftraggeber hierbei nach Maßgabe des Auftragsverarbeitungsvertrags.

Dokumentation und Speicherung von Verträgen, Vereinbarungen und Weisungen

Aufbewahrung: Alle relevanten Verträge, Vereinbarungen und Weisungen von Verantwortlichen sind jederzeit für berechtigte interne Stellen, Vertragspartner und im Bedarfsfall für Aufsichtsbehörden verfügbar.
Nachvollziehbarkeit: Änderungen an Vereinbarungen und Weisungen werden dokumentiert, um der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachzukommen.

Umgang mit Betroffenenanfragen

Prozess für Betroffenenanfragen: Gehen Anfragen betroffener Personen nach Art. 15 bis 22 DSGVO bei knallmacher ein, werden sie unverzüglich an den Verantwortlichen weitergeleitet.
Unterstützung und Fristen: knallmacher unterstützt den Verantwortlichen im erforderlichen Umfang, damit dieser die gesetzlichen Fristen einhalten kann.
Dokumentation: Jede Anfrage und die daraufhin veranlassten Maßnahmen werden nachvollziehbar dokumentiert.