[Seite 1]
Anlage 2 – Technisch-organisatorische Maßnahmen
Anlage 2 – Technisch-organisatorische Maßnahmen
- Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)
1.1. Zutrittskontrolle Maßnahmen, die geeignet sind,Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogeneDatenverarbeitet oder genutzt werden, zu verwehren. Als Maßnahmen zur Zutrittskontrolle können zur Gebäude- und Raumsicherungz.B. automatische Zutrittskontrollsysteme,Einsatzvon Chipkartenund Transponder,Kontrolle des Zutritts durchPförtnerdienste undAlarmanlagen eingesetzt werden. Server, Telekommunikationsanlagen, Netzwerktechnik und ähnliche Anlagen sind in verschließbaren Serverschränken zu schützen. Darüber hinaus ist es sinnvoll, die Zutrittskontrolle auch durch organisatorische Maßnahmen (z.B.Dienstanweisung,die das Verschließender Diensträumebei Abwesenheit vorsieht) zu stützen.
| Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|
| ☐ Alarmanlage | ☐ Schlüsselregelung |
| ☐ Elektronisches Zutrittskontrollsystem | ☐ Empfang / Rezeption / Pförtner |
| ☐ Ausgangstüren ohne Benutzung sind mit Blindzylinder ausgestattet | ☐ Besucherbuch / Protokoll der Besucher |
| ☐ Chipkarten / Transpondersysteme | ☐ Mitarbeiter- / Besucherausweise |
| ☐ Manuelles Schließsystem | ☐ Besuchende in Begleitung durch Mitarbeitende |
| ☐ Teilweise Sicherheitsschlösser | ☐ Sorgfalt bei Auswahl des Wachpersonals |
| ☐ Schließsystem mit Codesperre | ☐ Sorgfalt bei Auswahl Reinigungsdienste |
| ☐ Absicherung der Gebäudeschächte | ☐ Wachhund |
| ☐ Teilweise Klingelanlage mit Kamera | ☐ Reinigungskraft reinigt nur unter Aufsicht |
| ☐ Teilweise Videoüberwachung der Eingänge | ☐ Allgemeine Besucherregelungen |
| ☐ Teilweise Vereinzelungsanlagen und Warenschleuse | ☐ Regelungen im Umgang mit externen Dienstleistern |
| ☐ Gesamtkonzept zur Gebäudeabsicherung (z. B. Brandschutz, Blitzschutzanlagen, Schutz vor Hochwasser, usw.) | ☐ Dokumentierte Schlüsselverwaltung |
| ☐ Umzäunung des Betriebsgeländes | ☐ |
| ☐ | ☐ |
1.2. Zugangskontrolle Maßnahmen,diegeeignet sind zu verhindern,dassDatenverarbeitungssysteme(Computer) vonUnbefugtengenutzt werdenkönnen.Mit Zugangskontrolleist die unbefugte Verhinderung der Nutzungvon Anlagengemeint.Möglichkeitensind beispielsweiseBootpasswort, Benutzerkennung mit Passwort für Betriebssysteme und eingesetzte Softwareprodukte,Bildschirmschoner mit Passwort,der Einsatzvon Chipkarten zur Anmeldung wie auch der Einsatz von Call/Back-Verfahren. Darüber hinaus können auch organisatorische Maßnahmen notwendigsein,um beispielsweiseeine unbefugte Einsichtnahmezuverhindern (z.B.Vorgaben zurAufstellungvonBildschirmen,Herausgabe vonOrientierungshilfen fürdieAnwender zur Wahl eines„guten"Passworts).
| Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|
| ☐ Login mit Accountname + Passwort | ☐ Verwalten von Berechtigungen der Benutzer*innen. |
| ☐ Login mit biometrischen Daten | ☐ Erstellen von Profilen der Benutzer*innen. |
| ☐ Anti-Viren-Software Server | ☐ Zentrale Passwortvergabe |
| ☐ Anti-Virus-Software Clients | ☐ Richtlinie „Sicheres Passwort" |
| ☐ Anti-Virus-Software mobile Geräte | ☐ Richtlinie „Löschen / Vernichten" |
| ☐ Firewall | ☐ Richtlinie „Clean desk" |
| ☐ Intrusion Detection System | ☐ Allg. Richtlinie Datenschutz und / oder Sicherheit |
| ☐ Mobile Device Management | ☐ Mobile Device Policy |
| ☐ Einsatz VPN bei Remote-Zugriffen | ☐ Anleitung „Manuelle Desktopsperre" |
Stand: 11.03.2025 Seite 1 / 8 Anlage2_Technisch-organisatorische_Maßnahmen_blanko
[Seite 2]
Anlage 2 – Technisch-organisatorische Maßnahmen
| ☐ Verschlüsselung von Datenträgern | ☐ |
|---|---|
| ☐ Verschlüsselung Smartphones | ☐ |
| ☐ Gehäuseverriegelung | ☐ |
| ☐ BIOS Schutz (separates Passwort) | ☐ |
| ☐ Sperre externer Schnittstellen (USB) | ☐ |
| ☐ Automatische Desktopsperre | ☐ |
| ☐ Verschlüsselung von Notebooks / Tablet | ☐ |
| ☐ Verwendung des HTTPS-Protokolls nach Stand der Technik (TLS1.2 oder TLS1.3) | ☐ |
| ☐ | ☐ |
Stand: 11.03.2025 Seite 2 / 8 Anlage2_Technisch-organisatorische_Maßnahmen_blanko
[Seite 3]
Anlage 2 – Technisch-organisatorische Maßnahmen
1.3. Zugriffskontrolle Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigungunterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung,Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Die Zugriffskontrolle kann unter anderem gewährleistet werdendurch geeignete Berechtigungskonzepte, dieeinedifferenzierte Steuerung desZugriffsauf Datenermöglichen.Dabei gilt, sowohl eineDifferenzierung auf den Inhalt der Daten vorzunehmen als auchaufdie möglichen Zugriffsfunktionen auf die Daten. Weiterhin sind geeignete Kontrollmechanismen und Verantwortlichkeiten zu definieren,um dieVergabe und den Entzug der Berechtigungen zu dokumentieren und auf einem aktuellen Stand zu halten (z.B. bei Einstellung,Wechsel des Arbeitsplatzes, Beendigung des Arbeitsverhältnisses). Besondere Aufmerksamkeit ist immer auch auf die Rolle undMöglichkeiten der Administratorenzu richten.
| Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|
| ☐ Aktenvernichter im Bürobereich (cross cut) | ☐ Einsatz Berechtigungskonzepte |
| ☐ DIN 66399-zertfizierte Dienstleistung zum Vernichten von Datenträgern jeder Art | ☐ Minimale Anzahl an Administratoren |
| ☐ Physische Löschung von Datenträgern | ☐ Datenschutztresor |
| ☐ Protokollierung von Zugriffen auf Anwendungen, konkret bei der Eingabe, Änderung und Löschung von Daten | ☐ Verwaltung der Benutzerrechte durch Administratoren |
| ☐ Zugriffssteuerung per ACLn / POSIX | ☐ Einweisung aller Mitarbeiter in den Umgang mit Authentisierungsverfahren und - mechanismen |
| ☐ Zentrale Protokollierungsinfrastruktur | ☐ Geregelter Prozess zur zentralen Verwaltung von Benutzeridentitäten |
| ☐ Externen Aktenvernichter (DIN 32757) | ☐ Regelungen für Protokollierungen und Auswertungen |
| ☐ Regelungen für Lieferanten und Dienstleister |
1.4. Trennungskontrolle
Maßnahmen,die gewährleisten,dass zu unterschiedlichenZweckenerhobene Daten getrennt verarbeitetwerdenkönnen.Dieseskann beispielsweise durch logische und physikalische Trennung der Daten gewährleistet werden.
| Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|
| ☐ Trennung von Produktiv- und Testumgebung | ☐ Steuerung über Berechtigungskonzept |
| ☐ Physische Trennung (Systeme / Datenbanken / Datenträger) | ☐ Festlegung von Datenbankrechten |
| ☐ Mandantenfähigkeit relevanter Anwendungen | ☐ Datensätze sind mit Zweckattributen versehen |
| ☐ | ☐ Aufgabentrennung |
Stand: 11.03.2025 Seite 3 / 8 Anlage2_Technisch-organisatorische_Maßnahmen_blanko
[Seite 4]
Anlage 2 – Technisch-organisatorische Maßnahmen
1.5 Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO) Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können,sofern diese zusätzlichen Informationen gesondertaufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen.
| Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|
| ☐ Im Falle der Pseudonymisierung: Trennung der Zuordnungsdaten und Aufbewahrung in getrenntem und abgesicherten System (möglichst verschlüsselt) | ☐ Interne Anweisung, personenbezogene Daten im Falle einer Weitergabe oder auch nach Ablauf der gesetzlichen Löschfrist möglichst zu anonymisieren / pseudonymisieren |
| ☐ | ☐ |
- Integrität (Art. 32 Abs. 1 lit. b DS-GVO)
2.1. Weitergabe Kontrolle Maßnahmen,die gewährleisten,dass personenbezogene Daten bei der elektronischen Übertragung oder während ihresTransports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungenzur Datenübertragung vorgesehen ist.Zur Gewährleistung der Vertraulichkeit bei der elektronischen Datenübertragung könnenz.B. Verschlüsselungstechniken und Virtual Private Network eingesetzt werden. Maßnahmen beim Datenträgertransport bzw.Datenweitergabe sind Transportbehälter mit Schließvorrichtung und Regelungen für eine datenschutzgerechteVernichtung von Datenträgern.
| Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|
| ☐ Email-Verschlüsselung | ☐ Dokumentation der Datenempfänger sowie der Dauer der geplanten Überlassung bzw. der Löschfristen |
| ☐ Einsatz von VPN | ☐ Übersicht regelmäßiger Abruf- und Übermittlungsvorgängen |
| ☐ Protokollierung der Zugriffe und Abrufe | ☐ Weitergabe in anonymisierter oder pseudonymisierter Form |
| ☐ Sichere Transportbehälter | ☐ Sorgfalt bei Auswahl von Transport-Personal und Fahrzeugen |
| ☐ Bereitstellung über verschlüsselte Verbindungen wie sftp, https | ☐ Persönliche Übergabe mit Protokoll |
| ☐ Nutzung von Signaturverfahren | ☐ Muster Auftragsverarbeitungsvertrag |
Stand: 11.03.2025 Seite 4 / 8 Anlage2_Technisch-organisatorische_Maßnahmen_blanko
[Seite 5]
Anlage 2 – Technisch-organisatorische Maßnahmen
2.2. Eingabekontrolle Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Eingabekontrolle wird durch Protokollierungen erreicht, die auf verschiedenen Ebenen (z.B. Betriebssystem, Netzwerk, Firewall, Datenbank, Anwendung) stattfinden können. Dabei ist weiterhin zu klären, welche Daten protokolliert werden, wer Zugriff auf Protokolle hat, durch wen undbei welchem Anlass/Zeitpunkt diese kontrolliert werden, wie lange eine Aufbewahrung erforderlich ist und wann eine Löschung der Protokolle stattfindet.
| Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|
| ☐ Technische Protokollierung der Eingabe, Änderung und Löschung von Daten | ☐ Übersicht, mit welchen Programmen welche Daten eingegeben, geändert oder gelöscht werden können |
| ☐ Manuelle oder automatisierte Kontrolle der Protokolle | ☐ Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzendennamen (nicht Benutzendengruppen) |
| ☐ Software zur wirksamen Löschung bei Weitergabe von Geräten | ☐ Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts |
| ☐ | ☐ Aufbewahrung von Formularen, von denen Daten in automatisierte Verarbeitungen übernommen wurden |
| ☐ | ☐ Klare Zuständigkeiten für Löschungen |
| ☐ | ☐ |
- Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)
3.1. Verfügbarkeitskontrolle Maßnahmen, die gewährleisten, dass personenbezogene Datengegen zufällige Zerstörung oder Verlustgeschützt sind. Hier geht es um Themen wie eine unterbrechungsfreie Stromversorgung, Klimaanlagen, Brandschutz, Datensicherungen, sichere Aufbewahrung von Datenträgern, Virenschutz, Raidsysteme,Plattenspiegelungen etc.
| Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|
| ☐ Feuer- und Rauchmeldeanlagen | ☐ Backup & Recovery- Konzept (ausformuliert) |
| ☐ Feuerlöscher Serverraum | ☐ Kontrolle des Sicherungsvorgangs |
| ☐ Gaslöschanlage teilweise vorhanden | ☐ Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse |
| ☐ Serverraumüberwachung Temperatur und Feuchtigkeit | ☐ Aufbewahrung der Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums |
| ☐ Serverraum klimatisiert | ☐ Keine sanitären Anschlüsse im oder oberhalb des Serverraums |
| ☐ USV | ☐ Existenz eines Notfallplans (z.B. BSI IT- Grundschutz 200-4) |
| ☐ Schutzsteckdosenleisten Serverraum | ☐ Getrennte Partitionen für Betriebssysteme und Daten |
| ☐ Datenschutztresor (S60DIS, S120DIS, andere geeignete Normen mit Quelldichtung etc.) | ☐ Wiederanlaufpläne für kritische Systeme |
| ☐ RAID System / Festplattenspiegelung | ☐ Regelmäßige Notfallübungen |
| ☐ Teilweise Videoüberwachung der Eingänge | ☐ |
| ☐ Alarmmeldung bei unberechtigtem Zutritt zu Serverraum | ☐ |
| ☐ Geoverteilte Speicherung über zwei oder mehr Standorte | ☐ |
| ☐ Geographische Trennung von Primärdaten und Backup über zwei Standorte | ☐ |
Stand: 11.03.2025 Seite 5 / 8 Anlage2_Technisch-organisatorische_Maßnahmen_blanko
[Seite 6]
Anlage 2 – Technisch-organisatorische Maßnahmen
- Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)
4.1. Datenschutz-Management
| Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|
| ☐ Software-Lösungen für Datenschutzmanagement im Einsatz | ☐ Interner Datenschutzbeauftragter: E-Mail: |
| ☐ Zentrale Dokumentation aller Verfahrensweisen und Regeln zum Datenschutz mit Zugriffsmöglichkeit für Mitarbeiter nach Bedarf / Berechtigung (z.B. Wiki, Intranet…) | ☐ Mitarbeitende geschult und auf Vertraulichkeit / Datengeheimnis verpflichtet |
| ☐ Sicherheitszertifizierung nach ISO 27001 | ☐ Regelmäßige Sensibilisierung der Mitarbeitenden mindestens jährlich. |
| ☐ Anderweitiges dokumentiertes Sicherheitskonzept | ☐ Interner Informationssicherheitsbeauftragter E-Mail: |
| ☐ Eine Überprüfung der Wirksamkeit der technischen Schutzmaßnahmen wird mindestens jährlich durchgeführt | ☐ Datenschutz-Folgenabschätzung (DSFA) wird bei Bedarf durchgeführt |
| ☐ | ☐ Die Organisation kommt den Informationspflichten nach Art. 13 und 14 DSGVO nach |
| ☐ | ☐ |
Stand: 11.03.2025 Seite 6 / 8 Anlage2_Technisch-organisatorische_Maßnahmen_blanko
[Seite 7]
