TOMs

TOMs

Download

Download

Technische und organisatorische Maßnahmen gem. Art. 32 DSGVO

Grundsätzliche Maßnahmen

  • Mitarbeiter werden im Hinblick auf den Datenschutz und Vertraulichkeit sowie Informations-/IT-Sicherheit regelmäßig geschult (1x jährlich).

  • Es besteht ein Konzept, das eine unverzügliche und den gesetzlichen Anforderungen entsprechende Reaktion auf Verletzungen des Schutzes personenbezogener Daten (Prüfung, Dokumentation, Meldung) gewährleistet. Es umfasst Formulare, Anleitungen und eingerichtete Umsetzungsverfahren sowie die Benennung der für die Umsetzung zuständigen Personen.

  • Der Schutz von personenbezogenen Daten wird unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen bereits bei der Entwicklung, bzw. Auswahl von Hardware, Software sowie Verfahren, entsprechend dem Prinzip des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen berücksichtigt (Art. 25 DSGVO).

  • Es besteht ein Konzept, welches die Wahrung der Rechte der Betroffenen (Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung, Datentransfer, Widerrufe & Widersprüche) innerhalb der gesetzlichen Fristen gewährleistet. Es umfasst Formulare, Anleitungen und eingerichtete Umsetzungsverfahren sowie die Benennung der für die Umsetzung zuständigen Personen.

  • Mitarbeiter werden im Hinblick auf den Datenschutz auf Verschwiegenheit verpflichtet und auf mögliche Haftungsfolgen hingewiesen.

  • Es besteht ein Datenschutz-Management, dessen Einhaltung überwacht wird sowie anlassbezogenen und mindestens halbjährlich evaluiert wird.

  • Es besteht ein Konzept, das eine unverzügliche und den gesetzlichen Anforderungen entsprechende Reaktion auf Verletzungen des Schutzes personenbezogener Daten (Prüfung, Dokumentation, Meldung) gewährleistet. Es umfasst Formulare, Anleitungen und eingerichtete Umsetzungsverfahren sowie die Benennung der für die Umsetzung zuständigen Personen.

  • Die an Mitarbeiter ausgegebenen Schlüssel, Zugangskarten oder Codes sowie im Hinblick auf die Verarbeitung personenbezogener Daten erteilte Berechtigungen, werden nach deren Ausscheiden aus dem Unternehmen, bzw. Wechsel der Zuständigkeiten eingezogen, bzw. entzogen.

  • Die eingesetzte Software wird stets auf dem aktuell verfügbaren Stand gehalten, ebenso wie Virenscanner und Firewalls.

  • Unternehmensdaten sowie personenbezogene Daten werden in zertifizierten Rechenzentren in Deutschland bzw. Europa verarbeitet. Mit diesen Rechenzentren wurde ein AV-Vertrag geschlossen.

Zutrittskontrolle - Technische Maßnahmen

  • Alarmanlage

  • Sicherheitsschlösser

  • Chipkarten-/Transponder-Schließsystem

  • Türen mit festem Knauf auf der Außenseite bzw. können diese nur von außen mit einem Schlüssel bzw. Zutrittsmedium oder Code geöffnet werden

  • Videoüberwachung Gebäudeeingang

  • Automatisches Zugangskontrollsystem

  • Notausgänge in das Sicherheitssystem integriert

  • Klingelanlage mit einer Kamera

  • Ausreichend Sicherheitsmaßnahmen für Fenster und Türen

  • Server, Firewall und Netzwerkverteiler sind in einem außerhalb der Geschäftszeiten verschlossenen Raum

Zutrittskontrolle - Organisatorische Maßnahmen

  • Zutrittsregelungen für betriebsfremde Personen

  • Wachpersonal

  • Besucher werden von einem Mitarbeiter zum gewünschten Ort begleitet

  • Protokollierung der Besucher

  • Besucher werden von einem Mitarbeiter zum gewünschten Ort begleitet

  • Vertraulichkeitsvereinbarung mit Besuchern

  • Dokumentation, wer wann welche Zutrittsberechtigungen erhalten hat

  • Eine Personenkontrolle wird beim Pförtner/ am Empfang/ an der Rezeption durchgeführt

