Sicherheitsbeschreibung

FlowDule ist eine B2B-SaaS-Plattform, auf der Behandlerinnen, Behandler und Praxen mit Klienten-, Journal- und Gesundheitsdaten arbeiten. Diese Daten sind privat, und das Sicherheitsniveau ist entsprechend angelegt. Hier sehen Sie und Ihre Beratung, was wir tun und wofür Sie selbst zuständig sind.

Die Beschreibung ist ein Überblick. Sie enthält keine Credentials, Netzwerkdetails, bekannten Schwachstellen oder kundenspezifischen Konfigurationen. Das verbindliche Sicherheitsniveau steht in dem Auftragsverarbeitungsvertrag, den Sie angenommen haben, und im versionsgebundenen TOM-Anhang.

Die Sicherheitsarbeit ruht auf vier Punkten:

• Vertraulichkeit: Nur identifizierte und befugte Personen und Systeme erhalten den Zugang, den die Aufgabe erfordert;
• Integrität: Änderungen, Freigaben, Löschungen und administrative Handlungen sind im Nachhinein nachvollziehbar;
• Verfügbarkeit und Robustheit: Kritische Daten und Funktionen können wiederhergestellt werden;
• Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen: möglichst wenig Zugang, möglichst wenige Daten, möglichst wenig Freigabe und Aufbewahrung sowie möglichst wenige Dritte sind der Ausgangspunkt.

Wir erproben und bewerten die Maßnahmen regelmäßig.

Ihre Verantwortung beschränkt nicht unsere Verantwortung für unsere eigenen Maßnahmen. Und unsere Sicherheit nimmt Ihnen nicht die Pflicht, eine geeignete Einrichtung zu wählen und zu verfolgen, dass Ihre eigenen Nutzenden einen rechtmäßigen Zugang haben.

Die Produktion von FlowDule läuft bei Kinsta (Sevalla) in Rechenzentren von Google Cloud: API, Datenbank, Web-App und Buchungsseiten; die Datenbank liegt in Frankfurt. Cloudflare stellt Edge und TLS vor der Plattform sowie Objektspeicher (Cloudflare R2) für Medien und Datenbanksicherungen bereit. AWS (EU) wird für Anmeldung, E-Mail, KI-Dienste und Schlüsselverwaltung genutzt. Die aktuelle Übersicht über Anbieter, Dienste und Regionen findet sich unter Unterauftragsverarbeiter und Anbieter.

Entwicklung, Staging und Produktion sind getrennte Umgebungen. Die Produktion nutzen wir nicht zur Erprobung, und wir kopieren keine echten Klienten- und Journaldaten in die Entwicklung oder in die gewöhnliche Erprobung. Dort verwenden wir erfundene Daten oder Daten, die auf andere Weise rechtmäßig freigegeben und für den Zweck minimiert sind.

Die Nutzenden melden sich mit persönlichen Konten über AWS Cognito an, nicht mit geteilten Anmeldedaten. Der Zugang folgt der Rolle und der Beziehung nach dem Grundsatz der geringsten Rechte, sodass eine Nutzerin oder ein Nutzer nur das sieht, wozu die Rolle in der Kette und am Standort Zugang gibt.

Die eigenen Plattformnutzer von FlowDule melden sich mit Multi-Faktor-Authentifizierung an. Ihre eigenen Nutzenden können sie für ihr Konto selbst aktivieren. Zugangstokens werden zentral validiert und haben eine begrenzte Lebensdauer.

Wir schließen einen Zugang, wenn eine Person ausscheidet, wenn ein Konto kompromittiert ist oder wenn der arbeitsbedingte Bedarf entfällt, und wir prüfen die breiten und privilegierten Zugänge in regelmäßigen Abständen.

Unser Support öffnet Ihre Inhalte nur in einem konkreten Fall, nach der erforderlichen Genehmigung, mit persönlicher Anmeldung, für die kürzestmögliche Zeit und mit Protokollierung. Eine verdeckte dauerhafte Administratorrolle gibt es nicht.

