Anlage 6 — Technische und organisatorische Maßnahmen
Maßnahmen nach Art. 32 DSGVO
Anlage 6 zu den AGB evonotex · Fassung 1.0 · Stand September 2026
Diese Anlage 6 ist Bestandteil der Allgemeinen Geschäftsbedingungen für die Überlassung der Software evonotex (nachfolgend „AGB") sowie der Auftragsverarbeitungsvereinbarung (Anlage 5). Sie beschreibt die technischen und organisatorischen Maßnahmen, die der Anbieter zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus im Sinne des Art. 32 DSGVO umsetzt.
Die beschriebenen Maßnahmen stellen den zum Zeitpunkt des Vertragsschlusses geltenden Mindeststandard dar. Sie beziehen sich auf die eingesetzte Betriebsumgebung und die in Anlage 1 zur Anlage 5 genannten Dienstleister. Wechselt der Anbieter einen Dienstleister, können sich einzelne Maßnahmen ändern; das in dieser Anlage beschriebene Schutzniveau wird dabei nicht unterschritten. Änderungen richten sich nach Ziffer 9.
Die Server-Infrastruktur wird ausschließlich in einem professionellen Rechenzentrum des jeweils beauftragten Infrastruktur-Dienstleisters betrieben. Der Anbieter betreibt keine eigenen Rechenzentrumsräume. Der Rechenzentrumsbetreiber stellt insbesondere sicher:
Detaillierte Informationen zu den physischen Sicherheitsmaßnahmen stellt der Rechenzentrumsbetreiber öffentlich bereit; der Anbieter leitet sie auf Anfrage weiter.
(1) Der administrative Zugang zur Server-Infrastruktur des Anbieters ist auf einen kleinen Kreis berechtigter Personen beschränkt und technisch gehärtet. Die Härtung umfasst insbesondere eine ausschließlich schlüsselbasierte Authentifizierung, einen deaktivierten Passwort- und Administratorzugang, einen vom Standard abweichenden Zugangsport sowie die automatische Sperrung von IP-Adressen nach wiederholt fehlgeschlagenen Anmeldeversuchen.
(2) Ergänzend gelten die folgenden organisatorischen Maßnahmen:
(3) Der Zugang zur Anwendung selbst wird durch ein Authentifizierungsverfahren nach dem Stand der Technik geschützt. Passwörter werden ausschließlich als Hashwerte nach einem dem Stand der Technik entsprechenden Verfahren gespeichert; eine Speicherung im Klartext findet nicht statt. Der Anbieter versendet zu keinem Zeitpunkt Passwörter im Klartext.
(1) Nutzer des Verantwortlichen innerhalb der Anwendung. Innerhalb der Anwendung gilt ein Rollen- und Berechtigungskonzept nach dem Grundsatz der geringsten Rechte. Welche Rollen bestehen, ergibt sich aus Anlage 1 der AGB; welche Nutzer ihnen zugeordnet werden, legt der Verantwortliche fest. Der Anbieter nimmt keine eigenständige Vergabe von Berechtigungen an Nutzer des Verantwortlichen vor.
(2) Zugriffe des Anbieters auf Anwendungsebene. Der Anbieter unterhält anbieterseitige Rollen für die Plattformverwaltung und den Support. Über diese Rollen kann auf Daten des Verantwortlichen zugegriffen werden. Hierfür gilt:
(3) Zugriffe des Anbieters auf Serverebene. Auf Serverebene besteht eine strikte Trennung zwischen administrativen Rechten und Nutzerrechten. Administrative Zugriffe werden protokolliert.
(1) Der Anbieter betreibt evonotex in einer eigenen, von den übrigen Anwendungen des Anbieters getrennten Umgebung mit eigenem Anwendungscontainer und eigener Datenbank (Anlage 2 Ziffer 4.1).
(2) Innerhalb von evonotex werden die Daten mehrerer Verantwortlicher in einer gemeinsamen Instanz verarbeitet. Die Trennung der Verantwortlichen untereinander erfolgt logisch. Der Anbieter setzt hierfür die folgenden Maßnahmen um:
Feste Zuordnung im Datenmodell. Jeder Datensatz ist einer Firma fest zugeordnet. Die Zuordnung ist verpflichtend und kann nicht entfallen.
Serverseitige Durchsetzung auf allen Zugriffspfaden. Die Firmengrenze wird bei jedem lesenden und schreibenden Zugriff serverseitig geprüft. Die Prüfung erfolgt zentral und nicht dezentral in einzelnen Funktionen; sie ist von der Oberfläche aus nicht umgehbar.
Schreibregister nach dem Grundsatz der ausdrücklichen Erlaubnis. Für jede Entität der Anwendung und jede Schreibart ist ausdrücklich festgelegt, welche Rollen sie ausführen dürfen. Fehlt ein Eintrag, wird der Zugriff verweigert. Ein Prüfstand stellt sicher, dass keine Entität ohne ausdrückliche Entscheidung bleibt; eine neu hinzukommende Entität ist damit von vornherein gesperrt.
Rollen- und Berechtigungskonzept mit Standortbegrenzung. Innerhalb der Firma gilt der Grundsatz der geringsten Rechte. Zugriffe sind zusätzlich auf die dem jeweiligen Nutzer zugewiesenen Standorte begrenzt. Eine Aufhebung der eigenen Standortbegrenzung durch den begrenzten Nutzer selbst ist ausgeschlossen.
