Sicherheitsbeschreibung

Dokument-ID: O-07
Version und Datum: 2026-08-21.1 - 21. August 2026
Anbieter: FlowDule ApS, CVR 46273397
Kontakt: security@flowdule.com

Zweck: Diese Beschreibung gibt Kunden und Benutzern einen verständlichen Überblick über das Sicherheitsmodell von FlowDule. Sie enthält keine Credentials, Netzwerkdetails, bekannten Schwachstellen, kundenspezifischen Konfigurationen oder Angaben, die die Sicherheit schwächen könnten. Das verbindliche Sicherheitsniveau ergibt sich aus dem angenommenen Auftragsverarbeitungsvertrag, dem Kundenanhang und dem versionsgebundenen TOM-Anhang.

1. Sicherheitsniveau und Risikoprofil

FlowDule ist eine B2B-SaaS-Plattform, die Klienten-, Journal- und Gesundheitsdaten im Auftrag von behandelnden Personen und Kliniken verarbeiten kann. Der private Charakter dieser Daten erfordert ein hohes, risikobasiertes und laufend kontrolliertes Sicherheitsniveau.

Die Sicherheitsarbeit beruht auf:

• Vertraulichkeit: nur identifizierte und befugte Personen und Systeme erhalten den erforderlichen Zugriff;

• Integrität: relevante Änderungen, Freigaben, Löschungen und administrative Handlungen müssen kontrollierbar sein;

• Verfügbarkeit und Robustheit: kritische Daten und Funktionen müssen nach dokumentierten und getesteten Verfahren wiederhergestellt werden können;

• Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen: möglichst wenig Zugriff, Daten, Freigabe, Aufbewahrung und Aktivierung von Drittanbietern ist der Ausgangspunkt;

• dokumentierte Wirksamkeit: eine Maßnahme gilt nicht allein deshalb als verifiziert, weil sie konzipiert wurde oder im Code vorhanden ist.

2. Verantwortungsverteilung

Die Verantwortung des Kunden beschränkt nicht die Verantwortung von FlowDule für die eigenen Maßnahmen. Die Sicherheit von FlowDule ersetzt ebenso wenig die Pflicht des Kunden, eine geeignete Konfiguration zu wählen und den rechtmäßigen Zugriff der eigenen Benutzer zu kontrollieren.

3. Infrastruktur und Umgebungen

Die zentrale Plattform von FlowDule nutzt Amazon Web Services. Die angenommene Kombination aus Lieferant, Dienst und Region ergibt sich aus Unterauftragsverarbeiter und Anbieter sowie aus dem Weisungsanhang des Kunden.

Entwicklung, Staging und Produktion werden als unterschiedliche Umgebungen behandelt. Die Produktion ist keine Testumgebung. Echte Klienten- und Journaldaten dürfen nicht in die Entwicklung oder in gewöhnliche Tests kopiert werden. Tests verwenden synthetische oder auf andere Weise rechtmäßig genehmigte und datenminimierte Angaben.

Änderungen an Datenflüssen, Zugriffen, Netzwerken, Verschlüsselung, Logging, Aufbewahrung, Regionen und Lieferanten erfordern vor der Freigabe eine Risikobewertung, einschlägige Tests, eine Rollback-Möglichkeit und eine aktualisierte Dokumentation.

4. Identität und Zugriff

Das Sicherheitsmodell von FlowDule erfordert:

• persönliche Konten anstelle geteilter Zugangsdaten;

• rollen- und beziehungsbasierten Zugriff nach dem Grundsatz der geringsten Rechte;

• Multi-Faktor-Authentifizierung (MFA) für privilegierte und interne Produktionszugriffe;

• zentrale Validierung und begrenzte Lebensdauer von Zugriffstoken;

• schnelle Sperrung bei Ausscheiden, Kompromittierung oder Wegfall des Arbeitsbedarfs;

• regelmäßige Neubewertung privilegierter und weit gefasster Zugriffe.

Ein Supportzugriff auf die Inhalte des Kunden darf nur bei einem konkreten und dokumentierten Vorgang erfolgen, nach erforderlicher Genehmigung, mit persönlicher Identität, für die kürzestmögliche Dauer und mit einschlägigem Logging. Ein Notfallzugriff darf keine verdeckte dauerhafte Administratorrolle sein.

