Technische und Organisatorische Maßnahmen gem. Art. 32 DSGVO

Alle von uns getroffenen technisch organisatorischen Maßnahmen (TOMs) für einen sicheren Betrieb von unserem Service finden Sie hier.

1. Datenschutzkonzept, Betroffenenrechte, Technikgestaltung und Datenschutz auf Mitarbeiterebene

Grundsätzliche Maßnahmen, die der Wahrung der Betroffenenrechte, unverzüglichen Reaktion in Notfällen, den Vorgaben der Technikgestaltung und dem Datenschutz auf Mitarbeiterebene dienen:

• Es besteht ein betriebsinternes Datenschutz-Management, dessen Einhaltung ständig überwachtwird sowie anlassbezogenen und mindestens halbjährlichen evaluiert wird.
• Es besteht ein Konzept, welches die Wahrung der Rechte der Betroffenen (Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung, Datentransfer, Widerrufe & Widersprüche)innerhalb der gesetzlichen Fristen gewährleistet. Es umfasst Formulare, Anleitungen und eingerichtete Umsetzungsverfahren sowie die Benennung der für die Umsetzung zuständigenPersonen.
• Es besteht ein Konzept, das eine unverzügliche und den gesetzlichen Anforderungen entsprechende Reaktion auf Verletzungen des Schutzes personenbezogener Daten (Prüfung, Dokumentation, Meldung) gewährleistet. Es umfasst Formulare, Anleitungen und eingerichteteUmsetzungsverfahren sowie die Benennung der für die Umsetzung zuständigen Personen
• Der Schutz von personenbezogenen Daten wird unter Berücksichtigung des Stands der Technik,der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen bereits bei der Entwicklung, bzw. Auswahl von Hardware, Software sowie Verfahren, entsprechend dem Prinzip des Datenschutzes durch Technikgestaltung und durch datenschutzfreundlicheVoreinstellungen berücksichtigt.
• Die eingesetzte Software wird stets auf dem aktuell verfügbaren Stand gehalten, ebenso wie Virenscanner und Firewalls.
• Das Reinigungspersonal, Wachpersonal und übrige Dienstleister, die zur Erfüllung nebengeschäftlicher Aufgaben herangezogen werden, werden sorgfältig ausgesucht und es wird sichergestellt, dass sie den Schutz personenbezogener Daten beachten.
2. Zutrittskontrolle

Maßnahmen, mit denen Unbefugten der Zugang zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, verwehrt wird:

• Es wird ein „papierloses Büro“ geführt und Unterlagen werden grundsätzlich nur digital gespeichert und nur in Ausnahmefällen in Papierform aufbewahrt.
• Es werden, bis auf die Arbeitsplatzrechner und mobile Geräte, keine Datenverarbeitungsanlagen inden eigenen Geschäftsräumlichkeiten unterhalten. Die Daten des Auftraggebers werden bei externem Hosting-Anbieter unter Beachtung der Vorgaben für Auftragsverarbeitung gespeichert.
• Serverstandort: Elektronisches Zugangskontrollsystem (persönlicher Transponder, Einteilung in Zonen, Onboarding-Prozess, elektrischer Türöffner an der Eingangstür und selbstschließende Außentüren, im Rechenzentrum zusätzlich Vereinzelungsschleuse und Alarm bei nichtgeschlossenen Türen)
• Serverstandort: Spezifische Zugangsregelungen für Personengruppen (Anmeldung von Besuchernbeim Empfang, Begleitung von Besuchern durch interne Mitarbeiter, im Rechenzentrum zusätzlichZutritt nach vorheriger namentlicher Anmeldung sowie verschlossene Serverräume mit Zutrittsberechtigung nur für autorisiertes Personal
• Serverstandort: Überwachungs- und Alarmsystem (Verwendung einer Alarmanlage und Aufschalten von Wachschutz, bei Alarm erfolgt Überwachung durch Wachschutz vor Ort, im Rechenzentrumzusätzlich Videoüberwachung der Flure durch dessen Betreiber)
3. Zugangskontrolle

Maßnahmen, mit denen die Nutzung von Datenverarbeitungssystemen durch Unbefugte verhindert wird:

• Es gibt ein Rechtekonzept bzw. ein Rollenkonzept, mit dem die Zutrittsberechtigungen der Mitarbeiter, Beauftragten und sonstigen Personen (z.B. Nutzer innerhalb des Systems) festgelegt werden und nur soweit reichen, wie sie für die vorgegebene Nutzung erforderlich sind.
• Sämtliche Datenverarbeitungsanlagen sind passwortgeschützt.
• Es gibt ein Passwortkonzept, das festlegt, dass Passwörter eine dem Stand der Technik und den Anforderungen an Sicherheit entsprechende Mindestlänge und Komplexität haben müssen.
• Anmeldungen in den Verarbeitungssystemen werden protokolliert.
• Es wird, sofern systembedingt erforderlich/ Stand der Technik entsprechend, eine Anti-Viren-Software eingesetzt.
• Es werden Hardware-Firewalls eingesetzt.
• Es werden Software-Firewalls eingesetzt.
• Die Website und/oder Zugänge zu Online-Software-Angeboten sind durch eine aktuelle TLS/SSL-Verschlüsselung geschützt.
• Die internen Systeme werden per Firewall sowie Benutzername und Passwort und/oderClient-Zertifikate vor unberechtigten Zugriffen geschützt.
• Es gibt eine Begrenzung der Fehlversuche beim Login auf betriebsinterne Systeme (z.B. Sperrung von Logins oder IP-Adressen).
• Soweit technisch unterstützt, wird die Zwei-Faktor-Authentifizierung genutzt.
• Es werden Serversysteme und Dienste eingesetzt, die über Intrusion-Detection-Systeme verfügen.
• Serverstandort: Zugang zu internen Systemen wird durch Firewall- bzw. VPN-Systeme beschränkt
• Serverstandort: Verschlüsselungstechniken werden eingesetzt, um Benutzerauthentifizierungen und Administrationsprozesse über das Internet abzusichern
• Serverstandort: Der Datenfernzugriff auf Produktionsmaschinen benötigt eine Verbindung zum Firmennetzwerk, die durch VPN-Systeme gesichert wird.
• Serverstandort: Es besteht ein formaler Prozess, um den Zugang zu Ressourcen zu erlauben oder zu verweigern. Verschiedene Zugangsschutzmechanismen helfen dabei, sichere und flexible Zugriffe bereitzustellen.
• Serverstandort: Die Erteilung oder Änderung von Zugangsrechten erfolgt auf Grundlage eines Berechtigungskonzepts.
4. Zugriffskontrolle und Eingabekontrolle

Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugangsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt, eingegeben, gelesen, kopiert, verändert oder entfernt werden können sowie Maßnahmen, die es erlauben die Verarbeitungsvorgänge nachträglich nachzuvollziehen:

• Es gibt ein Rechtekonzept bzw. ein Rollenkonzept, mit dem die Zugriffsberechtigungen der Mitarbeiter, Beauftragten und sonstigen Personen (z.B. Nutzer innerhalb des Systems) festgelegt werden und nur soweit reichen, wie sie für die vorgegebene Nutzung erforderlich sind.
• Protokollierung jedes einzelnen Schrittes der Datenverarbeitung, insbesondere von Zugriffen auf Anwendungen, insbesondere bei der Eingabe, Änderung und Löschung von Daten.
• Die Zugriffe der Mitarbeiter auf Daten werden protokolliert. Sofern einzelne Zugriffe nichtprotokolliert werden, wird sichergestellt, dass nachvollziehbar ist, wer auf welche Daten wann Zugriffhatte (z.B. durch Protokollierung der Softwarenutzung oder Rückschluss aus den Zugriffszeiten und dem Berechtigungskonzept).
• Datenträger werden sicher aufbewahrt.
• Es liegt ein Lösch- und Entsorgungskonzept entsprechend der DIN 66399 mit festgelegten Zuständigkeiten und Protokollierungspflichten vor. Mitarbeiter wurden über gesetzliche Voraussetzungen, Löschfristen und Vorgaben für die Datenvernichtung oder Gerätevernichtung durch Dienstleister unterrichtet.
• Die Verarbeitung von Daten, die nicht gelöscht werden (z.B. in Folge der gesetzlichen Archivierungspflichten), wird durch Sperrvermerke und Aussonderung eingeschränkt.
• Serverstandort: Zugriff durch personalisierte Accounts auf Basis eines Berechtigungskonzepts
• Serverstandort: Zugriffe werden protokolliert
• Serverstandort: Zur Eingabekontrolle werden System- und Anwendungslogfiles gespeichert und administrative Tätigkeiten aufgezeichnet (Protokollierung)
5. Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oderwährend ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und dass überprüft und festgestellt werden kann, an welche Stelleneine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist:

