Technische und Organisatorische Maßnahmen TOM - TRACE.Parser

Diese Technischen und Organisatorischen Maßnahmen (TOM) beschreiben die Sicherheitsvorkehrungen, die TRACE Electricity GmbH als Auftragsverarbeiter gemäß Art. 28 Abs. 3 lit. c DSGVO sowie Anhang II der EU-Standardvertragsklauseln (SCCs, Beschluss 2021/914) für den TRACE.Parser-Dienst (parser.trace-electricity.com) umsetzt. Die Maßnahmen gelten für alle personenbezogenen Daten, die im Rahmen der Auftragsverarbeitung durch TRACE.Parser verarbeitet werden.

KI-Sicherheitsmaßnahmen

Maßnahme	Beschreibung
Datensparsamkeit bei KI-Anfragen	Vor der Übermittlung an KI-APIs werden Produktionsprofildaten auf das analysenotwendige Minimum reduziert. Unternehmensidentifizierende Merkmale werden vor der KI-Anfrage entfernt oder pseudonymisiert (Minimum Necessary Data-Prinzip, Art. 5 Abs. 1 lit. c DSGVO).
Prompt-Injection-Schutz	Alle nutzerseitigen Eingaben, die als Teil einer KI-Anfrage verarbeitet werden, durchlaufen eine Input-Validierung (Sonderzeichen-Escaping, System-Prompt-Isolation). KI-Outputs werden vor der Darstellung in der Anwendung auf Injection-Muster geprüft (Output-Sandboxing). Systemprompts werden von Nutzerprompts technisch isoliert.
API-Key-Management	API-Keys für OpenAI, Anthropic und AWS KI-Dienste sind separat in AWS Secrets Manager gespeichert und werden regelmäßig rotiert. Jeder KI-Anbieter erhält einen eigenen API-Key mit minimalem Scope (Least Privilege). Alle Zugriffe werden in CloudWatch protokolliert.
KI-Anfragen-Protokollierung	Wesentliche KI-Anfragen (ohne personenbezogene Rohwerte) und zugehörige Metadaten (Zeitpunkt, Anbieter, Anfragelänge) werden 30 Tage protokolliert und können auf Anfrage des Verantwortlichen zur Prüfung bereitgestellt werden.
Anonymisierung für KI-Verbesserung	Produktionsprofile, die zur Verbesserung der TRACE.Parser-Analysequalität verwendet werden, werden vorab irreversibel anonymisiert: (1) Entfernung aller unternehmensidentifizierenden Merkmale (Name, ID, Standort, Anschlusskennung), (2) Aggregation auf Zeitintervall-Ebene, (3) k-Anonymität (k≥5): jeder Datenpunkt ist von mindestens 4 anderen nicht unterscheidbar, (4) Differential Privacy: statistische Rauschverfahren. Kunden können der Nutzung ihrer Daten widersprechen: privacy@trace-electricity.com.

Anlage B zum Auftragsverarbeitungsvertrag TRACE.Parser: Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO, die TRACE Electricity GmbH als Auftragsverarbeiter für den TRACE.Parser-Dienst umsetzt. Es ist Bestandteil des Auftragsverarbeitungsvertrages (AVV-Parser).

• Serverinfrastruktur wird ausschließlich in AWS-Rechenzentren betrieben (ISO 27001, SOC 2 Typ II zertifiziert). AWS gewährleistet umfassende physische Zugangskontrolle inkl. Mehrfach-Authentifizierung, Videoüberwachung und Sicherheitspersonal.
• Kein physischer Serverzugang durch TRACE-Mitarbeiter. TRACE Electricity GmbH verwaltet die Infrastruktur ausschließlich über verschlüsselte Remote-API-Zugänge.
• Cloudflare CDN- und Edge-Infrastruktur mit globalen, ISO-zertifizierten Points of Presence (PoPs); physische Sicherheit liegt vollständig bei Cloudflare.
• Bürozugang der TRACE-Räumlichkeiten in Hamburg gesichert durch elektronisches Schließsystem mit personenbezogenen Zugangsdaten und Zugangsprotokoll.

