Technische und organisatorische Maßnahmen (TOMs)

Anlage 2 zum Datenschutzvertrag gemäß Art. 28 DSGVO 

Die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen sind vertraulich zu behandeln. Sie dürfen weder ganz noch auszugsweise vervielfältigt oder an Unbefugte weitergegeben werden.

Das Dokument beschreibt die als verbindlich festgelegten technischen und organisatorischen Maßnahmen im Zusammenhang mit durchgeführten Auftragsverarbeitungsvorgängen zwischen Auftraggeber und Auftragnehmer. Die dargestellten Maßnahmen stellen somit ein Abbild des gelebten Datenschutz- und Datensicherheitskonzept des Standortes dar.

Der folgende Maßnahmenkatalog beschreibt die im Rahmen der Auftragsverarbeitung zu treffenden technischen und organisatorischen Einzelmaßnahmen nach Art. 28 Abs. 3 lit. c und lit. e Hs. 1, Art. 32 DSGVO. Die DSGVO verpflichtet Unternehmen die Datenverarbeitung personenbezogener Daten durch angemessene, technische und organisatorische Maßnahmen abzusichern und personenbezogene Daten nach Möglichkeit zu pseudonymisieren. Die getroffenen Maßnahmen müssen dabei dem Risiko des jeweiligen Datenverarbeitungsvorgangs Rechnung tragen und dem derzeitigen Stand der Technik entsprechen. Diese Anforderungen erfüllt der Auftragnehmer durch ein wirksames Zusammenspiel aus Datenschutzmanagement und Informationssicherheitsmanagement und hat angemessene Maßnahmen zur Absicherung der Datenverarbeitungsvorgänge getroffen. Insbesondere die Schutzwerte: Verfügbarkeit, Vertraulichkeit, Integrität und Belastbarkeit.

Vertraulichkeit: Daten, Informationen und Programme sind vor unberechtigten Zugriffen und unbefugter Preisgabe zu schützen.

Integrität: Der Begriff Integrität bezieht sich auf die Korrektheit der verarbeiteten Informationen und Daten.

Verfügbarkeit: Der Begriff der Verfügbarkeit bezieht sich auf Informationen, Daten, Applikationen sowie Systeme und betrifft deren Funktionsfähigkeit bzw. Abrufbarkeit.

Belastbarkeit: Die Belastbarkeit stellt als besonderen Aspekt der Verfügbarkeit die Anforderung, dass Systeme auch im Störfall, Fehlerfall oder bei hoher Belastung möglichst widerstandsfähig ausgestaltet sein müssen.

Definitionen & Abkürzungen

• RZ: Rechenzentrum Limtec GmbH Augsburg / angemietete externe Server
• B: absence.io Büro Berlin
• M: absence.io Büro München
• ISMS

Vertraulichkeit

Physische Zutrittskontrolle

absence.io stellt sicher, dass Unbefugte keinen Zutritt zu den Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden (Büro-, Server- und Archivräumen) haben. Dies geschieht durch:

Maßnahmen	RZ	M	B	Anmerkungen
Abschließbare, getrennte Räumlichkeiten für Server und Büroräume in denen personenbezogene Daten verarbeitet werden können.	X	-	-	In den Unternehmensräumlichkeiten werden keine Server eingesetzt.
Zentraler Empfangsbereich.	X	X	X
Alarmanalage mit aufgeschaltetem Wachschutz.	X	X	X	Zugänge zu Büros und Server sind durch Alarmanalage gesichert.
zentrales Zutrittskontrollsystem elektronisch verwaltet.	X	X	X
Codierte Schlüssel (Token/Transponder) und Schlüsselausgabe nur an Befugte mit Zutrittskontrollsystem.	X	X	X
Protokollierung von Schließungen.	X	X	X
Im Unternehmen ist der Zutritt zu den Serverräumen auf den minimal benötigten Personenkreis beschränkt.	X	-	-	Keine Server in Unternehmensräumlichkeiten.
Festlegung und Dokumentation der Zutrittsberechtigungen.	X	X	X
Dokumentation Zutritt Firmenfremde im Besucherprotokoll (z.B. Wartungspersonal, Kunden, Dienstleister, Partner, Besucher ...).	X	X	X
Betreten der Räumlichkeiten durch Firmenfremde nur in Begleitung eines Mitarbeiters.	X	X	X
Legitimation der Zutrittsberechtigten (Schlüssel, PinCode).	X	X	X
Zwei-Faktor-Authentifizierung beim Zutritt.	X	-	-
Rücknahme von Zugangsmitteln nach Ablauf der Berechtigung.	X	X	X
CCTV-Überwachung zur Sicherung des Geländes im Innen und Außenbereich	X	-	-

