Technische und organi­satorische Maßnahmen

Wie wir die Daten schützen, die wir im Auftrag unserer Kunden verarbeiten – einschließlich Gesundheitsdaten. Vollständig einsehbar, druckbar und einzeln anforderbar.

Fassung vom August 2026 · Delegario UG (haftungsbeschränkt) · Neustadt an der Weinstraße

01Zweck und Geltung dieses Dokuments

Delegario richtet automatisierte Abläufe für Versicherungsmakler und Steuerkanzleien ein, betreibt sie dauerhaft und optimiert sie. Dabei werden personenbezogene Daten im Auftrag des jeweiligen Kunden verarbeitet – regelmäßig auch Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO, etwa bei Risikovoranfragen in der privaten Krankenversicherung.

Die hier beschriebenen Maßnahmen gelten für alle Systeme, Arbeitsplätze und Abläufe, mit denen Delegario solche Daten verarbeitet. Sie gelten nicht für Systeme, die allein der Kunde betreibt und in die Delegario keinen Zugriff hat.

Maßgeblich ist Art. 32 Abs. 1 DSGVO: die Maßnahmen müssen dem Stand der Technik, den Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung und dem Risiko für die betroffenen Personen angemessen sein. Angemessen heißt nicht maximal – es heißt begründet.

02Schutzbedarf und Risikobewertung

Delegario stuft die verarbeiteten Daten wie folgt ein:

Aus der Einstufung folgt die Grundentscheidung dieses Dokuments: Es gibt keinen Ablauf, in dem Gesundheitsdaten ohne menschliche Freigabe das Haus verlassen, und keinen Dienst im Einsatz, der solche Daten außerhalb der Europäischen Union verarbeitet.

03Pseudonymisierung und Verschlüsselung

04Zutrittskontrolle

Zutrittskontrolle betrifft den physischen Zugang zu Räumen und Geräten.

• Die Verarbeitung findet ausschließlich in Rechenzentren zertifizierter Anbieter innerhalb der Europäischen Union statt. Delegario betreibt keine eigenen Server.
• Arbeitsplätze befinden sich in verschlossenen Geschäftsräumen. Eine Verarbeitung an öffentlich zugänglichen Orten – Bahn, Café, Coworking ohne abgetrennten Bereich – findet nicht statt.
• Endgeräte werden nicht unbeaufsichtigt und entsperrt zurückgelassen; die automatische Bildschirmsperre greift nach kurzer Inaktivität.
• Papierunterlagen entstehen im Regelbetrieb nicht. Sofern doch, werden sie verschlossen aufbewahrt und nach DIN 66399 vernichtet.

05Zugangskontrolle

Zugangskontrolle betrifft die Anmeldung an Systemen.

• Persönliche Benutzerkonten für jede Person. Keine Sammel- oder Funktionskonten für die Verarbeitung personenbezogener Daten.
• Zwei-Faktor-Authentisierung für alle Systeme, die personenbezogene Daten verarbeiten oder Zugang dazu vermitteln – einschließlich E-Mail, Automatisierungsplattformen, CRM und Ablagen.
• Passwörter werden ausschließlich im verschlüsselten Passwortmanager erzeugt und gespeichert; sie werden nicht wiederverwendet und nicht per E-Mail oder Chat übertragen.
• Zugänge zu Kundensystemen erhält Delegario als eigenständige, benannte Konten. Die gemeinsame Nutzung eines Kundenkontos wird abgelehnt, weil sie die Nachvollziehbarkeit zerstört.
• Betriebssysteme und eingesetzte Software werden zeitnah aktualisiert.

06Zugriffskontrolle

Zugriffskontrolle betrifft die Frage, wer innerhalb eines Systems was tun darf.

