Technische und organisatorische Maßnahmen

Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.

gemäß Art. 30 Abs. 1 lit. g i.V.m. Art. 32 Abs. 1 DSGVO

Vorwort
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der
Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes
Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein: Die
Pseudonymisierung und Verschlüsselung personenbezogener Daten; die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen; die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen sowie ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

Anschrift des Verantwortlichen:
Lechner IT-Dienstleistungen
Tobias Lechner
Bad Füssinger Strasse 20
94148 Kirchham
Deutschland

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Informationen zum Standort von Datenverarbeitungsanlagen und Rechenzentren:
Der Standort des Rechenzentrums (hauptsächlich Hosting und E-Mail-Server) liegt bei der Hetzner GmbH. Die
Serverstandorte befinden sich lediglich nur in Deutschland verteilt. Weitere Datenverarbeitungen finden in-House
statt. Es gibt einen Desktop-Arbeitsplätze, einen Fileserver sowie eine FritzBox zur Internet- und
Telefonkommunikation. Ein direktes eigenes Rechenzentrum wird allerdings nicht betrieben.

Es findet eine Zutrittskontrolle (kein Betreten zu Datenverarbeitungsanlagen durch Unbefugte) statt.
Dies umfasst die folgenden Maßnahmen:

Zutrittskontrollsystem (Ausweisleser / Magnetkarte / Chipkarte)
Schlüssel / Schlüsselvergabe
Türsicherung (Elektrische Türöffner / Sicherheitscode / Sicherheitsschlösser)
Gebäudesicherung (Zäune / Pforten)
Werkschutz / Pförtner / Sicherheitsdienst
Überwachungseinrichtung (Überwachungskamera, Video- / Fernsehmonitor)
Biometrisches Zugangssystem (Finger- / Gesicht- / Augenscanner)
Alarmsicherung / Alarmanlage
Wachhund
Automatisches Schließsystem
Manuelles Schließsystem
Tragepflicht von Berechtigungsausweisen / Ausweissystem
Begleitung von Besuchern durch Mitarbeiter
Begleitung von ext. Dienstleistern durch Mitarbeiter
Dokumentation der Anwesenden (Datum, Zeit, Dauer) in
Sicherheitsbereichen
Besucherbuch / Protokoll der Besucher
Bewegungsmelder / Lichtschranken
Sorgfältige Auswahl von Reinigungspersonal / Sicherheitspersonal
Absicherung von Gebäudeschächten
Türen mit Knauf auf Außenseite
Richtlinie Informationssicherheit
Arbeitsanweisung Betriebssicherheit
Arbeitsanweisung Zutrittssteuerung

Es findet eine Zugangskontrolle (keine Systembenutzung durch Unbefugte) statt. Dies umfasst die
folgenden Maßnahmen:

Verwendung von Passwörtern
Passwortverfahren (z.B. Sonderzeichen / Mindestlänge / regelmäßigerWechsel des Passworts)
Zwei-Faktor-Authentifizierung
Automatische Sperrung / Abmeldung bei Inaktivität (Pausenschaltung)
Abmeldepflicht bei Verlassen des Arbeitsplatzes
Einrichtung von Benutzerkonten / Benutzerprofilen pro Benutzer
Verschlüsselung von Datenträgern / Datensätzen in mobilen Geräten wie
Notebooks / Smartphones
Verschlüsselung von externen Datenträgern wie ext. Festplatten / USB-Sticks
Firewall (Software)
Firewall (Hardware)
Einsatz von Antivirus-Software / Virenscanner
Einsatz von zentraler Administrations-Software für mobile Endgeräte (z.B. zum externen Sperren und Löschen
von Daten)
PC-Gehäuseschutz: Diebstahlschutz / Plomben / Akustiksignal bei Öffnung
PC-Gehäuseverriegelungen
Schutzmaßnahmen zur Sicherung bei Nutzung von eigenen Geräten durch Mitarbeiter (z.B. Fernlöschung
oder -sperrung)
Authentifizierung mit biometrischen Merkmalen
Vergabe von unterschiedlichen Benutzerrechten
Vergabe von BIOS-Passwörtern
Aktenablage: Verschlossene Aktenschränke / Verschlossener Aktenraum
Sichere Aufbewahrung von Administrationspasswörtationspasswörtern (z.B. verschlüsselter
Passwortmanager, Tresor)
Protokollierung der Systemnutzung
Sperrung bei falscher Passworteingabe
Vermeidung der Weiterbenutzung alter Passwörter (Passworthistorie)
Sperren von externen Schnittstellen (z.B. USB)
Einsatz von VPN-Technologie

