Seitenhistorie

Maßnahmen zur Umsetzung der Anforderungen des Bundesdatenschutzgesetzes

...

und der DSGVO

Vorwort

Die Einhaltung datenschutzrechtlicher Vorschriften liegt uns sehr am Herzen. Wir sind kontinuierlich bestrebt, geeignete Maßnahmen zu implementieren, um dies zu gewährleisten.

...

Zugangs- und Zutrittskontrolle

Wir unterhalten keine öffentlich zugänglichen Räume oder Ladenflächen.

...

In den Büro- und Präsentationsräumen öffentlich zugängliche Netzwerkports sind mit RJ45-Port-Blockern gegen unberechtigte Nutzung physikalisch gesichert. Netzwerkkabel zwischen berechtigten nicht-mobilen Endgeräten und Netzwerkdosen sind mit RJ45-Secure-Clips gegen unberechtigtes Abziehen gesichert.
In den Büro- und Präsentationsräumen öffentlich zugängliche USB-A-Ports sind mit USB-Port-Blockern gegen unberechtigte Nutzung physikalisch gesichert.
Schlüssel zum Öffnen von Port-Blockern und Secure-Clips stehen berechtigtem Personal zur Anbringung an einem Schlüsselbund zur Verfügung.

Datenträgerkontrolle

Speicherkontrolle

Benutzerkontrolle

Zugriffskontrolle

Für die Zugriffssteuerung setzen wir ein differenziertes Berechtigungskonzept ein, das auf der Mitgliedschaft einzelner Mitarbeiter in verschiedenen Berechtigungsgruppen beruht (Role-Based Access Control (RBAC); Active Directory Benutzer und Gruppen). Die Standardrechte unterliegen hierbei maximalen Einschränkungen und werden nur bei Bedarf erweitert. Die Entscheidung über Vergabe und Entzug von Rechten obliegt der Geschäftsführung. Sofern Mitarbeiter das Unternehmen verlassen, werden unverzüglich alle Rechte entzogen – der zugehörige Active Directory Benutzer wird gesperrt.

...

Kundennetze werden als nicht-vertrauenswürdige Netze betrachtet und entsprechend behandelt.

Weitergabekontrolle

Systeme, die zur Übertragung personenbezogener oder vertraulicher Daten eingesetzt werden, müssen mindestens eine Transportverschlüsselung einsetzen. Die damit zwingend einhergehenden Fehlererkennungs- und -korrekturverfahren sichern die Integrität der zu übermittelnden Daten. Mitarbeiter sollen Übertragungsweisen bevorzugen, die eine Ende-zu-Ende-Verschlüsselung unterstützen (z.B. Bereitstellung von Daten per Download über unsere flux.cloud-Plattform).

...

Mitarbeiter sind im Rahmen ihres Arbeitsvertrags zur Geheimhaltung und auf das Datengeheimnis nach § 5 BDSG verpflichtet. Diese Verpflichtung überdauert das Arbeitsverhältnis und besteht auch nach dessen Beendigung fort.

Eingabekontrolle

Die von uns eingesetzten Systeme zur Erhebung, Verarbeitung, Speicherung und Nutzung von Daten bestehen hauptsächlich aus unserem Ticketsystem (Jira) und Wiki (Confluence) des Herstellers Atlassian sowie unserem Dokumentenmanagement- bzw. Enterprise Content Management System des Herstellers bitfarm Informationssysteme GmbH. Die Systeme protokollieren vollumfänglich jede Änderung an Daten sowie administrative Tätigkeiten inklusive des durchführenden Benutzers.

...

Die zur Erhebung, Verarbeitung, Speicherung und Nutzung von Daten verwendeten System werden mindestens zwei Mal pro Tag im Rahmen eines Backups gesichert und mindestens einmal am Tag an einen weiteren externen Ort zur Sicherung übermittelt, wodurch eine Sicherung der Protokolle gegen Verlust oder Veränderung umgesetzt wird. Hierfür verwenden wir eine Software des Herstellers Veeam. Für die Übermittlung und Speicherung der extern gesicherten Daten wird neben einer Transportverschlüsselung auch eine Datenverschlüsselung eingesetzt.