FlowDule ist eine mandantenfähige Plattform: Mehrere Kunden teilen sich dieselbe Plattform. Die Kundentrennung wird in den relevanten Schichten durchgesetzt, in der App, in der API, in der Anwendungslogik, in der Datenbank und beim Dateizugriff. In der Datenbank geschieht dies mit Row-Level Security. Die Trennung wird auch mit Zugriffsversuchen über Kunden, Standorte und Rollen hinweg erprobt.

Der Zugang wird durch die Zugehörigkeit zur Kette, die Rolle, den Standort und die konkrete Arbeits- oder Behandlungsbeziehung bestimmt. Eine Nutzerin oder ein Nutzer erhält nicht allein deshalb Zugang zu einer Klientin oder einem Klienten, weil sie oder er zu demselben Kunden gehört, wenn das gewählte Kundenmodell auf einer engeren Beziehung beruht. Derselbe Grundsatz gilt für privilegierte Datenbank- und Supportwege.

Der Datenverkehr zwischen Ihnen und der Plattform wird mit TLS verschlüsselt. Sensible Journalfelder werden zusätzlich auf Feldebene mit Schlüsseln verschlüsselt, die in AWS KMS verwaltet werden.

Credentials, Tokens, Verschlüsselungsschlüssel und andere Geheimnisse liegen nicht im Quellcode, nicht in gewöhnlichen Logs und nicht auf dem Bildschirm. Der Zugang dazu wird nach Bedarf gewährt, protokolliert und bei einer Kompromittierung sowie nach dem Schlüsselplan rotiert.

Einzelheiten zur Verschlüsselung und zum Zugang zu Schlüsseln geben wir nur nach Bedarf und über einen sicheren Kanal.

Handlungen mit Klienten- und Journaldaten lassen sich einer namentlich benannten Nutzerin, einem namentlich benannten Nutzer oder einer eindeutigen Systemkomponente zuordnen. Je nach Risiko umfasst dies unter anderem Lesen, Suchen, Anlegen, Ändern, Herunterladen, Exportieren, Teilen, Widerrufen, Löschen und administrative Handlungen mit erweiterten Rechten.

Logs enthalten den Zusammenhang, der für die Untersuchung einer Handlung erforderlich ist, aber keinen Journaltext, keine Passwörter und keine Tokens. Sie sind vor Änderung und unbefugtem Lesen geschützt, werden für einen festen Zeitraum gespeichert und danach automatisch gelöscht. Die Auswertung von Logs ist sachlich, auf einen Zweck begrenzt und zugangsbeschränkt.

Zugriffe auf Journale werden protokolliert. Wir haben automatische Alarme bei Fehlern, bei fehlgeschlagenen Schreibvorgängen in das Revisionsprotokoll, bei Massenzugriffen auf Journale und wenn ein neuer Plattforminhaber angelegt wird. Die Alarme werden in einer E-Mail zusammengefasst, und die kritischen werden zusätzlich per SMS eskaliert.

Sie selbst verfolgen, ob die Zugriffe Ihrer eigenen Nutzenden arbeitsbedingt sind. Wir liefern die Funktion und die vereinbarte Unterstützung.

Änderungen durchlaufen automatische Tests und eine Codeprüfung, bevor sie freigegeben werden. Die Abhängigkeiten der API werden automatisch mit Dependabot überwacht, das über neue Versionen informiert und Aktualisierungen vorschlägt. Finden wir einen kritischen Umstand, blockieren, begrenzen oder rollen wir die Änderung zurück. Änderungen an Datenflüssen, Zugang, Netzwerk, Verschlüsselung, Protokollierung, Aufbewahrung, Regionen und Anbietern werden zuerst auf ihr Risiko bewertet, und sie können zurückgerollt werden.

