Flowtly – Technische und organisatorische Maßnahmen

Dies ist eine deutsche Übersetzung der englischen Fassung, die lediglich der besseren Verständlichkeit dient. Verbindlich ist die englischsprachige Fassung (siehe Abschnitt 1). Englische Fassung · Polnische Fassung

1. Einleitung und Anwendungsbereich

Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen („TOM“), die die Flowtly Prosta Spółka Akcyjna (KRS 0001188143) mit Sitz in Warschau, ul. Młynarska 8/12, Polen, umsetzt, um gemäß Artikel 32 DSGVO ein dem Risiko angemessenes Schutzniveau bei der Verarbeitung personenbezogener Daten zu gewährleisten. Dieses Dokument bildet Anhang 1 zur Vereinbarung zur Auftragsverarbeitung von Flowtly und gilt für die Verarbeitung personenbezogener Daten auf der Plattform Flowtly.

Dieses Dokument beschreibt den Stand der Sicherheit der Plattform, wie er zum Veröffentlichungsdatum der jeweiligen Fassung auf Grundlage der Infrastrukturkonfiguration der Plattform festgehalten wurde. Flowtly nimmt weder eine Zertifizierung nach ISO/IEC 27001 noch ein SOC-2-Testat für sich in Anspruch – dieses Dokument beschreibt ausschließlich tatsächlich umgesetzte Maßnahmen, keine geplanten oder angestrebten, und ist nicht das Ergebnis einer unabhängigen Sicherheitsprüfung. Verbindlich ist die englischsprachige Fassung dieses Dokuments; diese deutsche Übersetzung dient, wie alle Übersetzungen einschließlich der polnischen, lediglich der besseren Verständlichkeit.

2. Sicherheit von Infrastruktur und Hosting

Die Plattform wird auf der Infrastruktur der Google Cloud Platform (GCP) in der Region europe-west1 (Belgien, Europäische Union) gehostet. Die Anwendungsdatenbank (Cloud SQL) wird für jede Organisation gesondert geführt, wodurch die Daten jeder Organisation auf Datenbankebene logisch getrennt sind (siehe Abschnitt 5).

Die Datenbankinstanz läuft in einer Konfiguration mit einer einzigen Zone, ohne aktive Standby-Replik in einer anderen Verfügbarkeitszone – ein im Hinblick auf die Infrastrukturkosten bewusst in Kauf genommener Kompromiss. In der Praxis bedeutet dies, dass sich ein Ausfall der Zone auf die Verfügbarkeit der Plattform auswirkt, während er – dank der in Abschnitt 6 beschriebenen Maßnahmen – nicht zu einem Datenverlust führen sollte, der über das dort beschriebene Maß hinausgeht.

3. Datenverschlüsselung

Verbindungen zur Plattform und die Kommunikation zwischen ihren Komponenten sind durch TLS gesichert. Der Zugriff der Anwendung auf die Datenbank erfordert eine Authentifizierung mit einem vertrauenswürdigen Client-Zertifikat (erzwungener Modus für vertrauenswürdige Client-Zertifikate). Ruhende Daten, die in Google-Cloud-Diensten gespeichert sind, werden mit den Standard-Verschlüsselungsmechanismen dieses Infrastrukturanbieters verschlüsselt.

4. Zugriffskontrolle und Identitätsmanagement

Der Zugriff auf die Infrastruktur der Plattform ist auf befugtes Personal von Flowtly – und, soweit zur Erbringung technischen Supports erforderlich, auf befugtes Personal des Infrastrukturanbieters – nach dem Prinzip der geringsten Berechtigung beschränkt. Der Datenbankzugriff erfolgt über eine auf Cloud-Identitäten basierende Authentifizierung (IAM-Datenbankauthentifizierung). Anmeldedaten und Geheimnisse der Anwendung werden in einem dedizierten Secret Manager gespeichert, nicht im Quellcode oder in Konfigurationsdateien. Bereitstellungspipelines (CI/CD) authentifizieren sich gegenüber der Cloud-Infrastruktur über Workload Identity Federation, ohne langlebige Zugriffsschlüssel, die außerhalb des Identitätsanbieters gespeichert sind.

Passwörter von Datenbank-Dienstkonten unterliegen einer erzwungenen Passwortrichtlinie: einer Mindestlänge von 14 Zeichen, erzwungener Komplexität und einem Verbot der Wiederverwendung eines der letzten 5 Passwörter.

