- Vertraulichkeit gem. Art. 32 Abs. 1 lit. DSGVO
1.1. Zutrittskontrolle
Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren. Als Maßnahmen zur Zutrittskontrolle können zur Gebäude- und Raumsicherung unter anderem automatische Zutrittskontrollsysteme, Einsatz von Chipkarten und Transponder, Kontrolle des Zutritts durch Pförtnerdienste und Alarmanlagen eingesetzt werden. Server, Telekommunikationsanlagen, Netzwerktechnik und ähnliche Anlagen sind in verschließbaren Serverschränken zu schützen. Darüber hinaus ist es sinnvoll, die Zutrittskontrolle auch durch organisatorische Maßnahmen (z.B. Dienstanweisung, die das Verschließen der Diensträume bei Abwesenheit vorsieht) zu stützen.
|
Technische Maßnahmen |
Organisatorische Maßnahmen |
|
Alarmanlage |
X Schlüsselregelung / Liste |
|
X Automatisches Zugangskontrollsystem |
X Empfang / Rezeption |
|
Biometrische Zugangssperren |
Besucherbuch / Protokoll der Besucher |
|
X Chipkarten / Transpondersysteme |
Mitarbeiter- / Besucherausweise |
|
X Manuelles Schließsystem |
X Besucher in Begleitung durch Mitarbeiter |
|
X Sicherheitsschlösser |
Sorgfalt bei Auswahl des Wachpersonals |
|
Schließsystem mit Codesperre |
X Sorgfalt bei Auswahl Reinigungsdienste |
|
Absicherung der Gebäudeschächte |
X Absperrbare Fenstergriffe |
|
X Türen mit Knauf Außenseite |
X Fenster teilweise vergittert |
|
Klingelanlage mit Kamera |
X Zutritt Serverraum über Chipkarte und PIN |
|
X Videoüberwachung der Eingänge |
X Zugang Serverraum Videoüberwacht |
|
|
X Parkplatz videoüberwacht |
|
|
|
|
|
|
Weitere Maßnahmen hier beschreiben:
1.2. Zugangskontrolle
Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme (Computer) von Unbefugten genutzt werden können.
Mit Zugangskontrolle ist die unbefugte Verhinderung der Nutzung von Anlagen gemeint. Möglichkeiten sind beispielsweise Bootpasswort, Benutzerkennung mit Passwort für Betriebssysteme und eingesetzte Softwareprodukte, Bildschirmschoner mit Passwort, der Einsatz von Chipkarten zur Anmeldung wie auch der Einsatz von CallBack-Verfahren. Darüber hinaus können auch organisatorische Maßnahmen notwendig sein, um beispielsweise eine unbefugte Einsichtnahme zu verhindern (z.B. Vorgaben zur Aufstellung von Bildschirmen, Herausgabe von Orientierungshilfen für die Anwender zur Wahl eines „guten“ Passworts).
