Anlage 2 zum Auftrag gemäß Art. 28 DS-GVO

 

TOM – Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

 

  1. Vertraulichkeit

 

Zutrittskontrolle Rechenzentrum in Nürnberg

 

  • elektronisches Zutrittskontrollsystem mit Protokollierung
  • dokumentierte Schlüsselvergabe an Mitarbeiter und Colocation- Kunden für Colocation Racks (jeder Auftraggeber ausschließlich für seinen Colocation Rack)
  • Richtlinien zur Begleitung und Kennzeichnung von Gästen im Gebäude
  • Videoüberwachung an den Ein- und Ausgängen, Sicherheitsschleusen und Serverräumen
  • Der Zutritt für betriebsfremde Personen (z.B. Besucherinnen und Besucher) zu den Räumen ist wie folgt beschränkt: nur in Begleitung eines Mitarbeiters

 

Zutrittskontrolle Verwaltung

 

  • elektronisches Zutrittskontrollsystem mit Protokollierung
  • Videoüberwachung an den Ein- und Ausgängen
  • Alarmanlage

 

Zugangskontrolle

 

bei Hauptauftrag „Dedicated Server“, „Colocation Server“, „VServer“

  • Server-Passwörter, welche nur vom Auftraggeber nach erstmaliger Inbetriebnahme von ihm selbst geändert werden und dem Auftragnehmer nicht bekannt sind
  • Das Passwort zur Administrationsoberfläche wird vom Auftraggeber selbst vergeben – die Passwörter müssen vordefinierte Richtlinien erfüllen. Zusätzlich steht dem Auftraggeber dort eine Zwei-Faktor- Authentifizierung zur weiteren Absicherung seines Accounts zur Verfügung.

 

bei Hauptauftrag „Managed Server“, „Webhosting“

  • Zugang ist passwortgeschützt, Zugriff besteht nur für berechtigte Mitarbeiter vom Auftragnehmer; verwendete Passwörter müssen Mindestlänge haben und werden in regelmäßigen Abständen erneuert

 

Zugriffskontrolle

 

bei internen Verwaltungssystemen des Auftragnehmers

  • Durch regelmäßige Sicherheitsupdates (nach dem jeweiligen Stand der Technik) stellt der Auftragnehmer sicher, dass unberechtigte Zugriffe verhindert werden.
  • Revisionssicheres, verbindliches Berechtigungsvergabeverfahren für Mitarbeiter des Auftragnehmers
  • Gehäuseverriegelungen (Messung von Öffnung via IPMI)

 

bei Hauptauftrag „Dedicated Server“, „Colocation Server“, „VServer“

  • Die Verantwortung der Zugriffskontrolle obliegt dem Auftraggeber.

 

bei Hauptauftrag „Managed Server“, „Webhosting“

  • Durch regelmäßige Sicherheitsupdates (nach dem jeweiligen Stand der Technik) stellt der Auftragnehmer sicher, dass unberechtigte Zugriffe verhindert werden.
  • Revisionssicheres, verbindliches Berechtigungsvergabeverfahren für Mitarbeiter des Auftragnehmers
  • Für übertragene Daten/Software ist einzig der Auftragnehmer in Bezug auf Sicherheit und Updates zuständig.
  • Gehäuseverriegelungen (Messung von Öffnung via IPMI)

 

Datenträgerkontrolle

  • Festplatten werden mit einem definierten Verfahren mehrfach überschrieben (gelöscht). Nach Überprüfung werden die Festplatten wieder eingesetzt.
  • Defekte Festplatten, die nicht sicher gelöscht werden können, werden direkt im Rechenzentrum zerstört (geschreddert).

 

Trennungskontrolle

 

bei internen Verwaltungssystemen des Auftragnehmers

  • Daten werden physisch oder logisch von anderen Daten getrennt gespeichert.
  • Die Datensicherung erfolgt ebenfalls auf logisch und/oder physisch getrennten Systemen.
  • Sichere Aufbewahrung von Datenträgern

 

bei Hauptauftrag „Dedicated Server“, „Colocation Server“, „VServer“

  • Die Trennungskontrolle obliegt dem Auftraggeber.

 

bei Hauptauftrag „Managed Server“, „Webhosting“

  • Daten werden physisch oder logisch von anderen Daten getrennt gespeichert.
  • Die Datensicherung erfolgt ebenfalls auf logisch und/oder physisch getrennten Systemen.