5. Kunden- und Datentrennung

FlowDule ist eine mandantenfähige Plattform. Die Kundentrennung muss in den relevanten Schichten durchgesetzt werden, einschließlich Benutzeroberfläche, API, Anwendungslogik, Datenbank und Dateizugriff.

Der Zugriff wird sowohl nach Kundenzugehörigkeit als auch nach Rolle, Standort und der einschlägigen Arbeits- oder Behandlungsbeziehung beurteilt. Ein Benutzer darf nicht allein deshalb Zugriff auf einen Klienten erhalten, weil er derselben Kundenorganisation angehört, wenn das gewählte Kundenmodell eine engere Beziehung verlangt.

Die Isolation wird mit positiven und negativen Szenarien getestet, einschließlich Zugriffsversuchen über Kunden, Standorte und Rollen hinweg. Privilegierte Datenbank- und Supportwege unterliegen demselben Kontrollprinzip.

6. Verschlüsselung und Geheimnisse

Die Kommunikation mit FlowDule ist durch moderne Transportverschlüsselung zu schützen. Die genehmigte Produktionsbaseline verwendet Verschlüsselung im Ruhezustand für die relevanten Datenbanken, Dateien und sensiblen Felder sowie eine kontrollierte Schlüsselverwaltung.

Credentials, Token, Verschlüsselungsschlüssel und andere Geheimnisse dürfen nicht im Quellcode, in gewöhnlichen Logs oder in Benutzeroberflächen gespeichert werden. Der Zugriff auf Geheimnisse wird nach Bedarf gewährt, protokolliert und bei Kompromittierung sowie nach dem genehmigten Schlüsselplan rotiert.

Die konkrete kryptografische Implementierung, der Migrationsstatus und der Schlüsselzugriff werden in den vertraulichen TOM- und Nachweisunterlagen dokumentiert und nur nach Bedarf über einen sicheren Kanal herausgegeben.

7. Logging und Zugriffskontrolle

Relevante Handlungen mit Klienten- und Journaldaten müssen einer identifizierten natürlichen Person oder einer eindeutigen Systemkomponente zugeordnet werden können. Je nach Risiko umfasst dies unter anderem Lesen, Suchen, Anlegen, Ändern, Herunterladen, Exportieren, Freigeben, Widerrufen, Löschen und privilegierte administrative Handlungen.

Logs müssen:

• ausreichend Kontext enthalten, um die Handlung zu untersuchen;

• Journaltext, Passwörter, Token, Signed URLs und andere unnötige sensible Werte vermeiden;

• vor unbefugter Änderung und Einsichtnahme geschützt sein;

• eine dokumentierte Aufbewahrungsfrist und automatische Löschung haben;

• für einschlägige Alarme, Untersuchungen und die rechtmäßige Kontrolle durch den Kunden nutzbar sein.

Der Kunde ist dafür verantwortlich, die arbeitsbedingten Abfragen der eigenen Benutzer zu kontrollieren. FlowDule stellt die vereinbarte Funktionalität und Unterstützung bereit. Die Kontrolle muss sachlich, verhältnismäßig und zugriffsbeschränkt sein.

8. Sichere Entwicklung und Änderungsmanagement

Der Entwicklungsprozess von FlowDule erfordert vor der Freigabe eine risikobasierte Codeprüfung und Tests. Je nach Änderung kommen unter anderem automatisierte Funktions- und Sicherheitstests sowie das Scannen von Dependencies, Secrets, Containern und Infrastrukturkonfiguration zum Einsatz.

Feststellungen werden nach Wahrscheinlichkeit, Auswirkung, Angriffsfläche und den verarbeiteten Daten priorisiert. Kritische Sachverhalte führen zur Blockierung, Einschränkung oder Rückabwicklung des betroffenen Release. Eine akzeptierte Ausnahme muss zeitlich befristet sein, einen Verantwortlichen und eine Begründung haben und im Abweichungsregister erfasst werden.

