Technische und Organisatorische Maßnahmen

gemäß Art. 32 DSGVO

Stand: März 2026

Die folgenden technischen und organisatorischen Maßnahmen werden von der Aficial UG (haftungsbeschränkt), vertreten durch Halit Caner Ertürk (Geschäftsführer), zum Schutz personenbezogener Daten umgesetzt. Sie sind Bestandteil des Auftragsverarbeitungsvertrags.

1. Zutrittskontrolle

Maßnahmen, die Unbefugten den Zutritt zu Datenverarbeitungsanlagen verwehren.

• Aficial betreibt keine eigenen physischen Server. Die gesamte Infrastruktur ist cloud-basiert.
• Datenbanken werden bei Supabase (AWS eu-central-1, Frankfurt) gehostet. Physischer Zugang zu den Rechenzentren wird durch AWS-Sicherheitsmaßnahmen gewährleistet (ISO 27001, SOC 2).
• Hosting erfolgt über Vercel (Edge Network), ebenfalls mit zertifizierten Rechenzentren.
• Der Zugang zu Verwaltungssystemen erfolgt ausschließlich über gesicherte Endgeräte mit Passwörtern und Bildschirmsperre.

2. Zugangskontrolle

Maßnahmen, die verhindern, dass Unbefugte Datenverarbeitungssysteme nutzen können.

• Authentifizierung über Supabase Auth mit E-Mail/Passwort und OAuth (Google)
• Passwörter werden mittels bcrypt gehasht gespeichert – Klartextpasswörter werden nie gespeichert
• Optionale Zwei-Faktor-Authentifizierung (2FA) für Nutzerkonten
• Automatische Sitzungsablaufzeiten und Token-Rotation
• Zugang zur Datenbank ausschließlich über verschlüsselte Verbindungen mit API-Schlüsseln
• Admin-Zugang zu Supabase und Vercel mit individuellen Konten und 2FA
• Rate Limiting durch Upstash Redis zum Schutz vor Brute-Force-Angriffen

3. Zugriffskontrolle

Maßnahmen, die gewährleisten, dass nur auf die Daten zugegriffen werden kann, für die eine Zugriffsberechtigung besteht.

• Row Level Security (RLS) in Supabase: Jede Datenbankabfrage wird automatisch auf die Daten der jeweiligen Organisation eingeschränkt
• Rollenbasiertes Zugriffskonzept: Inhaber, Admin, Mitarbeiter mit unterschiedlichen Berechtigungen
• API-Endpunkte prüfen Organisationszugehörigkeit bei jedem Request
• Strikte Trennung zwischen Kundendaten verschiedener Organisationen auf Datenbankebene
• Minimalprinzip: Dienste erhalten nur die für ihre Funktion notwendigen Berechtigungen

4. Weitergabekontrolle

Maßnahmen, die gewährleisten, dass Daten bei der Übertragung nicht unbefugt gelesen oder kopiert werden können.

• Sämtliche Datenübertragungen erfolgen ausschließlich über TLS 1.2+ / HTTPS
• Verschlüsselung ruhender Daten mit AES-256-GCM (Supabase / AWS)
• API-Kommunikation mit Drittanbietern (Anthropic, Google, Resend) ausschließlich über HTTPS mit authentifizierten API-Schlüsseln
• Keine unverschlüsselte Datenweitergabe
• E-Mail-Versand über Resend mit TLS-Verschlüsselung und DKIM-Signierung

5. Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich überprüft werden kann, ob und von wem Daten eingegeben, verändert oder entfernt worden sind.

• Audit Trail: Alle wesentlichen Aktionen werden mit Zeitstempel, Nutzer-ID und Aktion protokolliert
• E-Mail-Verarbeitungshistorie mit vollständigem Verlauf (gesendet, empfangen, KI-generiert)
• Datenbankeinträge mit created_at und updated_at Zeitstempeln
• Versionierung von Wissensdatenbank-Einträgen
• Server-Logs mit Zugriffsinformationen (90 Tage Aufbewahrung)

6. Auftragskontrolle

Maßnahmen, die gewährleisten, dass Daten nur gemäß den Weisungen des Auftraggebers verarbeitet werden.

• Abschluss von Auftragsverarbeitungsverträgen mit allen Unterauftragsverarbeitern
• Regelmäßige Überprüfung der Einhaltung der vertraglichen Vorgaben
• Dokumentierte Weisungen des Auftraggebers (Konfiguration der Plattform)
• Der Überprüfungsmodus ermöglicht manuelle Kontrolle aller KI-generierten Antworten vor dem Versand

7. Verfügbarkeitskontrolle

Maßnahmen, die gewährleisten, dass Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

• Vercel: Redundantes Edge Network mit automatischem Failover und globaler Verfügbarkeit
• Supabase: Automatische tägliche Backups der Datenbank mit Point-in-Time Recovery
• AWS-Infrastruktur mit Multi-AZ-Replikation für die Datenbank
• Upstash Redis: Redundante Instanzen in der EU
• Monitoring und Alerting für Systemausfälle
• Disaster-Recovery-Konzept mit definierten Wiederherstellungszeiten

8. Trennungskontrolle

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden.

• Multi-Tenant-Architektur mit strikter Datentrennung durch org_id auf Datenbankebene
• Row Level Security (RLS) Policies stellen sicher, dass Nutzer nur auf Daten ihrer eigenen Organisation zugreifen können
• Separate API-Schlüssel und OAuth-Tokens pro Organisation
• Logische Trennung von Produktions-, Staging- und Entwicklungsumgebungen
• E-Mail-Postfächer werden organisationsbezogen verwaltet und sind nicht organisationsübergreifend einsehbar

9. Regelmäßige Überprüfung

Die technischen und organisatorischen Maßnahmen werden regelmäßig überprüft und bei Bedarf an den aktuellen Stand der Technik angepasst. Änderungen werden dokumentiert und in diesem Dokument aktualisiert.