Technical and Organisational Measures (TOM) Documentation

Die Mobile2b GmbH trifft folgende technische und organisatorische Maßnahmen zur Datensicherheit i.S.d. Art. 32 DSGVO:

A. Maßnahmen zur Pseudonymisierung

Maßnahmen, die den unmittelbaren Personenbezug während der Verarbeitung in einer Weise reduzieren, dass nur mit Hinzuziehung zusätzlicher Informationen eine Zuordnung zu einer spezifischen betroffenen Person möglich ist. Die Zusatzinformationen sind dabei durch geeignete technische und organisatorische Maßnahmen von dem Pseudonym getrennt aufzubewahren.

Beschreibung der Pseudonymisierung:

Die Verantwortung zur Definition von Benutzernamen (damit auch eine mögliche Pseudonymisierung) liegt vollständig beim Anwender.

B. Maßnahmen zur Verschlüsselung

Maßnahmen oder Vorgänge, bei denen ein klar lesbarer Text / Information mit Hilfe eines Verschlüsselungsverfahrens (Kryptosystem) in eine unleserliche, das heißt nicht einfach interpretierbare Zeichenfolge (Geheimtext) umgewandelt wird:

• Symmetrische / Asymmetrische Verschlüsselung
• Blockalgorithmen (z. B. AES, 3DES)
• Stromchiffrierungen (A5-Algorithmus)

C. Maßnahmen zur Sicherung der Vertraulichkeit

1. Zutrittskontrolle

Maßnahmen, die unbefugten Personen den Zutritt zu IT-Systemen und Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet werden, sowie zu vertraulichen Akten und Datenträgern physisch verwehren:

Beschreibung des Zutrittskontrollsystems:

• Wir betreiben keinen eigenen Server, sondern speichern Kundendaten ausschließlich in ISO 27001 und BSI C5 zertifizierten Rechenzentren (in Deutschland nach EU-DSGVO)
• Kontrollierte Schlüsselvergabe, Schlüsselregelung / Liste
• Türsicherung (elektronischer Türöffner, etc.)
• Kontrollierter Zugang für Besucher, ständige Begleitung durch Angestellte
• Sicherheitsschlösser zu Büroräumen
• Sorgfalt bei Auswahl des Reinigungsdienstes (geringe Fluktuation)

2. Zugangskontrolle

Maßnahmen, die verhindern, dass Unbefugte datenschutzrechtlich geschützte Daten verarbeiten oder nutzen können.

Beschreibung des Zugangskontrollsystems:

• Login mit Benutzername + Passwort (u.a. Sonderzeichen, Mindestlänge, regelmäßiger Wechsel des Kennwortes)
• Zentrale Passwortvergabe
• Automatische Sperrung
• Abkapselung von sensiblen Systemen durch getrennte Netzbereiche
• Authentifizierungsverfahren
• Protokollierung der Anmeldeversuche und Abbruch des Anmeldevorgangs nach festgelegter Anzahl von erfolglosen Versuchen
• Einrichten von regelmäßigen aktualisierten Antiviren- und Spywarefiltern
• Verwalten von Benutzerberechtigungen
• Erstellen von Benutzerprofilen
• Richtlinie „Sicheres Passwort“
• Richtlinie „Löschen / Vernichten“
• Firewall
• „Clean desk“ Policy
• Intrusion Detection Systeme
• Verschlüsselung von Datenträgern
• Verschlüsselung Smartphones
• Verschlüsselung von Notebooks / Tablet Gehäuseverriegelung
• Automatische Desktopsperre

3. Zugriffskontrolle

Maßnahmen, die gewährleisten, dass die zur Benutzung der Datenverarbeitungsverfahren Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können, so dass Daten bei der Verarbeitung, Nutzung und Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Beschreibung des Zugriffskontrollsystems:

• Auswertung/Protokollierungen
• Verschlüsselung von unterschiedlichen Datenträgern
• Archivierungskonzept
• Protokollierung von Zugriffen und Missbrauchsversuchen
• Aktenschredder
• Physische Löschung von Datenträgern
• Einsatz Berechtigungskonzepte
• Minimale Anzahl an Administratoren
• Verwaltung Benutzerrechte durch Administratoren

4. Trennungsgebot

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden und so von anderen Daten und Systemen getrennt sind, dass eine ungeplante Verwendung dieser Daten zu anderen Zwecken ausgeschlossen ist.

