[Seite 1]
Anhang 2.3 – AVA TOM
Hinweis: Dieser Anhang zum Auftragsverarbeitungsvertrag dokumentiert die technisch- organisatorischen Maßnahmen gem. Art. 32 DSGVO zum Schutz der personenbezogenen Daten, die der Auftragnehmer implementiert hat. Der Anhang ist von dem Auftragnehmer nach Zuschlagserteilung auszufüllen, wenn im Rahmen der Leistungserbringung personenbezogene Daten verarbeitet werden, und ist Bestandteil des Auftragsverarbeitungs- vertrags sowie des Rahmenvertrags.
Anhang 2.3
AVA Technisch-organisatorische Maßnahmen
nach Art. 32 DSGVO (TOM)
zu Anlage 3 Datenschutz und Informationssicherheit
zum Rahmenvertrag vom TT.MM.JJJJ
zwischen
Landesbank Hessen-Thüringen Girozentrale
Neue Mainzer Straße 52 -58
60311 Frankfurt
- nachfolgend Helaba oder Auftraggeber genannt –
und
[Adresszeile 1: Vollständige Firmierung des Auftragnehmers]
[Adresszeile 2: Straße des Auftragnehmers]
[Adresszeile 3: PLZ und Stadt des Auftragnehmers]
- nachfolgend [Kürzel des Auftragnehmers] oder Auftragnehmer
genannt -
– zusammen auch „Vertragspartner“, „Vertragsparteien“ oder „Parteien“
genannt –
Version 0.9
Seite 1 von 10
[Seite 2]
Anhang 2.3 – AVA TOM
INHALTSVERZEICHNIS
1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO) 3 1.1 Zutrittskontrolle 3 1.2 Zugangskontrolle 3 1.3 Zugriffskontrolle 4 1.4 Trennungskontrolle 5 1.5 Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO) 5 2 Integrität (Art. 32 Abs. 1 lit. b DSGVO) 6 2.1 Weitergabekontrolle 6 2.2 Eingabekontrolle 7 3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b-c DSGVO) 7 3.1 Verfügbarkeitskontrolle und Belastbarkeitskontrolle (Art. 32 Abs. 1 lit. b DSGVO) 7 3.2 Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO) 8 4 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO) 8 4.1 Datenschutz-Management 8 4.2 Incident-Response-Management 9 4.3 Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO) 9 4.4 Auftragskontrolle 9 5 Detaillierung der technisch organisatorischen Maßnahmen 10
Seite 2 von 10
[Seite 3]
Anhang 2.3 – AVA TOM
Präambel
Das vorliegende Dokument beschreibt die technisch organisatorischen Maßnahmen beim Auftragnehmer gem. Art. 32 DSGVO zum Schutz der personenbezogenen Daten. Die im Folgenden dokumentierten Maßnahmen werden Grundlage des Vertrags.
1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
1.1 Zutrittskontrolle
☒ Der Auftragnehmer hat Maßnahmen implementiert, welche verhindern, dass Unbefugte den Zutritt zu den Datenverarbeitungsanlagen haben.
Zur Sicherstellung sind folgende konkrete Maßnahmen implementiert:
☐ Zutrittskontrollsystem, Ausweisleser (Magnet-/Chipkarte)
☐ Türsicherungen (elektrische Türöffner, Zahlenschloss, etc.)
☐ Sicherheitstüren / -fenster
☐ Gitter vor Fenstern/Türen
☐ Zaunanlagen
☐ Schlüsselverwaltung/Dokumentation der Schlüsselvergabe
☐ Werkschutz, Pförtner
☐ Alarmanlage
☐ Videoüberwachung
☐ Spezielle Schutzvorkehrungen des Serverraums
☐ Spezielle Schutzvorkehrungen für die Aufbewahrung von Back-Ups und/oder sonstigen Datenträgern
☐ Mitarbeiter- und Berechtigungsausweise
☐ Sperrbereiche
☐ Besucherregelung (Bspw. Abholung am Empfang, Dokumentation von Besuchszeiten, Besucherausweis, Begleitung nach dem Besuch bis zum Ausgang)
☐ Sonstiges: [Bitte ergänzen]
1.2 Zugangskontrolle
☒ Der Auftragnehmer hat Maßnahmen implementiert, welche verhindern, dass Unbefugte den Zugang zu den Datenverarbeitungssystemen haben.
