OMTO GmbH (OMTO) hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DSGVO herzustellen. Bei den nachfolgend aufgeführten technischen und organisatorischen Maßnahmen (TOM) handelt es sich um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Die TOM gelten für alle von OMTO angebotenen digitalen Dienste, die OMTO im Rahmen der Auftragsverarbeitung (Art. 28 DSGVO) ausführt.
Die TOM beziehen sich auf die personenbezogenen Daten der Nutzer der digitalen Dienste (Nutzerdaten) sowie auf die personenbezogenen Daten, die für den Auftraggeber als Verantwortlichen oder Oberauftragsverarbeiter verarbeitet werden (Inhaltsdaten). Zu den Inhaltsdaten gehören insbesondere die Datenkategorien aus dem Formular „Verordnung einer Krankenbeförderung Muster 4“.
Die TOM unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es OMTO gestattet, alternative adäquate Maßnahmen zu implementieren. Das Sicherheitsniveau der bestehenden Maßnahmen wird dabei nicht unterschritten und wesentliche Änderungen werden dokumentiert.
OMTO betreibt die digitalen Dienste ausschließlich auf der Infrastruktur des auf externes Server-Hosting spezialisierten Sub-Auftragsverarbeiters Amazon Web Services EMEA SARL (AWS) am Standort Frankfurt am Main. In den Räumlichkeiten von OMTO selbst werden keine Nutzerdaten oder Inhaltsdaten gespeichert oder verarbeitet. Die AWS-Datenzentren genügen höchsten Sicherheits- und Datenschutzanforderungen und wurden u.a. hinsichtlich folgender Normen geprüft:
AWS ist so konzipiert, dass Kunden die Kontrolle über ihre Inhalte haben, einschließlich wo und wie sie gespeichert werden, sowie wer Zugriff darauf hat. Insbesondere mit den folgenden Optionen behält OMTO während des gesamten Lebenszyklus der Inhalte die Kontrolle z.B. über die Klassifizierung der Inhalte, Zugriffskontrolle, Aufbewahrung und Löschung der Daten:
Der Serverstandort ist Frankfurt am Main. Aktuelle Angaben zum Sicherheitskonzept von AWS sind abrufbar unter: https://aws.amazon.com/de/about-aws/global-infrastructure/
Informationen zu den TOM für das externe Server-Hosting sind abrufbar unter: https://aws.amazon.com/de/compliance/data-center/controls/
OMTO nutzt für einzelne Schritte innerhalb der digitalen Dienste (z.B. Form Validation) die Plattform Microsoft Azure. Die Cloudplattformen und -dienste von Microsoft genügen höchsten Sicherheits- und Datenschutzanforderungen und sind nach ISO/IEC 27001:2013 Information Security Management Standards zertifiziert.
Der Ort der Datenverarbeitung (Datenresidenz) ist Deutschland. Microsoft speichert oder verarbeitet Kundendaten außerhalb der vom Kunden angegebenen Geografie nicht ohne dessen Genehmigung. Aktuelle Angaben zur Datenresidenz in Azur sind abrufbar unter: https://azure.microsoft.com/de-de/explore/global-infrastructure/data-residency/#select-geography
Informationen zu den TOM für die Dienste in Microsoft Azure sind abrufbar unter: https://learn.microsoft.com/de-de/compliance/regulatory/gdpr-arc-azure-dynamics
Da OMTO die Infrastruktur von AWS nutzt, beschränken sich die nachstehenden Informationen auf die von OMTO selbst implementierten allgemeinen TOM. Im Übrigen wird ausdrücklich auf die oben verlinkten Informationen zu den TOM von AWS und Microsoft Azure Bezug genommen.
Ein Zutritt zu den Rechenzentren, in denen Nutzer- und Inhaltsdaten gespeichert werden, ist nur dann möglich, wenn die Zutrittsrichtlinien des Anbieters einen solchen Zutritt vorsehen. Eine Datenverarbeitung außerhalb des Rechenzentrums erfolgt nicht, der Zugriff erfolgt über Client-Geräte. Um sicherzustellen, dass Unbefugten der Zutritt zu Client-Geräten, mit denen Daten abgerufen oder genutzt werden, verwehrt ist, trifft OMTO folgende Maßnahmen:
Zur Verhinderung des Eindringens in das Datenverarbeitungs-System seitens unbefugter Personen, sowie zur Sicherstellung, dass der Versuch eines unbefugten Zugangs nicht unbemerkt bleibt, trifft OMTO folgende Maßnahmen:
Um sicherzustellen, dass die zur Benutzung der Datenverarbeitungsanlagen befugten Personen ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personen- bezogenen Daten zugreifen können und unbefugtes Lesen, Kopieren, Verändern verhindert wird sowie der Versuch des unbefugten Zugriffs nicht unbemerkt bleibt, trifft OMTO folgende Maßnahmen:
Um sicherzustellen, dass personenbezogene Daten bei der elektronischen Übertragung oder während des Transportes oder ihrer Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass ein Transport von Datenträgern mit personenbezogenen Daten so durchgeführt wird, dass kein Material verloren gehen kann, trifft OMTO folgende Maßnahmen:
Um sicherzustellen, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, trifft OMTO folgende Maßnahmen:
Um sicherzustellen, dass personenbezogene Daten, die von etwaig eingesetzten Dienstleistern verarbeitet werden, nur entsprechend der Weisungen verarbeitet werden können, trifft OMTO folgende Maßnahmen:
Um sicherzustellen, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können, trifft OMTO folgende Maßnahmen:
Grundsätzlich sorgt AWS für die Verfügbarkeit und Wiederherstellbarkeit der Daten. Informationen hierzu sind abrufbar unter:https://aws.amazon.com/de/architecture/security-identity-compliance/
Zur Sicherstellung der Verfügbarkeit von personenbezogenen Daten, dem Schutz gegen zufällige Zerstörung oder Verlust und Gewährleistung der Wiederherstellung der Systeme im Störungsfall achtet OMTO darauf, dass folgende Maßnahmen implementiert sind:
Zum Zweck datenschutzfreundlicher Voreinstellung (Privacy by Default) und durch Technikgestaltung (Privacy by Design) achtet OMTO bei Entwicklung der Dienste allgemein darauf, dass nur die personenbezogenen Daten erhoben werden, die zur Erfüllung des jeweiligen Zwecks auch tatsächlich erforderlich sind.
OMTO hat einen externen Datenschutzbeauftragten bestellt, zu dessen Aufgaben die Entwicklung, Einrichtung und Überwachung eines Datenschutz-Managementsystems sowie die Kontrolle der Verarbeitungstätigkeiten und Datenschutzmaßnahmen gehört.
Regelmäßig findet eine Risikoanalyse durch die IT-Verantwortlichen bei OMTO statt, um die aktuelle Bedrohungslage einzuschätzen und etwaige Maßnahmen zur Umsetzung abzuleiten.