Marzipan Datenverarbeitungsvertrag

Großgeschriebene Begriffe, die hier nicht anderweitig definiert sind, haben die ihnen im DPA zugewiesenen Bedeutungen.

Dieser Anhang A behandelt die technischen und organisatorischen Maßnahmen, einschließlich praktischer Sicherheitsvorkehrungen und technischer Sicherheitsmaßnahmen, die Marzipan einhält, um (a) die Kundendaten gegen versehentlichen oder rechtswidrigen Verlust, Zugriff oder Offenlegung zu sichern; (b) vernünftigerweise vorhersehbare und interne Sicherheitsrisiken sowie unbefugten Zugriff auf die Dienste, einschließlich des Marzipan-Kontos des Kunden, zu identifizieren; und (c) Sicherheitsrisiken zu minimieren, unter anderem durch Risikobewertung und regelmäßige Tests. Marzipan wird einen oder mehrere Mitarbeiter benennen, die für die nachstehend beschriebenen Informationssicherheitspraktiken und -maßnahmen verantwortlich sind und Fragen dazu beantworten.

1. Modell der geteilten Verantwortung

   Marzipan betreibt cloudbasierte Anwendungen auf marzipan.co, labls.co und labls.io, deren Infrastruktur und zugehörige Daten auf Servern gehostet werden, die von den Cloud-Dienstleistern (1) UpCloud Oy ("UpCloud") in dessen Rechenzentrum DE-FRA1 in Frankfurt am Main, Deutschland, (2) Hetzner Online GmbH ("Hetzner Online") in dessen Rechenzentren in Nürnberg und Falkenstein, Deutschland, sowie (3) Scaleway SAS ("Scaleway") in dessen Rechenzentrum in Paris betrieben werden. Der Marzipan-Dienst wird demnach über das Internet nach dem Software-as-a-Service-("SaaS")-Modell bereitgestellt.

   Im Verhältnis zwischen UpCloud, Hetzner Online und Scaleway hostet UpCloud die Live-Produktionsversion der Marzipan-Anwendungen und der zugehörigen Daten und stellt die Rechenleistung bereit, die es dem Kunden ermöglicht, auf die Dienste zuzugreifen, ohne eine Kopie einer der Anwendungen physisch installieren zu müssen. Scaleway stellt transaktionale E-Mail-Dienste bereit. Hetzner Online seinerseits stellt Marzipan einen dedizierten Server zur Verfügung, auf dem Marzipan Staging- (d. h. Test-)Versionen der Anwendungen hostet, um neuen Code, neue Funktionen und Updates in einer kontrollierten Umgebung zu testen, bevor diese live geschaltet werden.

   Das SaaS-Modell begründet eine Aufgabenteilung hinsichtlich der Umsetzung der technischen und organisatorischen Schutzmaßnahmen zum Schutz der Kundendaten. Als Verantwortlicher ist Marzipan für die Gestaltung der Zugriffsverwaltungs- und Netzwerksicherheitstools verantwortlich, nach denen Kundendaten in der Cloud gespeichert werden – Sicherheit in der Cloud. Als Cloud-Dienstleister und Auftragsverarbeiter sind UpCloud, Hetzner Online und Scaleway jeweils für die Aufrechterhaltung der Sicherheit der zugrunde liegenden Cloud-Umgebung und der physischen Server, in denen die Kundendaten gespeichert sind, verantwortlich, einschließlich der Implementierung technischer und physischer Maßnahmen zum Schutz vor unbefugtem Zugang zu ihren Rechenzentren und zur Netzwerkarchitektur – Sicherheit der Cloud.

   Konkret bedeutet dies, dass Marzipan für die Verwaltung der Sicherheit der Marzipan-Anwendungssoftware verantwortlich ist (einschließlich Updates und Sicherheits-Patches für Marzipan- und Labls-Anwendungen) sowie für die Konfiguration sicherheitsrelevanter Funktionen, die UpCloud, Hetzner Online und Scaleway im Rahmen ihrer Cloud-Dienste bereitstellen. UpCloud, Hetzner Online und Scaleway wiederum betreiben, verwalten und kontrollieren (soweit zutreffend) die Komponenten vom Marzipan-Anwendungssystem und der Virtualisierungsschicht bis hin zur physischen Sicherheit der Einrichtungen, in denen der Marzipan-Anwendungsdienst betrieben wird und die zugehörigen Daten gespeichert werden.

   Wir nennen dies ein „Modell der geteilten Verantwortung", da es bedeutet, dass wir uns neben der Implementierung umfangreicher eigener technischer und organisatorischer Maßnahmen auf die weitreichenden Sicherheitsmechanismen von UpCloud, Hetzner Online und Scaleway stützen.

