demi
+49 176 4294 8750

Technische und Organisatorische Maßnahmen (TOM)

demi Technologies GmbH | Anlage zum Co-Development-Vertrag | Stand: 3. Mai 2026

1. Verarbeitungstätigkeiten

VerarbeitungstätigkeitZweck
Plattformbetrieb & Hochverfügbarkeit
  • - Hosting & Speicherung (DB, Dateien, Back-ups)
  • - Ausführung von Anwendungs-/Backend-Logik (inkl. KI-Inference, API-Requests)
  • - E-Mail, Kalender & sonstige API-Integrationen
  • - Transaktionale Messaging-Services (System-E-Mails, Web-Hooks, Push-Notifications)
  • - Datenreplikation & Region-Fail-over
Sicherstellung von Funktion, Performance, Hochverfügbarkeit und Debugging der Plattform
Sicherheit, Authentifizierung & Compliance
  • - Nutzer-Auth / SSO / Token-Handling
  • - Protokollierung & Monitoring (Logs, Metriken)
  • - Verschlüsselung & Schlüsselverwaltung (KMS, TLS, Key-Rotation)
  • - Content-/Malware-Scanning, Abuse-/Rate-Limiting-Logs
  • - Consent-/E-Preferences-Management
Zugriffskontrolle, IT-Security, Betrugsprävention, Nachweis technischer/organisatorischer Maßnahmen & Marketing-Compliance
Support & Betroffenenrechte
  • - Support-/Ticketsystem
  • - DSAR-Workflow-Protokollierung
  • - Datenexport & API-Bereitstellung (JSON/CSV, Webhooks)
Fehlerbehebung, Nutzersupport, Datenportabilität, Erfüllung/Dokumentation von Betroffenenrechten (Art. 15–20 DSGVO)
Abrechnung & Vertragsdurchführung
  • - Rechnungs- & Nutzungsdaten-Aggregation (API-Metering, Sitzungszähler)
  • - Lizenz- & Rollenverwaltung
Verbrauchsbasierte Abrechnung, Audit-Trails, Vertragsdurchführung
Produktentwicklung & Analytics
  • - Nutzungs- & Telemetrie-Analyse (aggregiert/anon.)
  • - Usability-Tests, Benchmarking, KI-Modell-Training
Produktverbesserung, Kapazitätsplanung, Qualitätssicherung
Incident-Response & Rechtsnachweis
  • - Incident-/Forensik-Snapshots, Log-Kopien
  • - Passiv verschlüsselte Back-ups
Aufklärung von Security-Incidents, Rechtsverteidigung, Nachweisführung (Art. 33/34 DSGVO)
Hosting & Speicherung von Datenbanken, Dateien, BackupsBetrieb der Plattformdienste, Datensicherheit, Debugging
Recherche- und Analysefunktionen (Customer Search, Channel Search)
  • - Abfrage öffentlicher Quellen
  • - KI-gestützte Aggregation und Aufbereitung
  • - Temporäre Speicherung innerhalb der Plattforminstanz
Markt- und Unternehmensrecherche; Unterstützung der Vertriebsaktivitäten des Co-Development-Partners
Datenanreicherung (Enrichment)
  • - Übermittlung vom Co-Development-Partner hochgeladener Kontakt- und Unternehmensdaten an spezialisierte Drittdienste (Sub-Prozessoren)
  • - Ergänzung um Kontaktdaten, Funktionsbezeichnungen, Unternehmenszugehörigkeit und Validierungsergebnisse
  • - Rückführung der angereicherten Daten in die Plattforminstanz
Qualifizierung und Anreicherung von Geschäftskontakten; Unterstützung der Vertriebs- und Marketingaktivitäten des Co-Development-Partners; E-Mail-Validierung zur Vermeidung fehlerhafter Zustellungen

2. TOM-Maßnahmen gemäß Art. 32 DSGVO

MaßnahmenkategorieBeschreibung
ZutrittskontrolleMaßnahmen zur Verhinderung des unbefugten physischen Zutritts zu Datenverarbeitungsanlagen (Rechenzentren, Serverräume)
ZugangskontrolleMaßnahmen zur Verhinderung unbefugter Nutzung der Datenverarbeitungssysteme (Authentifizierung, Passwort-Policies, MFA, SSO)
ZugriffskontrolleMaßnahmen zur Sicherstellung, dass Berechtigte nur auf die ihnen zugeordneten Daten zugreifen können (RBAC, Least Privilege, Audit-Logs)
WeitergabekontrolleMaßnahmen zur Verhinderung unbefugten Lesens, Kopierens, Veränderns oder Löschens bei elektronischer Übertragung (TLS 1.2+, VPN, Verschlüsselung)
EingabekontrolleMaßnahmen zur Nachvollziehbarkeit, wer wann welche Daten eingegeben, verändert oder gelöscht hat (Audit-Trails, Versionierung)
AuftragskontrolleMaßnahmen zur Sicherstellung, dass personenbezogene Daten nur entsprechend den Weisungen des Auftraggebers verarbeitet werden (DPA, Sub-Prozessor-Kontrolle)
VerfügbarkeitskontrolleMaßnahmen zum Schutz personenbezogener Daten gegen Zerstörung oder Verlust (Backups, Redundanz, Disaster Recovery, Region-Failover)
TrennbarkeitMaßnahmen zur getrennten Verarbeitung von zu unterschiedlichen Zwecken erhobenen Daten (Mandantentrennung, logische Datentrennung pro Tenant)
PseudonymisierungSofern möglich: Verarbeitung personenbezogener Daten in einer Weise, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer Person zugeordnet werden können
VerschlüsselungVerschlüsselung personenbezogener Daten at rest (AES-256) und in transit (TLS 1.2+); Key Management via KMS
Belastbarkeit der SystemeFähigkeit der Systeme, bei technischen Störungen die Verfügbarkeit und den Zugang zu personenbezogenen Daten rasch wiederherzustellen
Regelmäßige ÜberprüfungVerfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen (Penetration Tests, Security Audits)