---
title: "TOM: Technische und organisatorische Maßnahmen | CreatorFlow"
description: "Die technischen und organisatorischen Maßnahmen (TOM) von CreatorFlow: wie wir personenbezogene Daten schützen, die unser Instagram-DM-Dienst verarbeitet."
url: "https://creatorflow.so/de/legal/technical-and-organisational-measures"
language: "de"
---

RECHTLICHES

# Technische und organisatorische Maßnahmen (TOM)

Dies ist eine Übersetzung zu deiner Information. Weicht sie von der englischen Fassung ab, gilt die englische Fassung. [Englische Fassung lesen](https://creatorflow.so/legal/technical-and-organisational-measures)

**Gültig ab:** 16. September 2026

**Zuletzt aktualisiert:** 16. September 2026

Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen (TOM), die CreatorFlow Labs S.L. zum Schutz der über den CreatorFlow-Service verarbeiteten personenbezogenen Daten umsetzt. Es bildet eine Anlage zu unserem Auftragsverarbeitungsvertrag (AVV) und folgt der Gliederung der Standard-TOM-Checkliste, die bei Datenschutzprüfungen verwendet wird. Trifft eine Maßnahme auf unseren Aufbau nicht zu, geben wir dies an und erläutern den Grund. Die Maßnahmen beschreiben, wie der Service heute betrieben wird; wir aktualisieren diese Seite, wenn sie sich ändern.

## 1. Geltungsbereich und Aufbau

Der Aufbau von CreatorFlow erklärt, warum mehrere klassische Punkte der Checkliste nicht direkt auf uns zutreffen.

- **Unternehmen:** CreatorFlow Labs S.L., Madrid, Spanien. Ein kleines Team, das vollständig remote arbeitet. Wir betreiben keine eigenen Server, keine Serverräume und kein Büronetzwerk. In den Geschäftsräumen des Unternehmens werden keine personenbezogenen Daten gespeichert.
- **Hosting:** Der gesamte Service läuft auf Amazon Web Services (AWS) in der Europäischen Union, Region eu-west-1 (Irland). Anwendung, Datenbanken, Caches, Objektspeicher und Backups liegen alle in dieser Region.
- **Verarbeitete Daten:** Instagram-Benutzernamen und öffentliche Profilkennungen, der Text von Kommentaren und Direktnachrichten, die Automatisierungen auslösen oder aus ihnen entstehen, über Automatisierungen gesammelte E-Mail-Adressen, Link-Klick-Ereignisse sowie Konto- und Abrechnungsdaten der Kunden. Eine Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht vorgesehen.
- **Geteilte Verantwortung:** Für die physische und umgebungsbezogene Sicherheit der Rechenzentren sorgt AWS. Alles ab dem Betriebssystem aufwärts betreibt CreatorFlow. Jeder der folgenden Abschnitte nennt, auf welcher Seite eine Maßnahme liegt.

## 2. Zutrittskontrolle

Maßnahmen, die verhindern, dass Unbefugte physisch Zutritt zu Systemen erhalten, die personenbezogene Daten verarbeiten.

- **Geschäftsräume:** Nicht anwendbar. In den Geschäftsräumen von CreatorFlow befinden sich keine Server, keine Netzwerkgeräte und keine Datenträger mit personenbezogenen Daten. Abschließbare Serverräume, Serverschränke, Schlüsselverwaltung, Besucherprotokolle, Alarmanlagen und Regeln für Reinigungs- oder Wartungspersonal gelten daher nicht für uns.
- **Rechenzentren (AWS):** Von AWS übernommen. Die Rechenzentren von AWS setzen Perimeterschutz, Zutrittskontrolle mit Ausweis und biometrischen Verfahren, Begleitung von Besuchern, Videoüberwachung und Protokollierung der Zutritte um. Diese Maßnahmen werden nach ISO 27001 und SOC 2 geprüft. Die Berichte stehen Kunden auf Anfrage über uns oder direkt über AWS Artifact zur Verfügung.
- **Notstrom und Brandschutz:** Von AWS übernommen. Die Rechenzentren betreiben redundante Stromeinspeisungen, unterbrechungsfreie Stromversorgungen und Generatoren sowie automatische Brandmelde- und Löschsysteme. Dieselben Prüfberichte decken diese Maßnahmen ab.

## 3. Zugangskontrolle

Maßnahmen, die eine unbefugte Nutzung von Systemen verhindern.

