Technische und Organisatorische Massnahmen (TOM)

‍

i.S.d. Art. 32 DSGVO sowie Schweizer nDSG.

Organisation: Audienzz AG
Adresse: Falkenstrasse 11 | 8021 Zürich
Produkt: adconsole
Stand: 25.06.2026
Gültigkeit: Bis zur nächsten Aktualisierung; mindestens jährliche Überprüfung

‍

Dieses Dokument beschreibt die technischen und organisatorischen Massnahmen, mit denen Audienzz AG personenbezogene Daten im Rahmen des Betriebs der Plattform adconsole schützt. Es gilt einheitlich für alle Auftraggeber und wird im Rahmen des Auftragsverarbeitungsvertrags (AVV) als Anlage 2 referenziert.

Die jeweils aktuelle Fassung ist verbindlich. Wesentliche Änderungen werden den Auftraggebern proaktiv mitgeteilt; der dort beschriebene Schutzstandard wird nicht unterschritten.

‍

1. Vertraulichkeit

gem. Art. 32 Abs. 1 lit. b DSGVO

Dieses Kapitel umfasst alle Massnahmen, die sicherstellen, dass personenbezogene Daten ausschliesslich Berechtigten zugänglich sind und vor unbefugtem Zutritt, Zugang und Zugriff geschützt werden.

‍

1.1 Zutrittskontrolle

Massnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren. Als Massnahmen können automatische Zutrittskontrollsysteme, Chipkarten und Transponder, Pförtnerdienste und Alarmanlagen eingesetzt werden. Server, Telekommunikationsanlagen und Netzwerktechnik sind in verschliessbaren Serverschränken zu schützen. Ergänzend sind organisatorische Massnahmen vorgesehen (z.B. Dienstanweisung zum Verschliessen der Diensträume bei Abwesenheit).

Technische Massnahmen

Organisatorische Massnahmen

Alarmanlage

Automatisches Zugangskontrollsystem

Biometrische Zugangssperre

Badge / Chipkarten / Transpondersysteme

Manuelles Schliesssystem

Sicherheitsschlösser

Schliesssystem mit Codesperre

Klingelanlage mit Kamera

Videoüberwachung der Eingänge

Schlüsselregelung / Liste

Empfang / Rezeption / Pförtner (NZZ)

Besucherbuch / Protokoll der Besucher (NZZ-Empfang)

Mitarbeiter- / Besucherausweise

Besucher in Begleitung durch Mitarbeitende

Sorgfalt bei Auswahl des Wachpersonals (NZZ-Empfang)

Sorgfalt bei Auswahl Reinigungsdienste (durch NZZ)

‍

1.2 Zugangskontrolle

Massnahmen, die geeignet sind, zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können. Hierzu zählen Benutzerkennung mit Passwort, Bildschirmschoner mit Passwort, Einsatz von Chipkarten und CallBack-Verfahren sowie organisatorische Vorgaben zur Aufstellung von Bildschirmen und zur Wahl sicherer Passwörter.

Technische Massnahmen

Organisatorische Massnahmen

Multi-Faktor-Authentifizierung (MFA) für Zugriff auf Personendaten

Anti-Viren-/Malware-Software auf Servern, Clients und mobilen Geräten

Firewall

Intrusion Detection Systeme

Teilweise Einsatz VPN bei Remote-Zugriffen

Verschlüsselung von Datenträgern

Verschlüsselung Smartphones

Gehäuseverriegelung

BIOS-Schutz (separates Passwort)

Sperre externer Schnittstellen (USB)

Automatische Desktopsperre

Verschlüsselung von Notebooks / Tablets

Verwalten von Benutzerberechtigungen

Erstellen von Benutzerprofilen

Zentrale Passwortvergabe

Richtlinie „Sicheres Passwort“ (NZZ)

Richtlinie „Löschen / Vernichten“ (NZZ)

Richtlinie „Clean Desk“ (NZZ)

Allg. Richtlinie Datenschutz und Sicherheit (NZZ)

Mobile Device Policy

AI Governance (NZZ)

‍

1.3 Zugriffskontrolle

Massnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschliesslich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei Verarbeitung, Nutzung und Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Geeignete Berechtigungskonzepte ermöglichen eine differenzierte Steuerung des Zugriffs nach Inhalt der Daten und nach Zugriffsfunktionen. Vergabe und Entzug der Berechtigungen werden dokumentiert und aktuell gehalten (Eintritt, Wechsel, Austritt). Besondere Aufmerksamkeit gilt der Rolle der Administratoren.

