Technisch & organisatorische Maßnahmen
Technische und organisatorische Maßnahmen, einschließlich zur Gewährleistung der Sicherheit der Daten nach Art. 32 DSGVO
Beschreibung der von dem/den Verantwortlichen ergriffenen technischen und organisatorischen Sicherheitsmaßnahmen (einschließlich aller relevanten Zertifizierungen) zur Gewährleistung eines angemessenen Schutzniveaus unter Berücksichtigung der Art, des Umfangs, der Umstände und des Zwecks der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen.
Unternehmen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften der EU-DSGVO zu gewährleisten. Erforderlich sind Maßnahmen nur, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht. Das Unternehmen erfüllt diesen Anspruch durch folgende Maßnahmen (Stand 23.06.2026):
Zutrittskontrolle
Folgende implementierte Maßnahmen verhindern, dass Unbefugte Zutritt zu den Datenverarbeitungsanlagen haben:
Zutrittskontrollsystem, Ausweisleser (Magnet- / Chipkarte)
Türsicherungen (elektrische Türöffner, Zylinderschloss)
Manuelles Schließsystem und Sicherheitsschlösser, Türen mit Knauf Außenseite
Gitter vor Türen / Fenstern (nur im Rechenzentrum – nicht im Büro)
Schlüsselverwaltung / Dokumentation der Schlüsselvergabe
Sorgfalt bei Auswahl der Reinigungsdienste
Mitarbeiter- und Berechtigungsausweise (nur im Rechenzentrum – nicht im Büro)
Sperrbereiche (nur im Rechenzentrum – nicht im Büro)
separate Schlösser für DV-Schränke
Spezielle Schutzvorkehrungen für die Aufbewahrung von Back-ups und / oder sonstigen Datenträgern
Besucherregelung (Abholung am Empfang, Dokumentation von Besuchern)
Alarmanlage mit Wachschutzaufschaltung
Sorgfalt bei Auswahl des Wachpersonals
Videoüberwachung im Eingangsbereich
Zugangskontrolle
Folgende implementierte Maßnahmen verhindern, dass Unbefugte Zugang zu den Datenverarbeitungssystemen haben:
Persönlicher und individueller User-Log-In bei Anmeldung am System
Begrenzung der befugten Benutzer
Autorisierungsprozess für Zugangsberechtigungen
Kennwortverfahren/Zentrale Passwortvergabe, Richtlinie „Sicheres Passwort“
Elektronische Dokumentation von Passwörtern und Schutz dieser Dokumentation vor unbefugtem Zugriff
Protokollierung des Zugangs
Zusätzlicher System-Log-In für bestimmte Anwendungen
Automatisierte Sperrung der Clients nach gewissem Zeitablauf ohne Useraktivität
Login mit Benutzername + Passwort
Mobile Device Management / Mobile Device Policy
Login mit biometrischen Daten
Einsatz VPN bei Remote-Zugriffen
Anti-Viren-Software Server
Verschlüsselung von Datenträgern
Anti-Virus-Software Clients
Intrusion Detection Systeme
Richtlinien zu „Clean desk“, „Manuelle Desktopsperre“, Allg. Richtlinie Datenschutz & Sicherheit, Richtlinie „Sicheres Passwort“, „Löschen / Vernichten“
Endpoint-Security-Systeme (z.B. Schutz von externen Schnittstellen (USB))
Personalisierte Chipkarten
Verschlüsselung Smartphones
Zugriffskontrolle
Folgende implementierte Maßnahmen stellen sicher, dass Unbefugte keinen Zugriff auf personenbezogene Daten haben:
Verwaltung und Dokumentation von differenzierten Berechtigungen
Mobile Device Management System
Abschluss von Verträgen zur Auftragsdatenverarbeitung für die externe Pflege, Wartung und Reparatur von Datenverarbeitungsanlagen, sofern bei der Fernwartung die Verarbeitung von personenbezogenen Daten, also der Umgang mit personenbezogenen Daten Gegenstand der Dienstleistung ist
Auswertung / Protokollierung von Datenverarbeitungen
Funktionstrennung / Segregation of Duties
Autorisierungsprozess für Berechtigungen
Fachkundige Akten- und Datenträgervernichtung nach DIN 66399
Genehmigungsrichtlinien und Freigabeprozess
Nicht reversible Löschung von Datenträgern
Sichtschutzfolien für mobile Datenverarbeitungssysteme
Verschlüsselung von externen Datenträgern und Laptops
Maßnahmen zur Verhinderung unbefugten Überspielens von Daten auf extern verwendbare Datenträger
Minimale Anzahl an Administratoren und Verwaltung der Benutzerrechte ausschließlich durch Administratoren
Einsatz Berechtigungskonzepte
Trennungskontrolle
Folgende Maßnahmen stellen sicher, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden:
Getrennte Datenverarbeitung durch differenzierende Zugriffsregelungen
Speicherung der Datensätze in zweckgebunden getrennten Datenbanken
Mandantenfähigkeit von IT-Systemen
Speicherung der Datensätze durch Mandantenkennzeichen
Verarbeitung auf getrennten Systemen
Trennung von Entwicklungs- und Produktionsumgebung
Zugriffsberechtigungen nach funktioneller Zuständigkeit
Speicherung der Datensätze in physikalisch getrennten Datenbanken
Daten mit Zweckattributen versehen
Pseudonymisierung
Die Verarbeitung personenbezogener Daten erfolgt in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechenden technischen und organisatorischen Maßnahmen unterliegen.