Es findet eine Zugriffskontrolle (Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen
innerhalb des Systems) statt. Dies umfasst folgende Maßnahmen:

Benutzername mit Passwort
Ausgabe von Zertifikaten zur Authentifizierung
Sicherung von Schnittstellen (USB, Firewire usw.)
Virenschutz / Firewall
Einschränkung der Nutzung von mobilen Datenträgern / sonstigen Geräten (z.B. USB-Sticks)
Regelmäßige Updates der Systeme
Klassische Rollenvergabe (Auswertungen, Kenntnisnahme, Veränderung, Löschung)
Protokollierung von Zugriffen in Logs, insbesondere bei der Eingabe,
Änderung und Löschung von Daten
Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte (Profile, Rollen, Transaktionen und Objekte)
Festlegung von sicheren Aufbewahrungsorten für Datenträger
Zugriffseinschränkung der Nutzer auf Software
Verschlüsselung von externen Datenträgern
Sichere Löschung von Datenträgern vor deren Wiederverwendung
Anzahl der Administratoren auf das „Notwendigste“ reduziert
Einsatz von Aktenvernichtern bzw. Dienstleistern
Ordnungsgemäße Vernichtung von Datenträgern (DIN 32757)
Verwaltung der Rechte durch Systemadministrator
Verwendung von dem Risiko angemessene Datenschredder

Es ﬁndet eine Trennungskontrolle / Verwendungszweckkontrolle (getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden) statt. Dies umfasst die folgenden Maßnahmen:

Logische Mandantentrennung (softwareseitig) Kontrolle der Zweckbindung
Separierung von Datenbanken Separierung von Dateien
Trennung von Produktiv-und Testsystemen Unterscheidung von Kunden, Lieferanten und Personal
Physikalisch getrennte Speicherung auf gesonderten Systemen oder Datenträgern Abtrennung von Netzwerktechnik
Getrennte Ordnerstrukturen
Erstellung eines Berechtigungskonzepts
Versehen der Datensätze mit Zweckattributen / Datenfeldern
Bei pseudonymisierten Daten: Trennung der Zuordnungsdatei und der Aufbewahrung auf einem getrennten, abgesicherten IT-System
Verschlüsselung von Datensätzen, die zu demselben Zweck verarbeitet werden
Festlegung von Datenbankrechten

Es ﬁndet eine Pseudonymisierung von Datensätzen statt. Hierbei wird beispielsweise der Name oder anderes Identiﬁkationsmerkmal durch ein Alternativmerkmal (z.B. als Code in Zahlen- Buchstabenkombination) ersetzt, die Identität des Betroﬀenen soll hierdurch verborgen bleiben bzw. wesentlich erschwert feststellbar werden. Dies umfasst die folgenden Maßnahmen:

Es wird weitestgehend mit Kundennummern statt Namen gearbeitet
Umwandeln von Identiﬁaktionsmerkmalen in zufällige Zeichenfolgen (z.B. Namen und Geburtsdaten)
Identiﬁzierung von Datensätzen mit IDs anstatt Klarnamen und anderen persönlichen Daten
Keine Eingabemöglichkeit von nicht pseudonymen Daten (z.B. Angabe von Nicknames statt Klarnamen)
Automatische Pseudonymisierungsverfahren bei neuen Datensätzen

Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Es ﬁndet eine Weitergabekontrolle (unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport von Daten unterbinden) statt. Dies umfasst die folgenden Maßnahmen:

Verschlüsselte Tunnelverbindungen (z.B. VPN)
Prüfung der Rechtmäßigkeit der Weitergabe von Daten
Regelungen zum datenschutzkonformen Vernichten von Datenträgern
Elektronische Signaturen
Protokollierung / Dokumentation der Empfänger von Daten und der Zeitspannen der geplanten Überlassung bzw. vereinbarter Löschfristen
Sichere Transportbehälter/-verpackungen (Transportsicherung)
Weitergabe an Dritte in anonymisierter oder pseudonymisierter Form
Sorgfältige Auswahl von Transportpersonal und –fahrzeugen beim physischen Transport von Daten
Kontrolle der Verwendung von SSL-/TLS-Verschlüsselung bei Datenübertragung im Internet
E-Mail Verschlüsselung
Erstellen einer Übersicht von regelmäßigen Abruf- und Übermittlungsvorgängen

