Technische und organisatorische Maßnahmen
Anlage 4 zur Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag
kyl.immo GmbH, Sailerstraße 17, 80809 München. Stand: 21. August 2026 (ersetzt die Fassung vom 25. Mai 2023).
Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die die kyl.immo GmbH als Auftragsverarbeiter umsetzt. Es wird in seiner jeweils aktuellen Fassung unter kyl.immo/tom bereitgestellt.
Diese Fassung führt die Maßnahmen der Fassung vom 25. Mai 2023 fort und bringt Leistungsbeschreibung und eingesetzte Infrastruktur auf den aktuellen Stand.
1. Vertraulichkeit
1.1. Zutrittskontrolle
Die kyl.immo GmbH betreibt keine eigenen Serverräume. Die Verarbeitung findet ausschließlich in Rechenzentren der in Anlage 2 der Vereinbarung (kyl.immo/avv) genannten Auftragsverarbeiter statt. Für den physischen Zutritt gelten die Maßnahmen der jeweiligen Rechenzentrumsbetreiber, insbesondere Zutrittskontrolle über personalisierte Berechtigungen, Videoüberwachung und protokollierter Zutritt. Die Nachweise der Betreiber werden auf Anfrage zur Verfügung gestellt.
Die Arbeitsplätze der Beschäftigten befinden sich in den Geschäftsräumen in München oder unterliegen der Regelung zum mobilen Arbeiten nach Ziffer 6. Das Bürogebäude ist außerhalb der Geschäftszeiten verschlossen und über ein Schließsystem des Eigentümers gesichert. Schlüssel und Zugangskarten werden ausschließlich an Beschäftigte der kyl.immo GmbH ausgegeben.
Netzwerktechnik sowie schriftliche Verträge und Unterlagen zu Kunden und Beschäftigten werden in verschlossenen Schränken aufbewahrt, zu denen nur die kyl.immo GmbH Zugang hat. Das Funknetz der Geschäftsräume ist ausschließlich für Beschäftigte bestimmt, die Netzkennung wird nicht öffentlich ausgestrahlt und das Zugangspasswort regelmäßig gewechselt. Besucher werden nicht unbeaufsichtigt in den Räumen gelassen; Besuche werden dokumentiert. Für die Vernichtung von Unterlagen steht ein Aktenvernichter der Sicherheitsstufe P-4 nach DIN 66399 bereit.
1.2. Zugangskontrolle
Der Zugang zu den Systemen erfolgt ausschließlich über personengebundene Benutzerkonten. Eine Weitergabe von Zugangsdaten ist untersagt, gemeinsam genutzte Arbeitsgeräte gibt es nicht. Zugänge zu Verwaltungsoberflächen und zur Infrastruktur sind auf den Kreis der Personen beschränkt, die sie zur Aufgabenerfüllung benötigen.
Für Passwörter gilt eine Mindestlänge von zehn Zeichen bei Verwendung von Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen. Fehlerhafte Anmeldeversuche werden protokolliert; bei mehrfacher Fehleingabe wird das betroffene Konto gesperrt. Für zentrale Zugänge und für Konten mit weitreichenden Rechten wird eine Zwei-Faktor-Authentisierung eingesetzt.
Passwörter werden ausschließlich in einem zentralen Passwortmanager verwaltet und dort nach Kunden und Aufgabenbereichen getrennt abgelegt. Eine Weitergabe außerhalb dieses Systems findet nicht statt, insbesondere nicht in E-Mails, Nachrichten oder Dateien.
Arbeitsgeräte, die Zugriff auf personenbezogene Daten haben, sind passwortgeschützt und verschlüsselt. Beschäftigte sind angewiesen, ihre Geräte beim Verlassen des Arbeitsplatzes zu sperren. Server- und Arbeitsplatzsysteme werden regelmäßig mit Sicherheitsaktualisierungen versorgt und verfügen über Schutz gegen Schadsoftware mit tagesaktuellen Signaturen. Der Zugriff aus dem Internet und auf das Internet ist durch Firewalls abgesichert. Administrative Zugriffe auf Serversysteme erfolgen ausschließlich über verschlüsselte Verbindungen.
