Anlage zum Auftragsverarbeitungsvertrag: Technische und organisatorische Maßnahmen (TOM)

Diese Übersicht beschreibt die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO für die Taveloq-Plattform. Sie ist verbindliche Anlage zum Auftragsverarbeitungsvertrag zwischen Taveloq und dem Kunden.

1. Vertraulichkeit§

Zugangs- und Zugriffskontrolle§

Authentifizierung über einen professionell verwalteten Auth-Dienst; Passwörter werden nicht im eigenen Anwendungsschema gespeichert. Passwort-Policy mit Mindestanforderungen und Stärkeanzeige bei der Vergabe. Rollen- und rechtebasiertes Berechtigungskonzept (Owner, Admin, Manager, Personal) mit serverseitiger Prüfung der Rollenhierarchie bei Mitgliedschaftsänderungen. Standortbezogene Einschränkung von Personalzugriffen. Serverseitige Berechtigungsprüfung bei jeder privilegierten Operation (nicht nur durch Ausblenden in der Benutzeroberfläche). Sicherheitsbezogene Cookie-Einstellungen für angemeldete Sitzungen und kurzlebige Vorgänge.

Trennungskontrolle (Mandantentrennung)§

Strikte technische Datentrennung auf Datenbankebene zwischen den einzelnen Gastronomiebetrieben, zusätzlich durch Prüfungen auf Anwendungsebene abgesichert. Sicherheitskritische Funktionen sind nicht direkt, sondern nur über kontrollierte Schnittstellen erreichbar. Eine vom Mandantenbetrieb getrennte, ausschließlich manuell vergebene Plattformbetreiber-Rolle mit eigenem Auditprotokoll ohne Zugangsdaten oder Klarnamen. Gast-Sitzungstoken werden nicht im Klartext gespeichert.

Pseudonymisierung und Datenminimierung§

Missbrauchsschutzdaten werden pseudonymisiert verarbeitet; es findet kein geräteübergreifendes Fingerprinting statt und es wird keine dauerhafte Fingerprinting-Datenbank aufgebaut. Direkte Gast-/Sitzungsdaten (u. a. Gastname) werden 48 Stunden nach Abschluss der Bestellung neutralisiert oder anonymisiert. Dies umfasst auch gastseitig befüllbare Freitextfelder, insbesondere Sonderwünsche und Service-Nachrichten. Bestellfakten bleiben rein statistisch ohne Personenbezug erhalten. Technische Security-/Missbrauchsdaten werden grundsätzlich binnen 30 Tagen gelöscht oder anonymisiert (Verlängerung nur bei konkreten Sicherheitsvorfällen). Interne Betriebsprotokolle sind auf das für die Fehlerdiagnose Notwendige begrenzt und enthalten keine Klartext-Inhalte, Passwörter oder Kontaktdaten.

2. Integrität§

Durchgängige Transportverschlüsselung (TLS/HTTPS) sowie zusätzliche Transportsicherheits-Vorgaben in der Produktionsumgebung. Restriktive technische Sicherheitsrichtlinien gegen gängige Web-Angriffe (u. a. Skript-Einschleusung). Eingeschränkte Browser-Berechtigungen (Kamera, Mikrofon, Standort, Zahlungs-APIs deaktiviert). Strikte Eingabevalidierung an den Systemgrenzen und serverseitige Durchsetzung der Geschäftsregeln. Schutz vor doppelter Verarbeitung bei Gastbestellungen und Zahlungsvorgängen; ein serverseitig geführter Bestellstatus ist maßgeblich. Ratebegrenzungen gegen automatisierten Missbrauch an mehreren Stellen der Plattform.

Automatisierte Prüfung von Gast-Freitexten (Anzeigename, Servicenachricht) auf unzulässige Inhalte.

3. Verfügbarkeit und Belastbarkeit§

Betrieb auf verwalteter, professionell betriebener Infrastruktur (Hosting- und Datenbank-Anbieter). Echtzeit-Aktualisierungen dienen der Nutzererfahrung; maßgebliche Zustände werden serverseitig stets erneut geprüft. Ausfälle von reiner Protokollierung/Monitoring beeinträchtigen das Ergebnis einer Kern-Operation nicht. Begrenzung von Upload-Größen und gleichzeitiger Verarbeitung, um Systemüberlastungen vorzubeugen.

4. Wiederherstellbarkeit§

Datenbank-Backups und die Infrastruktur zur Wiederherstellung werden durch den professionellen Datenbank-Anbieter nach dessen gängigen Industriestandards bereitgestellt und verwaltet.

5. Verfahren zur regelmäßigen Überprüfung und Bewertung§

Regelmäßige automatisierte Tests (Unit- und E2E-Tests), u. a. mit gezielten Prüfungen der Mandantentrennung und des Missbrauchsschutzes vor jedem Deployment. Wesentliche Architekturentscheidungen sind intern dokumentiert.

Strikte Versionsverwaltung mit Code-Review vor der Zusammenführung in die Hauptlinie (Production).