Diese Maßnahmen beschreiben die von TaxRouter für Verarbeitungen unter der Auftragsverarbeitungsvereinbarung unterhaltenen Schutzvorkehrungen. Sie sind risikobasiert und dürfen aktualisiert werden, ohne das Gesamtschutzniveau wesentlich zu verringern.
Die jeweils aktuelle freigegebene Fassung ist unter https://taxrouter.com/legal/technical-organizational-measures veröffentlicht.
1. Governance und Risikomanagement
- Zugewiesene Verantwortung für Sicherheit und Datenschutz.
- Dokumentierte Verfahren für Sicherheit, Zugriff, Vorfälle, Backups, Schwachstellen und Änderungen.
- Regelmäßige Risikoprüfung und Nachverfolgung von Abhilfemaßnahmen.
- Vertraulichkeitspflichten und Sicherheitsbewusstsein für relevante Personen.
- Prüfung wesentlicher Dienstleister vor und während ihres Einsatzes.
2. Physische Zutrittskontrolle
TaxRouter nutzt überwiegend verwaltete Hostinganbieter und betreibt keine eigenen Rechenzentren. Physische Kontrollen für gehostete Infrastruktur werden durch die jeweiligen Hosting- und Rechenzentrumsanbieter erbracht. Zugriffe auf TaxRouter-Büros und Endgeräte werden auf autorisierte Personen beschränkt.
3. Logische Zugangskontrolle
- Eindeutige Nutzer- und Administratorkennungen.
- Rollenbasierte Anwendungsautorisierung und Least-Privilege-Zugriff.
- Mehr-Faktor-Authentifizierung für alle TaxRouter-Anwendungskonten und privilegierte Systeme, soweit unterstützt.
- Passwörter mit mindestens zwölf Zeichen sowie Anforderungen an Groß- und Kleinbuchstaben, Zahl und Sonderzeichen; Prüfung auf Bestandteile der Nutzeridentität; Historie von zehn Passwörtern; Mindestalter von 24 Stunden; Höchstalter von 365 Tagen; und Sperrung nach höchstens zehn fehlgeschlagenen Versuchen.
- Kontrollierte Vergabe, Änderung und Entziehung von Zugriffen.
- Vierteljährliche Prüfung von Personen- und Dienstzugriffen und Entzug innerhalb von 24 Stunden nach Rollen- oder Beschäftigungsänderungen.
- Protokollierung wesentlicher administrativer Zugriffe und Kundendatenzugriffe, soweit technisch angemessen.
4. Datenzugriff und Mandantentrennung
- Autorisierungsprüfungen beschränken Workspace-Daten auf berechtigte Nutzer und Dienstfunktionen.
- Organisations- und Rollenkontext wird in Anwendung und serverseitigen Zugriffspfaden durchgesetzt.
- Produktivzugriffe von Personen sind auf dokumentierten Support-, Sicherheits- oder Betriebsbedarf beschränkt.
- Testdaten sollen synthetisch oder angemessen minimiert und geschützt sein.
5. Übertragung und Verschlüsselung
- HTTPS/TLS schützt unterstützte externe Datenübertragungen.
- Verwaltete Produktivspeicher verwenden, soweit unterstützt und konfiguriert, Verschlüsselung im Ruhezustand.
- Zugangsdaten, API-Token und Geheimnisse werden getrennt vom Quellcode mit beschränktem Zugriff gespeichert.
- Sensible Übertragungen verwenden authentifizierte Schnittstellen und begrenzte Berechtigungen.
6. Eingabe-, Änderungs- und Auditkontrolle
- Wesentliche Konto-, Integrations-, Workflow- und Sicherheitsereignisse werden soweit angemessen protokolliert.
- Sicherheitsereignisse für Systeme, die Amazon-PII verarbeiten, werden mindestens zwölf Monate aufbewahrt, sind von gewöhnlichen Nutzeränderungen ausgeschlossen und werden mindestens zweiwöchentlich überprüft.
- Quellcodeänderungen werden versioniert, geprüft und automatisiert kontrolliert.
- Deployments verwenden kontrollierte Identitäten und umgebungsspezifische Konfiguration.
- Produktivänderungen und Vorfälle können mit verfügbaren Audit-Nachweisen verknüpft werden.
7. Verfügbarkeit und Belastbarkeit
- Verwaltete Infrastruktur umfasst für die gewählten Dienste angemessene Redundanz.
