Technische und Organisatorische Maßnahmen TOM - TRACE.App

Diese Technischen und Organisatorischen Maßnahmen (TOM) beschreiben die Sicherheitsvorkehrungen, die TRACE Electricity GmbH als Verantwortliche gemäß Art. 32 DSGVO für den TRACE.App-Dienst umsetzt. Die Maßnahmen dienen dem Schutz der personenbezogenen Daten der Nutzerinnen und Nutzer der TRACE.App und entsprechen dem Stand der Technik.

Anlage B zum Auftragsverarbeitungsvertrag TRACE.App: Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO, die TRACE Electricity GmbH als Auftragsverarbeiter für den TRACE.App-Dienst umsetzt. Es ist Bestandteil des Auftragsverarbeitungsvertrages (AVV-App).

• Serverinfrastruktur wird ausschließlich in AWS-Rechenzentren betrieben (ISO 27001, SOC 2 Typ II zertifiziert). AWS gewährleistet umfassende physische Zugangskontrolle inkl. Mehrfach-Authentifizierung, Videoüberwachung und Sicherheitspersonal.
• Kein physischer Serverzugang durch TRACE-Mitarbeiter. TRACE Electricity GmbH verwaltet die Infrastruktur ausschließlich über verschlüsselte Remote-API-Zugänge.
• Cloudflare CDN- und Edge-Infrastruktur mit globalen, ISO-zertifizierten Points of Presence (PoPs); physische Sicherheit liegt vollständig bei Cloudflare.
• Bürozugang der TRACE-Räumlichkeiten in Hamburg gesichert durch elektronisches Schließsystem mit personenbezogenen Zugangsdaten und Zugangsprotokoll.

• Zwei-Faktor-Authentifizierung (2FA/MFA) ist für alle internen Systeme, Cloud-Konsolen (AWS Management Console) und Entwicklungsplattformen (GitHub) verpflichtend.
• Multi-Faktor-Authentifizierung (MFA): Für alle Administrator-Accounts (B2B-Unternehmensadministratoren) ist MFA verpflichtend aktiviert. Für reguläre Endnutzer-Accounts wird MFA dringend empfohlen und kann vom Administrator verpflichtend aktiviert werden.
• Passwort-Manager (1Password oder Bitwarden) für alle Mitarbeiter; Mindestanforderungen: 16 Zeichen, Komplexitätsregel (Groß-/Kleinschreibung, Sonderzeichen, Ziffern). Keine Mehrfachverwendung von Passwörtern.
• Rollenbasierte Zugriffskontrolle (RBAC) nach dem Prinzip der minimalen Berechtigungen (Least Privilege). Zugriffsrechte werden bei Rollenwechsel oder Austritt unverzüglich entzogen.
• Automatischer Sitzungs-Timeout nach 30 Minuten Inaktivität in allen internen Verwaltungsoberflächen.
• Alle Zugangsdaten werden ausschließlich verschlüsselt gespeichert; Klartext-Passwörter werden an keiner Stelle persistiert.

• Datenbankzugriffe erfolgen ausschließlich über authentifizierte und autorisierte API-Endpunkte. Keine direkten Datenbankverbindungen aus dem Frontend.
• Alle Mitarbeiterzugriffe auf produktive Systeme und Kundendaten werden protokolliert und sind auditierbar (Audit Trails).
• Die Produktionsdatenbank ist ohne direkten Entwicklerzugriff konfiguriert. Datenbankzugänge in Produktionsumgebungen erfordern einen gesonderten, dokumentierten Freigabeprozess.
• Staging- und Produktionsumgebungen sind strikt voneinander getrennt. Produktionsdaten werden nicht in Testumgebungen verwendet.
• Datenbankpasswörter und API-Schlüssel werden ausschließlich in AWS Secrets Manager gespeichert und automatisch rotiert. Datenbankzugriffsrechte werden über AWS IAM Policies und ressourcenbasierte Richtlinien nach dem Least-Privilege-Prinzip durchgesetzt.

