Source: https://www.sitara.de/HW-TOM-Auftragsverarbeitung
Timestamp: 2018-11-18 23:14:47
Document Index: 58860955

Matched Legal Cases: ['§32', 'Art. 21', 'Art. 32', 'Art. 2', 'Art. 32', 'Art. 32', 'Art 32', 'Art. 25']

Technische und organisatorische Maßnhamen | Sitara® WAWI und ERP-System
Sitara - Technische und organisatorische Maßnhamen
der Auftragsverarbeitung
Version 1.0, gültig ab 25.05.2018
Im Rahmen der Tätigkeit als Softwarelieferant und Dienstleister tritt die Firma Hausmann & Wynen Datenverarbeitung GmbH (kurz „HW“) auch als Auftragsverarbeiter auf. Dies regelt HW mit seinen Kunden durch einen Vertrag zur Auftragsverarbeitung. Dieser ist in der Datenschutzvereinbarung der Produkt-Internetseiten www.powerbird.de und www. sitara.de abrufbar. Gegenstand der Auftragsverarbeitung sind folgende Vorgänge:
1.	Es werden vom Kunden Daten an HW geschickt mit der Aufgabenstellung, diese Daten in vom HW-Programm nutzbare Datentabellen zu transferieren.
2.	Zu Support-, Schulungs- oder sonstigen Dienstleistungs-Zwecken schaltet sich HW per Fernwartung auf das System des Kunden bei ihm vor Ort oder in dessen Cloud auf.
3.	Zu Zwecken von Einrichtung, Support, Schulungen oder sonstigen Dienstleistungen im Zusammenhang mit der HW-Software sind Mitarbeiter von HW vor Ort beim Kunden.
4.	Der Kunde schickt seinen gesamten HW-Datenbestand an HW. Beispiele dafür sind, dass der Kunde eine Probekonvertierung von der Datenbank Pervasive zu MS-SQL wünscht oder HW einen Programm- oder Anwenderfehler finden soll und eine Fernwartung vorab nicht weitergeholfen hat.
Zu diesem Vertrag muss man gemäß §32 (1) DSGVO eine Beschreibung der technischen und organisatorischen Maßnahmen angeben. Diese werden im Folgenden aufgeführt.
3.	Allgemeine Hinweise
Die Vorgänge 1 und 4 (Zusendung von Kundendaten) sind in der Regel keine zeitkritischen Vorgänge. Es muss nicht notwendig eine Hochverfügbarkeit und besondere Belastbarkeit der HW-Systeme gegeben sein.
Für den Vorgang 2 (Fernwartung) ist die Hochverfügbarkeit und Belastbarkeit der HW-Systeme sinnvoll. Im Störungsfall gibt es aber meist alternative Not-Maßnahmen zur Hilfe.
Unabhängig von diesen prinzipiellen Bemerkungen zu der Art der Vorgänge ist HW für die Hochverfügbarkeit und Belastbarkeit der eigenen Systeme sehr gut aufgestellt, wie weiter unten aufgeführt wird.
Der Vorgang 3 der Gegenstände der Auftragsverarbeitung (HW vor Ort) findet nicht im Hause von HW statt. Daher spielen die im folgenden beschriebenen Maßnahmen bei HW nur eine untergeordnete Rolle. Vielmehr ist entscheidend, wie die Maßnahmen des Kunden vor Ort gestaltet sind.
4.	Vertraulichkeit gemäß Art. 21 Abs. 1 DS-GVO
4.1	Zutrittskontrolle
Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren. Als Maßnahmen zur Zutrittskontrolle können zur Gebäude- und Raumsicherung unter anderem automatische Zutrittskontrollsysteme, Einsatz von Chipkarten und Transponder, Kontrolle des Zutritts durch Pförtnerdienste und Alarmanlagen eingesetzt werden. Server, Telekommunikationsanlagen, Netzwerktechnik und ähnliche Anlagen sind in verschließbaren Serverschränken zu schützen. Darüber hinaus ist es sinnvoll, die Zutrittskontrolle auch durch organisatorische Maßnahmen (z.B. Dienstanweisung, die das Verschließen der Diensträume bei Abwesenheit vorsieht) zu stützen.
Maßnahmen bei HW:
-	Alarmanlage. Mit Meldung an Wachdienst
-	Chipkarten / Transpondersystem
-	Sicherheitsschlösser
-	Empfang / Rezeption
-	Besucher in Begleitung durch Mitarbeiter
4.2	Zugangskontrolle
Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme (Computer) von Unbefugten genutzt werden können. Mit Zugangskontrolle ist die unbefugte Verhinderung der Nutzung von Anlagen gemeint. Möglichkeiten sind beispielsweise Bootpasswort, Benutzerkennung mit Passwort für Betriebssysteme und eingesetzte Softwareprodukte, Bildschirmschoner mit Passwort, der Einsatz von Chipkarten zur Anmeldung wie auch der Einsatz von CallBack-Verfahren. Darüber hinaus können auch organisatorische Maßnahmen notwendig sein, um beispielsweise eine unbefugte Einsichtnahme zu verhindern (z.B. Vorgaben zur Aufstellung von Bildschirmen, Herausgabe von Orientierungshilfen für die Anwender zur Wahl eines „guten“ Passworts).
