Zurück

Technische und organisatorische Maßnahmen

Einleitung

OMTO GmbH (OMTO) hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DSGVO herzustellen. Bei den nachfolgend aufgeführten technischen und organisatorischen Maßnahmen (TOM) handelt es sich um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Die TOM gelten für alle von OMTO angebotenen digitalen Dienste, die OMTO im Rahmen der Auftragsverarbeitung (Art. 28 DSGVO) ausführt.

Die TOM beziehen sich auf die personenbezogenen Daten der Nutzer der digitalen Dienste (Nutzerdaten) sowie auf die personenbezogenen Daten, die für den Auftraggeber als Verantwortlichen oder Oberauftragsverarbeiter verarbeitet werden (Inhaltsdaten). Zu den Inhaltsdaten gehören insbesondere die Datenkategorien aus dem Formular „Verordnung einer Krankenbeförderung Muster 4“.

Die TOM unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es OMTO gestattet, alternative adäquate Maßnahmen zu implementieren. Das Sicherheitsniveau der bestehenden Maßnahmen wird dabei nicht unterschritten und wesentliche Änderungen werden dokumentiert.

Infrastruktur / externes Server-Hosting

OMTO betreibt die digitalen Dienste ausschließlich auf der Infrastruktur des auf externes Server-Hosting spezialisierten Sub-Auftragsverarbeiters Amazon Web Services EMEA SARL (AWS) am Standort Frankfurt am Main. In den Räumlichkeiten von OMTO selbst werden keine Nutzerdaten oder Inhaltsdaten gespeichert oder verarbeitet. Die AWS-Datenzentren genügen höchsten Sicherheits- und Datenschutzanforderungen und wurden u.a. hinsichtlich folgender Normen geprüft:

  • BSI C5-Testat
  • SO/IEC 27001:2013 (ISO - International Organization for Standardization)
  • SOC 1, SOC 2/SSAE 16/ISAE 3402 (SAS 70 Type II)
  • PCI Level 1

AWS ist so konzipiert, dass Kunden die Kontrolle über ihre Inhalte haben, einschließlich wo und wie sie gespeichert werden, sowie wer Zugriff darauf hat. Insbesondere mit den folgenden Optionen behält OMTO während des gesamten Lebenszyklus der Inhalte die Kontrolle z.B. über die Klassifizierung der Inhalte, Zugriffskontrolle, Aufbewahrung und Löschung der Daten:

  • OMTO definiert, wo der Inhalt gespeichert werden soll, beispielsweise den Typ und geografischen Standort der Speicherung. OMTO hat Deutschland als geografischen Standort definiert, wo ausschließlich die Datenverarbeitung stattfindet.
  • OMTO definiert das Inhaltsformat (z.B. Klartext, maskiert, anonymisiert oder verschlüsselt). OMTO definiert das Inhaltsformat in angemessener Berücksichtigung des Risikos für die jeweiligen Datenkategorien.
  • OMTO verwendet weitere Zugriffssteuerungen, etwa Identitäts- und Zugriffsmanagement sowie Sicherheitsanmeldeinformationen.

Der Serverstandort ist Frankfurt am Main. Aktuelle Angaben zum Sicherheitskonzept von AWS sind abrufbar unter: https://aws.amazon.com/de/about-aws/global-infrastructure/

Informationen zu den TOM für das externe Server-Hosting sind abrufbar unter: https://aws.amazon.com/de/compliance/data-center/controls/

Weitere Sub-Auftragsverarbeiter

OMTO nutzt für einzelne Schritte innerhalb der digitalen Dienste (z.B. Form Validation) die Plattform Microsoft Azure. Die Cloudplattformen und -dienste von Microsoft genügen höchsten Sicherheits- und Datenschutzanforderungen und sind nach ISO/IEC 27001:2013 Information Security Management Standards zertifiziert.

Der Ort der Datenverarbeitung (Datenresidenz) ist Deutschland. Microsoft speichert oder verarbeitet Kundendaten außerhalb der vom Kunden angegebenen Geografie nicht ohne dessen Genehmigung. Aktuelle Angaben zur Datenresidenz in Azur sind abrufbar unter: https://azure.microsoft.com/de-de/explore/global-infrastructure/data-residency/#select-geography

Informationen zu den TOM für die Dienste in Microsoft Azure sind abrufbar unter: https://learn.microsoft.com/de-de/compliance/regulatory/gdpr-arc-azure-dynamics

Allgemeine TOM

Da OMTO die Infrastruktur von AWS nutzt, beschränken sich die nachstehenden Informationen auf die von OMTO selbst implementierten allgemeinen TOM. Im Übrigen wird ausdrücklich auf die oben verlinkten Informationen zu den TOM von AWS und Microsoft Azure Bezug genommen.

