TOM-Anhang zum Auftragsverarbeitungsvertrag

Dieser Anhang beschreibt die technischen und organisatorischen Maßnahmen, die FlowDule ApS anwendet, wenn FlowDule personenbezogene Daten im Auftrag des Kunden verarbeitet, vgl. Art. 28 und 32 DSGVO. Der Anhang ist Bestandteil des Auftragsverarbeitungsvertrags.

Der Anhang ist versioniert. Die Version, die der Kunde zusammen mit dem Auftragsverarbeitungsvertrag angenommen hat, wird durch Version und Datum bestimmt. Änderungen werden als neue Version veröffentlicht, und wesentliche Änderungen erfordern eine erneute Annahme nach dem Auftragsverarbeitungsvertrag.

Die dokumentierte Weisung des Kunden sind die eigenen Einstellungen der Kette in der Plattform (aktivierte Module und die KI-Funktionen darin, Aufbewahrungsregeln und Länderprofil) zusammen mit dem angenommenen Auftragsverarbeitungsvertrag. Die nachstehenden Maßnahmen gelten für alle Ketten; welche Funktionen und Anbieter für eine einzelne Kette genutzt werden, hängt von den Einstellungen der Kette ab.

• Benutzer melden sich mit persönlichen Konten über AWS Cognito an.
• Für die eigenen Plattformbenutzer von FlowDule ist eine Multi-Faktor-Authentifizierung (MFA) erforderlich. Die Benutzer der Kette können MFA für ihr Konto selbst aktivieren.
• Zugriff wird nach Rolle vergeben. Ein Benutzer sieht nur die Daten, auf die ihm seine Rolle in der Kette und am Standort Zugriff gibt.

Die Plattform wird von mehreren Kunden gemeinsam genutzt. Die Daten jeder Kette werden in der Anwendung getrennt gehalten, und die Datenbank setzt eine zeilenbasierte Zugriffskontrolle (Row-Level Security) durch, sodass eine Abfrage nur Zeilen der Kette sehen kann, für die sie ausgeführt wird.

Der Server bestimmt bei jedem Aufruf, auf welche Kette und welche Rollen der angemeldete Benutzer Zugriff hat. IDs im Inhalt der Anfrage werden nicht zur Gewährung von Zugriff verwendet.

• Der Datenverkehr zwischen den Benutzern und der Plattform wird über Cloudflare mit TLS verschlüsselt.
• Journaldaten werden auf Feldebene mit AES-256-GCM unter Schlüsseln verschlüsselt, die durch AWS KMS geschützt sind.
• Die Suche in ausgewählten verschlüsselten Feldern erfolgt über HMAC-basierte Blindindizes, sodass der Klartext nicht in durchsuchbarer Form gespeichert wird.

• Zugriffe auf Journale werden in einem Zugriffsprotokoll erfasst.
• Automatische Alarme werden ausgelöst bei Fehlern, bei fehlgeschlagenen Schreibvorgängen in das Revisionsprotokoll, bei Massenzugriffen auf Journale und wenn ein neuer Plattforminhaber angelegt wird.
• Alarme werden in einer Sammel-E-Mail zusammengefasst, und kritische Alarme werden per SMS eskaliert.

Die Produktion läuft auf Kinsta (Sevalla) in Rechenzentren von Google Cloud. Das umfasst die API, die Datenbank und die Buchungsseiten; die Datenbank liegt in der Google-Cloud-Region europe-west3 (Frankfurt). Die Web-App ist eine statische Sevalla-Seite.

Cloudflare stellt Edge und TLS vor allen Sevalla-Apps bereit, Objektspeicher (Cloudflare R2) für Medien (Bilder, Diktataudio und Exporte) und für die Datenbanksicherungen sowie die Turnstile-Botprüfung in dem Schritt, in dem eine Buchung oder Eventanmeldung abgesendet wird, auf dem Kontaktformular und auf dem Webshop-Formular für die Benachrichtigung über wieder verfügbare Artikel.

Von AWS in der EU werden Cognito (Anmeldung), SES (E-Mail), Amazon Bedrock (KI), Amazon Transcribe (Diktat), Amazon Textract (Texterkennung) und AWS KMS (Schlüssel für die Feldverschlüsselung) genutzt. Amazon Translate wird nur für Supportfälle und Plattformmitteilungen verwendet.

SMS werden über GatewayAPI (ONLINECITY.IO) versendet, deren Plattform Nachrichtendaten in der EU speichert (Google, Belgien). Zahlungen werden von Stripe abgewickelt; Zahlungen von Klienten erfolgen direkt auf dem eigenen Stripe-Konto der Kette. Die Adresssuche für Unternehmens-, Standort- und Veranstaltungsadressen hinter dem Login erfolgt über Postcode.eu. Push-Benachrichtigungen sind in der Produktion abgeschaltet, und es werden keine Push-Nachrichten versendet.

Video wird von LiveKit (LiveKit Incorporated, USA) für Ketten bereitgestellt, die das Videomodul einschalten. LiveKit Cloud leitet jede Sitzung an den nächstgelegenen Server, sodass die Verarbeitung nicht an die EU gebunden ist. Die Übermittlung erfolgt nach dem Datenverarbeitungszusatz von LiveKit, der Teil der Bedingungen von LiveKit ist: EU-US Data Privacy Framework, soweit LiveKit zertifiziert ist, und andernfalls die EU-Standardvertragsklauseln. Aufzeichnung, Egress, Agents und Inferenz werden nicht genutzt. Verarbeitet werden die Sitzungs-ID, eine pseudonyme Teilnehmer-ID, der Anzeigename sowie Audio, Video und ein etwaiger Chat während der Übertragung.

