Datenschutzzusatz Fernwartung

(1) Bei der Wartung, Prüfung und technischen Betreuung der Geräte handelt es sich um eine Hilfstätigkeit bzw. technische Unterstützung, die im Kern nicht die Verarbeitung personenbezogener Daten betrifft. Vielmehr ist eine Verarbeitung von personenbezogenen Daten von den Parteien nicht gewollt.

In Ausnahmefällen kann es vorkommen, dass der Auftragnehmer Einsicht in personenbezogene Daten bekommt, dies ergibt sich durch administrativen Zugriff auf die Systeme der Kunden des Auftraggebers.

Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Art der Daten

• In folgende Datenarten/-kategorien kann in Ausnahmefällen Einsicht genommen werden:
  • Alle auf den Geräten befindlichen personenbezogenen Daten

(3) Kategorien betroffener Personen

• Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen Patienten/innen der Kunden des Auftraggebers.

(1) Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben. Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage des Auftrags. Soweit die Prüfung/ein Audit des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.

(2) Der Auftragnehmer hat die Sicherheit gemäss den Art. 28 Abs. 3 lit. c und 32 DSGVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen [Einzelheiten in Anlage 1].

(3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

(1) Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

2) Soweit vom Leistungsumfang umfasst, sind Löschkonzept, Recht auf Vergessenwerden, Berichtigung, Datenportabilität und Auskunft nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.

Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 33 DSGVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:

1. Schriftliche Bestellung eines Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt.

Als Datenschutzbeauftragter ist beim Auftragnehmer Herr Stefan Kleinermann von Kleinermann & Sohn GmbH, Max-Planck-Str. 9, 52499 Baesweiler, s.kleinermann@das-datenschutz-team.de bestellt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen.

1. Die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DSGVO. Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Auftraggebers verarbeiten einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.
2. Die Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 S. 2 lit. c, 32 DS-GVO [Einzelheiten in Anlage 1].
3. Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
4. Die unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.
5. Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer nach besten Kräften zu unterstützen.
6. Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.
7. Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Auftraggeber im Rahmen seiner Kontrollbefugnisse nach Ziffer 7 dieses Vertrages.

(1) Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z.B. als Telekommunikationsleistungen, Post-/Transportdienstleistungen, Wartung und Benutzerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.

(2) Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher schriftlicher bzw. dokumentierter Zustimmung des Auftraggebers beauftragen.

1. Der Auftraggeber stimmt der Beauftragung der nachfolgenden Unterauftragnehmer zu unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO:

   Firma Unterauftragnehmer	Anschrift/Land	Leistung
   Medicim N.V.	Stationsstraat 102, 2800 Mechelen, Belgien	Unterstützung von KaVo bei Reparatur und Service von Imaging Produkten
   PaloDEX Group Oy	Nahkelantie 160, 04300 Tuusula	Unterstützung von KaVo bei Reparatur und Service von Imaging Produkten

2. Die Auslagerung auf Unterauftragnehmer oder der Wechsel des bestehenden Unterauftragnehmers sind zulässig, soweit:

• der Auftragnehmer eine solche Auslagerung auf Unterauftragnehmer dem Auftraggeber eine angemessene Zeit vorab schriftlich oder in Textform anzeigt und
• der Auftraggeber nicht bis zum Zeitpunkt der Übergabe der Daten gegenüber dem Auftragnehmer schriftlich oder in Textform Einspruch gegen die geplante Auslagerung erhebt und
• eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO zugrunde gelegt wird.

(3) Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestattet.

(4) Erbringt der Unterauftragnehmer die vereinbarte Leistung außerhalb der EU/des EWR stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen sicher. Gleiches gilt, wenn Dienstleister im Sinne von Abs. 1 Satz 2 eingesetzt werden sollen.

(5) Eine weitere Auslagerung durch den Unterauftragnehmer bedarf der ausdrücklichen Zustimmung des Hauptauftragnehmers;

Sämtliche vertraglichen Regelungen in der Vertragskette sind auch dem weiteren Unterauftragnehmer aufzuerlegen.

(1) Der Auftraggeber hat das Recht, im Einvernehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen.

(2) Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DSGVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.

(3) Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch

• die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO;
• die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO;
• aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren);
• eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz).

(4) Für die Ermöglichung von Kontrollen durch den Auftraggeber kann der Auftragnehmer einen Vergütungsanspruch geltend machen.

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 36 der DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherige Konsultationen. Hierzu gehören u.a.