|
Technische Maßnahmen |
Organisatorische Maßnahmen |
|
X Login mit Benutzername + Passwort |
X Verwalten von Benutzerberechtigungen |
|
X Login mit biometrischen Daten bei Notebooks |
X Erstellen von Benutzerprofilen |
|
X Anti-Viren-Software Server |
X Zentrale Passwortvergabe |
|
X Anti-Virus-Software Clients |
X Richtlinie „Sicheres Passwort“ |
|
X Anti-Virus-Software mobile Geräte |
X Richtlinie „Löschen / Vernichten“ |
|
X Firewall |
X Richtlinie „Clean desk“ |
|
X Intrusion Detection Systeme |
X Allg. Richtlinie Datenschutz und / oder Sicherheit |
|
X Mobile Device Management |
X Mobile Device Policy |
|
X Verschlüsselung bei Remote-Zugriffen |
X Anleitung „Manuelle Desktopsperre“ |
|
X Verschlüsselung von Datenträgern |
|
|
X Verschlüsselung Smartphones bei Verlust |
|
|
Gehäuseverriegelung |
|
|
X BIOS Schutz (separates Passwort) |
|
|
Sperre externer Schnittstellen (USB) |
|
|
X Automatische Desktopsperre |
|
|
X Verschlüsselung von Notebooks / Tablet |
|
|
X Zwei-Faktor-Authentifizierung bei Anmeldung Office |
|
|
|
|
Weitere Maßnahmen hier beschreiben:
1.3. Zugriffskontrolle
Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Die Zugriffskontrolle kann unter anderem gewährleistet werden durch geeignete Berechtigungskonzepte, die eine differenzierte Steuerung des Zugriffs auf Daten ermöglichen. Dabei gilt, sowohl eine Differenzierung auf den Inhalt der Daten vorzunehmen als auch auf die möglichen Zugriffsfunktionen auf die Daten. Weiterhin sind geeignete Kontrollmechanismen und Verantwortlichkeiten zu definieren, um die Vergabe und den Entzug der Berechtigungen zu dokumentieren und auf einem aktuellen Stand zu halten (z.B. bei Einstellung, Wechsel des Arbeitsplatzes, Beendigung des Arbeitsverhältnisses). Besondere Aufmerksamkeit ist immer auch auf die Rolle und Möglichkeiten der Administratoren zu richten.
|
Technische Maßnahmen |
Organisatorische Maßnahmen |
|
X Aktenschredder (mind. Stufe 3, cross cut) |
X Einsatz Berechtigungskonzepte |
|
X Externer Aktenvernichter (DIN 32757) |
X Minimale Anzahl an Administratoren |
|
X Physische Löschung von Datenträgern |
Datenschutztresor |
|
X Protokollierung von Zugriffen auf Anwendungen, konkret bei der Eingabe, Änderung und Löschung von Daten |
X Verwaltung Benutzerrechte durch Administratoren |
|
|
|
|
|
|
Weitere Maßnahmen hier beschreiben:
1.4. Trennungskontrolle
Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Dieses kann beispielsweise durch logische und physikalische Trennung der Daten gewährleistet werden.
|
Technische Maßnahmen |
X Organisatorische Maßnahmen |
|
X Trennung von Produktiv- und Testumgebung |
X Steuerung über Berechtigungskonzept |
|
X Physikalische Trennung (Systeme / Datenbanken / Datenträger) |
X Festlegung von Datenbankrechten |
|
X Mandantenfähigkeit relevanter Anwendungen |
Datensätze sind mit Zweckattributen versehen |
|
X Virtuelle Netzwerke zur Netzwerksegmentierung |
|
|
|
|
Weitere Maßnahmen hier beschreiben:
1.5. Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO)
Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen;
|
Technische Maßnahmen |
Organisatorische Maßnahmen |
|
X Im Falle der Pseudonymisierung: Trennung der Zuordnungsdaten und Auf- bewahrung in getrenntem und abge- sicherten System (mögl. verschlüsselt) |
X Interne Anweisung, personenbezogene möglichst zu anonymisieren / pseudonymi- sieren |
|
|
|
|
|
|
Weitere Maßnahmen hier beschreiben:
2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)
2.1. Weitergabekontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. Zur Gewährleistung der Vertraulichkeit bei der elektronischen Datenübertragung können z.B. Verschlüsselungstechniken und Virtual Private Network eingesetzt werden. Maßnahmen beim Datenträgertransport bzw. Datenweitergabe sind Transportbehälter mit Schließvorrichtung und Regelungen für eine datenschutzgerechte Vernichtung von Datenträgern.