Zugangskontrolle Systeme und Hardware

absence.io verhindert, dass EDV-Systeme (Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden können) von Unbefugten genutzt werden können bzw. zugänglich sind. Dies geschieht durch:

Maßnahmen	RZ	M	B	Anmerkungen
Im Unternehmen wird dafür gesorgt, dass personenbezogene Daten in Bereichen mit Publikumsverkehr nicht frei zugänglich sind.	X	X	X
Im Unternehmen verfügen tragbare Endgeräte über Zugangssperren (Passwort, PIN, Muster o. A.).	X	X	X
Einrichtung eines Benutzerkontos pro Nutzer (Protokollierung)	X	X	X	Zugangsdaten sind nur berechtigten Mitarbeitern zugänglich. Automatisiertes Logging der Zugänge (Profile) im Adminbereich (Superadmin) sowie bei Zugang zu den Servern.
Zwei-Faktor-Authentifizierung beim Zugang zu Benutzerkonten (Richtlinie/ Arbeitsanweisung).	X	X	X
Authentifikation der mit der Datenverarbeitung befugten Personen durch ein Kennwortverfahren (Single Sign-On Verfahren).	X	X	X
Im Unternehmen werden ausreichend komplexe Passwörter und PINs, für die Nutzung von tragbaren Endgeräten gefordert.	X	X	X	Passwort-Manager (Enpass, Logpass).
Verschlüsselte Speicherung von Passwörtern.	X	X	X
Automatische Sperrung des Benutzerkontos bei mehrfacher fehlerhafter Eingabe der Zugangsdaten.	X	X	X
Automatische Sperrung des Arbeitsplatzes bei Inaktivität.	X	X	X
Umgehende Sperrung von Berechtigungen beim Ausscheiden von Mitarbeitern (Richtlinie/ Arbeitsanweisung).	X	X	X
Durchführung regelmäßiger Überprüfungen der Zugriffsberechtigungen.	X	X	X	Regelmäßig und ausgelöst durch z. Bsp. Beginn eines neuen Arbeitsverhältnis im Team
Implementierung sicherer Lagermöglichkeiten für physische Dokumente. Nutzung von abschließbaren Schränken zur Aufbewahrung von Papierakten.	-	-	X	keine Papierakten Lagerung in RZ und M
Gesicherte Übertragung von Daten (Credentials) im Netzwerk mittels SSL, TLS/HTTPS, SSH, S/MIME, VPN (IPSec, openVPN).	X	X	X	Encryption at rest.
Betrieb eines Office-Gäste-WLANs für mobile Endgeräte und Besucher.	-	X	X
Im Unternehmen wurden Regelungen und Kontrollen hinsichtlich Fernwartung definiert.	X	X	X	Fernwartung ist nach unserem Berechtigungskonzept nur einem geschlossenen Personenkreis mit Authentifizierung und gesicherten Zugang (VPN, Verschlüsselung) möglich.
Fernwartung/Fernzugriffe werden protokolliert durch automatisiertes Logging.	X	X	X
Möglichkeit zur Fernschlösung von Geräten durch Mobile Device Management. Eine Richtline zum Umgang mit Datenträgern wird den Mitarbeitern im Rahmen von Datenschutzschulungen mitgeteilt.	X	X	X
Im Unternehmen sind die Beschäftigten verpflichtet worden, personenbezogene Daten bei Verlassen des Arbeitsplatzes verschlossen zu lagern (sog. Clean-Desk-Policy).	X	X	X

