Technische und organisatorische maßnahmen (TOM)
gemäß Art. 32 DSGVO
Stand: 16.08.2026 | Anlage „Technische und organisatorische Maßnahmen (TOM)“ zur AVV 03.2025 (Version: 10.03.2025)
Angaben zur verantwortlichen Stelle
Name: DEMV Deutscher Maklerverbund GmbH
Anschrift: Dammtorwall 7a, 20354 Hamburg
E-Mail: info@demv.de
Telefon: 040 460 932 99
Stand dieser TOM: 10.03.2025
Datenschutzbeauftragter
Name: Sven Weschler
Anschrift: Iquanta GmbH, Hittfelder Schulstraße 2, 21218 Seevetal
E-Mail: kontakt@iquanta.com
Telefon: 04105 59 82 71 – 0
IT-Verbund
Beschreibung des IT-Verbunds, in dem personenbezogene Daten der verantwortlichen Stelle erhoben, verarbeitet oder genutzt werden:
- Professional works
- Cloudserver bei Hetzner Online GmbH und AWS (Amazon Webservices)
Organisation
Strukturen zur Einhaltung von Datenschutzvorgaben
Realisierte Maßnahmen
- Alle Mitarbeitenden sind auf Vertraulichkeit gemäß DSGVO und BDSG verpflichtet.
- Mitarbeitende wurden und werden regelmäßig im Datenschutz geschult.
- Etabliertes Dienstleister-Management (Vendor Management Prozess)
- Regelmäßige Schulung der Mitarbeitenden im Umgang mit Dienstleistern
- Klare interne Zuständigkeiten für Steuerung und Kontrolle von Dienstleistern
- Dokumentierte Risikoanalyse für kritische Dienstleister
Vertraulichkeit
Zutrittskontrolle
Maßnahmen, die Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, verwehren.
Realisierte Maßnahmen
Hetzner Datacenter-Parks (Nürnberg, Falkenstein und Helsinki)
- Elektronisches Zutrittskontrollsystem mit Protokollierung
- Hochsicherheitszaun um den gesamten Datacenter-Park
- Dokumentierte Schlüsselvergabe an Mitarbeiter und Colocation-Kunden für Colocation Racks (jeder Auftraggeber ausschließlich für seinen Colocation Rack)
- 24/7 personelle Besetzung der Rechenzentren
- Videoüberwachung an Ein- und Ausgängen, Sicherheitsschleusen sowie Serverräumen
- Richtlinien zur Begleitung und Kennzeichnung von Gästen im Gebäude
- Der Zutritt für betriebsfremde Personen (z. B. Besucher) zu den Räumen ist wie folgt beschränkt: Nur in Begleitung eines Mitarbeitenden der Hetzner Online GmbH
Hetzner Verwaltung (Gunzenhausen)
- elektronisches Zutrittskontrollsystem mit Protokollierung
- Videoüberwachung an den Ein- und Ausgängen
AWS
- Alle Zugangspunkte (außer Haupteingangstüren) sind in einem gesicherten (gesperrten) Zustand gehalten.
- Videoüberwachung der Zugangspunkte zu den Einrichtungen
- Elektronische Systeme zur Erkennung von Eindringlingen einschließlich der Überwachung von Schwachstellen (z. B. Haupteingangstüren, Notausstiegstüren, Dachluken, Dockbuchttüren, etc.) mit Türkontakten, Glasbruchsicherungen, Innenraum-Bewegungsmeldern o. ä. Geräte zur Erkennung von Personen, die versuchen, sich Zugang zu den Einrichtungen zu verschaffen.
Zugangskontrolle
Maßnahmen, die verhindern, dass Datenverarbeitungssysteme durch Unbefugte genutzt werden können.
Realisierte Maßnahmen
etzner
- SSH-Keys zur Identifizierung des Auftraggebers
- Das Passwort zur Administrationsoberfläche wird vom Auftraggeber selbst vergeben, Passwörter müssen vordefinierte Richtlinien erfüllen.