1. die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen
2. die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich an den Auftraggeber zu melden
3. die Verpflichtung, dem Auftraggeber im Rahmen seiner Informationspflicht gegenüber dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen
4. die Unterstützung des Auftraggebers für dessen Datenschutz-Folgenabschätzung
5. die Unterstützung des Auftraggebers im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde

(2) Für Unterstützungsleistungen, die nicht in der Leistungsbeschreibung enthalten oder nicht auf ein Fehlverhalten des Auftragnehmers zurückzuführen sind, kann der Auftragnehmer eine Vergütung beanspruchen.

(1) Mündliche Weisungen bestätigt der Auftraggeber unverzüglich.

(2) Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

(1) Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

(2) Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Auftraggeber – spätestens mit Beendigung der Leistungsvereinbarung – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen.

(3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

(1) Der Auftragnehmer wird alle technischen und wirtschaftlichen Informationen, insbesondere Absichten, Erfahrungen, Erkenntnisse und Konstruktionen, die ihm während der Laufzeit dieser Vereinbarung vom Auftraggeber im Zusammenhang mit dem Auftrag zugänglich werden oder die er vom Auftraggeber erhalten hat oder erhält, bis zum Ablauf von 7 Jahren nach Ende der Vertragslaufzeit vertraulich behandeln, Dritten nicht zugänglich machen und nicht für gewerbliche Zwecke verwenden, solange zwischen den Vertragsparteien nichts anderes schriftlich vereinbart worden ist.

(2) Diese Geheimhaltungsverpflichtung gilt nicht für Informationen und Unterlagen, die

• dem Auftragnehmer nachweislich bereits vor Beginn der Zusammenarbeit bekannt waren;
• der Auftragnehmer nachweislich rechtmäßig von Dritten erhält;
• allgemein bekannt sind oder ohne Verstoß gegen die in diesem Vertrag enthaltenen Verpflichtungen allgemein bekannt werden;
• der Auftragnehmer nachweislich im Rahmen eigener unabhängiger Entwicklungen erarbeitet hat.

(3) Der Auftragnehmer verpflichtet sich, alle oben genannten Informationen und Daten, die er vom Auftraggeber gleichgültig in welcher Form und auf welchem technischen Wege erhält, nur für den vertraglich vereinbarten Zweck zu verwenden. Eine Vervielfältigung gleich auf welchem Wege und Übertragung auf andere Rechner oder Speichermedien (auch solche des Auftragnehmers) ist nur insoweit gestattet, als es zur Erfüllung des Vertragszweckes erforderlich ist.

(4) Der Auftragnehmer wird nur Arbeitnehmern und Subunternehmern Zugriff auf Informationen und Daten geben, die unmittelbar mit der Erbringung der vertragsgegenständlichen Leistungen für den Auftraggeber betraut sind. Der Auftragnehmer verpflichtet sich, seinen Angestellten und Subunternehmern, die von diesen Informationen und technischen und wirtschaftlichen Kenntnissen und Erfahrungen Kenntnis erhalten, die gleichen Verpflichtungen wie er vorstehend eingegangen ist im Rahmen der gesetzlichen Möglichkeiten, auch für die Zeit nach ihrem Ausscheiden aufzuerlegen.

(5) Der Auftragnehmer verpflichtet sich, nach Durchführung des Auftrages alle erhaltenen Informationen, Daten, Unterlagen, Speichermedien und Vervielfältigungen an den Auftraggeber zurückzugeben bzw. nicht wiederherstellbar zu löschen.

1. Er / Sie hat das volle Recht, die personenbezogenen Daten dem Auftragnehmer zur Verfügung zu stellen, damit der Auftragnehmer den Fernwartungseinsatz erfolgreich durchführen kann;
2. Er / Sie hat dem Auftragnehmer alle Beschränkungen der Nutzung oder Offenlegung personenbezogener Daten durch den Kunden mitgeteilt, die sich ergeben aus: (i) Mitteilungen an das Datensubjekt durch Dritte oder einen nachgeschalteten Dritten, von dem die Daten stammen, oder (ii) Einwendungen des Datensubjekts bezüglich der Nutzung der personenbezogenen Daten für bestimmte Zwecke;
3. Er / Sie hat alle Gesetze und rechtlichen Anforderungen bei der Sammlung der personenbezogenen Daten und Übertragung der personenbezogenen Daten an den Auftraggeber eingehalten.
4. Wenn die personenbezogenen Daten sensible personenbezogene Daten (z. B. Gesundheitsdaten) enthalten, hat der Auftraggeber die schriftliche Zustimmung des Datensubjekts zur Offenlegung der personenbezogenen Daten an den Auftragnehmer erhalten, damit der Auftragnehmer den Fernwartungseinsatz erfolgreich durchführen kann.

