Anlage Technische und organisatorische Maßnahmen

nach Art. 32 DSGVO

fino doccycle GmbH
Bürgermeister-Brunner Straße 15, 34117 Kassel

Fassung: 01.03.2026

§ 1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1. Zutrittskontrolle

Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren.

Die Büroräume von fino stellen keinen Produktionsstandort im eigentlichen Sinn dar. Die produktive Anwendung läuft ausschließlich in ISO-27001 zertifizierten Rechenzentren.

(a) fino Büroräume

Die Räumlichkeiten von fino sind durch nachfolgende Maßnahmen ausreichend gegen unbefugten Zutritt abgesichert:

(b) Rechenzentrum

Die Rechenzentren sind insbesondere durch nachfolgende Maßnahmen ausreichend gegen unbefugten Zutritt abgesichert:

1.2. Zugangskontrolle

Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können.

Es erfolgt eine authentifizierte Benutzeridentifikation, insbesondere dadurch, dass:

1.3. Zugriffskontrolle

Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Die unerlaubte Tätigkeit in Datenverarbeitungssystemen außerhalb eingeräumter Berechtigungen wird im Besonderen verhindert, dadurch, dass:

1.4. Trennungsgebot

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.

1.5. Pseudonymisierung (Art. 32 Abs. 1 lit. a DS-GVO; Art. 25 Abs. 1 DS-GVO)

Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen;

Die Verarbeitung personenbezogener Daten unter Beachtung der Vorgaben der Pseudonymisierung gemäß Art. 32 Abs. 1 a DSGVO wird insbesondere durch folgende Maßnahmen sichergestellt:

§ 2 Integrität (Art. 32 Abs. 1 lit. b DS-GVO)

2.1. Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.

Die Aspekte der Weitergabekontrolle personenbezogener Daten wird hierdurch umgesetzt, dass:

2.2. Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.

(a) Produkte ohne Datenspeicherung

fino verarbeitet die Daten des Kunden, ohne diese persistent zu speichern. Während der Bearbeitung durch den Kunden sind die Daten nur auf seinem Eingabegerät verfügbar. Mitarbeiter haben zu keinem Zeitpunkt Zugriff auf persönlichen Daten und können solche entsprechend nicht ändern. Mit Abschluss bzw. Beauftragung des Vorgangs werden die erforderlichen Daten temporär in eine Warteschlange für eine etwaige automatisierte Weiterverarbeitung beziehungsweise Brief-/Fax-/Mailversand gehalten. Nach Zweckerreichung, beispielsweise erfolgreicher Bearbeitung und Versand aller Dokumente, werden sämtliche Dokumente und die Auftragsdaten im automatisierten Verfahren gelöscht.

(b) Produkte mit Datenspeicherung

Bei Produkten, die eine Speicherung der Daten benötigen, ist jede Eingabe, Änderung und Löschung durch die Applikation eindeutig einem User-Login zugeordnet. Eine Protokollierung von allen administrativen Zugriffen schreibender Art auf Datenbankebene ist aktiv, wobei hier der Zeitstempel sowie die Aktion protokolliert wird.

Die Protokolldaten der jeweiligen Anwendungen werden in einem zentralen Logging System gespeichert (Sematext).

§ 3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind und rasch wiederhergestellt werden können.

Die Datenhaltung innerhalb einer Cloud-Architektur ist mehrfach redundant gesichert und von der Sache selbst ausfallsicher. Es werden tägliche Backups als Festplattensnapshot in mehrfacher Spiegelung erstellt, die jederzeit als Ersatz für ein laufendes System zurückgespielt werden können. Die Systeme werden fortlaufend überwacht, und bei entsprechenden Lastspitzen Maßnahmen zur Lastverteilung durchgeführt. Sofern ein Server ausfällt, wird dieser mit Hilfe von self-healing neu gestartet.

§ 4 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)

Stand: 01. März 2026