|
Technische Maßnahmen |
Organisatorische Maßnahmen |
|
X Email-Verschlüsselung (Transportverschlüsselung) |
X Dokumentation der Datenempfänger sowie der Dauer der geplanten Überlassung bzw. der Löschfristen |
|
X Einsatz von VPN |
Übersicht regelmäßiger Abruf- und Übermittlungsvorgängen |
|
Protokollierung der Zugriffe und Abrufe |
X Weitergabe in anonymisierter oder pseudonymisierter Form |
|
Sichere Transportbehälter |
Sorgfalt bei Auswahl von Transport- Personal und Fahrzeugen |
|
X Bereitstellung über verschlüsselte Verbindungen wie sftp, https |
Persönliche Übergabe mit Protokoll |
|
X Nutzung von Signaturverfahren |
X Dokumentation der Datenempfänger sowie deren Dauer der geplanten Überlassung bzw. der Löschfristen |
|
X DKIM im Einsatz |
|
|
|
|
Weitere Maßnahmen hier beschreiben:
2.2. Eingabekontrolle
Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Eingabekontrolle wird durch Protokollierungen erreicht, die auf verschiedenen Ebenen (z.B. Betriebssystem, Netzwerk, Firewall, Datenbank, Anwendung) stattfinden können. Dabei ist weiterhin zu klären, welche Daten protokolliert werden, wer Zugriff auf Protokolle hat, durch wen und bei welchem Anlass/Zeitpunkt diese kontrolliert werden, wie lange eine Aufbewahrung erforderlich ist und wann eine Löschung der Protokolle stattfindet.
|
Technische Maßnahmen |
Organisatorische Maßnahmen |
|
X Technische Protokollierung der Eingabe, Änderung und Löschung von Daten |
X Übersicht, mit welchen Programmen welche Daten eingegeben, geändert oder gelöscht werden können |
|
X Manuelle oder automatisierte Kontrolle der Protokolle |
X Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch Individuelle Benutzernamen (nicht Benutzergruppen) |
|
|
X Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts |
|
|
X Digitale Aufbewahrung von Formularen, von denen Daten in automatisierte Verarbeitungen übernommen wurden |
|
|
X Klare Zuständigkeiten für Löschungen |
Weitere Maßnahmen hier beschreiben:
3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)
3.1. Verfügbarkeitskontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Hier geht es um Themen wie eine unterbrechungsfreie Stromversorgung, Klimaanlagen, Brandschutz, Datensicherungen, sichere Aufbewahrung von Datenträgern, Virenschutz, Raidsysteme, Plattenspiegelungen etc.
|
Technische Maßnahmen |
Organisatorische Maßnahmen |
|
X Feuer- und Rauchmeldeanlagen |
X Backup & Recovery-Konzept (ausformuliert) |
|
X Feuerlöscher Serverraum |
X Kontrolle des Sicherungsvorgangs |
|
X Serverraumüberwachung Temperatur und Feuchtigkeit |
X Regelmäßige Tests zur Datenwiederherherstellung und Protokollierung der Ergebnisse |
|
X Serverraum klimatisiert |
X Aufbewahrung der Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums |
|
X USV |
X Keine sanitären Anschlüsse im oder oberhalb des Serverraums |
|
Schutzsteckdosenleisten Serverraum |
X Existenz eines Notfallplans (z.B. BSI IT-Grund schutz 100-4) |
|
X Datenschutztresor (S60DIS, S120DIS, andere geeignete Normen mit Quelldichtung etc.) |
X Getrennte Partitionen für Betriebssysteme und Daten |
|
X RAID System / Festplattenspiegelung |
|
|
X Videoüberwachung Serverraum |
|
|
X Alarmmeldung bei unberechtigtem Zutritt zu Serverraum |
|
|
X Firewalls bei externen Verbindungen |
|
|
|
|
|
|
|
Weitere Maßnahmen hier beschreiben:
4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)
4.1. Datenschutz-Management
|
Technische Maßnahmen |
Organisatorische Maßnahmen |
|
Software-Lösungen für Datenschutz- Management im Einsatz |
X Interner / externer Datenschutzbeauftragter Name / Firma / Kontaktdaten Oliver Fouquet, Fürther Straße 98-100, 90429 Nürnberg
