Zum Hauptinhalt springen
Zolltarifnummer.com LogoZolltarifnummer.com

Technische Dokumentation

Technische & organisatorische Maßnahmen

Technische und organisatorische Maßnahmen (TOMs) schützen Daten vor unbefugtem Zugriff, Verlust und Veränderung. Hier beschreiben wir Zugriffsrechte, verschlüsselte Übertragung, Datensicherung und die Zuständigkeiten bei BotPoint.

E-Mail an Datenschutz

Im Kundenportal erfolgt die Anmeldung über einen E-Mail-Code. Persönliche Benutzerzugänge und Unternehmensrollen ordnen die Berechtigungen: Administratoren verwalten das Unternehmen und die vertraglichen Einstellungen; Mitglieder nutzen die für sie vorgesehenen Funktionen. Der Unternehmenskontext begrenzt den Zugriff auf die zugeordneten Aufträge und Unterlagen.

Für Betriebs- und Supportzugriffe bei BotPoint gilt das Prinzip der Erforderlichkeit: Ein Zugriff auf Kundeninhalte erfolgt nur, soweit die konkrete Aufgabe im Betrieb, im Support oder bei einer notwendigen Fehleranalyse dies erfordert. Berechtigte Personen sind auf Vertraulichkeit verpflichtet. Administrative Zugangsdaten und API-Schlüssel werden in dafür vorgesehenen Secret- und Umgebungsverwaltungen gehalten.

Der operative Betrieb und die Administration werden derzeit von Geschäftsführer Tom Bössow wahrgenommen. Der interne Zugriffskreis bei BotPoint ist damit auf eine benannte Person begrenzt. Die Zuständigkeiten für Betrieb, Freigaben und Datenschutzanfragen sind unmittelbar zugeordnet; Abstimmungen und die Bearbeitung von Anfragen erfolgen direkt durch den Geschäftsführer.

Anfragen erreichen uns unter datenschutz@zolltarifnummer.com. Zugriffe der beauftragten Infrastruktur- und Cloud-Dienstleister werden in der Anbieterübersicht nach Rolle und Verarbeitungszweck gesondert beschrieben.

Die Kommunikation zwischen Browser und Dienst erfolgt verschlüsselt über HTTPS. HSTS unterstützt verschlüsselte Verbindungen; technische Schutzvorgaben begrenzen das Einbetten der Anwendung in fremde Seiten. Cloudflare R2 verschlüsselt gespeicherte Objekte nach den Sicherheitsvorgaben des Anbieters.

Die Anwendung übermittelt Daten im beschriebenen Umfang an die für den jeweiligen Verarbeitungsschritt eingesetzten Dienstleister. Empfänger, Datenarten und Verarbeitungsorte sind im Datenfluss und in der Anbieterliste dokumentiert. Dateibereitstellung, Unternehmenszuordnung und Zugriffsprüfung gehören zur Anwendung. Speicher- und Sicherungsbereiche haben unterschiedliche Zwecke. Bei der Wiederherstellung eines historischen Bestands müssen zwischenzeitliche Löschweisungen berücksichtigt werden, bevor die Daten erneut im aktiven Betrieb verwendet werden.

Änderungen durchlaufen automatisierte Prüfungen vor der Freigabe für den Produktivbetrieb. Dazu gehören Funktionstests, Typprüfung, die Suche nach versehentlich eingebundenen Zugangsdaten und der Produktionsbuild. Die Auslieferung erfolgt über einen kontrollierten Freigabeprozess.

Entwicklung und Produktion werden als getrennte Umgebungen behandelt. Neue Softwarestände werden geprüft; Zugangsdaten gehören nicht in öffentliche Quelltexte oder Dokumente. Ausführliche interne Konfigurationen, Schlüssel und einzelne Zugangspfade sind kein Bestandteil der öffentlichen Informationsunterlagen.

Die Einreihung verwendet die benötigten Produktangaben und Referenzquellen. Beim Auslesen können vollständige Dokumente und Bilder erforderlich sein; die optionale Webrecherche erhält dagegen nur Suchbegriffe und einen begrenzten Produktauszug. Zahlungs- und Buchhaltungsdienste erhalten keine Produktdokumente aus der Einreihung.

