Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 28.09.2026

Beschreibung der technischen und organisatorischen Maßnahmen der NFM Recycling GmbH für die Plattform NFM+ nach Art. 32 DSGVO. Dieses Dokument ist zugleich Anlage 2 zum Vertrag zur Auftragsverarbeitung.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

• Betrieb ausschließlich in einem professionellen Rechenzentrum des Hosting-Anbieters in Frankfurt am Main; physische Zutrittskontrolle, Videoüberwachung und Besucherregelungen durch den Anbieter gemäß dessen Auftragsverarbeitungsvertrag.
• Keine Speicherung von Produktivdaten auf Arbeitsplatzrechnern; Büroräume des Anbieters sind verschlossen [an tatsächliche Büroorganisation anpassen].

1.2 Zugangskontrolle (Systeme)

• Serverzugang nur per SSH mit Schlüssel-Authentifizierung für namentlich bestimmte Administratoren [Passwort-Login für SSH deaktivieren und bestätigen].
• Plattform-Anmeldung mit individueller Kennung; Passwörter werden ausschließlich als bcrypt-Hash (Kostenfaktor 12) gespeichert.
• Zwei-Faktor-Authentifizierung (TOTP) verfügbar; für Administratoren verpflichtend. TOTP-Geheimnisse werden mit AES-256-GCM verschlüsselt, Wiederherstellungscodes nur gehasht gespeichert.
• Begrenzung von Anmeldeversuchen (serverseitig 10 Versuche je 15 Minuten und IP; zusätzlich clientseitige Sperre) und allgemeine Anfragebegrenzung der Schnittstelle.
• Sitzungstoken mit kurzer Laufzeit (1 Stunde), übertragen in einem HttpOnly-, Secure-, SameSite=Strict-Cookie; Invalidierung aller Sitzungen bei Änderung der Anmeldedaten (Versionskennung).
• Einladungslinks einmalig verwendbar und auf 48 Stunden befristet; nur ihr Hash wird gespeichert.

1.3 Zugriffskontrolle (Daten)

• Rollen- und rechtebasiertes Berechtigungskonzept (Rollen-Rechte-Matrix); jede Rolle sieht nur die für sie bestimmten Funktionen und Daten.
• Mandantentrennung auf Datenbankebene durch PostgreSQL Row-Level Security; der Mandantenkontext wird je Anfrage serverseitig gesetzt.
• Hochgeladene Dateien werden nur nach Berechtigungsprüfung ausgeliefert; Dateinamen werden serverseitig vergeben.
• Administrative Zugriffe auf die Datenbank nur durch berechtigte Administratoren und nur, soweit für Betrieb oder Support erforderlich.

1.4 Trennungskontrolle

• Eigene Datenbank und eigener Datenbanknutzer für NFM+; eigener Systemdienst und eigene Webserver-Konfiguration, getrennt von anderen auf dem Server betriebenen Anwendungen.
• Trennung von Produktiv- und Entwicklungs-/Testumgebung; Testdaten sind fiktiv.
• Logische Trennung der Kundendaten nach Mandanten (siehe 1.3).

1.5 Pseudonymisierung und Verschlüsselung

• Transportverschlüsselung ausschließlich über HTTPS (TLS 1.2/1.3) mit HSTS (2 Jahre, inkl. Subdomains); HTTP wird auf HTTPS umgeleitet.
• Kennungen im Sicherheitsprotokoll werden mit HMAC-SHA-256 pseudonymisiert.
• Datensicherungen werden vor der Ablage mit GPG (asymmetrisch) verschlüsselt.
• Öffentliche Prüfcodes sind zufällig erzeugt und nicht aus Kundendaten ableitbar.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Verschlüsselte Übertragung (siehe 1.5); Sicherheits-Header (X-Content-Type-Options, X-Frame-Options DENY, Referrer-Policy, Permissions-Policy für Kamera/Standort nur für die eigene Herkunft, Cross-Origin-Opener-Policy).
• Weitergabe an Dritte nur an die in Anlage 3 zum AVV genannten Unterauftragsverarbeiter bzw. an Beteiligte einer Übergabekette im erforderlichen Umfang.
• Keine Zwischenspeicherung von Schnittstellen-, Berichts- oder Prüfseiteninhalten im Offline-Cache des Browsers.

