Gemäß Art. 32 DSGVO | Stand: Mai 2026 | Version: 2.0
Auftragsverarbeiter: Tapcoat GmbH, Hanauer Landstraße 204, 60314 Frankfurt am Main

Geltungsbereich: Diese Anlage beschreibt die zum Zeitpunkt der Unterzeichnung implementierten technisch-organisatorischen Maßnahmen im Sinne von Art. 32 DSGVO. Tapcoat verpflichtet sich, wesentliche Änderungen dem Auftraggeber mindestens 30 Tage im Voraus schriftlich mitzuteilen.

A. Zutrittskontrolle

Die Tapcoat-Plattform wird als Cloud-Dienst auf DigitalOcean (Rechenzentrum FRA1, Frankfurt am Main) und Hetzner (Rechenzentren in Falkenstein/Nürnberg) betrieben, alle in Deutschland. Physische Zutrittskontrolle zu den Serverräumlichkeiten obliegt DigitalOcean und ist im DigitalOcean-DPA sowie den SOC-2-Berichten dokumentiert. Tapcoat betreibt keine eigene Server-Hardware.

Server-Hardware ausschließlich in zertifizierten Rechenzentren der Hosting-Anbieter in Deutschland (DigitalOcean FRA1, Frankfurt am Main; Hetzner, Falkenstein/Nürnberg; jeweils ISO 27001)
Kein eigener physischer Server-Zugang durch Tapcoat-Mitarbeitende erforderlich oder vorhanden
Zugang zur Server-Infrastruktur ausschließlich logisch via VPN und Bastion-Host (siehe Abschnitt D)

B. Zugangskontrolle

Maßnahmen zur Verhinderung der unbefugten Nutzung von Datenverarbeitungssystemen.

B.1 Authentifizierungsverfahren

Login mit E-Mail-Adresse und Passwort (Standard)
Magic Link: passwortloser Login via kryptografisch signiertem, zeitlich begrenztem E-Mail-Link
QR-Login: Authentifizierung durch Scannen eines Einmalcodes mit bereits authentifiziertem Gerät
Zwei-Faktor-Authentifizierung (2FA) für interne Admin-Zugänge auf Produktivsysteme: verpflichtend

B.2 Passwortsicherheit

Mindestpasswortlänge: 8 Zeichen
Pflichtzeichen: Großbuchstabe, Kleinbuchstabe, Zahl, Sonderzeichen (alle vier Klassen erforderlich)
Passwort-Hashing: bcrypt (adaptiver, kollisionsresistenter Hash-Algorithmus; kein Klartext-Passwort gespeichert)

B.3 Sitzungsmanagement

Sessions werden bei Passwortwechsel serverseitig vollständig invalidiert
Brute-Force-Schutz: automatisches Rate Limiting pro IP-Adresse

B.4 Transportverschlüsselung

Alle Verbindungen ausschließlich über HTTPS (TLS 1.2 als Minimum erzwungen, TLS 1.3 priorisiert)
Wallet-Pass-Endpunkte und API-Endpunkte: identische TLS-Anforderungen

C. Zugriffskontrolle und Berechtigungsmanagement

Maßnahmen zur Sicherstellung, dass Berechtigte ausschließlich auf die ihnen zugewiesenen Daten zugreifen können.

C.1 Personenkreis mit Produktivzugang

Maximal 3–5 Personen haben technischen Zugriff auf die Produktivdatenbank
Zugangsberechtigte: Geschäftsführung Tapcoat GmbH sowie Entwickler:innen bei formwandler interactive / Molchkragen Media GmbH
Kein Produktivzugang für externe Freelancer:innen, IT-Administratoren oder sonstige Dritte

C.2 Rollenkonzept und Least Privilege

Klar getrennte Rollen: Dev, Admin, Support mit jeweils unterschiedlichen Berechtigungsebenen
Least-Privilege-Prinzip: jede Person erhält ausschließlich die Rechte, die ihre Tätigkeit erfordert
Zugänge werden vierteljährlich systematisch überprüft; nicht benötigte Zugänge werden unverzüglich deaktiviert

C.3 Audit-Logging

Folgende Zugriffsaktionen werden protokolliert:

Admin-Logins (Zeitpunkt, Kennung)
Konfigurationsänderungen an Systemparametern
Direkte Datenbankzugriffe via psql / SSH
Manuelle Datenkorrekturen in der Produktivdatenbank

D. Weitergabekontrolle

Maßnahmen zur Sicherstellung, dass personenbezogene Daten bei elektronischer Übertragung nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden.