Zur Sicherstellung sind folgende konkrete Maßnahmen implementiert:
Seite 3 von 10
[Seite 4]
Anhang 2.3 – AVA TOM
☐ Persönlicher und individueller User-Log-In bei Anmeldung am System bzw. Unternehmensnetzwerk
☐ Autorisierungsprozess für Zugangsberechtigungen
☐ Begrenzung der befugten Benutzer
☐ Single Sign-On
☐ BIOS-Passwörter
☐ Kennwortverfahren (Angabe von Kennwortparametern hinsichtlich Komplexität und Aktualisierungsintervall)
☐ Elektronische Dokumentation von Passwörtern und Schutz dieser Dokumentation vor unbefugtem Zugriff
☐ Personalisierte Chipkarten, Token, PIN-/TAN, etc.
☐ Protokollierung des Zugangs
☐ Zusätzlicher System-Log-In für bestimmte Anwendungen
☐ Automatische Sperrung der Clients nach gewissem Zeitablauf ohne Useraktivität (auch passwortgeschützter Bildschirmschoner oder automatische Pausenschaltung)
☐ Firewall
☐ Sonstiges: [Bitte ergänzen]
1.3 Zugriffskontrolle
☒ Der Auftragnehmer hat Maßnahmen implementiert, welche sicherstellen, dass Unbefugte keinen Zugriff auf personenbezogene Daten haben.
Zur Sicherstellung sind folgende konkrete Maßnahmen implementiert:
☐ Verwaltung und Dokumentation von differenzierten Berechtigungen
☐ Abschluss von Verträgen zur Auftragsdatenverarbeitung für die externe Pflege, Wartung und Reparatur von Datenverarbeitungsanlagen, sofern bei der Fernwartung die Verarbeitung von pbD, also der Umgang mit personenbezoge- nen Daten, Gegenstand der Dienstleistung ist.
☐ Auswertungen/Protokollierungen von Datenverarbeitungen
☐ Autorisierungsprozess für Berechtigungen
☐ Genehmigungsroutinen
☐ Profile/Rollen
Seite 4 von 10
[Seite 5]
Anhang 2.3 – AVA TOM
☐ Verschlüsselung von CD/DVD- ROM, externen Festplatten und/oder Laptops (etwa per Betriebssystem, TrueCrypt, Safe Guard Easy, WinZip, PGP)
☐ Maßnahmen zur Verhinderung unbefugten Überspielens von Daten auf extern verwendbare Datenträger (z.B. Kopierschutz, Sperrung von USB-Ports, „Data Loss Prevention (DLP)-System“)
☐ „Mobile Device Management-System“
☐ Vier-Augen-Prinzip
☐ Funktionstrennung „Segregation of Duties“
☐ Fachkundige Akten- und Datenträgervernichtung gemäß DIN 66399
☐ Nicht-reversible Löschung von Datenträgern
☐ Sichtschutzfolien für mobile Datenverarbeitungssysteme
☐ Sonstiges: [Bitte ergänzen]
1.4 Trennungskontrolle
☒ Der Auftragnehmer hat Maßnahmen implementiert, welche sicherstellen, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden.
Zur Sicherstellung sind folgende konkrete Maßnahmen implementiert:
☐ Speicherung der Datensätze in physikalisch getrennten Datenbanken
☐ Verarbeitung auf getrennten Systemen
☐ Zugriffsberechtigungen nach funktioneller Zuständigkeit
☐ Getrennte Datenverarbeitung durch differenzierende Zugriffsregelungen
☐ Mandantenfähigkeit von IT-Systemen
☐ Verwendung von Testdaten
☐ Trennung von Entwicklungs- und Produktionsumgebung
☐ Sonstiges: [Bitte ergänzen]
1.5 Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO)
Die Verarbeitung personenbezogener Daten erfolgt in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen.
Seite 5 von 10
[Seite 6]
Anhang 2.3 – AVA TOM
Für eine Pseudonymisierung von Testdaten oder Daten zur Fehlerdiagnose sollte die Pseudonymisierung direkt an der Datenquelle erfolgen. Für jede natürliche oder juristische Person muss ein Pseudonym erzeugt werden. Optional umzusetzen: Werden Daten aus verschiedenen Datenquellen in einer Datensammelstelle zusammengeführt, so sollte die Pseudonymisierung von einer Vertrauensstelle durchgeführt werden.
Zur Sicherstellung sind folgende Maßnahmen implementiert:
☐ Automatische Verschlüsselung von Datensätzen inkl. Ablage des Entschlüsselung-Schlüssels mit Zugriffsberechtigung
☐ Manuelle Überschreibung von Datensätzen inkl. Wiederherstellungsprozess mit Berechtigung
☐ Manuelle Kürzung von Datensätzen
☐ Sonstiges: [Bitte ergänzen]
2 Integrität (Art. 32 Abs. 1 lit. b DSGVO)
2.1 Weitergabekontrolle
☒ Es ist sichergestellt, dass personenbezogene Daten bei der Übertragung oder Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und überprüft werden kann, welche Personen oder Stellen personenbezogene Daten erhalten haben.