Pseudonymisierung und Verschlüsselung

  • Bei Übertragung von personenbezogenen Daten kommen Transportverschlüsselungen nach aktuellem Stand der Technik zum Einsatz.
  • Datenübertragung vom Eingabegerät erfolgt per VPN-Tunneling über das MDM-System Samsung Knox verschlüsselt.
  • Passwörter werden nach aktuellem Stand der Technik gehasht gespeichert.
  • In AWS gespeicherte personenbezogene Daten sind sofern erforderlich und dem Risiko entsprechend nach aktuellem Stand der Technik verschlüsselt.
  • Daten in Backups werden verschlüsselt.

Vertraulichkeit und Integrität

Zutrittskontrolle

Ein Zutritt zu den Rechenzentren, in denen Nutzer- und Inhaltsdaten gespeichert werden, ist nur dann möglich, wenn die Zutrittsrichtlinien des Anbieters einen solchen Zutritt vorsehen. Eine Datenverarbeitung außerhalb des Rechenzentrums erfolgt nicht, der Zugriff erfolgt über Client-Geräte. Um sicherzustellen, dass Unbefugten der Zutritt zu Client-Geräten, mit denen Daten abgerufen oder genutzt werden, verwehrt ist, trifft OMTO folgende Maßnahmen:

  • Zutritts-Richtlinie
  • Schlüsselregelung / Schlüsselliste
  • Chipkarten-/Transponder-Schließsystem
  • Sicherheitsschlösser
  • Sicherheits- und Schließdienst
  • Mitarbeiterausweise mit Lichtbild
  • Sensibilisierung der Mitarbeiter zum sicheren Verhalten
  • Protokollierung der Besucher

Zugangskontrolle

Zur Verhinderung des Eindringens in das Datenverarbeitungs-System seitens unbefugter Personen, sowie zur Sicherstellung, dass der Versuch eines unbefugten Zugangs nicht unbemerkt bleibt, trifft OMTO folgende Maßnahmen:

  • Zuordnung von Benutzerrechten
  • Zuordnung von Benutzerprofilen zu IT-Systemen
  • Authentifikation mit individualisiertem Benutzer/Passwort
  • Einsatz von VPN-Technologie bzw. VPN-Tunneln
  • Verschlüsselung von Datenträgern
  • Einsatz von Anti-Viren-Software auf den Client-Geräten
  • Einsatz einer Hardware-Firewall auf den Client-Geräten
  • Kennwortrichtlinie (Mindestlänge, Komplexität, anlassbezogener Wechsel)
  • Richtlinie zum sicheren Umgang mit Anmeldeinformationen
  • Richtlinie zum sicheren Verhalten und Datenschutz am Arbeitsplatz
  • Elektronisch gesicherter Zugang (Zwei-Faktor-Authentifizierung)
  • Sicherung von DV-Geräten und Datenspeichern durch hardwareseitige Verschlüsselung
  • Protokollierung aller wesentlichen Administrationstätigkeiten und Transaktionen

Zugriffskontrolle

Um sicherzustellen, dass die zur Benutzung der Datenverarbeitungsanlagen befugten Personen ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personen- bezogenen Daten zugreifen können und unbefugtes Lesen, Kopieren, Verändern verhindert wird sowie der Versuch des unbefugten Zugriffs nicht unbemerkt bleibt, trifft OMTO folgende Maßnahmen:

  • Berechtigungskonzept für Mitarbeiter mit dedizierten Zugriffsebenen (Profile, Rollen, Transaktionen und Objekte)
  • Rechteverwaltung der durch Systemadministratoren, deren Anzahl auf das Minimum reduziert ist
  • Protokollierung und Auswertung von Zugriffen auf Anwendungen, insbesondere bei der Eingabe, Änderung und Löschung von Daten
  • Verschlüsselung von Datenträgern in Client-Geräten
  • regelmäßige Überprüfung der vergebenen Zugriffsberechtigungen
  • Rechteentzug bzw. -änderung bei Mitarbeiteraustritt bzw. Aufgabenwechsel

