Dateschutz

Datenschutzgrundverordnung

Erläuterungen zu Technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO

In dem Vertrag müssen die technischen und organisatorischen Maßnahmen festgelegt werden, die bei der Datenverarbeitung umzusetzen sind.

Rechtsgrundlage ist § 32 DSGVO, in dem beschrieben ist, welche Prüfungen ein Auftraggeber vor einer Auftragsvergabe durchzuführen hat. So muss der Auftragnehmer unter besonderer Berücksichtigung der Zuverlässigkeit und der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig ausgewählt werden. Im Auftrag sind insbesondere die technischen und organisatorischen Maßnahmen schriftlich festzulegen. Auch hat der Auftraggeber zu prüfen, ob beim Auftragnehmer erforderliche Maßnahmen getroffen werden.

Werden personenbezogene Daten verarbeitet, deren Verarbeitung für die Betroffenen keine besonderen Risiken erwarten lässt, so bietet das Grundschutzhandbuch des BSI für bestimmte technische Konstellationen einen Katalog an Sicherheitsmaßnahmen.

Wenn der Auftragnehmer ein Datensicherheitskonzept (sollte ein solches Datensicherheitskonzept vorliegen, bitten wir um Übermittlung) besitzt, muss der Auftraggeber prüfen und schriftlich festlegen, ob es seinen Anforderungen entspricht. Die Sicherheitsziele sind in der Anlage zu § 9 BDSG genannt. Ist das Konzept nicht ausreichend, sind ergänzende Maßnahmen zu vereinbaren. Das daraus resultierende Sicherheitskonzept sollte zum Vertragsbestandteil gemacht werden. In diesem Fall kann darauf verzichtet werden, im Sicherheitskonzept genannte Maßnahmen im Vertrag zu wiederholen.

Wenn der Auftragnehmer kein Datensicherheitskonzept vorlegen kann, müssen die Maßnahmen im Vertrag vereinbart werden. Dabei sind wiederum die in der Anlage zu § 9 BDSG genannten Sicherheitsziele zu erreichen. Aus dem Katalog sollten die einzelnen Maßnahmen in den Vertrag übernommen werden. Es handelt sich um keinen abschließenden Maßnahmenkatalog. Insbesondere bei der Verarbessxitung sensibler Daten sind in der Regel zusätzliche Maßnahmen erforderlich.

Besonders wichtig sind Regelungen zu folgenden Sachverhalten:

• V e r a n t w o r t l i c h k e i t e n: Aus unklaren Aufgabenverteilungen, beispielsweise bei der Vergabe von Zugriffsrechten, resultieren Schwachstellen mit hohen Risiken.

• A b s c h o t t u n g  v o n  N e t z e n: Es müssen Maßnahmen ergriffen werden, um ein unberechtigtes Eindringen in Rechnernetze soweit möglich zu verhindern. Da meist keine absolute Sicherheit zu erreichen ist, müssen derartige Versuche erkannt werden. Technische Komponenten, die in Betracht kommen, sind Firewalls, Intrusion Detection Systeme und insbesondere dem Stand der Technik entsprechende Verschlüsselungsverfahren.

• A b h ö r e n d e r  K o m m u n i k a t i o n:  Zum Schutz gegen unberechtigtes Abhören bietet es sich an, die Daten entsprechend dem Stand der Technik zu verschlüsseln. 

• Ab m e l d e p r o z e d u r e n: Die Abmeldung am System oder Anwendung stellt die erste und wichtigste Hürde dar, die unbefugte Personen überwinden müssen. An dieser Stelle müssen qualitativ hochwertige Maßnahmen ergriffen werden.-

  Beschreibung der technischen und organisatorischen Maßnahmen zu VI Datensicherungsmaßnahmen

   1.       Zutrittskontrolle

  Maßnahmen, damit Unbefugten der Zutritt zu den Datenverarbeitungsanlagen verwehrt wird, mit denen personenbezogene Daten verarbeitet werden: 

  Die vom Auftragnehmer gemieteten Server (physische Maschinen) stehen in klimatisierten Räumen der tldHost AG (Adresse dort) in einem Dunkelrechenzentrum. Dunkelrechenzentren werden personallos betrieben und werden, außer in Störungsfällen, nicht betreten. Die Störungs- Überwachung des Rechenzentrums obliegt der tldHost, Störungen und deren Behebung sowie geplante Unterbrechungen zu Maintenancezwecken werden informiert.