  • Für den Verlust von Zutrittsmedien gibt es ein ausreichendes Sicherheitskonzept

  • Sorgfältige Auswahl von Reinigungsdiensten mit Vertraulichkeitsvereinbarung

Zugangskontrolle - Technische Maßnahmen

  • Firewall (Hardware)

  • Firewall (Software)

  • USB-Schnittstellen werden überwacht

  • Stets aktueller Virenschutz

  • Stets aktuelle Softwareversionen

  • Einsatz von VPN-Technologie oder einer anderen sicheren Verbindung

  • Passwortmanager

  • Einsatz von IDS und IPS Systemen

  • Verschlüsselung von mobilen Geräten

  • Einsatz von zentraler Smartphone-Administrations-Software

  • Protokollierung von Zugriffen auf Daten

  • Ordnungsgemäße Vernichtung von Datenträgern

  • Authentifikation mit Benutzer und Passwort und bei erhöhtem Schutzbedarf durch eine zusätzliche Multifaktor-Authentisierung

  • Verschlüsselung von Festplatten (Bitlocker)

  • Trivialpassworte werden vom System abgewiesen

  • Authentifikation mit Benutzer + Passwort, Passwort kann vom Anwender selbst vergeben und selbst geändert werden

  • Authentifikation mit biometrischen Daten

  • Einsatz von Mobile Device Management

  • Notebooks sind verschlüsselt

  • Smartphones und Tablets verschlüsselt

  • Berechtigung über Benutzerrollen, Benutzergruppen

  • Spezielle Benutzerprofile

  • Berechtigungs-/Authentifizierungskonzepte mit beschränkten Zugriffsregulierungen, die auf das Nötigste beschränkt sind.

Zugangskontrolle - Organisatorische Maßnahmen

  • Regelung für sichere Passwortvergabe

  • Schriftliche Richtlinie für ein sicheres Passwort ist allen Benutzern bekannt gemacht worden

  • Passwörter sind nur dem jeweiligen Benutzer bekannt, werden im Passwortmanager hinterlegt

  • IT-Sicherheitsrichtlinie

  • Benutzerrollen sind ausführlich dokumentiert

  • Richtlinie „Clean Desk“

  • Richtlinie „Sicheres Löschen/Vernichten“ ist vorhanden

Zugriffskontrolle - Technische Maßnahmen

  • Protokollierung von Zugriffen auf Anwendungen, insbesondere bei Eingabe, Änderung und Löschung von Daten

  • Automatische Desktop-Sperre/Bildschirmsperre mit Passwort

  • Benutzer werden nach einer bestimmten Zeit der Inaktivität automatisch abgemeldet

  • Datenträger sind verschlüsselt

  • Mobile Geräte wie z. B. Smartphones, Notebooks und Tablets sind verschlüsselt

  • BIOS-Schutz (separates Passwort)

  • Benutzte Datenträger, insbesondere Backups, werden zugriffs- und brandgeschützt aufbewahrt

  • Boot-Reihenfolge im BIOS so eingestellt, dass das Booten nur von der Festplatte und nicht von externen Datenträgern erfolgen kann (Absicherung gegen Viren und missbräuchliche Zugriffsversuche)

  • Anzahl der Administratoren ist auf das Notwendigste reduziert

  • Feuerfester Datenschutztresor für Datenträger und Datensicherungen

  • Backups werden zugriffs- und brandgeschützt aufbewahrt

  • Fremde Datenträger werden vor ihrem Einsatz mit einem Virenscanner auf Virenbefall überprüft

  • Benutzerberechtigungen ausgeschiedener Mitarbeiter werden zeitnah gesperrt

  • Benutzerrechte werden durch Systemadministratoren verwaltet

  • Server sind gegen unbefugte Benutzung gesichert (u. a. unautorisierte Veränderung an Hard- und Software sowie unbefugtes Starten eines Servers)