• Zugangskontrolle

Verwehrung des Zugangs zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte z.B.: Magnet- oder Chipkarten, Schlüssel, elektrische Türöffner, Werkschutz bzw. Pförtner, Alarmanlagen, Videoanlagen;

Folgende Maßnahmen wurden ergriffen:

Zutritt zum Gebäude

• Zutrittskontrollsystem per Ausweis (Übergabedokumentation) mit klaren Zutrittsregelungen zu Bereichen und Zeiten gemäß typischem Rollenkonzept und Arbeitszeitenregelung.
• Zutritt Externer nur über Eingang /Empfang gemäß Dienstanweisung  / persönliche Registrierung gemäß Dienstanweisung jedes Besuchers.

Zutritt zu den Büros

• Fremde Dritte und Externe ab Empfang nach persönlicher Registrierung nur in Begleitung eines Mitarbeiters gemäß Dienstanweisung.
• Kennzeichnung Fremder/Dritter/Externe durch verpflichtende Besucherausweise gemäß Dienstanweisung.
• Reinigungs-, Service- und Wartungsarbeiten erfolgen ausschließlich während Bürozeiten und nur während der Anwesenheit des entsprechenden Mitarbeiters gemäß Dienstanweisung. Alle RSW-Kräfte werden zur Wahrung der Vertraulichkeit und zur Beachtung des Datenschutzes verpflichtet und geschult bzw. deren Schulung veranlasst.

              Zutritt zum RZ (zusätzliche Maßnahmen zu Zutritt zu den Büros)

• Dokumentierte, temporäre Freigabe der personenbezogenen Zutrittsberechtigung unter Verwendung von Transpondern/Codesendern
• Personen- und zeitbezogene Protokollierung jedes Zutrittes/Verlassens für die Dauer von 90 Tagen in manueller/elektronischer und unveränderbarer Form.

Überprüfung der Zutrittskontrolle

• Regelmäßige, unangekündigte und dokumentierte Überprüfung

• Datenträgerkontrolle

Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Löschens von Datenträgern,

Folgende Maßnahmen wurden ergriffen:

• Standardmäßige Verschlüsselung der Datenbanken.
• Speicherkontrolle

Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie der unbefugten Kenntnisnahme, Veränderung und Löschung von gespeicherten personenbezogenen Daten,

Folgende Maßnahmen wurden ergriffen:

Berechtigungen

• Vergabe, Entzug und Kontrolle von Berechtigungen gemäß Verfahrensanweisung.
• Genehmigung, Freigabe und regelmäßige Überprüfung durch Anwendungsverantwortlichen gemäß Verfahrensanweisung.
• Dokumentation im Active Directory und im Asset-Center bezogen auf den Mitarbeiter gemäß Verfahrensanweisung.
• Anwendungsbezogene Berechtigungen werden ausschließlich durch Helpdesk vergeben, überwacht und dokumentiert gemäß Verfahrensanweisung.

Geheimhaltung

• Verpflichtung aller Mitarbeiter zur Wahrung der Vertraulichkeit und zur Beachtung des Datenschutzes und § 88 Telekommunikationsgesetz (TKG) bei Einstellung gemäß Verfahrensanweisung .
• Regelmäßige Wiederholung dieser Verpflichtung gemäß Verfahrensanweisung.
• Verpflichtung aller Externen, die Zugang zu unseren Systemen erhalten könnten (vor Ort oder Remote) gemäß Verfahrensanweisung.
• Regelmäßige Unterweisung aller Mitarbeiter mit Dokumentation.

Mitnahme von Systemen

• Mobile Systeme (Home-Office / mobile), sowie deren Datensicherung unterliegen Verfahrensanweisungen.
• Lokale Systeme weisen soweit möglich keine schützenswerte Daten auf gemäß Verfahrensanweisung.

Weitergabekontrolle

• Nutzung kryptographischer Verfahren bei WLAN, eMail-Kommunikation, Blackberry etc. Informationen, die in Nachrichtendiensten (Messaging) verwendet werden, sind angemessen geschützt. Email-Nachrichten unterliegen SPAM- und Virenschutzkonzept.
• Die Einrichtung eines Remotezugangs, wie VPN und Secure Access Gateway, unterliegen Vorgaben. Definition und Betriebsbeschreibung sind in einem Sicherheitskonzept dargestellt. Die Freischaltung des Remotezugangs erfolgt nach Berücksichtigung aller identifizierten Sicherheitsanforderungen. Zum Netzwerkzugang über VPN werden Benutzerzertifikate verwendet. Zum Zugang über das Secure Access Gateway ist neben Benutzername auch Passwort erforderlich.
• Einsatz von Unterauftragnehmer nur bei Bestehen eines Vertragsverhältnisses (Art. 28 DSGVO) gemäß Verfahrensanweisung.
• Prüfung und regelmäßige Wiederholungsprüfung sowie Prüfungsdokumentation des Unterauftragnehmers vor Beauftragung (Art. 28 DSGVO).

