Source: https://df-architekten.sharxxlive.de/Login/SitePages/Datenschutz.aspx
Timestamp: 2018-12-18 19:27:33
Document Index: 49904345

Matched Legal Cases: ['Art. 28', 'Art. 21', 'Art. 28', 'Art. 5', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32']

Nachfolgend möchten wir Sie daher ausführlich darüber informieren, welche Daten bei der Nutzung des Projektraums erhoben und wie diese von uns im Folgenden verarbeitet oder genutzt werden, ebenso wie, welche begleitenden Schutzmaßnahmen wir auch in technischer und organisatorischer Hinsicht getroffen haben. Sie können diese Unterrichtung von jeder Seite abrufen. Diese Unterrichtung bezieht sich auf die Nutzung des Dienstes mittels PC, Smartphone, Tablet sowie aller weiteren internetfähigen Endgeräte.
Datenschutzbeauftragte von novaCapta gemäß Art. 28 bis 33 DS-GVO:
Organisationseinheit: Custom Applications
T +49 151 58226 601
dsb@novacapta.de
Der Besuch der Webseite ist grundsätzlich nur mit Login unter Angabe personenbezogener Daten möglich. Wir verwenden Daten, die Sie uns freiwillig per E-Mail oder postalisch zur Verfügung gestellt haben (wie z.B. Ihren Namen, Ihre E-Mail Adresse oder sonstige Kontaktdaten), ausschließlich um Ihr Benutzerprofil anzulegen und damit Sie den Projektraum nutzen können. Alle personenbezogenen Daten, die wir von Ihnen erheben, werden wir nur zu dem angegebenen Zweck erheben, verarbeiten und nutzen. Dabei beachten wir, dass dies nur im Rahmen der jeweils geltenden Rechtsvorschriften bzw. ansonsten nur mit Ihrer Einwilligung geschieht.
Sie können gemäß Art. 21 DSGVO in den dort genannten Fällen Widerspruch gegen die Verarbeitung Ihrer Daten erheben. Bitte wenden Sie sich an info@df-architekten.de oder senden Sie uns Ihr Verlangen per Post.
DEWAN FRIEDENBERGER ARCHITEKTEN und novaCapta arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten/- kategorien (Aufzählung/Beschreibung der Datenkategorien):
novaCapta dokumentiert die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insebsondere hinsichtlich der konkreten Auftragsdurchführung und übergibt sie DEWAN FRIEDENBERGER ARCHITEKTEN zur Prüfung.
novaCapta stellt die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DS-GVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DS-GVO her. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen.
Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es novaCapta gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert.
novaCapta unterstützt DEWAN FRIEDENBERGER ARCHITEKTEN bei der Einhaltung der in den Artikeln 32 bis 36 der DS-GVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherige Konsultationen. Hierzu gehören u.a.
die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich an DEWAN FRIEDENBERGER ARCHITEKTEN zu melden.
die Verpflichtung, DEWAN FRIEDENBERGER ARCHITEKTEN im Rahmen seiner Informationspflicht gegenüber dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen.
die Unterstützung der DEWAN FRIEDENBERGER ARCHITEKTEN für deren Datenschutz-Folgenabschätzung
die Unterstützung der DEWAN FRIEDENBERGER ARCHITEKTEN im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde
Kopien oder Duplikate der Daten werden ohne Wissen von DEWAN FRIEDENBERGER ARCHITEKTEN nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind. Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch DEWAN FRIEDENBERGER ARCHITEKTEN – spätestens mit Beendigung der Leistungsvereinbarung – hat novaCapta sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, DEWAN FRIEDENBERGER ARCHITEKTEN auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist aufkk . Anforderung vorzulegen.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch novaCapta entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende DEWAN FRIEDENBERGER ARCHITEKTEN übergeben.
9. Technische und organisatorische Maßnahmen von novaCapta
Maßnahmen die Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden verwehren:
Es werden nach DSGVO Art. 32 Absatz 1 Maßnahmen getroffen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren. Die schützenswerten Daten werden in den novaCapta Rechenzentren verarbeitet.
