Diese Anlage beschreibt die Maßnahmen, die die dasistweb GmbH (nachfolgend „Manola") nach Art. 32 DSGVO für die Plattform Manola trifft.
1. Betrieb und Standorte
1.1 Die Plattform einschließlich Datenhaltung und Datensicherung läuft bei STACKIT in Rechenzentren in Deutschland.
1.2 Der KI-Server für die von Manola selbst betriebenen Modelle steht bei Hetzner in Nürnberg.
1.3 Für die physische Sicherheit der Rechenzentren sind deren Betreiber verantwortlich. STACKIT ist unter anderem nach ISO/IEC 27001 zertifiziert und nach BSI C5 Typ 2 testiert. Hetzner ist für seine Rechenzentren, darunter Nürnberg, nach DIN ISO/IEC 27001:2022 zertifiziert.
2. Zugang und Berechtigungen
2.1 Manola vergibt Berechtigungen für Daten des Kunden nach Rollen und nur, soweit dies zur Erfüllung der jeweiligen Aufgabe erforderlich ist (Ziffer 7.1 AVV).
2.2 Jede Person nutzt ein persönliches Konto. Sammelkonten gibt es nicht.
2.3 Die Anmeldung an produktiven Systemen erfordert einen zweiten Faktor.
2.4 Der Zugriff auf produktive Systeme ist nur aus der EU zulässig (Ziffer 15.2 AVV). Administrative Zugriffe auf produktive Systeme werden protokolliert. Die Protokolle werden sechs Monate aufbewahrt.
2.5 Die Daten verschiedener Kunden sind voneinander getrennt.
2.6 Der Kunde kann für seine Nutzer eine Anmeldung mit zweitem Faktor oder über Single Sign-on einrichten.
3. Verschlüsselung
3.1 Daten werden bei der Übertragung und bei der Speicherung verschlüsselt.
3.2 Passwörter werden nur als Hashwert gespeichert.
3.3 Zugangsdaten wie API-Schlüssel, SMTP-Passwörter und sonstige Secrets werden mit AES-256-GCM verschlüsselt gespeichert. Die Schlüssel verwaltet ein getrennter Key Management Service. Entschlüsseln können nur autorisierte Backend-Dienste zur Laufzeit und nur für den jeweiligen Zweck. KI-Agenten und Sprachmodelle erhalten keinen direkten Zugriff auf diese Zugangsdaten.
3.4 Datensicherungen sind verschlüsselt.
4. Integrität und Sicherheit der Software
4.1 Der Datenverkehr zur Plattform läuft über die Web Application Firewall von Bunny.net. Der Routing-Filter ist auf Verarbeitung nur in der EU eingestellt.
4.2 Ist ein Betrieb ausschließlich in Deutschland vereinbart (Ziffer 9.6 AVV), läuft der Datenverkehr ohne Bunny.net. Als Web Application Firewall dient ein von Manola betriebener nginx.
4.3 Änderungen werden vor dem Ausrollen in einer Testumgebung geprüft.
4.4 Abhängigkeiten und Systeme werden automatisch auf Schwachstellen geprüft. Manola hält Systeme und Software durch Updates und Patches aktuell.
4.5 Manola lässt die Plattform vor dem Start und danach regelmäßig durch externe Penetrationstests prüfen.
5. Verfügbarkeit und Wiederherstellung
5.1 Die Plattform wird über das Monitoring von STACKIT überwacht.
5.2 Bei Datenverlust oder Systemausfall stellt Manola die Daten aus der Datensicherung (Ziffer 1.1) wieder her. Die Wiederherstellung wird regelmäßig getestet.
6. Arbeitsplätze und Geräte
6.1 Arbeitsgeräte sind vollständig verschlüsselt, sperren sich bei Inaktivität automatisch und haben einen aktiven Virenschutz.
6.2 Mitarbeitende verwalten Passwörter mit einem Passwortmanager.
6.3 In fremden oder öffentlichen Netzen arbeiten Mitarbeitende nur über VPN. Für das Arbeiten von zu Hause gelten festgelegte Regeln.
6.4 Daten des Kunden aus der Plattform werden nicht auf Arbeitsgeräten gespeichert.
7. Organisation
7.1 Alle Mitarbeitenden sind schriftlich zur Vertraulichkeit verpflichtet und werden regelmäßig zum Datenschutz geschult.
7.2 Berechtigungen werden regelmäßig überprüft. Beim Ausscheiden werden alle Zugänge sofort gesperrt.
7.3 Die Geschäftsräume sind abgeschlossen. Besucher haben nur in Begleitung Zutritt.
7.4 Ausgemusterte Geräte und Datenträger werden sicher gelöscht oder vernichtet.
7.5 Für Verletzungen des Schutzes personenbezogener Daten gibt es einen festgelegten Ablauf. Die Meldung an den Kunden richtet sich nach Ziffer 11 AVV.
8. Überprüfung
Manola überprüft die Wirksamkeit dieser Maßnahmen regelmäßig.