1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)
a) Zutrittskontrolle
Folgende implementierte Maßnahmen verhindern, dass Unbefugte Zutritt zu den Datenverarbeitungsanlagen haben:
● Chipkarten-/Transponder-Schließsystem,
● Manuelles Schließsystem,
● Videoüberwachung der Zugänge,
● Klingelanlage mit Kamera,
● Schlüsselregelung / Schlüsselbuch,
● Besucher in Begleitung durch Mitarbeiter
b) Zugangskontrolle
Folgende implementierte Maßnahmen verhindern, dass Unbefugte Zugang zu den Datenverarbeitungssystemen haben.
● Authentifikation mit Benutzer + Passwort,
● Authentifikation mit biometrischen Daten,
● Verschlüsselung von Datenträgern,
● Benutzerberechtigungen verwalten,
● Zentrale Passwortvergabe / Passwortregeln,
● Schlüsselregelung / Schlüsselbuch
c) Zugriffskontrolle
Folgende implementierte Maßnahmen stellen sicher, dass Unbefugte keinen Zugriff auf personenbezogene Daten haben.
● Einsatz von Aktenvernichtern (cross cut),
● Anzahl der Administratoren auf das „Notwendigste“ reduzieren
d) Trennungskontrolle
Folgende Maßnahmen stellen sicher, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden.
● Trennung von Produktiv- und Testsystem,
● Logische Mandantentrennung (softwareseitig)
e) Pseudonymisierung (Art. 32 Abs. 1 lit. a DS-GVO; Art. 25 Abs. 1 DS-GVO)
Die Verarbeitung personenbezogener Daten erfolgt in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen. Hierzu werden die Daten vor der Weiterverarbeitung mit eindeutigen Pseudonymen verknüpft und weitere personenbezogene Daten entfernt.
2. Integrität (Art. 32 Abs. 1 lit. b DS-GVO)
a) Weitergabekontrolle
Es ist sichergestellt, dass personenbezogene Daten bei der Übertragung oder Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und überprüft werden kann, welche Personen oder Stellen personenbezogene Daten erhalten haben. Zur Sicherstellungsind folgende Maßnahmen implementiert:
● Bereitstellung über verschlüsselte Verbindungen wie sftp, https
b) Eingabekontrolle
Durch folgende Maßnahmen ist sichergestellt, dass geprüft werden kann, wer personenbezogene Daten zu welcher Zeit in Datenverarbeitungsanlagenverarbeitet hat.
● Erstellen einer Übersicht, mit welchen Applikationen welche Dateneingegeben, geändert und gelöscht werden können
3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)
Verfügbarkeitskontrolle und Belastbarkeitskontrolle
Durch folgende Maßnahmen ist sichergestellt, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt und für den Auftraggeber stets verfügbar sind.
● Feuer- und Rauchmeldeanlagen
4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung(Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)
a) Datenschutz-Management
Folgende Maßnahmen sollen gewährleisten, dass eine den datenschutzrechtlichen Grundanforderungen genügende Organisationvorhanden ist:
● Bestellung eines Datenschutzbeauftragten
● Verpflichtung der Mitarbeiter auf das Datengeheimnis und Bankgeheimnis
● Hinreichende Schulungen der Mitarbeiter in Datenschutzangelegenheiten
● Führen einer Übersicht über Verarbeitungstätigkeiten (Art. 30 DSGVO)
● Durchführung von Datenschutzfolgenabschätzungen, soweit erforderlich (Art. 35 DSGVO)
b) Incident-Response-Management
Folgende Maßnahmen sollen gewährleisten, dass im Fall von Datenschutzverstößen Meldeprozesse ausgelöst werden:
● Meldeprozess für Datenschutzverletzungen nach Art. 4 Ziffer 12 DSGVO gegenüber den Aufsichtsbehörden (Art. 33 DSGVO)
● Meldeprozess für Datenschutzverletzungen nach Art. 4 Ziffer 12 DSGVO gegenüber den Betroffenen (Art. 34 DSGVO)
c) Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DS-GVO)
Die Default Einstellungen sind sowohl bei den standardisierten Voreinstellungen von Systemen und Apps als auch bei der Einrichtung der Datenverarbeitungsverfahren zu berücksichtigen. In dieser Phase werden Funktionen und Rechte konkret konfiguriert, wird im Hinblick auf Datenminimierung die Zulässigkeit bzw. Unzulässigkeit bestimmter Eingaben bzw. von Eingabemöglichkeiten (z. B. von Freitexten) festgelegt und über die Verfügbarkeit von Nutzungsfunktionen entschieden (z. B. hinsichtlich des Umfangs der Verarbeitung). Ebenso werden die Art und der Umfang des Personenbezugs bzw. der Anonymisierung (z. B. bei Selektions-, Export- und Auswertungsfunktionen, die festgelegt und voreingestellt oder frei gestaltbar zur Verfügung gestellt werden können) oder die Verfügbarkeit von bestimmten Verarbeitungsfunktionen, Protokollierungen etc. festgelegt.
● Kennzeichnung optionaler Eingabefelder in Online-Formularen
● Pseudonymisierung von Daten vor der Weiterverarbeitung
d) Auftragskontrolle
Durch folgende Maßnahmen ist sichergestellt, dass personenbezogene Daten nur entsprechend der Weisungen verarbeitet werden können.
● Bestimmung von Ansprechpartnern und/oder verantwortlichen Mitarbeitern
● Verpflichtung der Mitarbeiter auf das Datengeheimnis
.png)