D.1 Verschlüsselung bei der Übertragung

Alle Datenübertragungen zwischen Client und Server ausschließlich über TLS 1.2 / TLS 1.3 (HTTPS)
API-Kommunikation zwischen Tapcoat-Backend-Diensten ebenfalls verschlüsselt
Wallet-Pass-Signierung: kryptografische Signatur aller Apple-Wallet- und Google-Wallet-Pässe mit eigenem Zertifikat

D.2 Zugang zu Zertifikaten und Credentials

Wallet-Pass-Signaturzertifikate in passwortgesichertem Passwortmanager (LastPass) hinterlegt
Zugang zu Produktiv-Credentials auf maximal 3–5 Personen beschränkt
SSH-Zugriff auf Produktivsysteme ausschließlich über VPN und Bastion-Host; Key-basierte Authentifizierung (keine Passwort-Authentifizierung)

D.3 DDoS-Schutz und Netzwerksicherheit

Cloudflare als vorgeschalteter DDoS-Schutz, CDN und DNS-Provider für alle Tapcoat-Endpunkte
Rate Limiting über Cloudflare konfiguriert

E. Eingabekontrolle

Maßnahmen zur Sicherstellung der nachträglichen Feststellung, ob und von wem Daten eingegeben, verändert oder entfernt wurden.

Admin-Logins, Konfigurationsänderungen, direkte DB-Zugriffe und manuelle Datenkorrekturen werden protokolliert (s. C.3)
Schutz vor SQL-Injection: ausnahmslose Verwendung parametrisierter Queries und ORM
Schutz vor Cross-Site-Scripting (XSS): serverseitiges Output-Encoding an allen Ausgabepunkten
Schutz vor Cross-Site-Request-Forgery (CSRF): CSRF-Token aktiv in allen formularbezogenen Endpunkten
Input-Validierung an allen API-Endpunkten (serverseitig)

F. Auftragskontrolle

Maßnahmen zur Sicherstellung, dass personenbezogene Daten ausschließlich entsprechend den Weisungen des Auftraggebers verarbeitet werden.

Vertragliche Bindung gemäß Art. 28 DSGVO: Tapcoat verarbeitet Daten ausschließlich im Rahmen des Auftragsverarbeitungsvertrags
Technische Mandantentrennung: keine mandantenübergreifende Datenverarbeitung möglich (s. Abschnitt H)
Unterauftragsverarbeiter: vollständig in Anlage 2 des AVV aufgeführt und vom Auftraggeber genehmigt
Tapcoat-Mitarbeitende sind schriftlich auf das Datengeheimnis verpflichtet; Weisungsgebundenheit ist im Arbeitsvertrag verankert

G. Verfügbarkeitskontrolle

Maßnahmen zur Sicherstellung, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

G.1 Hosting-Infrastruktur

DigitalOcean, LLC + Hetzner Online GmbH: Backend / Datenbank — Compute, Managed Database, Object Storage — FRA1 Frankfurt am Main (DigitalOcean) + Falkenstein/Nürnberg (Hetzner)
Mittwald CM Service GmbH & Co. KG: Marketing-Website tapcoat.com — Web-Hosting — Espelkamp, Deutschland
Cloudflare, Inc.: CDN / DDoS-Schutz — DNS, CDN, WAF, Rate Limiting — Frankfurt-PoP (EU-Routing)

G.2 Hochverfügbarkeit

Application-Services: High-Availability-Cluster mit automatischem Failover bei Ausfall einzelner Instanzen

G.3 Datensicherung (Backup)

Datensicherung erfolgt über den DigitalOcean Managed Database-Service (automatisiert durch den Anbieter)
Backups verbleiben ausschließlich innerhalb der Infrastruktur der jeweiligen Hosting-Anbieter (DigitalOcean, Hetzner); kein Export an unkontrollierte Drittsysteme
Datenverschlüsselung im Ruhezustand: AES-256 (Standard bei DigitalOcean Managed Database und Hetzner)

G.4 Notfallmanagement

Schriftlich dokumentierter Disaster-Recovery-Plan vorhanden
Der Plan wird mindestens einmal jährlich praktisch getestet

G.5 Monitoring und Betrieb

Sentry: Application Performance Monitoring und Echtzeit-Fehler-Tracking (App + Backend)
Better Stack: Log-Management, Uptime-Monitoring und Status-Seiten
Oh Dear (Immutable VOF): externes, unabhängiges Verfügbarkeits-Monitoring aller Tapcoat-Endpunkte
Automatische Alerts bei Server-/API-Ausfall und erhöhten Fehlerraten

H. Trennungsgebot (Mandantentrennung)

Maßnahmen zur Sicherstellung, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden.

