Technische und organisatorische Maßnahmen

Diese Dokumentation beschreibt die technischen und organisatorischen Maßnahmen (TOM) der qutee.ai GmbH, Gerichtsstraße 2, 65185 Wiesbaden, nach Art. 32 DSGVO. Sie ist Anlage 1 zur Vereinbarung zur Auftragsverarbeitung (AVV).

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

Kein unbefugter Zutritt zu Datenverarbeitungsanlagen, z.B.: Magnet- oder Chipkarten, Schlüssel, elektrische Türöffner, Werkschutz bzw. Pförtner, Alarmanlagen, Videoanlagen.

Technische Maßnahmen

• Alarmanlage
• Automatisches Zugangskontrollsystem
• Videoüberwachung der Eingänge
• Chipkarten / Transpondersysteme
• Sicherheitsschlösser
• Sicherheitsschloss am Serverraum
• Schließsystem mit Codesperre
• Absicherung der Gebäudeschächte
• Klingelanlage mit Kamera
• Serverräume sind nur durch bestimmte Schlüssel zu betreten

Organisatorische Maßnahmen

• Schlüsselregelung / Liste
• Empfang / Rezeption / Pförtner
• Besucherbuch / Protokoll der Besucher
• Mitarbeiter- / Besucherausweise
• Besucher in Begleitung durch Mitarbeiter
• Sorgfalt bei Auswahl des Wachpersonals
• Sorgfalt bei Auswahl Reinigungsdienste

Zugangskontrolle

Keine unbefugte Systembenutzung, z.B.: (sichere) Kennwörter, automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern.

Technische Maßnahmen

• Login mit Benutzername + Passwort
• Login mit biometrischen Daten
• Anti-Viren-Software Server
• Anti-Virus-Software Clients
• Anti-Virus-Software mobile Geräte
• Firewall
• Intrusion Detection Systeme
• Mobile Device Management
• Einsatz VPN bei RemoteZugriffen
• Verschlüsselung von Datenträgern
• Verschlüsselung Smartphones
• BIOS Schutz (separates Passwort)
• Sperre externer Schnittstellen (USB)
• Automatische Desktopsperre
• Verschlüsselung von Notebooks/Tablet

Organisatorische Maßnahmen

• Verwalten von Benutzerberechtigungen
• Erstellen von Benutzerprofilen
• Richtlinie „Sicheres Passwort“
• Richtlinie „Löschen / Vernichten“
• Richtlinie „Clean Desk“
• Allg. Richtlinie Datenschutz/Sicherheit
• Mobile Device Policy
• Anleitung „Manuelle Desktopsperre“

Zugriffskontrolle

Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, z.B.: Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen.

Technische Maßnahmen

• Aktenschredder
• Externer Aktenvernichter (DIN 66399)
• Physische Löschung von Datenträgern
• Protokollierung von Zugriffen auf Anwendungen, konkret bei der Eingabe, Änderung und Löschung von Daten

Organisatorische Maßnahmen

• Einsatz Berechtigungskonzepte
• Minimale Anzahl an Administratoren
• Verwaltung Benutzerrechte

Trennungskontrolle

Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, z.B. Mandantenfähigkeit, Sandboxing.

Technische Maßnahmen

• Trennung von Produktiv- und Testumgebung
• Physikalische Trennung (Systeme / Datenbanken / Datenträger)
• Mandantenfähigkeit relevanter Anwendungen

Organisatorische Maßnahmen

• Steuerung über Berechtigungskonzept
• Festlegung von Datenbankrechten

Pseudonymisierung

Technische Maßnahmen

• Im Falle der Pseudonymisierung: Trennung der Zuordnungsdaten und Aufbewahrung in getrennten und abgesicherten System (mögl. verschlüsselt)

Organisatorische Maßnahmen

• Interne Anweisung, personenbezogene Daten im Falle einer Weitergabe oder auch nach Ablauf der gesetzlichen Löschfrist möglichst zu pseudonymisieren

Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport, z.B.: Verschlüsselung, Virtual Private Networks (VPN), elektronische Signatur.

Technische Maßnahmen

• E-Mail-Verschlüsselung
• Einsatz von VPN
• Protokollierung der Zugriffe und Abrufe
• Sichere Transportbehälter
• Bereitstellung über verschlüsselte Verbindungen wie sftp, https
• Nutzung von Signaturverfahren

Organisatorische Maßnahmen

• Dokumentation der Datenempfänger sowie der Dauer der geplanten Überlassung bzw. der Löschfristen
• Übersicht regelmäßiger Abruf- und Übermittlungsvorgängen
• Weitergabe in anonymisierter oder pseudonymisierter Form
• Sorgfalt bei Auswahl von Transport- Personal und Fahrzeugen
• Persönliche Übergabe mit Protokoll

Eingabekontrolle

Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, z.B.: Protokollierung, Dokumentenmanagement.

