Anhang 1 - Technische und organisatorische Sicherheitsmaßnahmen (Artikel 32 der DSGVO)

Dieser Anhang 1 ist Teil des Famly-DSGVO Datenverarbeitungsvertrages, und alle in diesem Anhang 1 in Großbuchstaben geschriebenen Begriffe haben die in dem Famly-DSGVO Datenverarbeitungsvertrag festgelegte Bedeutung. Famly hat bestimmte technische und organisatorische Sicherheitsmaßnahmen ergriffen, um die Einhaltung der geltenden DSGVO zu gewährleisten. Diese Maßnahmen dienen dazu, eine unzulässige Zerstörung, Veränderung, Offenlegung, einen unzulässigen Zugriff und andere unzulässige Formen der Verarbeitung von Kundendaten zu verhindern. 

‍

Famly behält sich das Recht vor, die durchgeführten Maßnahmen und Sicherheitsvorkehrungen zu ändern, vorausgesetzt, dass das Sicherheitsniveau nicht geringer ist als ursprünglich vereinbart. Im Falle erheblicher Änderungen der Maßnahmen wird Famly den Kunden über diese Änderungen informieren. 

‍

1. Vertraulichkeit (Artikel 32 Absatz 1 lit. b DSGVO) 

Physische Zugangskontrolle

Unbefugter Zugriff (im physischen Sinn) ist zu verhindern.

Technische und organisatorische Maßnahmen zur Zugangskontrolle zu Räumen und Einrichtungen, insbesondere zur Berechtigungsprüfung:

• Die Bürogebäude von Famly sind mit Brandmeldeanlagen sowie elektronischen Sicherheits- und Überwachungseinrichtungen geschützt. Es werden keine Kundendaten in den Büros gelagert oder auf Mitarbeitercomputern gespeichert. Alle Daten werden von die Famly Mitarbeiter über sichere, verschlüsselte Verbindungen mit dem Rechenzentrum abgerufen.
• Die von Famly genutzten Rechenzentren sind auf dem neuesten Stand der Technik  und nutzen innovative architektonische und technische Ansätze. Unser Anbieter verfügt über langjährige Erfahrung in der Planung, dem Bau und dem Betrieb von Großrechenzentren. Diese Erfahrung wurde auf die Plattform und die Infrastruktur übertragen. Rechenzentren sind in unscheinbaren Einrichtungen untergebracht. Der physische Zugang wird sowohl im Außenbereich als auch an den Gebäudeeingängen durch professionelles Sicherheitspersonal mit Videoüberwachung, Überwachungssystemen und anderen elektronischen Vorkehrungen streng kontrolliert. Autorisierte Mitarbeiter müssen mindestens zwei Mal eine Zwei-Faktor-Authentifizierung bestehen, bevor diese das Rechenzentrum betreten dürfen. Alle Besucher und Vertragspartner müssen sich ausweisen und werden von autorisiertem Personal angemeldet und dauerhaft begleitet. Alle physischen Zugriffe auf die Datenzentren werden routinemäßig protokolliert und geprüft. 
• Physische Medien: Physische Medien (z.B. Kopien), welche personenbezogene Daten aus der Famly-IT-Lösung enthalten, werden, solange sie nicht in Gebrauch sind und bis zum Zeitpunkt ihrer Vernichtung, in verschlossenen Schränken aufbewahrt.

Elektronische Zugangskontrolle

Unbefugter Zugriff auf die IT-Systeme ist zu verhindern.

Technische (ID-/Passwortsicherheit) und organisatorische (Benutzerdaten-stamm) Maßnahmen zur Benutzeridentifikation und –authentifizierung:

• Firewalls: Es werden aktualisierte Firewalls eingesetzt, um das Netzwerk im Büro von Famly vor unberechtigtem Zugriff zu schützen. Die gleichen Standards werden auch in der Firmenzentrale implementiert, wo Firewalls sowie andere technische Methoden angewendet werden, um die Zentrale vor unberechtigtem Zugriff zu schützen.  