• Alle Datenübertragungen zwischen Endnutzer und TRACE.App werden ausschließlich via TLS 1.2 oder TLS 1.3 verschlüsselt. Ältere Protokollversionen (SSL, TLS 1.0, TLS 1.1) sind deaktiviert.
• HTTPS wird erzwungen (HTTP Strict Transport Security, HSTS mit langer max-age). HTTP-Anfragen werden automatisch auf HTTPS umgeleitet.
• Alle internen API-Kommunikationen (Backend-zu-Backend, Microservice-Kommunikation) erfolgen ausschließlich über verschlüsselte HTTPS-Verbindungen.
• Push-Benachrichtigungen an Nutzergeräte werden über verschlüsselte Verbindungen (AWS SNS oder vergleichbarer Dienst) zugestellt. Transaktionale E-Mails werden mit DKIM-, SPF- und DMARC-Absicherung versendet.
• Kundendaten werden nicht über unverschlüsselte Kommunikationskanäle (z. B. unverschlüsselte E-Mail, FTP) übermittelt.

• Alle sicherheitsrelevanten Aktionen - insbesondere Änderungen an Nutzerdaten, Konfigurationen und Berechtigungen - werden in Audit-Logs protokolliert. Jeder Log-Eintrag enthält Zeitstempel, ausführende Person (Nutzer-ID), betroffenes Objekt und Art der Änderung.
• Audit-Logs werden in AWS CloudWatch Logs gespeichert (Aufbewahrung: mindestens 12 Monate). Authentifizierungsereignisse (Login, Logout, Token-Refresh) werden durch Auth0 (EU-Tenant) protokolliert und für 30 Tage aufbewahrt. Kein Transfer in Drittländer.
• Aufbewahrung der Audit-Logs: mindestens 12 Monate rollierend (Rechtsgrundlage: Art. 6(1)(c) DSGVO i.V.m. steuerrechtlichen Nachweispflichten gem. §§ 147 AO, 257 HGB; Systemlogs ohne gesetzliche Aufbewahrungspflicht werden nach 90 Tagen gelöscht).

• Rollenklarstellung: TRACE Electricity GmbH handelt im Rahmen des Auftragsverarbeitungsvertrags (AVV) als Auftragsverarbeiter gem. Art. 4 Nr. 8 DSGVO. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers (Verantwortlicher gem. Art. 4 Nr. 7 DSGVO). Für Endnutzer (B2C) der TRACE.App agiert TRACE Electricity GmbH als Verantwortliche gem. Art. 4 Nr. 7 DSGVO auf Grundlage der Datenschutzerklärung der TRACE.App. Für B2B-Unternehmenskonten (AVV-Geltungsbereich) gilt diese TOM als Anlage B zum AVV im Rahmen der Auftragsverarbeitung gem. Art. 4 Nr. 8 DSGVO.
• Mit allen eingesetzten Auftragsverarbeitern sind Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO abgeschlossen. Aktuelle Auftragsverarbeiter: Amazon Web Services EMEA SARL (Primärinfrastruktur, Backend, Datenbank, Hosting), Okta EMEA Limited / Auth0 (Nutzerauthentifizierung, EU-Tenant), Cloudflare Germany GmbH (CDN, DDoS-Schutz).
• Auftragsverarbeiter werden sorgfältig ausgewählt und nur eingesetzt, wenn sie hinreichende Garantien für die Einhaltung der DSGVO-Anforderungen bieten (Art. 28 Abs. 1 DSGVO).
• Mitarbeiter mit Zugang zu personenbezogenen Daten sind auf Vertraulichkeit verpflichtet und wurden über die datenschutzrechtlichen Anforderungen belehrt.

• Tägliche automatisierte Backups auf AWS S3 (verschlüsselt, Versioning aktiviert). Backup-Aufbewahrungsdauer: 35 Tage.
• Point-in-Time-Recovery (PITR) für die Produktionsdatenbank ist aktiviert. Wiederherstellung auf jeden beliebigen Zeitpunkt innerhalb des Aufbewahrungsfensters möglich.
• AWS-Datenbankdienste werden als vollständig verwaltete Dienste in AWS eu-central-1 (Frankfurt) betrieben.
• Cloudflare als DDoS-Schutz (Layer 3/4/7) und Hochverfügbarkeits-CDN. Ausfälle einzelner Edge-Standorte werden automatisch durch das globale Netzwerk kompensiert.
• Kontinuierliches Monitoring des Systemzustands via AWS CloudWatch mit automatischen Alarmen und SNS-Benachrichtigungen. Kritische Alerts werden an den Bereitschaftsdienst eskaliert.
• Backups werden verschlüsselt gespeichert und regelmäßig auf Wiederherstellbarkeit getestet.