Eine derartige Verarbeitung ist für den bestehenden Vertrag aktuell nicht vorgesehen.
Eine derartige Verarbeitung ist für den bestehenden Vertrag erforderlich.
Weitergabekontrolle
Es wird sichergestellt, dass personenbezogene Daten bei der Übertragung oder Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und überprüft werden kann, welche Personen oder Stellen personenbezogene Daten erhalten haben. Zur Sicherstellung dessen sind folgende Maßnahmen implementiert:
Verschlüsselung von Emails bzw. Email-Anhängen
Fernwartungskonzept mit Verschlüsselung und Einmal-Passwort
Verschlüsselung des Speichermediums von Laptops
Mobile Device Management System
Gesicherter Filetransfer per SFTP
Data Loss Prevention System
Gesicherter Datentransport per SSL (HTTPS)
Regelung zum Umgang mit mobilen Speichermedien
Verschlüsselung von externen Festplatten oder USB-Sticks
Protokollierung von Datenübertragung und Datentransport
Physikalische Transportsicherung
Protokollierung von lesenden Zugriffen
Protokollierung des Änderns oder Entfernens von Daten (keine Protokollierung der Kopiervorgänge)
Getunnelte Datenfernverbindungen (VPN = Virtuelles privates Netzwerk)
Verpackungs- und Versandvorschriften
Eingabekontrolle
Durch folgende Maßnahmen wird sichergestellt, dass geprüft werden kann, wer personenbezogene Daten zu welcher Zeit in Datenverarbeitungsanlagen verarbeitet hat:
Systemseitige Protokollierungen
Data Loss Prevention System
Dokumenten Management System (DMS) mit Änderungshistorie
Sicherheits-/ Protokollierungssoftware
Separatisierte Berechtigungen für Hinzufügen, Ändern, Löschen, Einsehen
Funktionelle Verantwortlichkeiten, organisatorisch festgelegte Zuständigkeiten
Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit.b. DSGVO)
Durch folgende Maßnahmen ist sichergestellt, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt und für den Auftraggeber stets verfügbar sind:
Sicherheitskonzept für Software- und IT-Anwendungen
Brand- und / oder Löschwasserschutz des Serverraums im Rechenzentrum
Aufbewahrungsprozess für Back-ups (brandgeschützter Safe)
Klimatisierter Serverraum
Gewährleistung der Datenspeicherung im gesicherten Netzwerk
Bedarfsgerechtes Einspielen von Sicherheits-Updates
Spiegeln von Festplatten an Servern
Einrichtung einer unterbrechungsfreien Stromversorgung (USV)
Erfolgreiche Notfallübungen
Geeignete Archivierungsmöglichkeiten für Papierdokumente
Redundante, örtlich getrennte Datenaufbewahrung
Feuer- und Rauchmeldeanlagen
Kontrolle des Sicherungsvorgangs
Feuerlöscher Serverraum im Bürobetrieb
Feuerlöscher Serverraum im Rechenzentrum
Aufbewahrung der Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums
Regelmäßige Tests zur Datenwiederherstellung
Schutzsteckdosenleisten Serverraum
Getrennte Partitionen für Betriebssysteme und Daten
Keine sanitären Anschlüsse im oder oberhalb des Serverraums
Videoüberwachung Serverraum im Bürobetrieb
Videoüberwachung Serverraum im Rechenzentrum
Dauerhafte Überwachung der Verfügbarkeit geschäftskritischer Server von verschiedenen Standorten (Außenverfügbarkeit / Dienstverfügbarkeit)
Brand- und / oder Löschwasserschutz der Archivierungsmöglichkeiten
Serverraumüberwachung: Temperatur
Alarmmeldung bei unberechtigtem Zutritt zu Serverraum
Datenschutzmanagement
Folgende Maßnahmen sollen gewährleisten, dass eine den datenschutzrechtlichen Grundanforderungen genügende Organisation vorhanden ist:
Datenschutzleitbild des Auftragnehmers
Hinreichende Schulung der Mitarbeiter in Datenschutzangelegenheiten