Anlage 2 – Technisch-organisatorische Maßnahmen
4.2. Incident-Reponse-Management Unterstützung bei der Reaktion auf Sicherheitsverletzungen.
| Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|
| ☐ Einsatz von Firewall und regelmäßige Aktualisierung | ☐ Dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen / Daten- Pannen (auch im Hinblick auf Meldepflicht gegenüber Aufsichtsbehörde) |
| ☐ Einsatz von Spamfilter und regelmäßige Aktualisierung | ☐ Dokumentierte Vorgehensweise zum Umgang mit Sicherheitsvorfällen |
| ☐ Einsatz von Virenscanner und regelmäßige Aktualisierung | ☐ Einbindung von DSB und ISB in Sicherheitsvorfällen und Datenpannen |
| ☐ Intrusion Detection System (IDS) | ☐ Dokumentation von Sicherheitsvorfällen und Datenpannen z.B. via Ticketsystem |
| ☐ Intrusion Prevention System (IPS) | ☐ Formaler Prozess und Verantwortlichkeiten zur Nachbearbeitung von Sicherheitsvorfällen und Datenpannen |
| ☐ | ☐ Prozess zum Umgang mit Datenschutzvorfällen (Art. 33 EU-DSGVO) |
| ☐ Prozess zur Benachrichtigungen von Betroffenen (Art. 34 EU-DSGVO) | |
| ☐ Regelmäßige Lieferantenbewertungen |
4.3. Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO); Privacy by design/Privacy by default
| Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|
| ☐ Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich ist | ☐ Regelmäßige Sensibilisierung der Mitarbeiter für die Grundprinzipien des Datenschutzes und der Prinzipien des Privacy-by-Design und Privacy-by-Default |
| ☐ Einfache Ausübung des Widerrufsrechts des Betroffenen durch technische Maßnahmen | ☐ |
| ☐ | ☐ |
Stand: 11.03.2025 Seite 7 / 8 Anlage2_Technisch-organisatorische_Maßnahmen_blanko
[Seite 8]
Anlage 2 – Technisch-organisatorische Maßnahmen
4.4. Auftragskontrolle (Outsourcing an Dritte) Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Unter diesen Punkt fällt neben der Datenverarbeitung im Auftrag auch die Durchführung von Wartung und Systembetreuungsarbeiten sowohl vor Ort als auch per Fernwartung. Sofern der Auftragnehmer Dienstleister im Sinne einer Auftragsverarbeitung einsetzt, sind die folgenden Punkte stets mit diesen zu regeln.
| Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|
| ☐ Regelmäßige Schwachstellenscan bei Auftragnehmern | ☐ Vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmaßnahmen und deren Dokumentation |
| ☐ Fortlaufende Penetrationstests durch Einbindung externer Dienstleister | ☐ Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (gerade in Bezug auf Datenschutz und Datensicherheit) |
| ☐ | ☐ Abschluss der notwendigen Vereinbarung zur Auftragsverarbeitung bzw. EU- Standardvertragsklauseln |
| ☐ | ☐ Schriftliche Weisungen an den Auftragnehmer |
| ☐ | ☐ Verpflichtung der Mitarbeitenden des Auftragnehmers auf Datengeheimnis |
| ☐ | ☐ Verpflichtung zur Bestellung einer/s Datenschutzbeauftragten durch den Auftragnehmer |
| ☐ | ☐ Vereinbarung wirksamer Kontrollrechte gegenüber dem Auftragnehmer |
| ☐ | ☐ Regelung zum Einsatz weiterer Subunternehmer |
| ☐ | ☐ Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags |
| ☐ | ☐ Bei längerer Zusammenarbeit: Laufende Überprüfung des Auftragnehmers und seines Schutzniveaus |
| ☐ Dokumentation für Datenschutzaudits |
Stand: 11.03.2025 Seite 8 / 8 Anlage2_Technisch-organisatorische_Maßnahmen_blanko