-	Login mit Benutzername + Passwort auf jedem Rechner
-	Anti-Viren-Software Server, auch mit Schutz vor unbekannten Gefahren
-	Anti-Viren-Software Clients
-	Einsatz SSL-Verschlüsselung bei Remote-Zugriffen
-	Verwalten von Benutzerberechtigungen
4.3	Zugriffskontrolle
-	Aktenschredder
-	Externer Aktenvernichter
-	Externer Datenträgervernichter
-	Protokollierung von Zugriffen auf HW-Anwendungen, konkret bei Eingabe, Änderung und Löschung von Daten. Die Zugriffe auf vom Kunden zugesendete Daten in deren Urform können nicht automatisch protokolliert werden. Für die Kontrolle gibt es ein organisatorisches Konzept. Wenn die Daten dann in eine HW-Datenbank eingespielt worden sind, gilt Satz 1 dieses Punktes.
-	Einsatz Berechtigungskonzepte
-	Minimale Anzahl an Administratoren
-	Verwaltung Benutzerrechte durch Administratoren
4.4	Trennungskontrolle
-	Mandantenfähigkeit relevanter Anwendungen
-	Vom Kunden im Rahmen der Auftragsbearbeitung erhaltene Daten werden in eigenständige voneinander unabhängige Mandanten eingespielt.
4.5	Pseudonymisierung (Art. 32 Abs. 1a; Art. 2 Abs.1 DS-GVO)
Als Auftragsverarbeiter trifft HW zusätzlich zu Maßnahmen, die sich aus den jeweiligen Leistungsbeschreibungen der Produkte / Dienstleistungen ergeben oder durch den Verantwortlichen im Rahmen der Beauftragung vorgenommen werden, keine Maßnahmen zur Pseudonymisierung.
5.	Integrität (Art. 32 Abs. 1b DS-GVO)
5.1	Weitergabekontrolle
-	Microsoft OneDrive
Hinweis zur Auftragsbearbeitung, für die Vorgänge, bei denen der Kunde Daten an HW schickt: Der Kunde ist dafür verantwortlich, dass die Daten verschlüsselt verschickt werden. Das zugehörige Passwort muss getrennt verschickt werden.
5.2	Eingabekontrolle
Maßnahmen bei HW innerhalb der HW-Software:
-	Technische Protokollierung der Eingabe, Änderung und Löschung von Daten
-	Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen (nicht Benutzergruppen)
-	Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts
6.	Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1b DS-GVO)
6.1	Verfügbarkeitskontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Hier geht es um Themen wie eine unterbrechungsfreie Stromversorgung, Klimaanlagen, Brandschutz, Datensicherungen, sichere Aufbewahrung von Datenträgern, Virenschutz, Raidsysteme, Plattenspiegelungen etc.
-	Feuer- und Rauchmeldeanlagen
-	Feuerlöscher Serverraum
-	Serverraum klimatisiert
-	USV
-	Schutzsteckdosenleisten Serverraum
-	Datenschutztresor
-	RAID System / Festplattenspiegelung
-	Redundanz von Teilkomponenten: Firewall, zentrales Festplattensystem
-	Aufbewahrung der Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums und außerhalb des Firmengebäudes. Dies gilt aber nur für HW-eigene Daten. Zugesendete Kundendaten werden nicht innerhalb des HW eigenen Sicherungskonzeptes gesichert. Wenn überhaupt gibt es nur temporäre Sicherungen der Kundendaten innerhalb der Serverfarm von HW. Nicht außerhalb von HW. Es wird daher im Sinne des Datenschutzes in Kauf genommen, dass Kundendaten durch z.B. einen Festplattenfehler unbrauchbar sind und vom Kunden erneut angefordert werden müssen.
-	Keine sanitären Anschlüsse im oder oberhalb des Serverraums
-	Existenz eines Notfallplans (z. B. BSI IT-Grundschutz 100-4)
7.	Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art 32. Abs. 1d; Art. 25 Abs. 1 DS-GVO)
7.1	Datenschutz-Management
-	Zentralle Dokumentation aller Verfahrensweisen und Regelung mit Zugriffsmöglichkeit für Mitarbeiter nach Bedarf / Berechtigung
-	Dokumentiertes Sicherheitskonzept
-	Eine Überprüfung der Wirksamkeit der technischen Schutzmaßnahmen wird mindesten. jährlich durchgeführt.
-	Interner Datenschutzbeauftragter, erreichbar per Mail:
datenschutzbeauftragter@hausmannwynen.de
-	Mitarbeiter geschult und auf Vertraulichkeit / Datengeheimnis verpflichtet
-	Regelmäßige Sensibilisierung der Mitarbeiter (mindestens jährlich)
-	Formalisierter Prozess zur Bearbeitung von Auskunftsanfragen seitens Betroffener ist vorhanden
-	Formalisierter Prozess zum Empfang von Kundendaten, deren Verarbeitung und Löschung im Sinne der Auftragsbearbeitung
-	Formalisierter Prozess zur Bearbeitung von Sicherheitsproblemen ist vorhanden
7.2	Incident-Response-Maßnahmen
-	Einsatz von Firewall und regelmäßige Aktualisierung
-	Einsatz von Spamfilter und regelmäßige Aktualisierung
-	Einsatz von Virenscanner und regelmäßige Aktualisierung