Die vollständige Liste mit juristischen Personen, Zwecken, Datenkategorien, Verarbeitungsorten und Übermittlungsgrundlagen findet sich unter Unterauftragsverarbeiter und Anbieter.

Die Datenbank wird täglich in Cloudflare R2 gesichert, mit einer Rotation von 30 Tagen. Im Rahmen des Wiederherstellungsverfahrens ist die Wiederherstellung in einer isolierten Umgebung zu erproben, und erfasste Löschungen und Legal Holds sind erneut anzuwenden, bevor eine wiederhergestellte Umgebung geöffnet wird.

Aufbewahrung und Löschung richten sich nach den Aufbewahrungsregeln und dem Länderprofil der Kette sowie nach dem Auftragsverarbeitungsvertrag. Sicherungen werden durch die laufende Rotation von 30 Tagen gelöscht, und erfasste Löschungen werden auch bei einer Wiederherstellung beachtet, vgl. Abschnitt 7. Bei Vertragsende werden Daten nach dem Auftragsverarbeitungsvertrag zurückgegeben, exportiert und gelöscht.

• Die KI-Funktionen im Journal stehen den Ketten zur Verfügung, die das Journalmodul eingeschaltet haben, sowie den Nutzenden der Kette entsprechend ihrer Rolle; einen gesonderten Aktivierungsschritt für jede einzelne KI-Funktion gibt es nicht. FlowDule schaltet KI für eine Kette auf Anfrage aus, mit den Ausnahmen, die sich aus den KI-Informationen ergeben.
• Textbasierte KI, einschließlich der Übersetzung von Journal, Katalog und Texten, läuft auf Amazon Bedrock mit Anthropic Claude über das EU-Inferenzprofil, sodass die Anfragen in EU-Regionen verarbeitet werden. Diktate werden mit Amazon Transcribe transkribiert, und die Texterkennung erfolgt mit Amazon Textract.
• Formatierter Text und Text aus Bild gelangen erst in ein Journal, wenn der Benutzer die Notiz speichert. Diktierter Text wird in das Schreibwerkzeug eingefügt, und der Text der Notiz ändert sich erst, wenn der Benutzer speichert; wird zu einer bereits angelegten Notiz diktiert, wird die rohe Transkription zusammen mit der Notiz gespeichert, sobald sie fertig ist. Zusammenfassung, Schlüsselwörter und nächste Schritte werden in die Notiz geschrieben, wenn der Benutzer sie angefordert hat; der Benutzer muss sie lesen und kann sie korrigieren oder entfernen. Einige Ergebnisse werden nicht einzeln freigegeben: das automatische Notiz-Feedback, die maschinelle Übersetzung geteilter Inhalte für die Klientin oder den Klienten und die Übersetzung von Supportfällen und Plattformmitteilungen.
• Die Daten des Kunden werden nicht zum Training von KI-Modellen verwendet.

Sicherheitsvorfälle werden erfasst, eingedämmt und untersucht. FlowDule benachrichtigt den Kunden unverzüglich, nachdem FlowDule eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die personenbezogenen Daten des Kunden betrifft, und unterstützt den Kunden mit den Informationen, die er für seine eigene Bewertung und eine etwaige Meldung benötigt. Der Verdacht auf einen Sicherheitsvorfall wird an security@flowdule.com gemeldet.

Die internen Richtlinien von FlowDule legen unter anderem fest:

• benannte Rollen und Genehmigung durch die Geschäftsleitung;
• Vertraulichkeit und bedarfsgerechten Zugriff;
• Änderungsmanagement, Codeprüfung und Sicherheitstests;
• Vorfallsmeldung und Kundenunterstützung;
• Lieferantenkontrolle und dokumentierte Weisung;
• Schulung zu Sicherheit, Datenschutz und KI;
• risikobasierte Kontrolle und Dokumentation.

FlowDule ist nicht nach ISO 27001 oder SOC 2 zertifiziert.

• Minderjährige Klienten dürfen erfasst werden, wenn die Einstellung des Kunden für Minderjährige aktiviert ist und beim Klienten eine volljährige Kontaktperson mit E-Mail-Adresse oder Telefonnummer hinterlegt ist. Nachrichten, Belege und Zahlungslinks werden an die Kontaktperson gesendet, nicht an die minderjährige Person.
• Die Kontaktperson erhält keinen Zugang zur Lösung.
• Nutzt der Kunde das Journalmodul für die gesundheitsfachliche Dokumentation, dürfen ausschließlich Klienten erfasst werden, die das 18. Lebensjahr vollendet haben. Darauf weist die Einstellung des Kunden für Minderjährige hin; eine technische Sperre ist es nicht.
• Sorgeberechtigten- und Vollmachtsmodelle bleiben weiterhin außerhalb des Produkts, das der Vertrag umfasst, und dürfen nicht genutzt werden; niemand meldet sich im Namen einer anderen Person an.
• Forschung, aus dem Journal abgeleitete anonyme Datensätze und autonome KI-Funktionen bleiben weiterhin außerhalb des Produkts, das der Vertrag umfasst, oder sind ausgeschaltet. Die KI-Funktionen, die genutzt werden, ergeben sich aus Abschnitt 9 und den KI-Informationen.

• DSGVO Artikel 25 und 32
• Katalog der Sicherheitsmaßnahmen der dänischen Datenschutzbehörde (Datatilsynet)