Technische und organisatorische Maßnahmen
gem. Art. 32 Abs. 1 DSGVO für Verantwortliche (Art. 30 Abs. 1 lit. g) und Auftragsverarbeiter (Art. 30 Abs. 2 lit. d)
|
1. Pseudonymisierung
Ziel der Pseudonymisierung ist es, zu gewährleisten, dass personenbezogene Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen.
-
Autorisierung zur Rückbeziehung von pseudonymisierten Daten nur durch speziell privilegierte Benutzeraccounts vorgesehen
-
möglichst frühzeitige Pseudonymisierung von Daten vor allem bei statistischen Verarbeitungen
|
|
2. Verschlüsselung
Ziel der Verschlüsselung ist es, personenbezogene Daten, die im Auftrag verarbeitet werden, durch den Einsatz spezifischer Verfahren und Algorithmen inhaltlich in eine nicht lesbare Form umzuwandeln.
-
Verschlüsselung personenbezogener Daten durch Verwendung dafür geeigneter Übertragungsmechanismen und Protokolle (z. B. https, SFTP)
-
Verschlüsselung auf Dateiebene bei Bereitstellung auf Datenträgern
-
integriertes Verschlüsselungsverfahren bei Speicherung von relevanten Daten in einer Datenbank. Die Verschlüsselung erfolgt auf Basis des aktuellen Stands der Technik.
|
|
3. Gewährleistung der Vertraulichkeit
-
elektronische Zutrittskontrolle
-
Festlegung befugter Personen inkl. Schlüsselregelung
-
Besucherkontrolle und dokumentierte Kommen- und Gehen-Zeiten nur in Begleitung von internen Mitarbeitenden
-
Bewegungsmelder und Kameraüberwachung in sensiblen Räumlichkeiten
-
Alarmanlage
-
Einbruchmeldesystem
-
Türsicherung
-
Benutzerzugangsberechtigungen, Benutzerauthentifizierungen (Alle verwendeten Systeme sind über Benutzerauthentifizierungssysteme geschützt.)
-
Benutzerauthentifizierung mit vergebenen Mindeststandards für die Passwortvergabe
-
Password Policy per Gruppenrichtlinie
-
Passwort Manager Tool für alle Mitarbeitenden
-
Application-based Firewall
-
Intrusion Detection und Intrusion Prevention
-
Antivirenlösung mit täglicher Aktualisierung und Überprüfung der Verteilung auf Endgeräten
-
Patchmanagement mit regelmäßigen Updates gefährdeter Softwarekomponenten
-
VPN-gesicherter Remotezugang
-
Zwei-Faktor-Authentifizierung
-
regelmäßige Schulungen für Mitarbeitende zu IT-Sicherheits- und Datenschutzthemen
|
|
4. Gewährleistung der Integrität
-
Protokollierung der Online-Zugriffe im System
-
Benutzerzugangsberechtigungen, Benutzerauthentifizierungen (Alle verwendeten Systeme sind über Benutzerauthentifizierungssysteme geschützt.)
-
minimale Berechtigungsvergabe mit jährlicher Überprüfung
-
Lagerung von Datenträgern in Sicherheitsbereichen, z. B. Sicherheitsschränken inkl. Brandschutz
-
Verschlüsselungen bei Datenübertragungen
|
|
5. Gewährleistung der Verfügbarkeit
-
regelmäßige kontrollierte Datensicherung
-
USV in allen Serverräumen
-
ausfallsichere Klimastufen in allen Serverräumen
-
Überwachung des Rechenzentrums (Leckage, Luftfeuchtigkeit, Temperatur, Rauch)
-
Alarmaufschaltung zu Sicherheitsdienst
|
|
6. Gewährleistung der Belastbarkeit der Systeme
-
Produktivsystem/Testsystem (Das Produktivsystem und das Testsystem sind zwei voneinander unabhängige Systeme.)
-
Regelungen zur Programmierung, System- und Programmprüfung
-
redundante Hardware
-
regelmäßige Auslastungsprüfung der Hardwarekomponenten
|
|
7. Verfahren zur Wiederherstellung der Verfügbarkeit personenbezogener Daten nach einem physischen oder technischen Zwischenfall
|
|
8. Verfahren regelmäßiger Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen
|
Same Day Produktion!