- **Authentifizierung der Kunden:** Kunden melden sich mit E-Mail-Adresse und Passwort oder mit Google an. Das Registrierungsformular verlangt Passwörter mit mindestens 8 Zeichen. Diese Mindestlänge wird derzeit nur im Browser durchgesetzt, nicht serverseitig. Passwörter werden als gesalzene Hashes gespeichert, nie im Klartext. Die Umstellung auf einen modernen Algorithmus für Passwort-Hashing (bcrypt oder argon2) wird als offener Punkt geführt. Neue Konten werden nach einer reCAPTCHA-Prüfung angelegt. Eine Bestätigung der E-Mail-Adresse vor der ersten Nutzung wird derzeit nicht erzwungen.
- **Sitzungen:** Sitzungen werden serverseitig gespeichert. Sie werden über ein signiertes Cookie mit dem HttpOnly-Flag referenziert. Das Cookie ist auf unsere Domain beschränkt und läuft nach 7 Tagen ab. Das Secure-Flag ist bei diesem Cookie noch nicht gesetzt. Das Setzen dieses Flags steht auf unserer Sicherheits-Roadmap. Eine Änderung des Passworts beendet die aktuelle Sitzung und widerruft Remember-me-Tokens, beendet derzeit aber keine anderen aktiven Sitzungen auf anderen Geräten. Ändert ein Administrator die E-Mail-Adresse eines Kontos, werden alle Sitzungen dieses Nutzers ungültig.
- **Kontosperre:** Eine automatische Kontosperre nach wiederholten fehlgeschlagenen Anmeldeversuchen gibt es noch nicht. Weitere Schutzmaßnahmen gegen den Missbrauch der Anmeldung stehen auf unserer Sicherheits-Roadmap. Links zum Zurücksetzen des Passworts werden nur an die E-Mail-Adresse gesendet, die für das Konto hinterlegt ist.
- **Zugang zu Instagram:** Wir fragen nie nach Instagram-Passwörtern und speichern sie nie. Instagram-Konten werden über den offiziellen OAuth-2.0-Ablauf von Meta verbunden. Die dabei erzeugten Zugriffstokens werden vor dem Speichern auf Anwendungsebene verschlüsselt (AES-256).
- **Zugang des Personals zur Infrastruktur:** Der Zugang zur AWS-Konsole, zu Servern und zu Verwaltungsfunktionen ist auf namentlich benanntes Personal mit individuellen Zugangsdaten beschränkt. Der Zugang zu Servern erfolgt per SSH mit individuellen Schlüsseln. Verwaltungsfunktionen in der Anwendung sind auf ein einziges, per Allowlist freigegebenes Administratorkonto beschränkt und unterliegen einer Ratenbegrenzung.

## 4. Zugriffskontrolle

Maßnahmen, die sicherstellen, dass Personen nur auf Daten zugreifen können, für die sie eine Berechtigung haben.

- **Mandantenzuordnung:** Jeder Kundendatensatz (Automatisierungen, Kontakte, Aktivitäten, Analysen) wird mit der Kennung des Workspace gespeichert, zu dem er gehört. Die Anwendung zeigt einem Nutzer nur die Workspaces, in denen er Mitglied ist. Serverseitige Prüfungen der Workspace-Mitgliedschaft gibt es bereits für einen Teil der API. Sie werden derzeit auf jeden Endpunkt mit Workspace-Bezug erweitert. Bis das abgeschlossen ist, bezeichnen wir die Mandantentrennung auf der API-Ebene nicht als vollständig durchgesetzt.
- **Need-to-know-Prinzip:** Nur namentlich benanntes Personal, das den Service betreibt, kann auf Produktionsdaten zugreifen, und nur für Support, die Bearbeitung von Vorfällen und Wartung.
- **Schutz von Zugangsdaten:** Instagram-Zugriffstokens werden im Ruhezustand verschlüsselt und bei Lesezugriffen auf die Datenbank standardmäßig ausgeschlossen. Gewöhnliche Abfragen oder Exporte geben sie daher nicht zurück.
- **Zahlungsdaten:** Kartendaten werden vollständig von Stripe verarbeitet. CreatorFlow erhält und speichert nie vollständige Kartennummern.

## 5. Weitergabekontrolle

Maßnahmen, die personenbezogene Daten bei der Übertragung und Weitergabe schützen.