Eingabekontrolle

• Protokollierung in der jeweiligen Anwendung je nach Weisung des Auftraggebers. Softwaregesteuert können wesentliche Änderungen in den Daten, sowie der Anwender und das Datum mitgeloggt werden. Weitergehende Protokollierungen sind ggf. durchführbar. Protokolle und Logdateien unterliegen Zugriffsberechtigungskonzept.
• Benutzerkontrolle

Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte, z.B.: (sichere) Kennwörter, automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern;

Folgende Maßnahmen wurden ergriffen:

Benutzer

• An- und Abmeldeprozedur (Active Directory / eDirectory Netzwerkanmeldung) erfolgt gemäß Passwort-Richtlinie mit Passwortverwaltung gemäß Betriebs-vereinbarung und dem „Sicherheitskonzept Server“. Die Vergabe und Pflege der Berechtigungen erfolgt durch die Centerleitungen.  
• Die Zuweisung von Passwörtern wird durch einen formalen Verwaltungsprozess kontrolliert. Die Passwörter entsprechen der Passwort-Richtlinie, werden geheim gehalten und sind keine Initial- und Passwörter von Standard-Accounts.
  Die Prüfung der Berechtigungen erfolgt regelmäßig durch die Centerleiter unter Anwendung eines formalen Prozesses und werden durch das Management kontrolliert.
• Personalisierte Adminzugänge. Administratorzugänge sind grundsätzlich personalisiert.
• Clear-Desk-Regelung gemäß Verfahrensanweisung sind unternehmensrelevante Informationen bei Arbeitsende sicher zu hinterlegen, Bildschirmschoner werden zeitlich automatisch aktiviert.
• Externe erlangen Zugriff ausschließlich im Beisein eines Mitarbeiters.
• Regelung zum Entzug von Zugangsrechten und Zertifikaten bei internem Wechsel oder Beendigung des Arbeitsverhältnisses: der Entzug von Zugangsrechten und Zertifikaten erfolgt gemäß Verfahrensanweisung.
• Für den Wechsel oder das Beenden liegt die Durchführungsverantwortung beim Centerleiter. Die Regelung sieht die „normalen“ Beendigungsprozedere, die Sonderfälle „Fast Exit“, „Nicht planbares Ausscheiden“ und „Langfristige Abwesenheit“ vor.

Netze

• Absicherung Zugang zu den Kommunikationsstrukturen des Unternehmens aus dem Internet durch starke Authentisierungsmechanismen.
• Regelungen zur Zugangsbeschränkung auf nur notwendige Systeme und Informationen erfolgen gemäß Rechtekonzept. Der Mitarbeiter erhält nur die für seine Arbeit notwendigen Berechtigungen.
• Regelungen zu Gruppentrennung und Nutzung von gemeinsamen Netzen.
  Die Netze werden (teilweise) über VLAN getrennt. Für gemeinsame Netzwerke, besonders für die, die sich über die Grenzen der Organisation hinaus ausdehnen, ist die Fähigkeit der Benutzer, sich an das Netzwerk anzumelden, eingeschränkt. Diese Einschränkungen stehen im Einklang mit der Zugangskontrollpolitik und den Anforderungen der Geschäftsanwendung.
• Konzept zur Absicherung der Netze (DMZ / Firewall etc.).
• Intrusion Detection/Prevention Gewährleistung durch regelmäßige Sicherheitsaudits.
• Regelungen zur Authentisierung bei Fernzugriffen gemäß Verfahrensanweisung .
• Regelungen und Prozess zur Vergabe von VPN-Zugängen (Befristete Gültigkeit des Zertifikats) Zum Netzwerkzugang über VPN werden Benutzerzertifikate verwendet. Zum Zugang über das Secure Access Gateway ist Benutzername und Passwort erforderlich. Verbindungen von Heim- / mobilen Arbeitsplätzen sind ausschließlich über VPN bzw. Secure Access Gateway möglich.
• Festlegungen zur Nutzung und Gestaltung WLAN gemäß Verfahrensanweisung.