• Es werden die für die Abgabe von Datenträgern berechtigten Personen und die Empfangsberechtigten bestimmt.
• Im Fall des physischen Transports werden sichere Transportbehälter oder Transportverpackungen gewählt bzw. die Sicherheit der Daten durch eine persönliche Aufsicht gewährleistet, sofern diese angesichts der für die Daten bestehenden Gefahren ausreichend ist.
• Im Fall des Fernzugriffs auf Daten wird durch Protokollmaßnahmen gesichert, dass Datenübermittlungen oder Offenlegungen nachvollziehbar sind.
• Sofern erforderlich, möglich und zumutbar, werden Daten in anonymisierter Form bzw. in pseudonymisierter Form weitergegeben.
• Es wird eine E-Mail-Verschlüsselung eingesetzt, sofern diese möglich, zumutbar und vom Kommunikationspartner gewünscht oder sonst als erforderlich und/oder angemessen zu betrachtet ist.
6. Auftragskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen von Auftraggebern verarbeitet werden können:

• Verpflichtung von Mitarbeitern und Beauftragten auf die Beachtung von Weisungen.
• Schriftliche Festlegung und Dokumentation der Weisungen.
• Die vertraglichen und gesetzlichen Vorgaben für die Beauftragung von Unterauftragsverarbeitern werden durch Abschluss von AV-Verträgen und Sicherstellung notwendiger Garantien sowie deren Kontrolle beachtet.
• Es wird sichergestellt, dass Daten nach Beendigung des Auftrags zurückgegeben oder vernichtet werden.
7. Verfügbarkeitskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlustgeschützt sind:

• Es werden ausfallsichere Serversysteme und Dienste eingesetzt, die doppelt, bzw. mehrfachausgelegt sind, Belastbarkeitstests und Hardwaretests unterliegen, über einen DDoS-Schutzverfügen sowie eine unterbrechungsfreie Stromversorgung bieten (z.B. RAID, HA-Netzteile).
• Es werden Serversysteme und Dienste eingesetzt, die ein Backupsystem an anderen Orten bzw. zumindest in anderen Brandabschnitten bieten, auf dem die aktuellen Daten vorgehalten werden und so ein lauffähiges System auch im Katastrophenfall zur Verfügung stellen.
• Es werden Serversysteme und Dienste eingesetzt, die über Feuchtigkeitsmelder verfügen, als auch über Feuer- und Rauchmeldeanlagen sowie entsprechende Feuerlöschvorrichtungen oder Feuerlöschgeräte im EDV Raum verfügen.
• Es werden Serversysteme und Dienste eingesetzt, die ein zuverlässiges und kontrolliertes Backupkonzept & Recoverykonzept bieten. Backups erfolgen täglich Die Backups werden verschlüsselt.
• Die Verfügbarkeit der Datenverarbeitungssysteme wird permanent überwacht.
8. Gewährleistung der Zweckbindung/Trennungsgebot

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können:

• Sofern erforderlich, möglich und zumutbar, werden Daten physisch getrennt (z.B. durch Einsatzunterschiedlicher Server). Erfolgt keine physische Trennung, werden die Daten logisch getrennt (z.B. in unterschiedlichen Datenbanken oder durch Kennzeichnung mit entsprechenden Zweckattributen, oder Datenfeldern).
• Ein Übergriff durch nichtberechtigte Personen oder Prozesse wird durch ein Berechtigungskonzeptverhindert.
• Im Fall pseudonymisierter Speicherung werden die Zuordnungsschlüssel getrennt von den Datengespeichert und gegen eine unberechtigte oder nicht vom Verarbeitungsprozess vorgesehene Verknüpfung gesichert.
• Produktiv- und Testsysteme werden getrennt.
9. Zugriffsberechtigte Personen
• Zugriffsberechtigt auf alle Systeme sind nur die Administratoren des Verantwortlichen.
• Kunden, die qr1.at nutzen, haben einen nicht-administrativen Zugriff auf ihren Kundenbereich und die für sie verarbeiteten Daten im Rahmen einer Benutzerberechtigung. Es kann auch für Kundenabgestufte Berechtigungen geben.

Weiterführende Links

• Wir sind datenschutzkonform
• Plattform Status
• Unser Service-Level-Agreement
• Kunden-Referenzen