Kontaktdaten und allgemeine Informationen
Kontaktdaten des Auftragnehmers:
| Name: | |
| Adresse: | PLZ/Ort: |
Ansprechpartner bzgl. Datenschutz:
| Name: | |
| Email: | Telefon: |
Ansprechpartner bzgl. IT-Sicherheit:
| Name: | |
| Email: | Telefon: |
- Bitte beschreiben Sie den Rahmen, in dem Fernwartungsarbeiten durchgeführt werden.
(z.B. Büro / Großraumbüro / Heimarbeitsplatz / Mobiler Arbeitsplatz / etc.)
- Bitte beschreiben Sie die für Fernwartungsarbeiten eingesetzte Hardware.
(z.B. PC / Laptop / Thin-Client / Tablet-PC / etc.)
- Bitte nennen Sie die Länder, aus denen ein Fernwartungszugriff erfolgen kann.
(z.B. Deutschland, Kanada, U.S.A., Indien, etc.)
Technische und organisatorische Maßnahmen
- TOM – Zutrittskontrolle
Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren, wobei der Begriff des Zutritts räumlich zu verstehen ist.
| Technische Maßnahmen | Organisatorische Maßnahmen | ||
| (Zentrale) Alarmanlage | Durchführung von Personenkontrollen | ||
| Absicherung von Gebäudeschächten | Protokollierung der Besucher | ||
| Elektronisches Schließsystem | Schlüsselregelung/Schlüsselverwaltung | ||
| Biometrische Zutrittssperren | Sorgfältige Auswahl von Sicherheitspersonal | ||
| Chipkarten-/Transponder-Schließsystem | Sorgfältige Auswahl von Reinigungspersonal | ||
| Lichtschranken/Bewegungsmelder | Videoüberwachung der Zugänge | ||
| Manuelles Schließsystem | Tragepflicht von Berechtigungsausweisen | ||
| Schließsystem mit Codesperre | |||
| Sicherheitsschlösser |
- TOM – Zugangskontrolle
Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können bzw. Maßnahmen, die das Eindringen Unbefugter in die Systeme verhindern.
| Technische Maßnahmen | Organisatorische Maßnahmen | ||
| Authentifikation mit Benutzername/Passwort | Vergabe personenbezogener Zugangsdaten | ||
| Authentifikation mit biometrischen Verfahren | Verwendung komplexer Passwörter | ||
| Protokollierung aller Zugangsversuche | Regelung zur Verwendung von Zugangsdaten | ||
| Einsatz von IDS-/IPS-Systemen | Regelung für mobile Datenträger/Speicher | ||
| Einsatz einer Netzwerk-Firewall | Regelung für mobile Geräte (z.B. Laptop) | ||
| Einsatz von Endpoint Security Systemen | Regelung für den externen Zugriff (z.B. VPN) | ||
| Einsatz von Antiviren-Software auf Endgeräten | Regelung für den Zugriff aufs Internet | ||
| Einsatz von Antiviren-Software im Netzwerk | Regelung für die Nutzung von Email | ||
| Einsatz von Firewalls auf Endgeräten | Regelung für die Nutzung privater Geräte | ||
| Verschlüsselung von Endgeräten/Datenträgern | Regelung für (Fern-)Wartungsarbeiten | ||
| Einsatz von Mobile Device Management | Regelung für Verwahrung mobiler Hardware | ||
| Sperren von externen Schnittstellen (z.B. USB) | Einsatz von Berechtigungsausweisen | ||
| Einsatz von VPN-Technologien | |||
| Einsatz von Gehäuseverriegelungen |
- TOM – Zugriffskontrolle
Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigtenausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.
| Technische Maßnahmen | Organisatorische Maßnahmen | ||
| Protokollierung von Zugriffen auf Daten | Verwenden von Berechtigungskonzepten | ||
| Datenprotokoll: Erstellen, Ändern, Löschen | Zuordnung von Benutzerrechten/-profilen | ||
| Löschen von Datenträgern vor | Minimale Anzahl von Administratoren | ||
| Wiederverwendung | |||
| Einsatz Aktenvernichter (datenschutzkonform) | Rechte-Verwaltung durch Systemadministrator | ||
| Vernichtung von Datenträgern (DIN 66399) | Auditierung von Protokollen/Prozessen | ||
| Protokollierung der Vernichtung |
- TOM – Weitergabekontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.