H.1 Datentrennungsmodell

Hybrides Modell: Enterprise-Mandant:innen erhalten dedizierte, logisch isolierte Datenbankinstanzen
Standard-Mandant:innen: gemeinsame Datenbankinfrastruktur mit durchgängiger Row-Level-Security (RLS) auf Datenbankebene — jede Abfrage ist automatisch auf die eigene Mandant-ID beschränkt
Konsistente Mandant-ID-Prüfung in allen API-Endpunkten (serverseitig erzwungen)
Manuelle Code-Reviews mit explizitem Fokus auf korrekte Mandant-ID-Trennung bei sicherheitsrelevanten Codeänderungen

H.2 Wallet-Pass-Eindeutigkeit

Wallet-Pass-IDs basieren auf UUIDs (kryptografisch zufällig erzeugt, nicht erratbar)
Technische Unmöglichkeit des unautorisierten Zugriffs auf Wallet-Pässe anderer Mandant:innen durch UUID-Länge und Zufallsverteilung

I. Datenschutz durch Technikgestaltung (Art. 25 DSGVO)

I.1 Privacy by Design und Privacy by Default

Datenminimierung: bei neuen Features wird systematisch geprüft, ob die Verarbeitung der geplanten Datenmenge erforderlich ist
Pseudonymisierung: wird eingesetzt, wo technisch sinnvoll und möglich
Privacy by Default: datenschutzfreundliche Voreinstellungen sind Standard; Mandant:innen müssen keine Datenschutz-Einstellungen aktiv vornehmen

I.2 Löschkonzept

Auf Antrag der Mandantin: vollständige Anonymisierung oder Löschung des Accounts innerhalb von 30 Tagen; 30-tägige Exportfrist vorab
Gesetzliche Aufbewahrungspflichten nach HGB und AO sind in der Systemlogik berücksichtigt und überschreiben keine Löschpflichten

J. Anwendungssicherheit

Parametrisierte Datenbankabfragen (Prepared Statements) werden ausnahmslos verwendet — keine dynamische SQL-Konkatenation
ORM als zusätzliche Schutzschicht gegen direkte SQL-Manipulation
Automatisierte Sicherheits-Updates für Abhängigkeiten: Renovate / Dependabot / Snyk im CI/CD-Prozess aktiv
Zusätzliche manuelle Prüfung von Abhängigkeits-Updates vor Deployment in die Produktivumgebung
Externer Port-Scan durchgeführt zum Zeitpunkt des Softlaunch (20.05.2026)
Automatisierte Schwachstellen-Scans für Bibliotheken und Abhängigkeiten (Snyk) im Entwicklungsprozess integriert

K. Personal, Schulung und Vertraulichkeitsverpflichtung

K.1 Verpflichtung auf das Datengeheimnis

Alle Tapcoat-Mitarbeitenden mit Datenzugriff: schriftlich auf das Datengeheimnis nach Art. 28 Abs. 3 lit. b DSGVO verpflichtet
Alle Mitarbeitenden von formwandler interactive / Molchkragen Media GmbH mit Tapcoat-Datenzugriff: schriftlich verpflichtet
Mitarbeitende der Symplion GmbH (IT-Administration) mit administrativem Zugriff auf die interne IT-Infrastruktur (E-Mail, Endgeräte), ohne Zugriff auf Produktivsysteme: schriftlich verpflichtet
Externe Freelancer:innen mit Datenzugriff: schriftlich verpflichtet

K.2 Schulungen

Datenschutz-Schulung beim Onboarding jeder neuen Person mit Datenzugriff
Anlassbezogene Schulungen nach Sicherheitsvorfällen, wesentlichen Plattformänderungen oder Gesetzesänderungen

K.3 Off-Boarding

Dokumentierter Off-Boarding-Prozess: alle Zugänge werden am letzten Arbeitstag zentral deaktiviert
Pflicht zur Rückgabe aller Zugangsmittel (Schlüssel, Geräte, Zertifikate) beim Ausscheiden

