Technisch-organisatorischeMaßnahmen (TOM)

Verantwortliche Stelle

Beschreibung der Verarbeitung

Die Intercolo GmbH betreibt eine hochverfügbare Infrastruktur für:

• Object Storage (S3-kompatibel)
• Content Delivery Network (CDN)
• Netzwerk- und Hosting-Dienstleistungen

Die Verarbeitung erfolgt ausschließlich im Rahmen von Hosting- und Infrastrukturleistungen im Auftrag der Kunden.

Datenverarbeitungsstandort

Die Verarbeitung und Speicherung sämtlicher Daten erfolgt ausschließlich in Deutschland (Frankfurt am Main). Es erfolgt keine Übermittlung personenbezogener Daten in Drittstaaten durch die Intercolo GmbH.

Zutrittskontrolle & physische Sicherheit

Die Systeme befinden sich in einem hochsicheren, ISO-27001-zertifizierten Rechenzentrum der Aixit GmbH in Frankfurt am Main (ca. 4.000 m² Datacenter-Fläche).

Zutrittskontrolle

• Mehrstufige Zugangskontrollen (Zutrittskarten, Chipsysteme, mechanische Sicherungen)
• Videoüberwachung der Datacenter-Bereiche rund um die Uhr
• Zugang nur für autorisierte Personen
• Trennung von Kunden- und Betriebsbereichen
• 24/7 Überwachung durch den Rechenzentrumsbetreiber

Stromversorgung & Notstrom

• Redundante Stromversorgung
• Unterbrechungsfreie Stromversorgung (USV) mit neuester Technologie
• Notstromversorgung durch Dieselgeneratoren

Klimatisierung & Brandschutz

• Redundante Klimatisierung zur Sicherstellung optimaler Betriebstemperaturen
• Brandfrüherkennungssysteme
• Brandschutzzonen und Löschsysteme

Netzwerk

• Redundantes Netzdesign für maximale Ausfallsicherheit
• Eigenes Autonomes System (ASN) mit unabhängigem BGP-Routing

Physischer Zugriff ist ausschließlich autorisierten Mitarbeitern der Intercolo GmbH sowie autorisiertem Rechenzentrumspersonal möglich.

Zugangskontrolle

Der Zugriff auf Systeme erfolgt ausschließlich über gesicherte Kommunikationswege:

• VPN-geschützte Zugänge für administrative Systeme
• Multi-Faktor-Authentifizierung (MFA) für privilegierte Accounts
• SSH-Zugriff ausschließlich mittels Key-basierter Authentifizierung
• Keine öffentlichen Admin-Zugänge

Administrative Interfaces sind nicht öffentlich erreichbar.

Zugriffskontrolle (Berechtigungskonzept)

Es besteht ein rollenbasiertes Zugriffskonzept:

• Trennung zwischen Administratoren, Support und Kunden
• Zugriff nach dem Prinzip der minimalen Rechtevergabe (Least Privilege)
• Zugriff auf Kundendaten nur im Rahmen der Support-Tätigkeit

Zugriffe werden protokolliert und nachvollziehbar dokumentiert.

Weitergabekontrolle

Die Datenübertragung erfolgt verschlüsselt über TLS (HTTPS).

Es erfolgt:

• keine unkontrollierte Weitergabe personenbezogener Daten
• keine Weitergabe ohne vertragliche Grundlage
• keine Nutzung externer Cloudanbieter zur Datenverarbeitung

Eingabekontrolle & Protokollierung

Zur Sicherstellung der Nachvollziehbarkeit sind folgende Maßnahmen implementiert:

• Zentrale Logging-Systeme
• Monitoring mit Prometheus und Grafana
• Ereignisbasierte Alarmierung (Alerting)
• Protokollierung administrativer Zugriffe

Auftragskontrolle

Die Intercolo GmbH setzt grundsätzlich keine externen Auftragsverarbeiter ein, die Zugriff auf personenbezogene Daten haben.

Externe Dienstleister (z. B. Rechenzentrumsbetreiber) haben keinen Zugriff auf Dateninhalte.