Scheidet eine Person aus oder entfällt die Erforderlichkeit, wird der Zugang unverzüglich gesperrt oder gelöscht. Die Zuordnung der Zugänge wird regelmäßig überprüft.
1.3. Zugriffskontrolle
Berechtigungen werden nach dem Grundsatz der erforderlichen Kenntnis vergeben. Zugriff auf Daten, Datenbanken und Anwendungen erhalten nur Personen, die diese für Betrieb, Pflege, Entwicklung oder Support benötigen. Innerhalb der Anwendung werden Berechtigungen nach Rollen vergeben; der Umfang der Rechte richtet sich nach der Aufgabe der jeweiligen Person. Zugriffe auf Produktionsdaten durch Beschäftigte der kyl.immo GmbH erfolgen nur, soweit dies zur Erbringung der vereinbarten Leistungen, zur Fehlerbehebung oder aufgrund einer Weisung des Auftraggebers erforderlich ist.
1.4. Trennungskontrolle
Die Daten verschiedener Auftraggeber werden logisch getrennt verarbeitet. Jeder Datensatz ist einer Mandantenkennung zugeordnet, und jede Abfrage der Anwendung erfolgt gegen diese Kennung. Ein Zugriff eines Auftraggebers auf Daten eines anderen Auftraggebers ist dadurch ausgeschlossen.
2. Integrität
2.1. Weitergabekontrolle
Die Übertragung personenbezogener Daten erfolgt ausschließlich über verschlüsselte Verbindungen nach dem Stand der Technik. Das gilt für den Zugriff der Nutzer auf die Anwendung, für die Anbindung der Systeme des Auftraggebers und für die Übermittlung an die in Anlage 2 genannten Auftragsverarbeiter.
Ein Transport personenbezogener Daten auf physischen Datenträgern findet nicht statt.
2.2. Eingabekontrolle
Systemzugriffe und Verarbeitungsvorgänge werden protokolliert. Die Protokolldaten ermöglichen die Nachvollziehbarkeit, welche Verarbeitungsschritte zu welchem Zeitpunkt erfolgt sind. Das Anlegen und Ändern von Zugangsdaten, die im Auftrag eines Kunden verwendet werden, wird im eingesetzten Passwortmanager protokolliert.
3. Verfügbarkeit und Belastbarkeit
Die Verarbeitung erfolgt in Rechenzentren, die auf redundante Auslegung von Strom, Kühlung und Netzanbindung ausgelegt sind. Die kyl.immo GmbH gewährleistet für ihre Software eine Verfügbarkeit von 95 Prozent im Jahresmittel nach Maßgabe ihrer Allgemeinen Geschäftsbedingungen (kyl.immo/agb).
Die Verfügbarkeit der Systeme wird überwacht. Störungen werden erfasst und nach Priorität bearbeitet.
Von den Datenbeständen werden Sicherungen erstellt und getrennt von den Produktivsystemen aufbewahrt, um einen Verlust bei Ausfall eines Systems zu vermeiden. Der Zugriff auf Sicherungen und auf die zur Zusammenarbeit genutzten Cloud-Speicher ist durch Zwei-Faktor-Authentisierung geschützt.
4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
4.1. Auftragskontrolle
Die Verarbeitung erfolgt ausschließlich auf Grundlage der Vereinbarung über die Verarbeitung im Auftrag und der Weisungen des Auftraggebers. Die zum Empfang von Weisungen berechtigte Person ist in Anlage 1 der Vereinbarung benannt.
Mit allen Auftragsverarbeitern, die im Auftrag der kyl.immo GmbH personenbezogene Daten verarbeiten, bestehen Verträge nach Art. 28 DSGVO. Vor der Beauftragung wird geprüft, ob der Auftragsverarbeiter die erforderlichen technischen und organisatorischen Maßnahmen umsetzt. Änderungen im Kreis der Auftragsverarbeiter werden dem Auftraggeber nach den Regelungen der Vereinbarung mitgeteilt.
4.2. Einsatz von Systemen künstlicher Intelligenz
Für die Auswertung von Daten werden Sprachmodelle eingesetzt. Es werden ausschließlich Anbieter und Tarife genutzt, bei denen die übermittelten Daten vertraglich nicht zum Training oder zur Verbesserung der Modelle des Anbieters verwendet werden. Die Ergebnisse dienen der Vorbereitung von Entscheidungen des Auftraggebers; eine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 DSGVO findet nicht statt.