Die Rechenzentren sind als schützenswerte Gebäudeteile zu sehen. An den Standorten ist die genaue Lage der Rechenzentrumsfläche bzw. der dazugehörigen Technikräume nicht ersichtlich.
Die Rechenzentren haben keine Fenster; Türen schließen selbsttätig.
Die Türzutrittskontrollprotokolle werden gesichtet, stichprobenartig überprüft und archiviert.
Zutrittskontrollsysteme an den Eingängen. Fenster und Türen außerhalb der Bürozeiten geschlossen bzw. verschlossen zu halten. Der Sicherheitsdienst überprüft darüberhinaus außerhalb der Bürozeiten, dass Fenster und Türen geschlossen sind.
Die Gefahrenmeldeanlage für Brand- und Alarmdetektion ist durchgängig über das Monitoring realisiert. Hierfür ist ein stiller Alarm mit verschiedenen Alarmmeldelinien und direkter Koppelung an das Monitoring-System und die daran angeschlossene 24-h-Rufbereitschaft realisiert. Diese alarmieren entsprechend Notfallplan die Polizeibehörden. In den Rechenzentren ist eine Rauchdetektion direkt an das Monitoring und die daran angeschlossene 24-h-Rufbereitschaft gekoppelt. Die Bearbeitung findet entsprechend der Einträge im Notfallplan statt.
Die Rechenzentren sind jeweils in der Schleuse und in den Rechenzentren videoüberwacht. Optional können über weitere Kameras einzelne Schrankreihen überwacht werden. Identifizierung zu Überwachungszwecken, Erkennung und Lokalisierung von Gefahren bzw. Schadensverhütung und Alarmierung wird über Sichtprüfung und in Stichproben vom zentralen Operatingplatz in Nürnberg aus für die Rechenzentren durchgeführt. Eine Stichprobe der digitalisierten Bewegungsbilder im Rechenzentrum kann durchgeführt und mit den archivierten Daten (Zutrittskontrollprotokolle) abgeglichen werden, um eine Kontrolle über die Zutritte hinsichtlich Legitimität der stattgefundenen Handlungen zu erhalten.
An dem Standort Thomas-Mann-Straße in Nürnberg ist das Areal jeweils mit Pförtnerkabine und Schranken an den Zufahrten ausgestattet, um hier eine ordnende oder abschreckende Wirkung zu erreichen. Weitere Perimeterschutzmaßnahmen werden derzeit nicht realisiert.
Schlüsselverwaltung / Ausweisverwaltung
Diese obliegt der Personalverwaltung, die hier die entsprechenden Prozesse, insbesondere in Bezug auf Entzug der Berechtigungen von Mitarbeitern nach Verlassen der Firma berücksichtigt.
Bei Zutritt externer Dienstleister gelten die entsprechenden Schutzbestimmungen (spezielle Prozessdefinitionen beim Zutritt zum Rechenzentrum: Umfang, Zeitpunkt, Firmenname, Name mit Unterschrift, spezifische Zutrittskontrollkarte, Begleitung eines Mitarbeiters, Kameraüberwachung etc.), die Dokumentation im „Ticket“ im Ergebnis rundet die Tätigkeit ab. Maßnahmen von Fremdpersonen werden jeweils im Beisein eines Mitarbeiters durchgeführt, in Ausnahmefällen auch durch entsprechende Einweisungen der Arbeitskräfte und entsprechender Überwachung durch geeignete Maßnahmen (insbesondere Videoüberwachung), Nachweis des Zutritts und Verlassen des Rechenzentrums über Archivierung des Zugangskontrollsystems.
Zutritt der Rechenzentrumsbereiche zu Geschäftszeiten
Der Zugang zu den Rechenzentren ist nicht für den Publikumsverkehr vorgesehen. Nur die Systemverantwortlichen haben Zutritt zu den Systemen. Die Schlüsselgewalt besitzen nur der IT-Sicherheitsbeauftragte, der IT-Leiter und der Rechenzentrumsbetriebsleiter. Alle anderen Berechtigten sind auf entsprechende Zugangskarten bzw. die Eingabe eines Systemcodes angewiesen. Weiterhin findet zu Bürozeiten eine stichprobenartige Sichtung der Überwachungskameras am zentralen Leitstand in Nürnberg statt.
