[Seite 1]
Anlage 2 zur Vereinbarung zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO
Technisch-organisatorische Maßnahmen
- Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO) • Zutrittskontrolle Kein unbefugter Zutritt zu Datenverarbeitungsanlagen, nur mit z. B.: Magnet- oder Chipkarten, Schlüssel oder über elektrische Türöffner, Werkschutz bzw. Pförtner, Alarmanlagen, Videoanlagen;
• Zugangskontrolle Keine unbefugte Systembenutzung, z. B.: gesicherter Zugang ausschließlich über Identifikation und Autorisierung (sichere) Kennwörter, automatische Sperrmechanis- men, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern;
• Zugriffskontrolle Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, durch z. B.: Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollie- rung von Zugriffen;
• Trennungskontrolle Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, durch, z. B. Einordnung in getrennte Mandantenfähigkeit, Sandboxing;
• Pseudonymisierung (Art. 32 Abs. 1 lit. A DS-GVO; Art. 25 Abs. 1 DS-GVO) Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hin- zuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbe- wahrt werden und entsprechende technischen und organisatorischen Maßnahmen un- terliegen;
- Integrität (Art. 32 Abs. 1 lit. b DS-GVO) • Weitergabekontrolle Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Über- tragung oder Transport, durch z. B.: Verschlüsselung und getrennter Übertragung der Passwörter, Virtual Private Networks (VPN), elektronische Signatur;
• Eingabekontrolle Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssys- teme eingegeben, verändert oder entfernt worden sind, z. B.: über Protokollierung, Do- kumentenmanagement;
- Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO) • Verfügbarkeitskontrolle Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z. B.: durch tägliche Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversor- gung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne;
• Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DS-GVO); Seite 1 von 2
[Seite 2]
Anlage 2 zur Vereinbarung zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO
- Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO) • Datenschutz-Management; • Incident-Response-Management; • Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DS-GVO); • Auftragskontrolle Keine Auftragsdatenverarbeitung im Sinne von Art. 28 DS-GVO ohne entsprechende Weisung des Auftraggebers, es erfolgt keine Inanspruchnahme von weiteren Auf- tragsverarbeitern oder Dritten (Subdienstleistern). z. B.: Eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl des Dienstleisters, Vorabüber- zeugungspflicht, Nachkontrollen.
Seite 2 von 2