• Rechtevergabe nach dem Prinzip der geringsten Rechte: Es wird nur eingeräumt, was für die konkret beauftragte Tätigkeit erforderlich ist.
• Zugriff auf ein Kundensystem hat nur die Person, die das jeweilige Projekt bearbeitet – nicht das gesamte Unternehmen.
• Berechtigungen werden bei jeder Projektänderung und mindestens halbjährlich überprüft. Nicht mehr benötigte Zugänge werden entzogen, spätestens bei Projektende.
• Lese- und Schreibrechte werden getrennt vergeben, wo die Plattform das zulässt.

07Trennungskontrolle

• Mandantentrennung: getrennte Arbeitsbereiche, Zugänge und Ablagen je Auftraggeber. Daten unterschiedlicher Verantwortlicher werden nicht gemeinsam verarbeitet und nicht in einem gemeinsamen Datenbestand zusammengeführt.
• Getrennte Test- und Produktivumgebungen.
• Auswertungen zur Verbesserung der eigenen Abläufe erfolgen ausschließlich auf Metadaten – Laufzeiten, Fehlerquoten, Schrittanzahl –, nicht auf Inhalten.

08Weitergabekontrolle

• Alle Übertragungen transportverschlüsselt (TLS 1.2 oder höher).
• Kein Versand von Gesundheitsdaten per unverschlüsselter E-Mail. Für den Austausch sensibler Unterlagen wird zu Projektbeginn ein gesicherter Ablageweg eingerichtet.
• Datenträger werden nicht zum Transport personenbezogener Daten verwendet.
• Eine Weitergabe an Dritte erfolgt ausschließlich an die in Anlage 3 des AVV genannten Unterauftragsverarbeiter und nur im beauftragten Umfang.

09Eingabekontrolle

Nachvollziehbar muss bleiben, wer wann was veranlasst hat – bei automatisierten Abläufen auch, welches System einen Schritt ausgelöst hat.

• Protokollierung von Ausführungen, Änderungen und Fehlern in den Automatisierungsplattformen.
• Änderungen an Workflow-Konfigurationen werden versioniert; frühere Stände bleiben nachvollziehbar.
• Protokolle sind zugriffsgeschützt und werden nicht für andere Zwecke ausgewertet.
• Protokolle werden nur so lange aufbewahrt, wie sie für Betrieb und Fehleranalyse erforderlich sind.

10Verfügbarkeit und Belastbarkeit

• Überwachung der eingerichteten Abläufe mit automatischer Benachrichtigung bei Fehlern und Abbrüchen.
• Versionierte Sicherung der Workflow-Konfigurationen, sodass ein Ablauf nach einem Ausfall wiederhergestellt werden kann.
• Die eingesetzten Plattformen laufen in Rechenzentren mit redundanter Auslegung und eigenen Sicherungsverfahren.
• Abgrenzung: Die Sicherung der Fachdaten – CRM-Bestand, Dokumentenablage, Postfach – obliegt dem Verantwortlichen beziehungsweise dem jeweiligen Systemanbieter. Delegario sichert die Automatisierung, nicht den Datenbestand des Kunden.
• Fällt ein Ablauf aus, bleibt der zugrundeliegende Vorgang beim Verantwortlichen bearbeitbar. Kein Ablauf ist so gebaut, dass sein Ausfall einen Vorgang unauffindbar macht.

11Besondere Maßnahmen bei KI-Verarbeitung

• Eingesetzt werden ausschließlich Dienste, die innerhalb der Europäischen Union verarbeiten und einen vertraglichen Trainingsausschluss zusichern.
• Kundendaten werden nicht über frei zugängliche Endnutzer-Oberflächen von KI-Anbietern verarbeitet.
• Für jeden eingesetzten KI-Dienst liegt ein Auftragsverarbeitungsvertrag vor.
• Wo fachlich vertretbar, werden lokal betriebene Modelle eingesetzt, bei denen die Daten das System nicht verlassen.
• Erzeugnisse eines Modells gelten als Entwurf. Sie werden nicht als geprüftes Ergebnis behandelt und nicht ohne Freigabe verwendet.