• Anti-Virus/Anti-Malware: IT-Geräte, welche von Famly für den Zugriff auf die IT-Lösung verwendet werden, einschließlich der Server, sind, soweit möglich und erforderlich, mit aktualisierter Anti-Viren-und Anti-Malware-Software geschützt. 
• Verschlüsselung: Bei der Datenübertragung innerhalb der IT-Lösung von Famly über öffentliche Kommunikationsverbindungen, auch beim Zugriff der Benutzer auf die IT-Lösung, wird eine sichere Verschlüsselung angewendet, welche auf allgemein anerkannten Algorithmen basiert, die mindestens SSL 256bit entsprechen. Alle Wifi-Verbindungen, die im Famly-Büro und in der Zentrale verwendet werden, sind durch Verschlüsselung in Form von WPA oder besser gesichert.
• Famly’s Fernzugriff: Greifen Mitarbeiter von Famly per Fernzugriff auf die IT-Lösung zu, werden diese Verbindungen durch Verschlüsselung, z.B. in Form von VPN, gesichert. Jeder Zugriff auf die IT-Systeme von Famly erfordert die Eingabe eines Benutzernamens und eines Passworts durch den jeweiligen Mitarbeiter. Famly erfüllt die Bedingungen dieser Datenverarbeitungsvereinbarung, unabhängig von der Nutzung des Fernzugriffs.
• Famly’s Passwortrichtlinie: Mitarbeiter von Famly mit Zugriff auf die IT-Lösung  unterliegen einer strengen Passwortpolitik. Passwörter müssen mindestens 10 Zeichen lang sein und Folgendes enthalten: Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen. Passwörter müssen regelmäßig geändert werden. Passwörter dürfen keinerlei Namen oder Benutzernamen enthalten.
• Penetrationstests: Famly lässt regelmäßig Penetrationstests auf der IT-Lösung von einer externen Agentur nach Industriestandards durchführen.

Interne Zugangskontrolle

Aktivitäten im IT-System, die nicht unter die zugewiesenen Zugriffsrechte fallen, sind zu verhindern. 

Anforderungsgerechte Definition des Autorisierungskonzepts und der Zugriffsrechte sowie Überwachung und Protokollierung der Zugriffe:

   a. Autorisierung

• Alle Mitarbeiter von Famly, die Zugang zu personenbezogenen Daten haben, sind von Famly hierfür autorisiert. Diese Berechtigungen legen fest, welchem Mitarbeiter welche Art von Zugriff auf die personenbezogenen Daten und zu welchem Zweck gestattet ist. Den Mitarbeitern von Famly ist der Zugriff auf die personenbezogenen Daten des Kunden zu betrieblichen oder technischen Zwecken gestattet. Die Mitarbeiter von Famly haben keinen Zugriff auf personenbezogene Daten, die außerhalb ihrer Berechtigung liegen. Alle Zugriffe von Famly-Mitarbeitern auf personenbezogene Daten werden protokolliert. 

