Personenbezogene Datenverarbeitung

5. Technische und organisatorische Maßnahmen

5.1 Vorlage für die technischen und organisatorischen Maßnahmen:

5.1.1. Zutrittskontrolle zu Räumlichkeiten und Einrichtungen, in denen Daten verarbeitet werden

Ein unbefugter Zutritt ist zu verhindern, wobei der Begriff räumlich zu verstehen ist.

Verantwortlich hierfür ist: Digitalocean, LLC. Rechenzentrum in Frankfurt am Main, europäischem Recht unterstehend;

Entsprechende Maßnahmen sind z. B.: architektonische Maßnahmen wie „physische“ Eintrittsbarrieren sowohl im Umkreis als auch zu den Gebäuden, separate Gebäude und jeweils separate Serverräume mit getrennten Schließungen / technische Maßnahmen wie Sicherheitsschließanlagen zu den Gebäuden und Serverräumen, Zutrittskontrollsysteme (Code- und/oder Ausweisleser, Magnet- und/oder Chipkarten), Zwei-Faktor-Authentifizierung speziell autorisierter Mitarbeiter für Rechenzentrums-Etagen, Videoüberwachung, Einbrucherkennungssysteme, Alarmanlagen / organisatorische Maßnahmen wie Zugangskontrollen durch professionelles Sicherheitspersonal, Überwachung aller Mitarbeiter und Protokollierung aller Arbeiten auf Rechenzentrums-Etagen etc.

5.1.2 Zugangs- und Zugriffskontrolle

Das Eindringen Unbefugter in die Datenverarbeitungs(DV)-Systeme (IT-Systeme) ist zu verhindern. Ebenso sind Tätigkeiten in DV-Systemen (IT-Systemen) außerhalb eingeräumter Berechtigungen sowie unerlaubte Zugriffe auf das System von außen zu verhindern.

Der Auftragsverarbeiter hat folgende Maßnahmen ergriffen – detaillierte Beschreibung:

Zusätzlich zu den in Ziffer 5.2.1 beschriebenen technischen Maßnahmen, werden Zugangsberechtigungen und Benutzerkonten für DV-Systeme auf das “Notwendigste” beschränkt. Ein direkter Zugriff auf Server ist ausschließlich den dafür beauftragten Systemadministratoren und nur von speziell dafür designierten Endgeräten möglich. Eine verwendung von “unsicheren” Passwörtern wird systemseitig wo möglich verhindert. Als zusätzliche Sicherheitsmaßnahme ist (soweit systemseitig unterstützt) eine mehrfaktor authentifizierung für den Zugriff auf DV-Systeme notwendig. Ein auf Benutzerrollen basiertes Berechtigungssystem wird verwendet, um jedem Mitarbeiter des Auftragnehmers nur die für die Erfüllung seiner Aufgaben nötigen Zugänge zu erteilen.

5.1.3 Eingabekontrolle

Die Nachvollziehbarkeit bzw. Dokumentation der Datenverwaltung und -pflege ist zu gewährleisten. Maßnahmen zur nachträglichen Überprüfung, ob und von wem Daten eingegeben, verändert oder entfernt (gelöscht) worden sind.

Der Auftragsverarbeiter hat folgende Maßnahmen ergriffen:

Eine Eingabe, Veränderung oder Löschung von Daten in den DV-Systemen des Auftragnehmers ist nur über personalisierte Benutzerkonten möglich. Alle durch Mitarbeiter des Auftragnehmers oder Auftraggebers in den DV-Systemen des Auftragnehmers ausgeführten Aktionen - mindestens jedoch diejenigen, die in Ziffer 1.3 beschriebene personenbezogene Daten betreffen oder beinhalten - werden automatisiert mit Benutzerkennung und Zeitstempel protokolliert.