  Zutritt zu den Serverräumen haben nur ausgewählte Mitarbeiter der tldHost über biometrische Authentifizierung.

   2.       Zugangskontrolle

  Maßnahmen, die verhindern, dass Unbefugte die Datenverarbeitungsanlagen und -verfahren benutzen:

  Die Server sind exclusiv zur Nutzung durch den Auftragnehmer und seine Kunden eingerichtet. Dritte Kunden der tldHost haben darauf keinen Zugriff – die Administration der Server obliegt alleine dem Auftragnehmer und wird auch nur von den durch den Auftragnehmer benannten Personen durchgeführt. 

  Der Anwendungsserver ist mit einem Zertifikat belegt (https-Zugang) - alle in eMemberline eingerichteten User können per Kunden-spezifischer URL auf ihr jeweiliges System (Applikationen und Datenbanken) zugreifen.

  Das Zertifikat wird jährlich erneuert/upgedatet.

  3.       Zugriffskontrolle

  Maßnahmen, die gewährleisten, dass die zur Benutzung der Datenverarbeitungsverfahren Befugten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können:

  In jedem kundenspezifischen System werden die zugehörigen Nutzer eingerichtet mit der jeweiligen Nutzerberechtigung. Die Basis-Benutzerberechtigungen sind dabei

  -  Nutzer mit vollerBerechtigung (Zugriff, Verändern,Löschen,Administratorfunktionen,die das Einrichten von Nutzern beinhaltet und Datenbankberechtigung)

  -  Nutzer mit Teilberechtigung aus den Basisberechtigungen

  -  reine Auskunftsnutzer ohne jede weitere Berechtigung.

  Jedem Benutzer wird ein Initialpasswort zugeteilt, das er anschließend selbst ändern muss. Die Passwörter werden verschlüsselt gespeichert und können nicht reproduziert werden. Bei Verlust wird ein neues Initialpasswort vergeben vom Administrator.

  Die Anmeldeversuche werden mitgezählt und beim 4. vergeblichen Versuch wird der Benutzer gesperrt – der Login-Zähler kann mit Administratorfunktion im Benutzerprofil zurückgesetzt und ggfls. ein neues Passwort zugeteilt werden. Passwörter sind mindestens 8 Stellen lang und müssen

  Buchstaben (case-sensitiv), Zahlen und/oder Sonderzeichen enthalten. Zur Änderungshäufigkeit werden Empfehlungen vergeben, alle 4 Wochen zu ändern.

  Die Administration der User wird in der Regel durch den Kundenadministrator durchgeführt.

  Der Auftragnehmer hat einen eigenen Nutzer eingerichtet, dessen Zugangsdaten nur ihm bekannt sind. Zur schnellen Problemlösung ist ein solcher Zugang wichtig, kann aber auf Wunsch des Kunden gelöscht bzw. gesperrt werden und nur im Problemfall freigeschaltet werden (hier wäre der doppelte Zugang zum System einsetzbar oder durch kundenseitige Eintragung eines neuen Passwortes, das dem Auftragnehmer zu jedem Einsatz mitgeteilt werden müsste).

  Weitere, programmbezogene oder daten(bereichs)bezogene Benutzerberechtigungen oder Ausschlüsse von Berechtigungen sind auf Wunsch des Kunden möglich. So sind zu den Basisberechtigungen weitere datenbereichs- oder funktionsbezogene Einschränkungen möglich.

  Eine optionale erweiterte Zugangsberechtigung ist mit der doppelten Anmeldung möglich. Hier wird nach der normalen Anmeldung mit Nutzername und Passwort ein 4-stelliger Zahlencode per Zufallsmethode erzeugt und dem Nutzer per eMail oder SMS (Eintrag ins Nutzerprofil) mitgeteilt. Erst nach Eingabe dieses Zahlencodes gelangt der Nutzer in sein eMemberline. Der Zahlencode ist nur für eine Session gültig, nach jeder Anmeldung wird ein neuer Code generiert.

  Dieses VerfahrenkannauchsinnvollfürtemporäreZugangsberechtigungengenutztwerden(Aushilfen etc.), ein Löschen der eMailadresse oder der Mobilfunknummer im Nutzerprofil hat zur Folge, dass ein Zugang nicht mehr möglich ist.