Technische Maßnahmen

• Technische Protokollierung der Eingabe, Änderung und Löschung von Daten
• Manuelle oder automatisierte Kontrolle der Protokolle

Organisatorische Maßnahmen

• Übersicht, mit welchen Programmen welche Daten eingegeben, geändert oder gelöscht werden können
• Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen (nicht Benutzergruppen)
• Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts
• Aufbewahrung von Formularen, von denen Daten in automatisierte Verarbeitungen übernommen wurden
• Klare Zuständigkeiten für Löschungen

Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Verfügbarkeitskontrolle

Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z.B.: Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne.

Technische Maßnahmen

• Feuer- und Rauchmeldeanlagen
• Feuerlöscher Serverraum
• Serverraumüberwachung Temperatur und Feuchtigkeit
• Serverraum klimatisiert
• USV
• Schutzsteckdosenleisten Serverraum
• RAID System / Festplattenspiegelung
• Videoüberwachung Serverraum
• Alarmmeldung bei unberechtigtem Zutritt zu Serverraum

Organisatorische Maßnahmen

• Backup & Recovery-Konzept (ausformuliert)
• Kontrolle des Sicherungsvorgangs
• Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse
• Aufbewahrung der Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums
• Keine sanitären Anschlüsse im oder oberhalb des Serverraums
• Existenz eines Notfallplans (z.B. BSI IT Grundschutz 100-4)
• Getrennte Partitionen für Betriebssysteme und Daten

Rasche Wiederherstellung (Art. 32 Abs. 1 lit. c) DSGVO)

Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z.B.: Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne

Technische Maßnahmen

• Bereitstellung des Server Systemdienstes VSS (Volume Shadow Copy Service) um gelöschte Daten auf dem Fileserver zeitnah wiederherzustellen

Organisatorische Maßnahmen

• Backupkonzept mit Datenvorhaltung vor Ort und redundant an einem weiteren Standort
• Notfallhandbuch

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)

Datenschutz-Management

Technische Maßnahmen

• Zentrale Dokumentation aller Verfahrensweisen und Regelungen zum Datenschutz mit Zugriffsmöglichkeit für Mitarbeiter nach Bedarf / Berechtigung (z.B. Wiki, Intranet …)
• Anderweitiges dokumentiertes Sicherheitskonzept
• Eine Überprüfung der Wirksamkeit der technischen Schutzmaßnahmen wird mind. jährlich durchgeführt

Organisatorische Maßnahmen

• externer Datenschutzbeauftragter
• Mitarbeiter geschult und auf Vertraulichkeit/Datengeheimnis verpflichtet
• Regelmäßige Sensibilisierung der Mitarbeiter, mindestens jährlich
• Die Datenschutz-Folgenabschätzung (DSFA) wird bei Bedarf durchgeführt
• Die Organisation kommt den Informationspflichten nach Art. 13 und 14 DSGVO nach
• Formalisierter Prozess zur Bearbeitung von Auskunftsanfragen seitens Betroffener ist vorhanden

Incident-Response-Management

Technische Maßnahmen

• Einsatz von Firewall und regelmäßige Aktualisierung
• Einsatz von Spamfilter und regelmäßige Aktualisierung
• Einsatz von Virenscanner und regelmäßige Aktualisierung
• Intrusion Detection System (IDS)

Organisatorische Maßnahmen

• Dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen / Datenpannen (auch im Hinblick auf Meldepflicht gegenüber Aufsichtsbehörde)
• Dokumentierte Vorgehensweise zum Umgang mit Sicherheitsvorfällen
• Einbindung von DSB und ISB in Sicherheitsvorfälle und Datenpannen
• Dokumentation von Sicherheitsvorfällen und Datenpannen z.B. via Ticketsystem
• Formaler Prozess und Verantwortlichkeiten zur Nachbearbeitung von Sicherheitsvorfällen und Datenpannen

Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO)

Technische Maßnahmen

• Einfache Ausübung des Widerrufrechts des Betroffenen durch technische Maßnahmen

Organisatorische Maßnahmen

• Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind

Weitere Maßnahmen

• Falls möglich sind in den Standardeinstellungen der Systeme der Drittdienstleister der Standort Deutschland bevorzugt und alternativ EU.

Auftragskontrolle

Keine Auftragsverarbeitung im Sinne von Art. 28 DSGVO ohne entsprechende Weisung des Auftraggebers, z.B.: Eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl des Dienstleisters, Vorabüberzeugungspflicht, Nachkontrollen.

Organisatorische Maßnahmen

• Vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmaßnahmen und deren Dokumentation
• Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (gerade in Bezug auf Datenschutz und Datensicherheit)
• Abschluss der notwendigen Vereinbarung zur Auftragsverarbeitung bzw. EU Standard Vertragsklauseln
• Schriftliche Weisungen an den Auftragnehmer
• Verpflichtung der Mitarbeiter des Auftragnehmers auf Datengeheimnis
• Verpflichtung zur Bestellung eines Datenschutzbeauftragten durch den Auftragnehmer bei Vorliegen Bestellpflicht
• Vereinbarung wirksamer Kontrollrechte gegenüber dem Auftragnehmer
• Regelung zum Einsatz weiterer Subunternehmer
• Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags
• Bei längerer Zusammenarbeit: Laufende Überprüfung des Auftragnehmers und seines Schutzniveaus

Alle Änderungen · Eine unterschriebene Fassung als PDF erhalten Sie auf Anfrage an [email protected].