• Einzelregion-Betrieb: TRACE.App wird ausschließlich in AWS eu-central-1 (Frankfurt) betrieben. Geografische Redundanz oder automatischer regionaler Failover sind nicht vorgesehen.
• Horizontale Skalierung: Auto-Scaling-Gruppen passen die Kapazität automatisch an Lastspitzen an, um Überlastungen zu vermeiden.
• Manuelle Wiederherstellung: Im Störungsfall erfolgt die Systemwiederherstellung manuell durch das Betriebsteam anhand dokumentierter Wiederherstellungsverfahren. Kein formales RTO oder RPO ist definiert.

• Nutzerdaten werden logisch durch nutzerspezifische IDs isoliert. Zugriff auf fremde Nutzerdaten ist durch AWS IAM Policies und ressourcenbasierte Zugriffsregeln auf Datenbankebene technisch ausgeschlossen.
• Produktions- und Testdaten sind strikt voneinander getrennt. Produktionsdaten werden nicht für Entwicklungs- oder Testzwecke verwendet.
• Marketing-Daten (Google Analytics 4, LinkedIn Insight Tag) werden auf der TRACE-Marketingwebsite erhoben und sind vollständig von den im Rahmen der Auftragsverarbeitung verarbeiteten Daten getrennt. Eine Zusammenführung findet nicht statt.

• Datenbankfelder mit besonders sensiblen personenbezogenen Daten werden zusätzlich auf Anwendungsebene mit AES-256 verschlüsselt (Encryption at Rest auf Feldebene).
• Datenbankdaten werden im Ruhezustand (Encryption at Rest) automatisch mit AES-256 verschlüsselt. Schlüsselverwaltung erfolgt über AWS Key Management Service (AWS KMS).
• Datenbankbackups auf AWS S3 werden verschlüsselt gespeichert (AES-256, AWS KMS).
• Nutzerpasswörter werden ausschließlich als bcrypt-Hash mit angemessenem Work Factor gespeichert. Klartext-Passwörter werden zu keinem Zeitpunkt persistiert oder in Logs ausgegeben.

• Ein internes Incident-Response-Verfahren ist dokumentiert und allen betroffenen Mitarbeitern bekannt. Es regelt Erkennung, Eskalation, Eindämmung, Behebung und Nachbereitung von Sicherheitsvorfällen.
• Im Fall einer Verletzung des Schutzes personenbezogener Daten wird der Verantwortliche (Auftraggeber) unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, informiert (Art. 33 Abs. 2 DSGVO). Die Meldung gegenüber der zuständigen Aufsichtsbehörde obliegt dem Verantwortlichen.
• Kontakt für Datenpannen und datenschutzrelevante Sicherheitsvorfälle: privacy@trace-electricity.com (primär) und contact@trace-electricity.com (technische Eskalation). Meldungen an den Verantwortlichen (Auftraggeber) erfolgen stets über privacy@trace-electricity.com gemäß AVV-App § 10.
• Sicherheitsvorfälle werden dokumentiert und im Rahmen der Nachbereitung auf Ursachen analysiert. Erkenntnisse fließen in die Weiterentwicklung der Sicherheitsmaßnahmen ein.

• Einsatz von Virtual Private Cloud (VPC) mit strikter Security-Group-Konfiguration auf AWS
• Web Application Firewall (WAF) zum Schutz vor OWASP Top 10 Angriffen
• DDoS-Schutz über AWS Shield Standard
• Verschlüsselung aller Datenbankverbindungen (TLS 1.2/1.3)
• Regelmäßige Überprüfung von Netzwerkkonfigurationen (mindestens quartalsweise)
• Netzwerksegmentierung: Produktions-, Test- und Entwicklungsumgebungen sind strikt getrennt

• Regelmäßige Sicherheitsscans (automatisiert, mindestens wöchentlich via AWS Inspector / Dependency-Scanner)
• Patching kritischer Schwachstellen innerhalb von 72 Stunden nach Veröffentlichung
• Patching wichtiger Schwachstellen innerhalb von 14 Tagen
• Abhängigkeits-Scanning aller eingesetzten Libraries (Software Composition Analysis, SCA)

Penetrationstests und Schwachstellenanalysen

Scope: Alle produktiven Systeme der TRACE.App-Infrastruktur (AWS eu-central-1), einschließlich Web-APIs, Authentifizierungsschichten (Auth0, EU-Tenant), Datenbankzugriffe und Netzwerkkonfigurationen.

