Technische und organisatorische Maßnahmen

Version: 1.6

Diese risikobasierten Maßnahmen beschreiben den nachzuweisenden Mindeststand. Sie werden fortentwickelt, ohne das vereinbarte Schutzniveau wesentlich zu verringern.

1. Organisation und Verantwortlichkeit

• Betreiber und Datenschutzkontakt: V-IZ Video-Integrationszentrum, Inhaber Fuat Karacocuk, info@doliapp.de.
• Dokumentierte Zuständigkeiten für Betrieb, Entwicklung, Kundenbetreuung und Vorfälle.
• Vertraulichkeitsbindung für Personen mit administrativem Zugriff.
• Regelmäßige Überprüfung von Datenflüssen, Anbietern und Freigabebedingungen.

2. Zugang und Berechtigungen

• Prinzip der geringsten Berechtigung, Zugriff nur bei Erforderlichkeit und individuelle widerrufbare Zugänge.
• Mehrfaktor-Authentifizierung, soweit technisch verfügbar.
• Hetzner-Zugang per SSH-Schlüssel; Produktionsschlüssel bleiben serverseitig.
• Der Doli-Echtzeitserver läuft in einem Container ohne Root-Rechte, ohne zusätzliche Linux-Berechtigungen und mit schreibgeschütztem Dateisystem.
• Rotation und sofortige Sperrung bei Kompromittierungsverdacht.

3. Transport- und Kommunikationssicherheit

• HTTPS/TLS und WSS für Übertragungen.
• Einmalige Berechtigungsnachweise und Anbieterzugänge werden nicht in URLs oder Inhaltsprotokollen offengelegt.
• Größen-, Format- und Herkunftsprüfung für Datenrahmen und Dateien.
• Der Doli-Server meldet sich bei Google ohne Dienstkontoschlüssel an: Workload Identity Federation mit X.509-Zertifikaten, die 30 Tage gelten, automatisch erneuert und einzeln per Fingerabdruck freigegeben werden. Das Dienstkonto darf ausschließlich KI-Modelle aufrufen.
• Sonstige API-Schlüssel sind auf erforderlichen Dienst und Projekt beschränkt.

4. Mandanten- und Zugriffstrennung

• Supabase Row Level Security und eigentümergebundene Regeln.
• Private Kontrolltabellen bleiben außerhalb der öffentlichen Daten-API und sind standardmäßig für sämtliche Zugriffe gesperrt.
• Serverseitige Bindung von Nutzer, Sitzung, Berechtigungsnachweis, Kontingent und Vertrag.
• Inhaltsfunktionen erst nach gültiger AVV und aktiver Geschäftsberechtigung.

5. Datenminimierung und Inhaltsgrenze

• Keine persistente Doli-Speicherung von Audio, Transkripten, Übersetzungen, Eingaben, Bildern, Dokumenten oder Antwortentwürfen als Gesprächsverlauf.
• Begrenzte Arbeitsspeicherpuffer werden bei Abschluss, Abbruch, Überlauf, Abmeldung oder sicherer Beendigung verworfen.
• Technisch notwendige temporäre Aufnahmedateien auf dem Gerät werden nach Verarbeitung oder Abbruch gelöscht. Von Nutzern ausgewählte oder ausdrücklich gespeicherte Dateien bleiben unter deren Kontrolle.
• Keine Live Session Resumption (Wiederaufnahme einer Live-Sitzung), kein Search Grounding oder Maps Grounding (Anreicherung durch Such- oder Kartendaten), keine File API (Dateischnittstelle), keine gespeicherten Interactions (Interaktionen) und kein explizites Context Caching (Kontextzwischenspeicherung).
• Gemini Developer Logging (Entwicklerprotokollierung) und Datasets (Datensätze) sowie RevenueCat Rico sind deaktiviert.
• Für das Google-Cloud-Projekt 674711097607 gilt Zero Data Retention nach Googles Vorgaben: genehmigte Ausnahme von der Vertex-Prompt-Protokollierung zur Missbrauchsüberwachung, abgeschalteter Datenzwischenspeicher, keine speichernden Google-Funktionen.