Zur Sicherstellung sind folgende Maßnahmen implementiert:
☐ Verschlüsselung von Email bzw.- Email-Anhängen (z.B. WinZip)
☐ Verschlüsselung des Speichermediums von Laptops
☐ Gesicherter File Transfer (z.B. sftp)
☐ Gesicherter Datentransport (z.B. SSL, ftp, ftps, TLS)
☐ Verschlüsselung von CD/DVD- ROM, externen Festplatten oder USB-Sticks (z.B. True Crypt, Safe Guard Easy, PGP)
☐ Physikalische Transportsicherung
☐ Verpackungs- und Versandvorschriften
☐ Elektronische Signatur
☐ Gesichertes WLAN
☐ Fernwartungskonzept (z.B. Verschlüsselung, Ereignisauslösung durch Auftraggeber, Challenge-Response, Rückrufautomatik, Einmal-Passwort)
☐ „Mobile Device Management-System“
Seite 6 von 10
[Seite 7]
Anhang 2.3 – AVA TOM
☐ „Data Loss Prevention (DLP)-System“
☐ Regelung zum Umgang mit mobilen Speichermedien (z.B. Laptop, USB-Stick, Mobiltelefon)
☐ Protokollierung von Datenübertragung oder Datentransport
☐ Protokollierung von lesenden Zugriffen
☐ Protokollierung des Kopierens, Veränderns oder Entfernens von Daten
☐ Getunnelte Datenfernverbindungen (VPN = Virtuelles Privates Netzwerk)
☐ Sonstiges: [Bitte ergänzen]
2.2 Eingabekontrolle
☒ Es ist sichergestellt, dass nachträglich geprüft werden kann, wer personenbezogene Daten zu welcher Zeit in Datenverarbeitungsanlagen verarbeitet hat.
Zur Sicherstellung sind folgende konkrete Maßnahmen implementiert:
☐ Zugriffsrechte
☐ Systemseitige Protokollierungen
☐ Dokumenten Management System (DMS) mit Änderungshistorie
☐ Sicherheits-/Protokollierungssoftware
☐ Funktionelle Verantwortlichkeiten, organisatorisch festgelegte Zuständigkeiten
☐ Mehraugenprinzip
☐ „Data Loss Prevention (DLP)-System“
☐ Sonstiges: [Bitte ergänzen]
3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b-c DSGVO)
3.1 Verfügbarkeitskontrolle und Belastbarkeitskontrolle (Art. 32 Abs. 1 lit. b DSGVO)
☒ Es ist sichergestellt, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt und für den Auftraggeber stets verfügbar sind.
Zur Sicherstellung sind folgende konkrete Maßnahmen implementiert:
☐ Sicherheitskonzept für Software- und IT-Anwendungen
☐ Back-Up Verfahren
Seite 7 von 10
[Seite 8]
Anhang 2.3 – AVA TOM
☐ Aufbewahrungsprozess für Back-Ups (brandgeschützter Safe, getrennter Brandabschnitt, etc.)
☐ Gewährleistung der Datenspeicherung im gesicherten Netzwerk
☐ Bedarfsgerechtes Einspielen von Sicherheits-Updates
☐ Spiegeln von Festplatten
☐ Einrichtung einer unterbrechungsfreien Stromversorgung (USV)
☐ Geeignete Archivierungsräumlichkeiten für Papierdokumente
☐ Brand- und/oder Löschwasserschutz des Serverraums
☐ Brand- und/oder Löschwasserschutz der Archivierungsräumlichkeiten
☐ Klimatisierter Serverraum
☐ Virenschutz
☐ Firewall
☐ Redundante, örtlich getrennte Datenaufbewahrung (Offsite Storage)
☐ Sonstige: [Bitte ausführen]
3.2 Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)
☒ Es ist sichergestellt, dass die rasche Wiederherstellung der Verfügbarkeit von Daten nach deren zwischenzeitlichen Verlust oder Beschädigung gewährleistet ist.
Zur Sicherstellung sind folgende konkrete Maßnahmen implementiert:
☐ Notfallkonzept/ Notfallplan
☐ Erfolgreiche Notfallübung
☐ Verfügbarkeit eines Notfall-RZ
☐ Sonstige: [Bitte ausführen]
4 Verfahren zur regelmäßigen Überprüfung, Bewertung und
Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)
4.1 Datenschutz-Management
☒ Es ist sichergestellt, dass eine den datenschutzrechtlichen Grundanforderungen genügende Organisation vorhanden ist.
