Technische und organisatorische Maßnahmen (TOM)

1. Zweck und Umfang

Diese Anlage beschreibt technische Schutzmaßnahmen der GRINNO-Business-Plattform und die vertraglichen Sicherheitsverpflichtungen des Auftragnehmers nach Art. 32 DSGVO. Die technischen Angaben beziehen sich auf den Anwendungs- und dokumentierten Betriebsstand vom 29.09.2026. Als vertragliche Pflicht formulierte Maßnahmen begründen Pflichten des Auftragnehmers; daraus folgt keine Behauptung eines bereits durchgeführten Audits oder einer bestimmten Zertifizierung.

2. Zutritt und physischer Betrieb

Die Anwendung wird auf verwalteter Cloud-Infrastruktur von Google Cloud und Firebase betrieben. Der physische Rechenzentrumsbetrieb einschließlich Zutrittskontrolle liegt beim jeweiligen Infrastrukturbetreiber. Für die vertragliche Prüfung sind die zum tatsächlich gebuchten Dienst passenden Anbieterunterlagen heranzuziehen.

Eine eigene ISO-27001-Zertifizierung des App-Anbieters wird mit dieser Anlage nicht behauptet. Zertifizierungen von Dienstleistern gelten ausschließlich für deren jeweils ausgewiesenen Umfang.

3. Zugang und Berechtigungen

Persönliche Benutzerkonten werden über Firebase Authentication angemeldet. Serverseitige Sitzungen werden vor geschützten Zugriffen geprüft. Das Sitzungscookie wird in Produktion über HTTPS übertragen und ist für clientseitige Skripte nicht lesbar.

Mitgliedschaften und Rollen ordnen Nutzer Arbeitsbereichen und Beratungsorganisationen zu. Geschützte Anwendungsaktionen prüfen die für den Vorgang erforderlichen Berechtigungen. Administrationsfunktionen werden rollenabhängig eingeschränkt.

Vertragliche Pflicht: Der Auftragnehmer vergibt Betriebsberechtigungen personenbezogen und aufgabenbezogen, überprüft sie bei Änderungen und entzieht sie nach Wegfall des Bedarfs. Er schützt privilegierte Konten dem Risiko angemessen. Eine für sämtliche Nutzer verpflichtende Mehrfaktor-Anmeldung wird hierdurch nicht als vorhandene App-Funktion zugesagt.

4. Trennung und Vertraulichkeit

Anwendungsdaten werden einem Arbeitsbereich zugeordnet. Zugriffe erfolgen unter Berücksichtigung dieser Zuordnung und der jeweiligen Mitgliedschaft. Eine Berechtigung für einen Arbeitsbereich allein soll keinen Zugriff auf einen anderen Arbeitsbereich eröffnen; organisationsweite Rechte sind gesondert zu vergeben.

Der Download von Unternehmensdateien erfolgt nach serverseitiger Sitzungs- und Berechtigungsprüfung über zeitlich begrenzte signierte Links. Uploads werden serverseitig auf zulässigen Dateityp und Größe geprüft. Diese Prüfungen sind keine Zusage einer vollständigen inhaltlichen Schadsoftwareanalyse.

Vertragliche Pflicht: Personen mit Zugriff auf Auftragsdaten müssen einer angemessenen Vertraulichkeitspflicht unterliegen, über die für ihren Einsatz geltenden Datenschutzanforderungen unterrichtet werden und dürfen die Daten ausschließlich im Rahmen ihrer Aufgabe und der Weisungen verarbeiten.

5. Übertragung, Speicherung und Geheimnisse

Die produktive App wird über HTTPS bereitgestellt. Anbieter-Schnittstellen werden über verschlüsselte Verbindungen angesprochen. Die konfigurierte eigene Einladungsmail verwendet den HTTPS-Endpunkt von SMTP2GO; für einen alternativ konfigurierten externen SMTP-Versand verlangt die Anwendung eine verschlüsselte Verbindung.

Für gespeicherte Daten kommen die Verschlüsselungsmechanismen der verwendeten Cloud-Dienste zum Einsatz. Anbieterseitig verwaltete Verschlüsselung ersetzt keine Prüfung der Zugriffsberechtigungen oder der internationalen Datenübermittlung.

