Technische und organisatorische Maßnahmen (Anlage TOM)

Version 1.3 — gültig ab 02.09.2026

Diese Anlage beschreibt die technischen und organisatorischen Maßnahmen (TOMs) nach Art. 32 DSGVO, die der Auftragsverarbeiter zum Schutz der im Auftrag verarbeiteten personenbezogenen Daten trifft. Sie ist Anlage TOM zum Auftragsverarbeitungsvertrag (AVV) (Anlage A zu den AGB) und dessen Bestandteil. Der Auftragsverarbeiter kann die Maßnahmen im Zuge der technischen Weiterentwicklung anpassen, solange das Schutzniveau nicht unterschritten wird; maßgeblich ist die jeweils unter dieser URL veröffentlichte Fassung.

Immostagio wird als Einzelunternehmen (EPU) ohne Beschäftigte betrieben; der Zugriff auf Produktionssysteme und Daten liegt ausschließlich beim Inhaber. Physische Sicherungsmaßnahmen (Rechenzentren) werden durch die eingesetzten Sub-Auftragsverarbeiter erbracht (siehe immostagio.com/subprocessors).

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b)

• Zutrittskontrolle (physisch): Der Betrieb erfolgt ohne eigene Serverräume. Die physische Sicherheit der Rechenzentren wird durch die Sub-Auftragsverarbeiter gewährleistet — Hosting und Speicherung in zertifizierten EU-Rechenzentren (Hetzner, Deutschland; Supabase, Frankfurt am Main; Microsoft Ireland Operations Limited, EU Data Boundary), die einschlägige Sicherheitszertifizierungen vorhalten (u. a. ISO/IEC 27001; einzelne Anbieter zusätzlich SOC 2 Type II).
• Endgerätesicherheit: Das Arbeitsgerät des Inhabers ist mit Festplattenverschlüsselung, Bildschirmsperre sowie aktuellen Betriebssystem- und Sicherheitsupdates gesichert.
• Zugangskontrolle (Systemzugang): Authentifizierung der Nutzer über Supabase Auth (E-Mail und Passwort, ergänzend Magic-Link). Administrations- und Anbieterzugänge, über die personenbezogene Daten verarbeitet werden (Supabase, Microsoft Azure, Stripe, Easybill, Brevo), sind mit starken, einzigartigen Passwörtern und Multi-Faktor-Authentifizierung (MFA) gesichert. Der Administrationsbereich ist durch ein gesondertes Berechtigungsmerkmal (is_admin) geschützt. Dienstschlüssel mit erweiterten Rechten (Service-Role) werden ausschließlich serverseitig verwendet und nicht an den Client ausgeliefert. Secrets und API-Schlüssel liegen ausschließlich in Server-Umgebungsvariablen, nicht im clientseitigen Code und nicht im Repository.
• Zugriffskontrolle (Datenzugriff): Mandantengetrennter Zugriff über Row-Level-Security (RLS) auf Datenbankebene; jeder Nutzer kann ausschließlich auf die eigenen Daten (user_id) zugreifen. Serverseitige Tabellen sind für Clients gesperrt (deny-all); Standard-Schreibrechte für anon/authenticated sind explizit entzogen. Zugriff nach dem Need-to-know-Prinzip; administrativer Zugriff ist auf den Inhaber beschränkt.
• Trennungskontrolle: Logische Mandantentrennung sämtlicher Kundendaten über RLS; Trennung von Produktiv- und Entwicklungsumgebung.
• Pseudonymisierung / Verschlüsselung (Art. 32 Abs. 1 lit. a): Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand (Encryption at Rest der Hosting-/Datenbankplattform). Eine automatisierte Personenerkennung wirkt als Upload-Kontrolle und reduziert den Eingang personenbezogener Daten; erkannte Personenbilder werden nicht gespeichert.