   Weitere Informationen zu den physischen, netzwerk- und systemseitigen Sicherheitsmaßnahmen, die UpCloud, Hetzner Online und Scaleway jeweils zum Schutz ihrer Rechenzentren und der darin gespeicherten Daten einsetzen, finden Sie hier für UpCloud, hier für Hetzner und hier für Scaleway.

2. UpCloud- und Hetzner Online-Server

   UpCloud

   Gemäß Artikel 28 Abs. 3 Buchst. c UK GDPR ist Marzipan verpflichtet, einen Cloud-Computing-Auftragsverarbeiter auszuwählen, der hinreichende Garantien dafür bietet, dass er die in Artikel 32 UK GDPR festgelegten Datensicherheitsmaßnahmen erfüllen kann.¹

   We have selected UpCloud to be our principal hosting provider, infrastructure partner and cloud computing processor for the production versions of the Marzipan and Labls applications based on a careful selection process, considering legal, organisation and technical measures. We chose UpCloud because their IT architecture and infrastructure has been certified as being designed and managed in accordance with industry-leading best practises and security standards including:

   • ISO 9001 Qualitätsmanagement
   • ISO 14001 Umweltmanagement
   • ISO 22301 Sicherheit und Resilienz
   • ISO 27001 Informationssicherheitsmanagement
   • ISO 50001 Energiemanagement
   • SOC 2 Typ II Datensicherheit und Datenschutz
   • PCI-DSS Informationssicherheit

   Um die Einhaltung des 'Schrems II'-Urteils des Gerichtshofs der Europäischen Union (EuGH) vom Juli 2020 zu gewährleisten, werden alle Kundendaten, die bei UpCloud gehostet werden, im Rechenzentrum DE-FRA1 von UpCloud in Frankfurt, Deutschland, gehostet.

   Hetzner

   Marzipan hat Hetzner Online als zuverlässigen Partner für die Bereitstellung zusätzlicher dedizierter Serverkapazitäten ausgewählt. Hetzner Online ist gemäß DIN ISO/IEC 27001 zertifiziert. Darüber hinaus bestätigt dieser international anerkannte Standard für Informationssicherheit, dass Hetzner Online ein angemessenes Informationssicherheits-Managementsystem ("ISMS") eingeführt und implementiert hat.

   Hetzner Online setzt das ISMS in seiner Infrastruktur und seinem Betrieb an beiden deutschen Rechenzentrumsstandorten ein, an denen Marzipan dedizierte Serverkapazitäten mietet, nämlich in den Rechenzentrumparks Nürnberg und Falkenstein. FOX Certification, eine unabhängige Zertifizierungsstelle, hat die ISMS-Prozesse der Rechenzentrumparks von Hetzner Online geprüft und zertifiziert.

   Scaleway

   Marzipan nutzt Scaleway für das Hosting von Transaktions-E-Mail-Diensten der Marzipan-Anwendung. Scaleway ist gemäß ISO/IEC 27001:2022 zertifiziert. Seit Juli 2024 trägt Scaleway die Zertifizierung "Hébergeur de Données de Santé" (Gesundheitsdaten-Hoster). Das HDS-Zertifizierungsrahmenwerk, das von der französischen Nationalagentur für digitale Gesundheit (ANS) unter Aufsicht des Gesundheitsministeriums verwaltet wird, gehört zu den anspruchsvollsten Anforderungen, die digitale Dienstleister erfüllen müssen, um Gesundheitsdaten in Frankreich zu hosten und zu verwalten. Die Zertifizierung von Scaleway bestätigt die Umsetzung strenger technischer und organisatorischer Maßnahmen zum Schutz von Gesundheitsdaten, die Einhaltung gesetzlicher und regulatorischer Anforderungen sowie die Unterwerfung unter regelmäßige Audits zur Gewährleistung eines hohen Sicherheitsniveaus für Gesundheitsdaten.

3. Verschlüsselung

   Ein wesentliches Kernelement der Sicherheitsmaßnahmen von Marzipan ist die Verschlüsselung von Daten sowohl im Ruhezustand als auch bei der Übertragung. Die gesamte externe Netzwerkkommunikation zwischen Kunden und der Marzipan-Anwendung über öffentliche Netze erfolgt unter Verwendung von Transport Layer Security ("TLS") 1.2 oder höher. Kundendaten, die auf den UpCloud-, Scaleway- und Hetzner Online-Servern von Marzipan gespeichert sind, werden mit AES 256 oder höher verschlüsselt.

   Marzipan nutzt den jeweiligen Verschlüsselungsdienst von UpCloud, Scaleway und Hetzner Online zur Verschlüsselung von Kundendaten.