- Zwei-Faktor-Authentifizierung zur weiteren Absicherung des Accounts des Auftraggebers
AWS
- SSH-Keys zur Identifizierung des Auftraggebers
- Routinemäßige protokollierte Prüfung des physischen Zugangs von Mitarbeitenden und Auftragnehmern zu den Einrichtungen.
- Durchführung physischer Barriere-Kontrollen an den Einrichtungen. Elektronische Validierung der Zugangskontrolle (z. B. Kartenzugangssysteme) oder Validierung durch Sicherheitspersonal (z. B. Vertrags- oder Werkswachdienst, Rezeptionist)
- Verpflichtung zum Tragen von Lichtbildausweisen für Mitarbeitende und Auftragnehmer während des Aufenthalts in Einrichtungen
- Pflicht zur Anmeldung und zum Tragen eines Besucherausweises für Besucher. Zusätzlich werden Besucher ständig von autorisierten Mitarbeitern oder Auftragnehmern begleitet.
Weiteres
- Externe Zugriffe (z. B. durch Dienstleister) erfolgen ausschließlich über gesicherte Verbindungen (VPN, Zero-Trust, MFA)
- Fernzugriffe werden protokolliert und sind zeitlich begrenzt
- Zugriff nur über definierte Systeme (z. B. keine lokalen Endgeräte ohne Kontrolle)
- Regelungen für Wartungszugriffe (Freigabeprozess, Ticketbindung)
Zugriffskontrolle
Maßnahmen, die gewährleisten sollen, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können und dass personenbezogene Daten bei der Verarbeitung, bei der Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.
Realisierte Maßnahmen
Professional works
- Durch Zugriffsrechte ist der Zugriff auf personenbezogene Daten für Unbefugte nicht möglich.
- Besondere Sicherheitsmaßnahmen für biometrische Signaturdaten
- Zusätzliche Verschlüsselung
- Verschlüsselung im Moment der Unterschriftserzeugung
- Zugriff nur mit privatem Schlüssel, der nur im Beweisfall von einem Gericht angefordert werden kann
- Keine Zugriffsmöglichkeit auf verschlüsselte biometrische Signaturdaten – auch nicht innerhalb des DEMV
AWS
- Berechtigungskonzept
- Zugriffskontrollen und Richtlinien
- Verwendung von Firewalls oder funktional gleichwertiger Technologie und Authentifizierungskontrollen
- Eingeschränkter Zugriff für Mitarbeitende und Auftragnehmer. AWS bietet Zugang zu den Einrichtungen für Mitarbeiter und Auftragnehmer, die einen legitimen geschäftlichen Bedarf für einen solchen Zugriff haben. Sobald dieser geschäftliche Bedarf nicht mehr besteht, werden zugewiesene Zugangsberechtigungen umgehend entzogen, wenn der Mitarbeitende oder Auftragnehmer weiterhin für AWS oder seinen verbundenen Unternehmen tätig ist.
Weiteres
- Zugriff externer Dienstleister erfolgt ausschließlich rollenbasiert und minimal (Least-Privilege-Prinzip)
- Zugriffe von Dienstleistern werden vollständig protokolliert und regelmäßig überprüft
- Administrative Zugriffe von Dienstleistern sind besonders geschützt (z. B. MFA, Jump-Hosts, zeitlich begrenzte Freigaben)
Auftragskontrolle
Maßnahmen, die gewährleisten sollen, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können.