 

Pseudonymisierung

  • Für die Pseudonymisierung ist der Auftraggeber verantwortlich

 

  1. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

 

Weitergabekontrolle

  • Alle Mitarbeiter sind i.S.d. Art. 32 Abs.4 DSGVO unterwiesen und verpflichtet, den datenschutzkonformen Umgang mit personenbezogenen Daten sicherzustellen.
  • Datenschutzgerechte Löschung der Daten nach Auftragsbeendigung.
  • Möglichkeiten zur verschlüsselten Datenübertragung werden im Umfang der Leistungsbeschreibung des Hauptauftrages zur Verfügung gestellt.

 

Eingabekontrolle

  • bei internen Verwaltungssystemen des Auftragnehmers
  • Die Daten werden vom Auftraggeber selbst eingegeben bzw. erfasst.
  • Änderungen der Daten werden protokolliert.
  • bei Hauptauftrag „Dedicated Server“, „Colocation Server“, „VServer“
  • Die Verantwortung der Eingabekontrolle obliegt dem Auftraggeber.
  • bei Hauptauftrag „Managed Server“, „Webhosting“
  • Die Daten werden vom Auftraggeber selbst eingegeben bzw. erfasst.
  • Änderungen der Daten werden protokolliert.

 

III. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)

 

Verfügbarkeitskontrolle

 

bei internen Verwaltungssystemen des Auftragnehmers

  • Backup- und Recovery-Konzept mit täglicher Sicherung aller relevanten Daten.
  • Sachkundiger Einsatz von Schutzprogrammen (Virenscanner, Firewalls, Verschlüsselungsprogramme, SPAM-Filter).
  • Einsatz von Festplattenspiegelung bei allen relevanten Servern.
  • Monitoring aller relevanten Server.
  • Einsatz unterbrechungsfreier Stromversorgung, Netzersatzanlage. (inkl. regelmäßigen Belastungstests)
  • Klimatisierung der Serverräume
  • Permanente Überwachung der Umweltparameter
  • Feuer- und Rauchmeldeanlagen in allen Räumen mit direkter Alarm Aufschaltung
  • Dauerhaft aktiver DDoS-Schutz.

 

bei Hauptauftrag „Dedicated Server“, „Colocation Server“, „V Server“

  • Datensicherung obliegt dem Auftraggeber.
  • Klimatisierung (n+1 Konzept)
  • Permanente Überwachung der Umweltparameter
  • Einsatz unterbrechungsfreier Stromversorgung, Netzersatzanlage. (inkl. regelmäßigen Belastungstests)
  • Flächendeckende Brandmeldeanlage mit Brandfrüherkennung und direkter Aufschaltung zur Feuerwehr Nürnberg
  • Dauerhaft aktiver DDoS-Schutz.

 

bei Hauptauftrag “Managed Server“, „Webhosting“,

  • Backup- und Recovery-Konzept mit täglicher Sicherung der Daten je nach gebuchten Leistungen des Hauptauftrages.
  • Einsatz von Festplattenspiegelung.
  • Klimatisierung (n+1 Konzept)
  • Permanente Überwachung der Umweltparameter
  • Einsatz unterbrechungsfreier Stromversorgung, Netzersatzanlage. (inkl. regelmäßigen Belastungstests)
  • Flächendeckende Brandmeldeanlage mit Brandfrüherkennung und direkter Aufschaltung zur Feuerwehr Nürnberg
  • Einsatz von Softwarefirewall und Portreglementierungen.
  • Dauerhaft aktiver DDoS-Schutz.

 

Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DS-GVO);

  • Für alle internen Systeme ist eine Eskalationskette definiert, die vorgibt wer im Fehlerfall zu informieren ist, um das System schnellstmöglich wiederherzustellen.

 

  1. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)
  • Das Datenschutz-Managementsystem und das Informationssicherheitsmanagementsystem wurden zu einem DIMS (Datenschutz- Informationssicherheits-Management-System) vereint.
  • Incident-Response-Management ist vorhanden.
  • Datenschutzfreundliche Voreinstellungen werden bei Softwareentwicklungen berücksichtigt (Art. 25 Abs. 2 DS-GVO).
  • Auftragskontrolle
  • Unsere Mitarbeiter werden in regelmäßigen Abständen im Datenschutzrecht unterwiesen und sie sind vertraut mit den Verfahrensanweisungen und Benutzerrichtlinien für die Datenverarbeitung im Auftrag, auch im Hinblick auf das Weisungsrecht des Auftraggebers. Die AGB enthalten detaillierte Angaben über Art und Umfang der beauftragten Verarbeitung und Nutzung personenbezogener Daten des Auftraggebers.