gem. Anlage zu Art. 32 DSGVO
Reikem IT Systemhaus GmbH
Am Südkreisel 3, 63868 Großwallstadt
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen, treffen der Auftraggeber und der Auftragnehmer die nachfolgenden technischen und organisatorischen Maßnahmen (TOM).
Diese gelten für die im Hauptvertrag definierten IT-Leistungen. Bei der Auswahl der Maßnahmen wurden die acht Schutzziele des Art. 32 Abs. 1 b) DSGVO, namentlich die Pseudonymisierung, Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit, Resilienz, Wiederherstellbarkeit und Belastbarkeit der Systeme, berücksichtigt.
Eine rasche Wiederherstellung nach einem physischen oder technischen Zwischenfall ist gewährleistet. Alle technischen und organisatorischen Maßnahmen werden regelmäßig gemäß Art. 32 Abs. 1 d) DSGVO auf ihre Wirksamkeit hin geprüft.
Regelungsgegenstand: Verwendungszusammenhänge innerhalb personenbezogener Daten sind zu zerstören oder deren Herstellbarkeit ist zu unterbinden, wenn technisch möglich und im übrigen vertretbar.
Außerhalb individualvertraglicher Vereinbarungen findet keine Pseudonymisierung statt.
Regelungsgegenstand: Das Risiko physischer, materieller oder immaterieller Schäden bzw. das Risiko der Beeinträchtigung der Rechte und Freiheiten für betroffene Personen durch unbefugte Offenlegung von bzw. unbefugten Zugang zu den Daten ist zu reduzieren.
Bei Übertragung von personenbezogenen Daten zu nachfolgend genannten Punkten finden die genannten Sicherheitsmechanismen Einsatz:
Verschlüsselung von mobilen Endgeräten und Geräten außerhalb des Unternehmens:
Regelungsgegenstand: Das Risiko physischer, materieller oder immaterieller Schäden bzw. des Risiko der Beeinträchtigung der Rechte und Freiheiten für betroffene Personen durch unbefugte Offenlegung von bzw. unbefugten Zugang zu den Daten ist zu reduzieren. Unbefugten ist der Zutritt zu den Datenverarbeitungs-, Datenspeicherung-, Netzwerk- und Telekommunikationsanlagen (Sprache, Daten), mit denen Daten verarbeitet werden, zu verwehren.
Auftragsverarbeitung für Verantwortliche findet im Rechenzentrum von Domainfactory statt, insofern wird gemäß AV-Vertrag auf das IT-Sicherheitskonzept dort verwiesen. Die lokal beim Auftragsverarbeiter stattfindende VT unterliegt der Gebäudesicherheit mit mehreren Schließ- und Brandabschnitten.
Die Geschäftsräume sind außerhalb der Öffnungszeiten verschlossen und die Fenster sind verriegelt.
Es muss verhindert werden, dass Datenverarbeitungs-, Datenspeicherungs-, Netzwerk- und Telekommunikationsanlagen ( Sprache, Daten) von unbefugten Dritten genutzt werden können.
Es ist lokal ein Zugriffskontrollsystem (1-Faktor) im Einsatz. Es existiert eine Passwort-Policy, welche die Qualität, die Lebensdauer und das Recycling von Passwörtern regelt. Ein weiterer Bestandteil ist ein abgestuftes Rollen / Gruppenberechtigungskonzept mit einem umgesetzten Need-To-Know Prinzip.
Daten dürfen bei der elektronischen Übertragung oder während des Transports oder ihrer Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden.
Die Übertragung von personenbezogenen Daten erfolgt grundsätzlich über Transportprotokolle mit eigener oder fremder Verschlüsselung (https, sftp, TLS etc.). Für die Datenträgerverschlüsselung wird auf den Punkt Verschlüsselung verwiesen.
Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es die Zwecke, für die sie verarbeitet werden, erforderlich ist.
Datenträger mit personenbezogenen Daten werden am Ende ihrer Nutzungsdauer einer Vernichtung durchgeführt. Für papierne Daten steht ein Hochleistungsschredder (DIN 66399) mit Partikelschnitt der Sicherheitsstufe 4 zur Verfügung. Datenträger werden gesammelt und in verschliessbaren Behältern einem zertifizierten Datenträgervernichtungsdienst übergeben, welcher diese protokolliert vernichtet.
Zu unterschiedlichen Zwecken erhobene Daten müssen getrennt verarbeitet werden können.
Es erfolgt eine grundsätzliche Trennung zwischen Kundendaten und Eigenverwaltung des Systemhausbetriebs. Ferner werden Kundendaten niemals miteinander gemischt oder miteinander gemeinsam "verwendet".
