# Datenschutz & Sicherheit – Mein Videotermin Suite (MVS) > DSGVO-Konformität, Verschlüsselung, Serverstandort Deutschland, BSI-Orientierung, Authentifizierung und Protokollierung der Mein Videotermin Suite. Dokumenten-ID: MVS-DS · Produkt: Mein Videotermin Suite (MVS) · Version: V024.1 Veröffentlicht: 2026-07-19 · Zuletzt aktualisiert: 2026-07-20 · Autor: Voigtmann GmbH, Nürnberg · Quelle: https://docs.meinvideotermin.com/datenschutz-sicherheit/ Verwandte Themen: Compliance & Nachweise, Betriebsmodelle, Integration & Schnittstellen, Betrieb & Support ## Ist die Mein Videotermin Suite (MVS) DSGVO-konform? [MVS-DS-01] Die Mein Videotermin Suite (MVS) wurde unter Berücksichtigung der Anforderungen der Datenschutz-Grundverordnung (DSGVO) entwickelt und ist insbesondere auf den Einsatz im öffentlichen Sektor ausgerichtet. Die DSGVO-Konformität wird insbesondere gewährleistet durch: - Hosting und Verarbeitung entsprechend dem gewählten Betriebs- und Bereitstellungsmodell – in den Betriebsumgebungen der Voigtmann GmbH oder der Infrastruktur des Auftraggebers, - Verarbeitung ausschließlich zu vertraglich vereinbarten Zwecken, nicht zu eigenen Zwecken oder zugunsten Dritter, - durchgängig verschlüsselte Kommunikation, - rollen- und berechtigungsgesteuerten Zugriff, - technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO, - datenschutzkonforme Betriebs- und Administrationsprozesse, - ein Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001. Datenschutz ist bei der MVS kein nachgelagerter Aspekt, sondern Bestandteil der Systemarchitektur: browserbasierte Nutzung ohne lokale Installation, verschlüsselte Kommunikation, rollenbasierte Zugriffskontrolle und wählbare Betriebs- und Bereitstellungsmodelle – vom Betrieb durch die Voigtmann GmbH bis zum vollständigen On-Premises-Betrieb beim Auftraggeber. Grundlage der datenschutzrechtlichen Bewertung sind Auftragsverarbeitungsvertrag (AVV), TOM, das ISMS nach ISO/IEC 27001 sowie projektspezifische Schutzbedarfsfeststellungen. ## Schließt die Voigtmann GmbH einen Auftragsverarbeitungsvertrag (AVV) ab und wie werden Unterauftragnehmer geregelt? [MVS-DS-02] Ja. Für den Betrieb der MVS wird mit den Auftraggebern – soweit datenschutzrechtlich erforderlich – ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO abgeschlossen. Der AVV regelt insbesondere: - Gegenstand, Dauer, Art und Zweck der Verarbeitung, - Kategorien personenbezogener Daten und betroffener Personen, - Rechte und Pflichten von Auftraggeber und Auftragnehmer, - die technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO, - Unterstützung bei Betroffenenrechten sowie gesetzlichen Melde- und Nachweispflichten, - Kontroll- und Auditrechte des Auftraggebers, - Rückgabe oder Löschung personenbezogener Daten nach Vertragsende. Unterauftragnehmer werden ausschließlich unter Beachtung der Anforderungen des Art. 28 DSGVO eingebunden, im AVV bzw. den zugehörigen Vertragsunterlagen transparent benannt und vertraglich zur Einhaltung der datenschutzrechtlichen Anforderungen verpflichtet. Änderungen bei Unterauftragnehmern werden dem Auftraggeber entsprechend den vertraglichen Regelungen transparent mitgeteilt. ## Wie wird die datenschutzkonforme Löschung personenbezogener Daten sichergestellt? [MVS-DS-03] Die Verarbeitung und Löschung personenbezogener Daten erfolgt auf Grundlage eines definierten Löschkonzepts. Personenbezogene Daten werden entsprechend den vertraglich vereinbarten bzw. gesetzlichen Aufbewahrungs- und Löschfristen gelöscht oder – soweit zulässig und erforderlich – anonymisiert. Nach Beendigung der Zusammenarbeit bzw. nach Wegfall des Verarbeitungszwecks erfolgt die Löschung entsprechend den vertraglichen Vereinbarungen und gesetzlichen Vorgaben. ## Wie