Zur Sicherstellung sind folgende konkrete Maßnahmen implementiert:
☐ Datenschutzleitbild der Sparkassen Finanzgruppe
Seite 8 von 10
[Seite 9]
Anhang 2.3 – AVA TOM
☐ Datenschutz-Richtlinie der Sparkassen Finanzgruppe
☐ Richtlinien/Anweisungen zur Gewährleistung von technisch-organisatorischen Maßnahmen zur Datensicherheit (z.B.: UHB der Sparkasse)
☐ Bestellung eines Datenschutzbeauftragten
☐ Verpflichtung der Mitarbeiter auf das Datengeheimnis und Bankgeheimnis
☐ Hinreichende Schulungen der Mitarbeiter in Datenschutzangelegenheiten
☐ Führen einer Übersicht über Verarbeitungstätigkeiten (Art. 30 DSGVO)
☐ Durchführung von Datenschutzfolgenabschätzungen, soweit erforderlich (Art. 35 DSGVO)
☐ Ext. Prüfung/Auditierung der Informationssicherheit (etwa im Rahmen von ISO- Zertifizierung, SOX-Compliance)
☐ Sonstige: [Bitte ausführen]
4.2 Incident-Response-Management
☒ Es ist sichergestellt, dass im Fall von Datenschutzverstößen Meldeprozesse ausgelöst werden.
Zur Sicherstellung sind folgende konkrete Maßnahmen implementiert:
☐ Meldeprozess für Datenschutzverletzungen nach Art. 4 Ziffer 12 DSGVO gegenüber den Aufsichtsbehörden (Art. 33 DSGVO)
☐ Meldeprozess für Datenschutzverletzungen nach Art. 4 Ziffer 12 DSGVO gegenüber den Betroffenen (Art. 34 DSGVO)
☐ Sonstige: [Bitte ausführen]
4.3 Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO)
Die Default Einstellungen sind sowohl bei den standardisierten Voreinstellungen von Systemen und Apps als auch bei der Einrichtung der Datenverarbeitungsverfahren zu berücksichtigen. In dieser Phase werden Funktionen und Rechte konkret konfiguriert, wird im Hinblick auf Datenminimierung die Zulässigkeit bzw. Unzulässigkeit bestimmter Eingaben bzw. von Eingabemöglichkeiten (z. B. von Freitexten) festgelegt und über die Verfügbarkeit von Nutzungsfunktionen entschieden (z. B. hinsichtlich des Umfangs der Verarbeitung). Ebenso werden die Art und der Umfang des Personenbezugs bzw. der Anonymisierung (z. B. bei Selektions-, Export- und Auswertungsfunktionen, die festgelegt und voreingestellt oder frei gestaltbar zur Verfügung gestellt werden können) oder die Verfügbarkeit von bestimmten Verarbeitungsfunktionen, Protokollierungen etc. festgelegt.
4.4 Auftragskontrolle
Seite 9 von 10
[Seite 10]
Anhang 2.3 – AVA TOM
☒ Es ist sichergestellt, dass personenbezogene Daten nur entsprechend der Weisungen verarbeitet werden können.
Zur Sicherstellung sind folgende konkrete Maßnahmen implementiert:
☐ Vereinbarung zur Auftragsverarbeitung mit Regelungen zu den Rechten und Pflichten des Auftragnehmers und Auftraggebers
☐ Prozess zur Erteilung und/oder Befolgung von Weisungen
☐ Bestimmung von Ansprechpartnern und/oder verantwortlichen Mitarbeitern
☐ Kontrolle/Überprüfung weisungsgebundener Auftragsdurchführung
☐ Schulungen/Einweisung aller zugriffsberechtigten Mitarbeiter beim Auftragnehmer
☐ Unabhängige Auditierung der Weisungsgebundenheit
☐ Verpflichtung der Mitarbeiter auf das Datengeheimnis
☐ Vereinbarung von Konventionalstrafen für Verstöße gegen Weisungen
☐ formalisiertes Auftragsmanagement
☐ dokumentiertes Verfahren zur Auswahl des Dienstleisters
☐ standardisiertes Vertragsmanagement zur Vor- und Nachkontrolle der Dienstleister
☐ Sonstiges: [Bitte ergänzen]
5 Detaillierung der technisch organisatorischen Maßnahmen
Die konkrete Ausgestaltung der technisch organisatorischen Maßnahmen erfolgt im Anhang 3 Informationssicherheit zu Anlage 3 Datenschutz und Informationssicherheit.
Seite 10 von 10