5.1.4 Auftragskontrolle

Die weisungsgemäße Auftragsdatenverarbeitung ist zu gewährleisten. Eine Datenverarbeitung durch Dritte (vgl. Art. 28 DSGVO) ist gemäß den Anweisungen des Auftraggebers/Datenexporteurs erlaubt. Maßnahmen (technisch und organisatorisch) zur Abgrenzung der Kompetenzen zwischen Auftraggeber/Datenexporteur und Auftragnehmer/Datenimporteur.

Der Auftragsverarbeiter hat folgende Maßnahmen ergriffen – detaillierte Beschreibung:

Es erfolgt eine eindeutige Vertragsgestaltung, Bestellung eines Datenschutzbeauftragten beim Auftragnehmer, Unterweisung aller Mitarbeiter des Auftragnehmers und seiner Subunternehmer auf Wahrung des Datenschutzgeheimnisses, sorgfältige Auswahl der Subunternehmer.

5.1.5 Getrennte Verarbeitung von Daten/Trennungskontrolle

Die getrennte Verarbeitung von Daten, die für unterschiedliche Zwecke erhoben wurden, muss sichergestellt werden. Maßnahmen zur getrennten Verarbeitung der Daten unterschiedlicher Auftraggeber sind zu gewährleisten.

Der Auftragsverarbeiter hat folgende Maßnahmen ergriffen – detaillierte Beschreibung:

In den DV-Systemen des Auftragnehmers erfolgt eine logische Trennung der Daten verschiedener Auftraggeber. Es wird sichergestellt, dass die Daten eines Auftraggebers nicht für andere Auftraggeber sichtbar oder zugänglich sind.

5.1.6 Weitergabekontrolle

Aspekte der Weitergabe personenbezogener Daten sind zu regeln (elektronische Übertragung, Datentransport, Übermittlungskontrolle usw.), um einen Verlust, eine Veränderung oder eine unbefugte Veröffentlichung zu verhindern. Maßnahmen zu Transport, Übertragung, Übermittlung oder Speicherung auf Datenträgern (manuell oder elektronisch) sowie zur nachträglichen Überprüfung sind zu treffen.

Der Auftragsverarbeiter hat folgende Maßnahmen ergriffen – detaillierte Beschreibung:

Zwischen dem Browser des Auftraggebers und den Rechenzentren von Digitalocean, LLC werden in beide Richtungen ausschließlich durch SSL-Verschlüsselung gesicherte Verbindungen hergestellt.

5.1.7 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Die Daten sind gegen zufällige Zerstörung und Verlust zu schützen. Maßnahmen zur Datensicherung (physikalisch/logisch).

Der Auftragsverarbeiter hat folgende Maßnahmen ergriffen – detaillierte Beschreibung:

Es erfolgt eine tägliches Backup in Form von Sicherungskopien aller Daten. Sicherungskopien werden physisch getrennt auf speziell für maximale Ausfallsicherheit konzipierten Servern des Unterauftragnehmers Digitalocean, LLC gespeichert.

5.1.8 Organisationskontrolle

Wie wird die reibungslose Organisation des Datenschutzes und der Sicherheit der Daten im Unternehmen sichergestellt?

Der Auftragsverarbeiter hat folgende Maßnahmen ergriffen – detaillierte Beschreibung:

Für die Verarbeitung von Daten im Unternehmen sind Prozesse und Arbeitsabläufe definiert, die Umsetzung und Einhaltung der Prozesse werden kontrolliert. Unsere Mitarbeiter werden in folgenden Punkten geschult/verpflichtet:

• Grundsätze des Datenschutzes und der IT-Sicherheit
• Pflicht zur Verschwiegenheit über Betriebs- und Geschäftsgeheimnisse
• Ordnungsgemäßer und sorgfältiger Umgang mit Daten, Dateien, Datenträgern und sonstigen Unterlagen
• Procuros gewährleistet, dass die Leistungserbringung unter Beachtung des Datenschutzrechts erfolgt