12Freigabekontrolle

Diese Maßnahme ist der Kern des Delegario-Betriebsmodells und deshalb eigens aufgeführt.

• Kein automatisierter Ablauf erzeugt einen Versand an Versicherer, Mandanten oder sonstige Dritte ohne vorherige Freigabe durch eine Person auf Seiten des Verantwortlichen.
• Die Freigabestufe ist als eigener Schritt im Ablauf angelegt und kann nicht automatisch übersprungen werden. Sie wird nicht durch einen bloßen Nutzungshinweis ersetzt.
• Freigaben werden protokolliert.

13Auftrags- und Unterauftragskontrolle

• Mit jedem Unterauftragsverarbeiter besteht ein schriftlicher Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Vor dem Einsatz wird jeder Anbieter auf Serverstandort, Zertifizierung, Trainingsausschluss und Auskunft über eigene TOM geprüft; das Ergebnis wird dokumentiert.
• Die eingesetzten Dienste sind in Anlage 3 des AVV aufgeführt. Ein Wechsel wird vier Wochen vorher angekündigt.
• Delegario handelt ausschließlich auf dokumentierte Weisung des Verantwortlichen und verarbeitet keine Kundendaten für eigene Zwecke.

14Organisatorische Maßnahmen

• Alle Beteiligten sind vor Aufnahme der Tätigkeit auf Vertraulichkeit verpflichtet; die Verpflichtung wirkt über das Ende der Tätigkeit hinaus fort.
• Bei Aufträgen für Berufsgeheimnisträger werden die mitwirkenden Personen vor Beginn ihrer Tätigkeit nach § 203 Abs. 3 StGB wirksam eingebunden: Verpflichtung zur Geheimhaltung, Belehrung über die Strafbarkeit einer unbefugten Offenbarung und Dokumentation beider Schritte; die Verpflichtung wirkt nach § 203 Abs. 4 StGB über das Ende der Tätigkeit hinaus fort.
• Delegario führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
• Neue Abläufe werden vor Inbetriebnahme daraufhin geprüft, ob sie mehr Daten verarbeiten als nötig – Datenminimierung ist Teil der Einrichtung, nicht eine spätere Korrektur.
• Beschäftigte und Beteiligte werden zu Datenschutz und Informationssicherheit unterwiesen; die Unterweisung wird dokumentiert und wiederholt.

15Umgang mit Datenschutzvorfällen

• Festgelegter interner Meldeweg. Jede Person, die einen möglichen Vorfall bemerkt, meldet ihn unverzüglich an die Geschäftsführung.
• Der betroffene Verantwortliche wird innerhalb von 24 Stunden nach Kenntnis informiert – mit Beschreibung des Vorfalls, betroffenen Datenkategorien, wahrscheinlichen Folgen und ergriffenen Maßnahmen.
• Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO nimmt der Verantwortliche vor. Delegario unterstützt ihn dabei mit allen verfügbaren Informationen.
• Vorfälle werden einschließlich Ursache und Abhilfe dokumentiert, auch wenn keine Meldepflicht bestand.
• Kontaktstelle: [email protected]

16Überprüfung, Bewertung und Evaluierung

Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen. Ohne festen Rhythmus ist eine TOM-Liste nur eine Absichtserklärung.

Die Ergebnisse der Überprüfungen werden dokumentiert und auf Anfrage im erforderlichen Umfang offengelegt.

17Änderungen dieses Dokuments

Die Maßnahmen unterliegen dem technischen Fortschritt. Delegario darf sie anpassen, sofern das beschriebene Schutzniveau dadurch nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und den Verantwortlichen auf Anfrage mitgeteilt.

Der jeweils aktuelle Stand ist unter delegario.com/tom abrufbar. Maßgeblich für ein bestehendes Vertragsverhältnis bleibt die als Anlage 2 zum AVV vereinbarte Fassung.