6. Integrität, Missbrauchs- und Kostenkontrolle

• Authentifizierte, einmalige und kurzlebige Berechtigungsnachweise für den Doli-Echtzeitserver (Relay).
• Serverseitige Kontingentprüfung, atomare Reservierung und Nutzungsbuchung.
• Serialisierung geteilter Kontingente über parallele Geräte.
• Harte Größen-, Warteschlangen- und Laufzeitgrenzen; bei Fehlern wird die Verarbeitung sicher gesperrt.
• Die Anbieterkonfiguration wird vom Doli-Echtzeitserver erzeugt; eine vom Endgerät übermittelte Konfiguration wird verworfen.

7. Verfügbarkeit und Wiederherstellung

• Zustandsprüfungen, automatischer Neustart des Dienstcontainers und TLS-Terminierung.
• Sicherungskopien nur notwendiger Metadaten, ohne Doli-Gesprächsinhalte.
• Wiederherstellungs- und Rücksetzverfahren für Datenbank, serverseitige Supabase-Funktionen (Edge Functions) und Doli-Echtzeitserver.
• Sperrendes Verhalten bei widersprüchlichem Sitzungs- oder Vertragszustand.

8. Protokollierung und Überwachung

• Keine Gesprächsinhalte, Eingaben, Übersetzungen, Zugangsschlüssel oder Autorisierungs-Kopfzeilen in Doli-Betriebs- und Sicherheitsprotokollen.
• Nur grobe Fehlerklassen, Zeitpunkte, Status und erforderliche technische Sicherheitsmetadaten.
• Beschränkter Protokollzugriff und Prüfung von Anbieter-Sicherheitshinweisen.
• Gesonderte Google-Richtliniendurchsetzung nach Anlage 1.
• Automatische Benachrichtigung bei jeder Änderung der Google-Anmeldekonfiguration, bei abgelehnten Erneuerungsanfragen und wenn das Server-Zertifikat nicht mehr angenommen wird oder abzulaufen droht.

9. Entwicklung und Änderungskontrolle

• Versionskontrolle, Quelltextprüfung und automatisierte Datenschutz-/Sicherheitstests.
• Migrationen, RLS- und pgTAP-Tests für Datenbankverhalten.
• Typprüfung und Tests vor Änderungen am Doli-Echtzeitserver, an serverseitigen Supabase-Funktionen und an der App.
• Keine Geheimnisse, Produktionsdaten oder privaten Nachweise im Versionsspeicher.

10. Löschung und Ende der Verarbeitung

• Sitzungsende schließt Anbieterverbindungen und verwirft Inhaltspuffer.
• Berechtigte Löschanweisungen werden dokumentiert und weitergegeben.
• Nach Vertragsende Rückgabe oder Löschung sowie Löschung verbleibender Kopien, ausgenommen zwingend aufzubewahrende gesperrte Daten.
• Getrennte zweckbeschränkte Aufbewahrung gesetzlicher Vertragsnachweise.

11. Vorfallmanagement

• Dokumentierter Ablauf für Erkennung, Eingrenzung, Beweissicherung, Wiederherstellung und Nachbereitung.
• Sofortige Sperrung kompromittierter Schlüssel, Konten und Sitzungen.
• Kundeninformation ab Kenntnis ohne Warten auf interne Bestätigung.
• Stufenweise Angaben zu Kategorien und ungefährer Zahl betroffener Personen und Datensätze, Kontakt, Folgen und Maßnahmen, sobald verfügbar.

12. Anbieter- und physische Sicherheit

• Supabase: primäre Projektregion Central EU (Frankfurt), DPA und TIA.
• Hetzner: Doli-Echtzeitserver (Relay) in Nürnberg, abgeschlossener AVV, öffentliche TOMs und Unterauftragsverarbeiterliste; vertrauliche Nachweise bleiben nicht öffentlich.
• Google: Cloud Data Processing Addendum für Vertex-Inhalte; Zero Data Retention für Projekt 674711097607 (genehmigte Protokollierungs-Ausnahme, abgeschalteter Datenzwischenspeicher). Keine Zusage EU-exklusiver Verarbeitung sämtlicher Dienstdaten.
• RevenueCat: DPA und SCCs; Rico deaktiviert.
• STRATO: AVV/TOMs für Vertragsemail; Netlify nur für die öffentliche Website, ohne Formulare.