- **Verschlüsselung bei der Übertragung:** Verbindungen zwischen Nutzern und dem Service sowie zwischen dem Service und Meta, Stripe und unseren E-Mail- und Logging-Anbietern sind mit TLS verschlüsselt.
- **Unterauftragsverarbeiter:** Personenbezogene Daten geben wir nur an die in Abschnitt 5 des AVV aufgeführten Unterauftragsverarbeiter weiter, und zwar auf Grundlage von Datenverarbeitungsbedingungen. Die Daten werden in der Europäischen Union gehostet und protokolliert. Übermittlungen an Unterauftragsverarbeiter außerhalb der EU stützen sich auf Standardvertragsklauseln oder das EU-US Data Privacy Framework, wie im AVV festgelegt.
- **Exporte:** Kunden können ihre gesammelten Kontakte als CSV-Datei exportieren. Nach dem Export liegen diese Daten in der Kontrolle und Verantwortung des Kunden.
- **Wechseldatenträger:** Nicht anwendbar. Für personenbezogene Daten werden keine Wechseldatenträger (USB-Sticks, externe Festplatten, Backup-Bänder) genutzt. Ein Datenträgerverzeichnis ist daher nicht erforderlich.

## 6. Protokollierung und Eingabekontrolle

Maßnahmen, mit denen sich feststellen lässt, wer wann auf personenbezogene Daten zugegriffen oder sie geändert hat.

- **Anwendungs-Logs:** Die Anwendung schreibt strukturierte Logs für jeden verarbeiteten Webhook, jeden Durchlauf einer Automatisierung, jedes Senden einer Nachricht und jede API-Anfrage. Jeder Eintrag trägt eine Korrelations-ID, damit sich ein einzelnes Ereignis durchgängig nachverfolgen lässt.
- **Zugriffs-Logs:** Die HTTP-Schicht schreibt pro Anfrage eine Zeile in das Zugriffs-Log.
- **Zentrale Speicherung und Aufbewahrung:** Alle Logs werden an eine in der EU gehostete Logging-Plattform (New Relic, EU-Datenregion) übertragen und 30 Tage lang aufbewahrt. Nutzer der Anwendung können Logs nicht bearbeiten.
- **Audit-Log für Verwaltungsaktionen:** Aktionen, die das Personal von CreatorFlow über die Verwaltungsoberfläche an Kundenkonten ausführt, darunter das Löschen von Konten und Änderungen der E-Mail-Adresse eines Kontos, werden in ein Audit-Log geschrieben. Jeder Eintrag nennt den handelnden Administrator, den Zeitstempel und das Ergebnis.
- **Fehlgeschlagene Anmeldungen:** Fehlgeschlagene Anmeldeversuche von Kunden werden derzeit nicht in ein eigenes Sicherheits-Log geschrieben. Das steht auf unserer Sicherheits-Roadmap.

## 7. Trennungskontrolle

Maßnahmen, die für unterschiedliche Zwecke und für unterschiedliche Kunden erhobene Daten getrennt halten.

- **Trennung nach Kunden:** Kundendaten sind auf der Datenebene logisch nach der Workspace-Kennung getrennt (Mandantenfähigkeit). Kunden können über die Anwendung keine Daten sehen, die zu anderen Workspaces gehören.
- **Funktionale Trennung:** Konto- und Authentifizierungsdaten liegen in einer eigenen Datenbank, getrennt von den Anwendungsdaten (Automatisierungen, Kontakte, Analysen).
- **Umgebungen:** Automatisierte Tests laufen gegen eine isolierte In-Memory-Datenbank und greifen nie auf Produktionsdaten zu. Die tägliche Entwicklung nutzt lokale Datenbanken. Namentlich benanntes Personal fragt Produktionsdaten für Support, Fehlersuche und die Untersuchung von Vorfällen auch direkt ab. Es gibt eine einzige Produktionsumgebung und keine separate Staging-Umgebung. Änderungen werden vor dem Release lokal und durch die automatisierte Testsuite geprüft und können zurückgerollt werden.
- **Physische Trennung:** Über die Grenze des AWS-Kontos hinaus nicht anwendbar. Alle Workloads laufen in einem dedizierten AWS-Konto, das CreatorFlow gehört.