Produktionsänderungen müssen mit Anforderung, Änderung, prüfender Person, Testnachweis und Freigabeentscheidung verknüpft werden können.

9. Dateien und schädliche Inhalte

Uploads werden nach Dateityp, Größe, Signatur und konkreter Funktion beschränkt. Dateien und Metadaten dürfen nicht dazu genutzt werden können, die Kundentrennung, die Zugriffskontrolle oder die sichere Dateianzeige zu umgehen.

Die betreffende Uploadfunktion wird nur mit einer dokumentierten risikobasierten Lösung für die Malwarekontrolle oder für sichere Isolation/Quarantäne freigegeben. Dateien dürfen nicht als vollständig auf Malware geprüft dargestellt werden, bevor die tatsächliche Kontrolle implementiert und getestet ist.

10. Lieferanten- und Übermittlungssicherheit

Bevor ein Lieferant personenbezogene Daten erhält, bewertet FlowDule mindestens:

• die rechtliche Rolle, den Dienst, die Daten und die betroffenen Personen;

• den Vertrag, den Auftragsverarbeitungsvertrag und die einschlägigen Sicherheitsgarantien;

• die Verarbeitungsländer, den Fernsupport und die Unterlieferantenkette;

• Zugriff, Verschlüsselung, Logs, Aufbewahrung, Löschung, Vorfälle und Exit;

• eine etwaige Übermittlungsgrundlage und ergänzende Maßnahmen.

EU-Hosting ist für sich genommen kein Nachweis dafür, dass keine Drittlandübermittlung stattfinden kann. Der aktuelle öffentliche Lieferantenstatus findet sich in Unterauftragsverarbeiter und Anbieter. Beschränkte oder nicht freigegebene Funktionen dürfen mit den betreffenden personenbezogenen Daten nicht aktiviert werden.

11. Backup, Wiederherstellung und Kontinuität

FlowDule verwendet Backup- und Wiederherstellungsmechanismen, die in einer isolierten Umgebung zu erproben sind. Ein genehmigter Restoretest muss den gewählten Wiederherstellungszeitpunkt, den tatsächlichen Datenverlust, die gemessene Zeit, die Integrität, die Kundentrennung und die korrekte erneute Anwendung von Löschungen und Legal Holds dokumentieren, bevor die Umgebung geöffnet wird.

FlowDule veröffentlicht oder verspricht keine bestimmten RPO-, RTO-, Backup- oder Verfügbarkeitsziele, bevor diese getestet und ausdrücklich in einem SLA oder einem Kundenanhang vereinbart sind. Das lokale Notfallverfahren des Kunden muss ohne unsichere private E-Mails, Chats, geteilte Dokumente oder nicht autorisierte Geräte funktionieren können.

Nach einer Wiederherstellung kontrolliert FlowDule die technische Vollständigkeit. Der Kunde kontrolliert die eigenen kritischen fachlichen Angaben und führt die erforderliche, nachvollziehbare Nacherfassung durch.

12. Sicherheitsvorfälle und Verletzungen des Schutzes personenbezogener Daten

Der Verdacht auf einen Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit wird als Sicherheitsvorfall behandelt. FlowDule erfasst, begrenzt, untersucht und dokumentiert den Vorfall und bewahrt die erforderlichen Beweise auf, ohne unnötige Kopien sensibler Inhalte zu erzeugen.

Betrifft eine Verletzung des Schutzes personenbezogener Daten die Daten des Kunden, benachrichtigt FlowDule den Kunden unverzüglich und liefert die verfügbaren Angaben schrittweise. Der Kunde entscheidet als Verantwortlicher über die Meldung an die Aufsichtsbehörde und die Information der betroffenen Personen. Das Verfahren von FlowDule darf die Möglichkeit des Kunden, seine Frist einzuhalten, nicht verzögern.

Sicherheitsverdacht ist unverzüglich an security@flowdule.com zu melden. Gewöhnliche Supportfragen sind an support@flowdule.com zu senden.

13. Aufbewahrung, Löschung und Legal Hold

Das Aufbewahrungsprofil des Kunden wird nach Berufsgruppe, Land, Datenkategorie und Zweck festgelegt. FlowDule wendet keine gesundheitsrechtliche Journalaufbewahrungsfrist automatisch auf selbstständige Psychotherapeuten an, die von der betreffenden Sonderregel nicht erfasst sind.