Methodik: Anlehnung an OWASP Testing Guide (v4.2) und BSI-Grundschutz-Kompendium. Tests umfassen: OWASP Top 10, API-Sicherheitstests (OWASP API Security Top 10), Authentifizierungs- und Autorisierungstests.

Intervall: Mindestens einmal jährlich sowie nach wesentlichen Infrastrukturänderungen (Major Releases, Infrastrukturmigration).

Durchführung: Externer, qualifizierter Sicherheitsdienstleister (OSCP-zertifiziert oder gleichwertig) oder interne Sicherheitsprüfung mit gleichwertiger Qualifikation.

Remediation: Kritische Schwachstellen (CVSS ≥ 7.0): Behebung innerhalb von 72 Stunden. Hohe Schwachstellen (CVSS 4.0-6.9): Behebung innerhalb von 30 Tagen.

Dokumentation: Prüfberichte werden intern für 3 Jahre aufbewahrt und sind Aufsichtsbehörden auf Anfrage vorzulegen (Art. 5(2) DSGVO Rechenschaftspflicht).

• Pflichtschulung Datenschutz und Informationssicherheit für alle Mitarbeiter (mindestens jährlich)
• Phishing-Sensibilisierung und regelmäßige Phishing-Simulationen (mindestens halbjährlich)
• Vertraulichkeitsverpflichtung (schriftlich) für alle Mitarbeiter mit Datenzugang
• Einweisung in Incident-Response-Verfahren
• Dokumentation aller durchgeführten Schulungen

• Tägliche automatisierte Datenbank-Snapshots in AWS eu-central-1 (Frankfurt). Kein Cross-Region-Backup.
• Kein automatischer Failover und keine geografisch redundante Infrastruktur vorgesehen. Wiederherstellung erfolgt manuell durch das Betriebsteam.
• Kein formales Recovery Time Objective (RTO) oder Recovery Point Objective (RPO) definiert.
• Incident-Response-Plan mit definierten Eskalationsstufen

Datennutzung und KI-Training

Die TRACE.App verwendet keine KI-Dienste oder Machine-Learning-Modelle Dritter. Nutzerdaten werden nicht für das Training von KI- oder Machine-Learning-Modellen verwendet. Alle Verarbeitungen erfolgen auf Basis deterministischer Algorithmen und regelbasierter Auswertungen.

DSFA-Schwellenprüfung (Art. 35 DSGVO)

TRACE Electricity GmbH hat gemäß Art. 35 Abs. 1 DSGVO und der DSK-Positivliste (Datenschutzkonferenz, Oktober 2019) eine Schwellenprüfung für die Verarbeitung im Rahmen des TRACE.App-Dienstes durchgeführt. Die Verarbeitung von Energieverbrauchsdaten im B2B-Kontext (Unternehmen als Betroffene) überschreitet die Schwelle der Datenschutz-Folgenabschätzungspflicht nach aktuellem Erkenntnisstand nicht, da keine sensiblen Datenkategorien nach Art. 9 DSGVO verarbeitet werden und die Betroffenen juristische Personen sind. Die Prüfung wird bei wesentlichen Änderungen der Verarbeitungstätigkeit wiederholt.

Geltung und Aktualisierung

Diese TOM dokumentieren die technischen und organisatorischen Maßnahmen von TRACE Electricity GmbH gemäß Art. 32 DSGVO für den TRACE.App-Dienst (als Verantwortliche für B2C-Nutzer sowie als Auftragsverarbeiterin gem. Art. 4 Nr. 8 DSGVO für B2B-Unternehmenskonten im Rahmen des AVV-App). TRACE Electricity GmbH überprüft und aktualisiert die TOMs regelmäßig sowie bei wesentlichen Änderungen der Infrastruktur oder der Bedrohungslage.

Die hier beschriebenen Maßnahmen entsprechen dem Stand der Technik zum Zeitpunkt der Erstellung und werden fortlaufend überprüft und bei Bedarf angepasst.

Stand: Juni 2026