  Die Einrichtung der Benutzer und deren Berechtigungen werden in der Regel vom Kundenadministrator vorgenommen (Basisberechtigungen), weitergehende Berechtigungen müssen durch den Auftragnehmer vergeben werden, wenn diese nicht schon zur Systemerstnutzung eingerichtet wurden.

  Die Gültigkeit von Zugangsberechtigungen werden vom Kunden gepflegt – so sind Mitarbeiter/Nutzer sofort nach Verlassen des/der Vereins/Verbandes/Organisation zu sperren bzw. zur Sperrung mitzuteilen.

  (Beschreibung von systemimmanenten Sicherungsmechanismen, Verschlüsselungsverfahren entsprechend dem Stand der Technik. Bei Online-Zugriffen des Auftraggebers ist klarzustellen, welche Seite für die Ausgabe und Verwaltung von Zugriffssicherungscodes verantwortlich ist.)

  4.       Weitergabekontrolle

  Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.

  Explizite systemimmanente Datenübertragungen finden nicht statt. An zwei Punkten sind im System Schnittstellen notwendig:

  -  bei Einsatz eines Buchhaltungssystem, werden die erzeugten Buchungen über eine zwischen Buchhaltungssystem undeMemberlineeingerichteteSchnittstelleexportiertbzw.importiert,

  -  beim SEPA-Lastschriftverfahren wird eine SEPA-Datei (XML-Format) erzeugt, die entweder in ein Onlinebanking oder in ein Bankprogramm eingespeist werden.-

  Für beide Verfahren ist für die technische Kopplung bzw. die organisatorische Trennung der Kunde selbst verantwortlich. Der Kunde muss Daten auf externen Trägern bzw. bei Übermittlung per eMail selbst verschlüsseln.

  Die SEPA-Dateien sollten nach der Verarbeitung auf den Kundenrechnern gelöscht werden, da eine Reproduktion über die Historienfunktion jederzeit möglich ist.

  (Beschreibung der verwendeten Einrichtungen und Übermittlungsprotokolle, z.B. Identifizierung und Authentifizierung, Verschlüsselung entsprechend dem Stand der Technik, automatischer Rückruf, u.a.)

  5.       Dateneingabekontrolle

  Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in DV-Systeme eingegeben, verändert oder entfernt worden sind.

  Personenbezogene Daten werden ausschließlich durch den Kunden selbst eingeben, verändert oder verarbeitet. eMemberline schreibt alle Veränderungen und Dateneingaben mit; jedes Feld wird mit altem/neuem Inhalt und mit durchführendem Nutzer sowie Datum protokolliert. Die Änderungsprotokolle können durch den Kundenadministrator gelöscht werden. Die Änderungsprotokolle werden mit gesichert.

  Der Auftragnehmer gewährleistet keine Aufbewahrung, wenn die Änderungen vom Kunden gelöscht werden – außer in den Sicherungen.

  (Sämtliche Systemaktivitäten werden protokolliert; die Protokolle werden mindestens 3 Jahre lang durch den Auftragnehmer aufbewahrt.)

  6. Verfügbarkeitskontrolle

  Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

  Alle Daten und Datenbanken sowie auf dem Server abgelegte Dokumente werden nächtlich gesichert. An Wochenenden werden freitags und sonntags Sicherungen gezogen. Am Monatsende werden zusätzlich alle Anwendungsprogramme gesichert. Zusätzliche Sicherungen können für den Kunden zum Download in regelmäßigen Abständen (wöchentlich, monatlich etc.) zur Verfügung gestellt werden. Die täglichen Sicherungen werden nach 14 Tagen gelöscht, Monatssicherungen werden nach Jahresende gelöscht und Jahresend-Sicherungen nach 10 Jahren.

  Die Sicherungen sind auf dem Auftragnehmer - Datenbankserver abgelegt, zusätzlich werden alle Datenbanken auf einem weiteren Server durch tldHost gesichert, um in Katastrophenfällen eine schnelle Systemwiederherstellung zu gewährleisten.

  (Sicherungskopien des Datenbestandes werden in folgenden Verfahren hergestellt: hier Beschreibung von Rhythmus, Medium, Aufbewahrungszeit und Aufbewahrungsort für Back-up-Kopien.)

  7.       Trennungskontrolle

  Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. entfällt