2.2 Eingabekontrolle

• Nur fortschreibbares Prüfjournal aller fachlich relevanten Änderungen mit Akteur, Rolle, Mandant, Zeitpunkt, alten und neuen Werten, IP-Adresse und User-Agent; Einträge per SHA-256 verkettet, Integrität prüfbar.
• Hochgeladene Dateien erhalten eine SHA-256-Prüfsumme; Berichte werden mit einem kryptografischen Prüfwert versehen.
• Serverseitige Eingabevalidierung aller Schnittstellenaufrufe.
• Geräte- und Serverzeit von Standortpunkten werden getrennt gespeichert, damit nachträglich eingefügte Punkte erkennbar sind.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Tägliche, verschlüsselte Sicherung von Datenbank und hochgeladenen Dateien mit Prüfsummen; Aufbewahrung 30 Tage.
• Kopie der Sicherungen an einem zweiten, räumlich getrennten Speicherort [Offsite-Ziel einrichten und benennen – derzeit nur auf demselben Server].
• Wiederherstellungsziel: Datenverlust höchstens 24 Stunden (RPO), Wiederanlauf innerhalb von 2 Stunden (RTO).
• Anfragebegrenzung für öffentliche Prüfseiten (30 Anfragen/Minute je IP) und für die Schnittstelle zum Schutz vor Überlastung.
• Automatischer Neustart des Anwendungsdienstes durch den Systemdienst-Manager; Rechenzentrum mit redundanter Strom- und Netzanbindung (Hosting-Anbieter).
• Offline-Fähigkeit der App-Oberfläche für Einsätze mit schwacher Netzverbindung.

4. Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

• Dokumentiertes Wiederherstellungsverfahren; monatliche Wiederherstellungsübung mit Protokoll.
• Versionierte Bereitstellung der Anwendung; Rückkehr zur vorherigen Version möglich.

5. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Datenschutz-Managementprozess: Verzeichnis von Verarbeitungstätigkeiten, jährliche Überprüfung dieser TOM, Prüfung neuer Funktionen auf Datenschutz vor Freigabe (Privacy by Design, Art. 25 DSGVO).
• Prozess zur Meldung von Datenschutzverletzungen (Erkennung, Bewertung, Meldung binnen 72 Stunden an die Aufsichtsbehörde bzw. unverzüglich an Auftraggeber).
• Automatisierte Prüfung der Integrität der Protokollketten; Überprüfung auf bekannte Sicherheitslücken in Abhängigkeiten vor jedem Release.
• Verpflichtung aller Beschäftigten und Dienstleister mit Datenzugriff auf Vertraulichkeit; Schulung zum Datenschutz.
• Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO; Prüfung ihrer Garantien vor Beauftragung.

Teknik ve İdari Tedbirler (TOM – Md. 32 GDPR)

Güncelleme tarihi: 28.09.2026

Bu metin Almanca aslının Türkçe çevirisidir. Aralarında bir farklılık olması hâlinde Almanca metin esas alınır.

NFM Recycling GmbH’nin NFM+ platformu için GDPR md. 32 uyarınca aldığı teknik ve idari tedbirlerin açıklaması. Bu belge aynı zamanda Veri İşleme Sözleşmesinin 2 numaralı ekidir.

1. Gizlilik (GDPR md. 32/1-b)

1.1 Fiziksel giriş kontrolü

• İşletim yalnızca barındırma sağlayıcısının Frankfurt am Main’deki profesyonel veri merkezinde yapılır; fiziksel giriş kontrolü, video gözetimi ve ziyaretçi kuralları sağlayıcının veri işleme sözleşmesine göre sağlayıcı tarafından yürütülür.
• Canlı veriler iş istasyonlarında saklanmaz; Sağlayıcının ofisleri kilitlidir [fiilî ofis düzenine göre uyarlayın].

1.2 Sistemlere erişim kontrolü

• Sunucu erişimi yalnızca adı belirli yöneticiler için anahtar tabanlı SSH ile [SSH parola girişini kapatın ve teyit edin].
• Platforma kişisel kimlikle giriş; parolalar yalnızca bcrypt özeti (maliyet faktörü 12) olarak saklanır.
• İki aşamalı doğrulama (TOTP) mevcuttur; yöneticiler için zorunludur. TOTP anahtarları AES-256-GCM ile şifrelenir, kurtarma kodları yalnızca özet olarak saklanır.
• Giriş denemelerinin sınırlandırılması (sunucu tarafında IP başına 15 dakikada 10 deneme; ayrıca istemci tarafında kilit) ve arayüzde genel istek sınırlaması.
• Kısa ömürlü oturum belirteci (1 saat), HttpOnly, Secure, SameSite=Strict çerezle iletilir; giriş bilgileri değiştiğinde tüm oturumlar geçersiz kılınır (sürüm göstergesi).
• Davet bağlantıları tek kullanımlık ve 48 saatle sınırlıdır; yalnızca özetleri saklanır.

1.3 Verilere erişim kontrolü

• Rol ve yetki tabanlı yetkilendirme (rol-yetki matrisi); her rol yalnızca kendisi için belirlenen işlevleri ve verileri görür.
• PostgreSQL Row-Level Security ile veritabanı düzeyinde müşteri (tenant) ayrımı; müşteri bağlamı her istekte sunucu tarafında belirlenir.
• Yüklenen dosyalar yalnızca yetki kontrolünden sonra sunulur; dosya adları sunucu tarafında verilir.
• Veritabanına yönetici erişimi yalnızca yetkili yöneticilerce ve yalnızca işletim veya destek için gerekli olduğu ölçüde yapılır.