Weitergabekontrolle

Um sicherzustellen, dass personenbezogene Daten bei der elektronischen Übertragung oder während des Transportes oder ihrer Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass ein Transport von Datenträgern mit personenbezogenen Daten so durchgeführt wird, dass kein Material verloren gehen kann, trifft OMTO folgende Maßnahmen:

  • Logging und Audit-Protokolle für System- bzw. Anwendungsereignisse zur Überwachung oder Untersuchung von Auffälligkeiten
  • Untersagung der Speicherung, Weitergabe und Transports von Daten auf unverschlüsselten oder auf firmenfremden mobilen Datenträgern
  • Verwendung von Verschlüsselungsverfahren nach aktuellem Stand der Technik bei Speicherung von personenbezogenen Daten in Datenbanken von AWS
  • zertifizierte Löschung von Datenträgern vor Wiederverwendung (durch Dienstleister nach NIST 800-88)
  • ordnungsgemäße Vernichtung von Datenträgern (DIN 66399 unter Berücksichtigung der einschlägigen Schutzklassen und Sicherheitsstufen)
  • Protokollierung der Vernichtung
  • Nutzung von verschlüsselten Übertragungswegen
  • sorgfältige Auswahl von Transportpersonal

Eingabekontrolle

Um sicherzustellen, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, trifft OMTO folgende Maßnahmen:

  • Protokollierung der Eingabe, Änderung und Löschung von Daten
  • Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen
  • Datenlöschung ausschließlich mit entsprechender Berechtigung möglich

Auftragskontrolle

Um sicherzustellen, dass personenbezogene Daten, die von etwaig eingesetzten Dienstleistern verarbeitet werden, nur entsprechend der Weisungen verarbeitet werden können, trifft OMTO folgende Maßnahmen:

  • angemessene Vertragsgestaltung
  • Auftragsverarbeitungsverträge mit Subauftragnehmern, mit denen die Anforderungen des Auftraggebers auch dem Subauftragnehmern auferlegt und wirksame Kontrollrechte vereinbart werden
  • sorgfältige Auswahl von Dienstleistern
  • Prüfung und Dokumentation der beim Dienstleister getroffenen TOM
  • schriftliche Weisungserteilung an Dienstleister bei wichtigen Weisungen

Trennungskontrolle

Um sicherzustellen, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können, trifft OMTO folgende Maßnahmen:

  • Daten werden entsprechend ihres Verwendungszweckes ins System abgelegt und dargestellt
  • Trennung der Daten nach Kunden
  • Funktionstrennung / Produktivumgebung / Testumgebung
  • Differenzierung im Rahmen eines Berechtigungskonzepts

Verfügbarkeit und Wiederherstellbarkeit

Grundsätzlich sorgt AWS für die Verfügbarkeit und Wiederherstellbarkeit der Daten. Informationen hierzu sind abrufbar unter:https://aws.amazon.com/de/architecture/security-identity-compliance/

Zur Sicherstellung der Verfügbarkeit von personenbezogenen Daten, dem Schutz gegen zufällige Zerstörung oder Verlust und Gewährleistung der Wiederherstellung der Systeme im Störungsfall achtet OMTO darauf, dass folgende Maßnahmen implementiert sind:

  • Backup- & Recoverykonzept zur Gewährleistung einer raschen Wiederherstellbarkeit
  • Aufbewahrung von Datensicherungen an einem sicheren, ausgelagerten Ort
  • Regelmäßige Überprüfung auf Wirksamkeit des Backup- & Recoverykonzepts

Datenschutzfreundlichen Voreinstellung / Datenschutz durch Technikgestaltung

Zum Zweck datenschutzfreundlicher Voreinstellung (Privacy by Default) und durch Technikgestaltung (Privacy by Design) achtet OMTO bei Entwicklung der Dienste allgemein darauf, dass nur die personenbezogenen Daten erhoben werden, die zur Erfüllung des jeweiligen Zwecks auch tatsächlich erforderlich sind.

Verfahren regelmäßiger Überprüfung

OMTO hat einen externen Datenschutzbeauftragten bestellt, zu dessen Aufgaben die Entwicklung, Einrichtung und Überwachung eines Datenschutz-Managementsystems sowie die Kontrolle der Verarbeitungstätigkeiten und Datenschutzmaßnahmen gehört.

Regelmäßig findet eine Risikoanalyse durch die IT-Verantwortlichen bei OMTO statt, um die aktuelle Bedrohungslage einzuschätzen und etwaige Maßnahmen zur Umsetzung abzuleiten.