Technische und organisatorische Maßnahmen

Geltungsbereich

Die Appontes GmbH, Rottweil (nachfolgend „Appontes“), verarbeitet im Rahmen von Einführung, Support, Wartung, Datenmigration und Individualentwicklung personenbezogene Daten im Auftrag ihrer Kunden. Diese Übersicht beschreibt die Maßnahmen, mit denen Appontes ein dem Risiko angemessenes Schutzniveau nach Art. 32 DSGVO sicherstellt. Sie ist Anlage zum Vertrag über die Auftragsverarbeitung.

Die Maßnahmen orientieren sich am Stand der Technik, an den Implementierungskosten sowie an Art, Umfang, Umständen und Zwecken der Verarbeitung. Aus Sicherheitsgründen nennt diese Übersicht keine Details zu Systemkonfigurationen. Auf Anfrage stellt Appontes Kunden im Rahmen eines Auftragsverarbeitungsvertrags weitergehende Informationen zur Verfügung.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

Schutz vor unbefugtem physischem Zugang zu Datenverarbeitungsanlagen.

• Die Büroräume in Rottweil sind abschließbar. Schlüssel werden nur an Mitarbeiter ausgegeben, die Ausgabe ist dokumentiert.
• Besucher halten sich nur in Begleitung von Mitarbeitern in den Büroräumen auf.
• Der Server im Büro steht in einem abgeschlossenen Raum oder Schrank, zu dem nur die Geschäftsführung und berechtigte Administratoren Zugang haben.
• Cloud-Dienste (Microsoft 365, Microsoft Azure) werden in Rechenzentren betrieben, deren physische Sicherheit durch den Anbieter nach ISO/IEC 27001 zertifiziert ist.

1.2 Zugangskontrolle

Schutz vor unbefugter Nutzung von Datenverarbeitungssystemen.

• Persönliche Benutzerkonten für jeden Mitarbeiter, keine geteilten Konten.
• Mehr-Faktor-Authentifizierung für Microsoft 365, Azure und alle weiteren geschäftskritischen Dienste.
• Festplattenverschlüsselung (BitLocker) auf allen Notebooks und Arbeitsplätzen.
• Zentrale Geräteverwaltung (Microsoft Intune) mit Vorgaben zu Verschlüsselung, Bildschirmsperre und Updates. Verlorene Geräte können gesperrt und gelöscht werden.
• Aktueller Virenschutz und Endpoint-Schutz (Microsoft Defender) auf allen Endgeräten.
• Firewall am Büroanschluss, Zugriffe von außen auf interne Systeme nur verschlüsselt.
• Automatische Bildschirmsperre bei Inaktivität.
• Zugangsdaten, auch die von Kunden für Fernwartung, werden ausschließlich in einem verschlüsselten Passwortmanager gespeichert.

1.3 Zugriffskontrolle

Berechtigte greifen nur auf die Daten zu, für die sie berechtigt sind.

• Berechtigungen nach dem Prinzip der minimalen Rechte (Need-to-know), Vergabe und Entzug durch die Geschäftsführung.
• Administrative Rechte nur für wenige, namentlich festgelegte Personen und getrennt von den Konten für die tägliche Arbeit.
• Zugriff auf Kundensysteme nur im Rahmen eines konkreten Auftrags und nur mit den Zugängen, die der Kunde dafür bereitstellt.
• Fernwartung per TeamViewer oder AnyDesk nur mit Freigabe bzw. Bestätigung der Sitzung durch den Kunden. Alternativ über VPN-Zugänge, Remote Desktop oder Sprungserver des Kunden nach dessen Vorgaben.
• Datenträger werden vor Entsorgung sicher gelöscht oder physisch vernichtet. Papierunterlagen mit personenbezogenen Daten werden datenschutzgerecht vernichtet.

1.4 Trennungskontrolle

Zu unterschiedlichen Zwecken erhobene Daten werden getrennt verarbeitet.

• Kundendaten werden getrennt nach Kunden und Projekten abgelegt.
• Entwicklung und Tests erfolgen in getrennten Test- und Entwicklungsumgebungen, nicht in Produktivsystemen von Kunden.
• Sage 100 und die eingesetzten Datenbanken sind mandantenfähig, Testdaten werden in eigenen Mandanten oder Datenbanken geführt.
• Kopien von Kundendatenbanken, etwa für Analysen oder Migrationen, werden nur so lange aufbewahrt, wie es der Auftrag erfordert, und anschließend gelöscht.