Betriebssysteme

• Sicheres Anmeldeverfahren mit sicheren Passwörtern. Die Zuweisung von Passwörtern wird durch einen formalen Verwaltungsprozess kontrolliert. Die Passwörter entsprechen der Passwort-Richtlinie und sind keine Initial- und Passwörter von Standard-Accounts. Die Prüfung der Berechtigungen erfolgt regelmäßig durch einen formalen Prozesses durch die Centerleitung.
• Eindeutige Benutzerkennung gemäß Verfahrensanweisung.
• Administrationsdienste sind eingeschränkt und werden überwacht (siehe IT-Sicherheitskonzept (ISO 27001: 2005)).

Fernzugang

• Die Einrichtung eines Remotezugangs, wie VPN und Secure Access Gateway, unterliegen Vorgaben. Definition und Betriebsbeschreibung sind in einem Sicherheitskonzept dargestellt. Die Freischaltung des Remotezugangs erfolgt nach Berücksichtigung aller identifizierten Sicherheitsanforderungen. Zum Netzwerkzugang über VPN werden Benutzerzertifikate verwendet. Zum Zugang über das Secure Access Gateway ist neben Benutzername / Passwort zusätzlich ein RSA-Token erforderlich.
• Zugangssicherung durch befristete Zertifikate.
• Verpflichtung Externer Dienstleister, sowie deren Zustimmung die Unternehmens AGB, bzw. der Zusatzvereinbarung „Informationssicherheit“.
• Zugriffskontrolle

Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den von ihrer Zugangsberechtigung umfassten personenbezogenen Daten Zugang haben, z.B.: Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen;

Folgende Maßnahmen wurden ergriffen:

Berechtigungen

• Vergabe, Entzug und Kontrolle von Berechtigungen gemäß Verfahrensanweisung.
• Genehmigung, Freigabe und regelmäßige Überprüfung durch Anwendungsverantwortlichen gemäß Verfahrensanweisung.
• Dokumentation im Active Directory und im Asset-Center bezogen auf den Mitarbeiter gemäß Verfahrensanweisung.
• Anwendungsbezogene Berechtigungen werden ausschließlich durch Helpdesk vergeben, überwacht und dokumentiert gemäß Verfahrensanweisung.

Mitnahme von Systemen

• Mobile Systeme (Home-Office / mobile), sowie deren Datensicherung unterliegen Verfahrensanweisungen.
• Lokale Systeme weisen soweit möglich keine schützenswerte Daten auf gemäß Verfahrensanweisung.

Zugriffsüberwachung

• Änderungsaktivitäten unterliegen automatischer Abbildung im Logbuch (siehe IT-Sicherheitskonzept).
• Übertragungskontrolle

Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können

Folgende Maßnahmen wurden ergriffen:

Netze

• Absicherung Zugang zu den Kommunikationsstrukturen des Unternehmens aus dem Internet durch starke Authentisierungsmechanismen.
• Regelungen zur Zugangsbeschränkung auf nur notwendige Systeme und Informationen erfolgen gemäß Rechtekonzept. Der Mitarbeiter erhält nur die für seine Arbeit notwendigen Berechtigungen.
• Regelungen zu Gruppentrennung und Nutzung von gemeinsamen Netzen.
  Die Netze werden (teilweise) über VLAN getrennt. Für gemeinsame Netzwerke, besonders für die, die sich über die Grenzen der Organisation hinaus ausdehnen, ist die Fähigkeit der Benutzer, sich an das Netzwerk anzumelden, eingeschränkt. Diese Einschränkungen stehen im Einklang mit der Zugangskontrollpolitik und den Anforderungen der Geschäftsanwendung.
• Konzept zur Absicherung der Netze (DMZ / Firewall etc.).
• Intrusion Detection/Prevention Gewährleistung durch regelmäßige Sicherheitsaudits.
• Regelungen zur Authentisierung bei Fernzugriffen gemäß Verfahrensanweisung
• Regelungen und Prozess zur Vergabe von VPN-Zugängen (befristete Gültigkeit des Zertifikats). Zum Netzwerkzugang über VPN werden Benutzerzertifikate verwendet. Zum Zugang über das Secure Access Gateway ist Benutzername und Passwort erforderlich
  Verbindungen von Heim- / mobilen Arbeitsplätzen sind ausschließlich über VPN bzw. Secure Access Gateway möglich.
• Festlegungen zur Nutzung und Gestaltung WLAN gemäß Verfahrensanweisung.

