Technisch-organisatorische Maßnahmen

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen hat die Formcentric GmbH nachfolgend dargelegte technische und organisatorische Maßnahmen getroffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. a, b DS-GVO)

Zutrittskontrolle

Ein unbefugter Zutritt ist zu verhindern, wobei der Begriff räumlich zu verstehen ist. Technische und organisatorische Maßnahmen zur Zutrittskontrolle, insbesondere auch zur Legitimation der Berechtigten:

☒ Festlegung befugter Personen inklusive Umfang der jeweiligen Befugnisse

☒ Sorgfältige Auswahl von Reinigungspersonal

☒ Existenz von Regelungen für Unternehmensexterne (Begleitung des Besuchers durch Mitarbeiter, Trennung von Bearbeitungs- und Publikumszonen)

☒ Umsetzung einer Schlüsselregelung

☒ Physische Maßnahmen vorhanden und regelmäßig überprüft:

- Gesicherter Eingang (z. B. abschließbare Türen, Sicherheitsschlösser)

- Türsicherung (elektrische Türöffner)

- Gerätesicherung gegen Diebstahl, Manipulation oder Beschädigung

- Überwachungseinrichtung (z. B. Alarmanlage, Videoüberwachung)

☒ Unterteilung in verschiedene Sicherheitszonen

Zugangskontrolle

Das Eindringen Unbefugter in die DV-Systeme und die unbefugte Systemnutzung sind zu verhindern. Technische und organisatorische Maßnahmen hinsichtlich der Benutzeridentifikation und Authentifizierung:

☒ Konzeption und Implementierung eines Berechtigungskonzepts

☒ Berechtigungskonzept für Endgeräte (Rechner)

☒ Berechtigungskonzept für Software/Systeme

☒ Identifikation und Berechtigungsprüfung eines Benutzers

☒ Implementierung eines Systems zur Verwaltung von Benutzeridentitäten

☒ Monitoring der Zugangsversuche mit Reaktion auf Sicherheitsvorfälle

☒ Festlegung und Kontrolle der Zugangsbefugnisse

☒ Verschlüsselung

☒ Angemessener Passwortschutz (Verhaltensregeln, verschlüsselte Archive)

☒ Spezielle Sicherheitssoftware (Anti-Malware, Viren-Scanner, Soft- und Hardware-Firewall)

☒ Zwei-Faktor-Authentifizierung

☒ Existenz von Regelungen für Unternehmensexterne

Zugriffskontrolle

Unerlaubte Tätigkeiten in DV-Systemen außerhalb eingeräumter Berechtigungen sind zu verhindern.Bedarfsorientierte Ausgestaltung des Berechtigungskonzepts und der Zugriffsrechte sowie deren Überwachung und Protokollierung anhand:

☒ Berechtigungs- und Rollenkonzept für Applikationen

☒ Umsetzung von Regelungen zur Zugriffs- und Benutzerberechtigung

☒ Überprüfung der Berechtigungen

☒ Funktionsbegrenzung (funktional/zeitlich)

☒ Zugriffsbeschränkungen (gemäß „Need-to-Know“ und „Least Privilege“)

☒ Verschlüsselte Speicherung der Daten

☒ Protokollierung von Zugriffen auf Anwendungen, insbesondere bei der Eingabe, Änderung und Löschung von Daten

☒ Protokollierung von unberechtigten Zugriffsversuchen

☒ Regelmäßige Auswertung

☒ Anlassbezogene Auswertung

☒ Umsetzung von Regelungen zur Löschung von Daten

☒ Umsetzung von Regelungen zur Entsorgung von Speichermedien (Einsatz von Aktenvernichtern bzw. Dienstleistern gem. DIN 66933)

☒ Umsetzung von Regelungen zum Umgang mit elektronischen Speichermedien

Trennungskontrolle

Daten, die zu unterschiedlichen Zwecken erhoben wurden, sind getrennt zu verarbeiten. Maßnahmen zur getrennten Verarbeitung (Speicherung, Veränderung, Löschung, Übermittlung) von Daten mit unterschiedlichen Zwecken:

☒ Mandantenfähigkeit

☒ Physische Trennung

☒ Logische Mandantentrennung (softwareseitig)

☒ Trennung von Produktiv- und Testsystemen

☒ Festlegung von Datenbankrechten

☒ Vorhandensein von Richtlinien und Arbeitsanweisungen

☒ Vorhandensein von Verfahrensdokumentationen

☒ Regelmäßige Prüfung der bestimmungsgemäßen Nutzung der Informationen

und IT-Systeme

Pseudonymisierung und Verschlüsselung

Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechenden technischen und organisatorischen Maßnahmen unterliegen:

☒ Softwarebasierte Verschlüsselung bei Datenspeicherung

☒ Hardwarebasierte Verschlüsselung bei Datenspeicherung

2. Integrität (Art. 32 Abs. 1 lit. b DS-GVO)

Weitergabekontrolle

Aspekte der Weitergabe und Übertragung personenbezogener Daten sind zu regeln: Elektronische Übertragung, Datentransport, Übermittlungskontrolle. Maßnahmen bei Transport, Übertragung und Übermittlung oder Speicherung auf Datenträger (manuell oder elektronisch) sowie bei der nachträglichen Überprüfung:

Für elektronische Datenträger:

☒ Verschlüsselung der Datenübermittlung (z. B. VPN, S/MIME)

☒ Elektronische Signatur

☒ Anlassbezogene Durchführung von Plausibilitäts-, Vollständigkeits- und Richtigkeitsprüfungen

☒ Maßnahmen zur Verhinderung von unkontrollierten Informationsabflüssen (z. B. Deaktivierung der USB-Schnittstellen, regelmäßige Kontrolle der zulässigen Empfänger, technische Beschränkung auf zulässige Empfänger)

☒ Dokumentation der Formen der Weitergabe von Daten (z. B. Ausdruck, Datenträger, automatisierte Übermittlung)

☒ Dokumentationen der Schnittstellen und der Abruf- und Übermittlungsprogramme

Für Ausdrucke und Datenträger:

☒ Anlassbezogene Sicherungen des Transports (z. B. Behälter, Verschlüsselung von Speichermedien, Übergabeprotokolle)

Eingabekontrolle

Die Nachvollziehbarkeit bzw. Dokumentation der Datenverwaltung und -pflege ist zu gewährleisten.

Maßnahmen zur nachträglichen Überprüfung, ob und von wem Daten eingegeben, verändert oder entfernt (gelöscht) worden sind:

☒ Protokollierung der Eingaben und Überprüfung der Protokolle

☒ Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen (nicht Benutzergruppen)

☒ Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzeptes

☒ Organisatorisch festgelegte Zuständigkeiten für die Eingabe

3.Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DS-GVO)

Verfügbarkeitskontrolle

Die Daten sind gegen zufällige Zerstörung oder Verlust zu schützen. Maßnahmen zur Datensicherung (physisch/logisch):

☒ Regelmäßige Kontrolle des Systemzustands (Monitoring)

☒ Kurzfristige Wiederherstellbarkeit des normalen Systemzustands

☒ Backup- und Wiederanlaufkonzept (regelmäßige Datensicherungen):

☒ offline ☒ online ☒ onsite ☒ offsite ☒

☒ Datenarchivierungskonzept

☒ Vorhandensein eines Notfallkonzepts (Business Continuity, Disaster Recovery)

☒ Regelmäßige Tests des Notfallkonzepts

☒ Vorhandensein von redundanten IT-Systemen (z. B. Server, Speicher)

☒ Replizierbarkeit virtueller Maschinen

☒ Funktionsfähige physische Schutzeinrichtungen (Brandschutz, Energie: USV, Klima)

☒ Meldewege und Notfallpläne

Belastbarkeitskontrolle

Die Verarbeitung der Daten soll tolerant gegenüber Störungen und Fehlern sein.

☒ Virenschutz/Anti-Malware/Anti-Ransomware

☒ großzügig vorhandene Netzwerkkapazität

☒ gehärtete Hardware gegen insbesondere DoS- und DDoS-Angriffe

☒ IDS/IPS

☒ geeignete Systemarchitektur/DMZ

☒ Firewall

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
(Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)

☒ Schriftlich fixierte Regelungen der Verantwortlichkeiten für Datenschutz

☒ Schriftlich fixierte Regelungen der Verantwortlichkeiten für Informationssicherheit

☒ Existenz eines angemessenen Informationssicherheitsmanagements

☒ Existenz eines angemessenen Incident Response Managements

☒ Durchführung einer Informationsklassifizierung

☒ Regelmäßige Aufklärung und Sensibilisierung der Mitarbeiter und Führungskräfte

☒ Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DS-GVO);

☒ Auftragskontrolle, um weisungsgemäße Auftragsverarbeitung zu gewährleisten:

- Strikte Einhaltung der festgeschriebenen Vereinbarungen und diesbezügliche Überprüfungen

☒ Konzept dahingehend, wie die regelmäßige Kontrolle des Auftragsprozesses erfolgt (z. B. Vorlage von Self-Assessments, Vorlage der Verträge mit Unterauftragnehmern, Durchführung von Kontrollen bei Subunternehmern durch den Auftragnehmer)

☒ Keine Auftragsdatenverarbeitung im Sinne von Art. 28 DS-GVO ohne entsprechende Weisung des Auftraggebers, z. B. anhand: eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl des Dienstleisters, Vorabüberzeugungspflicht, Nachkontrollen.