Technische und Organisatorische Maßnahmen (TOM) Zur Gewährleistung des Auftragnehmers zur gesetzesmäßigen Verarbeitung von personenbezogenen Daten im Auftrag, werden folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO eingehalten: Vertraulichkeit Zutrittskontrolle (z.B. für Gebäude und Räume, aber auch Schränke) Mindestmaßnahmen, mit denen Unbefugten der Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet werden, verwehrt wird: Rechenzentrum Elektronisches Zutrittskontrollsystem mit Protokollierung Richtlinien zur Begleitung und Kennzeichnung von Gästen im Gebäude 24/7 personelle Besetzung der Rechenzentren Videoüberwachung an den Ein- und Ausgängen Büroräume (LimeSurvey GmbH) Besucher können Büroräume nicht unbeaufsichtigt betreten. Eingangstüren zu Büroräumen sind besonders widerstandsfähig und aus Metall. Alle Türen sind mit Sicherheitsschlössern ausgestattet. Sichere Schließanlage mit Transponderkarten Individuell abschließbare Schränke Zugangskontrolle (keine unbefugte Systembenutzung, z.B. unerlaubtes Hochfahren oder unbefugte Anmeldung in Systemen) Mindestmaßnahmen, mit denen die Nutzung von Datenverarbeitungssystemen durch Unbefugte verhindert wird: Rechenzentrum Die Passwörter für die bereitgestellten dedizierten Server werden vom Auftraggeber LimeSurvey GmbH nach erstmaliger Inbetriebnahme selbst geändert und sind dem Auftragnehmer (Rechenzentrum) nicht bekannt. Software (LimeSurvey) Passwörter in LimeSurvey werden ausschließlich durch Auftraggeber festgelegt. Passwörter werden nicht direkt gespeichert, sondern nur ein Salted SHA-256 Hash Systemadministration der Server (LimeSurvey GmbH) Ausschließliche Authentifikation mit asymmetrischem Kryptosystem (Verschlüsselung durch Public- und Private- Keys) Büroräume/Mitarbeiter (LimeSurvey GmbH) Die Authentifizierung gegenüber dem Betriebssystem und den Anwendungen erfolgt per individueller Benutzerkennung und Passwort Automatische Sperre durch Bildschirmschoner mit Passworteingabe nach 5 Minuten Inaktivität. Die Mitarbeiter sind außerdem angewiesen, den Arbeitsplatz-Rechner beim Verlassen des Raumes zu sperren. Die Mitarbeiter sind angewiesen, Passwörter geheim zu halten und bei Verdacht auf Kompromittierung zu ändern An die Passwörter werden folgende Mindestanforderungen gestellt: Das Passwort muss mindestens 10 Zeichen haben. Das Passwort muss Zeichen aus mindestens drei der folgenden vier Gruppen enthalten: a-z, A-Z, 0-9, sonstige druckbare ASCII-Zeichen. Um die Gefahr zu reduzieren, dass Passwörter erraten werden, dürfen keine Trivial-Passwörter verwendet werden (trivial wäre ein Wort aus einem Lexikon, Name oder Vorname, die Benutzerkennung, das Geburtsdatum, das Kfz-Kennzeichen, die Telefonnummer oder andere Angaben aus dem persönlichen Umfeld des Benutzers, die auch anderen Personen bekannt sein können). Mitarbeiter sind angewiesen ihre Rechner-Festplatten komplett zu verschlüsseln, sowohl für Desktop-PCs als auch für mobile PCs (Notebooks, Laptops). Mitarbeiter ist es untersagt mobile Datenträger ohne vorherige Absprache zu verwenden oder betriebsfremde Software zu installieren. Zugriffskontrolle (Anwendungen ausführen, unerlaubte Tätigkeiten in IT-Systemen und Zugriffe auf Daten, Applikationen und Schnittstellen verhindern) Mindestmaßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugangsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung nicht unbefugt, gelesen, kopiert, verändert oder entfernt werden können: Systemadministration (LimeSurvey GmbH) Anzahl der Administratoren auf das „Notwendigste“ reduziert Vollständige und ordnungsgemäße Löschung/ Vernichtung von Datenträgern vor einer anderweitigen Verwendung oder Weitergabe Verwaltung der System- und Benutzer-Rechte durch definierte Systemadministratoren Büroräume/Mitarbeiter (LimeSurvey GmbH) Anzahl der Administratoren auf das „Notwendigste“ reduziert Die Datenverarbeitungssysteme (Internet, E-Mail, Serversysteme, etc …) werden ausschließlich für berufliche Belange genutzt. Inhalte/Daten dürfen nur dann auf einem Server oder dem eigenen PC gespeichert werden, wenn dies für berufliche Belange erforderlich ist. Nicht mehr benötigte Inhalte/Daten sind zu löschen. Regelmäßige Überprüfung und Aktualisierung der Berechtigungen einschließlich Sperrung von z.B. ausgeschiedenen Mitarbeitern Zugriffsprotokollierung und Auswertung findet mindestens jährlich statt Überprüfung und Dokumentation, an welche Stellen personenbezogene Daten übermittelt wurden (Übertragungskontrolle) Laufwerksspezifischer Zugriff Vollständige und ordnungsgemäße Löschung/ Vernichtung von Datenträgern vor einer anderweitigen Verwendung oder Weitergabe Einsatz von Aktenvernichtern einer angemessen hohen Sicherheitsstufe Verbot von Bring-Your-Own-Device Trennungskontrolle Mindestmaßnahmen, die gewährleisten, dass personenbezogene Daten, die zu unterschiedlichen Zwecken und für verschiedene Auftraggeber erhobene Daten wurden, getrennt verarbeitet werden: Logische