Technische Massnahmen

Organisatorische Massnahmen

Aktenschredder (mind. Stufe 3, cross cut)

Externer Aktenvernichter (DIN 32757)

Physische Löschung von Datenträgern

Protokollierung von Zugriffen auf Anwendungen (Eingabe, Änderung, Löschung)

Nachvollziehbarkeit von Änderungen an kritischen Rollen

Temporary Access Management mit Aktivitätsprotokoll

Einsatz Berechtigungskonzepte (Rollenkonzept)

Minimale Anzahl an Administratoren

Datenschutztresor

Verwaltung Benutzerrechte durch Administratoren

‍

1.4 Trennungskontrolle

Massnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Dies kann durch logische und physikalische Trennung der Daten gewährleistet werden.

Technische Massnahmen

Organisatorische Massnahmen

Trennung von Produktiv- und Testumgebung

Physikalische Trennung (Datenbanken / Datenträger)

Instanzen pro Mandant

Getrennte virtuelle Systeme bzw. Sandboxing / Container

Steuerung über Berechtigungskonzept

Festlegung von Datenbankrechten

Datensätze mit Zweck-Attributen versehen

‍

1.5 Pseudonymisierung

Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechenden technischen und organisatorischen Massnahmen unterliegen.

Technische Massnahmen

Organisatorische Massnahmen

Im Falle der Pseudonymisierung: Trennung der Zuordnungsdaten und Aufbewahrung in getrenntem, abgesicherten und verschlüsseltem System

Interne Anweisung, personenbezogene Daten im Falle einer Weitergabe oder nach Ablauf der gesetzlichen Löschfrist nach Möglichkeit zu anonymisieren / pseudonymisieren

‍

2. Integrität

gem. Art. 32 Abs. 1 lit. b DSGVO

Massnahmen zur Sicherstellung der Integrität personenbezogener Daten bei elektronischer Übertragung, Speicherung und Bearbeitung.

‍

2.1 Weitergabekontrolle

Massnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung, während des Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft werden kann, an welche Stellen eine Übermittlung vorgesehen ist. Vertraulichkeit kann z.B. durch Verschlüsselung und VPN gewährleistet werden.

Technische Massnahmen

Organisatorische Massnahmen

E-Mail-Verschlüsselung (S/MIME / PGP)

E-Mail-Signatur (S/MIME / PGP)

Einsatz von VPN

Protokollierung der Zugriffe und Abrufe

Sichere Transportbehälter

Bereitstellung über verschlüsselte Verbindungen (sftp, https)

WAF, DDoS- und Bruteforce-Schutz an exponierten Schnittstellen

Dokumentation der Datenempfänger sowie der Dauer der geplanten Überlassung bzw. der Löschfristen

Übersicht regelmässiger Abruf- und Übermittlungsvorgänge

Weitergabe in anonymisierter oder pseudonymisierter Form

Sorgfalt bei Auswahl von Transport-Personal und Fahrzeugen

Persönliche Übergabe mit Protokoll

‍

2.2 Eingabekontrolle

Massnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Eingabekontrolle wird durch Protokollierungen auf verschiedenen Ebenen (Betriebssystem, Netzwerk, Firewall, Datenbank, Anwendung) erreicht.