- Für wiederherzustellende Systeme werden Backups unterhalten und vor gewöhnlichem Anwendungszugriff geschützt.
- Monitoring und Alarmierung erfassen wesentliche Dienstausfälle und Sicherheitszustände.
- Wiederherstellungs- und Vorfallverfahren legen Verantwortlichkeiten und Eskalation fest.
- Kapazitäts- und Abhängigkeitsrisiken werden bei Wachstum des Dienstes überprüft.
8. Integrität und sichere Verarbeitung
- Sensible Vorgänge unterliegen Validierungs- und Autorisierungsprüfungen.
- Abhängigkeits-, Code- und Infrastrukturrisiken werden durch automatisierte und manuelle Kontrollen bewertet.
- Schwachstellen werden erfasst und nach Risiko priorisiert.
- Für hochgeladene Inhalte werden soweit relevant Kontrollen gegen Schadsoftware und unsichere Dateien eingesetzt.
9. Zwecktrennung und Datenminimierung
- Kundendaten werden nur für konfigurierte Dienste, dokumentierte Weisungen, Sicherheit, Support und rechtliche Compliance verarbeitet.
- Produktiv-, Entwicklungs- und Testumgebungen verwenden getrennte Konfiguration und Zugriffsgrenzen.
- Erhebung und Aufbewahrung werden nach dokumentiertem Zweck und betrieblicher Erforderlichkeit beschränkt.
- Amazon-Käufer-PII und Quellunterlagen, die dokumentierten steuer- oder handelsrechtlichen Aufbewahrungspflichten unterliegen, werden ausschließlich für diese gesetzlichen Zwecke und zugriffsbeschränkt für die jeweils geltende Frist aufbewahrt.
- Marketplace-Daten werden nicht für Werbung, Weiterverkauf, sachfremdes Profiling oder Fulfillment-Vorgänge verwendet.
10. Löschung, Rückgabe und Datenträger
- Anwendungsfunktionen für Löschung und Export werden im definierten Dienstumfang bereitgestellt.
- Die Löschung nach Vertragsende folgt AVV und dokumentiertem Betriebsverfahren.
- Backup-Kopien laufen in kontrollierten Aufbewahrungszyklen ab und bleiben von gewöhnlicher Nutzung ausgeschlossen.
- Unternehmensgeräte und Datenträger werden vor Wiederverwendung oder Entsorgung soweit anwendbar sicher gelöscht oder kryptografisch bereinigt.
11. Vorfallmanagement
- Ein dokumentierter Prozess umfasst Erkennung, Einstufung, Eindämmung, Untersuchung, Behebung, Wiederherstellung, Kommunikation und Nachbereitung.
- Der Incident-Response-Plan wird alle sechs Monate, nach wesentlichen Änderungen und nach erheblichen Vorfällen überprüft und mindestens jährlich geübt.
- Sicherheits- und Datenschutzvorfälle werden erfasst und nach Schweregrad eskaliert.
- Verletzungen des Schutzes personenbezogener Daten werden auf Meldepflichten geprüft und betroffenen Verantwortlichen nach Maßgabe der AVV unverzüglich gemeldet.
- Amazon wird innerhalb von 24 Stunden nach Erkennung eines Sicherheitsvorfalls informiert, der die Anwendung oder Amazon-Informationen betrifft.
- Nachweise werden soweit angemessen gesichert.
12. Verwaltung von Unterauftragsverarbeitern
- Unterauftragsverarbeiter werden nach Dienst, Sicherheit, Datenschutz, Standort und Vertragsanforderungen ausgewählt.
- Auftragsverarbeitungsverträge und Übermittlungsgarantien werden vor Beginn der erfassten Verarbeitung abgeschlossen.
- Wesentliche Änderungen werden verfolgt und nach der AVV mitgeteilt.
13. Zuordnung von Marketplace- und regulatorischen Kontrollen
Anwendbare Marketplace- und regulatorische Pflichten werden verantworteten Kontrollen und Nachweisen zugeordnet und nicht allein durch dieses Dokument als erfüllt behandelt. Die Zuordnung deckt die für die eingeräumten Rollen geltenden Amazon-SP-API-Anforderungen ab. TaxRouter prüft regelmäßig, ob deutsche BSIG-Anforderungen zur Umsetzung von NIS2 nach Unternehmensgröße, Diensteeinordnung, Konzernbeziehungen oder besonderen Einbeziehungsregeln gelten.