Technische und organisatorische Maßnahmen

Verantwortlicher

Unternehmer-Reisen 360 GmbH
Jakobstal 18, 89407 Dillingen
Telefon: 09071 5828790 · E-Mail: datenschutz@unternehmer.reisen
Geschäftsführer: Fabian Vihl

Vorbemerkung

Gemäß Art. 32 DSGVO werden geeignete technische und organisatorische Maßnahmen ergriffen, um ein dem Risiko angemessenes Schutzniveau für die Verarbeitung personenbezogener Daten zu gewährleisten. Diese Anlage beschreibt die Maßnahmen abstrakt-funktional, sodass sie unabhängig vom konkreten technischen Tooling valide bleiben. Detaillierte Anbieter- und Vertragsangaben sind in der Datenschutzerklärung dokumentiert.

1 · Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

Sämtliche Daten werden in zertifizierten Rechenzentren verarbeitet (ISO 27001 oder gleichwertig). Die physische Zutrittskontrolle erfolgt durch die jeweiligen Rechenzentrums-Betreiber mittels mehrstufiger Zugangssicherung (Vereinzelung, Authentifizierung, Videoüberwachung). Eigene Hardware in Büroräumen wird nicht für die Verarbeitung personenbezogener Daten genutzt.

1.2 Zugangskontrolle

Der Zugang zu Verarbeitungssystemen ist auf authentifizierte Personen beschränkt. Administrativer Zugriff erfordert Multi-Faktor-Authentifizierung. Standardpasswörter werden nicht verwendet. Anmeldungen am Teilnehmer-Portal erfolgen ausschließlich über zeitlich begrenzte Magic-Link-Tokens; eine klassische Passwort-Speicherung findet nicht statt.

1.3 Zugriffskontrolle

Die Berechtigungen folgen dem Need-to-Know-Prinzip. In der Datenbank ist zeilenbasierte Zugriffskontrolle (Row-Level Security) aktiv: jeder Teilnehmer sieht ausschließlich seine eigenen privaten Inhalte. Administrative Zugriffe sind auf einen klar definierten Personenkreis beschränkt und werden protokolliert.

1.4 Trennungskontrolle

Daten unterschiedlicher Zwecke werden logisch getrennt verarbeitet (separate Datenbank-Schemas, getrennte Storage-Buckets pro Zweck). Produktiv- und Testsysteme sind voneinander entkoppelt.

1.5 Pseudonymisierung

Optionales Nutzungs-Tracking (siehe Datenschutzerklärung Abschnitt 13) erfolgt ausschließlich pseudonymisiert mittels kryptographischer Hashes mit monatlich rotierendem Salt. Eine Re-Identifikation einzelner Personen aus den Tracking-Daten ist technisch nicht möglich. Personenbezogene Stammdaten und Tracking-Daten sind logisch voneinander getrennt.

2 · Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Eingabekontrolle

Sämtliche Eingaben werden serverseitig gegen ein definiertes Schema validiert. Schreibende Datenbank-Operationen sind ausschließlich über kontrollierte Schnittstellen mit Authentifizierung und Eingangsvalidierung möglich. Direkte SQL-Schreibzugriffe von außen sind nicht zugelassen.

2.2 Weitergabekontrolle

Sämtliche Datenübertragungen zwischen Endgerät und Verarbeitungssystem erfolgen verschlüsselt (Transport-Layer-Security). Die Weitergabe an Auftragsverarbeiter erfolgt ausschließlich aufgrund schriftlicher Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. Bei Drittlandtransfers in Länder ohne Angemessenheitsbeschluss kommen EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO zur Anwendung.

2.3 Verschlüsselung at rest

Personenbezogene Daten werden in der Datenbank und im Datei-Speicher verschlüsselt abgelegt. Die Verschlüsselung erfolgt durch die jeweiligen Plattform-Anbieter mit branchenüblichen Verfahren (AES-256 oder gleichwertig).

3 · Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

3.1 Backup-Konzept

Tägliche automatische Sicherungen mit mindestens siebentägiger Vorhaltung. Die Sicherungen werden räumlich getrennt vom Produktivsystem aufbewahrt. Wiederherstellungen aus Sicherungen werden regelmäßig getestet.

3.2 Verfügbarkeit

Die zugrundeliegenden Plattform-Anbieter sind auf Hochverfügbarkeit ausgelegt (Service-Level > 99,9 % im Jahresmittel). Bei Ausfall einzelner Komponenten greifen automatische Failover-Mechanismen.

3.3 Wiederherstellbarkeit

Die rasche Wiederherstellung der Verfügbarkeit personenbezogener Daten nach einem physischen oder technischen Zwischenfall ist über die Backup-Strategie sichergestellt. Die maximal akzeptable Wiederherstellungszeit (RTO) liegt bei 24 Stunden, der maximal akzeptable Datenverlust (RPO) bei 24 Stunden.

3.4 Patch- und Update-Management

Sicherheitsrelevante Updates der Anwendungs- und Systemkomponenten werden zeitnah eingespielt. Automatische Update-Mechanismen sind für Betriebssystem- und Sicherheitskomponenten aktiviert.

4 · Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

4.1 Logging und Monitoring

Sicherheitsrelevante Ereignisse (Anmeldungen, administrative Zugriffe, Fehlerzustände) werden protokolliert und ausgewertet. Auffällige Muster (z. B. wiederholte Fehlanmeldungen) führen zu automatischen Schutzmaßnahmen wie temporären Zugangssperren.

