Anmerkung
Dieses Dokument enthält Informationen, die Geschäftspartnern, Kunden und anderen externen Parteien mit gesetzlichen oder sonstigen Zugriffsrechten zur Verfügung stehen. Der Text verwendet möglicherweise aus Gründen der Lesbarkeit die männliche Form, die Informationen beziehen sich jedoch auf Mitglieder aller Geschlechter.
Präambel
Der Verantwortliche hat geeignete Maßnahmen zur Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung umgesetzt. Im allgemeinen Teil (Grundlegende Maßnahmen) werden technische und organisatorische Maßnahmen beschrieben, die unabhängig von den jeweiligen Diensten, Standorten und Kunden gelten. In den folgenden Abschnitten werden Maßnahmen beschrieben, die über die im allgemeinen Teil dokumentierten Maßnahmen hinausgehen.
Zertifikate
Lumiform verfügt über die folgenden offiziellen Zertifizierungen im Bereich Informationssicherheit:
| Zertifikate | Kommentar |
| ISO27001 | via AWS |
| ISO27017 | via AWS |
| ISO27018 | via AWS |
| Sonstiges / Anmerkungen | Unsere Datensicherheitsstandards sind so konzipiert, dass sie den empfohlenen bewährten Verfahren in anerkannten Standards wie ISO 27001 entsprechen. Unser Ziel ist es, unser Sicherheitsprogramm kontinuierlich zu erweitern und eine formelle Zertifizierung anzustreben. |
Grundsätzliche Maßnahmen
Grundsätzliche Maßnahmen, die der Wahrung der Betroffenenrechte, unverzüglichen Reaktion in Notfällen, den Vorgaben der Technikgestaltung und dem Datenschutz auf Mitarbeiterebene dienen:
- Es besteht ein betriebliches Datenschutz-Management, das systematisch überwacht und mindestens halbjährlich evaluiert wird.
- Es gibt ein Konzept für eine unverzügliche und gesetzeskonforme Reaktion auf Datenschutzverletzungen, das Prüfung, Dokumentation und Meldung umfasst. Dazu gehören Formulare, Anleitungen und notwendige Umsetzungsverfahren.
- Ein Konzept zur Wahrung der Rechte der Betroffenen (z. B. Auskunft, Berichtigung, Löschung) innerhalb gesetzlicher Fristen ist vorhanden, inklusive Formulare, Anleitungen und Umsetzungsverfahren.
- Berechtigungen für Mitarbeiter zur Verarbeitung personenbezogener Daten sowie Schlüssel, Zugangskarten oder Codes werden bei Ausscheiden oder Zuständigkeitswechsel gemäß einem Berechtigungskonzept entzogen.
- Dienstleister für nebengeschäftliche Aufgaben werden sorgfältig ausgewählt, um den Schutz personenbezogener Daten sicherzustellen. Bei nicht-nebengeschäftlichen Dienstleistern wird der Datenschutz und die Rechte und Pflichten der Auftraggeber/Auftragnehmer in Auftragsverarbeitungen gewährleistet, auch bei Datentransfer in Drittstaaten.
- Mitarbeiter werden im Datenschutz geschult, zur Verschwiegenheit verpflichtet und auf Haftungsfolgen hingewiesen. Besondere Regelungen existieren für Tätigkeiten außerhalb der Betriebsräume oder bei Nutzung von Privatgeräten.
- Der Schutz personenbezogener Daten wird unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Verarbeitungsrisiken bereits bei der Entwicklung und Auswahl von Hardware, Software und Verfahren gemäß dem Prinzip des Datenschutzes durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO) berücksichtigt.
- Eingesetzte Software, Virenscanner und Firewalls werden stets auf dem aktuellen Stand gehalten.
Zutrittskontrolle
Alle Maßnahmen, die dazu geeignet sind, den Zutritt für Unbefugte zu den Datenverarbeitungsanlagen zu verhindern.
- Alarmanlage
- Automatisches Zugangskontrollsystem
- Manuelles Schließsystem
- Sicherheitsschlösser
- Absicherung der Gebäudeschächte
- Türen mit Knauf auf der Außenseite
- Fenstersicherung
- Dauerhaft Personal anwesend
- Klingelanlage mit Kamera
- Regelung der Schlüsselausgabe
- Besucherbuch / Protokoll der Besucher
- Zutrittsregelungen für Besucher
- Besucher in Begleitung durch Mitarbeiter
- Sorgfalt bei Auswahl der Reinigungsdienste
Zugangskontrolle / Zugriffskontrolle
Alle Maßnahmen, die geeignet sind, die Nutzung der Datenverarbeitungssysteme durch Unbefugte zu verhindern sowie alle Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.