Die Löschung muss die relevanten Datenbanken, Dateien, Freigaben, Warteschlangen, Caches, Exportdateien und sonstigen aktiven Kopien umfassen. Backups laufen über eine dokumentierte Rotation aus. Bis zum Ablauf sind sie geschützt und dürfen nicht zu anderen Zwecken verwendet werden.

Ein Legal Hold wird nur bei einer konkreten dokumentierten Pflicht, einem Rechtsstreit oder einer rechtmäßigen Weisung angewendet. Er wird auf die erforderlichen Personen, Objekte und Datenkategorien begrenzt, regelmäßig neu bewertet und nachvollziehbar aufgehoben.

14. KI-Sicherheit

KI-Funktionen sind gesondert aktivierte Anwendungsfälle und kein allgemeiner Zugriff auf die Daten des Kunden. Vor der Aktivierung werden Modell, Version, Daten, Regionen, Aufbewahrung, Lieferantenweitergabe, kein Training, Qualitätstest, menschliche Kontrolle und Stoppregel dokumentiert.

Eine KI-Ausgabe ist ein Entwurf. Eine fachkundige Person muss Quelle, Fakten, Verneinungen, Zahlen, Daten, Person und fachlichen Kontext prüfen und das Ergebnis aktiv freigeben. Die KI von FlowDule darf keine Diagnose-, Triage-, Behandlungs- oder Zugriffsentscheidungen selbst treffen.

Weitere Informationen finden sich in den KI-Informationen.

15. Schulung und Vertraulichkeit

Personen mit internem oder privilegiertem Zugriff unterliegen der Vertraulichkeit und werden vor dem Zugriff und danach regelmäßig unter anderem zu Phishing, Credentials, Journaldaten, Supportzugriff, Logging, Vorfällen, KI und Sofortmeldung unterwiesen.

Zugriff und Schulung werden dokumentiert. Vorsätzlicher Missbrauch, die Weitergabe von Credentials, das Umgehen von Kontrollen oder das Verschweigen können zur sofortigen Sperrung des Zugriffs und zu einschlägigen vertrags- oder arbeitsrechtlichen Folgen führen.

16. Dokumentation, Audit und Kunden

FlowDule führt ein internes Kontroll- und Nachweisregister. Testnachweise werden zugriffsbeschränkt aufbewahrt und umfassen nur die erforderlichen Angaben. Offene Sachverhalte werden mit Verantwortlichem, Frist, Risiko und vorläufiger Kontrolle erfasst.

Der Kunde kann Dokumentation erhalten und ein Audit nach dem Auftragsverarbeitungsvertrag durchführen. Eine Prüfung beginnt in der Regel mit den angenommenen TOM, einschlägigen Testzusammenfassungen, der Lieferantendokumentation und etwaigen unabhängigen Erklärungen. Details, die die Sicherheit oder die Vertraulichkeit anderer Kunden gefährden könnten, werden nur über ein angemessen sicheres und vertrauliches Verfahren herausgegeben.

17. Beschränkung öffentlicher Zusagen

Diese Beschreibung ist kein SLA und gibt für sich genommen keine Garantie für eine bestimmte Verfügbarkeit, Wiederherstellungszeit, Datenverlustgrenze oder Zertifizierung. FlowDule behauptet ohne gültigen Nachweis keine Zertifizierung nach ISO 27001, SOC 2 oder anderen Standards.

Weicht dieser Text von dem angenommenen, versionsgebundenen TOM-Anhang ab, hat der TOM-Anhang für den konkreten Kunden Vorrang. Eine spätere Verbesserung ändert nicht stillschweigend die vereinbarte Weisung oder das vereinbarte Sicherheitsniveau des Kunden.

18. Rechtsquellen

• DSGVO Artikel 25 und 32

• Katalog der Sicherheitsmaßnahmen der dänischen Datenschutzbehörde (Datatilsynet)

• Leitlinie der dänischen Datenschutzbehörde (Datatilsynet) zum Logging