Zugriffskontrolle der Datenverarbeitung

absence.io gewährleistet, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Dies geschieht durch:

Maßnahmen	RZ	M	B	Anmerkungen
Festlegung von Zugriffsberechtigungen für den Zugriff auf Daten (Erstellung eines Berechtigungskonzeptes).	X	X	X
Es erfolgt eine vorübergehende Sperrung von Zugangs- und Zugriffsberechtigungen bei längeren Abwesenheiten.	X	X	X
Deaktivierung von Benutzerkonten bei Ausscheiden von Mitarbeitern.	X	X	X	Beim Ausscheiden eines Mitarbeiters werden Zugänge aller Mitarbeiter erneut überprüft.
Speicherung der Daten auf verschlüsselten Datenträgern (Richtlinie/ Arbeitsanweisung).	X	X	X	Es werden keine mobilen Datenträger verwendet (wie USBs, CDs) AES-XTS, AES-128; ESET Endpoint Security
Festlegung von Befugnissen zur Kenntnis, Eingabe, Veränderung und Löschung von Daten, die im Rahmen der Auftragserfüllung durch den Auftragnehmer verarbeitet werden.	X	X	X
Regelmäßige Kontrolle von Zugriffen, zugelassenene Benutzer, angelegte Benutzergruppen sowie die Rechteprofile.	X	X	X
Um die Mitarbeiter auf die Wichtigkeit des Datenschutzes hinzuweisen und diese gemäß den Erfordernissen zu verpflichten, werden Schulungen aller zugriffsberechtigten Beschäftigten durchgeführt.	X	X	X	Regelmäßige Schulungen
Entsorgung nicht mehr benötigter Datenträger durch externen Dienstleister (Richtlinie/ Arbeitsanweisung).	X	-	-	Dienstleister besitzt die Zertifizierung DIN 66399
Schriftliche Regelung zum Kopieren von Daten (IT Sicherheitsrichtlinie/ Arbeitsanweisung).	X	X	X
Vergabe minimaler Berechtigungen (Need-to-know-Prinzip).	X	X	X
Auf Antrag personenbezogene Daten sperren und löschen.	X	X	X
Keine Vergabe von generischen Passwörtern, Gruppenkennungen.	X	-	-	Nutzung von Test-Accounts, Zugangsdaten sind nur berechtigten Mitarbeitern zugänglich.
Vermeidung der Konzentration von Funktionen/ Funktionstrennung von Administratorentätigkeiten auf unterschiedliche qualifizierte Personen.	X	X	X	Es wird sichergestellt, dass IT-Administratoren über ausreichende Qualifikation zur Ausübung ihrer Tätigkeit besitzen.
Im Unternehmen wurde für alle IT-Systeme und IT-Netze Administratoren sowie deren Stellvertreter bestimmt.	X	X	X	Administratorenkonten auf Ebenen (Datenbank, Betriebssystem, Applikation, Netzwerk).
Es wird keine unverschlüsselte Passwortliste geführt.	X	X	X
Führen einer Historie durchgeführter administrativer Änderungen. Vergabe sowie der Entzug von Zugangs- und Zugriffsberechtigungen für IT-Systeme wird digital dokumentiert.	X	X	-
Die Dokumentation der zugelassenen Benutzer, Benutzergruppen und Rechte ist vor unbefugtem Zugriff geschützt.	X	X	X
Zugriff zur Fernwartung auf die Produktionsinfrastruktur über VPN.	X	X	X	VPN-Tunnel Endpunkt ist platziert in der Firewall.
Es werden eine bzw. mehrere Firewalls gegen unerwünschte Netzwerke eingesetzt.	X	X	X	UniFi

Trennungskontrolle

absence.io gewährleistet, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Es besteht keine Notwendigkeit zu einer physischen Trennung; eine logische Trennung der Daten ist ausreichend. Dies geschieht durch:

