TOM für clockodo.com

Technische und organisatorische Maßnahmen

Die Clockodo GmbH trifft folgende technische und organisatorische Maßnahmen, um bei der Verarbeitung perso nenbezogener Daten bei der Nutzung der SaaS-Lösung clockodo.com ein angemessenes Schutzniveau zu gewähr leisten. Endkundendaten werden in ISO-zertifizierten Rechenzentren von Microsoft in der EU-Datenzone verarbeitet und gespeichert. Die von Microsoft getroffenen technischen und organisatorischen Maßnahmen finden Sie unter https://www.microsoft.com/de-de/trust-center.

Eine Überprüfung der Wirksamkeit der technischen Schutzmaßnamen wird mindestens jährlich durchgeführt. Dabei erfolgt auch eine Beurteilung der Angemessenheit des Schutzniveaus und gegebenenfalls eine Anpassung auf den aktuellen Stand der Technik, beispielsweise eine Umstellung auf neuere Verschlüsselungsverfahren.

Zeitpunkt der letzten Aktualisierung: 09.10.2026

PDF-Download: Technische und organisatorische Maßnahmen

1. Vertraulichkeit

1. Vertraulichkeit

Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu den Datenverarbeitungsanlagen, sowie die Nutzung der Daten verarbeitungssysteme zu verwehren.

Gebäudemanagement

• Gute Ausleuchtung im Außenbereich
• Sicherheitsschlösser an den Gebäudetüren
• Sichere Verwahrung von nicht im Gebrauch befindlichen Schlüsseln
• Nicht Zutrittsberechtigte Personen dürfen sensible Bereiche nur unter Aufsicht betreten
• Gäste und Besucher müssen sich am Empfang melden
• Gäste und Besucher werden immer von Mitarbeitern begleitet
• Externe Dienstleister müssen sich ausweisen, wenn sie das Gelände/Gebäude betreten
• Wartungsarbeiten durch externe Dienstleister werden durch interne Kräfte beaufsichtigt

Personal

• Mitarbeitervereinbarung zum Umgang mit Schlüsseln/Codes etc. (auch im Falle eines Verlustes)
• Etablierter Off-Boarding Prozess u. A. zur Information aller relevanten Abteilungen/Mitarbeiter und Umsetzung aller notwendigen Änderungen bzgl. der ausgegebenen Berechtigungen
• Papierunterlagen werden in den Risiken angemessenen Verwahrmöglichkeiten aufbewahrt
• Mitarbeiteranweisung zur Einhaltung des ""Clean-Desk-Prinzip""
• Regelmäßige Schulung der Mitarbeiter zu relevanten Datenschutz- und IT-Sicherheitsthemen
• Alle Mitarbeiter unterzeichnen eine Verpflichtung auf Vertraulichkeit
• Alle Mitarbeiter unterzeichnen eine IT-Nutzungsvereinbarung
• Alle Mitarbeiter unterzeichnen eine Vereinbarung zur privaten E-Mail- und Internetnutzung
• Alle relevanten Mitarbeiter unterzeichnen eine Richtlinie zum Thema Home- / Mobile-Office

IT

• Double-Opt-In für die Registrierung (begrenzt gültiger Aktivierungslink)
• IT-Geräte sind durch individuelle, dem Stand der Technik entsprechende Authentifizierungsmethoden gesichert
• Anweisung der Mitarbeiter zur aktiven Sperrung der IT-Geräte beim Verlassen des Arbeitsplatzes
• Passwörter werden mit einem geeigneten kryptographischen Verfahren gespeichert
• Zwei- oder Mehr-Faktor-Authentifizierungen bei Verarbeitungen mit hohem Risiko
• Automatische Accountsperrung bei mehrfacher fehlerhafter Passworteingabe
• Werkseitige Authentifizierungsinformationen werden unverzüglich geändert
• Vollverschlüsselung von Computern und Laptops und ext. Datenträgern
• Nutzung eines Mobile Device Management (MDM)
• Zugriffsberechtigungen nach dem ""Need-to-Know"" Prinzip
• Regelmäßige (stichprobenartige) Überprüfung der erteilten Berechtigungen
• Rollenbasierte Zugriffskontrollen (RBAC) auf Nutzerebene, auch innerhalb der KI-Verarbeitung
• Segmentierung von Netzwerken
• Einsatz einer regelmäßig aktualisierten Antivirus-Software auf allen IT-Geräten
• Regelmäßige Schwachstellenscans
• Definierte Löschfristen und automatisierte Löschprozesse
• Vernichtung von Datenträgern gemäß dem Stand der Technik
• Mitführen von Papierunterlagen und Daten (Trägern) außerhalb der Geschäftsräume nur bei zwingender Not wendigkeit gestattet
• Akten- und Datenträgervernichtung gemäß dem Stand der Technik
• Trennung von Produktiv-, Archiv- und Testumgebungen
• Sichere Softwareentwicklung und Auslieferung durch Code-Überprüfung, definierte Freigabeprozesse
• Trennung von Mandantendaten auf Datenbankebene
• Trennung von Mandantendaten in der KI-Verarbeitung: Prompts, Kontext, Caches, Indizes enthalten nur Daten des jeweiligen Mandanten
• IT- und Datenschutzvorfälle werden über einen definierten Prozess ab-gearbeitet
• Fernlöschung von mobilen Devices im Verlustfall
• Unberechtigte Zugriffe auf das Firmennetzwerk weder durch eine ("NextGen-") Firewall verhindert
• Technischer Ausschluss der KI-Verarbeitung sensibler Abwesenheitsgründe, besonderer Kategorien
• Pseudonymisierung von personenbezogenen Daten sofern möglich
• Maskierung sensibler Kundendaten für Clockodo-Service-Mitarbeiter
• Verschlüsselung der Datenbank durch Microsoft

2. Integrität

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

• Transportverschlüsselung (TLS) aller öffentlichen Verbindungen, über die personenbezogene Daten übertragen werden - Webseite per HTTPS-Protokoll
• Fernzugriffe aus unsicheren Netzwerken auf das interne Firmennetz erfolgen grundsätzlich über eine sichere VPN Verbindung
• Umsetzung des HSTS-Standards
• Wo technisch möglich werden individuelle Eingabe- und Löschprotokolle erstellt
• Verschlüsselte, vom Produktivsystem getrennte Backups mit eingeschränktem Zugriff
• Sorgfältige Auswahl der Auftragsverarbeiter, sowie regelmäßige Kontrolle der Unterauftragsverarbeiter über die Auswahl hinaus

3. Verfügbarkeit und Belastbarkeit

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

• Automatische Sicherheitsupdates von Betriebssystem und Softwareanwendungen
• Es existiert ein dem Risiko und dem Stand der Technik angemessenes Backup-Konzept, welches regelmäßig evaluiert und bei Bedarf angepasst wird
• Es existiert ein dem Risiko angemessener Notfallplan