Besonderes Verfahren außerhalb Geschäftszeiten
Zu Geschäftszeiten ist davon auszugehen, dass berechtigtes Bedienungspersonal sich regelmäßig in den Rechenzentrumsbereichen aufhält. Außerhalb dieser Zeiten ist ein Vier-Augen-Prinzip für den Zutritt zu den Rechenzentren erforderlich (mindestens telefonische Kontaktaufnahme, Fernbedienung des jeweiligen Türöffnungssystems durch das 24-h-Betreitschafts-Bedienerpersonal, unter ggf. gleichzeitiger Sichtung per Videokontrolleinrichtung). Wenn nach vereinbarter Verweildauer kein Lebenszeichen vom Berechtigten zu vernehmen ist, erkundigt sich der Mitarbeiter des Bedienerpersonals über den Verweilort des Berechtigten, um hier Gefahr für Leib und Leben auszuschließen. Der Berechtigte gibt andernfalls einen abschließenden Rapport, nachdem das Rechenzentrum verlassen wurde. Die beim Sicherheitsdienst hinterlegte Zugangskarte/Schlüssel darf nicht eingesetzt werden, außer für Notfälle (insbesondere für den akuten Brandeinsatz der Feuerwehr nach automatischer Auslösung einer Brandmeldung für das Rechenzentrum im zentralen FeuermeldeSystems).
Kontrolle des Rechenzentrums-Zutritts
Der Zutritt zu den Rechenzentren über Zugangskarten wird protokolliert, und durch den Rechenzentrumsbetriebsleiter archiviert. Das automatische Kontrollsystem lässt vollautomatisch nur den Zutritt für die berechtigten Zugangskartenbesitzer zu. Die Videokontrolleinrichtungen erfassen systematisch alle Zutritts-Schleusen und wichtigen Systemkomponenten. Diese werden stichprobenartig in Hinblick auf Verdachtsmomente ausgewertet.
In den Rechenzentren finden regelmäßige Kontrollgänge statt. Diese finden ferner auch im Rahmen des Brandschutzes statt. Es finden für die Rechenzentren tägliche, wöchentliche und monatliche Kontrollgänge nach Checkliste statt. Die Ergebnisprotokolle der Begehungen sind in Papierform beim Rechenzentrumsbetriebsleiter einzusehen.
Die Rechenzentren besitzen Notausgänge nach Brandschutzverordnung; dabei wird sichergestellt, dass Alarm ausgelöst wird, wenn die nur von innen durchführbare Panikfunktion einer Tür betätigt wird.
Es werden nach DSGVO Art. 32 Absatz 1 Maßnahmen getroffen, die geeignet sind, zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können. Für sämtliche schützenswürdigen Systeme der Datenverarbeitung, d. h. auch für die dazugehörigen Testsysteme, wird eine Benutzerverwaltung durchgeführt.
Die Benutzerverwaltung wird grundsätzlich personenbezogen durchgeführt.
Grundlage der Passwort-Policy sind die allgemeinen Vorgaben zum Aufbau von Kennwörtern (wie Mindestlänge, Kennwortkomplexität). Diese können bei Bedarf durch eine systemspezifische Policy auf den konkreten Schutzbedarf angepasst werden. Darüber hinaus werden im Rahmen der Systemhärtung - in Abstimmung mit dem Kunden - Einschränkungen oder Sperrungen von Gast- und/oder Administrator-Zugriffen durchgeführt, die Sperrung von Benutzer- oder Administrator-Passwörtern nach mehreren ungültigen Fehlversuchen veranlasst, und bei Bedarf eine Passwort-Historie mit einem Verbot der Mehrfachänderung bzw. Wiederholung von Passwörtern innerhalb einer vordefinierten Zeitspanne, vereinbart. Die Speicherung der Zugriffe (und –versuche) wird im Systemlog durchgeführt.
Für Sitzungen gibt es ein definiertes Timeout.