• Zwei-Faktor-Authentifizierung (2FA/MFA) ist für alle internen Systeme, Cloud-Konsolen (AWS, Cloudflare) und Entwicklungsplattformen (GitHub, Vercel) verpflichtend.
• Passwort-Manager (1Password oder Bitwarden) für alle Mitarbeiter; Mindestanforderungen: 16 Zeichen, Komplexitätsregel (Groß-/Kleinschreibung, Sonderzeichen, Ziffern). Keine Mehrfachverwendung von Passwörtern.
• Rollenbasierte Zugriffskontrolle (RBAC) nach dem Prinzip der minimalen Berechtigungen (Least Privilege). Zugriffsrechte werden bei Rollenwechsel oder Austritt unverzüglich entzogen.
• Automatischer Sitzungs-Timeout nach 30 Minuten Inaktivität in allen internen Verwaltungsoberflächen.
• Alle Zugangsdaten werden ausschließlich verschlüsselt gespeichert; Klartext-Passwörter werden an keiner Stelle persistiert.

• Datenbankzugriffe erfolgen ausschließlich über authentifizierte und autorisierte API-Endpunkte. Keine direkten Datenbankverbindungen aus dem Frontend.
• Alle Mitarbeiterzugriffe auf produktive Systeme und Kundendaten werden protokolliert und sind auditierbar (Audit Trails).
• Die Produktionsdatenbank ist ohne direkten Entwicklerzugriff konfiguriert. Datenbankzugänge in Produktionsumgebungen erfordern einen gesonderten, dokumentierten Freigabeprozess.
• Staging- und Produktionsumgebungen sind strikt voneinander getrennt. Produktionsdaten werden nicht in Testumgebungen verwendet.
• Datenbankpasswörter und API-Schlüssel werden ausschließlich in AWS Secrets Manager gespeichert und automatisch rotiert.
• Konkrete Maßnahmen zur Zugriffskontrolle: Multi-Faktor-Authentifizierung (MFA) für alle Administratorzugänge zur AWS-Infrastruktur; rollenbasierte Zugriffskontrolle (RBAC) via AWS Identity and Access Management (IAM); Least-Privilege-Prinzip (minimale Berechtigungen je Rolle); regelmäßige IAM-Policy-Reviews (quartalsweise); Protokollierung aller Administratorzugriffe via AWS CloudTrail.

• Alle Datenübertragungen zwischen Endnutzer und TRACE.Parser werden ausschließlich via TLS 1.2 oder TLS 1.3 verschlüsselt. Ältere Protokollversionen (SSL, TLS 1.0, TLS 1.1) sind deaktiviert.
• HTTPS wird erzwungen (HTTP Strict Transport Security, HSTS mit langer max-age). HTTP-Anfragen werden automatisch auf HTTPS umgeleitet.
• Alle internen API-Kommunikationen (Backend-zu-Backend, Microservice-Kommunikation) erfolgen ausschließlich über verschlüsselte HTTPS-Verbindungen.
• E-Mail-Versand von Systembenachrichtigungen und transaktionalen E-Mails erfolgt via AWS SES mit DKIM-, SPF- und DMARC-Signaturen, um Integrität und Authentizität sicherzustellen.
• Kundendaten werden nicht über unverschlüsselte Kommunikationskanäle (z. B. unverschlüsselte E-Mail, FTP) übermittelt.

• Alle sicherheitsrelevanten Aktionen - insbesondere Änderungen an Nutzerdaten, Konfigurationen und Berechtigungen - werden in Audit-Logs protokolliert. Jeder Log-Eintrag enthält Zeitstempel, ausführende Person (Nutzer-ID), betroffenes Objekt und Art der Änderung.
• Protokolldaten werden in AWS CloudWatch gespeichert. Bei erhöhtem Schutzbedarf können Logs mittels S3 Object Lock (COMPLIANCE-Modus) gegen nachträgliche Manipulation gesichert werden.
• Aufbewahrung der Audit-Logs: mindestens 12 Monate rollierend (Rechtsgrundlage: Art. 6(1)(c) DSGVO i.V.m. steuerrechtlichen Nachweispflichten gem. §§ 147 AO, 257 HGB; Systemlogs ohne gesetzliche Aufbewahrungspflicht werden nach 90 Tagen gelöscht).

