Technische und organisatorische Maßnahmen (TOMs)

1. Geltungsbereich und Risikoorientierung

Diese Anlage beschreibt die technischen und organisatorischen Maßnahmen für die Ihmora-Plattform. Die Maßnahmen werden risikoorientiert fortentwickelt; konkrete Zertifizierungen von Cloud-Unterauftragnehmern sind keine eigene Zertifizierung der Ihmora GmbH.

2. Vertraulichkeit und Zugriff

• Physischer Betrieb in kontrollierten Rechenzentren der eingesetzten Cloud-Anbieter.
• Individuelle Konten, Firebase Authentication, zeitlich begrenzte Tokens. Software-Admin-Konten erfordern phishing-resistente Passkeys (WebAuthn) zusätzlich zum Passwort.
• Rollen- und mandantenbezogene Autorisierung über Security Rules, serverseitige Prüfungen und Need-to-know-Berechtigungen.
• Verpflichtung zugriffsberechtigter Personen auf Vertraulichkeit und regelmäßige Überprüfung administrativer Berechtigungen.
• Logische Mandantentrennung auf Datenbankebene; getrennte Produktiv- und Entwicklungsumgebungen, soweit technisch vorgesehen. Bei KI-Analysen (Gemini / Vertex AI) wird durch strikt kontextbezogene Übergaben sichergestellt, dass KI-Modelle systemseitig nur auf den für den jeweiligen Mandanten freigegebenen Informationsraum zugreifen können.

3. Verschlüsselung und Übertragung

• Transportverschlüsselung für Web- und API-Verbindungen über aktuelle TLS-Verfahren.
• Verschlüsselung ruhender Daten durch die Cloud-Infrastruktur (AES-256 auf Speicherebene); zusätzliche anwendungsseitige Verschlüsselung ausgewählter besonders sensibler Felder und Zugangsdaten (AES-256-GCM).
• Schlüsselverwaltung über Google Secret Manager: Anwendungs- und Feldschlüssel liegen serverseitig im Secret Manager, nicht im Client und nicht im Datenbestand; Secrets in der Laufzeitkonfiguration werden nicht an den Browser ausgeliefert.
• Bei E-Mail-Kommunikation hängt die Ende-zu-Ende-Vertraulichkeit auch von den Systemen des Absenders und Empfängers ab; sensible Dokumente werden bevorzugt über geschützte Portale oder gesondert geschützte Dateien zugestellt.

4. Integrität, Protokollierung und Entwicklung

• Validierung und Autorisierungsprüfung schreibender Backendvorgänge; Audit- und Änderungsprotokolle für wesentliche Compliance-, Freigabe- und Signaturprozesse.
• Hash- und Audit-Trail-Verfahren für elektronische Signaturen und versiegelte Dokumente.
• Vier-Augen- oder Freigabeworkflows für dafür vorgesehene fachlich erhebliche Vorgänge.
• Abhängigkeits- und Sicherheitsupdates, Code-Review, getrennte Berechtigungen und Prüfungen vor produktiven Änderungen.

5. Verfügbarkeit und Wiederherstellung

• Cloudbasierte, zonen- beziehungsweise regionsredundante Infrastruktur im Rahmen der gebuchten Google-Cloud-Dienste.
• Tägliche Firestore-Exporte um 02:00 Europe/Berlin in verschlüsselte Cloud-Storage-Buckets in der Region Europe-West3 mit 30-Tage-Retention. Wiederherstellungstests werden protokolliert; zuletzt nachgewiesen Mai 2026.
• Zielwert RPO bis zu 24 Stunden. Wiederanlaufziele richten sich nach Störungsart und Wiederherstellungsplan; eine pauschale 24-Stunden-Wiederherstellungsgarantie wird nicht abgegeben.
• Vertragliche Plattformverfügbarkeit gemäß Angebot und AGB (§ 9 AGB); die technische Cloud-Auslegung von 99,95 Prozent ist keine abweichende Kundengarantie.

6. Datenschutz durch Technikgestaltung

• Datenminimierung, rollenbezogene Ansichten, datenschutzfreundliche Standardwerte und getrennte Freigaben für Portale.
• Pseudonymisierung oder Maskierung in dafür implementierten Analyse- und Protokollpfaden; keine pauschale Zusage, dass sämtliche Freitexte oder Dokumente vor jeder KI-Verarbeitung vollständig anonymisiert werden.
• Aufbewahrungs- und Löschfunktionen, Exportmöglichkeiten sowie technische Unterstützung für Betroffenenanfragen.

7. Vorfallmanagement und Kontrolle

• Prozess für Erkennung, Bewertung, Eindämmung, Dokumentation und Meldung von Sicherheits- und Datenschutzvorfällen. Ein dokumentierter interner Incident-Response-Plan legt die Abläufe verbindlich fest. Kundenmeldung nach AVV innerhalb von 24 Stunden angestrebt, Behördenmeldung binnen 72 Stunden wo Ihmora Verantwortliche ist.
• Regelmäßige Überprüfung der Maßnahmen und Anpassung an Technik, Risikolage und gebuchte Funktionen.
• Kontrollnachweise nach Maßgabe des AVV; Schutz der Vertraulichkeit anderer Mandanten bei Audits.