Realisierte Maßnahmen
DEMV
- Sorgfältige Auswahl von Auftragnehmern hinsichtlich Datensicherheit
- Vereinbarung von wirksamen Kontrollrechten mit jedem Auftragnehmer
- Vorherige Prüfung der Sicherheitsmaßnahmen und Dokumentation
- Gewährleistung laufender Überprüfungen
- Schriftliche Abfassung von Weisungen
- Vereinbarung von Vertragsstrafen bei Verstößen
- Verpflichtung der Mitarbeitenden des Auftragnehmers auf das Datengeheimnis
- Sicherstellung der Datenvernichtung nach Beendigung des Auftrags
- Klare Definition der Verantwortlichkeiten zwischen Auftraggeber und Dienstleister
- Dokumentierte Weisungsprozesse (z. B. Ticketsystem, definierte Ansprechpartner)
- Regelmäßige Audits und Kontrollmaßnahmen beim Dienstleister
- Nachweisführung über Einhaltung der TOM (z. B. Auditberichte, Zertifikate)
- Regelung zur Unterstützung bei Betroffenenrechten (Auskunft, Löschung etc.)
Dienstleister– und Subdienstleisterkontrolle (Erweiterung Art. 28 / Art. 32 DSGVO)
Realisierte Maßnahmen
DEMV
- Einsatz von Dienstleistern ausschließlich auf Grundlage eines AV-Vertrags gem. Art. 28 DSGVO
- Vor Einsatz erfolgt eine strukturierte Sicherheitsprüfung (z. B. anhand von Zertifizierungen wie ISO 27001, BSI, SOC2)
- Dokumentierte Bewertung der TOM des Dienstleisters vor Beauftragung
- Regelmäßige Überprüfung und Re-Evaluierung der Dienstleister (z. B. jährlich oder anlassbezogen)
- Einsatz von Subdienstleistern nur nach vorheriger Freigabe und Prüfung
- Verpflichtung aller Dienstleister-Mitarbeitenden auf Vertraulichkeit und Datengeheimnis (auch über Vertragsende hinaus)
- Transparente Dokumentation aller eingesetzten Subdienstleister (z. B. Anlage / URL-Liste)
- Einschränkung des Zugriffs auf personenbezogene Daten nach dem Need-to-know-Prinzip
Trennungsgebot
Zu unterschiedlichen Zwecken erhobene Daten müssen getrennt verarbeitet werden können.
Realisierte Maßnahmen
DEMV
- Physikalisch getrennte Speicherung von Daten
- Trennung von Produktiv- und Testsystem
- Festlegung von Datenbankrechten
Integrität
Eingabekontrolle
Maßnahmen, die gewährleisten, dass nachträglich festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssystemen eingegeben, verändert oder entfernt wurden.
Realisierte Maßnahmen
DEMV
- Protokollierung der Eingabe, Änderung und Löschung von Daten
- Nachvollziehbarkeit von Änderungen durch individuelle Benutzernamen
- Aufbewahrung von Formularen, deren Daten in die automatisierte Verarbeitung aufgenommen wurden
- Protokollierung aller Aktivitäten externer Dienstleister (Zugriffe, Änderungen, Auswertungen)
- Nachvollziehbarkeit von forensischen Analysen und SIEM-Auswertungen
- Logging wird revisionssicher gespeichert und regelmäßig ausgewertet
Weitergabekontrolle
Es ist zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung, während des Transports oder der Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Zudem muss überprüfbar sein, an welchen Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.
Realisierte Maßnahmen
DEMV
- Daten werden während der Verarbeitung auf einer privaten und verschlüsselten Datenbank gespeichert
- Weitergabe von personenbezogenen Daten aus Professional works erfolgt stets verschlüsselt
Hetzner
- Alle Mitarbeitenden sind i. S. d. Art. 32 Abs. 4 DSGVO unterwiesen und verpflichtet, den datenschutzkonformen Umgang mit personenbezogenen Daten sicherzustellen
- Datenschutzgerechte Löschung der Daten nach Auftragsbeendigung
Weiteres
- Datenübermittlungen an Dienstleister außerhalb EU/EWR erfolgen nur auf Basis geeigneter Garantien (z. B. SCC, DPF)
- Dokumentation der Drittlandübermittlungen
- Minimierung der übertragenen Daten (Data Minimization)
- Verschlüsselung bei Übertragung und Speicherung beim Dienstleister
Verfügbarkeit
Maßnahmen zum Schutz von personenbezogenen Daten gegen zufällige Zerstörung oder Verlust.