• Mit dem Verantwortlichen ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abgeschlossen. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich auf Grundlage und im Rahmen dieses AVV.
• Subunternehmer werden nur nach schriftlicher Genehmigung durch den Verantwortlichen eingesetzt (gemäß AVV § 8 — Inanspruchnahme von Unterauftragsverarbeitern). Aktuelle Sub-Auftragsverarbeiter: Amazon Web Services EMEA SARL (Hosting, Datenbank, E-Mail via SES), Cloudflare Germany GmbH (CDN, DDoS-Schutz), Okta EMEA Limited (Auth0) (1 Beckett Way, Dublin 12, Irland; Nutzerauthentifizierung, EU-Tenant eu.auth0.com, AWS eu-west-1; kein Drittlandtransfer).
• Weisungen des Verantwortlichen werden dokumentiert und vollständig ausgeführt. TRACE Electricity GmbH informiert den Verantwortlichen unverzüglich, sofern eine Weisung nach Einschätzung von TRACE gegen datenschutzrechtliche Vorschriften verstößt.
• Mitarbeiter mit Zugang zu personenbezogenen Daten sind auf Vertraulichkeit verpflichtet und wurden über die datenschutzrechtlichen Anforderungen belehrt.

• Tägliche automatisierte Datenbankbackups via AWS RDS Automated Backups. Backup-Aufbewahrungsdauer: 35 Tage.
• Point-in-Time-Recovery (PITR) für die Produktionsdatenbank ist aktiviert. Wiederherstellung auf jeden beliebigen Zeitpunkt innerhalb des Aufbewahrungsfensters möglich.
• Upload-Datei-Retention und Datenlöschung: Temporäre Upload-Dateien (CSV-Produktionsprofile): Werden nach Abschluss der Analyse (max. 24 Stunden nach Upload) automatisch von den Verarbeitungsservern gelöscht. Persistente Analyse-Ergebnisse: Gelöscht innerhalb von 30 Tagen nach Vertragsende. Technische Umsetzung: Automatisierte Löschroutinen via AWS Lambda mit Protokollierung.
• Cloudflare als DDoS-Schutz (Layer 3/4/7) und Hochverfügbarkeits-CDN. Ausfälle einzelner Edge-Standorte werden automatisch durch das globale Netzwerk kompensiert.
• Kontinuierliches Monitoring des Systemzustands via AWS CloudWatch mit automatischen Alarmen. Kritische Alerts werden via PagerDuty an den Bereitschaftsdienst eskaliert.
• Backups werden verschlüsselt gespeichert und regelmäßig auf Wiederherstellbarkeit getestet.

• Einzelregion-Betrieb: TRACE.Parser wird ausschließlich in AWS eu-central-1 (Frankfurt) betrieben. Geografische Redundanz oder automatischer regionaler Failover sind nicht vorgesehen.
• Horizontale Skalierung: Upload-Verarbeitungs-Queue (AWS SQS) entkoppelt CSV-Uploads von der Analyseverarbeitung und verhindert Systemüberlastung bei hohem Upload-Volumen.
• Manuelle Wiederherstellung: Im Störungsfall erfolgt die Systemwiederherstellung manuell durch das Betriebsteam anhand dokumentierter Wiederherstellungsverfahren. Kein formales RTO oder RPO ist definiert.