1.4 Ayrım kontrolü

• NFM+ için ayrı veritabanı ve ayrı veritabanı kullanıcısı; sunucuda çalışan diğer uygulamalardan ayrı sistem servisi ve ayrı web sunucusu yapılandırması.
• Canlı ortam ile geliştirme/test ortamının ayrılması; test verileri kurgusaldır.
• Müşteri verilerinin müşterilere göre mantıksal ayrımı (bkz. 1.3).

1.5 Takma adlandırma ve şifreleme

• Yalnızca HTTPS (TLS 1.2/1.3) ve HSTS (2 yıl, alt alan adları dâhil) ile iletim şifrelemesi; HTTP, HTTPS’e yönlendirilir.
• Güvenlik kaydındaki kimlikler HMAC-SHA-256 ile takma adlandırılır.
• Yedekler kaydedilmeden önce GPG ile (asimetrik) şifrelenir.
• Açık doğrulama kodları rastgele üretilir ve müşteri verilerinden türetilemez.

2. Bütünlük (GDPR md. 32/1-b)

2.1 Aktarım kontrolü

• Şifreli iletim (bkz. 1.5); güvenlik başlıkları (X-Content-Type-Options, X-Frame-Options DENY, Referrer-Policy, kamera/konumu yalnızca kendi kaynağa açan Permissions-Policy, Cross-Origin-Opener-Policy).
• Üçüncü kişilere aktarım yalnızca Veri İşleme Sözleşmesi Ek 3’teki alt veri işleyenlere veya bir devir-teslim zincirinin taraflarına gerekli ölçüde yapılır.
• Arayüz, rapor ve doğrulama sayfası içerikleri tarayıcının çevrimdışı önbelleğine alınmaz.

2.2 Girdi kontrolü

• İş açısından önemli tüm değişikliklerin; işlemi yapan, rol, müşteri, zaman, eski ve yeni değerler, IP adresi ve user-agent ile yalnızca sonuna eklenebilen denetim günlüğü; kayıtlar SHA-256 ile zincirlenir, bütünlük doğrulanabilir.
• Yüklenen dosyalara SHA-256 sağlama değeri verilir; raporlara kriptografik doğrulama değeri eklenir.
• Tüm arayüz çağrılarında sunucu tarafında girdi doğrulaması.
• Konum noktalarının cihaz ve sunucu zamanı ayrı saklanır; böylece sonradan eklenen noktalar fark edilir.

3. Erişilebilirlik ve dayanıklılık (GDPR md. 32/1-b ve c)

• Veritabanının ve yüklenen dosyaların sağlama değerli, şifreli günlük yedeği; 30 gün saklama.
• Yedeklerin fiziksel olarak ayrı ikinci bir konumda kopyası [offsite hedefi kurun ve belirtin – şu an yalnızca aynı sunucuda].
• Kurtarma hedefi: en fazla 24 saatlik veri kaybı (RPO), 2 saat içinde yeniden çalışma (RTO).
• Aşırı yüke karşı açık doğrulama sayfaları (IP başına dakikada 30 istek) ve arayüz için istek sınırlaması.
• Uygulama servisinin sistem servis yöneticisiyle otomatik yeniden başlatılması; yedekli enerji ve ağ bağlantısına sahip veri merkezi (barındırma sağlayıcısı).
• Zayıf bağlantılı sahalar için uygulama arayüzünün çevrimdışı çalışabilmesi.

4. Geri yüklenebilirlik (GDPR md. 32/1-c)

• Belgelenmiş geri yükleme prosedürü; tutanaklı aylık geri yükleme tatbikatı.
• Uygulamanın sürümlü dağıtımı; önceki sürüme dönüş mümkündür.

5. Düzenli gözden geçirme süreci (GDPR md. 32/1-d)

• Veri koruma yönetim süreci: işleme faaliyetleri kaydı, bu tedbirlerin yıllık gözden geçirilmesi, yeni işlevlerin yayından önce veri koruma açısından incelenmesi (tasarımdan itibaren veri koruma, GDPR md. 25).
• Veri ihlallerinin bildirilmesi süreci (tespit, değerlendirme, denetim makamına 72 saat içinde, talimat verene gecikmeksizin bildirim).
• Kayıt zincirlerinin bütünlüğünün otomatik kontrolü; her sürümden önce bağımlılıklarda bilinen güvenlik açıklarının taranması.
• Verilere erişen tüm çalışan ve hizmet sağlayıcılara gizlilik taahhüdü; veri koruma eğitimi.
• İş kontrolü: alt veri işleyenler yalnızca GDPR md. 28 sözleşmesiyle; görevlendirmeden önce güvencelerinin incelenmesi.