Systeme generell

• Auditprotokolle sofern durch System unterstützt.

Berechtigungen

• Vergabe, Entzug und Kontrolle von Berechtigungen gemäß Verfahrensanweisung.
• Genehmigung, Freigabe und regelmäßige Überprüfung durch Anwendungsverantwortlichen gemäß Verfahrensanweisung.
• Dokumentation im Active Directory und im Asset-Center bezogen auf den Mitarbeiter gemäß Verfahrensanweisung.
• Anwendungsbezogene Berechtigungen werden ausschließlich durch Helpdesk vergeben, überwacht und dokumentiert gemäß Verfahrensanweisung.

Zugriffsüberwachung

• Änderungsaktivitäten unterliegen automatischer Abbildung im Logbuch.
• Eingabekontrolle

Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Verarbeitungssysteme eingegeben oder verändert worden sind, z.B.: Protokollierung, Dokumentenmanagement;

Folgende Maßnahmen wurden ergriffen:

• Protokollierung in der jeweiligen Anwendung je nach Weisung des Auftraggebers. Softwaregesteuert können wesentliche Änderungen in den Daten, sowie der Anwender und das Datum mitgeloggt werden. Weitergehende Protokollierungen sind ggf. durchführbar. Protokolle und Logdateien unterliegen Zugriffsberechtigungskonzept.
• Transportkontrolle

Gewährleistung, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Vertraulichkeit und Integrität der Daten geschützt werden, z.B.: Verschlüsselung, Virtual Private Networks (VPN), elektronische Signatur;

Folgende Maßnahmen wurden ergriffen:

• Datentransfer von/zu Cloudanbietern nur für kleinen Benutzerkreis aus internem KaVo Netz möglich.

 Berechtigungen

• Vergabe, Entzug und Kontrolle von Berechtigungen gemäß Verfahrensanweisung.
• Genehmigung, Freigabe und regelmäßige Überprüfung durch Anwendungsverantwortlichen gemäß Verfahrensanweisung.
• Dokumentation im Active Directory und im Asset-Center bezogen auf den Mitarbeiter gemäß Verfahrensanweisung.
• Anwendungsbezogene Berechtigungen werden ausschließlich durch Helpdesk vergeben, überwacht und dokumentiert gemäß Verfahrensanweisung.

Entsorgung der Medien

• Festplatte: Datenschutzkonformes Löschen mittels zertifizierter Software.
• Datenträger: Entsorgung gemäß Verfahrensanweisung.
• Dokumente: Entsorgung von vertraulichen Dokumenten (datenschutzgerechtes Schreddern) gemäß Verfahrensanweisung.

Geheimhaltung

• Verpflichtung aller Mitarbeiter zur Wahrung der Vertraulichkeit und zur Beachtung des Datenschutzes und § 88 Telekommunikationsgesetz (TKG) bei Einstellung gemäß Verfahrensanweisung.
• Regelmäßige Wiederholung dieser Verpflichtung gemäß Verfahrensanweisung.
• Verpflichtung aller Externen, die Zugang zu unseren Systemen erhalten könnten (vor Ort oder Remote) gemäß Verfahrensanweisung.

Mitnahme von Systemen

• Mobile Systeme (Home-Office / mobile), sowie deren Datensicherung unterliegen Verfahrensanweisungen.
• Lokale Systeme weisen soweit möglich keine schützenswerte Daten auf gemäß Verfahrensanweisung.

Zugriffsüberwachung

• Änderungsaktivitäten unterliegen automatischer Abbildung im Logbuch (siehe IT-Sicherheitskonzept).

Weitergabekontrolle

• Nutzung kryptographischer Verfahren bei WLAN, Email-Kommunikation, Blackberry etc. Informationen, die in Nachrichtendiensten (Messaging) verwendet werden, sind angemessen geschützt. Email-Nachrichten unterliegen SPAM- und Virenschutzkonzept.
• Die Einrichtung eines Remotezugangs, wie VPN und Secure Access Gateway, unterliegen Vorgaben. Definition und Betriebsbeschreibung sind in einem Sicherheitskonzept dargestellt.

Die Freischaltung des Remotezugangs erfolgt nach Berücksichtigung aller identifizierten Sicherheitsanforderungen. Zum Netzwerkzugang über VPN werden Benutzerzertifikate verwendet. Zum Zugang über das Secure Access Gateway ist neben Benutzername auch Passwort erforderlich.