• Kundendaten verschiedener Auftraggeber werden logisch getrennt gespeichert und verarbeitet (Tenant-ID-basierte Isolation auf Datenbankebene). Ein gegenseitiger Datenzugriff verschiedener Auftraggeber ist technisch ausgeschlossen.
• Produktions- und Testdaten sind strikt voneinander getrennt. Produktionsdaten werden nicht für Entwicklungs- oder Testzwecke verwendet.
• Marketing-Daten (Google Analytics 4, LinkedIn Insight Tag) werden auf der TRACE-Marketingwebsite erhoben und sind vollständig von den im Rahmen der Auftragsverarbeitung verarbeiteten Daten getrennt. Eine Zusammenführung findet nicht statt.

• Datenbankfelder mit besonders sensiblen personenbezogenen Daten werden zusätzlich auf Anwendungsebene mit AES-256 verschlüsselt (Encryption at Rest auf Feldebene).
• AWS EBS-Volumes (virtuelle Festplatten der Anwendungsserver) sind vollständig mit AES-256 verschlüsselt. Schlüsselverwaltung via AWS Key Management Service (KMS).
• Datenbankbackups werden verschlüsselt gespeichert (AES-256, AWS KMS).
• S3-Bucket-Verschlüsselung: AWS S3-Buckets für gespeicherte Produktionsprofile sind serverseitig verschlüsselt (SSE-KMS / AES-256 via AWS Key Management Service). Zugriff nur über verschlüsselte HTTPS-Verbindungen. Bucket-Policies verhindern öffentlichen Zugriff (S3 Block Public Access für alle Buckets aktiviert). S3 Object Lock ist für Audit-Log-Buckets im COMPLIANCE-Modus aktiviert, um nachträgliche Manipulationen zu verhindern.
• Nutzerpasswörter werden ausschließlich als bcrypt-Hash mit angemessenem Work Factor gespeichert. Klartext-Passwörter werden zu keinem Zeitpunkt persistiert oder in Logs ausgegeben.

• Alle administrativen Zugriffe auf AWS-Konsole und -Ressourcen erfolgen über AWS VPN oder AWS SSO mit MFA (Region eu-central-1, Frankfurt)
• AWS Security Groups und Network ACLs beschränken den Netzwerkzugriff auf Produktionssysteme nach dem Allowlist-Prinzip (Least-Privilege-Netzwerk)
• RDS-Datenbankinstanzen befinden sich in einem privaten Subnetz ohne direkten Internetzugang
• AWS WAF (Web Application Firewall) ist vor API-Endpunkten aktiv (Schutz vor OWASP Top 10)
• DDoS-Schutz über AWS Shield Standard
• Verschlüsselung aller Datenbankverbindungen (TLS 1.2/1.3)
• Regelmäßige Überprüfung von Netzwerkkonfigurationen (mindestens quartalsweise)
• Netzwerksegmentierung: Produktions-, Test- und Entwicklungsumgebungen sind strikt getrennt

• Regelmäßige Sicherheitsscans (automatisiert, mindestens wöchentlich via AWS Inspector / Dependency-Scanner)
• Patching kritischer Schwachstellen innerhalb von 72 Stunden nach Veröffentlichung
• Patching wichtiger Schwachstellen innerhalb von 14 Tagen
• Abhängigkeits-Scanning aller eingesetzten Libraries (Software Composition Analysis, SCA)

Schwachstellenanalysen

Scope: Alle produktiven Systeme des TRACE.Parser (AWS eu-central-1), einschließlich Web-APIs, Upload-Endpoints, Analyse-Engine und Datenbankzugriffe.

Methodik: Automatisierte Sicherheitsscans (SAST im CI/CD-Prozess, Dependency-Scanning via SCA). Manuelle Code-Reviews bei sicherheitsrelevanten Änderungen.

Remediation: Kritische Schwachstellen (CVSS ≥ 7.0): Behebung innerhalb von 72 Stunden. Hohe Schwachstellen (CVSS 4.0–6.9): Behebung innerhalb von 30 Tagen.

Dokumentation: Befunde werden intern dokumentiert und nachverfolgt (Art. 5(2) DSGVO Rechenschaftspflicht).