## 8. Verfügbarkeitskontrolle und Belastbarkeit

Maßnahmen, die personenbezogene Daten vor zufälligem Verlust oder zufälliger Zerstörung schützen und die Verfügbarkeit des Service sichern.

- **Infrastruktur:** Der Service läuft in einer einzigen AWS-Region (eu-west-1) in einer Auto-Scaling-Gruppe, die einen ausgefallenen Compute-Host automatisch ersetzt. Die Daten liegen auf persistenten Speichervolumes, die den Austausch des Hosts überstehen.
- **Snapshots:** Vor Änderungen an der Infrastruktur werden Snapshots der Volumes erstellt und in derselben AWS-Region aufbewahrt. Snapshots, die personenbezogene Daten enthalten können, werden im Rahmen der Rotation gelöscht.
- **Ausfallsicherheit der Webhooks:** Meta sendet Instagram-Webhooks nach einem vorübergehenden Ausfall eine Zeit lang erneut, und Stripe wiederholt Abrechnungs-Webhooks über mehrere Tage. Bei kurzen Unterbrechungen gehen daher keine Ereignisse verloren.
- **Monitoring:** Zustand, Durchsatz und Fehlerraten der Anwendung überwachen wir über unsere Logging-Plattform. Deployments beobachten wir im Vergleich mit einer Baseline, die vor dem Deployment gemessen wurde.
- **Grenzen:** Es gibt kein Failover über mehrere Regionen und keine formell zugesagten Ziele für die Wiederherstellungszeit oder den Wiederherstellungspunkt. Der Service ist nicht für Anwendungsfälle vorgesehen, die eine garantierte, ununterbrochene Verfügbarkeit verlangen.
- **Ausfallsicherheit der Rechenzentren:** Von AWS übernommen (redundante Stromversorgung, Kühlung und Netzwerkanbindung, Löschsysteme), siehe Abschnitt 2.

## 9. Patch- und Änderungsmanagement

Wie Änderungen am Service umgesetzt, getestet und ausgeliefert werden.

- **Änderungsprozess:** Nichttriviale Änderungen beginnen mit einer schriftlichen Spezifikation und einem Umsetzungsplan. Der Code ist durch eine automatisierte Testsuite abgedeckt, die gegen isolierte Testdatenbanken läuft. Jedes Release wird vor dem Deployment gebaut und einer Typprüfung unterzogen.
- **Releases:** Die Anwendung wird als versionierte Container-Images bereitgestellt. Um ein Release zurückzurollen, kann ein früheres Image erneut bereitgestellt werden. Funktionen mit höherem Risiko werden hinter Feature-Flags ausgeliefert. Diese lassen sich ohne erneutes Deployment abschalten und können zuerst für einen Teil der Workspaces aktiviert werden.
- **Überprüfung:** Wichtige Kennzahlen werden vor einem Deployment gemessen und danach verglichen, um Regressionen früh zu erkennen.
- **Abhängigkeiten und Betriebssystem:** Abhängigkeiten von Drittanbietern und Basis-Images der Container werden über den normalen Release-Prozess aktualisiert. Das Betriebssystem des Hosts wird erneuert, wenn der Compute-Host ersetzt wird. Es gibt keinen festen Patch-Rhythmus nach Kalender. Sicherheitsrelevante Updates werden nach Schweregrad priorisiert.
- **Sicherheitsregister:** Feststellungen aus unseren eigenen Sicherheitsaudits werden in einem internen Register mit einer Bewertung des Schweregrads geführt und in der Reihenfolge des Risikos behoben.

## 10. Umgang mit Sicherheitsvorfällen und Datenschutzverletzungen

Wie wir mit Sicherheitsvorfällen und Verletzungen des Schutzes personenbezogener Daten umgehen.

- **Kontakt:** Sicherheitsbedenken können an security@creatorflow.so gemeldet werden. Wir bestätigen den Eingang von Meldungen und untersuchen sie. Ein bezahltes Bug-Bounty-Programm betreiben wir nicht.
- **Bearbeitung:** Vorfälle werden anhand der zentralen Logs untersucht, eingedämmt, mit zeitlichem Ablauf und Grundursache dokumentiert und behoben. Die Erkenntnisse daraus fließen in das Sicherheitsregister ein.
- **Benachrichtigung der Kunden:** Betrifft eine Verletzung des Schutzes personenbezogener Daten die Daten eines Kunden, benachrichtigen wir diesen Kunden unverzüglich, nachdem sie uns bekannt geworden ist, mit den in Abschnitt 8 des AVV beschriebenen Informationen. So kann der Kunde seine eigenen Pflichten nach Art. 33 und 34 DSGVO erfüllen.

