Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage 2 zum AVV, Entwurf)

So schützt Hubbri die Daten. Spalte „Status“: umgesetzt, geplant oder [PRÜFEN] — vor Veröffentlichung jede Zeile ehrlich ausfüllen.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b)

Bereich Maßnahme Status
Zutritt Rechenzentrum Physischer Schutz durch IONOS (Zutrittskontrolle, Video, Wachdienst); Nachweis über Zertifikat des Rechenzentrums [ISO 27001 PRÜFEN] [PRÜFEN]
Zutritt Büro Hubbri Büro abgeschlossen, Bildschirmsperre, keine Kundendaten auf Papier [PRÜFEN]
Zugang Server Anmeldung nur per SSH-Schlüssel, Passwort-Login und Root-Login gesperrt, Firewall lässt nur Port 443 (und SSH von festen Adressen) zu, fail2ban [PRÜFEN]
Zugang Anwendung Login mit persönlichem Konto; Passwörter gehasht (scrypt); Zwei-Faktor-Anmeldung für Administratoren [Pflicht]; Sperre nach 5 Fehlversuchen für 15 Minuten; Sitzung endet nach 12 Stunden teilweise umgesetzt (2FA geplant)
Zugriff (Rollen) Rollen Admin, Disponent, Fahrer, Kundenportal; Fahrer sehen nur eigene Touren, Kunden nur eigene Aufträge umgesetzt (Prototyp)
Zugriff Hubbri-Personal Support-Zugriff nur nach Freigabe durch den Kunden oder bei Störung, protokolliert; Admin-Zugänge namentlich geplant
Trennung Jeder Datensatz trägt eine Mandanten-ID; jede Abfrage filtert serverseitig danach; Tests prüfen, dass Mandant A keine Daten von B sieht geplant
Verschlüsselung Übertragung HTTPS mit TLS 1.2 oder höher, HSTS; Zertifikat von [Let’s Encrypt] umgesetzt
Verschlüsselung Speicher Festplatte bzw. Datenbank verschlüsselt; Datensicherungen verschlüsselt (AES-256) [PRÜFEN]
Pseudonymisierung GPS-Daten nach [7] Tagen nur noch zusammengefasst je Tour; Auswertungen ohne Namen geplant

2. Integrität (Art. 32 Abs. 1 lit. b)

Bereich Maßnahme Status
Weitergabe Übertragung nur verschlüsselt; Exporte nur durch berechtigte Rollen; Download-Links befristet [24 h] geplant
Eingabe Änderungsprotokoll: wer hat wann welches Feld geändert, freigegeben oder gelöscht; Freigabe von Angeboten mit Benutzer und Zeitpunkt; Herkunft jedes Hermes-Feldes (Quelle, sicher/unsicher) teilweise umgesetzt
Prüfregeln Ein gemeinsamer Prüfkern für Eingaben von Mensch und KI; automatische Tests umgesetzt

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c)

Bereich Maßnahme Status
Datensicherung täglich, verschlüsselt, an einem zweiten Standort [IONOS-Backup / anderer Anbieter in DE]; Aufbewahrung [30] Tage [PRÜFEN]
Wiederherstellung Wiederherstellung wird [vierteljährlich] getestet; Ziel: Wiederanlauf in [4] Stunden, Datenverlust höchstens [24] Stunden geplant
Updates Sicherheitsupdates des Betriebssystems automatisch; Abhängigkeiten [monatlich] geprüft [PRÜFEN]
Überwachung Erreichbarkeits-Monitoring mit Alarm; Speicherplatz und Fehlerprotokolle geplant
Schutz vor Angriffen Firewall, Rate-Limits am Login, Schutz gegen DDoS durch IONOS [PRÜFEN]
Ausfall Dritter Bei Ausfall von WhatsApp oder KI bleibt die manuelle Eingabe möglich umgesetzt

4. Organisation und Überprüfung (Art. 32 Abs. 1 lit. d)

Bereich Maßnahme Status
Verpflichtung Alle Mitarbeiter und freien Mitarbeiter schriftlich auf Vertraulichkeit verpflichtet; Schulung bei Eintritt und [jährlich] [PRÜFEN]
Auftragskontrolle AVV mit jedem Unterauftragsverarbeiter (Dokument 06); Prüfung vor Beauftragung [PRÜFEN]
Vorfälle Notfallplan Datenpanne (Dokument 13); Meldung an Speditionen binnen [24] Stunden Entwurf
Betroffenenanfragen Fester Ablauf (Dokument 14) Entwurf
Überprüfung TOM werden [jährlich] und nach jeder größeren Änderung geprüft; Ergebnis dokumentiert geplant
Penetrationstest vor Echtbetrieb und danach [jährlich] durch Externe geplant

5. Datenschutz durch Technik und Voreinstellungen (Art. 25)

Verantwortlich für diese Liste: [NAME] · Stand: [DATUM]