Maßnahmen	RZ	M	B	Anmerkungen
Kennzeichnung der erfassten Daten (Aktenzeichen, ID, Kunden/ Vorgangsnummer).	X	X	X
Logische Trennung der für unterschiedliche Auftraggeber verarbeiteten Daten Funktionstrennung/ Produktion/ Test.	X	X	X	Trennung zwischen Produktiv-, Test-, und Entwicklungsumgebungen inkl. der Datenbanken.
Logische Trennung der personenbezogenen Daten der jeweiligen Auftraggeber durch Zuordnung zu den jeweiligen Benutzer-Accounts .	X	X	X	Softwareseitige Trennung der Mandanten.
Getrennte Arbeitsplätze zur Verarbeitung besonderer Kategorien personenbezogener Daten räumlich von anderen Arbeitsplätzen.	X	X	X

Integrität

Weitergabe- /Übertragungskontrolle & Datenträgerkontrolle

absence.io gewährleistet, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtung zur Datenübertragung vorgesehen ist. Dies geschieht durch:

Maßnahmen	RZ	M	B	Anmerkungen
Es wird für die elektronischen Datenträger ein Bestandsverzeichnis geführt (Laptops, Mobiltelefone, Tabletcomputer).	X	X	X
Festlegung der zur Übermittlung bzw. den Transport (elektronisch, manuell) befugten Personen.	X	X	X
Es werden zum Versand von Emails digitale Signaturen eingesetzt.	X	X	X
Prüfung der Daten auf Vollständigkeit nach Datentransport, -übertragung und Datenübermittlung oder -speicherung.	X	X	X	Manueller Abgleich mit Checksummen.
Daten werden bei der Übertragung mit  SSL/TLS; S/MIME verschlüsselt.	X	X	X
Implementation von Sicherheitsgateways an den Netzübergabepunkten.	X	X	X
Ein- und ausgehende Datenströme werden durch eine moderne, kaskadiert aufgebaute Firewall-Lösung gefiltert (UniFi).	X	X	X
Alle relevanten Systeme verfügen über ausreichende Schutz- und Erkennungsmechanismen für Schadsoftware.	X	X	X	ESET endpoint security malware protection.
Soweit Datenträger durch Transportunternehmen übermittelt werden, werden die Datenträger nur nach vorheriger Authentisierung des Transportunternehmens weitergegeben.	X	X	X
Papier- und Datenträger mit personenbezogenen Daten werden durch ein qualifiziertes Entsorgungsunternehmen datenschutzgerecht entsorgt (Festplatten, Akten).	X	X	X
Die vollständige, datenschutzgerechte und dauerhafte Löschung von Datenträgern mit personenbezogenen Daten wird protokolliert. Die Protokolle werden mindestens 12 Monate revisionssicher aufbewahrt.	X	X	X
An Arbeitsplätzen stehen verschließbare Behältnisse zur Verfügung, um Unterlagen und Datenträger sicher aufzubewahren.	X	X	X
Tragbare Endgeräte werde  außerhalb der Nutzungszeiten gegen Diebstahl gesichert.	X	X	X
Benutzer von tragbaren Endgeräten warden auf die Einhaltung einer geeigneten Aufbewahrung verpflichtet.	X	X	X
Es existiert eine aktuelle Verwendung- und Sicherheitsrichtlinie für tragbare Endgeräte, in der alle umzusetzenden Sicherheitsmechanismen beschrieben sind.	X	X	X
Sämtliche unternehmenseigene Gegenstände mit Bezug zu personenbezogenen Daten werden von einer ausscheidenden Person zurückgefordert.	X	X	X
Verhindern, dass Unbefugte Zugriff auf Betriebssysteme erhalten durch Endgeräte Passwörter.	X	X	X	Passwörter, welche in der Vergangenheit bereits verwendet wurden, nicht erneut verwendet werden. Länge von mindestens 8 Zeichen.
Zur Verbindung mit dem Telekommunikationsprovider wird eine reguläre DSL/Glasfaserverbindung verwendet.		X	X

