Anlage 1 — Technische und organisatorische Maßnahmen (TOMs)

Bezug: Auftragsverarbeitungsvertrag (AVV) für Canopy
Auftragsverarbeiterin: Revery UG (haftungsbeschränkt)

Diese Anlage beschreibt die wesentlichen Maßnahmen gemäß Art. 32 DSGVO zum Schutz der im Auftrag verarbeiteten personenbezogenen Daten, insbesondere Gesundheitsdaten.

1. Organisation

• Verantwortung für Informationssicherheit liegt bei der Geschäftsführung.
• Datenschutzanfragen: datenschutz@dein-canopy.de
• Personen mit Zugang zu Produktivsystemen sind zur Vertraulichkeit verpflichtet.
• Sicherheitsvorfälle werden erkannt, eingedämmt und dem Auftraggeber gemäß AVV gemeldet.
• Diese TOMs werden bei wesentlichen Änderungen der Plattform überprüft und bei Bedarf angepasst.

2. Zutritts-, Zugangs- und Zugriffskontrolle

• Hosting: Betrieb der Anwendung bei professionellen Rechenzentrumsanbietern in der EU; physischer Zutritt liegt in deren Verantwortung.
• Anmeldung: Sichere Anmeldung für Coaches und eingeladene Coachees (u. a. E-Mail und OAuth); Sitzungen werden serverseitig verwaltet.
• Mandantentrennung: Jede Praxis (Organisation) ist logisch von anderen Praxen getrennt; Zugriff nur auf eigene Daten.
• Coachee-Zugriff: Coachees sehen nur Inhalte, die der Auftraggeber ausdrücklich freigegeben hat; widerrufene Freigaben entfallen.
• Administrativer Zugang: Zugang zu Datenbank, Schlüsselverwaltung und Dateispeicher nur für befugte Mitarbeitende nach dem Need-to-know-Prinzip.
• Entwicklung: In Entwicklungsumgebungen werden keine echten Patientendaten verwendet.

3. Weitergabe- und Eingabekontrolle

• Transportverschlüsselung: Alle Verbindungen zwischen Browser und Plattform erfolgen über TLS (HTTPS).
• Freigaben: Freigegebene Dokumente für Coachees werden als unveränderliche Schnappschüsse bereitgestellt (Stand zum Zeitpunkt der Freigabe).
• E-Mail: Versand nur transaktionaler Nachrichten (z. B. Einladung, Hinweis auf neue Unterlagen) mit dem für den Zweck erforderlichen Inhalt.

4. Verfügbarkeits- und Belastbarkeitskontrolle

• Datenbank: Produktive Datenbank mit automatischen Backups und Wiederherstellungsmöglichkeit (Point-in-Time-Recovery).
• Betrieb: Skalierbare Cloud-Infrastruktur für einen stabilen Betrieb.
• Fehlerüberwachung: Technische Überwachung des Betriebs; personenbezogene Inhalte werden in Fehlermeldungen nicht im Klartext erfasst.

5. Trennungskontrolle

• Gemeinsame Datenbankinstanz mit strikter logischer Trennung pro Praxis in der Anwendung.
• Getrennte Verschlüsselungsschlüssel pro Praxis für sensible Inhalte und für die Suchfunktion.

6. Integritätskontrolle

• Sensible Inhalte werden mit anerkanntem Verfahren verschlüsselt gespeichert (AES-256) und bei Übertragung in die Speicherung durch Integritätsprüfung geschützt.
• Sicherheitsrelevante Vorgänge und Freigabe-/Lesebestätigungen werden protokolliert, soweit für Nachweis und Betrieb erforderlich.

7. Vertraulichkeit und Verschlüsselung

Was verschlüsselt gespeichert wird

Unter anderem: Klientenstammdaten, Kontaktdaten, Adressen, Notizen, Dokumentinhalte, Blutwerte und hochgeladene Dateien.

Betriebsdaten (z. B. interne Kennungen, Zeitstempel, Status), die für den Betrieb nötig sind und keine direkten Gesundheitsangaben enthalten, können unverschlüsselt vorliegen.

Schlüsselverwaltung

• Verschlüsselung sensibler Daten mit AES-256.
• Getrennte Schlüssel pro Praxis; zentrale Schlüsselverwaltung über Google Cloud KMS in der EU (Hardware Security Module).
• Schlüssel für die Plattform werden regelmäßig rotiert; Zugriff auf die Schlüsselverwaltung ist protokolliert.

Suche

Durchsuchbare Felder (z. B. Klientenname) werden in der Datenbank nicht im Klartext abgelegt, sondern über ein Einwegverfahren pro Praxis abgefragt.

Transport und Speicher — kein Ende-zu-Ende

• TLS schützt die Übertragung zwischen Nutzer und Server.
• Verschlüsselung in der Speicherung schützt vor unberechtigtem Zugriff auf Datenbanken und Backups ohne Schlüssel.
• Es gibt keine Ende-zu-Ende-Verschlüsselung auf dem Endgerät des Nutzers. Die Plattform muss Inhalte serverseitig verarbeiten (Suche, PDF-Erzeugung bei Freigaben, Coachee-Bereich). Der Auftraggeber ist darüber im AVV informiert.

Grenzen

8. Speicherung und Löschung

• Nach Vertragsende werden Auftragsdaten spätestens drei Monate danach gelöscht, sofern keine gesetzlichen Pflichten der Auftragsverarbeiterin entgegenstehen.
• Der Auftraggeber ist dafür verantwortlich, vor Vertragsende einen Export anzufordern; die Plattform stellt hierfür geeignete Funktionen bereit.
• Gesetzliche Aufbewahrungsfristen für Behandlungsunterlagen obliegen dem Auftraggeber als Verantwortlichem.
• Gelöschte Daten in Backup-Kopien werden im Rahmen des üblichen Backup-Zyklus entfernt.

9. Unterauftragsverarbeiter

Eingesetzte Unterauftragsverarbeiter (Hosting, Datenbank, E-Mail, Zahlungsabwicklung u. a.) sind in Anlage 2 aufgeführt: /legal/unterauftragsverarbeiter. Mit diesen bestehen die nach Art. 28 DSGVO erforderlichen Vereinbarungen.

10. Nachweis und Meldung

• Meldung von Datenschutzverletzungen an den Auftraggeber gemäß AVV.
• Auf Anfrage Bereitstellung dieser TOMs und, soweit verfügbar, Sicherheitsnachweise der eingesetzten Dienstleister.

Diese TOMs sind Bestandteil des AVV und werden bei wesentlichen Änderungen versioniert.