schützt die MVS Daten bei der Übertragung und bei der Speicherung? [MVS-DS-04] Kommunikationsdaten werden während der Übertragung durch durchgängig verschlüsselte Verbindungen geschützt – das betrifft den browserbasierten Zugriff auf die Anwendung, die Signalisierung sowie die Übertragung von Audio- und Videodaten. Der browserbasierte Zugriff erfolgt über HTTPS/TLS; für administrative Zugriffe sind zusätzlich gesicherte Verbindungen und Netzwerkschutzmaßnahmen vorgesehen. Gespeicherte Daten werden nach dem Stand der Technik verschlüsselt (Data at Rest) und zusätzlich durch ein rollen- und berechtigungsbasiertes Zugriffskonzept sowie eine logische Mandantentrennung geschützt. Die eingesetzten Verschlüsselungsverfahren orientieren sich am Stand der Technik und werden im Rahmen des Informationssicherheitsmanagements der Voigtmann GmbH regelmäßig überprüft. In dedizierten oder souveränen Betriebsmodellen können Verschlüsselungs-, Schlüsselverwaltungs- und Infrastrukturkonzepte projektspezifisch angepasst werden. ## Welche Verschlüsselungsstandards setzt die MVS ein? [MVS-DS-05] Die MVS verwendet etablierte, dem Stand der Technik entsprechende Verschlüsselungsverfahren für die Web- und Videokommunikation: - HTTPS/TLS für den sicheren browserbasierten Zugriff, - TLS für die verschlüsselte Signalisierung, - DTLS-SRTP für verschlüsselte WebRTC-Mediendaten, - SRTP zur Verschlüsselung von Audio- und Videodaten, - AES-basierte Medienverschlüsselung, abhängig von Endgerät, Verbindung und Systemkonfiguration. Sowohl Signalisierungsdaten als auch Audio-, Video- und Datentransfers werden verschlüsselt übertragen, sodass Vertraulichkeit und Integrität der Kommunikation sichergestellt sind. Details werden in der technischen Dokumentation und den TOM dokumentiert und können im Rahmen einer Datenschutz- oder Sicherheitsprüfung bereitgestellt werden. ## Wo stehen die Server der MVS? Erfolgt die Datenverarbeitung in Deutschland? [MVS-DS-06] Ja. Im Betriebsmodell MVS Service Hosted wird die Plattform auf der Infrastruktur der Voigtmann GmbH in Deutschland betrieben; der Rechenzentrumsstandort befindet sich in Nürnberg. Die Verarbeitung und Speicherung personenbezogener Daten im Rahmen des Plattformbetriebs erfolgt innerhalb Deutschlands. Darüber hinaus unterstützt die MVS weitere Betriebs- und Bereitstellungsmodelle – von der dedizierten Hosting-Umgebung über eine vom Auftraggeber gewählte Cloud-Umgebung bis zum vollständigen On-Premises-Betrieb (MVS Sovereign) in der Infrastruktur des Auftraggebers. Der Betrieb in Deutschland unterstützt DSGVO-konforme Datenverarbeitung, Datensouveränität, kurze Datenwege, geringe Latenzen und klare rechtliche Rahmenbedingungen innerhalb Deutschlands und der EU. ## Wie unterstützt die MVS die Anforderungen des BSI-IT-Grundschutzes? [MVS-DS-07] Die MVS wurde für den Einsatz im öffentlichen Sektor entwickelt und unterstützt öffentliche Auftraggeber bei der Umsetzung der Anforderungen des BSI-IT-Grundschutzes durch eine sichere Systemarchitektur und geeignete technische und organisatorische Maßnahmen: - mehrschichtige Sicherheitsarchitektur (Defense in Depth), - durchgängig verschlüsselte Kommunikation, - rollen- und berechtigungsbasierte Zugriffskonzepte nach dem Least-Privilege-Prinzip, - starke Authentifizierungs- und Autorisierungsmechanismen, - dokumentierte TOM gemäß Art. 32 DSGVO, - ISMS nach ISO/IEC 27001, - sichere Betriebs- und Bereitstellungsmodelle bis hin zu dedizierten Cloud- und On-Premises-Installationen, - projektspezifische Anpassung der Sicherheitsarchitektur an den Schutzbedarf des Auftraggebers. ## Welche Zertifizierungen und Konformitätsnachweise liegen vor? [MVS-DS-08] Die Voigtmann GmbH ist nach ISO/IEC 27001 zertifiziert und betreibt