Beschreibung des Trennungskontrollvorgangs:

• Berechtigungskonzepte
• Softwareseitige Kundentrennung, Mandantenfähigkeit relevanter Anwendungen
• Trennung von Produktiv- und Testumgebung
• Physikalische Trennung (Systeme / Datenbanken / Datenträger)
• Steuerung über Berechtigungskonzept
• Festlegung von Datenbankrechten

D. Maßnahmen zur Sicherung der Integrität

1. Datenintegrität

Maßnahmen, die gewährleisten, dass gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden:

Beschreibung der Datenintegrität:

• Einspielen neuer Releases und Patches mit Release-/Patchmanagement
• Funktionstest bei Installation und Releases/Patches durch IT-Abteilung
• Logging
• Übersicht, mit welchen Programmen welche Daten eingegeben, geändert oder gelöscht werden können
• Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen
• Klare Zuständigkeiten für Löschungen (Rechtekonzept)
• Prozess für Daten-Recovery aus Backups

2. Übertragungskontrolle

Maßnahmen, die gewährleisten, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können:

Beschreibung der Übertragungskontrolle:

• Logging
• Transportprozesse mit individueller Verantwortlichkeit

3. Transportkontrolle

Maßnahmen, die gewährleisten, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Vertraulichkeit und Integrität der Daten geschützt werden:

Beschreibung der Transportkontrolle:

• Übermittlung von Daten über verschlüsselte Datennetze oder Tunnelverbindungen (VPN)
• Transportprozesse mit individueller Verantwortlichkeit

4. Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in DV-Systeme eingegeben, verändert oder entfernt worden sind.

Beschreibung des Eingabekontrollvorgangs:

• Protokollierung sämtlicher Systemaktivitäten und Aufbewahrung dieser Protokolle von mindestens drei Jahren
• Protokollauswertungssysteme
• Prüfsummen
• Digitale Signaturen
• Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen
• Aufbewahrung von Formularen, von denen Daten in automatisierte Verarbeitungen übernommen wurden
• Klare Zuständigkeiten für Löschungen
• Übersicht, mit welchen Programmen welche Daten eingegeben, geändert oder gelöscht werden können
• Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts

E. Maßnahmen zur Sicherung der Verfügbarkeit und Belastbarkeit

1. Verfügbarkeitskontrolle

Maßnahmen, die sicherstellen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

Beschreibung des Verfügbarkeitskontrollsystems:

• Wir betreiben keinen eigenen Server, sondern speichern Kundendaten ausschließlich in ISO 27001 und BSI C5 zertifizierten Rechenzentren (in Deutschland nach EU-DSGVO)
• Datensicherungsverfahren
• Spiegeln von Festplatten
• Feuer- und Rauchmeldeanlagen
• Notfallpläne
• Sonstige infrastrukturelle Maßnahmen des Rechenzentrums

2. Rasche Widerherstellbarkeit

Maßnahmen, die die Fähigkeit sicherstellen, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen.

Beschreibung der Maßnahmen zur raschen Widerherstellbarkeit:

• Datensicherungsverfahren
• Regelmäßige Tests der Datenwiederherstellung
• Notfallpläne

3. Zuverlässigkeit

Maßnahmen, die gewährleisten, dass alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden:

Beschreibung der Maßnahmen zur Zuverlässigkeit:

• Automatisches Monitoring mit E-Mail-Benachrichtigung
• Notfallpläne mit Verantwortlichkeiten
• IT-Notdienst
• Regelmäßige Tests der Datenwiederherstellung

F. Maßnahmen zur regelmäßigen Evaluation der Sicherheit der Datenverarbeitung

1. Überprüfungsverfahren

Maßnahmen, die die datenschutzkonforme und sichere Verarbeitung sicherstellen.