In regelmäßigen Security-Awareness-Trainings wird allen Mitarbeitern das Bewusstsein einer sorgsamen Absicherung ihres Arbeitsumfeldes aufgefrischt. Die Eingabe eines Passwortes muss unbeobachtet erfolgen, geschäftliche Passwörter dürfen nicht außerhalb (z. B. privat zuhause) verwendet werden. Die Vertraulichkeit muss gewährleistet sein. Passwörter dürfen vom Anwender nicht hinterlegt werden (weder schriftlich noch elektronisch), Ausnahme ist das Notfallpasswort im Safe.
Bei Bedarf kommen weitere Systemzugangs-Einschränkungen zum Einsatz, die der Auftraggeber mit dem Auftragnehmer je nach Art der zu schützenden Daten den konkreten organisatorischen Datenverarbeitungsprozess abstimmt, wie etwa: Nutzung von BenutzerZertifikaten oder One-Time-Passwort-Verfahren anstelle von Passwörtern Maßnahmen, die verhindern, dass Unbefugte die Datenverarbeitungsanlagen und -verfahren benutzen.
Maßnahmen die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können:
Es werden nach DSGVO Art. 32 Absatz 1 Maßnahmen getroffen, die geeignet sind, zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.
novaCapta setzt nach Anforderung des Auftraggebers Sicherheitsgateways (Firewalls) bzw. Bei Bedarf geeignete Zusatzlösungen wie Applikations-Firewalls, Next Generation Firewalls u. ä. ein, die ihrerseits eine Intrusion-Prevention oder Intrusion-Detection (z. B. nach Portscans u. ä.) durchführen können.
novaCapta realisiert für den Kunden bei Bedarf einen Virenscan. Die VirenscannerPatterns werden in regelmäßigen Abständen (ca. jede halbe Stunde) – soweit verfügbar - vom Hersteller abgerufen. Dieser Vorgang wird automatisiert überwacht. Die Annahme von Viren und anderen Bedrohungen (wie z. B. DUL) wird bereits im Vorfeld unterbunden.
Durch geeignete Verfahren der innerbetrieblichen Organisation wird eine Trennung zwischen Berechtigungsbewilligung und Berechtigungsvergabe bewerkstelligt.
Im Rahmen der Dokumentenlenkung wird eine bedarfsgerechte Freigabe von Benutzerrechten (lesen/schreiben/löschen) realisiert. Für besonders schützenswerte Belange wird bei Bedarf das Vier-Augen-System durchgeführt.
Es werden nach DSGVO Art. 32 Absatz 1 Maßnahmen getroffen, die geeignet sind, zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Mobile Datenträger wie Bänder, Platten und Kassetten werden bei entsprechendem Schutzbedarf im Safe gelagert.
Auf mobilen Devices (USB-Sticks, DVDs) müssen alle schützenswürdigen Daten nach aktuellen kryptographischen Standards verschlüsselt abgelegt sein.
Alte oder defekte Devices werden mittels professioneller Datenträgerentsorgung vernichtet.
Entsprechend mit geheim oder vertraulich klassifizierte Dokumente befinden sich in besonders geschützten Serversystemen oder Dateisystemen, über die ein Zugriff von Außenstehenden erschwert oder verhindert werden kann, um damit vor unberechtigter Offenlegung oder Missbrauch zu schützen. Tape-Libraries und Plattensysteme werden in entsprechenden Schutzbereichen (Racks oder Cages) untergestellt.
Grundsatz für die E-Mail-Sicherheit bedeutet sofern möglich die Verwendung von Verschlüsselung, wo diese möglich ist (insbesondere TLS-Verschlüsselung). Die Mitarbeiter werden regelmäßig hinsichtlich der Gefahren in Bezug auf Viren bzw. Malware sensibilisiert. Über Viren-/Malware- und Spam-Filter-Schutzmaßnahmen werden die E-Mail-Sicherheitsrisiken systematisch reduziert.
Es werden nach DSGVO Art. 32 Absatz 1 Maßnahmen getroffen, die geeignet sind, zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können.
