Technische und organisatorische Massnahmen (TOM)

Anlage 3 zum AVV

Letzte Aktualisierung: 31. Juli 2023

Der Auftragnehmer stellt die nachfolgend aufgeführten technischen und organisatorischen Massnahmen (TOM) sicher.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

Kein unbefugter Zutritt zu den Büroräumlichkeiten und Datenverarbeitungsanlagen durch Verwendung von Magnet- oder Chipkarten oder vergleichbare technische Lösungen bzw. abgeschlossenen Räumen, Schlüssel, Alarmanlagen.

Zugangskontrolle

Keine unbefugte Systembenutzung, durch Verwendung von (sicheren) Kennwörtern, automatischen Sperrmechanismen, Verschlüsselung von Datenträgern; Antivirensoftware, Einsatz einer Software-Firewall, Einsatz einer Hardware-Firewall, Einsatz von Erkennungssystemen zur Entdeckung von unbefugten und/oder erzwungenen Zugängen zu den verwendeten Systemen, Warnmeldungen an Nutzer bei nicht authentifizierter Eingabe von Daten. Auftraggeber legen individuelle Benutzernamen (nicht Benutzergruppen) zur Nutzung der bereitgestellten Systeme an.

Zugriffskontrolle

Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems durch ein Berechtigungskonzept und bedarfsgerechte Zugriffsrechte, vor allem für die Entwicklung, Protokollierung von Zugriffen mit sehr strengen Regeln und jeweils einzelnen Personen zugewiesenen Zugriffsrechten mit eindeutiger Festlegung, Beschränkung der Administratoren auf ein Mindestmaß, Verwaltung von Rechten durch Systemadminstrator nach einem festgelegten Berechtigungskonzept, Einsatz von Aktenvernichtung, auch bei elektronischen physischen Speichermedien, die zu entsorgen sind, regelmäßiger Passwortwechsel der Benutzer, Verschlüsselung von Kommunikationswegen.

Trennungskontrolle

Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, soweit dies bei der Nutzung des Systems möglich ist. Trennung der vom jeweiligen Auftraggeber bzw. Kunden eingestellten Daten mit eindeutiger Zuordnung zum jeweiligen Nutzer, Ermöglichung der Trennung von Datenzugriff für einzelne Anwender des jeweiligen Auftraggebers/Nutzers, individuelle Einzelnutzer (nicht Benutzergruppen) auf Seiten des Auftraggebers zur Sicherung der Trennung von eingepflegten Daten.

Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO)

Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport u.a. durch Verschlüsselung.

Eingabekontrolle

Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind durch z.B. Protokollierung.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Verfügbarkeitskontrolle

Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, Backup-Strategie, Sicherstellung der unterbrechungsfreien Stromversorgung (USV) durch die Unterauftragnehmer, die die verwendeten Cloud-Lösungen bereitstellen, weitere Sicherheitsmaßnahmen der Unterauftragnehmer auf technisch und organisatorisch aktuellstem Stand durch Verpflichtung zur Einhaltung der Grundsätze des Art. 32 DSGVO durch diese Unterauftragnehmer, Virenschutz, Firewall, Meldewege und Notfallpläne

• Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO); Verpflichtung der eingesetzten Unterauftragnehmer zur Gewährleistung der Wiederherstellbarkeit der Daten.
• Erhöhte Ausfallsicherheit durch mehrfache Backups, die jeweils überschrieben werden an einem Tag.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)

• Datenschutz-Management;
• Incident-Response-Management;
• Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO);
• Auftragskontrolle