Realisierte Maßnahmen
Hetzner (für interne Verwaltungssysteme des Aufragnehmers)
- Backup- und Recovery-Konzept mit täglicher Sicherung aller relevanten Daten
- Sachkundiger Einsatz von Schutzprogrammen (Virenscanner, Firewalls, Verschlüsselungsprogramme, SPAM-Filter)
- Festplattenspiegelung bei allen relevanten Servern
- Monitoring aller relevanten Server
- Unterbrechungsfreie Stromversorgung, Netzersatzanlage
- Dauerhaft aktiver DDoS-Schutz
Weiteres
- Notfallkonzepte bei Ausfall von Dienstleistern (z. B. SOC, Cloud)
- Regelmäßige Überprüfung der Wiederherstellungsfähigkeit
- Redundante Systeme bzw. Fallback-Prozesse
- SLA-Überwachung (Reaktionszeiten, Verfügbarkeit)
Bestätigung
Der Unterzeichnende bestätigt die Umsetzung der gelisteten technischen und organisatorischen Maßnahmen.
Übersicht Subdienstleister
Stand: 17.08.2026 | Anlage „Übersicht Subdienstleister“ zur AVV 03.2025 (Version: 10.03.2025)
| Unternehmen | Zweck der Verarbeitung | Status der Rechtmäßigkeit | Auftraggeber |
| Amazon Web Services Inc. 410 Terry Avenue Seattle, WA 98109 |
Hosting und Betrieb von Cloud-Infrastruktur zur Bereitstellung von Diensten und Anwendungen. | EU-US Data Privacy Framework | DEMV Systems |
| artBase! Software GmbH Im Oberflur 32 56766 Auderath |
Verwaltung innerhalb eines Maklerverwaltungsprogramms. | Land ist Mitglied des EWR | DEMV Systems |
| Atlassian 350 Bush Street San Francisco, CA 94104 |
Verwaltung von Projekten und Aufgaben innerhalb von Softwareentwicklung und Support. | EU-USA Data Privacy Framework | DEMV Systems |
| BANKSapi Pettenkoferstr. 35 80336 München |
Bereitstellung von Open-Banking-Funktionen in unserer App (z. B. Verknüpfung von Bankzugängen, starke Kundenauthentifizierung (SCA), Anzeige von Kontoständen und Umsätzen sowie Zahlungsfunktionen). | Land is Mitglied des EWR | DEMV |
| Barbary Software SL Carrer Doctor Trueta 65 08005 Barcelona, Spanien |
Bereitstellung von Feedback- und Ideenmanagement-Software zur Erfassung, Verwaltung und Priorisierung von Nutzerfeedback, insbesondere über Feature Upvote. | Land is Mitglied des EWR | DEMV Systems |
| Celonis SE One World Trade Center, 87th Floor New York, NY 10007 USA |
Analyse und Optimierung von Geschäftsprozessen. | EU-US Data Privacy Framework | DEMV Systems |
| Cloudflare Westminster Bridge Road Riverside Building Seattle, WA 98109 |
Hosting und Betrieb von Cloud-Infrastruktur zur Bereitstellung von Diensten und Anwendungen. | EU-US Data Privacy Framework | DEMV Systems |
| Covomo Versicherungsvergleich GmbH Rotfeder-Ring 5 60327 Frankfurt am Main |
Tarifierung von Versicherungsverträgen, um Angebote erstellen und Vertragsabschlüsse vornehmen zu können. | Land ist Mitglied des EWR | DEMV Systems |
| ConvertAPI UAB Lauksargio 111 Vilnius, LT-10105 |
Umwandlung von Dokumentenformaten zur weiteren Verarbeitung. | Land ist Mitglied des EWR | DEMV Systems |
| DEMV Systems GmbH Dammtorwall 7a 20354 Hamburg |
Betreiber und Weiter(Entwickler) des MVP Professional works. | Land ist Mitglied des EWR | DEMV |
