Informationssicherheitsrichtlinie (IS-Policy)

Dieses Dokument ist die oberste Richtlinie der Informationssicherheits- und Datenschutz-Governance der Empennage GmbH. 
Alle nachgeordneten Richtlinien, Konzepte und Verfahren leiten sich hieraus ab.
1. Geltungsbereich
Diese Richtlinie gilt für:
Organisation: Empennage GmbH und alle zukünftigen Mitarbeitenden, Auftragnehmer und Dienstleister
Produkte: Schulfunk (schulfunk.app) und alle weiteren Empennage-Produkte
Systeme: Alle IT-Systeme, Cloud-Dienste und Infrastruktur (netcup VPS, Hetzner, SaaS-Dienste)
Daten: Alle verarbeiteten personenbezogenen und geschäftlichen Daten
2. Schutzziele
Ziel
Definition
Bedeutung für Schulfunk
Vertraulichkeit
Daten nur für Befugte zugänglich
Schüler-, Eltern- und Lehrerdaten dürfen nicht unbefugt eingesehen werden
Integrität
Daten korrekt und unverändert
Sendungsinhalte und Nutzerprofile dürfen nicht manipuliert werden
Verfügbarkeit
Systeme zugänglich wenn gebraucht
Schulfunk-Plattform muss während Schulzeiten erreichbar sein
Transparenz
Verarbeitung nachvollziehbar
Schulen und Eltern müssen verstehen was mit Daten passiert
3. Rechtlicher Rahmen
Die Informationssicherheits-Governance von Empennage orientiert sich an folgenden Regelwerken 
(vollständige Übersicht: Regulatorischer Rahmen):
Regelwerk
Relevanz
DSGVO / BDSG / TTDSG
Verpflichtend — Datenschutz-Grundlage
DSG NRW / SchulG NRW § 120
Verpflichtend — für Pilotbetrieb in NRW
EU AI Act (Hochrisiko Bildung)
Verpflichtend — sobald KI-Features für Schüler
JMStV / UrhG
Verpflichtend — Medienproduktion mit Minderjährigen
BSI IT-Grundschutz
Angestrebt — für Vertrauen bei öffentlichen Auftraggebern
ISO/IEC 27001
Langfristiges Ziel — ab erster Ausschreibung relevant
4. Verantwortlichkeiten
Rolle
Person
Aufgaben
Geschäftsführung / CIO
Philipp Wolters
Gesamtverantwortung, Budgets, strategische Entscheidungen, Unterzeichnung dieser Richtlinie
Datenschutz (ohne formalen DSB-Titel)
Philipp Wolters
VVT, AVV, DPIA, Einwilligungen, Meldepflichten. Kein formaler DSB nötig (<20 MA, Art. 37 DSGVO)
Security Officer
Philipp Wolters
Technische Schutzmaßnahmen, Incident Response, Schwachstellenmanagement
Compliance-Monitoring
n8n-Agent (automatisiert)
Monatlicher Compliance-Report in BookStack — siehe Compliance-Status
Vollständige Rollenübersicht: IT-Rollen
5. Grundsätze
Privacy by Design: Datenschutz wird von Anfang an in Produkte und Prozesse eingebaut, nicht nachträglich ergänzt.
Minimalprinzip: Es werden nur die Daten erhoben, die für den jeweiligen Zweck zwingend erforderlich sind.
Menschliche Aufsicht bei KI: Kein KI-System trifft autonom Entscheidungen über Minderjährige. Jede KI-Funktion erfordert menschliche Kontrollmöglichkeit (EU AI Act).
Need-to-know: Zugriff auf Daten nur für Personen/Systeme die ihn für ihre Aufgabe benötigen.
Dokumentationspflicht: Alle Verarbeitungstätigkeiten, Sicherheitsvorfälle und Änderungen werden dokumentiert.
Kontinuierliche Verbesserung: Monatliches Monitoring, jährliche Überprüfung dieser Richtlinie.
6. Nachgeordnete Dokumente
Dokument
Zweck
Status
Regulatorischer Rahmen
Welche Gesetze und Normen gelten
✅ Vorhanden
Datenklassifizierung
Kategorisierung und Schutzmaßnahmen nach Datensensitivität
✅ Vorhanden
Verarbeitungsverzeichnis (VVT)
Art. 30 DSGVO — alle Verarbeitungstätigkeiten
🔶 Entwurf
AVV
Art. 28 DSGVO — Verträge mit Auftragsverarbeitern
🔶 Entwurf
Eltern-Info (Art. 13)
Informationspflicht gegenüber Erziehungsberechtigten
🔶 Entwurf
Governance-Dokumente Übersicht
Alle noch fehlenden Dokumente mit Priorität
✅ Vorhanden
Datenschutz-Folgenabschätzung (DPIA)
Art. 35 DSGVO — Pflicht vor Schülerdaten-Verarbeitung
⚠️ Fehlt
Incident Response Plan
Vorgehen bei Datenpannen — 72h-Meldefrist
⚠️ Fehlt
Security Governance
Zugangskontrolle, Passwortrichtlinie, Netzwerkkonzept
⚠️ Fehlt
Backup-Konzept
Datensicherung VPS und Dienste
⚠️ Fehlt
Dokumentenrichtlinie
Wie Dokumente in BookStack erstellt und gepflegt werden
⚠️ Fehlt
7. Verpflichtung der Geschäftsführung
Ich, Philipp Wolters, Geschäftsführer der Empennage GmbH, verpflichte mich zur Umsetzung und 
kontinuierlichen Verbesserung dieser Informationssicherheits- und Datenschutz-Governance. 
Informationssicherheit und Datenschutz sind strategische Unternehmensziele und Grundlage des 
Vertrauens unserer Kunden — insbesondere der Schulen und Erziehungsberechtigten.
Datum:
12. Mai 2026
Version:
1.0
Nächste Überprüfung:
Mai 2027 (jährlich)
Unterzeichnet:
Philipp Wolters, Geschäftsführer