  • Passwortrichtlinie durch Anwendung festgelegt

Zugriffskontrolle - Organisatorische Maßnahmen

  • Es ist untersagt, eigene mobile Geräte für dienstliche Zwecke zu verwenden

  • Berechtigungskonzept vorhanden

  • Schriftliche Regelung für den Einsatz von mobilen Geräten

Gewährleistung des Zweckbindungs-/Trennungsgebotes – Technische Maßnahmen

  • Logische Mandantentrennung (Software)

  • Trennung von Produktiv- und Testsystem

  • Physikalische Trennung (Systeme / Datenbanken / Datenträger)

Gewährleistung des Zweckbindungs-/Trennungsgebotes – Organisat. Maßnahmen

  • Steuerung über Berechtigungskonzept

  • Datensätze sind - insoweit möglich - mit Zweckattributen versehen

Pseudonymisierung – Technische Maßnahmen

  • Nicht mehr benötigte personenbezogene Daten im Personalbereich werden nach Zweckerfüllung anonymisiert

Weitergabekontrolle - Technische Maßnahmen 

  • Verschlüsselung von Datenträgern und Verbindungen

  • E-Mail-Verschlüsselung TLS, Ende-zu-ende

  • E-Mail-Verschlüsselung Ende-zu-Ende-Verschlüsselung

  • Bereitstellung über verschlüsselte Verbindungen wie z.B. sftp, https

  • Protokollierung der Zugriffe und Abrufe

  • Einrichtung von VPN Tunneln oder andere sichere Verbindungen

  • Das Unternehmen stellt die Hard- und Software für den mobilen Arbeitsplatz

  • Speichermedien (z. B. Festplatten, USB-Sticks) werden vor ihrer Aussonderung sicher gelöscht oder sicher vernichtet

  • Aktenvernichter mit geeigneter Sicherheitsstufe

  • Sicheres Löschen von Datenträgern vor der Wiederverwendung (sicheres Löschen, so dass die Daten nicht wiederhergestellt werden können)

Weitergabekontrolle - Organisatorische Maßnahmen 

  • Spezielle Regelungen für Mobile Arbeitsplätze 

  • Ordnungsgemäße Vernichtung von Datenträgern 

Eingabekontrolle - Technische Maßnahmen 

  • Protokollierung von Dateneingaben-, Änderungen und Löschungen 

  • Automatisierte Kontrolle der Protokolle 

  • Aufbewahren von Formularen, von denen Daten in automatisierte Verarbeitungen übernommen worden sind 

Eingabekontrolle - Organisatorische Maßnahmen 

  • Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen (nicht Benutzergruppen) 

  • Vergabe von Rechten zur Eingabe, Änderung und Löschen von Daten auf Basis eines Berechtigungskonzepts 

  • Klare Zuständigkeiten für Löschungen 

Verfügbarkeitskontrolle - Technische Maßnahmen 

  • Alarmmeldung bei unberechtigtem Zutritt zum Serverraum im Rechenzentrum

  • Videoüberwachung des Serverraums im Rechenzentrum

  • RAID System / Festplattenspiegelung vorhanden des Servers im Rechenzentrum

  • Feuer-, Brand- und Rauchmeldeanlagen im Serverraum des Rechenzentrums

  • Klimaanlage in den Serverräumen des Rechenzentrums

  • Regelmäßig Tests für eine Datenwiederherstellung

  • Keine unnötigen Brandlasten im Serverraum des Rechenzentrums

  • Getrennte Partitionen für Betriebssysteme und Daten

  • Geräte zur Überwachung von Temperatur und Feuchtigkeit in Serverräumen des Rechenzentrums installiert

  • Schutzeinrichtungen gegen Überspannungen und Blitzschlag

  • Unterbrechungsfreie Stromversorgung (USV) der Server im Rechenzentrum

  • Tägliche Datensicherung

  • Kontrolle des Sicherungsvorgangs

  • Alarmmeldung bei unberechtigtem Zutritt zum Serverraum im Rechenzentrum

  • Feuerfestester Datenschutztresor für die Lagerung der Datensicherungen und Datenträger