Es ﬁndet eine Eingabekontrolle (Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind) statt. Dies umfasst die folgenden Maßnahmen:

Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen
Protokollierung der Eingabe, Änderung und Löschung von Daten
Personenbezogene Zugriﬀsrechte zur Nachvollziehbarkeit der Zugriﬀe
Dokumentenmanagement, Dokumentenlenkung
Protokollierungs- und Protokollauswertungssysteme
Protokollierungs- und Protokollauswertungssysteme (3 Monate Revisionssicher)
Plausibilitätskontrollen
Sicherung von Protokolldaten gegen Verlust
Sicherung von Protokolldaten gegen Veränderung
Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts
Erstellen einer Übersicht, aus der sich ergibt, mit welchen Applikationen welche Daten eingegeben, geändert und gelöscht werden können
Aufbewahrung von Formularen, von denen Daten in automatisierte Verarbeitungen übernommen worden sind

Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Es ﬁndet eine Verfügbarkeitskontrolle (Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust) statt. Dies umfasst die folgenden Maßnahmen:

Virenschutz
Firewall
Schutzsteckdosenleisten
Überspannungsschutz
Backup-Strategie (oﬄine, z.B. externe Datenträger)
Backup-Strategie (Offiste bzw. online, z.B. Cloud)
Aufbewahrung von Datensicherungen
Unterbrechungsfreie Stromversorgung (USV)
Schutz vor Diebstahl
Feuermeldeanlagen
Rauchmeldeanlagen
Redundante Datenhaltung (z.B. RAID-System)
Getrennte Aufbewahrung
Nutzung eines Backup- und Recoverykonzepts
Erstellung und Anwendung von IT-Notfallplänen
Geräte zur Überwachung von Temperatur und Feuchtigkeit in Serverräumen
Alarmmeldung bei unberechtigten Zutritten zu Serverräumen
Klimaanlage in Serverräumen
Feuerlöschgeräte in Serverräumen

Es ist eine rasche Wiederherstellbarkeit (Zügige Zurückgewinnung von Originaldaten nach einem Datenverlust auf einem Datenträger ggf. auch die Erkennung fehlerhaft übertragener Dateneinheiten) gegeben. Dies wird durch folgenden Maßnahmen gewährleistet:

Regelmäßige Sicherungen und Test der Datensicherung
Festplattenspiegelungen
Testen der Wiederherstellungssysteme
IT-Notfallpläne
Wiederanlaufpläne
Incident Management: Insbesondere organisatorische und technische Prozesse als Reaktion auf erkannte oder vermutete Sicherheitsvorfälle
Notfallübungen
Szenarioübungen
Regelmäßige und dokumentierte Datenwiederherstellungen

Technische und organisatorische Umsetzung des Rechts auf Löschung, "Recht auf Vergessenwerden" (Art. 17 DSGVO)

Zur Umsetzung des Rechts auf Löschung (Art. 17 DSGVO) wurden folgende Maßnahmen getroﬀen:

Randomisiertes Überschreiben von Datensätzen
Implementierung von Fernlöschung, z.B. auf mobilen Endgeräten
Zerstörung von Datenträgern vor der Entsorgung
Schreddern / mechanische Deformierung von Datensätzen auf Papier / DVD / CD oder sonstigen Datenträgern Entmagnetisierung von physischen Datenträgern (Festplatten / Datenbändern)
Automatische Löschung von Datensätzen nach einem festgelegten
Ablaufdatum Sorgfältige Auswahl von Entsorgungsdienstleistern
Klassiﬁkation der Daten in Schutzklassen
Umsetzung der DIN-EN 15713 “Sichere Vernichtung von vertraulichen Unterlagen – Verfahrensregeln”
Protokollierung von Löschvorgängen

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)

Die aufgeführten Maßnahmen wurden zuletzt an folgendem Datum evaluiert:

27.07.2022

Die dokumentierten Maßnahmen sind unter Berücksichtigung des aktuellen Standes der Technik, angemessener Implementierungs- und Wartungskosten, der Art, des Umfangs und der Zwecke der Verarbeitung, sowie unter Abwägung der unterschiedlichen Eintrittswahrscheinlichkeiten und Schwere des Risikos für die Rechte und Freiheiten der Betroﬀenen geeignet, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung sind im Einsatz. Weitere Anweisungen, Regeln oder Analysen sind Bestandteil der Datenschutzdokumentation des Unternehmens.

Erklärung