Datenschutzrichtlinie des Auftragnehmers
Führen einer Übersicht über Verarbeitungstätigkeiten (Art. 30 DSGVO)
Richtlinien / Anweisungen zur Gewährleistung von technisch-organisatorischen Maßnahmen zur Datensicherheit
Durchführung von Datenschutzfolgenabschätzungen
Bestellung eines Datenschutzbeauftragten
Externe Prüfung / Auditierung der Informationssicherheit
Verpflichtung der Mitarbeiter auf das Datengeheimnis
Regelmäßige Überprüfung des Datenschutzmanagements
Incident-Response-Management
Folgende Maßnahmen sollen gewährleisten, dass im Fall von Datenschutzverletzungen Meldeprozesse ausgelöst werden:
Meldeprozess nach Art. 4 Ziff. 12 DSGVO gegenüber Aufsichtsbehörden (Art. 33 DSGVO)
Meldeprozess nach Art. 4 Ziff. 12 DSGVO gegenüber Betroffenen (Art. 34 DSGVO)
Datenschutzfreundliche Voreinstellungen
Default-Einstellungen sind sowohl bei den standardisierten Voreinstellungen von Systemen und Apps als auch bei der Einrichtung der Datenverarbeitungsverfahren zu berücksichtigen. In dieser Phase werden Funktionen und Rechte konkret konfiguriert, wird im Hinblick auf Datenminimierung die Zulässigkeit bzw. Unzulässigkeit bestimmter Eingaben bzw. Eingabemöglichkeiten festgelegt und über die Verfügbarkeit von Nutzungsfunktionen entschieden. Ebenso werden die Art und der Umfang des Personenbezuges bzw. der Anonymisierung oder die Verfügbarkeit von bestimmten Verarbeitungsfunktionen, Protokollierungen etc. festgelegt.
Kennzeichnung der erforderlichen Eingabefelder in Onlineformularen (Pflichtfelder)
Benachrichtigungen nur kurzzeitig anzeigen vorbelegt
Keine Vorbelegung zur Teilnahme an Newslettern oder Werbeansprachen
Sichtzugriff für Benutzerkonten bei der Neuanlage auf eigene Daten des Benutzers vorbelegt
Option umverschlüsselte Verbindungen auf Kundenportalen zu erzwingen
Optionen für Informationsweiterleitungen per E-Mail im Auslieferungszustand deaktiviert
Option für sichere Kennwörter zu erzwingen
Automatische Löschung von Informationen nach Abholung von Daten im Auslieferungszustand deaktiviert
Opt-In Verfahren für die Freischaltung von Zugängen erzwungen
Zugriff auf erweiterte Funktionalitäten im Auslieferungszustand deaktiviert
Benutzerrechte-Vererbung auf angelegte Benutzer des anlegenden Profils (aktive Rechteweitergabebegrenzung)
Bestätigungsverfahren zur Kennwortänderung (Kennwort vergessen)
Anonymisierte Anmeldung zu einem Newsletter
Auftragskontrolle
Durch folgende Maßnahmen wird sichergestellt, dass personenbezogene Daten nur entsprechend der Weisung verarbeitet werden:
Vereinbarung zur Auftragsverarbeitung
formalisiertes Auftragsmanagement
Prozess zur Erteilung und / oder Befolgung von Weisungen
dokumentiertes Verfahren zur Auswahl von Dienstleistern
Bestimmung von Ansprechpartnern und / oder verantwortlichen Mitarbeitern
standardisiertes Vertragsmanagement zur Vor- und Nachkontrolle von Dienstleistern
Kontrolle / Überprüfung weisungsgebundener Auftragsdurchführung
Vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmaßnahmen und deren Dokumentation
Schulung / Einweisung aller zugriffsberechtigten Mitarbeiter beim Auftragnehmer
Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (gerade in Bezug auf Datenschutz und Datensicherheit)
Verpflichtung zur Bestellung eines Datenschutzbeauftragten durch den Auftragnehmer bei Vorliegen Bestellpflicht
Verpflichtung der Mitarbeiter auf das Datengeheimnis
Bei längerer Zusammenarbeit: Laufende Überprüfung des Auftragnehmers und seines Schutzniveaus
Unabhängige Auditierung der Weisungsgebundenheit
