TOM

Entwurf - finale Rechtstexte und Angaben folgen.

Diese Übersicht beschreibt die technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO, die HolyElk, Inhaber Hany Elkholy, Wimmelstraße 2A, 34125 Kassel, beim Betrieb der HolyElk-Dienste (Admin-Portal, Mitarbeiterportal, Desktop-App, Terminals und API) trifft. Sie ist Anlage zum Vertrag zur Auftragsverarbeitung (Ziffer 5) und wird bei wesentlichen Änderungen aktualisiert. Stand: Oktober 2026.

1. Vertraulichkeit – Zutrittskontrolle

Die Anwendungsdaten werden ausschließlich in einem Rechenzentrum der Hetzner Online GmbH in Nürnberg (Deutschland) verarbeitet. Physischer Zutritt, Videoüberwachung und Zutrittsprotokollierung liegen beim Rechenzentrumsbetreiber, dessen Rechenzentren nach ISO/IEC 27001 zertifiziert sind.
HolyElk betreibt keine eigenen Serverräume; Datenträger mit Kundendaten befinden sich nicht in Büroräumen.

2. Vertraulichkeit – Zugangskontrolle (Systeme)

Server-Administration ausschließlich per SSH mit Schlüssel-Authentifizierung; Passwort-Anmeldung am Server ist deaktiviert.
Host-Firewall: von außen sind nur die Ports für SSH (22) und HTTP/HTTPS (80/443) erreichbar; die Datenbank lauscht ausschließlich lokal und ist aus dem Internet nicht erreichbar.
Automatische Sperrung wiederholter fehlgeschlagener SSH-Anmeldeversuche (fail2ban) sowie automatische Installation von Sicherheitsupdates des Betriebssystems.
Anmeldung in der Anwendung: Passwörter werden ausschließlich als bcrypt-Hash (Kostenfaktor 12) gespeichert; Anmeldeversuche sind je Konto begrenzt (5 Versuche in 5 Minuten); fehlgeschlagene Anmeldungen geben keine Auskunft darüber, ob ein Konto existiert.
Optionale Anmeldung mit Passkey (WebAuthn/FIDO2).
Sitzungen laufen nach 8 Stunden ab und werden in einem HTTP-only-, Secure-Cookie geführt; nach einer Passwortänderung werden bestehende Sitzungen ungültig. Links zum Zurücksetzen des Passworts sind 15 Minuten gültig.
Die Desktop-App speichert ihr Anmelde-Token verschlüsselt im Schlüsselbund des Betriebssystems.

3. Vertraulichkeit – Zugriffskontrolle (Daten)

Rollenbasiertes Berechtigungskonzept: Beschäftigte sehen nur ihre eigenen Zeit- und Abwesenheitsdaten; Auswertungen, Freigaben und Exporte sind Administratoren des jeweiligen Kunden vorbehalten.
Hochgeladene Nachweise (z. B. Atteste) können nur von der betroffenen Person selbst und von Administratoren des Kunden abgerufen werden.
Die Anwendung greift mit einer Datenbankrolle ohne Superuser-Rechte zu; startet der Dienst versehentlich mit erweiterten Rechten, verweigert er den Betrieb.
Administrativer Zugriff auf Server und Datenbank ist auf den Inhaber beschränkt.

4. Vertraulichkeit – Trennungskontrolle

Jeder Kunde (Mandant) erhält ein eigenes Datenbankschema; zusätzlich erzwingt die Datenbank zeilenbasierte Zugriffsregeln (Row-Level-Security) je Mandant.
Der Mandant einer Anfrage wird ausschließlich aus der serverseitig geprüften Anmeldung abgeleitet, nie aus vom Browser übermittelten Angaben.
Getrennte Umgebungen für Entwicklung/Test und Produktivbetrieb; Tests verwenden ausschließlich erfundene Testdaten.

