Technisch-organisatorische Maßnahmen
Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)
• Zutrittskontrolle Kein unbefugter Zutritt zu Datenverarbeitungsanlagen, nur mit z. B.: Magnet- oder Chipkarten, Schlüssel oder über elektrische Türöffner, Werkschutz bzw. Pförtner, Alarmanlagen, Videoanlagen;
• Zugangskontrolle Keine unbefugte Systembenutzung, z. B.: gesicherter Zugang ausschließlich über Identifikation und Autorisierung (sichere) Kennwörter, automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern;
• Zugriffskontrolle Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, durch z. B.: Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen;
• Trennungskontrolle Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, durch, z. B. Einordnung in getrennte Mandantenfähigkeit, Sandboxing;
• Pseudonymisierung (Art. 32 Abs. 1 lit. A DS-GVO; Art. 25 Abs. 1 DS-GVO) Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen;
Integrität (Art. 32 Abs. 1 lit. b DS-GVO)
• Weitergabekontrolle Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport, durch z. B.: Verschlüsselung und getrennter Übertragung der Passwörter, Virtual Private Networks (VPN), elektronische Signatur;
• Eingabekontrolle Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, z. B.: über Protokollierung, Dokumentenmanagement;
Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)
• Verfügbarkeitskontrolle Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z. B.: durch tägliche Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne;
• Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DS-GVO);
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
(Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)
• Datenschutz-Management;
• Incident-Response-Management;
• Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DS-GVO);
• Auftragskontrolle Keine Auftragsdatenverarbeitung im Sinne von Art. 28 DS-GVO ohne entsprechende Weisung des Auftraggebers, es erfolgt keine Inanspruchnahme von weiteren Auftragsverarbeitern oder Dritten (Subdienstleistern). z. B.: Eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl des Dienstleisters, Vorabüberzeugungspflicht, Nachkontrollen.