2. Integrität (Art. 32 Abs. 1 lit. b)

• Weitergabekontrolle (Übermittlung): Die Übermittlung an Sub-Auftragsverarbeiter erfolgt verschlüsselt. Im Rahmen der Verarbeitung im Auftrag ist die Übermittlung der hochgeladenen Fotos zur Bildgenerierung an OpenAI, L.L.C. (USA), abgesichert über das EU-US Data Privacy Framework (Art. 45 DSGVO) sowie ergänzende EU-Standardvertragsklauseln (Art. 46 DSGVO); keine Nutzung zu Trainingszwecken (§ 9 AVV) — die einzige Übermittlung, bei der die Fotos zur inhaltlichen Verarbeitung ein Drittland erreichen. Bei den in der EU verarbeitenden Sub-Auftragsverarbeitern ist ein administrativer Fernzugriff aus Drittländern nicht ausgeschlossen; er ist über EU-Standardvertragsklauseln abgesichert (§ 9 Abs. 4 AVV). An OpenAI wird ausschließlich das für die Bildgenerierung erforderliche Foto übermittelt — keine Konto-, Kontakt- oder Zahlungsdaten.
• Eingabekontrolle: Server- und clientseitige Validierung von Eingaben (u. a. Zod-/Formularvalidierung). Sicherheits- und Betriebsereignisse der eingesetzten Plattformen (Hosting, Datenbank, Authentifizierung) werden auf Ebene der Sub-Auftragsverarbeiter protokolliert; administrative Vorgänge sind dem Inhaber zuordenbar.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und lit. c)

• Verfügbarkeitskontrolle: Betrieb auf verwalteter EU-Infrastruktur (Hetzner, Supabase) mit den Resilienz- und Backup-Mechanismen der jeweiligen Plattform (u. a. automatische Backups der verwalteten Datenbank).
• Belastbarkeit: Skalierung über die verwaltete Plattform. Die automatische Löschung der hochgeladenen Fotos nach 7 Tagen begrenzt das Volumen der jederzeit gefährdeten Daten.
• Rasche Wiederherstellbarkeit (lit. c): Wiederherstellung aus den Backups der verwalteten Datenbank-/Hosting-Plattform.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d)

• Überprüfung und Aktualisierung dieser Maßnahmen anlassbezogen bei wesentlichen Änderungen des Technik-Stacks, der eingesetzten Sub-Auftragsverarbeiter oder der Verschlüsselung sowie im Zuge der regelmäßigen Überprüfung des Verzeichnisses von Verarbeitungstätigkeiten (RoPA) und der Sub-Auftragsverarbeiterliste.
• Sicherheits-Reviews vor größeren Releases.
• Verantwortlich für Umsetzung und Überprüfung ist der Inhaber.

5. Auftragskontrolle

• Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers; der Upload von Fotos gilt als Weisung im Rahmen der Leistungserbringung (§ 2, § 5 AVV).
• Sub-Auftragsverarbeiter werden nur unter den Voraussetzungen des § 6 AVV und mit gleichwertigen Datenschutzpflichten eingesetzt; die aktuelle Liste ist abrufbar unter immostagio.com/subprocessors.

6. Datenminimierung und Speicherbegrenzung

• Automatische Löschung der hochgeladenen und generierten Bilder spätestens 7 Tage nach Upload bzw. Erstellung (§ 3 AVV).
• Nutzungsstatistiken werden anonymisiert geführt (Bildtyp, Stil, Datum — ohne Personenbezug).
• Nachweise zu Einwilligungen werden nach Ablauf der Aufbewahrungsfrist anonymisiert bzw. gelöscht (Einwilligungsnachweise: Anonymisierung der personenbezogenen Merkmale nach 4 Jahren; Marketing-Einwilligungen: Löschung 3 Jahre nach Widerruf).
• Keine Verwendung der Daten zu eigenen Zwecken oder zu Trainingszwecken; keine Erhebung von Daten über den Bildinhalt hinaus (§ 2, § 9 AVV).

7. Meldung von Datenschutzverletzungen

• Interner Prozess zur Erkennung und Bewertung von Verletzungen des Schutzes personenbezogener Daten.
• Meldung an den betroffenen Verantwortlichen (Makler) unverzüglich nach Bekanntwerden (§ 5 Z 7 AVV), damit dieser seine Meldepflicht nach Art. 33 DSGVO (72-Stunden-Frist) wahren kann.