- Login mit Benutzername + Passwort
- Login mit biometrischen Daten
- Stets aktueller Virenschutz
- Stets aktuelle Softwareversionen
- Verschlüsselter Datentransfer über https/TLS oder vergleichbare Schutzsysteme
- Netzwerk Firewall
- Mobile Device Management
- Verschlüsselung von Datenträgern
- Verschlüsselung von Smartphones
- Sperre externer Schnittstellen (USB etc.)
- Einsatz von Intrusion-Detection-Systemen
- Automatische Desktopsperre
- Verschlüsselung von Notebooks/Tablets
- Verwalten von Benutzerberechtigungen
- Erstellen von Benutzerprofilen
- Verzeichnis und Regelungen für mobile Datenträger
- Richtlinie „Sicheres Passwort“
- Richtlinie „Löschen/Vernichten“
- Richtlinie „Clean Desk“
- Richtlinie zur Bildschirmsperrung
- Allgemeine Richtlinie Datenschutz und/oder Sicherheit
- Mobile Device Policy
- Anleitung „Manuelle Desktopsperre“
- Aktenschredder
- Physische Löschung von Datenträgern
- Protokollierung von Zugriffen auf Anwendungen, konkret bei der Eingabe, Änderung und Löschung von Daten
- Einsatz von Berechtigungskonzepten
- Minimale Anzahl an Administratoren
- Verwaltung von Benutzerrechten durch Administratoren
- Personal Firewall
- Richtlinie zum Einsatz von USB-Sticks
Weitergabekontrolle
Alle Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.
- E-Mail-Verschlüsselung (S/MIME, PGP, TLS, vergleichbar)
- Protokollierung der Zugriffe und Abrufe
- Daten werden nur an autorisierte Dritte weitergegeben
- Pseudonymisierung
- Verschlüsselung von Datenträgern und Verbindungen
- Dedizierte Weitergabeberechtigungen
- Bereitstellung über verschlüsselte Verbindungen wie sftp, https
- Nutzung von Signaturverfahren
Eingabekontrolle
Alle Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.
- Protokollierung von Dateneingaben, Änderungen und Löschungen
- Manuelle oder automatisierte Kontrolle der Protokolle
- Übersicht, mit welchen Programmen welche Daten eingegeben, geändert oder gelöscht werden können
- Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen (nicht Benutzergruppen)
- Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts
- Aufbewahrung von Formularen, von denen Daten in automatisierte Verarbeitungen übernommen worden sind
- Klare Zuständigkeiten für Löschungen
- Administratoren- und Stellvertreterkonzept
Auftragskontrolle
Alle Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können.
- Vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmaßnahmen und deren Dokumentation
- Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (besonders im Hinblick auf Datenschutz und Datensicherheit)
- Abschluss der notwendigen Vereinbarung zur Auftragsverarbeitung bzw. EU-Standard-Vertragsklauseln
- Schriftliche Weisungen an den Auftragnehmer
- Verpflichtung der Mitarbeiter des Auftragnehmers auf Datengeheimnis
- Verpflichtung zur Bestellung eines Datenschutzbeauftragten durch den Auftragnehmer, falls eine Bestellpflicht besteht
- Vereinbarung wirksamer Kontrollrechte gegenüber dem Auftragnehmer
- Regelung zum Einsatz weiterer Subunternehmer
- Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags
Verfügbarkeitskontrolle / Integrität
Alle Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.
- Feuer- und Rauchmeldeanlagen
- USV (unterbrechungsfreie Stromversorgung)
- Datenschutztresor (S60DIS, S120DIS, andere geeignete Normen mit Quelldichtung etc.)
- RAID System / Festplattenspiegelung
- Backup & Recovery-Konzept (ausformuliert)
- Ständig kontrolliertes Backup- und Recoverykonzept
- Notfallkonzept durch eigene IT und externen Dienstleister
- Durchführung von Belastbarkeitstests
- Technischer Schutz vor Datenverlust und unbefugten Zugriffen durch Virenschutz, Anti-Spyware und Spamfilter
- Separater Überspannungsschutz
- Zusätzliche Sicherungskopien mit Lagerung an besonders geschützten Orten
- Differenzielle und Komplett-/Vollsicherung, cloudbasiert und durch NAS-System
- Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse
- Existenz eines Notfallplans (z.B. BSI IT Grundschutz 100-4)
- Getrennte Partitionen für Betriebssysteme und Daten
Gewährleistung des Zweckbindungs-/Trennungsgebotes
Alle Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.