Technische und organisatorische Maßnahmen

Anlage 1 zum Vertrag zur Auftragsverarbeitung, nach Art. 32 DSGVO. Stand 8. November 2026.

1. Vertraulichkeit

Zutritt zu Rechenzentren: Mapasso betreibt keine eigenen Server. Datenbank und Anwendung laufen bei den Anbietern in der Liste der Unterauftragsverarbeiter, in Rechenzentren in Frankfurt am Main. Deren Zutrittskontrollen belegen die Anbieter mit eigenen Nachweisen.

Zugang zum Portal:

• Anmeldung mit E-Mail und Passwort (mindestens 12 Zeichen, Abgleich gegen Passwörter aus bekannten Datenlecks, Speicherung nur als scrypt-Hash) oder mit Passkey.
• Zweiter Faktor per Authenticator-App mit Backup-Codes, Pflicht für Inhaber und Admins jeder Organisation.
• E-Mail-Bestätigung vor der ersten Nutzung und vor dem Annehmen von Einladungen.
• Sitzungen höchstens sieben Tage, Cookie nur über HTTPS, HttpOnly und SameSite.
• Begrenzung von Anmelde-, Registrierungs- und Code-Versuchen, Sperre des zweiten Faktors nach fünf Fehlversuchen. Die Zähler liegen in der Datenbank, die IP-Adresse darin nur als Hash mit Geheimnis, gelöscht nach 24 Stunden.
• Erneute Eingabe des Passworts vor sensiblen Aktionen, etwa dem Löschen einer Organisation oder eines Kontos.

Zugriff auf Daten:

• Rollen je Organisation: Inhaber, Admin, Bearbeiten, Nur lesen.
• Mandantentrennung: Jede Abfrage ist an die Organisation des angemeldeten Nutzers gebunden, zusätzlich durch Zeilensicherheit (Row Level Security) in der Datenbank. Die Tabellen der Anmeldung sind für öffentliche Datenbankrollen gesperrt.
• API-Schlüssel nur als SHA-256-Hash gespeichert, mit eng begrenzten Rechten je Schlüssel.
• Zugangsdaten zu Systemen des Kunden und Geheimnisse für Webhooks verschlüsselt mit AES-256-GCM.
• Administrativer Zugriff auf Datenbank und Server nur durch den Inhaber von Mapasso, mit zweitem Faktor bei den Anbietern.

Trennung: Entwicklung und Tests laufen auf getrennten Datenbanken ohne Kundendaten.

2. Integrität

Übertragung: Alle Verbindungen zum Portal, zu den Pass-Seiten und zwischen den Diensten sind mit TLS verschlüsselt. Webhooks an Systeme des Kunden sind mit HMAC-SHA256 signiert.

Eingabe und Änderung: Änderungen an Pässen, Rollen und Einstellungen werden mit Zeitpunkt und Person protokolliert. Veröffentlichte Fassungen bleiben als unveränderliche Versionen erhalten.

Abrufe von außen: Verbindungen zu Systemen des Kunden lesen nur. Zurückschreiben des Pass-Links in ein einzelnes Feld nur, wenn der Kunde es je Verbindung einschaltet, mit Protokoll von Person und Zeitpunkt. Adressen werden vor dem Abruf geprüft, damit kein Zugriff auf interne Netze möglich ist.

3. Verfügbarkeit und Belastbarkeit

• Tägliche verschlüsselte Sicherung der Datenbank in einem Rechenzentrum in der EU, Aufbewahrung höchstens 30 Tage. Die Wiederherstellung wird vor dem Start einmal getestet und danach mindestens einmal im Jahr.
• Veröffentlichte Pässe bleiben über ihre feste Adresse erreichbar, auch wenn ein Pass archiviert wird.
• Abhängigkeiten werden regelmäßig aktualisiert, Sicherheitsupdates der Anmeldung sofort eingespielt.

4. Verfahren zur regelmäßigen Überprüfung

• Prüfung der Unterauftragsverarbeiter vor dem Einsatz und halbjährlich (Sitz, Region, Vertrag, Übermittlungsgrundlage).
• Sicherheitsprüfung vor dem Start und vor größeren Änderungen.
• Vorgehen bei einer Datenpanne: Bewerten, Eindämmen, Meldung an den Kunden nach dem Vertrag zur Auftragsverarbeitung, Dokumentation.
• Löschung nach den Fristen im Vertrag zur Auftragsverarbeitung und in den AGB.