  • Zugriffssichere Aufbewahrung von Datensicherungsbeständen in einem anderen Brandabschnitt

  • Geeignete Feuerlöschgeräte in Serverräumen oder in unmittelbarer Nähe

Verfügbarkeitskontrolle - Organisatorische Maßnahmen 

  • Notfallplan vorhanden 

  • Backup & Recovery Konzept 

Datenschutz-Management - Technische Maßnahmen 

  • Software-Lösungen für Datenschutz-Management im Einsatz 

  • Zentrale Dokumentation aller Verfahrensweisen und Regelungen zum Datenschutz mit Zugriffsmöglichkeit für Mitarbeiter nach Bedarf / Berechtigung (z.B. Wiki, Intranet…) 

Datenschutz-Management - Organisatorische Maßnahme 

  • Formalisierter Prozess zur Bearbeitung von Auskunftsanfragen seitens Betroffener ist vorhanden 

  • Regelmäßige Schulungen zur Auffrischung für bestehendes Personal (einmal pro Jahr) 

  • Sicherheitszertifizierung nach ISO 27001 

  • Überprüfung der Wirksamkeit der technischen Schutzmaßnahmen wird mind. jährlich durchgeführt 

  • Externer Informationssicherheits- und Datenschutzbeauftragter vorhanden 

  • Mitarbeiter auf Vertraulichkeit und Datengeheimnis verpflichtet 

  • Anderweitiges dokumentiertes Sicherheits-Konzept 

  • Die Organisation kommt den Informationspflichten nach Art. 13 und 14 DSGVO nach 

  • Die Datenschutz-Folgenabschätzung (DSFA) wird bei Bedarf durchgeführt 

Incident-Response-Management - Technische Maßnahmen 

  • Einsatz von Firewall und regelmäßige Aktualisierung

  • Intrusion Prevention System (IPS)

  • Intrusion Detection System (IDS)

  • Einsatz von Virenscanner und regelmäßige Aktualisierung

  • Einsatz von Spamfilter und regelmäßige Aktualisierung

Incident-Response-Management - Organisatorische Maßnahmen 

  • Dokumentation von Sicherheitsvorfällen und Datenpannen in der Software 

  • Einbindung von DSB in Sicherheitsvorfälle und Datenpannen 

  • Einbindung von ISB in Sicherheitsvorfälle und Datenpannen 

  • Prozess und Verantwortlichkeiten zur Nachbearbeitung von Sicherheitsvorfällen und Datenpannen 

Datenschutzfreundliche Voreinstellungen - Technische Maßnahmen 

  • Voreinstellungen für Software und andere Verarbeitungsvorgänge stellen sicher, dass nur die personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck tatsächlich erforderlich sind 

Datenschutzfreundliche Voreinstellungen - Organisatorische Maßnahmen 

  • Zweckbindung der erhobenen und gespeicherten Daten wird eingehalten 

  • Bei einer Zweckänderung wird das Einverständnis der Betroffenen eingeholt 

  • Der Umfang der erhobenen personenbezogenen Daten und dessen Verarbeitung ist auf das Notwendige begrenzt 

  • Die Speicherfrist der personenbezogenen Daten ist auf das Notwendige begrenzt 

  • Ein Löschen der personenbezogenen Daten nach der Zweckerfüllung ist gewährleistet (Zuweisung von Löschfristen) 

Auftragskontrolle - Organisatorische Maßnahmen 

  • Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags 

  • Auswahl von Auftragnehmern unter Sorgfaltsgesichtspunkten (gerade in Bezug auf Datenschutz und Datensicherheit) 

  • Verpflichtung der Mitarbeiter des Auftragnehmers auf das Datengeheimnis 

  • Vereinbarung wirksamer Kontrollrechte gegenüber dem Auftragnehmer 

  • Verpflichtung zur Bestellung eines Datenschutzbeauftragten durch den Auftragnehmer bei Vorliegen Bestellpflicht 

  • Schriftliche Festlegung der Weisungen 

  • Vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmaßnahmen und deren Dokumentation