ihr Informationssicherheitsmanagementsystem (ISMS) nach den Anforderungen dieses international anerkannten Standards. Das ISMS wird regelmäßig überprüft und kontinuierlich weiterentwickelt. Im Rahmen von Projekt- und Vergabeverfahren können insbesondere bereitgestellt werden: - ISO/IEC-27001-Zertifikat der Voigtmann GmbH, - Sicherheitskonzept der Mein Videotermin Suite, - Technische und Organisatorische Maßnahmen (TOM), - Auftragsverarbeitungsvertrag (AVV), - weitere Datenschutz- und Sicherheitsdokumentationen sowie projektspezifische Sicherheitsnachweise. Eine eigenständige Zertifizierung der MVS nach BSI-IT-Grundschutz besteht derzeit nicht. Die Lösung wurde unter Berücksichtigung etablierter Sicherheitsstandards entwickelt und unterstützt Auftraggeber bei der Umsetzung ihrer Informationssicherheits- und Datenschutzanforderungen. ## Wie unterstützt die MVS eine Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 DSGVO? [MVS-DS-09] Die MVS unterstützt Auftraggeber bei der Durchführung einer Datenschutz-Folgenabschätzung durch die Bereitstellung aller für die datenschutzrechtliche Bewertung erforderlichen technischen und organisatorischen Informationen: - Sicherheitskonzept der Mein Videotermin Suite, - TOM gemäß Art. 32 DSGVO und AVV gemäß Art. 28 DSGVO, - Beschreibung der eingesetzten Sicherheits-, Authentifizierungs- und Verschlüsselungsverfahren, - Darstellung der Datenverarbeitungsprozesse und der unterstützten Betriebs- und Bereitstellungsmodelle, - Unterstützung bei der Schutzbedarfsfeststellung und der Bewertung des Einsatzszenarios. Die DSFA selbst liegt in der Verantwortung des Auftraggebers und erfolgt projektspezifisch; die Voigtmann GmbH unterstützt bei Bedarf durch technische Informationen, Dokumentationen und fachliche Begleitung. ## Wie werden sicherheitsrelevante Ereignisse in der MVS protokolliert? [MVS-DS-10] Die MVS unterstützt die Protokollierung sicherheitsrelevanter Ereignisse sowie die Nachvollziehbarkeit administrativer Aktivitäten. Abhängig vom Einsatzszenario können insbesondere protokolliert werden: - An- und Abmeldeereignisse, - Aufbau und Beendigung von Kommunikationssitzungen, - Rollen- und Berechtigungsänderungen, - administrative Eingriffe, - sicherheitsrelevante Systemereignisse. Umfang, Aufbewahrungsdauer und Auswertung der Protokolldaten richten sich nach den organisatorischen und datenschutzrechtlichen Anforderungen des Auftraggebers und können projektspezifisch konfiguriert werden. ## Welche Authentifizierungsverfahren bietet die MVS (MFA, SSO, rollenbasierte Zugriffssteuerung)? [MVS-DS-11] Die MVS unterstützt verschiedene Authentifizierungs- und Autorisierungsverfahren, die an die Sicherheitsanforderungen und die bestehende IT-Infrastruktur des Auftraggebers angepasst werden können. Für Benutzer innerhalb der Verwaltung: - Multi-Faktor-Authentifizierung (MFA) für administrative Zugänge sowie Benutzer mit Zugriff auf personenbezogene Daten, - Single Sign-On (SSO) durch Anbindung an bestehende Identity-Management-Lösungen, - Anbindung an LDAP- und Active-Directory-Dienste zur zentralen Benutzerverwaltung, - rollenbasierte Zugriffskonzepte (RBAC) mit administrierbaren Rollen- und Berechtigungskonzepten. Darüber lässt sich u. a. steuern, wer Kommunikationssitzungen initiieren darf, wer teilnehmen darf, welche Funktionen genutzt werden dürfen und auf welche Organisationsbereiche zugegriffen werden darf. Für Bürgerinnen und Bürger unterstützt die Plattform die Anbindung bestehender Identitätslösungen des öffentlichen Sektors, insbesondere die BundID. Die European Digital Identity Wallet (EUDI Wallet) wird nach Vorliegen der verbindlichen technischen und regulatorischen Vorgaben im Rahmen der weiteren Produktentwicklung unterstützt.