• Famly überprüft und aktualisiert die Berechtigungen der Mitarbeiter in regelmäßigen Abständen, mindestens jedoch halbjährlich. Die Berechtigungen werden angepasst oder entzogen, wenn ein Mitarbeiter seine Position oder den Verantwortungsbereich wechselt oder aus dem Unternehmen ausscheidet. 
• Die Mitarbeiter der Firmenzentrale sind ausschließlich dazu berechtigt, auf personenbezogene Daten für betriebliche Zwecke zuzugreifen. Solche Zugriffe werden protokolliert. Diese Berechtigung wird entzogen, sobald diese nicht mehr ihrem Zweck entspricht. Mitarbeiter von Famly greifen nur im Zusammenhang mit Kundenanfragen auf personenbezogene Daten zu.
• Das IT-System von Famly ist so konfiguriert, dass der Auftraggeber seine Mitarbeiter nach Aufgabenbereichen autorisieren kann. Der Kunde vergibt die Mitarbeiter-Berechtigungen über das von Famly zur Verfügung gestellte Web-Modul. Anderen Nutzern des Systems ist zusätzlich eine Berechtigung zu gewähren, welche einen entsprechenden Zugang ermöglicht.  
• Alle Mitarbeiter von Famly, die Zugang zu personenbezogenen Daten haben, werden über diese Auftragsverarbeitung informiert und verpflichtet, deren Anforderungen zu erfüllen. Ohne Berechtigung besteht kein Zugriff  auf personenbezogene Daten.
• Für alle neuen Mitarbeiter von Famly wird eine Schulung zum Datenschutz und zum Datenschutz durchgeführt, und für alle Mitarbeiter von Famly wird mindestens einmal jährlich eine Auffrischungsschulung durchgeführt.
• Alle Famly-Mitarbeiter, die Zugang zu personenbezogenen Daten haben, haben sich im Vorfeld der Tätigkeit einer Überprüfung anhand ihres Strafregisters unterzogen und mindestens einmal jährlich während ihrer Beschäftigung überprüfen.
• Alle Produktentwicklungs- und Fehlerbehebungsaktivitäten werden soweit möglich anhand von Dummy-Testdaten und nicht anhand von tatsächlichen Kundendaten durchgeführt.

   b. Login, Benutzername und Passwörter

• Alle Mitarbeiter bei Famly und in der Firmenzentrale haben eindeutig zugeordnete Benutzernamen und Passwörter. Benutzernamen und Passwörter werden nach allgemein anerkannten Grundsätzen erstellt und geändert, ferner wird kein Benutzername innerhalb eines Zeitraumes von sechs Monaten seit der letzten Verwendung des Benutzernamens wiederverwendet. Sofern ein Famly-Mitarbeiter den ihm zugeordneten Benutzernamen innerhalb eines Zeitraumes von 3 Monaten nicht benutzt hat, wird dieser automatisch gesperrt.
• Nach mehreren aufeinanderfolgenden, fehlgeschlagenen Anmeldeversuchen mit demselben Benutzernamen wird dieser gesperrt. Dies gilt sowohl für Mitarbeiter von Famly als auch für Kunden. Die Sperrung aufgrund der oben genannten Szenarien begründet keine Haftung gegenüber Famly. Sollte es zu einer Sperrung eines Famly-Mitarbeiterkontos kommen, wird Famly die Angelegenheit schnellstmöglich überprüfen.
• Es ist nicht möglich, sich mit einem anonymen Benutzer- oder Gastkonto in die IT-Systeme von Famly einzuloggen.

   c. Vertraulichkeit

• Alle Mitarbeiter von Famly und der Firmenzentrale, die Zugang zu personenbezogenen Daten haben, unterliegen während ihres Beschäftigungsverhältnisses der Vertraulichkeit.
• Die Vertraulichkeit wird über die Beendigung des Vertragsverhältnisses oder den Ablauf der Vertragslaufzeit mit dem Unterauftragnehmer  hinaus gewahrt. Auch nach der Beendigung der Beschäftigung unterliegen die Mitarbeiter einer Verschwiegenheitspflicht.

Trennbarkeitskontrolle

Daten, welche für verschiedene Zwecke erhoben werden, sind getrennt zu verarbeiten.

Maßnahmen zur getrennten Verarbeitung (Speicherung, Änderung, Löschung, Übermittlung) von Daten für verschiedene Zwecke:

• Datenspeicherung: Innerhalb der IT-Lösung von Famly werden alle Daten auf den Servern des Subunternehmers gespeichert. Die Daten des Auftraggebers werden logisch getrennt von den Daten anderer Kunden, für welche Famly die Datenverarbeitung durchführt. Alle Daten sind mit eindeutigen IDs versehen, welche erkennen lassen, zu welchem Endnutzer oder Auftraggeber die Daten gehören.

2. Integrität (Artikel 32 Absatz 1 lit. b DSGVO)

Datenübertragungskontrolle

Aspekte bei der Übertragung personenbezogener Daten müssen überprüft werden: elektronische Übermittlung, Datenübertragung, Übertragungskontrolle.