Eingabekontrolle

absence.io gewährleistet, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Dies geschieht durch:

Maßnahmen	RZ	M	B	Anmerkungen
Es existiert ein IT-Sicherheitskonzept (ISMS), welches die grundlegenden technischen und organisatorischen Maßnahmen darstellt, die im Unternehmen zur Gewährleistung von Datenschutz und Datensicherheit getroffen werden.	X	X	X	Siehe Definition Informationssicherheitsmanagementsystems „ISMS“
Verarbeitungen von personenbezogenen Daten werden protokolliert.	X	X	X
Dokumentation der Zugriffsberechtigungen (Arbeitsanweisung Zugriffsgruppen und Zugriffsberechtigung).	X	X	X
Erfassung der Tätigkeiten im Rahmen des Auftrags.	X	X	X
Vorhaltung einer Historie für alle Nutzer, welche die entsprechenden Anwendungsprogramme zur Verarbeitung der personenbezogenen Daten nutzen, die erfasst, welcher Nutzer wann welche Aktion ausgeführt hat, sofern diese Aktion persönliche Daten modifiziert.	X	X	X	Erfassung der Historie in der Anwendung „Just Hire“

Verfügbarkeit und Belastbarkeit

Verfügbarkeitskontrolle

absence.io gewährleistet, dass personenbezogene Daten gegen zufällige oder vorsätzliche Zerstörung oder Verlust geschützt sind. Dies geschieht durch:

Maßnahmen	RZ	M	B	Anmerkungen
Unterbrechungsfreie Stromversorgung (USV).	X	-	-	Die unterbrechungsfreie Stromversorgung kann 2 Stunden überbrücken.
Virenschutz (auf den Arbeitsplätzen).	X	X	X	Virenschutz auf Windows & Mac Arbeitsplätzen.
Virenschutz (auf den Servern).	X	X	X
Es werden auch verschlüsselte Daten auf Schadsoftware überprüft.	X	X	X
Es wird ein TLS/SSL Scanner eingesetzt, um auch verschlüsselte Datenpakete auf Schadsoftware zu überprüfen.	X	X	X	TLS Scanner (Eset)
Firewall	X	X	X	Es werden eine bzw. mehrere Firewalls gegen unerwünschte Netzwerkzugriffe eingesetz: cisco, meraki MX400 (intern); via AWS (extern). ESET endpoint security firewall.
Notfallplan	X	X	X
Kritische Systeme und ggf. die Infrastruktur redundant ausgelegt.	X	X	X
Georedundante Rechenzentren.	X	-	-	Keine Server in M, B
Zentrale Brandmeldeanlage.	X	X	X	Gefahrenabsicherung für Überhitzung, Serverrack, Feuer.
Verfügbarkeitsüberwachung (Monitoring).	X	X	X	24/7-Überwachung aller kritischen Systeme durch automatisierte Monitoring-Verfahren durch Software (cisco, meraki MX400 (intern) für das Netzwerk).
Es wird ein Archivierungskonzept definiert, welches regelt, wie und wie lange Dokumente archiviert werden.	X	X	X	Es liegt eine gesetzliche Aufbewahrungspflicht für die archivierten Dokumente vor.

Wiederherstellbarkeit

absence.io gewährleistet die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu diesen bei einem physischen oder technischen Zwischenfall durch die folgenden Maßnahmen rasch wiederherzustellen:

Maßnahmen	RZ	M	B	Anmerkungen
Backup-Verfahren gem. Backupkonzept (täglich, wöchentlich, monatlich).	X	-	-	Keine Server in M, B. Sicherungen durchgeführt: Eigenständige Backups (z. B. durch NAS-System) Dienstleister, Cloud-Anbieter.
Aufbewahrung der Backup-Daten in Datensicherungsschränken, Tresoren, in anderem Brandabschnitt.	X	-	-	Keine Server in M, B. Eingesetzte Sicherungsarten: Speicherabbildsicherung (Image Backup), Inkrementelle Sicherung, Komplett-/Vollsicherung.
Es ist ein Incident-Response-Plan & Disaster Recovery Plan definiert, um im Notfall mit geeigneten, beschriebenen Maßnahmen den Geschäftsbetrieb rasch wiederherstellen zu können.	X	X	X	Im Unternehmen gibt es ein Berechtigungskonzept für Notfallsituationen.
RAID Level eingesetzt - RAID 5, RAID 10	X	X
Wiederherstellbarkeit der Daten ist gegeben.	X	X	X	Folgende Bereiche können wiederhergestellt werden: Nutzerdaten, Systemdateien- und Datencontainer, Log-Daten, Benutzerkonten, Konfigurationen (Einstellungen und Freigaben).