Technische Massnahmen

Organisatorische Massnahmen

Technische Protokollierung der Eingabe, Änderung und Löschung von Daten

Manuelle oder automatisierte Kontrolle der Protokolle

Bereitstellung geeigneter Log-Daten zur Analyse durch den Auftraggeber

Übersicht, mit welchen Programmen welche Daten eingegeben, geändert oder gelöscht werden können

Nachvollziehbarkeit von Eingabe, Änderung und Löschung durch individuelle Benutzernamen (keine Gruppenkonten)

Vergabe von Rechten zur Eingabe, Änderung und Löschung auf Basis eines Berechtigungskonzepts

Aufbewahrung von Formularen, von denen Daten in automatisierte Verarbeitungen übernommen wurden

‍

3. Verfügbarkeit und Belastbarkeit

gem. Art. 32 Abs. 1 lit. b DSGVO

‍

3.1 Verfügbarkeitskontrolle

Massnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Themen: unterbrechungsfreie Stromversorgung, Klimatisierung, Brandschutz, Datensicherungen, sichere Aufbewahrung von Datenträgern, Virenschutz, RAID-Systeme, Plattenspiegelung.

Technische Massnahmen

Organisatorische Massnahmen

Speicherung in zertifizierten Rechenzentren (ISO/IEC 27001, EU/EWR – Hetzner)

Unterbrechungsfreie Stromversorgung (USV)

Klimaanlagen / Brandschutz im Rechenzentrum

RAID-Systeme / Plattenspiegelung

Regelmässige Datensicherungen, Backup- und Restore-Prozesse geprüft

Anti-Viren-/Malware-Schutz

TOM des Server-Dienstleisters Hetzner werden referenziert: hetzner.com/AV/TOM.pdf

Datenbearbeitung ausschliesslich in der Schweiz oder einem Mitgliedstaat der EU/EWR.

Geprüftes Restore mindestens jährlich

‍

4. Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung

gem. Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO

Die nachfolgenden Unterkapitel beschreiben das Datenschutz-Management, das Incident-Response-Management, datenschutzfreundliche Voreinstellungen sowie die Auftragskontrolle bei Outsourcing an Dritte.

‍

4.1 Datenschutz-Management

Technische Massnahmen

Organisatorische Massnahmen

Software-Lösungen für Datenschutz-Management im Einsatz

Zentrale Dokumentation aller Verfahrensweisen und Regelungen zum Datenschutz mit Zugriffsmöglichkeit für Mitarbeitende nach Bedarf / Berechtigung (über NZZ)

Sicherheitszertifizierung nach ISO 27001, BSI IT-Grundschutz oder ISIS12

Alternatives Informationssicherheitskonzept

Anderweitiges dokumentiertes Sicherheitskonzept

Mindestens jährliche Überprüfung der Wirksamkeit der TOM (Audit-Bericht auf Anfrage)

Interner / externer Datenschutzbeauftragter: Fabienne Genoud, NZZ

Mitarbeitende geschult auf Vertraulichkeit / Datengeheimnis (auch über das Anstellungsverhältnis hinaus)

Regelmässige Sensibilisierung der Mitarbeitenden, mindestens jährlich

Interner / externer Informationssicherheits-Beauftragter

Datenschutz-Folgenabschätzung (DSFA) wird bei Bedarf durchgeführt

Organisation kommt den Informationspflichten nach Art. 13 und 14 DSGVO nach

Formalisierter Prozess zur Bearbeitung von Auskunftsanfragen seitens Betroffener

‍

4.2 Incident-Response-Management

Unterstützung bei der Reaktion auf Sicherheitsverletzungen. Strukturierter Umgang mit Sicherheitsvorfällen und Datenpannen, etablierte Prozesse zur Erkennung, Reaktion, Meldung und Wiederherstellung.

Technische Massnahmen

Organisatorische Massnahmen

Einsatz von Firewall mit regelmässiger Aktualisierung

Einsatz von Spamfilter mit regelmässiger Aktualisierung

Einsatz von Virenscanner mit regelmässiger Aktualisierung

Intrusion Detection System (IDS)

Intrusion Prevention System (IPS)

Kontinuierliches Monitoring zur Erkennung von Angriffen / Datenabfluss

Sofortige Behebung kritischer Schwachstellen (Hotfix-Prozess)

Dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen / Datenpannen (auch im Hinblick auf Meldepflicht gegenüber Aufsichtsbehörde)

Dokumentierte Vorgehensweise zum Umgang mit Sicherheitsvorfällen (NZZ)

Einbindung des DSB in Sicherheitsvorfälle und Datenpannen (NZZ)