Maßnahmen zur Übertragung, Übermittlung und Austausch oder Speicherung von Daten auf Datenträgern (manuell oder elektronisch) und zur nachträglichen Prüfung: 

• IT-Speichermedien: Bei Recycling, Entsorgung, Reparatur oder Instandhaltung von Speichermedien, welche für personenbezogene Daten verwendet werden, wird sichergestellt, dass Dritte keinen Zugang zu Daten auf diesen Medien erhalten. Solche Sicherungsvorkehrungen werden entweder durch Verschlüsselung oder durch gründliches Löschen oder Überschreiben durchgeführt, um sicherzustellen, dass alle zuvor gespeicherten personenbezogenen Daten nicht mittels einer allgemein anerkannten Methode (z.B. DOD 5220-22-M) wiederhergestellt werden können.
• Physische Medien: Alle physischen Medien, die personenbezogene Daten aus der IT-Lösung des Auftraggebers enthalten können (z.B. Ausdrucke), werden auf sichere Weise entsorgt, nachdem diese nicht mehr gebraucht werden. Dies kann durch Schreddern oder durch andere Mittel geschehen, die sicherstellen, dass der Zugriff auf personenbezogene Daten nicht möglich ist.  
• Virtuelles Privates Netz: Greifen Mitarbeiter von Famly auf die IT-Lösung zu, werden diese Verbindungen durch Verschlüsselung, beispielsweise in Form von VPN, gesichert. Jeder Zugriff erfordert die Registrierung via Benutzername und Passwort. 
• Elektronische Signatur: Famly verwendet 256-Bit-SSL-Zertifikate für die Authentifizierung von Famly gegenüber den Endnutzern.
• Übertragungssicherheit: Famly verwendet durchgängig SSL-Verschlüsselung zwischen dem Endgerät und der Datenbank sowie bei den internen Dienstleistungen auf den Servern.

Dateneingabekontrolle

Die vollständige Dokumentation der Datenverwaltung und –pflege muss gewährleistet werden.

Maßnahmen zur nachträglichen Kontrolle, ob Daten erfasst, geändert oder entfernt (gelöscht) wurden und von wem:

• Jeder Zugriff auf personenbezogene Daten im Zusammenhang mit der Nutzung der IT-Lösung von Famly wird automatisch protokolliert („Application Log“). Das Erfassen von Uhrzeit, Benutzername, Art der Anwendung und der betroffenen Person werden registriert. Dieses Protokoll wird mindestens sechs Monate aufbewahrt und nach maximal sieben Monaten gelöscht.
• Der Auftraggeber kann auf besonderen Wunsch Zugang zum bestimmten Data in dem Application Log erhalten.
• Sofern der Zugriff auf die IT-Lösung im Zusammenhang mit technischen Problemen wie z.B. Support, Fehlerkorrekturen oder anderen technischen Ursachen erfolgt, wird dieser Zugriff in dem Application Log protokolliert. 

3. Verfügbarkeit und Belastbarkeit (Artikel 32 Absatz 1 lit) b und c DSGVO)

‍Verfügbarkeitskontrolle 

Die Daten müssen vor unbeabsichtigter Zerstörung oder Verlust geschützt werden. 

Maßnahmen zur Gewährleistung der Datensicherheit (physisch/logisch):