• Einsatz von Unterauftragnehmer nur bei Bestehen eines Vertragsverhältnisses (Art. 28 DSGVO) gemäß Verfahrensanweisung.
• Prüfung und regelmäßige Wiederholungsprüfung sowie Prüfungsdokumentation des Unterauftragnehmer vor Beauftragung (Art. 28 DSGVO)

Trennungskontrolle

• Logische und/oder physikalische Trennung von Anwendungen gemäß Verfahrensanweisung.
• Logische und physikalische Trennung bei der Datenhaltung gemäß Verfahrensanweisung.
• Mandantenfähigkeit bei Anwendungen je nach Vorgabe Auftraggeber.
• Trennung von Test-, Entwicklungs- und Produktivsystemen ja nach vertraglichen Regelungen mit dem Auftraggeber. Bei Test- und Entwicklungssystemen finden ausschließlich anonymisierte und pseudonymisierte Daten Verwendung. Der Zugriff auf Test- und Produktivsystemen unterliegt dem Berechtigungskonzept.
• Datenintegrität

Gewährleistung, dass gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können

Folgende Maßnahmen wurden ergriffen:

Notfallmanagement

• Brandschutzkonzept.
• Notfallinformationstafeln: Hinweisgebung zu Verhaltensregelungen in Notfällen, Aushänge und Handzettel.
• Überwachung des Rechenzentrums und automatisierte Benachrichtigung bei Ausfall oder Störung.

Monitoring

• Systeme und Anwendungen erfahren permanente Überwachung gemäß Verfahrensanweisung.
• Verfügbarkeitsüberwachung gemäß Verfahrensanweisung.
• Verbesserungspotential: Fehleranalyse bei Störungen an Systemen oder Netzwerkkomponenten gemäß Verfahrensanweisung.

Datensicherungen

• Regelmäßiges Backup aller Server und Datenbanken. In Testsystemen erfolgt regelmäßig das Recovery von Backups.
• Neue Systeme werden gemäß Verfahrensanweisung in das Datensicherungskonzept aufgenommen.
• Storage Area Network Systeme (SAN) zur Datenspeicherung.

Systeme

• Internetzugang redundant.
• Firewalltechnologie.
• Mailsysteme redundant.
• Systeme und Datenbanken je nach Vorgaben des Auftraggebers  anwendungsspezifisch redundant.
• Systemseitiges Loadbalancing.

Physische und Umgebungssicherheit

• Sicherheitszonenkonzept.
• Notstromversorgung mittels USV.
• Permanente Brandschutzüberwachung und Rauchmelder mit automatischem Alarmsystem.
• Überwachungssystem GLT (Luftfeuchtigkeit / Temperatur etc.) mit automatisierter Alarmierung und Monitorsystem.
• Blitzableitersystem.
• Stromversorgung über zwei getrennte Einspeisungen.
• Konzept zur Sicherstellung der Stromversorgung.
• Sichere Verkabelung.
• Maßnahmen zur korrekten Instandhaltung.

Patch- und Changemanagement

• Updateserver (WSUS) gewährleisten automatisierten Versionsupdates der Systeme.
• Regelmäßige Umsetzung von Change-Requests und Entscheidung im Change Advisory Board.
• Trennbarkeit

Gewährleistung, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können, z.B. Mandantenfähigkeit, Sandboxing;

Folgende Maßnahmen wurden ergriffen:

Trennungskontrolle

• Logische und/oder physikalische Trennung von Anwendungen gemäß Verfahrensanweisung.
• Logische und physikalische Trennung bei der Datenhaltung gemäß Verfahrensanweisung.
• Mandantenfähigkeit bei Anwendungen je nach Vorgabe Auftraggeber.
• Trennung von Test-, Entwicklungs- und Produktivsystemen ja nach vertraglichen Regelungen mit dem Auftraggeber. Bei Test- und Entwicklungssystemen finden ausschließlich anonymisierte und pseudonymisierte Daten Verwendung. Der Zugriff auf Test- und Produktivsystemen unterliegt dem Berechtigungskonzept..
• Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO)

Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen;

Folgende Maßnahmen wurden ergriffen:

• Anonymisierung / Pseudonymisierung  in der Datenbank.

• Rasche Wiederherstellbarkeit, Art. 32 Abs. 1 lit. c DSGVO

Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können;

Folgende Maßnahmen wurden ergriffen:

Notfallmanagement

• Brandschutzkonzept.
• Notfallinformationstafeln: Hinweisgebung zu Verhaltensregelungen in Notfällen, Aushänge und Handzettel.
• Überwachung des Rechenzentrums und automatisierte Benachrichtigung bei Ausfall oder Störung.