Zahlungsdienstleister agieren als eigenständig Verantwortliche.

Verfügbarkeitskontrolle

Zur Sicherstellung der Verfügbarkeit werden folgende Maßnahmen eingesetzt:

• Betrieb eigener Hardware und eigener Netzwerkinfrastruktur
• Redundante Systemarchitektur
• DDoS-Schutz durch eigene Systeme
• Netzwerk-Firewalls und Access-Control-Listen (ACLs)
• 24/7 Monitoring und Bereitschaft

Trennungskontrolle

Zur Vermeidung unbefugter Datenverarbeitung zwischen Mandanten:

• Logische Mandantentrennung auf Softwareebene
• Netzwerksegmentierung mittels VLANs
• Zugriffskontrolle auf Systemebene

Datenspeicherung und Backupkonzept

Die Datenspeicherung erfolgt innerhalb der Infrastruktur der Intercolo GmbH in Frankfurt am Main.

• Replikation ist optional konfigurierbar durch den Kunden
• Eine automatische Datensicherung (Backup) erfolgt nicht
• Kunden sind für Backup-Strategien eigenverantwortlich

Incident Response & Sicherheitsmanagement

Die Intercolo GmbH betreibt ein kontinuierliches Monitoring aller Systeme.

• Echtzeit-Alerting bei Anomalien
• 24/7 Bereitschaft
• Behandlung von Sicherheitsvorfällen nach internen Best-Practice-Prozessen

Patchmanagement & Systemaktualisierung

Zur Gewährleistung der Systemsicherheit werden regelmäßige Aktualisierungen durchgeführt:

• Sicherheitskritische Patches werden zeitnah nach Veröffentlichung eingespielt
• Regelmäßige Aktualisierung von Betriebssystemen, Firmware und Anwendungssoftware
• Überwachung relevanter Sicherheitskanäle (CVE-Datenbanken, Hersteller-Advisories)
• Priorisierung nach Schweregrad (CVSS) und Relevanz für die eigene Infrastruktur
• Dokumentation durchgeführter Updates

Verschlüsselung

• Datenübertragung: TLS-verschlüsselt
• Speicherung: derzeit keine Verschlüsselung auf Datenträgerebene (Encryption at Rest)
• Kunden haben die Möglichkeit, Daten vor dem Upload clientseitig zu verschlüsseln

Mitarbeiter & organisatorische Maßnahmen

• Zugriff auf Systeme nur für autorisierte Mitarbeiter
• Verpflichtung auf Vertraulichkeit
• Mindestens jährliche Sensibilisierung im Bereich IT-Sicherheit und Datenschutz

Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht bestellt, da die gesetzlichen Voraussetzungen gemäß Art. 37 DSGVO nicht erfüllt sind.

Löschung von Daten

Nach Vertragsbeendigung oder bei ausbleibender Zahlung werden Daten gemäß interner Prozesse gelöscht.

Zertifizierungen

Das eingesetzte Rechenzentrum der Aixit GmbH ist nach ISO 27001 zertifiziert (Informationssicherheits-Managementsystem).

Liste der eingesetzten Dienstleister / Subunternehmer

1. Rechenzentrumsbetreiber

2. Zahlungsdienstleister (eigenständig Verantwortliche)

Stripe Payments Europe Ltd.
Rolle: Zahlungsabwicklung
Datenschutzrolle: Eigenständig Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO

PayPal (Europe) S.à r.l. et Cie, S.C.A.
Rolle: Zahlungsabwicklung
Datenschutzrolle: Eigenständig Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO

3. Interne Systeme

Folgende Systeme werden vollständig intern betrieben und stellen keine externen Auftragsverarbeiter dar:

• E-Mail-Systeme
• Ticketsystem
• Monitoring (Prometheus, Grafana)
• Netzwerk- und Storage-Infrastruktur

4. Hinweis

Es werden keine weiteren Subunternehmer eingesetzt, die Zugriff auf personenbezogene Daten haben.