Source: https://www.powerbird.de/datenschutz/HW-TOM-Auftragsverarbeitung
Timestamp: 2019-07-22 09:30:24
Document Index: 291548397

Matched Legal Cases: ['Art. 21', 'Art. 32', 'Art. 2', 'Art. 32', 'Art. 32', 'Art 32', 'Art. 25']

Technische und organisatorische Maßnahmen der Auftragsverarbeitung | www.powerbird.de
1. Es werden vom Kunden Daten an HW geschickt mit der Aufgabenstellung, diese Daten in vom HW-Programm nutzbare Datentabellen zu transferieren.
2. Zu Support-, Schulungs- oder sonstigen Dienstleistungs-Zwecken schaltet sich HW per Fernwartung auf das System des Kunden bei ihm vor Ort oder in dessen Cloud auf.
4. Der Kunde schickt seinen gesamten HW-Datenbestand an HW. Beispiele dafür sind, dass der Kunde eine Probekonvertierung von der Datenbank Pervasive zu MS-SQL wünscht oder HW einen Programm- oder Anwenderfehler finden soll und eine Fernwartung vorab nicht weitergeholfen hat.
4. Vertraulichkeit gemäß Art. 21 Abs. 1 DS-GVO
4.1 Zutrittskontrolle
- Alarmanlage. Mit Meldung an Wachdienst
- Chipkarten / Transpondersystem
- Besucher in Begleitung durch Mitarbeiter
4.2 Zugangskontrolle
- Login mit Benutzername + Passwort auf jedem Rechner
- Anti-Viren-Software Server, auch mit Schutz vor unbekannten Gefahren
- Anti-Viren-Software Clients
- Einsatz SSL-Verschlüsselung bei Remote-Zugriffen
- Verwalten von Benutzerberechtigungen
4.3 Zugriffskontrolle
- Aktenschredder
- Externer Aktenvernichter
- Externer Datenträgervernichter
- Protokollierung von Zugriffen auf HW-Anwendungen, konkret bei Eingabe, Änderung und Löschung von Daten. Die Zugriffe auf vom Kunden zugesendete Daten in deren Urform können nicht automatisch protokolliert werden. Für die Kontrolle gibt es ein organisatorisches Konzept. Wenn die Daten dann in eine HW-Datenbank eingespielt worden sind, gilt Satz 1 dieses Punktes.
- Einsatz Berechtigungskonzepte
- Minimale Anzahl an Administratoren
- Verwaltung Benutzerrechte durch Administratoren
4.4 Trennungskontrolle
- Mandantenfähigkeit relevanter Anwendungen
- Vom Kunden im Rahmen der Auftragsbearbeitung erhaltene Daten werden in eigenständige voneinander unabhängige Mandanten eingespielt.
4.5 Pseudonymisierung (Art. 32 Abs. 1a; Art. 2 Abs.1 DS-GVO)
5. Integrität (Art. 32 Abs. 1b DS-GVO)
5.1 Weitergabekontrolle
5.2 Eingabekontrolle
- Technische Protokollierung der Eingabe, Änderung und Löschung von Daten
6. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1b DS-GVO)
6.1 Verfügbarkeitskontrolle
- Feuerlöscher Serverraum
- Schutzsteckdosenleisten Serverraum
- Datenschutztresor
- RAID System / Festplattenspiegelung
- Redundanz von Teilkomponenten: Firewall, zentrales Festplattensystem
- Aufbewahrung der Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums und außerhalb des Firmengebäudes. Dies gilt aber nur für HW-eigene Daten. Zugesendete Kundendaten werden nicht innerhalb des HW-eigenen Sicherungskonzeptes gesichert. Wenn überhaupt gibt es nur temporäre Sicherungen der Kundendaten innerhalb der Serverfarm von HW. Nicht außerhalb von HW. Es wird daher im Sinne des Datenschutzes in Kauf genommen, dass Kundendaten durch z.B. einen Festplattenfehler unbrauchbar sind und vom Kunden erneut angefordert werden müssen.
- Keine sanitären Anschlüsse im oder oberhalb des Serverraums
- Existenz eines Notfallplans (z. B. BSI IT-Grundschutz 100-4)
7. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art 32. Abs. 1d; Art. 25 Abs. 1 DS-GVO)
7.1 Datenschutz-Management
- Zentrale Dokumentation aller Verfahrensweisen und Regelung mit Zugriffsmöglichkeit für Mitarbeiter nach Bedarf / Berechtigung
- Dokumentiertes Sicherheitskonzept
- Eine Überprüfung der Wirksamkeit der technischen Schutzmaßnahmen wird mindestens jährlich durchgeführt.
- Interner Datenschutzbeauftragter, erreichbar per Mail:
- Mitarbeiter geschult und auf Vertraulichkeit / Datengeheimnis verpflichtet
- Regelmäßige Sensibilisierung der Mitarbeiter (mindestens jährlich)
- Formalisierter Prozess zur Bearbeitung von Auskunftsanfragen seitens Betroffener ist vorhanden
- Formalisierter Prozess zum Empfang von Kundendaten, deren Verarbeitung und Löschung im Sinne der Auftragsbearbeitung
- Formalisierter Prozess zur Bearbeitung von Sicherheitsproblemen ist vorhanden
7.2 Incident-Response-Maßnahmen
- Einsatz von Firewall und regelmäßige Aktualisierung
- Einsatz von Spamfilter und regelmäßige Aktualisierung
- Einsatz von Virenscanner und regelmäßige Aktualisierung