Belastbarkeit

absence.io gewährleistet Verfügbarkeit und Belastbarkeit geschäftskritischer Systeme und der Systeme zur Verarbeitung personenbezogener Daten durch folgende technische und organisatorischen Maßnahmen:

Maßnahmen	RZ	M	B	Anmerkungen
Virtualisierung und Betrieb in Container-Infrastruktur mit Loadbalancern.	X	-	-
Regelmäßige Penetrationstests der absence.io-Produkte auf Sicherheitsschwachstellen.	X	-	-	Getestet werden die absence.io-Produkte in der Umgebung der Rechenzentren. Nicht anwendbar in der Umgebung der Büroräume.   Penetrationstests durch Kunden können und werden nach Rücksprache mit absence.io auf durchgeführt.

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Zur Sicherstellung der Aufrechterhaltung und kontinuierlichen Verbesserung des Datenschutz- und Informationssicherheitsniveaus unterzieht sich absence.io regelmäßig (mindestens jährlich) internen und externen Audits.

Das absence.io Rechenzentrum (RZ) ist zertifiziert nach

• DIN EN ISO 9001
• DIN EN ISO/IEC 27001

Datenschutz- und Informationssicherheitsmanagement

absence.io gewährleistet einen Prozess zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der technischen und organisatorischen Schutzmaßnahmen sowie Drittanbietern. Dies geschieht durch:

Maßnahmen	RZ	M	B	Anmerkungen
Regelmäßige Bewertung des Datenschutzniveaus durch ein Datenschutzteam	X	X	X
Unterrichtung und Verpflichtung von Beschäftigten auf Beachtung der datenschutzrechtlichen Anforderungen nach der DSGVO. Regelmäßige Schulung aller zugriffsberechtigten Beschäftigten.	X	X	X	Information der Mitarbeiter über Neuerungen zum Thema Datenschutz Verpflichtung der Beschäftigten zu Verhaltensregeln Unternehmensinterne Datenschutz-Richtlinien Verpflichtung der Beschäftigten auf das Datengeheimnis.
Dritte müssen eine Verschwiegenheitserklärung abgeben.	X	X	X
Wenn aus organisatorischen Gründen Funktions-Überschneidungen bestehen, wird das Vier-Augen-Prinzip angewendet und dokumentiert.	-	X	X
Es existiert eine definierte Vertreterregelung innerhalb der Funktionsgruppen.	-	X	X
Regelmäßige Überprüfung des Datenschutz- und Informationssicherheitsmanagementsystems (Aktualität der technischen und organisatorischen Maßnahmen) durch interne und externe Audits.	X	X	X

Beurteilung des angemessenen Schutzniveaus (Art. 32 Abs. 2 DS-GVO)

absence.io gewährleistet eine dokumentierte Beurteilung eines angemessenen Schutzniveaus, bezüglich der Risiken, die mit der Verarbeitung – insbesondere durch Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang - der im Auftrag verarbeiteten personenbezogenen Daten. Dies geschieht durch:

Maßnahmen	RZ	M	B	Anmerkungen
Durchführung einer Risikoanalyse für die Verarbeitungen personenbezogener Daten.	X	X	X
Erstellung von Schutzbedarfskategorien.	X	X	X
Ausrichtung der Prozesse nach Privacy by Design und Privacy Default.	-	X	X
Durchführung von Datenschutz-Folgenabschätzungen (soweit gesetzlich vorgeschrieben).	X	X	X