   Das Verschlüsselungssystem von UpCloud ist so konzipiert, dass niemand – einschließlich Marzipan oder UpCloud-Mitarbeitern – Zugriff auf die Klartextverschlüsselungsschlüssel hat. UpCloud verwendet Hardware-Sicherheitsmodule ("HMS"), die gemäß FIPS 140-2 validiert wurden oder derzeit validiert werden, um die Vertraulichkeit der Klartextschlüssel zu schützen, die zur Verschlüsselung der Kundendaten verwendet werden. Alle kryptografischen Schlüssel werden automatisch einmal jährlich rotiert.

   Die Festplattenvollverschlüsselung von Hetzner Online verwendet AES-256-Verschlüsselungsalgorithmen und obligatorische Authentifizierungsverfahren, um alle software- und hardwarebasierten Laufwerke zu verschlüsseln, die auf den dedizierten Servern gespeichert sind. Dies minimiert das Risiko von Datenverlust und unbefugtem Zugriff auf Kundendaten.

   Die Systeme von Marzipan verwenden Transportverschlüsselung, wann immer Daten über ein unsicheres oder öffentliches Netzwerk übertragen werden müssen. Die Weboberfläche und alle mit der Marzipan-Anwendung verbundenen APIs sind ausschließlich über HTTPS-Verbindungen erreichbar, und Client-Systeme müssen mindestens TLS 1.2 verwenden, um auf das Marzipan-System zuzugreifen.

4. Beschränkung der Serverstandorte auf den EWR/die EU

   Marzipan speichert Daten ausschließlich im EWR, nämlich in den Rechenzentren von UpCloud in Frankfurt am Main, Deutschland, den Rechenzentren von Hetzner Online in Nürnberg und Falkenstein, Deutschland, sowie im Rechenzentrum von Scaleway in Paris.

   Dies dient der bestmöglichen Gewährleistung, dass Kundendaten nicht unbefugt verwendet oder offengelegt werden können – insbesondere im Hinblick auf das Schrems-II-Urteil des Europäischen Gerichtshofs vom 16. Juli 2020 sowie die Bedenken von Datenschutzexperten hinsichtlich der zunehmenden Datenzugriffsgesetze in den Vereinigten Staaten und anderer Rechtsgrundlagen außerhalb des EWR.

5. Protokollierung/Prüfpfad

   Marzipan setzt in seinen UpCloud-Umgebungen für verschiedene Bereiche Protokollierung ein. Dazu gehören:

   • Systemereignisse;
   • Fehlerprotokollierung;
   • Benutzeraktivitäten;
   • Anmeldungen und Anfragen an Datenbanksysteme;
   • Sonstige sicherheitsrelevante Ereignisse/Audit-Protokollierung.

6. Monitoring

   Marzipan verwendet verschiedene Monitoring-Tools, um maximale Verfügbarkeit und Leistung der Marzipan-Systeme und -Anwendung sicherzustellen. Dabei werden mindestens die folgenden Parameter überwacht:

   Verfügbarkeit

   • Erreichbarkeit der Anwendung
   • Erreichbarkeit von Backend-Systemen und -Diensten

   Ressourcen

   • CPU-Auslastung
   • Auslastung der Netzwerkschnittstellen
   • Auslastung persistenter und flüchtiger Speicher

   Leistung

   • Antwortzeiten der Anwendung
   • Antwortzeiten der Backend-Systeme
   • Abfragezeiten für MySQL-Datenbankinhalt

   Sicherheit

   • DS-Leistung
   • Aktualisierungsstatus der Systeme

   Monitoring

   • Fehlerprotokolle
   • Zugriffsprotokolle

   Zusätzlich zu dieser automatisierten Überwachung beobachten Marzipan-Mitarbeitende relevante Online-Medien und Blogs (einschließlich der oben referenzierten OWASP-Updates), um zeitnah auf diese reagieren zu können.

7. Zugriffskontrolle

   Marzipan weist seinen Mitarbeitenden und Auftragnehmern unterschiedliche Zugriffsstufen für seine Systeme und Dienste auf den Servern von UpCloud und Hetzner Online zu. Diese werden über die jeweiligen Identity-and-Access-Management-Systeme (IAM) von UpCloud und Hetzner Online verwaltet, die eine feingranulare Steuerung des Zugriffs auf verschiedene Dienste ermöglichen.

   Das übergeordnete Prinzip von Marzipan bei der Vergabe von Zugriffsrechten an seine Mitarbeitenden ist das "Need-to-know"-Prinzip. In der Praxis bedeutet dies, dass Marzipan-Mitarbeitende nur Zugang zu den Funktionen erhalten, die sie zur Ausführung ihrer Aufgaben benötigen. Der Zugriff auf Back-End-Systeme ist ausschließlich über sichere und authentifizierte Verbindungen möglich. Eine öffentliche Freigabe von Back-End-Systemen ist untersagt. Nur eine streng begrenzte Anzahl von Marzipan-Mitarbeitenden hat Zugang zu dem System, das Kundendaten speichert. Dieser direkte Zugriff dient ausschließlich der Fehleranalyse und wird überwacht.