Monitoring

• Systeme und Anwendungen erfahren permanente Überwachung gemäß Verfahrensanweisung.
• Verfügbarkeitsüberwachung gemäß Verfahrensanweisung.
• Verbesserungspotential: Fehleranalyse bei Störungen an Systemen oder Netzwerkkomponenten gemäß Verfahrensanweisung.

Datensicherungen

• Regelmäßiges Backup aller Server und Datenbanken. In Testsystemen erfolgt regelmäßig das Recovery von Backups.
• Neue Systeme werden gemäß Verfahrensanweisung in das Datensicherungskonzept aufgenommen.
• Storage Area Network Systeme (SAN) zur Datenspeicherung.

Systeme

• Internetzugang redundant.
• Firewalltechnologie.
• Mailsysteme redundant.
• Systeme und Datenbanken je nach Vorgaben des Auftraggebers  anwendungsspezifisch redundant.
• Systemseitiges Loadbalancing.
• Netzplan.
• Backup und Redundanz-Funktionalität.

Physische und Umgebungssicherheit

• Sicherheitszonenkonzept.
• Notstromversorgung mittels USV.
• Permanente Brandschutzüberwachung und Rauchmelder mit automatischem Alarmsystem.
• Überwachungssystem GLT (Luftfeuchtigkeit / Temperatur etc.) mit automatisierter Alarmierung und Monitorsystem.
• Blitzableitersystem.
• Stromversorgung über zwei getrennte Einspeisungen.
• Konzept zur Sicherstellung der Stromversorgung.
• Sichere Verkabelung.
• Maßnahmen zur korrekten Instandhaltung.

Patch- und Changemanagement

• Updateserver (WSUS) gewährleisten automatisierten Versionsupdates der Systeme.
• Regelmäßige Umsetzung von Change-Requests und Entscheidung im Change Advisory Board
• Zuverlässigkeit

Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden

Folgende Maßnahmen wurden ergriffen:

Monitoring

• Systeme und Anwendungen erfahren permanente Überwachung gemäß Verfahrensanweisung.
• Verfügbarkeitsüberwachung gemäß Verfahrensanweisung.
• Verbesserungspotential: Fehleranalyse bei Störungen an Systemen oder Netzwerkkomponenten gemäß Verfahrensanweisung.
• Verfügbarkeitskontrolle

Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z.B.: Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne;

Folgende Maßnahmen wurden ergriffen:

Notfallmanagement

• Brandschutzkonzept.
• Notfallinformationstafeln: Hinweisgebung zu Verhaltensregelungen in Notfällen, Aushänge und Handzettel.
• Überwachung des Rechenzentrums und automatisierte Benachrichtigung bei Ausfall oder Störung.

Monitoring

• Systeme und Anwendungen erfahren permanente Überwachung gemäß Verfahrensanweisung.
• Verfügbarkeitsüberwachung gemäß Verfahrensanweisung.
• Verbesserungspotential: Fehleranalyse bei Störungen an Systemen oder Netzwerkkomponenten gemäß Verfahrensanweisung.

Datensicherungen

• Regelmäßiges Backup aller Server und Datenbanken. In Testsystemen erfolgt regelmäßig das Recovery von Backups.
• Neue Systeme werden gemäß Verfahrensanweisung in das Datensicherungskonzept aufgenommen.
• Storage Area Network Systeme (SAN) (siehe „Sicherheitskonzept Datensicherung“) zur Datenspeicherung.

Systeme

• Internetzugang redundant.
• Firewalltechnologie.
• Mailsysteme redundant.
• Systeme und Datenbanken je nach Vorgaben des Auftraggebers  anwendungsspezifisch redundant.
• Systemseitiges Loadbalancing.
• Netzplan.
• Backup und Redundanz-Funktionalität.

Physische und Umgebungssicherheit

• Sicherheitszonenkonzept.
• Notstromversorgung mittels USV.
• Permanente Brandschutzüberwachung und Rauchmelder mit automatischem Alarmsystem.
• Überwachungssystem GLT (Luftfeuchtigkeit / Temperatur etc.) mit automatisierter Alarmierung und Monitorsystem.
• Blitzableitersystem.
• Stromversorgung über zwei getrennte Einspeisungen.
• Konzept zur Sicherstellung der Stromversorgung.
• Sichere Verkabelung.
• Maßnahmen zur korrekten Instandhaltung.

Patch- und Changemanagement

• Updateserver (WSUS) gewährleisten automatisierten Versionsupdates der Systeme.
• Regelmäßige Umsetzung von Change-Requests und Entscheidung im Change Advisory Board.