Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Stand: 25. Oktober 2026

Diese Maßnahmen sind Anlage 1 zur Vereinbarung über die Auftragsverarbeitung nach Art. 28 DSGVO unter kesru.de/avv. Sie gelten für Kesru Deutschland.

Technische Maßnahmen

Betrieb im Rechenzentrum: Kesru Deutschland läuft auf einem eigenen Server bei Amazon Web Services in Frankfurt am Main (Region eu-central-1). Auch die Sicherungen liegen dort.
Trennung von Kesru USA: Kesru Deutschland hat einen eigenen Server, eine eigene Datenbank, eigene Schlüssel und Passwörter, eigene Sicherungen, eine eigene Telefonverbindung mit deutschen Rufnummern und ein eigenes Postfach.
Firewall: Die Firewall des Servers lässt nur die benötigten Verbindungen zu, die Telefonie nur von den Adressen des Telefonanbieters. Datenbank und interne Dienste sind von außen nicht erreichbar.
Verschlüsselung bei der Übertragung: Website und Schnittstellen sind nur über HTTPS mit TLS erreichbar, unverschlüsselte Aufrufe werden auf HTTPS umgeleitet. Die Telefonverbindung zwischen Telnyx und dem Server ist mit TLS (Signalisierung) und SRTP (Ton) verschlüsselt.
Verschlüsselung der gespeicherten Daten: Die Festplatte des Servers ist mit Amazon EBS encryption verschlüsselt. Sicherungen werden verschlüsselt, bevor sie den Server verlassen.
Zugriffskontrolle: Administrativer Zugang zum Server besteht nur per SSH mit Schlüssel, und nur für die Personen, die ihn für den Betrieb benötigen. Der interne Bereich mit Buchungen und Kundendaten ist nur für berechtigte Personen nach Anmeldung über Single Sign-On erreichbar.
Patch-Management: Sicherheitsupdates des Betriebssystems werden automatisch eingespielt. Die Dienste laufen in Containern mit festen Versionen, die nur mit einer neuen Auslieferung erneuert werden.
Regelmäßige Backups: Die Datenbank wird stündlich gesichert. Aufbewahrt werden 24 stündliche und 14 tägliche Stände, also höchstens 14 Tage.
Verfügbarkeit: Abgestürzte Dienste werden automatisch neu gestartet.
Protokollierung: Technische Protokolle bleiben auf dem Server und werden nach höchstens 30 Tagen gelöscht.
Keine Aufzeichnung: Der KI-Telefonassistent zeichnet Anrufe nicht auf und speichert weder Transkripte noch Zusammenfassungen der Gespräche.

Organisatorische Maßnahmen

Verschwiegenheit: Alle Personen, die Zugriff auf personenbezogene Daten des Auftraggebers haben, sind zur Verschwiegenheit verpflichtet, auch nach dem Ende ihrer Tätigkeit.
Grundsatz der Datenminimierung: Es werden nur die personenbezogenen Daten erhoben, die zur Erbringung des Dienstes erforderlich sind.
Auftragsverarbeitungsverträge: Mit jedem Unterauftragsverarbeiter wird vor dem Einsatz ein Vertrag nach Art. 28 Abs. 4 DSGVO geschlossen. Die Liste steht unter kesru.de/unterauftragsverarbeiter.
Kein Training: Weder Kesru noch die Unterauftragsverarbeiter verwenden personenbezogene Daten zum Training, zur Verbesserung oder zur Evaluierung von KI-Modellen.
Meldeverfahren für Datenschutzverletzungen: Der Auftraggeber wird nach Ziffer 4.10 der Vereinbarung spätestens innerhalb von 24 Stunden informiert.
Verfahren zum Umgang mit Betroffenenrechten: Anfragen betroffener Personen leiten wir an den Auftraggeber weiter und unterstützen ihn bei der Beantwortung.
Löschverfahren: Nach dem Ende des Vertrags werden die Daten nach Ziffer 7 der Vereinbarung gelöscht oder übergeben.
Regelmäßige Überprüfung: Die Maßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst.