Als nicht-öffentliche Stelle, die im Auftrag personenbezogene Daten erhebt, verarbeitet oder nutzt, müssen wir technische und organisatorische Maßnahmen treffen, die erforderlich sind, um die Ausführung der Datenschutzvorschriften zu gewährleisten. Insbesondere sind Vertraulichkeit, Integrität, Verfügbarkeit und Systembelastbarkeit im Zusammenhang mit der Datenverarbeitung sicherzustellen. Die folgenden technischen und organisatorischen Maßnahmen sind dazu in unserem Unternehmen umgesetzt:

1. Vertraulichkeit

   a) Zutrittskontrolle/Gebäudeabsicherung
   Kein unbefugter Zutritt zu Datenverarbeitungsanlagen.
   
   
   • Schlüsselregelung (Schlüsselausgabe etc.)
   • Manuelles Schließsystem
   • Sicherheitsschlösser
   • Personenkontrolle beim Pförtner / Empfang
   • Sorgfältige Auswahl von Reinigungspersonal
   • Einrichtung von abgestuften Sicherheitszonen (Besucherbereich, Büros mit sicherheitsrelevanten Verarbeitungen, Serverräume)
   
   
   b) Zugangskontrolle/Absicherung Systemzugang
   Keine unbefugte Systembenutzung
   
   
   • Zuordnung von Benutzerrechten
   • Vorgaben für sichere Passwörter
   • Authentifikation mit Benutzername/Passwort
   • Gehäuseverriegelungen am Server
   • Sperren von externen Schnittstellen (USB etc.)
   • Einsatz von Intrusion-Detection-Systemen
   • Einsatz von individuellen Benutzernamen
   • Zuordnung von Benutzerprofilen zu IT-Systemen
   • Einsatz von VPN-Technologie (Fernzugriff)
   • Sichere Passwörter für Smartphones
   
   
   c) Zugriffskontrolle/Sicherstellung von Zugriffsberechtigungen
   Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems.
   
   
   • Erstellen eines Berechtigungskonzepts
   • Anzahl der Administratoren auf das „Notwendigste“ reduziert
   • Sichere Aufbewahrung von Datenträgern
   • Einsatz einer Hardware-Firewall
   • Verwaltung der Rechte durch Systemadministrator
   • Passwortrichtlinie inkl. Passwortlänge, Passwortwechsel
   • Ordnungsgemäße Vernichtung von Datenträgern (DIN 66399)
   • Einsatz von Anti-Viren-Software
   • Einsatz einer Software-Firewall
   
   
   d) Trennungskontrolle/Maßnahmen zur Zwecktrennung von Daten
   
   
   • Physikalisch getrennte Speicherung auf gesonderten Systemen oder Datenträgern
   • Erstellung eines Berechtigungskonzepts
   • Trennung von Produktiv- und Testsystem
   • Logische Mandantentrennung (softwareseitig)
   • Keine Produktivdaten in Testsystemen

2. Integrität

   e) Weitergabekontrolle/Sicherheit beim Datentransfer
   Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport
   
   
   • Einrichtungen von Standleitungen bzw. VPN-Tunneln
   • E-Mail-Verschlüsselung
   • Beim physischen Transport: sorgfältige Auswahl von Transportpersonal und Fahrzeugen
   • Beim physischen Transport: sichere Transportbehälter/-verpackungen
   • Verschlüsselung externer Datenträger bei Weitergabe (CDs, USB-Sticks etc.)
   
   
   f) Eingabekontrolle
   Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind
   
   
   • Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts
   • Protokollierung der Eingabe, Änderung und Löschung von Daten
   • Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen (nicht Benutzergruppen)

3. Verfügbarkeit und Belastbarkeit

   g) Verfügbarkeitskontrolle/Schutz von Daten vor zufälliger Zerstörung und Verlust
   • Unterbrechungsfreie Stromversorgung (USV)
   • Erstellen eines Backup- und Recoverykonzepts
   • Schutzsteckdosenleisten in Serverräumen
   • Aufbewahrung von Datensicherung an einem sicheren, ausgelagerten Ort
   • Serverräume nicht unter sanitären Anlagen
   
   h) Rasche Wiederherstellbarkeit
   
   
   • Testen von Datenwiederherstellung
   
   

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

   a) Datenschutz-Management
   • Die Grundsätze zum Datenschutz (Erhebung, Verarbeitung oder Nutzung personenbezogener Daten) sind einer unternehmensinternen Richtlinie festgelegt
   • Es ist ein Datenschutzbeauftragter schriftlich benannt
   • Verpflichtung der Mitarbeiter auf das Datengeheimnis / zum Umgang mit personenbezogenen Daten
   • Verpflichtung der Mitarbeiter auf das Fernmeldegeheimnis
   • Die interne Verarbeitungsübersicht der Verarbeitungsprozesse ist vorhanden
   • Der DSB ist bei der Datenschutzfolgeabschätzung eingebunden
   • Schulung von Mitarbeitern
   
   
   b) Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
   
   
   • Beachtung privacy by Design/Datenschutz durch Technikgestaltung
   
   
   c) Auftragskontrolle/Einbindung von Unter-Auftragsverarbeitern
   • Auswahl der (Unter-)Auftragsverarbeiter unter Sorgfaltsgesichtspunkten (insbesondere hinsichtlich Datensicherheit)
   • Schriftlich dokumentierte Weisungen an den Auftragsverarbeiter (z. B. durch Auftragsdatenverarbeitungsvertrag)
   • Auftragsverarbeiter hat Datenschutzbeauftragten bestellt (wenn erforderlich)
   • Wirksame Kontrollrechte gegenüber dem Auftragsverarbeiter vereinbart
   • Vorherige Prüfung und Dokumentation der beim Auftragsverarbeiter getroffenen Sicherheitsmaßnahmen
   • Verpflichtung der Mitarbeiter des Auftragsverarbeiters auf das Datengeheimnis/ Vertraulichkeit
   • Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags
   • Laufende Überprüfung des Auftragsverarbeiters und seiner Tätigkeiten