Mandantentrennung (softwareseitig) Festlegung von individuellen Datenbankrechten Getrennte Datenbank und Datenbank-Benutzer mit Passwort für jeden Auftraggeber Mit der Vertragssoftware erhobene Daten werden nur vom Auftraggeber bzw. zu dem im Vertrag definierten Zweck verwendet. Pseudonymisierung Die Verarbeitung erfolgt, soweit möglich, in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer natürlichen Person zuzuordnen sind. LimeSurvey Webseite Die Erfassung von IP-Adressen wird in der Systemadministration vermieden und erfasste IP-Adresse werden durch Kürzung anonymisiert. LimeSurvey SaaS Möglichkeit der Anonymisierung/Pseudonymisierung durch den Auftraggeber Integrität Weitergabekontrolle Mindestmaßnahmen, die gewährleisten, dass personenbezogene Date bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können: Rechenzentrum Alle Mitarbeiter sind in Sachen Datenschutz geschult/belehrt worden. Datenschutzgerechte Löschung der Daten nach Auftragsbeendigung. Software (LimeSurvey) SSL Verbindungen immer verfügbar (standardmäßig aktiviert, kann von Auftraggeber jederzeit selbst innerhalb der Software aktiviert/deaktiviert werden) Büroräume/Mitarbeiter (LimeSurvey GmbH) Die Nutzung von mobilen Datenträgern ist grundsätzlich untersagt. Alle Mitarbeiter sind auf Verschwiegenheit nach Art. 5 Abs. 2 DSGVO verpflichtet. Die E-Mail-Kommunikation und der Zugriff auf Dokumente der Mitarbeiter von LimeSurvey GmbH werden durch Verschlüsselung und Firewalls geschützt. Verwendung von VPN bei mobilem Zugriff auf das Firmennetzwerk Eingabekontrolle (Nachvollziehbarkeit, Dokumentation) Mindestmaßnahmen, die gewährleisten, dass nachträglich überprüft werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssystemen eingegeben, verändert oder entfernt werden können: Software (LimeSurvey) Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten durch Auftraggeber Möglichkeit der Aktivierung eines Audit-Logs durch den Auftraggeber um Datenänderungen zu protokollieren Büroräume/Mitarbeiter (LimeSurvey GmbH) Alle Mitarbeiter unterzeichnen eine Verschwiegenheitsklausel, die auch den Auftraggeber über die Beschäftigung hinaus schützt. Alle Mitarbeiter des Auftragnehmers können nur auf solche Daten zugreifen, die für ihre Arbeit erforderlich sind. Mitarbeiter dürfen nur auf Daten eines Kunden im Rahmen fest definierter Regeln zugreifen Verfügbarkeit Verfügbarkeitskontrolle Mindestmaßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust, gegen technische Störungen durch das Versagen der Betriebs-/Anwendungssoftware, vor fahrlässigen/vorsätzlichen Handlungen, vor schadenstiftender Software geschützt sind: Rechenzentrum Einsatz unterbrechungsfreier Stromversorgung (USV) Geräte zur Überwachung von Temperatur und Feuchtigkeit in Serverräumen Feuer- und Rauchmeldeanlagen Das Brandfrühesterkennungssystem ist mit der Brandmeldezentrale der örtlichen Feuerwehr verbunden Klimaanlage in Serverräumen Systemadministration (LimeSurvey Cloud) Einsatz von Intrusion-Detection-Systemen Einsatz von Anti-Viren-Software Einsatz einer Software-Firewall Regelmäßige Aktualisierung aller Softwarekomponenten, mindestens alle 7 Tage. Backup- & Recoverykonzept: Generelle Datensicherung für alle Benutzerdateien (Bilder, Designvorlagen usw.) werden alle 24 Stunden inkrementell (also nur Änderungen) gesichert. Eine Hauptsicherung wird alle 7 Tage durchgeführt. Es werden maximal 2 Hauptsicherungen vorgehalten. Die Daten in der Benutzerdatenbank werden alle 24 Stunden komplett gesichert. Es werden die letzten 7 Tage täglich vorgehalten; wöchentliche Sicherungen werden für 4 Wochen vorgehalten. Alle Daten werden bei der Sicherung verschlüsselt und auf einem speziellen externen Datensystem gespeichert (im gleichen Rechenzentrum). Alle Server sind generell mit Raid 1 Festplatten-Systemen ausgestattet, bei einem Festplattenausfall läuft nach einer kurzen Betriebsunterbrechung (Neustart des Servers) die Software auf einer Festplatte weiter. In der Regel wird die defekte Festplatte innerhalb von 24 Stunden getauscht, so dass dann wieder die volle Sicherheit gegeben ist. Kontrolle (Sonstige, Überprüfung, Bewertung und Evaluierung) Mindestmaßnahmen, die sicherstellen, dass die Maßnahmen geeignet sind, die Sicherheit zu gewährleisten und den Belastungen standhalten, möglichst mit festen Mindestzeitintervallen Generell Gemäß den rechtlichen Vorgaben wird ein externer Datenschutzbeauftragter beschäftigt. Angestellte werden in Sachen Datenschutz geschult Rechenzentrum Daten werden physikalisch oder logisch von anderen Daten getrennt gespeichert. Die Datensicherung erfolgt ebenfalls auf logisch und/oder physikalisch getrennten Systemen. LimeSurvey Logische Mandantentrennung (softwareseitig) Festlegung von individuellen Datenbankrechten Getrennte Datenbank und Datenbank-Benutzer mit Passwort für jeden Auftraggeber Mit der Vertragssoftware erhobene Daten werden nur vom Auftraggeber bzw. zu dem im Vertrag definierten Zweck verwendet.