|
|
X Zentrale Dokumentation aller Verfahrensweisen und Regelungen zum Datenschutz mit Zugriffsmöglichkeit für Mitarbeiter nach Bedarf / Berechtigung (z.B. Wiki, Intranet …) |
X Mitarbeiter geschult und auf Vertraulichkeit/ Datengeheimnis verpflichtet |
|
Sicherheitszertifizierung nach ISO 27001, BSI IT-Grundschutz oder ISIS12 |
X Regelmäßige Sensibilisierung der Mitarbeiter (Mindestens jährlich) |
|
X Externes Pen-Testing |
Interner / externer Informationssicherheits- Beauftragter Name / Firma Kontakt
|
|
X Eine Überprüfung der Wirksamkeit der Technischen Schutzmaßnahmen wird mind. jährlich durchgeführt |
X Die Datenschutz-Folgenabschätzung (DSFA) wird bei Bedarf durchgeführt |
|
|
X Die Organisation kommt den Informationspflichten nach Art. 13 und 14 DSGVO nach |
|
|
X Formalisierter Prozess zur Bearbeitung von Auskunftsanfragen seitens Betroffener ist vorhanden |
|
|
|
|
|
|
4.2. Incident-Response-Management
Unterstützung bei der Reaktion auf Sicherheitsverletzungen
|
Technische Maßnahmen |
Organisatorische Maßnahmen |
|
X Einsatz von Firewall und regelmäßige Aktualisierung |
X Dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen / Daten-Pannen (auch im Hinblick auf Meldepflicht gegenüber Aufsichtsbehörde) |
|
X Einsatz von Spamfilter und regelmäßige Aktualisierung |
Dokumentierte Vorgehensweise zum Umgang mit Sicherheitsvorfällen
|
|
X Einsatz von Virenscanner und regelmäßige Aktualisierung |
X Einbindung von DSB und ISB in Sicherheitsvorfälle und Datenpannen |
|
X Intrusion Detection System (IDS) |
X Dokumentation von Sicherheitsvorfällen und Datenpannen z.B. via Ticketsystem |
|
X Intrusion Prevention System (IPS) |
X Formaler Prozess und Verantwortlichkeiten zur Nachbearbeitung von Sicherheitsvorfällen und Datenpannen |
|
|
|
|
|
|
|
|
|
Weitere Maßnahmen hier beschreiben:
4.3. Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO);
Privacy by design / Privacy by default
|
Technische Maßnahmen |
Organisatorische Maßnahmen |
|
X Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind |
|
|
X Einfache Ausübung des Widerrufrechts des Betroffenen durch technische Maßnahmen |
|
|
|
|
|
|
|
Weitere Maßnahmen hier beschreiben:
4.4. Auftragskontrolle (Outsourcing an Dritte)
Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Unter diesen Punkt fällt neben der Datenverarbeitung im Auftrag auch die Durchführung von Wartung und Systembetreuungsarbeiten sowohl vor Ort als auch per Fernwartung. Sofern der Auftragnehmer Dienstleister im Sinne einer Auftragsverarbeitung einsetzt, sind die folgenden Punkte stets mit diesen zu regeln.
|
Technische Maßnahmen |
Organisatorische Maßnahmen |
|
|
X Vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmaßnahmen und deren Dokumentation |
|
|
X Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (gerade in Bezug auf Datenschutz und Datensicherheit |
|
|
X Abschluss der notwendigen Vereinbarung zur Auftragsverarbeitung bzw. EU Standard Vertragsklauseln |
|
|
X Schriftliche Weisungen an den Auftragnehmer |
|
|
X Verpflichtung der Mitarbeiter des Auftragnehmers auf Datengeheimnis |
|
|
X Verpflichtung zur Bestellung eines Datenschutzbeauftragten durch den Auftragnehmer bei Vorliegen Bestellpflicht |
|
|
X Vereinbarung wirksamer Kontrollrechte gegenüber dem Auftragnehmer |
|
|
X Regelung zum Einsatz weiterer Subunternehmer |
|
|
X Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags |
|
|
X Bei längerer Zusammenarbeit: Laufende Überprüfung des Auftragnehmers und seines Schutzniveaus |
Weitere Maßnahmen hier beschreiben:
Ausgefüllt für die Organisation durch:
Name: Christian Eder
Funktion: Leitung IT und Leitung Entwicklung