| Digifors GmbH Torgauer Straße 231 04347 Leipzig, Deutschland |
Erbringung von IT-Sicherheits- und Cybersecurity-Dienstleistungen, insbesondere Security-Operations-Center-(SOC)-Leistungen, Überwachung von IT-Systemen sowie Auswertung von Sicherheitsereignissen und Logdaten zur Erkennung und Bearbeitung von IT-Sicherheitsvorfällen. | Land ist Mitglied des EWR | DEMV Systems |
| Easybell Brückenstraße 5a 10179 Berlin |
Bereitstellung von Telekommunikationsdiensten, insbesondere Telefonie. | Land ist Mitglied des EWR | DEMV |
| fb research GmbH Prinzenstraße 16 30159 Hannover |
Tarifierung von Versicherungsverträgen, um Angebote erstellen und Vertragsabschlüsse vornehmen zu können. |
Land ist Mitglied des EWR | DEMV |
| Finance Key Systems GmbH Franziskanerhof, Uhlstr. 19-23 50321 Brühl |
Unterstützung bei Finanz- und Versicherungsvermittlungs eines Abrechnungssystems zur Abrechnung und Reporting von Zahlungsströmen von Provisionen und Courtagen. |
Land ist Mitglied des EWR | DEMV |
| Fonds Finanz Maklerservice GmbH Riesstraße 25 80992 München |
Bereitstellung von Tarifierungs-, Vergleichs- und Abschlussmöglichkeiten für Versicherungsprodukte. | Land ist Mitglied des EWR | DEMV |
| Font Awesome 307 S. Main St. Bentonville, ARK 72712 |
Bereitstellung von Icons für eine benutzerfreundliche Darstellung von Webanwendungen. | EU-US Data Privacy Framework | DEMV |
| Functional Software, Inc. 132 Hawthorne St. San Francisco, CA 94107 |
Monitoring und Fehlerüberwachung von Anwendungen. | EU-US Data Privacy Framework | DEMV Systems |
| GitHub 88 Colin P. Kelly Jr. Street San Francisco, CA 94107, |
Versionsverwaltung und Entwicklung von Softwareprojekten. | EU-USA Data Privacy Framework | DEMV Systems |
| Google Ireland Limited Gordon House, Barrow Street Dublin 4, Irland |
Betrieb von Kommunikations-, Analyse- und Cloud-Diensten (z. B. Werbung, Dokumentenverwaltung, Tracking). | EU-US Data Privacy Framework | DEMV / DEMV Systems |
| Hetzner Industriestr. 25 91710 Gunzenhausen |
Hosting von Servern und Bereitstellung von IT-Infrastruktur. | Land ist Mitglied des EWR | DEMV / DEMV Systems |
| Intercom R&D Unlimited Company 124 St Stephen’s Green Dublin 2, Irland |
Persönliche Kommunikation mit Vermittlern mithilfe von gezielten Inhalten, verhaltensabhängigen E-Mails und Web-Nachrichten. | EU-US Data Privacy Framework | DEMV |
| Jung DMS & Cie AG Widenmayerstraße 36 80538 München |
Bereitstellung von Tarifierungs-, Vergleichs- und Abschlussmöglichkeiten für Versicherungsprodukte. | Land ist Mitglied des EWR | DEMV |
| LangChain 42 Decatur Street San Francisco CA 94103 |
Bereitstellung, Betrieb, Wartung und Verbesserung der Dienste (z. B. LangSmith, Website-Funktionen). | EU-Datenresidenzoptionen | DEMV-Systems |
| Mailjet SAS 3-13 bis, rue de l’Aubrac 75012 Paris |
Versand und Verwaltung von E-Mail-Kommunikation. | Land ist Mitglied des EWR | DEMV |
| Microsoft Ireland Operations Ltd One Microsoft Place, South County Business Park, Leopardstown Dublin 18, Irland |
