Hinweis zur Firmierung. Auftragsverarbeiter im Sinne dieses Annex ist die im Bestellformular benannte Genie-Gesellschaft. Vollständige Firmierung siehe §0 des Kunden-Compliance-Pakets.
B.0 Geltungsbereich
Die folgenden technischen und organisatorischen Maßnahmen (TOM) sind nach Art. 32 DSGVO dokumentiert und werden zur Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste umgesetzt. Sie sind Bestandteil des Auftragsverarbeitungsvertrags (AVV) zwischen Genie und dem Kunden.B.1 Technische Maßnahmen (Art. 32 DSGVO)
B.1.1 Vertraulichkeit (Art. 32 Abs. 1 lit. b)
B.1.2 Integrität (Art. 32 Abs. 1 lit. b)
B.1.3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b)
B.1.4 Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c)
- Aurora-PITR (35 Tage) wird mindestens quartalsweise in Staging geübt.
- Disaster-Recovery-Runbook liegt im privaten Ops-Repo; RPO ≤ 5 min, RTO ≤ 4 h für die Genie-Control-Plane. Kundenseitige Supabase-Projekte erben Supabases eigene DR-Posture.
- Über die rein technische Wiederherstellung hinaus ist der Kommunikations- und Eskalationsprozess im Business Continuity Plan (B.1.9) beschrieben.
B.1.5 Pseudonymisierung (Art. 32 Abs. 1 lit. a)
- Der Audit-Trail wird bei Account-Löschung in place anonymisiert — der gesetzliche Nachweis bleibt erhalten, ohne PII zu speichern.
- Der Nachweis der Löschung wird pseudonymisiert geführt, ohne den Identifier selbst aufzubewahren.
B.1.6 Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d)
Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird im Rahmen dieser Überprüfungen regelmäßig bewertet, dokumentiert und evaluiert (Art. 32 Abs. 1 lit. d DSGVO). Befunde fließen in den jährlichen TOM-Review ein; wesentliche Abweichungen werden in nachverfolgbaren Folgemaßnahmen behoben und im Evidenzpaket dokumentiert.
B.1.7 Vulnerability- und Patch-Management
- Kontinuierliches Dependency-Scanning bei jedem Commit; Befunde werden zentral nachverfolgt.
- Kritikalitätsklassifizierung erkannter Schwachstellen nach CVSS v3.1 mit folgenden Ziel-Behebungsfristen:
- Out-of-Band-Releases für Critical-Findings sind möglich; sie folgen einem verkürzten, jedoch ebenfalls dokumentierten Review-Pfad.
- Externer Penetrationstest jährlich; identifizierte Findings werden nach derselben Kritikalitätsmatrix bearbeitet.
B.1.8 Vorfall-Reaktion (Art. 33 / 34 DSGVO)
- 24/7-On-Call-Rotation; Triage-SLA 30 Minuten.
- Betroffene Kunden werden unverzüglich informiert, sobald hinreichend gesicherte Erkenntnisse über einen meldepflichtigen Vorfall vorliegen. Die 72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde wird vom Verantwortlichen eingehalten; wir stellen die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen unverzüglich bereit.
- Vollständiger Lebenszyklus, Beweissicherung und Post-Mortem-Kadenz sind intern dokumentiert und werden bei Audits auf Anfrage bereitgestellt.
B.1.9 Business Continuity Plan
Abgrenzung: B.1.3 beschreibt technische Redundanz, B.1.4 die technische Wiederherstellbarkeit. Der Business Continuity Plan ergänzt dies um die organisatorische Ausfall- und Kommunikationsorganisation.- Ausfallorganisation. 24/7-On-Call-Rotation mit definiertem Eskalationspfad (On-Call → Incident Commander → Executive Sponsor).
- Kommunikationsprozesse. Status-Updates an betroffene Kunden über
status.genie-app.deund per E-Mail an den hinterlegten Hauptkontakt. Sicherheitsrelevante Meldungen zusätzlich übersecurity@genie-app.de. - Verantwortlichkeiten. Der Incident Commander koordiniert die technische Wiederherstellung; der Privacy Lead bewertet Meldepflichten gemäß Art. 33 / 34 DSGVO; der Executive Sponsor entscheidet über externe Kommunikation.
