---
title: "Technische und organisatorische Maßnahmen"
description: "Die technischen und organisatorischen Maßnahmen, mit denen Toolyte personenbezogene Daten schützt: Zutritt, Zugang, Verschlüsselung, Protokolle, Backup."
url: "https://toolyte.com/de/tom/"
language: "de"
last_updated: "2026-09-04"
---

> Übersicht: https://toolyte.com/llms.txt · Vollständig: https://toolyte.com/llms-full.txt

Anlage 1 zum AVV

# Technische und organisatorische Maßnahmen

Die technischen und organisatorischen Maßnahmen, mit denen Toolyte personenbezogene Daten schützt.

Stand: 26. Juli 2026

## Auf dieser Seite

-   [Zugangskontrolle](https://toolyte.com/de/tom/#zugangskontrolle)
-   [Zugriffskontrolle](https://toolyte.com/de/tom/#zugriffskontrolle)
-   [Mandantentrennung](https://toolyte.com/de/tom/#mandantentrennung)
-   [Übertragungssicherheit](https://toolyte.com/de/tom/#uebertragungssicherheit)
-   [Speichersicherheit](https://toolyte.com/de/tom/#speichersicherheit)
-   [Protokollierung](https://toolyte.com/de/tom/#protokollierung)
-   [Audit-Protokollierung](https://toolyte.com/de/tom/#audit-protokollierung)
-   [Verfügbarkeit](https://toolyte.com/de/tom/#verfuegbarkeit)
-   [Backup-Fristen](https://toolyte.com/de/tom/#backup-fristen)
-   [Löschung](https://toolyte.com/de/tom/#loeschung)
-   [Support](https://toolyte.com/de/tom/#support)
-   [KI-Sicherheit](https://toolyte.com/de/tom/#ki-sicherheit)
-   [Analyse- und Fehlerdienste](https://toolyte.com/de/tom/#analyse-fehlerdienste)
-   [Überprüfung](https://toolyte.com/de/tom/#ueberpruefung)

-   [Zum Impressum](https://toolyte.com/de/impressum/)
-   [Zur Datenschutzerklärung](https://toolyte.com/de/datenschutz/)
-   [Zu den AGB](https://toolyte.com/de/agb/)
-   [Zu den Nutzungsbedingungen](https://toolyte.com/de/nutzungsbedingungen/)
-   [Zum AVV](https://toolyte.com/de/avv/)
-   [Zu den Unterauftragsverarbeitern](https://toolyte.com/de/unterauftragsverarbeiter/)
-   [Zur Barrierefreiheitserklärung](https://toolyte.com/de/barrierefreiheit/)

## Zugangskontrolle

-   individuelle administrative Konten,
-   Mehr-Faktor-Authentifizierung für AWS- und administrative Zugänge,
-   sichere Passwortverwaltung über Amazon Cognito,
-   E-Mail-Verifizierung,
-   sichere Passwort-Reset-Verfahren,
-   keine gemeinsam genutzten Administratorkonten.

## Zugriffskontrolle

-   rollenbasiertes Berechtigungssystem,
-   organisationsbezogene Rollen,
-   Berechtigungen auf Schema- und Funktionsebene,
-   Least-Privilege-Prinzip,
-   regelmäßige Überprüfung administrativer Berechtigungen,
-   zeitlich begrenzte Supportfreigaben.

## Mandantentrennung

-   logische Zuordnung aller Kundendaten zu einer Organisation,
-   organisationsbezogene Zugriffskontrollen,
-   Berechtigungsprüfung bei API-Aufrufen,
-   keine reguläre Einsicht in fremde Organisationen.

## Übertragungssicherheit

-   TLS-verschlüsselte Kommunikation,
-   verschlüsselte API-Kommunikation,
-   sichere Weiterleitung an Unterauftragsverarbeiter,
-   keine Übermittlung von Passwörtern oder Tokens in Protokollen.

## Speichersicherheit

-   Verschlüsselung gespeicherter Daten,
-   verschlüsselte RDS-Backups,
-   verschlüsselte S3-Objekte,
-   verschlüsselte DynamoDB-Daten,
-   AWS Secrets Manager zur Verwaltung technischer Geheimnisse,
-   vollständige Aktivierung von S3 Block Public Access.

## Protokollierung

-   CloudWatch-Protokolle mit festgelegten Aufbewahrungsfristen,
-   gewöhnliche Logs 30 Tage,
-   Sicherheitslogs bis zu 90 Tage,
-   Debug-Logs maximal sieben Tage,
-   keine vollständigen Request- oder Response-Bodies in Standardlogs,
-   keine Authentifizierungsdaten, Passwörter oder Tokens in Logs.

## Audit-Protokollierung

-   kryptografische Verkettung von Audit-Einträgen,
-   Kennzeichnung KI-ausgelöster Änderungen,
-   Zuordnung zum auslösenden Benutzer,
-   keine Änderung oder Löschung durch Organisationsadministratoren,
-   Löschung bei Organisationslöschung.

## Verfügbarkeit

-   Nutzung hochverfügbarer AWS-Dienste,
-   automatisierte RDS-Backups,
-   DynamoDB Point-in-Time-Recovery,
-   S3-Versionierung,
-   technische Überwachung,
-   Fehler- und Performanceanalyse,
-   Wiederherstellungsverfahren.

## Backup-Fristen

-   RDS-Sicherungen: 14 Tage,
-   S3: nicht aktuelle Versionen maximal 30 Tage,
-   DynamoDB: 14 Tage, soweit konfigurierbar,
-   keine unbegrenzt gespeicherten manuellen Snapshots,
-   keine Replikation von Kundendaten in Drittländer.

## Löschung

-   unbestätigte Registrierungen nach sieben Tagen,
-   nicht angenommene Einladungen nach 30 Tagen,
-   entfernte Benutzerprofile grundsätzlich nach 30 Tagen,
-   Testorganisationen 30 Tage nach Ablauf der Testphase,
-   Produktivdaten bei Organisationslöschung,
-   Sicherungsdaten innerhalb von längstens 30 Tagen.

## Support

-   Supportzugriff standardmäßig deaktiviert,
-   Freigabe innerhalb der App,
-   maximale Laufzeit 24 Stunden,
-   jederzeit widerrufbar,
-   automatische Beendigung,
-   Protokollierung von Freigabe, Zugriff und Widerruf,
-   Beschränkung auf die betroffene Organisation.

## KI-Sicherheit

-   Verarbeitung innerhalb des Berechtigungskontexts,
-   keine eigenen KI-Berechtigungen,
-   keine Embeddings oder Vektordatenbank,
-   keine Trainingsnutzung,
-   Kennzeichnung KI-ausgelöster Änderungen,
-   Bestätigung von Schemaänderungen,
-   kein autonomes Löschen oder Versenden.

## Analyse- und Fehlerdienste

-   PostHog nur nach Einwilligung,
-   getrennte Projekte für Website und App,
-   pseudonyme Benutzerkennung,
-   keine Übermittlung von Name oder E-Mail-Adresse,
-   Maskierung von Eingaben und sichtbaren Kundeninhalten,
-   keine Netzwerk-Payloads,
-   Sentry ohne Session Replay,
-   `sendDefaultPii: false`,
-   Filterung sensibler Ereignisdaten.

## Überprüfung

-   regelmäßige Prüfung von Berechtigungen,
-   regelmäßige Prüfung von Log- und Backup-Fristen,
-   Prüfung der Unterauftragsverarbeiter,
-   Aktualisierung der TOM bei technischen Änderungen,
-   dokumentierte Bearbeitung von Sicherheitsvorfällen.