5. Pseudonymisierung und Datenminimierung

Krankheitszeiten werden nur als Abwesenheitsstatus „Krank“ ohne Diagnose erfasst.
Der DATEV-Lohnexport enthält nur Personal-, Berater- und Mandantennummern sowie Stunden, keine Namen.
Fehlerberichte enthalten keine IP-Adressen, Cookies oder Nutzerdaten.

6. Integrität – Weitergabekontrolle

Alle Verbindungen sind per TLS verschlüsselt (HTTPS); unverschlüsselte Aufrufe werden umgeleitet, und HSTS ist für alle Domains aktiv.
Schutz-Header gegen Einbettung in fremde Seiten (Clickjacking) und eine Content-Security-Policy in allen Portalen.
Terminals authentifizieren jede Anfrage mit einer HMAC-Signatur und einem 5-Minuten-Fenster gegen das Wiedereinspielen abgefangener Anfragen; die Terminal-Schlüssel sind in der Datenbank mit AES-256-GCM verschlüsselt.
Weitergabe an Unterauftragsverarbeiter nur im Rahmen von Ziffer 6 des AVV; Exporte (Excel, CSV, DATEV) werden nur durch berechtigte Nutzer des Kunden ausgelöst.

7. Integrität – Eingabekontrolle

Zeitbuchungen werden mit Zeitpunkt und Quelle (Terminal, Portal, Desktop-App, offline nachgereicht) gespeichert.
Nachträgliche Änderungen von Arbeitszeiten erfolgen über einen Korrekturantrag, der von einem Administrator freigegeben werden muss; Beschäftigte können eigene Buchungen nicht unbemerkt ändern.
Datenschutzrelevante Vorgänge (z. B. Datenexporte, Löschungen, Rollen- und Kontoänderungen) werden in einem Audit-Protokoll mit handelnder Person und Zeitpunkt festgehalten.

8. Verfügbarkeit und Belastbarkeit

Die Dienste laufen in Containern mit Zustandsüberwachung (Health-Checks) und werden nach einem Absturz automatisch neu gestartet.
Ratenbegrenzung der Programmierschnittstelle schützt vor Überlastung und automatisierten Angriffen.
Terminals und Desktop-App speichern Stempelungen bei Verbindungsausfall zwischen und übertragen sie nach Wiederherstellung der Verbindung.

9. Wiederherstellbarkeit

Tägliche automatische Sicherung der gesamten Datenbank; jede Sicherung wird nach dem Erstellen auf Lesbarkeit geprüft.
Sicherungen werden 14 Tage aufbewahrt und sind nur für den Inhaber zugänglich.
Jeder Kunde kann seine Daten jederzeit selbst exportieren (Excel/CSV, DATEV).

10. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Jede Änderung am Quellcode durchläuft automatische Prüfungen (Typprüfung, automatisierte Tests, Code-Analyse) sowie eine Prüfung der verwendeten Software-Bibliotheken auf bekannte Sicherheitslücken; Änderungen mit hohen oder kritischen Befunden werden nicht ausgeliefert.
Regelmäßige interne Sicherheitsüberprüfungen der Anwendung; festgestellte Mängel werden dokumentiert und behoben.
Datenschutzfreundliche Voreinstellungen: Aufbewahrungsfristen sind je Kunde einstellbar (1 bis 3 Jahre); Löschungen nach Art. 17 DSGVO erfolgen als Anonymisierung, soweit gesetzliche Aufbewahrungspflichten bestehen.
Verletzungen des Schutzes personenbezogener Daten werden dem Verantwortlichen unverzüglich nach Bekanntwerden gemeldet (Ziffer 8 des AVV).

11. Auftragskontrolle

Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (Ziffer 3 des AVV).
Unterauftragsverarbeiter werden nur nach Ziffer 6 des AVV eingesetzt; mit ihnen bestehen Verträge nach Art. 28 DSGVO. Die Kern-Anwendungsdaten verbleiben in Deutschland.
Alle Personen mit Zugriff auf personenbezogene Daten sind zur Vertraulichkeit verpflichtet.

← Zurück zur Startseite