Eine Zusammenfassung der Maßnahmen, die Daten in FlowDule schützen: wer hineinkommt, wie Daten getrennt und verschlüsselt gehalten werden, was protokolliert wird und wie Daten gelöscht werden.
Artikel 32 DSGVO verlangt, dass Verantwortlicher und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen. Diese Seite gibt einen Überblick über das Sicherheitsmodell von FlowDule, in einer Sprache, die sich in eurer eigenen Dokumentation verwenden lässt. Der Überblick ist informativ: Das verbindliche Sicherheitsniveau ergibt sich aus dem akzeptierten Auftragsverarbeitungsvertrag, dem Kundenanhang und dem versionsgebundenen TOM-Anhang, der bei Widersprüchen Vorrang hat.
Die Beschreibung deckt Identität und Zugriff, Trennung der Daten zwischen Ketten, Verschlüsselung, Nachvollziehbarkeit, Datenintegrität, Löschung und Betrieb ab.
Identität und Zugriff, Mandantentrennung, Verschlüsselung, Nachvollziehbarkeit und Datenintegrität
Die Anmeldung läuft über AWS Cognito mit signierten Tokens. Der Zugriff richtet sich nach der Rolle der Person und danach, zu welcher Kette und welchem Standort sie gehört. Fehlt der Zugriff, wird die Anfrage abgelehnt, ohne preiszugeben, ob die Daten überhaupt existieren.
Daten gehören immer genau einer Kette. Die Kundentrennung wird in den relevanten Schichten durchgesetzt: Benutzeroberfläche, API, Anwendungslogik, Datenbank und Dateizugriff, wobei die Row-Level Security der Datenbank so konfiguriert ist, dass sie Abfragen über die angemeldete Kette hinaus abweist. Der Zugriff wird zugleich nach Kundenzugehörigkeit, Rolle, Standort und der jeweiligen Arbeits- oder Behandlungsbeziehung beurteilt.
Die Kommunikation mit FlowDule wird mit moderner Transportverschlüsselung geschützt. Die freigegebene Produktionsbaseline nutzt Verschlüsselung im Ruhezustand für die relevanten Datenbanken, Dateien und sensiblen Felder sowie eine kontrollierte Schlüsselverwaltung mit AWS KMS. Die konkrete kryptografische Umsetzung, der Migrationsstand und der Schlüsselzugriff werden im vertraulichen TOM- und Nachweismaterial dokumentiert und nur bei Bedarf über einen sicheren Kanal herausgegeben.
Relevante Handlungen mit Klienten- und Journaldaten müssen einem identifizierten Benutzer oder einer eindeutigen Systemkomponente zuordenbar sein. Protokolle werden gegen unbefugte Änderung und Einsicht geschützt, haben eine dokumentierte Aufbewahrungsfrist und enthalten weder Journaltext noch Passwörter oder Tokens. Die Protokollabdeckung wird derzeit getestet, und der Kunde ist dafür verantwortlich, die arbeitsbedingten Zugriffe der eigenen Benutzer zu kontrollieren.
Journalnotizen werden versioniert. Eine Korrektur erfolgt als Ergänzung, und der ursprüngliche Text bleibt erhalten, sodass das Journal so lesbar bleibt, wie es damals aussah.
Das Aufbewahrungsprofil des Kunden wird nach Berufsgruppe, Land, Datenkategorie und Zweck festgelegt. Die Löschung muss die relevanten Datenbanken, Dateien, Freigaben, Warteschlangen, Caches, Exportdateien und weitere aktive Kopien umfassen, während Backups über eine dokumentierte Rotation auslaufen. Aufbewahrung, Löschung und Legal Hold werden derzeit getestet und werden nicht als verifizierte Kontrollen dargestellt, bevor der Test freigegeben ist. Die Regeln dazu, wie lange Journaldaten aufbewahrt werden und was bei einer Löschanfrage geschieht, sind gesondert beschrieben.
Aufbewahrung von Journaldaten
Der Kernbetrieb läuft auf AWS in EU-Regionen: Datenbank, API, Cache, Secrets und KMS überwiegend in eu-north-1, Dateien in eu-central-1 und eu-north-1 und die Anmeldung in eu-central-1 nach der letzten Baseline. Globale Auslieferung und Betriebsprotokolle lassen sich nicht als vollständig regionsgebunden beschreiben, und EU-Hosting ist allein kein Nachweis dafür, dass keine Drittlandsübermittlung stattfinden kann. Schwachstellen- und Änderungsmanagement, Patch- und Schlüsselrotation nach dem freigegebenen Schlüsselplan, Incident Response, Kontinuität und ein isolierter Wiederherstellungstest mit gemessenem Ergebnis sind Anforderungen, die erst dann als verifiziert dargestellt werden, wenn die Kontrollen getestet und freigegeben sind.
SicherheitDer Vertrag zwischen Ihnen als Verantwortlichem und FlowDule als Auftragsverarbeiter. Die verbindlichen Artikel-32-Maßnahmen ergeben sich aus dem versions- und hashgebundenen TOM-Anhang, der mit Kundenanhang A akzeptiert wird. Diese Seite ist nur eine informative Zusammenfassung.
AVV lesenDie Liste der Anbieter, die Daten im Auftrag von FlowDule verarbeiten, und wie Änderungen angekündigt werden.
Unterauftragsverarbeiter ansehenDer akzeptierte TOM-Anhang wird mit Titel, Version und Dokument-Hash im Kundenanhang A identifiziert. Eine Prüfung beginnt in der Regel mit den akzeptierten TOM, den relevanten Testzusammenfassungen und der Anbieterdokumentation, und Details, die die Sicherheit oder die Vertraulichkeit anderer Kunden gefährden können, werden nur über einen sicheren und vertraulichen Prozess herausgegeben. Nennt privacy@flowdule.com die gewünschte Kontrolle und den Zeitraum.