Fragenkatalog TOM

Unnamed: 0	Fragenkatalog Technisch-organisatorische Maßnahmen (TOM)	Unnamed: 2	Unnamed: 3	Unnamed: 4
	Vergabeverfahren: Ausschreibung über den Betrieb, das Hosting und die Weiterentwicklung der Website www.kkh.de inklusive Migration auf ein zukunftsfähiges CMS-System Vergabe-Nr. 1335-0126
	Vergabenummer:
	Vereinbarung über die Einhaltung datenschutzrechtlicher Bestimmungen Sicherheitskonzept des Auftragnehmers
			Bieter:
	Sofern personenbezogene Daten im Auftrag verarbeitet werden, muss der Auftragnehmer nachweisen, dass er angemessene Schutzmaßnahmen ergriffen hat, um den Schutz der Daten sicherzustellen. Der Bieter hat dem Auftraggeber im Rahmen seines Angebotes die konkreten Fragen zu beantworten. Die grau hinterlegten Fragen sind als Ausschlusskriterien definiert. Die Nichterfüllung der Kriterien (Beantwortung der Frage mit nein) führt zum Ausschluss des Angebotes. Die gelb hinterlegten Fragen dienen zur Information und sind, falls die darüber stehende Frage mit "Ja" beantwortet wurde, ebenfalls zu beantworten. Sollten Sie auf ihr bereits vorhandenes Handbuch verweisen, bitten wir um explizite Angabe an welcher Stelle die entsprechende Umsetzung zu der Fragestellung zu finden ist.

	Felder sind vom Bieter auszufüllen

Ort der Datenverarbeitung
Nr.	Frage	Erfüllt ja/nein	Maßnahmen	Erläuterung
1	Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)
1.1	Ist die Zutrittskontrolle am Ort der Auftragsverarbeitung gewährleistet? Bitte geben Sie an in welcher Form (z.B.: Magnet- oder Chipkarten, Schlüssel, elektrische Türöffner, Werkschutz bzw. Pförtner, Alarmanlagen, Videoanlagen).
1.2	Ist sichergestellt, dass keine unbefugte Systembenutzung möglich ist Wenn ja, beschreiben Sie bitte wodurch? (z.B.: (sichere) Kennwörter, automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern)
1.3	Gewährleisten Sie kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems? Nennen Sie bitte ihr Vorgehen (z.B.: Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen).
1.4	Ist sichergestellt, dass eine getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, erfolgt, z.B. durch Mandantenfähigkeit, Sandboxing?
1.5	Erfolgt eine Pseudonymisierung (Art. 32 Abs. 1 lit. a DS-GVO; Art. 25 Abs. 1 DS-GVO)?
1.6	Die Datenverarbeitung der Firma und der Subunternehmer findet nur im EU/EWR-Raum statt und nicht in einem Drittland.
2	Integrität (Art. 32 Abs. 1 lit. b DS-GVO)
2.1	Ergreifen Sie Maßnahmen um die Manipulation und Veränderung von Daten zu verhindern (kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport)? Beschreiben Sie bitte welche Maßnahmen Sie zur Weitergabekontrolle (z.B.: Verschlüsselung, Virtual Private Networks (VPN), elektronische Signatur, kontrollierte Vernichtung von Datenträgern und Papierdokumenten) ausführen und wie Sie diese umsetzen.
2.2	Erfolgt einen Eingabekontrolle um feststellen zu können, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind? Benennen Sie bitte Ihr Vorgehen (z.B.: Protokollierung, Dokumentenmanagement).
2.3	Existiert eine organisatorische Festlegung von Eingabezuständigkeiten?
2.4	Existieren differenzierte Benutzerberechtigungen bzgl. Lesen/Ändern/Löschen?
2.5	Gibt es eine Regelung der Zugriffsberechtigungen für Logserver (LogAdmin)?
3	Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)
3.1	Erreichen Sie den Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust? Setzen Sie enstsprechende Maßnahmen um und wenn ja welche? (z.B.: Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne)
3.2	Gibt es ein Datensicherungs- und Backupkonzept?
3.3	Existieren Brandschutzeinrichtungen?
3.4	Existieren Wasserschutzeinrichtungen?
3.5	Gibt es eine unterbrechungsfreie Stromversorgung?
3.6	Existieren Überspannungsschutzeinrichtungen?
3.7	Sind die Serverräumlichkeiten klimatisiert?
3.8	Ist ein Virenschutz vorhanden?
3.9	Gewährleisten Sie eine rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DS-GVO) zu den personenbezogenen Daten bei einem physischen oder technischen Zwischenfall? Beschreiben Sie bitte in welcher Form (z.B. Ausweich-Rechenzentrum, redundante Stromversorgung, Soft- und Firmware-updates).
4	Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)
4.1	Haben Sie ein Datenschutz-Management integriert? Konkretisieren Sie bitte in welcher Form (z.B. Bestellung eines Datenschutzbeauftragten, Prozess zur Beantwortung von Betroffenenanfragen, Prozess zur Erkennung, Meldung und Bewertung von Datenpannen)?
4.2	Haben Sie ein Löschkonzept, dass die Vorgaben der DSGVO erfüllt? Bitte beschreiben dieses Löschkonzept. Insbesondere wie nach Ende des Vertrags mit den Daten umgegangen wird?
4.3	Ist ein Datenschutzbeauftragter bestellt?
4.4	Existiert ein Prozess zur Beantwortung von Betroffenenanfragen?
4.5	Existiert ein Prozess zum Führen eines Verarbeitungsverzeichnisses?
4.6	Existiert ein Prozess zur Erkennung, Meldung und Bewertung von Datenpannen?
4.7	Existiert ein Prozess zur Schulung von Mitarbeitern?
4.8	Existiert bei Ihnen ein Incident-Response-Management? (z.B. Prozess zur Vorbereitung auf Sicherheitsverletzungen, Notfall-Handbuch)
4.9	Setzen Sie Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DS-GVO) um? (Grundsatz, wonach sichergestellt wird, dass durch Voreinstellungen nur Daten, die für den jeweiligen bestimmten Verarbeitungszweck unbedingt erforderlich sind, verarbeitet werden z.B. Vorgaben im Entwicklungsprozess bei eigenen Anwendungen)


	sind vom Bieter auszufüllen

11a_Fragenkatalog zu technischen und organisatorischen Maßnahmen.xlsx

Fragenkatalog TOM