Technische und organisatorische Maßnahmen

1. Grundsätze

Schutzmaßnahmen richten sich nach Art, Umfang, Umständen und Zweck der Verarbeitung sowie den Risiken für betroffene Personen. CrewKlar verfolgt die Grundsätze Datenminimierung, Zweckbindung, Vertraulichkeit, Integrität, Verfügbarkeit und nachvollziehbare Verantwortlichkeit.

2. Zutritts- und Infrastrukturkontrolle

Produktivsysteme werden in professionell betriebenen Rechenzentrumsumgebungen gehostet. Der physische Zutritt zu Servern liegt beim Hostinganbieter und ist auf autorisierte Personen beschränkt. Administrativer Zugriff auf Hosting und Datenbanken ist nur für festgelegte Betreiberzugänge vorgesehen.

3. Zugangs- und Authentifizierungsschutz

• individuelle Benutzerkonten statt gemeinsam genutzter Verwaltungszugänge,
• starke, einmalige Passwörter und Verwaltung sensibler Betreiberzugänge in einem Passwortmanager,
• Passwörter werden ausschließlich als sicherer Prüfwert und nicht im Klartext gespeichert,
• Zwei-Faktor-Anmeldung für geschützte Vereinsverwaltungszugänge,
• begrenzte Anmeldeversuche und sicherheitsbezogene Prüfungen,
• technisch notwendige, geschützte Sitzungen.

4. Zugriffs- und Berechtigungskonzept

• rollenabhängige Rechte für Vereinsadmin, Organisation und weitere Aufgaben,
• getrennte öffentliche, Kassen- und Verwaltungsbereiche,
• separates Kassenpasswort ohne Zugriff auf die vollständige Vereinsverwaltung,
• Trennung der Daten nach Verein beziehungsweise Mandant,
• Zugriff nur im erforderlichen Umfang.

5. Übertragung und Weitergabe

• verschlüsselte Übertragung über HTTPS,
• persönliche Änderungs- und Stornierungslinks mit zufällig erzeugten, zeitlich begrenzten Tokens,
• keine öffentliche Anzeige von E-Mail-Adressen und Telefonnummern,
• keine Speicherung vollständiger Kartendaten durch CrewKlar,
• Weitergabe an Dienstleister nur soweit für Hosting, E-Mail oder optionale Zahlungsabwicklung erforderlich.

6. Eingabe-, Änderungs- und Protokollkontrolle

Sicherheitsrelevante Verwaltungsaktionen werden nachvollziehbar protokolliert. Formulare sind gegen unberechtigte oder unbemerkte Anfragen geschützt. Änderungen an Rollen, Zugängen, Mandanten- und Organisationsdaten sind nur nach Anmeldung und Berechtigungsprüfung möglich.

7. Verfügbarkeit, Sicherung und Wiederherstellung

Für produktive Daten werden geregelte Sicherungs- und Wiederherstellungsabläufe vorgesehen. Systemzustand, E-Mail-Verarbeitung und geplante Erinnerungen werden überwacht. Aktualisierungen werden vor der Übernahme geprüft; bei Störungen werden Ursache, Auswirkung und Wiederherstellung nachvollzogen.

8. Trennung, Datenminimierung und Löschung

Vereinsdaten werden logisch voneinander getrennt. Öffentliche Ansichten zeigen nur die für Auswahl und Buchung erforderlichen Informationen. Personenbezogene Daten werden nicht länger als erforderlich vorgehalten; konkrete Fristen und Löschabläufe werden mit dem verantwortlichen Verein festgelegt.

9. Organisation und Personen

Zugriffsberechtigte Personen werden auf Vertraulichkeit und sicheren Umgang mit Daten verpflichtet. Berechtigungen werden bei Aufgabenwechsel oder Ausscheiden angepasst beziehungsweise entzogen. Sicherheitsvorfälle werden dokumentiert, bewertet und – soweit erforderlich – unverzüglich an den verantwortlichen Verein gemeldet.

10. Kontrolle und Weiterentwicklung

Die Wirksamkeit der Maßnahmen wird regelmäßig sowie nach wesentlichen Änderungen überprüft. Erkenntnisse aus Tests, Störungen und Sicherheitsmeldungen fließen in die Weiterentwicklung ein. Technische Details, deren Veröffentlichung die Sicherheit beeinträchtigen könnte, werden nur berechtigten Vertragspartnern zur Verfügung gestellt.