1.5 Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Wo es für den Zweck ausreicht, werden Testdaten anonymisiert oder pseudonymisiert.
• Datenübertragungen erfolgen verschlüsselt (TLS, VPN, verschlüsselte Fernwartungssitzungen).
• Gespeicherte Daten sind auf Endgeräten durch BitLocker und in Microsoft 365 und Azure durch die Verschlüsselung des Anbieters geschützt.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

Personenbezogene Daten werden bei Übertragung oder Transport nicht unbefugt gelesen, kopiert oder verändert.

• Austausch größerer Datenmengen nur über verschlüsselte Verbindungen (HTTPS, SFTP) oder Microsoft 365 mit beschränkten Freigaben, nicht per unverschlüsseltem E-Mail-Anhang.
• E-Mail-Versand über Microsoft 365 mit Transportverschlüsselung (TLS).
• Keine Weitergabe von Auftragsdaten an Dritte ohne Weisung des Kunden. Unterauftragsverarbeiter sind im Auftragsverarbeitungsvertrag benannt.
• Kein Einsatz von Wechseldatenträgern für Kundendaten, sofern nicht ausdrücklich vereinbart. Falls doch, nur verschlüsselt.

2.2 Eingabekontrolle

Es lässt sich nachvollziehen, wer personenbezogene Daten eingegeben, verändert oder gelöscht hat.

• Persönliche Benutzerkonten machen Änderungen einzelnen Personen zuordenbar.
• Anmeldungen und administrative Vorgänge in Microsoft 365 und Azure werden protokolliert.
• Arbeiten an Kundensystemen werden als Tätigkeitsnachweis dokumentiert (Datum, Person, Tätigkeit).
• Quellcode und Konfigurationen werden versioniert, Änderungen sind einer Person und einem Zeitpunkt zugeordnet.

3. Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Regelmäßige, automatisierte Datensicherung der eigenen Systeme mit einer Kopie außerhalb der Büroräume.
• Sicherungen werden verschlüsselt gespeichert und stichprobenartig auf Wiederherstellbarkeit getestet.
• Unterbrechungsfreie Stromversorgung für den Server im Büro.
• Zeitnahes Einspielen von Sicherheitsupdates für Betriebssysteme und Anwendungen, auf Endgeräten zentral über Intune gesteuert.
• Cloud-Dienste mit georedundanter Speicherung und Verfügbarkeitszusagen des Anbieters.
• Bei Verlust oder Defekt eines Notebooks sind die Daten durch Verschlüsselung geschützt und aus der Cloud wiederherstellbar.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

4.1 Datenschutz-Management

• Die Geschäftsführung ist für Datenschutz und Informationssicherheit verantwortlich. Kontaktdaten stehen in der Datenschutzerklärung.
• Alle Mitarbeiter sind schriftlich auf Vertraulichkeit und Datenschutz verpflichtet und werden regelmäßig sensibilisiert.
• Diese Maßnahmen werden mindestens jährlich sowie bei wesentlichen Änderungen der Systeme überprüft und angepasst.
• Ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO wird geführt.

4.2 Umgang mit Datenschutzvorfällen

• Sicherheitsvorfälle werden intern unverzüglich an die Geschäftsführung gemeldet, bewertet und dokumentiert.
• Betrifft ein Vorfall Auftragsdaten, informiert Appontes den Kunden unverzüglich, damit dieser seine Meldepflichten nach Art. 33 und 34 DSGVO erfüllen kann.

4.3 Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)

• Es werden nur die personenbezogenen Daten verarbeitet, die für den jeweiligen Auftrag erforderlich sind.
• Eigene Werkzeuge und Online-Dienste von Appontes erheben so wenig Daten wie möglich. Die Website-Statistik arbeitet ohne Speicherung von IP-Adressen.

4.4 Auftragskontrolle

• Verarbeitung von Auftragsdaten ausschließlich nach dokumentierter Weisung des Kunden auf Grundlage eines Vertrags nach Art. 28 DSGVO.
• Unterauftragsverarbeiter werden sorgfältig ausgewählt und vertraglich nach Art. 28 DSGVO gebunden. Bei Anbietern außerhalb der EU erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-U.S. Data Privacy Framework) oder der EU-Standardvertragsklauseln.
• Nach Auftragsende werden Auftragsdaten nach Wahl des Kunden zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Appontes GmbH, Rottweil · Stand: Oktober 2026