Zugangsschlüssel für die serverseitigen KI- und Versanddienste werden im Serverbetrieb verwendet und nicht als Bestandteil des App-Clients an Nutzer ausgeliefert. Vertragliche Pflicht: Der Auftragnehmer beschränkt ihre Zugänglichkeit auf den erforderlichen Betrieb und ersetzt oder entzieht sie bei einem entsprechenden Sicherheitsanlass. Die Fachinhalte sind nicht Ende-zu-Ende-verschlüsselt, da ihre Verarbeitung auf den Servern und bei den beschriebenen Diensten erfolgt.

6. KI-Verarbeitung und Datenminimierung

KI-Funktionen verwenden die für die jeweilige Aufgabe zusammengestellten Texte und Kontextangaben. Originaldateien werden in den geprüften Auswertungspfaden nicht als Binärdatei an das Sprachmodell übermittelt. Anmeldepasswörter und Sitzungscookies sind kein Bestandteil der Modellanfragen.

Die Auswahl geeigneter Daten, eine erforderliche Kürzung oder Pseudonymisierung und die Prüfung generierter Ergebnisse gehören zur fachlichen Nutzung. Das System gewährleistet keine automatische vollständige Anonymisierung hochgeladener Inhalte. Vertragliche Pflicht: Der Auftragnehmer beschränkt weitere Nutzungen der Auftragsdaten durch Dienstleister auf den rechtmäßig beauftragten und vertraglich gedeckten Umfang.

7. Verfügbarkeit, Wiederherstellung und Löschung

Der dokumentierte Betriebsstand umfasst tägliche Datenbanksicherungen mit sieben Tagen Aufbewahrung sowie eine siebentägige Wiederherstellungsmöglichkeit gelöschter Speicherobjekte. Daraus folgt keine garantierte Wiederherstellungszeit und kein Nachweis einer bereits absolvierten Wiederherstellungsprüfung.

Die App stellt berechtigungsgeschützte Löschfunktionen für Dateien und Projekte bereit. Konto- und Unternehmensdeaktivierung sind von einer endgültigen Datenlöschung zu unterscheiden. Eine vollständige Rückgabe oder Löschung bei Vertragsende wird nach dem AVV über den Datenschutzkontakt abgewickelt.

Vertragliche Pflicht: Der Auftragnehmer erhält dem Risiko angemessene Sicherungs- und Wiederherstellungsmöglichkeiten aufrecht, überprüft deren Wirksamkeit und dokumentiert erforderliche Zuständigkeiten. Löschanweisungen erfassen Produktivdaten und eingebundene Dienstleister; Sicherungskopien laufen nach dem geltenden Sicherungszyklus aus. Bereits erteilte Löschanweisungen sind nach einer Wiederherstellung erneut umzusetzen.

8. Kontrolle, Vorfälle und Weiterentwicklung

Technische Ereignis- und Fehlerprotokolle unterstützen Betrieb und Fehleranalyse. Zugriffe auf solche Protokolle sind auf zuständige Personen zu beschränken, Datenumfang und Speicherdauer nach dem Zweck festzulegen. Die Protokollierung darf nicht ohne Prüfung auf vollständige Fachinhalte ausgedehnt werden.

Vertragliche Pflicht: Der Auftragnehmer untersucht ihm bekannt gewordene Sicherheitsvorfälle, begrenzt ihre Folgen und erfüllt die Mitteilungs- und Unterstützungspflichten aus dem AVV. Der Datenschutz- und Vorfallkontakt ist hello@grinno.ai. Anfragen und Weisungen werden der zuständigen Stelle zugeordnet und ihre Bearbeitung nachvollziehbar dokumentiert.

Vertragliche Pflicht: Änderungen an Zugriffsschutz und Datenflüssen werden auf ihre Schutzwirkung geprüft. Sicherheitsmaßnahmen und einschlägige Anbieterunterlagen sind bei wesentlichen Änderungen sowie in dem Risiko angemessenen Abständen erneut zu bewerten. Diese Anlage sagt kein bestimmtes Audit- oder Zertifizierungsintervall zu.