- Übung. Die jährliche SEV-1-Tabletop-Übung deckt sowohl die DR- als auch die BCP-Kommunikationsprozesse ab.
B.1.10 Auftragskontrolle / Unterauftragsverarbeiter (Art. 28 DSGVO)
Siehe Annex A — Subprozessoren: SOC-2-Report oder gleichwertig eingeholt, AVV unterzeichnet, Register jährlich überprüft, 30 Tage Vorlauf vor Aufnahme oder Wechsel eines Unterauftragsverarbeiters.B.2 Organisatorische Maßnahmen
Ergänzend zu den technischen Maßnahmen in B.1 sind die folgenden organisatorischen Maßnahmen implementiert.B.2.1 Security Awareness und Trainings
Mitarbeitende mit Zugriff auf produktive Systeme oder Kundendaten durchlaufen ein Security- und Datenschutz-Training beim Onboarding sowie regelmäßige Auffrischungen. Spezialisierte Trainings (z. B. sicheres Coding) ergänzen die Basis.B.2.2 Vertraulichkeit, NDAs und Joiner-Mover-Leaver
Alle Mitarbeitenden sind vertraglich zur Vertraulichkeit verpflichtet. Onboarding, Rollenwechsel und Offboarding folgen einem dokumentierten Prozess, der das Vergeben, Anpassen und Entziehen von Zugriffsrechten regelt. Berechtigungen werden bei Ausscheiden unverzüglich entzogen.B.2.3 Asset- und Endpoint-Management
Unternehmensgeräte werden zentral inventarisiert und verwaltet. Verschlüsselung der Festplatte, Bildschirmsperre, automatische Updates und Endpoint-Schutz sind verpflichtend.B.2.4 Lieferanten- und Drittparteienmanagement
Unterauftragsverarbeiter werden vor Einsatz auf datenschutz- und sicherheitsrelevante Anforderungen geprüft (SOC-2- bzw. ISO-27001-Berichte, AVV, ggf. SCC). Bestand siehe Annex A — Subprozessoren. Jährliches Re-Assessment.B.2.5 Zugangs- und Passwort-Policy, MFA
Identitätsbasierte Anmeldungen erfolgen über einen zentralen Identity Provider mit erzwungener Multi-Faktor-Authentifizierung für alle Mitarbeitendenkonten und insbesondere für jeden Produktivzugriff. Passwortanforderungen entsprechen anerkannten Standards (NIST SP 800-63B).B.2.6 Mitarbeiterzugriffe auf Kundendaten
Zugriffe auf produktive Kundendaten erfolgen ausschließlich nach dem Need-to-know-Prinzip, sind rollenbasiert vergeben, MFA-geschützt und werden protokolliert. Break-Glass-Zugriffe sind technisch möglich, werden vor oder unverzüglich nach dem Zugriff dokumentiert, vom Privacy Lead nachgehalten und im quartalsweisen Access-Review überprüft. Es existiert keine generelle Leseberechtigung auf Kundendaten ohne dokumentierten Anlass.B.2.7 Internes Berechtigungs- und Rollenkonzept
Zur Umsetzung der Anforderungen aus Art. 32 DSGVO sowie B.1.1 (Least Privilege) ist ein dokumentiertes Rollenmodell etabliert. Die folgenden Rollen verfügen über klar abgegrenzte Berechtigungsprofile; Zuweisungen werden zentral im Identity Provider verwaltet, beim Onboarding / Rollenwechsel / Offboarding angepasst und im quartalsweisen Access-Review überprüft.
Jede Berechtigungsänderung (Neuvergabe, Anpassung, Entzug) wird im Identity Provider und in den jeweiligen Zielsystemen vollständig protokolliert. Produktive Zugriffe werden durchgehend in einem zentralen Audit-Log erfasst. Eine generische „Admin”-Rolle mit ungefiltertem Datenzugriff existiert nicht; produktiver Vollzugriff ist ausschließlich über die zeitlich limitierte Break-Glass-Rolle erreichbar.
B.3 Kontakt und Dokumentenstand
- Datenschutz / TOM-Anfragen:
privacy@genie-app.de - Sicherheitsmeldungen:
security@genie-app.de - Versionierung. Dieses Annex wird jährlich sowie bei jeder wesentlichen Änderung der TOM überprüft und mit dem Kunden-Compliance-Paket synchron gehalten.