4.2 Audit-Trail

Schreibende Datenoperationen werden in einem revisionssicheren Ereignis-Protokoll erfasst. Das Protokoll umfasst Zeitstempel, auslösenden Akteur und Art der Operation, jedoch keine Inhaltsdaten.

4.3 Incident-Response

Bei einer Verletzung des Schutzes personenbezogener Daten erfolgt die Meldung an die zuständige Aufsichtsbehörde gemäß Art. 33 DSGVO innerhalb von 72 Stunden. Betroffene Personen werden unverzüglich gemäß Art. 34 DSGVO informiert, sofern ein hohes Risiko besteht.

4.4 Überprüfungsintervall

Die hier dokumentierten Maßnahmen werden mindestens jährlich auf Wirksamkeit und Aktualität überprüft. Bei wesentlichen Änderungen der Verarbeitungstätigkeit erfolgt eine außerordentliche Überprüfung.

5 · Spezifische Maßnahmen für die KI-Verarbeitung

5.1 Vertragliche Trainings-Ausschluss

Die eingesetzten KI-Anbieter (Sprachmodelle für den Concierge-Dienst) sind vertraglich verpflichtet, übermittelte Eingaben nicht zum Training ihrer Modelle zu nutzen. Diese Verpflichtung ist Bestandteil der jeweiligen Auftragsverarbeitungsverträge.

5.2 Daten-Minimierung in der Inferenz

An die KI-Modelle werden ausschließlich diejenigen Daten übermittelt, die für die Beantwortung der konkreten Anfrage erforderlich sind. Eine persistente Speicherung der Anfragen beim KI-Anbieter findet vertraglich nicht statt.

5.3 Output-Filter

Ausgaben des KI-Systems werden vor der Ausgabe automatisch auf unbeabsichtigte Preisgabe sensibler Informationen geprüft (z. B. interne Konfigurationsdaten, Authentifizierungs-Tokens). Auffällige Ausgaben werden blockiert oder geschwärzt.

5.4 Eingabe-Schutz

Eingaben werden auf Manipulationsversuche (Prompt-Injection) geprüft. Bei wiederholten Auffälligkeiten erfolgt eine Eskalation an den Verantwortlichen.

5.5 Transparenz

Teilnehmer werden gemäß Art. 13 Abs. 2 lit. f DSGVO sowie EU AI Act Art. 52 transparent über die KI-Nutzung, deren Zweck, eingesetzte Anbieter und mögliche Fehlerquellen informiert.

5.6 Keine automatisierten Einzelentscheidungen

Es werden keine automatisierten Entscheidungen mit rechtlicher Wirkung für betroffene Personen im Sinne von Art. 22 DSGVO getroffen. Verbindliche Aussagen (z. B. zu Buchungen, Stornierungen, Kostenfragen) werden persönlich durch den Verantwortlichen getroffen.

6 · Auftragskontrolle (Art. 28 DSGVO)

Mit allen Auftragsverarbeitern bestehen schriftliche Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. Die Liste der Auftragsverarbeiter mit Zweck, Standort und Rechtsgrundlage ist in der Datenschutzerklärung in Abschnitt 16 dokumentiert. Anbieterwechsel werden vorab kommuniziert. Sub-Auftragsverarbeitungen sind ohne schriftliche Genehmigung nicht zulässig.

Bei Drittlandtransfers in Staaten ohne Angemessenheitsbeschluss erfolgt die Übermittlung ausschließlich auf Grundlage von EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.

7 · Datenschutz durch Technik (Art. 25 DSGVO)

Bereits bei Auswahl und Konfiguration der eingesetzten Technologien wurden die Grundsätze des Datenschutzes berücksichtigt:

• Datensparsamkeit: nur die für den Zweck erforderlichen Daten werden erhoben
• Voreinstellungen: optionales Tracking ist standardmäßig deaktiviert (Opt-in)
• Speicherbegrenzung: automatisierte Löschroutinen für Inhalte mit definierter Speicherdauer
• Transparenz: jederzeit einsehbarer Datenexport als Selbstauskunft im Portal
• Zweckbindung: keine Weiterverarbeitung über die in der Datenschutzerklärung dokumentierten Zwecke hinaus

8 · Risikobewertung

Eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO ist für die hier beschriebene Verarbeitungstätigkeit nicht zwingend erforderlich:

• Geschlossener Teilnehmerkreis (max. 16 vorab eingeladene Personen)
• Freiwillige Teilnahme an einer Geschäftsreise
• Keine besonderen Datenkategorien (Art. 9 DSGVO)
• Kein Profiling für Werbezwecke
• Keine automatisierten Einzelentscheidungen

Bei einer Erweiterung der Verarbeitungstätigkeit (z. B. größerer Teilnehmerkreis, neue Verarbeitungszwecke) erfolgt eine erneute Bewertung.

9 · Geltungsdauer und Aktualisierung

Diese TOM-Anlage gilt ab dem oben genannten Stand-Datum bis zur nächsten Aktualisierung. Die jeweils aktuelle Fassung ist auf Anfrage bei datenschutz@unternehmer.reisen erhältlich. Wesentliche Änderungen werden den Teilnehmern proaktiv mitgeteilt.