5. Trennung der Daten der Organisationen (Mandantenfähigkeit)

Die Daten jeder Organisation auf der Plattform werden in einer gesonderten, dieser Organisation zugeordneten Datenbank gespeichert und nicht in einer gemeinsamen, von anderen Organisationen genutzten Datenbank. Der Zugriff der Anwendung auf eine bestimmte Datenbank ist auf die jeweilige Organisation beschränkt.

6. Datensicherung und Notfallwiederherstellung

Die Datenbank der Plattform ist automatisch durch eine tägliche Sicherung, deren Ausführungsfenster so konfiguriert ist, dass es um 03:00 UTC beginnt, sowie durch einen Mechanismus zur zeitpunktgenauen Wiederherstellung auf Grundlage der Transaktionsprotokollierung geschützt. Die 30 jüngsten erfolgreichen Sicherungen werden aufbewahrt – in der Praxis kann dies eine Abdeckung von weniger als 30 Tagen bedeuten, falls eine geplante Sicherung fehlschlägt.

Das Schutzniveau, das diese Maßnahmen in der Praxis bieten: Ein versehentliches Löschen oder eine fehlerhafte Migration kann im typischen Fall mithilfe der zeitpunktgenauen Wiederherstellung auf wenige Minuten genau rückgängig gemacht werden. Im Extremszenario des Verlusts der gesamten Datenbankinstanz erfolgt die Wiederherstellung aus der jüngsten erfolgreichen täglichen Sicherung, was im typischen Fall einen möglichen Datenverlust von bis zu 24 Stunden bedeutet; dies sind Beschreibungen des typischen Verhaltens des Mechanismus angesichts seiner Konfiguration, keine in der Praxis überprüften Garantien für den maximalen Datenverlust. Die Zeit, die nach dem Verlust einer Instanz zur vollständigen Wiederherstellung des Dienstes benötigt wird (RTO), wurde bisher nicht in einer realen Wiederherstellungsübung gemessen – Flowtly gibt daher derzeit keine bezifferte Zusage hierzu ab und wird dies erst tun, wenn sie in der Praxis überprüft wurde.

7. Management von Sicherheitsvorfällen

Flowtly überwacht die Infrastruktur der Plattform und verfügt über ein Verfahren zur Reaktion auf Sicherheitsvorfälle. Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt, benachrichtigt Flowtly den Verantwortlichen unverzüglich gemäß den in der Vereinbarung zur Auftragsverarbeitung festgelegten Fristen und Verfahren – in jedem Fall spätestens 48 Stunden nach Feststellung der Verletzung.

8. Management von Dienstleistern und Unterauftragsverarbeitern

Flowtly setzt Unterauftragsverarbeiter, die personenbezogene Daten von Organisationen verarbeiten, ausschließlich zu den in der Vereinbarung zur Auftragsverarbeitung beschriebenen Bedingungen ein, einschließlich einer Vorankündigung neuer Unterauftragsverarbeiter von mindestens 30 Tagen und eines Widerspruchsmechanismus für den Verantwortlichen. Die aktuelle Liste der Unterauftragsverarbeiter – einschließlich des Infrastrukturanbieters (Google Cloud), der Zahlungsabwicklung (Stripe), der Integration von Bankdaten (Kontomatik), der Fehlerüberwachung (Sentry), der Verarbeitung von Dokumentinhalten für KI-gestützte Funktionen (Anthropic) und des Versands transaktionaler E-Mails (Postmark) – ist in der Vereinbarung zur Auftragsverarbeitung veröffentlicht.

9. Verschlechterungsverbot und Versionierung

Flowtly verpflichtet sich, das in diesem Dokument beschriebene Gesamtschutzniveau der Verarbeitung während der Laufzeit des Vertrags über den Zugang zur Plattform nicht abzusenken; der Ersatz einer bestimmten Maßnahme durch eine andere, die ein gleichwertiges oder höheres Schutzniveau bietet, stellt keine Absenkung dar. Jede Änderung dieses Dokuments – einschließlich eines solchen Ersatzes – wird als neue, datierte Fassung in der auf dieser Seite verfügbaren Versionshistorie erfasst, sodass sich das zu einem bestimmten Zeitpunkt geltende Sicherheitsniveau stets anhand dieser Historie feststellen lässt.

Dieses Dokument ist die am 28. Oktober 2026 veröffentlichte Fassung.