Bereitstellung von Bürokommunikationssoftware und Cloud-Diensten (z. B. Outlook, Teams). Einsatz von KI-Services für die Optimierung von Prozessen, Inhalten und Abläufen. | EU-US Data Privacy Framework | DEMV / DEMV Systems |
| Mistral AI SAS 15 rue des Halles 75001 Paris, Frankreich |
Bereitstellung von KI-Modellen und generativen KI-Diensten zur automatisierten Verarbeitung, Analyse und Generierung von Texten und anderen Inhalten. Bei geschäftlicher Nutzung verarbeitet Mistral AI die vom Kunden übermittelten Daten als Auftragsverarbeiter. | Land ist Mitglied des EWR | DEMV Systems |
| MongoDB, Inc. 3 Shelbourne Building, Crampton Avenue Ballsbridge Dublin 4, Irland |
Bereitstellung von Datenbankdiensten zur Speicherung und Verarbeitung von Anwendungsdaten. | EU-US Data Privacy Framework | DEMV Systems |
| MORGEN & MORGEN GmbH Wickerer Weg 13-15 65719 Hofheim |
Tarifierung von Versicherungsverträgen, um Angebote erstellen und Vertragsabschlüsse vornehmen zu können. |
Land ist Mitglied des EWR | DEMV |
| Mr-Money Software GmbH Schillerstraße 3 09366 Stollberg |
Tarifierung von Versicherungsverträgen, um Angebote erstellen und Vertragsabschlüsse vornehmen zu können. |
Land ist Mitglied des EWR | DEMV |
| Nepatec GmbH Seelhorststraße 44 30175 Hannover |
Digitalisierung und Verarbeitung von Papierdokumenten und Antragsprozessen. | Land ist Mitglied des EWR | DEMV |
| Open AI Ireland Limited 1st Floor, The Liffey Trust Centre 117–126 Sheriff Street Upper Dublin 1, D01 YC43, Irland |
Bereitstellung von KI-Diensten und -Modellen zur automatisierten Verarbeitung, Analyse und Generierung von Texten und anderen Inhalten, einschließlich der Nutzung über die OpenAI API. Bei Business- und API-Diensten verarbeitet OpenAI die vom Kunden übermittelten personenbezogenen Daten grundsätzlich als Auftragsverarbeiter. | Land ist Mitglied des EWR | DEMV Systems |
| Raidboxes GmbH Hafenstrasse 32 48153 Münster |
Hosting von Servern und Bereitstellung von IT-Infrastruktur. | Land ist Mitglied des EWR | DEMV und DEMV Systems |
| Slack Technologies, LLC (Salesforce) 00 Howard Street San Francisco, CA 94105 |
Tarifierung von Versicherungsverträgen, um Angebote erstellen und Vertragsabschlüsse vornehmen zu können. |
Land ist Mitglied des EWR | DEMV Systems |
| Smart InsurTech AG Heidestraße 8 10557 Berlin |
Tarifierung von Versicherungsverträgen, um Angebote erstellen und Vertragsabschlüsse vornehmen zu können. | Land ist Mitglied des EWR | DEMV |
| Softfair GmbH Albert-Einstein-Ring 15 22761 Hamburg |
Tarifierung von Versicherungsverträgen, um Angebote erstellen und Vertragsabschlüsse vornehmen zu können. |
Land ist Mitglied des EWR | DEMV |
| Thinksurance GmbH Niddastraße 91 60329 Frankfurt am Main |
Tarifierung von Versicherungsverträgen, um Angebote erstellen und Vertragsabschlüsse vornehmen zu können. | Land ist Mitglied des EWR | DEMV |
| Zoiper 120 Tintyava Str. 1113 Sofia, Bulgaria |
Bereitstellung von Telekommunikationsdiensten, insbesondere Telefonie. | Land ist Mitglied des EWR | DEMV |