Dokumentation von Sicherheitsvorfällen und Datenpannen via Ticketsystem

Formaler Prozess und Verantwortlichkeiten zur Nachbearbeitung von Sicherheitsvorfällen

Notfallmanagement in Anlehnung an internationalen Standard (ISO/IEC 27035, NIST SP 800-61)

Meldepflicht gegenüber Auftraggeber innert 48 Stunden

‍

4.3 Datenschutzfreundliche Voreinstellungen

Privacy by Design / Privacy by Default

Technische Massnahmen

Organisatorische Massnahmen

Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind

Einfache Ausübung des Widerrufsrechts des Betroffenen durch technische Massnahmen

Datenminimierung als integraler Bestandteil von Entwicklungs- und Konfigurationsentscheidungen

‍

4.4 Auftragskontrolle

Massnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Erfasst sind auch Wartung und Systembetreuung, vor Ort wie per Fernwartung. Sofern Audienzz Dienstleister im Sinne einer Auftragsverarbeitung einsetzt, werden die folgenden Punkte mit diesen geregelt.

Technische Massnahmen

Organisatorische Massnahmen

Dokumentierte Liste der eingesetzten Unterauftragsbearbeiter (siehe Anlage)

Vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmassnahmen und deren Dokumentation

Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (insbes. Datenschutz und Datensicherheit)

Abschluss der notwendigen Vereinbarung zur Auftragsverarbeitung bzw. EU-Standardvertragsklauseln

Schriftliche Weisungen an den Auftragnehmer

Verpflichtung der Mitarbeitenden des Auftragnehmers auf Datengeheimnis

Verpflichtung zur Bestellung eines Datenschutzbeauftragten durch den Auftragnehmer bei Vorliegen einer Bestellpflicht

Vereinbarung wirksamer Kontrollrechte gegenüber dem Auftragnehmer

Regelung zum Einsatz weiterer Subunternehmer

Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags

Bei längerer Zusammenarbeit: laufende Überprüfung des Auftragnehmers und seines Schutzniveaus

‍

5. Anlagen

Liste der Unterauftragsbearbeiter

Subprozessor	Leistung	Sitz	Ort der Bearbeitung	Transfer
Hetzner Online GmbH	Hosting	Deutschland	Deutschland EU	innerhalb EU
Simbaze Development OÜ	Software-Entwicklung	Estland EU	Estland EU	innerhalb EU
Anthropic, Inc.	KI-Inferenz Claude	USA San Francisco	USA	EU-SCC · Modul 2
OpenAI, L.L.C.	KI-Inferenz GPT	USA San Francisco	USA bzw. EU bei aktiviertem EU-Endpoint	EU-SCC · Modul 2
Google Ireland Limited	KI-Inferenz Gemini / Vertex AI	Irland EU · Dublin	EU europe-west4 / west3	EU-intern bzw. SCC

SCC = EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Modul 2 – Verantwortlicher an Auftragsverarbeiter.

‍

Hinweise zur KI-Verarbeitung: Personendaten, die in KI-Diensten verarbeitet werden, werden auf das fachlich erforderliche Minimum beschränkt. Wo sinnvoll und möglich, erfolgt eine Pseudonymisierung vor Übergabe. Kundendaten werden bei keinem der eingesetzten Anbieter zum Training der Modelle verwendet (vertraglich ausgeschlossen).

Für EU-/CH-Kunden mit strikter Datenresidenz-Pflicht stehen die EU-gehosteten Endpunkte (OpenAI eu.api.openai.com, Google Vertex AI europe-west4) nach Absprache zur Verfügung.

‍

Eine Erweiterung dieser Liste setzt die vorgängige Information der Auftraggeber sowie deren Widerspruchsmöglichkeit innerhalb von 30 Tagen voraus.

‍

6. Freigabe

Dieses Dokument wurde durch die verantwortliche Stelle freigegeben und gilt einheitlich für alle Auftraggeber im Rahmen des Betriebs der Plattform adconsole.

‍

7. Versionshistorie

Version 1.0 Initiale Fassung

Version 2.0 Ergänzung KI-Subprozessoren: Anthropic (Claude), OpenAI (GPT), Google (Gemini / Vertex AI) - 25.06.2026