Der Auftraggeber stimmt mit dem Auftragnehmer je nach Art der zu schützenden Daten den konkreten organisatorischen Datenverarbeitungsprozess ab. novaCapta kann hierfür bei Bedarf die notwendigen technischen Einrichtungen zur Protokollierung und Archivierung zur Verfügung stellen.
Die entsprechend mit den datenschutzrechtlichen Systemen betrauten Personen besitzen ein besonderes Vertrauensverhältnis und sind namentlich benannt. Die Aktivitäten für die Systemadministration (mit Zeitpunkt der Aktivität und Angabe der ausführenden Person) werden aufgezeichnet.
Flankierend dazu werden alle mit der Betriebsführung betrauten Mitarbeiter auf das Datengeheimnis verpflichtet und in regelmäßigen Abständen Veranstaltungen und Fortbildungen zum Thema Datensicherheit durchgeführt.
Die Grundlage für die Maßgaben zur Eingabekontrolle stellt eine effektive Zugangskontrolle nach Punkt 2) dar.
Der Auftraggeber stimmt mit dem Auftragnehmer je nach Art der zu schützenden Daten den konkreten organisatorischen Datenverarbeitungsprozess ab. Bei Bedarf wird die Betriebsführung (Operating) nach Betriebshandbuch und alle Änderungen mittels definiertem „Change“-Verfahren durchgeführt, um eine adäquate Auftragskontrolle durch den Auftraggeber sicherzustellen. Ein Change-Prozess nach ITIL stellt sicher, dass eine Freigabe durch den Kunden erfolgt und bei Bedarf ein mehrstufiger Change in Testumgebung und Produktionsumgebung durchgeführt werden kann.
Maßnahmen die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind:
Es werden nach DSGVO Art. 32 Absatz 1 Maßnahmen getroffen, die geeignet sind, zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.
Um die Erfordernis der Rückspielung eines Backups im Vorfeld freizuhalten, betreibt die novaCapta ihre Rechenzentren nach Hochverfügbarkeitsstandards, d. h. das Risiko, dass Daten durch Gefährdungslagen wie Wasserschäden, Blitzschlag, Stromausfall oder dem Ausfall einer Klimaanlage beeinträchtigt werden, ist durch Maßgaben für ein sicheres Rechenzentrum mit erhöhtem Schutzbedarf nach BSI Grundschutz sehr klein gehalten.
novaCapta erstellt nach Anforderung des Auftraggebers regelmäßige Backups der betreffenden Systeme im Rahmen nach definiertem Backup-Verfahren und dazugehörigem Recovery-Prozess. Backups werden nach Anforderung des Auftraggebers in unterschiedlichen Brandschutzabschnitten durchgeführt. Die Backup-Medien verbleiben je nach Anforderung des Kunden im Backup-System an diesem anderen Standort, oder nach Anforderung des Kunden auch per Lagerung als Backup-Medium in einem Safe. Die Frequenz und Aufbewahrungsdauer des Backups kann der Auftraggeber – entsprechend dessen Erfordernissen – bei Bedarf individuell vorgeben.
Es werden nach DSGVO Art. 32 Absatz 1 Maßnahmen getroffen, die geeignet sind, zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.
novaCapta führt eine Netzwerktrennung zur Trennung von Kundensetups, je nach Bedarf des Auftraggebers und nach Angemessenheit des angestrebten Schutzzwecks auch innerhalb von Kundensetups in verschiedenen Zonen (z. B. Produktions- und Testumgebung) durch, die ggf. durch individuelle Zugangsberechtigungen voneinander getrennt werden.
novaCapta darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung von DEWAN FRIEDENBERGER ARCHITEKTEN berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an novaCapta wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an DEWAN FRIEDENBERGER ARCHITEKTEN weiterleiten.
Soweit vom Leistungsumfang umfasst, sind Löschkonzept, Recht auf Vergessenwerden, Berichtigung, Datenportabilität und Auskunft nach dokumentierter Weisung von DEWAN FRIEDENBERGER ARCHITEKTEN unmittelbar durch novaCapta sicherzustellen.