Wir begrenzen Uploads nach Dateityp, Größe, Dateisignatur und der Funktion, zu der die Datei gehört. Weder die Datei noch ihre Metadaten führen an der Kundentrennung, den Zugangsregeln oder der sicheren Dateianzeige vorbei.

Hochgeladene Dateien werden nicht auf Viren geprüft.

Bevor ein Anbieter personenbezogene Daten erhält, betrachten wir:

• die rechtliche Rolle des Anbieters, die Leistung, die Daten, die er verarbeitet, und die betroffenen Personen;
• die Vertragsgrundlage, einschließlich des Auftragsverarbeitungsvertrags und der einschlägigen Sicherheitsgarantien;
• Verarbeitungsländer, Fernsupport und die Unterauftragnehmerkette;
• Zugang, Verschlüsselung, Logs, Aufbewahrung, Löschung, Vorfälle und Exit;
• eine etwaige Übermittlungsgrundlage und die ergänzenden Maßnahmen.

Wir schließen einen Auftragsverarbeitungsvertrag mit den erforderlichen Sicherheitsgarantien.

Hosting in der EU schließt für sich genommen eine Übermittlung in Drittländer nicht aus, zum Beispiel über Fernsupport oder einen Anbieter außerhalb der EU. Das Videomodul nutzt LiveKit (USA); die Sessions sind nicht an die EU gebunden, und die Übermittlung erfolgt nach dem Auftragsverarbeitungszusatz von LiveKit, der Teil der Bedingungen von LiveKit ist: EU-US Data Privacy Framework, soweit LiveKit zertifiziert ist, andernfalls die EU-Standardvertragsklauseln. Die aktuelle Anbieterübersicht findet sich unter Unterauftragsverarbeiter und Anbieter.

Die Datenbank wird täglich in Cloudflare R2 gesichert, mit einer Rotation von 30 Tagen. Im Rahmen des Wiederherstellungsverfahrens ist die Wiederherstellung in einer isolierten Umgebung zu erproben, und erfasste Löschungen und Legal Holds sind erneut anzuwenden, bevor die Umgebung geöffnet wird.

FlowDule verspricht keine bestimmten RPO-, RTO-, Sicherungs- oder Verfügbarkeitsziele, sofern sie nicht ausdrücklich in einem SLA vereinbart sind. Ihr lokales Notfallverfahren muss ohne unsichere private E-Mails, Chats, geteilte Dokumente oder nicht autorisierte Geräte funktionieren können.

Nach einer Wiederherstellung prüfen wir, ob die Daten technisch vollständig sind. Sie prüfen Ihre eigenen kritischen fachlichen Angaben und tragen nachträglich ein, was fehlt, sodass es nachvollziehbar ist.

Den Verdacht auf einen Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit behandeln wir als Sicherheitsvorfall. Wir erfassen, begrenzen und untersuchen ihn und bewahren das erforderliche Material auf, ohne unnötige Kopien sensibler Inhalte anzulegen.

Betrifft eine Verletzung des Schutzes personenbezogener Daten Ihre Daten, informieren wir Sie ohne unangemessene Verzögerung und geben Ihnen die Informationen, die wir haben, sobald wir sie haben. Sie entscheiden als Verantwortlicher, ob die Verletzung der Aufsichtsbehörde gemeldet und ob die betroffenen Personen informiert werden. Unser eigener Prozess verzögert Ihre Frist nicht.

Haben Sie den Verdacht auf einen Sicherheitsvorfall, schreiben Sie sofort an security@flowdule.com. Gewöhnliche Supportfragen senden Sie an support@flowdule.com.

Ihr Aufbewahrungsprofil folgt Berufsgruppe, Land, Datenkategorie und Zweck. Wir legen selbstständigen psychotherapeutisch tätigen Personen, die dieser Sondervorschrift nicht unterliegen, nicht automatisch eine gesundheitsrechtliche Journalfrist auf.