Auftragskontrolle

Wir setzen derzeit keine externen Auftragnehmer für die Betreuung unserer eigenen Datenverarbeitungsanlagen ein. Alle von uns eingesetzten Dienste und System werden – mit Ausnahme von Microsoft Office 365-Diensten (Exchange Online, Azure AD Verzeichnisdienst, Azure Virtualisierungsplattform für Hosting, OneDrive for Business, Skype for Business, SharePoint Online) – "on premise", auf unseren eigenen Servern an unserem Hauptstandort in Nürtingen betrieben. An einem weiteren eigenen Standort in Nürtingen, werden verschlüsselte Offsite-Backups aufbewahrt.

...

Wie unter Technische und organisatorische Maßnahmen nach BDSG Weitergabekontrolle, Absatz 8 beschrieben, fallen beim Anbieter TeamViewer GmbH Verkehrsdaten an. Darüberhinaus hätte der Anbieter die Möglichkeit eines Man-in-the-Middle-Angriffs auf TeamViewer-Sitzungen. TeamViewer wurde einer sicherheitstechnischen Prüfung der FIDUCIA IT AG sowie einem BISG-Gutachten unterzogen. Darüberhinaus ist TeamViewer SOC 2 zertifiziert.

...

Zum Zwecke der Buchführung und Erstellung von Jahresabschlüssen und deren Prüfung, ist nicht auszuschließen, dass personenbezogene Daten auf Belegen (Lieferscheine, Rechnungen, etc.) oder aus Fahrtenbüchern (Ansprechpartner eines Termins) an die Steuerberatungskanzlei Schlüter + Kollegen GmbH (Pfullingen) und die DATEV eG (Nürnberg) übermittelt werden. Die Datenschutzvereinbarung und das Verfahrensverzeichnis der DATEV eG befindet sich abrufbar unter: https://www.datev.de/web/de/m/ueber-datev/datenschutz/.
Mitarbeiter der Schlüter + Kollegen GmbH sind als Berufsgeheimnisträger zu besonderer Sorgfalt und Geheimhaltung verpflichtet. Das Unternehmen hat einen Datenschutzbeauftragten zur Prüfung und ordnungsgemäßen Umsetzung von Anforderungen aus Datenschutzgesetzen bestellt.

Verfügbarkeitskontrolle

Unsere Datenverarbeitungsanlagen sind vollständig mindestens zweifach-redundant ausgelegt. Jeweils zwei Online-USVs versorgen die redundanten Netzteile eines Servers oder PoE-Switches und sichern diese gegen Überspannung und Stromausfälle ab. Netzwerkverbindungen zu Servern sind durch Link-Aggregationen mindestens vierfach-redundant. Betriebssystemspeicher sind RAID-1 datengespiegelt. Alle weiteren Datenspeicher befinden sich auf RAID-5 Volumes mit einem Hotspare-Laufwerk oder auf RAID-6 Volumes.

...

Die externe Netzwerkanbindung wird über einen Multi-WAN-Router realisiert, der einen Kabelnetzanschluss, DSL und zwei LTE-Verbindungen bündelt.

Umsetzung des Trennungsgebots

Wie unter Technische und organisatorische Maßnahmen nach BDSG Zugriffskontrolle, Absatz 15 beschrieben, setzen wir auf eine hostbasierte Dienstetrennung (Trennung nach internen und externen Daten). Darüberhinaus sind einzelne Dienste innerhalb der Hosts jeweils containervirtualisiert (Docker) und ermöglichen so eine sehr differenzierte Trennung der Dienste (wie Ticketsystem, Wiki, Buchhaltung/Warenwirtschaft, Dokumentenmanagement, etc.).

...

Mitarbeiter sind in Rechtegruppen unterteilt (z.B. Buchhaltung, Service/Support, Geschäftsführung, etc.), die mit unterschiedlichen Zugriffsrechten unterschiedlichem Funktionsumfang innerhalb einzelner Dienste einhergehen.

Zukunftsplanung

Wir planen die Einführung von 802.1x Authentifizierung und Autorisierung von Netzwerkgeräten zur Verbesserung der Zugriffskontrolle. Unsere Netzwerkhardware ist hierfür bereits vorbereitet.