4.3. Datenschutzorganisation
Ein Datenschutzbeauftragter ist nicht bestellt, weil die Voraussetzungen des § 38 BDSG nicht erfüllt sind. Ansprechpartner für den Datenschutz ist die Geschäftsführung.
Es besteht ein Datenschutzmanagement mit einer Leitlinie zu Datenschutz und Datensicherheit sowie ergänzenden Richtlinien. Die Richtlinien werden regelmäßig auf ihre Wirksamkeit überprüft und angepasst.
Der Auftraggeber kann die Einhaltung der Maßnahmen nach den Regelungen der Vereinbarung kontrollieren. Auf Anfrage wird einmal jährlich eine aktuelle Fassung dieses Dokuments zur Verfügung gestellt.
5. Pseudonymisierung und Verschlüsselung
Personenbezogene Daten werden bei der Übertragung verschlüsselt. Zugangsdaten werden nicht im Klartext gespeichert. Soweit für einen Verarbeitungsschritt keine identifizierenden Merkmale erforderlich sind, werden diese nicht übermittelt.
6. Mobiles Arbeiten
Die Verarbeitung von Daten beim mobilen Arbeiten, also im Homeoffice oder in Telearbeit von Beschäftigten der kyl.immo GmbH, ist gestattet, wenn die folgenden Bedingungen erfüllt sind:
- Es werden ausschließlich Firmengeräte eingesetzt, die dem hier beschriebenen Sicherheitskonzept unterliegen, oder es wird auf andere Weise gewährleistet, dass die Maßnahmen nach Art. 32 DSGVO auch in diesem Fall eingehalten werden.
- Die Beschäftigten sind entsprechend geschult.
- Der Zugriff erfolgt ausschließlich über verschlüsselte Verbindungen. In fremden Netzen wird zusätzlich ein verschlüsselter Tunnel eingesetzt.
- Unbefugte, auch Angehörige, dürfen keine Einsicht in personenbezogene Daten nehmen können.
7. Beschäftigte
Die Beschäftigten der kyl.immo GmbH sind mit den für sie maßgeblichen Bestimmungen des Datenschutzes vertraut gemacht und haben eine Verpflichtung auf Vertraulichkeit nach der DSGVO unterzeichnet. Externe Mitarbeitende, Kooperationspartner und Auftragsverarbeiter, die Zugang zu Daten erhalten können, haben eine Vertraulichkeitsvereinbarung unterzeichnet. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus und wird dem Auftraggeber auf Anfrage nachgewiesen.
8. Meldung von Verletzungen des Schutzes personenbezogener Daten
Wird der kyl.immo GmbH eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Auftrag verarbeitete Daten betrifft, informiert sie den betroffenen Auftraggeber unverzüglich und stellt die Angaben bereit, die dieser für seine Meldung nach Art. 33 und 34 DSGVO benötigt. Die weiteren Einzelheiten regelt die Vereinbarung über die Verarbeitung im Auftrag.
9. Löschung und Vernichtung
Digitale Daten werden nach Beendigung des Auftrags oder nach Ablauf gesetzlicher Aufbewahrungsfristen gelöscht und so überschrieben, dass eine Wiederherstellung ohne erheblichen Aufwand nicht möglich ist. Ausgemusterte Speichermedien mit personenbezogenen Daten werden vor der Entsorgung physisch vernichtet. Die Vernichtung von Unterlagen in Papierform erfolgt im Haus nach DIN 66399.
Die Fristen und das Verfahren für die Löschung nach Beendigung der Vereinbarung ergeben sich aus der Vereinbarung über die Verarbeitung im Auftrag.
Dieses Dokument wird bei Änderungen der Verarbeitung oder der eingesetzten Infrastruktur aktualisiert. Maßgeblich ist die zum Zeitpunkt des Vertragsschlusses abrufbare Fassung; wesentliche Änderungen werden dem Auftraggeber nach den Regelungen der Vereinbarung mitgeteilt.