| Technische Maßnahmen | Organisatorische Maßnahmen | ||
| Einsatz von Transportverschlüsselung (z.B. SSL) | Dokumentation alle Empfänger von Daten | ||
| Einsatz von verschlüsselten Emails | Dokumentation von Zeitspannen bzgl. | ||
| Überlassung | |||
| Sichere Transportbehälter/Verpackungen | Dokumentation aller Übermittlungsvorgänge | ||
| Einsatz von signierten, digitalen Zertifikaten | Vereinbarung von Löschfristen | ||
| Betrieb einer Public-Key-Infrastruktur | Weitergabe in anonymisierter Form | ||
| Weitergabe in pseudonymisierter Form |
- TOM – Eingabekontrolle
Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.
| Technische Maßnahmen | Organisatorische Maßnahmen | ||
| Personenbezogene Protokolle | Dokumentation aller Eingabemethoden | ||
| Nachvollziehbarkeit aller Eingaben | Dokumentation aller Eingabesysteme | ||
| Zuordnung der Zugriffe zu Benutzernamen | Aufbewahrung von Formularen, von denen | ||
| Einsatz von Protokollauswertungssystemen | Daten in automatisierte Verarbeitungen | ||
| übernommen worden sind |
- TOM – Auftragskontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können.
| Technische Maßnahmen | Organisatorische Maßnahmen | ||
| Aufzeichnung aller Fernwartungsarbeiten (z.B. | Sorgfältige Auswahl der Auftragnehmer | ||
| mit einem Mitschnitt per Videosoftware) | Schriftliche Weisungen an Auftragnehmer (z.B. AV-Vertrag | ||
| i. S. d. Art. 28 Abs. 3 EU-DSGVO) | |||
| Bestellung Datenschutzbeauftragte/r | |||
| Durchführung Datenschutz-Folgenabschätzung mit | |||
| Dokumentation | |||
| Verpflichtung Mitarbeiter des Auftragnehmers auf Vertraulichkeit und Verschwiegenheit (nach Art. 28 Abs. 3 b) EU-DSGVO) | |||
| Wirksame Kontrollrechte gegenüber | |||
| den Auftragnehmern vereinbart | |||
| Vertragsstrafe bei Verstößen | |||
| Sicherstellung der Vernichtung von Daten | |||
| Laufende Überprüfung des Auftragnehmers | |||
| und aller durchgeführten Tätigkeiten | |||
| Formalisierte Auftragserteilung |
- TOM – Verfügbarkeitskontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.
| Technische Maßnahmen | Organisatorische Maßnahmen | ||
| Unterbrechungsfreie Stromversorgung | Aufbewahrung von Datensicherungen an einem | ||
| Überwachung der Temperatur in Serverräumen | sicheren, ausgelagerten Ort | ||
| Überwachung der Feuchtigkeit in Serverräumen | Einsatz eines Backup –und Recovery-Konzepts | ||
| Feuer- und Rauchmeldeanlagen | Erstellen von Notfallplänen | ||
| Testen von Datenwiederherstellungsverfahren | Bestellen eines Notfallbeauftragten | ||
| Serverräume über der Wassergrenze | |||
| Einsatz/Überwachung von Klimaanlagen | |||
| Schutzsteckdosenleisten in Serverräumen | |||
| Feuerlöschgeräte/-anlage in Serverräumen | |||
| Serverräume nicht unterhalb sanitärer Anlagen |
- TOM – Trennungsgebot
Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.
| Technische Maßnahmen | Organisatorische Maßnahmen | ||
| Physikalisch getrennte Speicherung | Verwenden von Berechtigungskonzepten | ||
| Versehen der Datensätze mit Zweckattributen | Festlegung entsprechender Datenbankrechte | ||
| Logische Mandantentrennung (softwareseitig) | |||
| Trennung von Produktiv- und Testsystem | |||
| Getrennte Verschlüsselung (mehrere Schlüssel) | |||
| Bei pseudonymisierten Daten: Trennung der | |||
| Zuordnungsdatei und der Aufbewahrung auf einem getrennten, abgesicherten IT-System | |||