• Feuer, Stromausfälle: Das Büro sowie die Zentrale von Famly sind in üblichem Maß gegen Feuer gesichert. Die Zentrale ist darüber hinaus so gesichert, dass der Betrieb auch bei Stromausfall eine gewisse Dauer fortgesetzt werden kann; zudem wurde ein Schutz gegen den Verlust der Kommunikationswege eingerichtet.
• Backup: Famly sichert die in der Famly IT-Lösung gespeicherten Daten durch täglich mehrfache dauerhafte Sicherung. Das Backup wird als eine Mischung aus einem vollen Backup und inkrementellem Backup (wobei die Änderungen gespeichert werden) durchgeführt. Famly führt regelmäßig Restore-Tests von bereits abgeschlossenen Backups durch, um sicherzustellen, dass die Backup-Routinen wie vorgesehen funktionieren. Backups werden aus Sicherheitsgründen dupliziert und in einem anderen Rechenzentrum desselben Anbieters in demselben Land sowie derselben Region gespeichert.
• Unterbrechungsfreie Stromversorgung (USV): Die Stromversorgungssysteme des Rechenzentrums sind vollständig redundant und wartungsfrei ausgelegt, 24 Stunden am Tag und sieben Tage in der Woche. Unterbrechungsfreie Stromversorgungseinheiten (USV) stellen bei einem Stromausfall eine Notstromversorgung für kritische und unverzichtbare Geräte in der Anlage bereit. Rechenzentren verwenden Generatoren, um die gesamte Anlage mit Strom zu versorgen.       
• Klima und Temperatur: Eine Klimatisierung ist erforderlich, um eine konstante Betriebstemperatur für Server und andere Hardware aufrechtzuerhalten, die eine Überhitzung verhindert und die Möglichkeit von Serviceausfällen reduziert. Rechenzentren sind so ausgestattet, dass sie für optimale Bedingungen sorgen. Personal und Systeme überwachen und kontrollieren Temperatur und Luftfeuchtigkeit. Elektrische, mechanische und funktionserhaltende Systeme und Geräte werden derart überwacht, so dass etwaige Probleme sofort identifiziert werden. 

Präventive Wartungen werden durchgeführt, um die Funktionsfähigkeit der Systeme aufrechtzuerhalten.

Schnelle Wiederherstellung

Im Falle eines schwerwiegenden Vorfalls hat Famly die Möglichkeit, den Zugang zu personenbezogenen Daten jederzeit wiederherzustellen, indem kürzlich gesicherte Dateien in den Produktionsumgebungen auf neu gestarteten Servern wiederhergestellt werden. Dies erfordert nur wenige Stunden, so dass eventuelle Ausfallzeiten minimiert werden. 

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Artikel 32 Absatz 1 lit. d DSGVO; Artikel 25 Absatz 1 DSGVO)

Störungsmanagement (Incident Response Management)

Sicherheitsverletzungsverfahren

• Stellt Famly eine Sicherheitsverletzung oder eine Bedrohung im Zusammenhang mit der IT-Lösung von Famly fest, verpflichtet sich Famly, den Verstoß bzw. die Bedrohung sowie den Umfang des Problems schnellstmöglich zu lokalisieren und zu identifizieren, den drohenden oder eingetretenen Schaden größtmöglich zu begrenzen, einen solchen Sicherheitsverstoß zukünftig zu verhindern und, soweit möglich, alle verlorenen Daten wiederherzustellen. 
• Im Falle eines Sicherheitsverstoßes, bei welchem Unbefugte Zugang zu den Daten des Auftraggebers erhalten oder bei dem ein Datenverlust eingetreten ist, wird Famly den Auftraggeber unverzüglich, schriftlich über den Verstoß informieren. Solche Benachrichtigungen sollen Informationen darüber enthalten, zu welchen Daten Famly unberechtigterweise Zugang erhalten hat, ob Famly besondere Vorkehrungen getroffen hat und ob der Kunde nach Einschätzung von Famly besondere Vorkehrungen zu treffen hat. 

Auftrags- oder Vertragskontrolle

Famly hat marktübliche DSGVO-Auftragsverarbeitungsverträge mit Anbietern abgeschlossen, um die Bedingungen dieser Vereinbarung zur Auftragsverarbeitung einhalten zu können.

Überprüfung/Audit 

Famly wird mindestens einmal pro Jahr durch einen externen Prüfer überprüfen lassen, ob die in dieser Vereinbarung zur Auftragsverarbeitung näher erläuterten Verfahren eingehalten werden. Der Prüfbericht wird dem Auftraggeber auf Wunsch vorgelegt.