Beschreibung der Überprüfungsverfahren:

• Mitarbeiter geschult und auf Vertraulichkeit/Datengeheimnis verpflichtet
• Regelmäßige Sensibilisierung der Mitarbeiter (Mindestens jährlich)
• Die Organisation kommt den Informationspflichten nach Art. 13 und 14 DSGVO nach
• Dokumentation von Sicherheitsvorfällen und Datenpannen z.B. via Ticketsystem
• Datenschutzmanagement
• Formalisierte Prozesse für Datenschutzvorfälle
• Weisungen des Auftraggebers werden dokumentiert
• Formalisiertes Auftragsmanagement
• Service-Level-Agreements für die Durchführung von Kontrollen

2. Auftragskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können:

Beschreibung der Maßnahmen zur Auftragskontrolle:

• Weisungen des Auftraggebers werden dokumentiert
• Formalisiertes Auftragsmanagement

3. Privacy by Design

Privacy by Design ist für uns ein wichtiger Grundsatz. Wir sind bestrebt, die Datenschutzfunktionen unserer Produkte ständig zu verbessern, um die hohen Anforderungen unserer Kunden zu erfüllen. Daher kennen wir auch die datenschutzrechtlichen Vorgaben und tragen diesen Rechnung durch datenschutzgerechte Softwaregestaltung sowie datenschutzfreundliche Voreinstellungen. Aus unserer Sicht lässt sich der Datenschutz am besten einhalten, wenn er bereits bei Erarbeitung eines Datenverarbeitungsvorgangs technisch integriert wird. Oder anders ausgedrückt: Bei uns erfolgt der Schutz personenbezogener Daten im Sinne der DSGVO bereits im Entwicklungsstadium durch das frühzeitige Ergreifen technischer und organisatorischer Maßnahmen. Durch datenschutzfreundliche Voreinstellung stellen wir zudem sicher, dass personenbezogene Daten mit dem größtmöglichen Datenschutz verarbeitet werden. Dazu gehören z.B. begrenzte Speicherfristen (wenn das von Ihnen so gewünscht wird) und begrenzter Zugang zu Daten.

Hinweis

Mobile2b ist eine Cloud-Plattform. Dies bedeutet, dass die Software und Ihre Daten auf von uns verwalteten Servern in spezialisierten Rechenzentren verarbeitet werden kann. Wir setzen dabei ausschließlich Rechenzentren am Standort Deutschland ein. Diese Rechenzentren erfüllen zudem die höchsten Sicherheitsstandards wie BSI C5 oder ISO 27001. Außerdem nutzen wir ausschließlich Rechenzentren, die vollständig DSGVO-konform sind und mit denen wir entsprechende Auftragsverarbeitungsverträge (AV) als Subunternehmer im Sinne der DSGVO vereinbart haben.

Unterauftragsverhältnisse gemäß § 9 der Vereinbarung zur Auftragsverarbeitung

Der Auftragsverarbeiter arbeitet derzeit bei der Erfüllung des Auftrags mit den folgenden weiteren Auftragsverarbeitern zusammen, mit deren Beauftragung sich der Verantwortliche einverstanden erklärt. Sofern die Datenverarbeitung außerhalb des Europäischen Wirtschaftsraumes stattfindet oder Zugriffe von außerhalb des Europäischen Wirtschaftsraumes erfolgen, sind in der folgenden Übersicht zudem die Maßnahmen und Garantien aufzuführen, die ein angemessenes Datenschutzniveau bei der Verarbeitung gem. Art. 44 DSGVO ff. sicherstellen (z.B. EU-Standardvertragsklauseln, Zertifizierung nach Privacy-Shield, BCR oder Angemessenheitsbeschluss der EU-Kommission).

• List of Sub-Processors