Produktive AI-Gateway-Protokolle enthalten technische Metadaten ohne Anfrage- und Antwortinhalte. Produktanalyse und Fehlerdiagnose richten sich nach der Datenschutzerklärung und den jeweiligen Einstellungen. Bei Sitzungsaufzeichnungen werden Eingabefelder und Anzeigetexte maskiert. Portalbereiche und Medieninhalte sind von der Aufzeichnung ausgeschlossen.

Das Sicherungskonzept unterscheidet aktive Bestände, historische Datenbankstände und gesonderte Sicherungskopien. Personenbezogene Sicherungen sind auf höchstens 35 Tage je Sicherungsstand begrenzt und dienen der Wiederherstellung. Sie sind kein zweiter aktiver Datenbestand und kein Archiv für neue fachliche Auswertungen.

Bei einer Wiederherstellung werden Datenstand, Zusammenhänge und Zugriffsberechtigungen geprüft; zwischenzeitliche Löschweisungen werden berücksichtigt. Die Wahl eines Speicheranbieters oder das Vorhandensein einer Kopie allein begründet keine zugesicherte Wiederanlaufzeit oder einen garantierten maximalen Datenverlust.

Melden Sie einen Verdacht an datenschutz@zolltarifnummer.com mit dem Betreff „Datenschutzvorfall“. Hilfreich sind Unternehmen, betroffene Adresse oder Vorgangskennung, Zeitpunkt und eine kurze Beschreibung. Verwenden Sie möglichst Testdaten; senden Sie keine Zugangsdaten oder fremden Kundenunterlagen. Die Koordination liegt bei BotPoint UG (haftungsbeschränkt), Geschäftsführer Tom Bössow.

Wir erfassen und bewerten den Sachverhalt, begrenzen erforderlichenfalls betroffene Zugriffe und sichern die für die Untersuchung benötigten Informationen. Sobald uns eine Verletzung des Schutzes personenbezogener Daten des Auftraggebers bekannt geworden ist, informieren wir den Auftraggeber unverzüglich mit den verfügbaren Angaben. Eine vollständige Untersuchung wird dafür nicht abgewartet; weitere Erkenntnisse werden nachgereicht.

Die Informationen betreffen insbesondere Art und Umfang, betroffene Daten und Personengruppen, mögliche Folgen, ergriffene Maßnahmen und einen erreichbaren Ansprechpartner. Der Auftraggeber bewertet seine eigenen Melde- und Benachrichtigungspflichten; BotPoint unterstützt ihn nach dem AVV mit den verfügbaren Informationen. Die gesetzliche 72-Stunden-Frist für eine gegebenenfalls erforderliche Meldung des Verantwortlichen an die Aufsicht ist keine Wartefrist für unsere Information an den Auftraggeber.

Datenschutzvorfall: Meldung und Bearbeitung
  1. 1 · Eingang und Bewertung
    Sachverhalt, Zeitpunkt, betroffene Vorgänge und Dringlichkeit erfassen.
  2. 2 · Begrenzen und Informationen sichern
    Erforderliche Schutzmaßnahmen und nachvollziehbare Untersuchung.
  3. 3 · Auftraggeber unverzüglich informieren
    Verfügbare Angaben mitteilen; weitere Erkenntnisse nachreichen.
  4. 4 · Abhilfe und Abschluss
    Maßnahmen, Folgeschritte und Abschluss dokumentieren.

Eindämmung und Information können parallel laufen. Die Erstinformation wartet nicht auf den Abschluss der Untersuchung.

Anfragen zu Auskunft, Berichtigung, Löschung oder Einschränkung können Sie unter Angabe Ihres Unternehmens und der betroffenen Vorgänge an datenschutz@zolltarifnummer.com richten. Wir prüfen die Zuordnung und Berechtigung und stimmen mit dem verantwortlichen Unternehmen die erforderliche Unterstützung ab. Daten werden nur über einen geeigneten Übertragungsweg an berechtigte Empfänger bereitgestellt.

