Technische und organisatorische Maßnahmen Synordis · Anlage zum AVV · Version 1.1 · Stand 20. Mai 2026
Maßnahmen nach Art. 32 DSGVO
Diese Dokumentation beschreibt das Basisschutzniveau von Synordis. Kundenindividuelle Integrationen, Betriebsmodelle oder besonders schutzbedürftige Verarbeitungen können ergänzende Maßnahmen erfordern und werden vertraglich konkretisiert.
1. Sicherheitsorganisation
Definierte Verantwortlichkeiten für Betrieb, Entwicklung, Berechtigungen und Sicherheitsvorfälle.
Vertraulichkeitsverpflichtung und bedarfsgerechte Sicherheitseinweisung zugriffsberechtigter Personen.
Dokumentierte Sicherheitsmaßnahmen anhand ausgewählter Anforderungen der ISO/IEC 27001 und des OWASP Application Security Verification Standard.
Regelmäßige Überprüfung und risikoorientierte Weiterentwicklung der Maßnahmen.
2. Hosting und räumlicher Schutz
Produktiver Betrieb in Deutschland bei IONOS SE auf ISO-27001-zertifizierter Rechenzentrumsinfrastruktur.
Physischer Zutritt zu Rechenzentren wird durch den Infrastrukturbetreiber kontrolliert; Octramind AI GmbH benötigt keinen regulären physischen Zutritt.
Produktive Datenverarbeitung grundsätzlich innerhalb der EU; kundenspezifische externe Dienste werden vor Aktivierung bewertet und dokumentiert.
3. Zugangs- und Zugriffskontrolle
Personenbezogene Benutzerkonten; keine regelhafte gemeinsame Nutzung administrativer Kennungen.
Rollen- und Berechtigungskonzept nach Erforderlichkeit und Minimalprinzip.
Administrative Zugriffe sind auf autorisierte Personen und notwendige Tätigkeiten beschränkt.
Regelmäßige Überprüfung von Berechtigungen sowie unverzügliche Anpassung bei Rollenwechsel oder Ausscheiden.
Passwörter werden nicht im Klartext gespeichert; Zugangsdaten und Geheimnisse werden außerhalb des Quellcodes verwaltet.
4. Mandantentrennung
Logische Trennung von Organisationen über eindeutige Mandantenkennungen und mandantenbezogene Datenzugriffe.
Rollen, Konfigurationen, Dokumente und Vorgänge werden einem Mandanten zugeordnet.
Serverseitige Autorisierungsprüfungen begrenzen Zugriffe; eine rein visuelle Trennung in der Benutzeroberfläche genügt nicht.
Integrationen und Importe werden dem vereinbarten Mandanten zugeordnet und kontrolliert ausgeführt.
5. Verschlüsselung
TLS-verschlüsselte Übertragung für Webzugriffe und externe Schnittstellen, soweit technisch unterstützt.
Verschlüsselung produktiver Daten und Sicherungen bei der Speicherung.
Schlüssel, Tokens und Passwörter werden getrennt von Anwendungsquelltext und öffentlichen Artefakten verwaltet.
Kryptografische Verfahren und Konfigurationen werden dem Stand der Technik entsprechend aktualisiert.
6. Protokollierung und Nachvollziehbarkeit
Protokollierung sicherheits-, authentifizierungs- und betriebsrelevanter Ereignisse.
Beschränkter Zugriff auf Protokolle und Schutz gegen unbefugte Veränderung.
Keine beabsichtigte Protokollierung von Passwörtern, vollständigen Geheimnissen oder mehr Inhaltsdaten als technisch erforderlich.
Zweckgebundene Aufbewahrung und Löschung nach definierten Fristen; anlassbezogene längere Sicherung zur Vorfallsaufklärung bleibt möglich.
7. Verfügbarkeit, Backup und Wiederherstellung
Regelmäßige, verschlüsselte Sicherungen relevanter Produktivdaten und Konfigurationen.
Definierte Aufbewahrungs- und Überschreibungszyklen.
Kontrollierte Wiederherstellungsverfahren und risikoorientierte Überprüfung ihrer Funktionsfähigkeit.
Überwachung zentraler Dienste und dokumentierte Behandlung erkannter Störungen.
8. Sichere Entwicklung und Anwendungssicherheit
Trennung von Entwicklungs- und Produktivbetrieb sowie kontrollierte Bereitstellung von Änderungen.
Code- und Abhängigkeitsprüfung, Eingabevalidierung, serverseitige Autorisierung und sichere Fehlerbehandlung.
Sicherheitsanforderungen orientieren sich risikobasiert an ausgewählten Kontrollen des OWASP ASVS; dies ist keine Behauptung einer vollständigen ASVS-Zertifizierung.
Schwachstellen werden nach Risiko bewertet, priorisiert und behoben.
Produktivgeheimnisse werden nicht in Quellcode, Images oder öffentliche Dokumentation aufgenommen.
9. Datenminimierung, Aufbewahrung und Löschung
Verarbeitung nur für vereinbarte Zwecke und entsprechend dokumentierter Kundenweisung.
Konfigurierbare Rollen und Prozesse unterstützen Datenminimierung und Zugriffsbeschränkung.
Nach Vertragsende werden Daten zurückgegeben, gelöscht oder bei gesetzlichen Pflichten gesperrt.
Sicherungskopien werden innerhalb des dokumentierten Backup-Zyklus überschrieben; bis dahin bleiben sie geschützt und nicht für reguläre Verarbeitung verfügbar.
Kundenindividuelle Aufbewahrungs- und Löschfristen werden im Vertrag oder Löschkonzept festgelegt.
10. Sicherheitsvorfälle
Dokumentierter Prozess für Erkennung, Bewertung, Eindämmung, Beweissicherung, Beseitigung und Wiederherstellung.
Unverzügliche Information betroffener Auftraggeber bei bestätigten Verletzungen des Schutzes personenbezogener Daten im Verantwortungsbereich von Synordis.
Erfassung von Auswirkungen, betroffenen Daten, Gegenmaßnahmen und Folgemaßnahmen.
Vertraulicher Meldeweg: hello@synordis.com mit dem Betreff „Vertrauliche Sicherheitsmeldung“.
11. Unterauftragnehmer und externe Dienste
Datenschutz- und Sicherheitsprüfung vor Beauftragung relevanter Unterauftragnehmer.
Vertragliche Verpflichtung auf mindestens gleichwertige Datenschutz- und Vertraulichkeitsanforderungen.
Dokumentation von Zweck, Ort und gegebenenfalls Drittland-Transfergrundlage.
Kundenindividuelle Signatur-, Recherche-, KI- und Integrationsdienste werden erst nach vertraglicher Abstimmung aktiviert.
12. Wirksamkeitskontrolle
Regelmäßige Überprüfung der organisatorischen und technischen Kontrollen.
Auswertung von Vorfällen, Schwachstellen und Betriebsabweichungen zur Verbesserung.
Nachweise können durch Dokumentationen, technische Prüfungen und Zertifikate der eingesetzten Infrastruktur erbracht werden.
Wesentliche Änderungen werden versioniert und bei Bedarf Kunden mitgeteilt.
Einordnung
Die ISO/IEC-27001-Aussage bezieht sich auf die zertifizierte Infrastruktur des Hostinganbieters und stellt keine eigene ISO-Zertifizierung von Synordis oder der Octramind AI GmbH dar. Die Auswahl einzelner ISO/IEC-27001- und OWASP-ASVS-Anforderungen ist als Sicherheitsrahmen zu verstehen, nicht als vollständige Konformitäts- oder Zertifizierungsbehauptung.