Vereinbarung zur
Datenverarbeitung

Anhang B: Technische und organisatorische Maßnahmen

Das Unternehmen implementiert und unterhält technische und organisatorische Sicherheitsmaßnahmen, um personenbezogene Daten zu schützen. Nachstehend ist ein Überblick über die Maßnahmen aufgeführt, die das Unternehmen einsetzt, um unsere Plattform und personenbezogene Daten zu schützen.

Allgemein

• Das Unternehmen unterhält eine dokumentierte Informationssicherheitsrichtlinie, die den Branchenstandards entspricht und jährlich überprüft und aktualisiert wird. Die Entwicklung und Pflege der Sicherheitsrichtlinie wird von Personal mit Fachkenntnissen im Bereich der Informationssicherheit verantwortet.
• Alle Computer des Personals müssen mit aktueller Antivirensoftware oder vergleichbaren Schutzmechanismen ausgestattet sein.

Ausbildung und Personal

• Das Unternehmen verpflichtet sein gesamtes Personal, mindestens einmal pro Kalenderjahr an einer Sicherheitsschulung teilzunehmen.
• Nach ihrem Ausscheiden aus dem Unternehmen dürfen Mitarbeiter keine Zugriffsschlüssel, Codes oder vergleichbaren Mittel behalten, mit denen sie auf personenbezogene Daten oder die Einrichtungen des Unternehmens zugreifen können.

Zugriffskontrolle

• Das Unternehmen legt in seinen Informationssicherheitsrichtlinien angemessene Maßnahmen fest, um unbefugten Zugriff auf personenbezogene Daten oder deren Verlust zu verhindern.
• Gemäß den Vorgaben für technische und organisatorische Maßnahmen benennt das Unternehmen einen Systemadministrator, der den Zugriff anderer Mitarbeiter auf personenbezogene Daten beschränkt. Die Zugriffsberechtigungen werden jährlich überprüft.
• Das Unternehmen verlangt für jeden Zugriff sowie für Fernzugriffe durch sein Personal ein Authentifizierungsverfahren, das starke Passwörter, Zwei-Faktor-Authentifizierung oder andere Mechanismen zur Verhinderung unbefugter Zugriffe umfassen kann.
• Zugriffe sowie das Einfügen, Löschen und Ändern von Daten werden einschließlich Zeitstempeln protokolliert.

Physische Sicherheit

• Das Unternehmen gewährleistet die physische Sicherheit seiner Räumlichkeiten und überwacht den Zugang zu seinen Räumlichkeiten.
• Das Unternehmen verpflichtet sein gesamtes Personal, physische Kopien sensibler Daten gemäß den Richtlinien des Unternehmens nicht länger als erforderlich aufzubewahren.
• Das Unternehmen lässt den Zugang von Besuchern zu seinen Einrichtungen durch eigens dafür zuständiges Personal überwachen und beschränken.
• Personenbezogene Daten werden ausschließlich auf Systemen gehostet und gespeichert, die sich in Einrichtungen mit angemessenen Schutzmaßnahmen wie Temperaturregelung, Feuerlöschsystemen und Rauchmeldern befinden.

Integrität

• Das Unternehmen erstellt regelmäßig Sicherungskopien seiner Systeme und verpflichtet sich, Software bei der Erstimplementierung sowie bei wesentlichen Änderungen und Aktualisierungen auf Sicherheitslücken zu prüfen und diese zu beheben.
• Das Unternehmen führt mindestens einmal pro Kalenderjahr Penetrationstests durch und behebt dabei festgestellte Mängel gemäß seinen internen Richtlinien.
• Das Unternehmen verpflichtet sich, vor der Implementierung aller neuen Systeme nach Inkrafttreten dieser Vereinbarung sämtliche Standardkonfigurationen für Kontozugriffe und Authentifizierungsschlüssel zu ändern.
• Alle Laptops des Personals werden vom Unternehmen verwaltet und regelmäßig überwacht.
• Das Unternehmen speichert personenbezogene Daten außerhalb seiner überwachten Umgebungen nur, wenn sie durch starke Verschlüsselung geschützt sind.

Löschung

• Das Unternehmen verpflichtet sich, personenbezogene Daten gemäß dem DPA vollständig zu löschen.
• Das Unternehmen erstellt für personenbezogene Daten automatische Sicherungskopien, die in festgelegten Abständen gelöscht werden.

Risikomanagement für Drittparteien

Vor der Beauftragung eines neuen Drittanbieters, der Zugriff auf personenbezogene Daten erhalten wird, führt das Unternehmen eine Risikobewertung der Informationssicherheitspraktiken dieses Anbieters durch.

Richtlinie für Anfragen von Strafverfolgungsbehörden

• Die Achtung der Menschenrechte zählt zu den wichtigsten Grundwerten des Unternehmens. Daher stellt das Unternehmen sicher, dass alle von Strafverfolgungsbehörden sowie staatlichen, regulatorischen und gerichtlichen Stellen eingehenden Datenanfragen rechtsgültig sind und im Einklang mit den geltenden gesetzlichen Verfahren gestellt werden.
• Personenbezogene Daten werden gegenüber Behörden nur gemäß diesem DPA offengelegt.