Regelungsgegenstand: Das Risiko physischer, materieller oder immaterieller Schäden bzw. das Risiko der Beeinträchtigung der Rechte und Freiheiten für betroffene Personen durch unbeabsichtigte oder unbefugte Veränderung oder unrechtmäßiges oder fahrlässiges Handeln von Daten ist zu reduzieren.
Regelungsgegenstand: Es sind Maßnahmen zu wählen, mittels derer nachträglich überprüft und festgestellt werden kann, ob und von wem im Auftrag verarbeitete Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.
Systeme mit personenbezogenen Daten haben interne Protokollierungsfunktionen, welche Aufschluss darüber geben.
Das Risiko physischer, materieller oder immaterieller Schäden bzw. das Risiko der Beeinträchtigung der Rechte und Freiheiten auch durch unrechtmäßiges oder fahrlässiges Handeln für betroffene Personen durch Nichtverfügbarkeit von Daten ist zu reduzieren.
Regelungsgegenstand: Daten sind gegen zufällige oder mutwillig herbeigeführte Zerstörung oder Verlust zu schützen.
Die baulichen Maßnahmen bestehen aus mehreren Brandabschnitten mit mehreren hintereinander befindlichen Türen.
Die Wartung der IT-Systeme erfolgt durch eigenes Personal, das laufend geschult wird, um unsere hohe Systemverfügbarkeit zu erreichen.
Eine Datensicherung außer Haus ist eingerichtet, sodass im Katastrophenfall der Geschäftsbetrieb umgehend fortgesetzt werden kann. Außerdem gibt es ein Hardwareersatzkonzept.
Die Stromversorgung betriebskritischer Systeme ist redundant aufgebaut.
Rauchen, Feuer und offenes Licht im Gebäude ist untersagt.
Als Brandbekämpfungsmaßnahme sind fünf Feuerlöscher, einer davon zur Löschung von elektronischen Anlagen, im Einsatz.
Regelungsgegenstand: Personenbezogene Daten, die im Auftrag verarbeitet werden, dürfen nur entsprechend den Weisungen des Auftraggebers verarbeitet werden.
Wenn ein Anrufer / Kunde nicht persönlich bekannt ist und nicht eindeutig am Telefon identifiziert werden kann, wird ein zweiter Faktor der Authentifizierung hinzugezogen (Abfrage persönlicher Daten, die einem Dritten nicht zwangsweise vorliegen können). Alternativ wird auf eine persönliche E-Mail vom Weisungsbefugten als zweiten Faktor zurückgegriffen.
Das Risiko physischer, materieller oder immaterieller Schäden bzw. das Risiko der Beeinträchtigung der Rechte und Freiheiten auch durch unrechtmäßiges oder fahrlässiges Handeln für betroffene Personen durch Vernichtung, Verlust, Veränderung oder unbefugter Offenlegung von Daten oder des unbefugten Zugangs zu Daten aufgrund von Systemüberlastungen oder -abstürzen ist zu reduzieren.
Durch eine ausreichende Dimensionierung der Serverhardware und die Einbeziehung von Redundanz und gedoppelte Stromversorgung stellen wir sicher, dass es durch Überlast oder Stromausfälle nicht zu Abstürzen der IT-Systeme kommen kann. Auch am Gateway sind verschiedene, nach dem Stand der Technik implementierte Maßnahmen realisiert, die einen Angriff von außen z.B. im Sinne von (D)DOS-Attacken etc. zu verhindern wissen.
Telefonie- und Internetanbindung ist ebenso redundant aufgebaut, sodass auch ein Angriff auf einen Anschluss oder ein Ausfall desselbigen nicht zum Stillstand der wichtigen Systeme führt.
Regelungsgegenstand: Das Risiko physischer, materieller oder immaterieller Schäden bzw. das Risiko der Beeinträchtigung der Rechte und Freiheiten auch durch unrechtmäßiges oder fahrlässiges Handeln für betroffene Personen durch Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von im Auftrag verarbeiteten Daten oder des unbefugten Zugangs zu diesen durch einen physischen oder technischen Zwischenfall ist zu reduzieren.
Im Falle eines Datenverlusts oder eines Hardwareausfalls greifen wir auf unser mehrstufiges Sicherungskonzept zurück. Je nach Ausfall können so binnen kürzester Zeit alle Systeme und Daten wiederhergestellt werden. Für einen solchen Fall steht immer mindestens ein dafür geschulter Techniker zur Verfügung.
Regelungsgegenstand: Es sind Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung zu betreiben.
Es erfolgen regelmäßige Audits.