L. Incident Response

Schriftlich dokumentierter Incident-Response-Plan vorhanden (eigenständiges Dokument)
Verantwortlichkeiten im Vorfall (Incident Lead, Technik-Lead, Datenschutz-Ansprechperson) sind namentlich zugewiesen
Eskalationswege bis zur Geschäftsführung der Tapcoat GmbH sind definiert
Vorlage für die Meldung an die zuständige Aufsichtsbehörde gemäß Art. 33 DSGVO liegt vor
Vorlage für die Benachrichtigung betroffener Personen gemäß Art. 34 DSGVO liegt vor
Keine bekannte Datenschutzverletzung in den letzten 12 Monaten (Stand: Mai 2026)

Aufsicht: Zuständige Aufsichtsbehörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden. Meldepflichtige Vorfälle werden innerhalb von 72 Stunden ab Kenntnis gemeldet (Art. 33 Abs. 1 DSGVO). Bei Auftragsverarbeitung: Benachrichtigung der betroffenen Mandantin unverzüglich nach Kenntnis.

M. Zertifizierungen und externe Prüfungen

Port-Scan / Sicherheitsprüfung: Durchgeführt — Port-Scan bei Softlaunch, 20.05.2026
Automatisierte Schwachstellen-Scans: Aktiv (laufend) — Snyk / Dependabot im CI/CD-Prozess integriert
ISO 27001: Nicht vorhanden
BSI C5 / SOC 2: Nicht vorhanden
Hosting-Anbieter (Infrastruktur): DigitalOcean: SOC 2 Typ II + ISO 27001; Hetzner: ISO 27001

Tapcoat besitzt aktuell keine eigene Informationssicherheits-Zertifizierung. Die eingesetzten Cloud-Infrastrukturen sind zertifiziert: DigitalOcean nach SOC 2 Typ II und ISO 27001, Hetzner nach ISO 27001. Diese Zertifikate können auf Anfrage als Referenz bereitgestellt werden.

N. Zusammenfassung der implementierten Maßnahmen

A Zutrittskontrolle: Vollständig durch Cloud-Provider (DigitalOcean, Hetzner; jeweils ISO 27001)
B Zugangskontrolle: Implementiert: bcrypt, TLS 1.2+, MFA intern, Rate Limiting
C Zugriffskontrolle: Implementiert: Least Privilege, vierteljährl. Review, Audit-Log
D Weitergabekontrolle: Implementiert: TLS, VPN/Bastion-Host, Cloudflare
E Eingabekontrolle: Implementiert: Logging, Prepared Statements, XSS/CSRF/Input-Validation
F Auftragskontrolle: Implementiert: AVV-Bindung, Datengeheimnis, Mandantentrennung
G Verfügbarkeitskontrolle: Implementiert: HA-Cluster, Backup (DigitalOcean), DR-Plan, Monitoring
H Trennungsgebot: Implementiert: RLS, UUID-IDs, Hybrid-Modell, Code-Reviews
I Privacy by Design / Default: Implementiert: Datenminimierung, Pseudonymisierung, Löschprozess
J Anwendungssicherheit: Implementiert: ORM, Prepared Statements, Dependency-Scans
K Personal und Schulung: Implementiert: Verpflichtungen, Onboarding, Off-Boarding
L Incident Response: Implementiert: Plan, Vorlagen, Verantwortlichkeiten, Eskalation
M Zertifizierungen: Infrastruktur-Zertifikate vorhanden (DigitalOcean); eigene Zertifizierung nicht vorhanden

O. Wirksamkeit und Aktualisierung

Diese TOM-Beschreibung ist Bestandteil des Auftragsverarbeitungsvertrags und tritt mit dessen Unterzeichnung in Kraft. Tapcoat aktualisiert diese Anlage bei wesentlichen Änderungen der Sicherheitsmaßnahmen. Der Auftraggeber wird schriftlich informiert; eine neue Version wird bereitgestellt. Das Datum der jeweils aktuellen Version ist im Dokumentenkopf vermerkt.

Version 1.0 — Mai 2026 — Erstfassung
Version 2.0 — Mai 2026 — Planungshinweise entfernt; nur implementierte Maßnahmen; klassische Art.-32-Gliederung A–M

Anlage 1 zum AVV — Technisch-Organisatorische Maßnahmen (TOM)