Eine Löschung umfasst die einschlägigen Datenbanken, Dateien, Freigaben, Warteschlangen, Caches, Exportdateien und andere aktive Kopien. Sicherungen werden über die laufende Rotation ausgephast. Bis zu ihrem Ablauf sind sie geschützt und werden für nichts anderes genutzt.

Ein Legal Hold nutzen wir nur bei einer konkreten Pflicht, einem Streitfall oder einer rechtmäßigen Weisung. Es wird auf die erforderlichen Personen, Objekte und Datenkategorien begrenzt, in regelmäßigen Abständen bewertet und nachvollziehbar aufgehoben.

Die KI-Funktionen im Journal sind Teil des Journalmoduls und kein allgemeiner Zugang zu Ihren Daten. Sie stehen den Nutzenden der Kette entsprechend ihrer Rolle zur Verfügung; einen gesonderten Aktivierungsschritt für jede einzelne KI-Funktion gibt es nicht. Modell, Daten, Regionen, Aufbewahrung und Anbieter ergeben sich aus den KI-Informationen, Ihre Daten werden nicht zum Training von KI-Modellen verwendet, und wir können eine Funktion oder ein Modell bei schwerwiegenden oder wiederholten Fehlern sofort ausschalten.

KI-Ausgaben, die im Journal oder gegenüber einer Klientin oder einem Klienten verwendet werden sollen, sind ein Entwurf. Eine Fachperson muss Quelle, Fakten, Verneinungen, Zahlen, Daten, Person und fachlichen Zusammenhang prüfen, bevor das Ergebnis gespeichert oder geteilt wird. Einige Ergebnisse werden nicht einzeln freigegeben, unter anderem das automatische Notiz-Feedback und die maschinelle Übersetzung geteilter Inhalte für die Klientin oder den Klienten. Die KI von FlowDule trifft selbst keine Diagnose-, Triage-, Behandlungs- oder Zugangsentscheidungen.

Weitere Informationen finden sich in den KI-Informationen.

Alle Personen mit internem oder privilegiertem Zugang unterliegen der Schweigepflicht. Sie werden vor dem Zugang und danach in regelmäßigen Abständen unter anderem zu Phishing, Credentials, Journaldaten, Supportzugriff, Protokollierung, Vorfällen, KI und der sofortigen Meldung unterwiesen.

Wir erfassen, wer Zugang hat und wann diese Personen unterwiesen wurden. Bewusster Missbrauch, das Teilen von Credentials, das Umgehen von Sicherheitsregeln oder das Verschweigen schließt den Zugang sofort und kann arbeits- oder vertragsrechtliche Folgen haben.

Sie können Dokumentation erhalten und ein Audit nach dem Auftragsverarbeitungsvertrag durchführen. Ausgangspunkt sind der TOM-Anhang, den Sie angenommen haben, die Ergebnisse unserer eigenen Erprobungen, die eigene Dokumentation der Anbieter und etwaige unabhängige Bescheinigungen. Angaben, die die Sicherheit oder die Vertraulichkeit anderer Kunden schwächen können, geben wir nur über einen sicheren und vertraulichen Prozess weiter.

Diese Beschreibung ist kein SLA und gibt für sich genommen keine Garantie für eine bestimmte Verfügbarkeit, Wiederherstellungszeit, Datenverlustgrenze oder Zertifizierung. FlowDule ist nicht nach ISO 27001 oder SOC 2 zertifiziert.

Weicht der Text vom angenommenen, versionsgebundenen TOM-Anhang ab, hat der TOM-Anhang für den konkreten Kunden Vorrang. Eine spätere Verbesserung ändert nicht stillschweigend die vereinbarte Weisung oder das vereinbarte Sicherheitsniveau des Kunden.

• DSGVO Artikel 25 und 32
• Katalog der Sicherheitsmaßnahmen der dänischen Datenschutzbehörde (Datatilsynet)
• Leitlinie der dänischen Datenschutzbehörde (Datatilsynet) zum Logging