• Pflichtschulung Datenschutz und Informationssicherheit für alle Mitarbeiter (mindestens jährlich)
• Phishing-Sensibilisierung und regelmäßige Phishing-Simulationen (mindestens halbjährlich)
• Vertraulichkeitsverpflichtung (schriftlich) für alle Mitarbeiter mit Datenzugang
• Einweisung in Incident-Response-Verfahren
• Dokumentation aller durchgeführten Schulungen

• Tägliche automatisierte Datenbank-Snapshots in AWS eu-central-1 (Frankfurt). Kein Cross-Region-Backup oder Replikation in weitere AWS-Regionen.
• Kein automatischer Failover und keine geografisch redundante Infrastruktur vorgesehen. Wiederherstellung erfolgt manuell durch das Betriebsteam.
• Kein formales Recovery Time Objective (RTO) oder Recovery Point Objective (RPO) definiert.
• Incident-Response-Plan mit definierten Eskalationsstufen

• Ein internes Incident-Response-Verfahren ist dokumentiert und allen betroffenen Mitarbeitern bekannt. Es regelt Erkennung, Eskalation, Eindämmung, Behebung und Nachbereitung von Sicherheitsvorfällen.
• Im Fall einer Verletzung des Schutzes personenbezogener Daten wird der Verantwortliche (Auftraggeber) unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, informiert (Art. 33 Abs. 2 DSGVO). Die Meldung gegenüber der zuständigen Aufsichtsbehörde obliegt dem Verantwortlichen.
• Kontakt für Datenpannen und datenschutzrelevante Sicherheitsvorfälle: privacy@trace-electricity.com (primär) und contact@trace-electricity.com (technische Eskalation). Meldungen an den Verantwortlichen (Auftraggeber) erfolgen stets über privacy@trace-electricity.com gemäß AVV-Parser § 12.
• Sicherheitsvorfälle werden dokumentiert und im Rahmen der Nachbereitung auf Ursachen analysiert. Erkenntnisse fließen in die Weiterentwicklung der Sicherheitsmaßnahmen ein.

KI-gestützte Analyse und Modelltraining

TRACE Electricity GmbH verarbeitet im Rahmen des TRACE.Parser-Dienstes hochgeladene Produktionsdaten (CSV-Dateien) ausschließlich für die vertraglich vereinbarte Analyse. Für die KI-gestützte Analyse kommen die folgenden Anbieter als Unterauftragsverarbeiter zum Einsatz: OpenAI, LLC (San Francisco, USA), Anthropic PBC (San Francisco, USA) und AWS KI-Dienste über Amazon Web Services EMEA SARL (Luxemburg). Eine Nutzung dieser Daten für das Training von KI- oder Machine-Learning-Modellen findet nur auf Grundlage einer gesonderten, jederzeit widerruflichen Einwilligung des Auftraggebers gemäß Art. 6 Abs. 1 lit. a DSGVO statt. Diese Einwilligung ist freiwillig und hat keinen Einfluss auf die Erbringung des Analysedienstes. Der Auftraggeber kann seine Einwilligung jederzeit per E-Mail an privacy@trace-electricity.com widerrufen.

Geltung und Aktualisierung

Diese TOM gelten als verbindliche Anlage zum Auftragsverarbeitungsvertrag (AVV) zwischen TRACE Electricity GmbH und dem jeweiligen Verantwortlichen für den TRACE.Parser-Dienst. TRACE Electricity GmbH ist berechtigt, die TOMs anzupassen, sofern das Sicherheitsniveau dabei nicht abgesenkt wird. Wesentliche Änderungen werden dem Verantwortlichen vorab mitgeteilt.

Die hier beschriebenen Maßnahmen entsprechen dem Stand der Technik zum Zeitpunkt der Erstellung und werden fortlaufend überprüft und bei Bedarf angepasst.

Stand: Juni 2026  |  Version 1.0  |  Gilt als Anlage zum Auftragsverarbeitungsvertrag AVV - TRACE.Parser