## 11. Organisatorische Maßnahmen

Personen, Geräte und Arbeitsweisen.

- **Vertraulichkeit:** Personen mit Zugriff auf personenbezogene Daten sind vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet.
- **Lebenszyklus von Zugängen:** Zugang zur Infrastruktur und zu Verwaltungsfunktionen wird individuell vergeben. Der Zugang wird entzogen, wenn eine Person ausscheidet oder ihre Rolle wechselt.
- **Geräte und Remote-Arbeit:** Das Team arbeitet remote. Auf Produktionsdaten wird nur mit individuellen Zugangsdaten über verschlüsselte Verbindungen (TLS, SSH) zugegriffen. Produktionsdaten werden in der Praxis nicht auf lokalen Geräten gespeichert. Es gibt kein Büronetzwerk, daher wird kein VPN genutzt. Jede administrative Verbindung wird einzeln authentifiziert und verschlüsselt.
- **Clean Desk und Papierunterlagen:** Im klassischen Sinn nicht anwendbar. Personenbezogene Daten, die über den Service verarbeitet werden, liegen nur in elektronischer Form innerhalb von AWS vor. Papierunterlagen mit Kundendaten werden nicht geführt.
- **Dritte und Wartung:** Externes Wartungs-, Reinigungs- oder Supportpersonal hat keinen Zugang zu Produktionssystemen. Fernwartung durch Dritte wird nicht genutzt. Die Infrastruktur wird nur vom Personal von CreatorFlow betrieben.
- **Endpunktschutz auf Servern:** Produktions-Workloads laufen als Linux-Container unter Benutzerkonten ohne Root-Rechte auf einem Host, der öffentlich nur HTTPS bereitstellt. Arbeitsplatzrechner der Mitarbeitenden sind nicht Teil des Produktionsnetzwerks.

## 12. Löschung und Speicherdauer

Wie personenbezogene Daten gelöscht werden und wie lange sie gespeichert bleiben.

- **Löschung des Kontos:** Auf Anfrage wird ein Konto zusammen mit allen zugehörigen Workspaces, Automatisierungen, Kontakten, Aktivitätsdatensätzen, ausstehenden Automatisierungszuständen und Instagram-Verbindungen gelöscht. Der zugehörige Kontakt für Marketing-E-Mails wird entfernt. Jede Löschung wird in einem Audit-Log festgehalten.
- **Löschung von Kontakten:** Der Kunde kann einzelne Kontakte (gesammelte E-Mail-Adressen) löschen. Das unterstützt Löschanfragen betroffener Personen.
- **Automatischer Ablauf:** Temporäre Datensätze, die genutzt werden, während eine Automatisierung auf eine Nutzeraktion wartet (zum Beispiel eine Antwort mit E-Mail-Adresse oder ein Follow), sind je nach Art der Automatisierung innerhalb von 24 bis 48 Stunden nicht mehr nutzbar. Innerhalb von 48 Stunden werden sie physisch aus der Datenbank gelöscht.
- **Logs:** Anwendungs- und Zugriffs-Logs werden 30 Tage lang aufbewahrt.
- **Snapshots:** Siehe Abschnitt 8. Snapshots werden nur eingespielt, um den Service nach einem Systemausfall wiederherzustellen. Personenbezogene Daten, die vor einer solchen Wiederherstellung gelöscht worden waren, müssten danach erneut gelöscht werden. Dafür gibt es keinen automatischen Abgleich. Daher führen wir Löschungen auf Anfrage manuell erneut durch.

## 13. Überprüfung dieser Maßnahmen

Wir überprüfen dieses Dokument, wenn sich der Betrieb des Service ändert, und mindestens einmal im Jahr. Fragen zu diesen Maßnahmen oder Anfragen nach den oben genannten Prüfberichten von AWS können an die unten genannte Adresse gesendet werden.

**E-Mail:**[security@creatorflow.so](mailto:security@creatorflow.so)

**Allgemeine Anfragen:**[info@creatorflow.so](mailto:info@creatorflow.so)

**Anschrift:**

CreatorFlow Labs S.L.
Calle Hermosilla 48, 1º D
28001 Madrid, Spanien