Betrifft eine unmittelbar an uns gerichtete Anfrage erkennbar Daten, die wir im Auftrag eines Kunden verarbeiten, leiten wir sie an das verantwortliche Unternehmen weiter. Die inhaltliche Entscheidung liegt beim Verantwortlichen; wir bearbeiten Auftragsdaten nach seiner Weisung. Eigene Kontoführungs-, Rechnungs- oder Kommunikationsdaten von BotPoint werden davon getrennt nach der Datenschutzerklärung behandelt.

Die Bearbeitung wird dokumentiert. Bei Löschanfragen unterscheiden wir aktive Daten, Sicherungskopien, dienstspezifische Anbieteraufbewahrung und gesetzlich aufzubewahrende Nachweise, damit Umfang und verbleibende Fristen nachvollziehbar sind.

Betroffenenanfrage: Zuständigkeit und Weisung
  1. 1 · Anfrage zuordnen
    Unternehmen, Datenumfang und Berechtigung prüfen.
  2. 2 · Verantwortlichen einbeziehen
    Bei Auftragsdaten entscheidet das Kundenunternehmen.
  3. 3 · Unterstützung ausführen
    Auskunft, Berichtigung oder Löschung nach berechtigter Weisung.
  4. 4 · Ergebnis dokumentieren
    Umfang, sichere Bereitstellung und verbleibende Pflichten festhalten.

Die Zuständigkeit für eigene BotPoint-Daten und für Kundendaten in Auftragsverarbeitung wird getrennt behandelt.

Die angeforderte Informationsmappe enthält am Ende eine vollständige unpersonalisierte AVV-Entwurfsfassung einschließlich Verarbeitungsbeschreibung, vertraglicher TOMs und weiterer Auftragsverarbeiter. Diese Vorlage ist zur Prüfung bestimmt. Der persönliche elektronische Vertragsabschluss setzt eine freigegebene Fassung voraus und erfolgt im geschützten Kundenportal; dort werden auch die abgeschlossenen Vereinbarungen des Unternehmens verwaltet.

Die als PDF-Anhang per E-Mail versandte Informationsmappe beschreibt außerdem Architektur, Datenarten, Verarbeitungsorte, Aufbewahrung und Datenschutzprozesse. Die Anbieterliste verlinkt die zugehörigen Datenschutz- und Vertragsunterlagen der Dienstleister. Angaben zu Zertifizierungen beziehen sich auf den jeweils genannten Anbieter und den ausgewiesenen Geltungsbereich der Zertifizierung.

Die Informationsmappe einschließlich der AVV-Vorlage mit Anlagen erhalten Sie auf Anfrage als einen PDF-Anhang per E-Mail. Geben Sie dafür Ihre E-Mail-Adresse und Ihr Unternehmen an; die Unternehmensangabe ist eine Selbstauskunft. BotPoint verarbeitet diese Angaben in eigener Verantwortung zur Zustellung, Zuordnung und Dokumentation der Anfrage sowie zum Schutz vor automatisiertem Missbrauch. Unser Datenschutzkontakt erhält eine interne Benachrichtigung.

Anfrage, Dokumentfassung, Quelle und Versandstatus werden im aktiven Anfrage- und Versandregister dokumentiert. Die Annahme durch den E-Mail-Dienst ist keine Zustellbestätigung. Das Öffnen, Speichern oder Weiterleiten der E-Mail und des PDF-Anhangs erfassen wir nicht. Registereinträge löschen wir spätestens nach 90 Tagen. Historische Sicherungen und E-Mail-Korrespondenz folgen den gesonderten Aufbewahrungsregeln der Datenschutzerklärung.

Die Anfrage ist nicht mit einer Newsletter-Anmeldung oder Werbeeinwilligung verbunden. Weitere Angaben zu Rechtsgrundlage, Empfängern, Aufbewahrung und Betroffenenrechten finden Sie in der Datenschutzerklärung auf www.zolltarifnummer.com/datenschutz.

Für einen möglichen technischen Sicherheitsmangel verwenden Sie datenschutz@zolltarifnummer.com mit dem Betreff „Sicherheitsmeldung“. Beschreiben Sie die betroffene Adresse, den Zeitpunkt und das beobachtete Verhalten. Prüfen Sie nach Möglichkeit mit eigenen Testdaten und ohne Zugriff auf fremde Datenbestände. Dieser Meldeweg steht auch ohne Kundenkonto zur Verfügung.