Anhang III

Technische und organisatorische Maßnahmen, einschließlich zur Gewährleistung der Sicherheit der Daten

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b) DS-GVO)

Zutrittskontrolle

Maßnahmen, die Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, verwehren:

Zutritt zu Büros und Arbeitsplätzen nur für zutrittsberechtigte Mitarbeiterinnen und Mitarbeiter
Vorgaben zur Behandlung von Gästen und Besuchern
Organisationsanweisung und Protokollierung zur Ausgabe von Schlüsseln

Zugangskontrolle

Maßnahmen, die verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können:

Authentifikation mit Benutzername und Passwort
Rechensysteme nur mit Passwort und über passwortgeschützte Verbindung nutzbar
Administratorzugriff nur für autorisierte Administratoren möglich – Clientsysteme nur nach passwortgestützter Netzwerk-Authentifizierung nutzbar
Remotezugriff nur über verschlüsselte VPN-Verbindungen möglich
Verbindliches Verfahren zur Rücksetzung „vergessener“ Passwörter
Verbindliches Verfahren zur Vergabe von Berechtigungen
Eindeutige Zuordnung von Berechtigungen
Eindeutige Zuordnung von Benutzerkonten zu Benutzern
Richtlinie zum sicheren, ordnungsgemäßen Umgang und Änderung von Passwörtern so wie Komplexität von Passwörtern (Länge, Zeichen etc.)
Einsatz von Antiviren-Software auf den Clients

Zugriffskontrolle

Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf ihre Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können:

Berechtigungsmechanismus mit Möglichkeit zur exakten Differenzierung auf Feldebene
Verbindliches Berechtigungsvergabeverfahren
Verbindliches Verfahren zur Wiederherstellung von Daten aus Backup

Trennungskontrolle

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobenen Daten getrennt verarbeitet werden:

Berechtigungskonzept bezüglich getrennter Speicherung und Mandantenfähigkeit

2. Integrität (Art. 32 Abs. 1 lit. b) DS-GVO)

Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist:

Personenbezogene Daten dürfen nur über verschlüsselte Transportwege (Beispiel https, sftp) übertragen und bereitgestellt werden
Verschlüsselung von E-Mail-Anhängen (In Verbindung mit Transportverschlüsselung): Die Nachrichten werden bei der Übertragung von E-Mail-Programmen zum Server verschlüsselt; Anhänge befinden sich in einem Archiv (z.B. zip), welches mit einem Passwort versehen ist.
Regelmäßige Anpassung der Verschlüsselungsmechanismen aufgrund von erkannten Sicherheitslücken
Einsatz von Verschlüsselung in Aufbewahrung und Transport
Einsatz von Application-Firewalls und Intrusion-Detection-Systemen zur Verhinderung und Erkennung von Angriffen. Verbindliche Arbeitsanweisung für Administratoren im Alarmfall
Zugriff auf personenbezogene Daten nur über authentifizierte Kanäle

Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind:

Registrierung der Benutzer und Datum/Uhrzeit der jeweiligen Änderungen im System
Protokollierung der Eingabe, Änderung und Löschung von Daten
Vergabe von Rechten zur Eingabe, Änderung und Löschung der Daten auf Basis eines Berechtigungskonzepts
Einsatz von Application-Firewalls und Intrusion-Detection-Systemen zur Verhinderung und Erkennung von Angriffen. Verbindliche Arbeitsanweisung für Administratoren im Alarmfall
Zugriffsauditierung und Analyse des Auditlogs

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b) DS-GVO)

Verfügbarkeitskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt werden:

Backup- und Recovery-Konzept für jedes Serversystem und/oder Applikation mit katastrophensicherer, geschützter Aufbewahrung der Sicherungen (backup vault)
Nachweis der sicheren und ordnungsgemäßen Archivierung in physisch geschütztem Archiv und verbindlicher Regelung der Zugriffsberechtigten
Einsatz von Schutzprogrammen (Virenscanner, Firewalls, Verschlüsselungsprogramme, SPAM-Filter) und Konzeption des Einsatzes
Einsatz von Storage Systemen mit Redundanz (RAID) wo sinnvoll und notwendig
Richtlinie zur Wartung und Durchführung von Updates
Automatisierte Standardroutinen für regelmäßige Aktualisierung von Schutzsoftware (z. B. Virenscanner)

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
(Art. 32 Abs. 1 lit. d) DS-GVO; Art. 25 DS-GVO)

Datenschutzmanagement

Organisationsanweisung zu regelmäßigem Training und Datenschutzverpflichtung von Mitarbeitern und Mitarbeiterinnen
Ablagesystem für relevante Unterlagen
Regelmäßige (mindestens einmal im Jahr) Überprüfung aller relevanten Unterlagen und Prozesse
Prozess zur Meldung und Bearbeitung von datenschutzrelevanten Angelegenheiten

Auftragskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden:

Detaillierte Angaben über Art und Umfang der beauftragten Verarbeitung und Nutzung personenbezogener Daten des Auftraggebers
Detaillierte Angaben über die Zweckbindung der personenbezogenen Daten des Auftraggebers sowie ein Verbot der Nutzung durch den Dienstleister außerhalb des schriftlich formulierten Auftrags

Der Dienstleister hat einen Datenschutzbeauftragten bestellt und sorgt durch die Datenschutzorganisation für dessen angemessene und effektive Einbindung in die relevanten betrieblichen Prozesse.