Getrennte Datenexporte. Datenexporte werden je Firma gesondert erzeugt und getrennt abgelegt. Ein Export enthält ausschließlich Daten der Firma, für die er erstellt wurde.
(3) Absicherung durch automatisierte Prüfstände. Die Wirksamkeit der Trennung ist durch automatisierte Prüfungen abgesichert, die bei jeder Änderung der Anwendung ausgeführt werden. Die Prüfungen umfassen ausdrücklich Angriffsversuche, insbesondere
das Unterschieben fremder Kennungen in Anfragen,
die unmittelbare Manipulation von Adressen und Anfrageparametern,
den Versuch, die Firmengrenze zu überschreiten,
den Versuch, die eigene Rolle oder die eigene Standortbegrenzung zu erweitern.
(4) Änderungen an den Mechanismen der Trennung unterliegen einer gesonderten Prüfung vor der Übernahme in den Produktivbetrieb.
(5) Getrennte Mandanten eines Verantwortlichen erfordern jeweils eine eigene Firma. § 6 Absatz 6 der AGB ist zu beachten.
| Merkmal | Umsetzung |
|---|---|
| Verfahren | Tägliche automatische Sicherung der Datenbank |
| Zeitpunkt | Nachts gegen 03:00 Uhr (mitteleuropäische Zeit) |
| Speicherort | Geschützter Speicherbereich auf der Infrastruktur des Anbieters innerhalb der Europäischen Union |
| Aufbewahrung | 30 Tage rollierend |
| Abbilder der Serverumgebung | Zusätzlich zu den täglichen Sicherungen erstellt der Anbieter regelmäßig Abbilder der gesamten Serverumgebung |
| Wiederherstellung | Wiederherstellung aus einer Datensicherung oder einem Abbild durch den Anbieter. Meldeweg, Einstufung und Reaktionszeiten richten sich nach Anlage 4 der AGB. |
(1) Die Verfügbarkeit der Anwendung wird durch ein automatisiertes Werkzeug fortlaufend überwacht. Eine dauerhafte personelle Überwachung findet nicht statt.
(2) Bei Ausfällen oder kritischen Systemzuständen benachrichtigt das Überwachungswerkzeug automatisiert das technische Postfach des Anbieters. Die Bearbeitung erfolgt innerhalb der Servicezeiten nach Anlage 4 der AGB.
Verbindliche Wiederherstellungszeiten bestehen nur, soweit dies im Bestellformular ausdrücklich vereinbart ist.
(1) Soweit die Anwendung Funktionen bereitstellt, die auf Sprachmodellen beruhen, übermittelt der Anbieter an den KI-Dienstleister ausschließlich die für die jeweilige Funktion erforderlichen Daten.
(2) Es gelten folgende Maßnahmen:
(3) Der jeweils eingesetzte KI-Dienstleister ist in der Subprozessorenliste (Anlage 1 zur Anlage 5) benannt. Ein Wechsel richtet sich nach § 6 der Anlage 5.
Für den Umgang mit Sicherheits- und Datenschutzvorfällen besteht ein definierter Prozess:
| Phase | Maßnahme |
|---|---|
| 1. Erkennung | Der Vorfall wird durch die Überwachung, durch Supportmeldungen oder durch Hinweise von außen identifiziert. |
| 2. Analyse | Der Anbieter bewertet Art, Umfang und potenzielle Auswirkungen und sichert die relevanten Protokolle und Beweise. |
| 3. Eindämmung | Der Anbieter ergreift Sofortmaßnahmen zur Begrenzung des Schadens, insbesondere die Sperrung kompromittierter Zugänge und die Isolierung betroffener Systeme. |
| 4. Behebung | Der Anbieter behebt die Ursache, etwa durch Einspielen einer Aktualisierung, eine Konfigurationsänderung oder eine Wiederherstellung aus einer Datensicherung. |
| 5. Kommunikation | Der Anbieter informiert den Verantwortlichen nach § 7 der Anlage 5 innerhalb von 48 Stunden. Die Meldung an die Aufsichtsbehörde obliegt dem Verantwortlichen. |
| 6. Nachbereitung | Der Anbieter dokumentiert den Vorfall, wertet ihn aus und setzt Verbesserungsmaßnahmen um. |
Der Anbieter ist berechtigt, die Maßnahmen risikobasiert an den Stand der Technik anzupassen und weiterzuentwickeln, solange das in dieser Anlage beschriebene Schutzniveau nicht unterschritten wird. Wesentliche Änderungen der technischen Infrastruktur kündigt der Anbieter mindestens 30 Kalendertage vor ihrem Wirksamwerden in Textform an.
| Fassung | Stand | Anmerkung |
|---|---|---|
| 1.0 | September 2026 | Erstfassung für evonotex. Abgeleitet aus Anlage E des Rahmenvertrags. Anbieterseitige Zugriffe und Verarbeitung durch den KI-Dienstleister neu aufgenommen. Das Trennungsgebot nach Ziffer 1.4 wurde gegenüber der Vorlage vollständig neu gefasst. |