Auftragskontrolle (Art. 32 Abs. 3 und 4 DS-GVO)

absence.io gewährleistet, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers und zur Erfüllung des vertraglich definierten Verwendungszweckes verarbeitet werden. Der Auftragnehmer kann dies durch ein gemäß Art. 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Art. 42 DSGVO nachweisen. Sollte keine Zertifizierung vorliegen, geschieht der Nachweis durch:

Maßnahmen	RZ	M	B	Anmerkungen
Eindeutige Vertragsgestaltung mit Unterauftragnehmern, Abschluss mit allen Dienstleistern über einen Auftragsverarbeitungsvertrag.	X	X	X
Regelmäßige Kontrolle der Tätigkeiten.	X	X	X	Überwachung der absence.io-Prozesse durch interne Audits.
Die Weisungsberechtigten des Auftraggebers und die zur Entgegennahme von Weisungen befugten Personen sind vertraglich definiert, Weisungen erfolgen immer in Textform (z.B. per E-Mail oder Ticketsystem).	X	X	X
Weisungen zur Verarbeitung personenbezogener Daten werden ausschließlich schriftlich an Auftragsverarbeiter erteilt.	X	X	X
Formalisierung der Auftragserteilung (Formularwesen).	X	X	X
Durchführung von Sicherheitsbewertungen bei Lieferanten.	X	X	X	Es werden Kriterien zur Auswahl von externen Dienstleistern überprüft (z. Bsp. Zertifizierungen, Referenzen, Verpflichtung auf SLAs, Ownership und Verantwortlichkeiten, Scope, Standorte, Subdienstleister)
absence.io informiert den Auftraggeber unverzüglich über Fälle von schwerwiegenden Betriebsstörungen, bei Verdacht auf Datenschutzverletzungen, wenn Fehler festgestellt werden oder andere Unregelmäßigkeiten beim Umgang mit Daten des Auftraggebers.	X	X	X
Aufträge werden als Support-Ticket (Mindestangaben: Auftraggeber/ Kunde, Aktion/ Teilauftrag, genaue Spezifikation der Verarbeitungsschritte/-parameter, Bearbeiter, Termine, ggf. Empfänger) erfasst, dort werden die durchgeführten Arbeiten dokumentiert. Es gibt eine eindeutige Zuordnung zwischen Support-Ticketnummer und Kundenauftrag.	X	X	X

Benutzerkontrolle

Die unbefugte Eingabe in den Speicher sowie die unbefugte Kenntnisnahme, Veränderung oder Löschung gespeicherter, personenbezogener Daten werden verhindert. Dies geschieht durch:

Maßnahmen	RZ	M	B	Anmerkungen
Es wurde für alle IT-Systeme und IT-Netze Administratoren sowie deren Stellvertreter bestimmt.	X	X	X
Die Administratorenkonten werden auf der Ebenen der Datenbank, Applikation und Netzwerk eingesetzt.	X	X	X	Berechtigungskonzept (Freigabe zu Applikationen, Regelmäßige Überprüfung der Freigaben).
Es werden spezielle Administratorenkonten eingesetzt.	X	X	X
Es wird sichergestellt, dass sämtliche unternehmenseigene Gegenstände mit Bezug zu personenbezogenen Daten von einer ausscheidenden Person zurückgefordert werden.	X	X	X
Um die Mitarbeiter auf die Wichtigkeit des Datenschutzes hinzuweisen und diese gemäß den Erfordernissen zu verpflichten, werden folgende Maßnahmen getroffen: - Schulung aller zugriffsberechtigten Beschäftigten.	X	X	X
Im Unternehmen finden regelmäßig Schulungen zum Thema Datenschutz statt.	X	X	X
Telearbeiter wurden auf die Einhaltung einschlägiger Datenschutzvorschriften hingewiesen.	X	X	X

Speicherkontrolle

Die unbefugte Eingabe in den Speicher sowie die unbefugte Kenntnisnahme, Veränderung oder Löschung gespeicherter, personenbezogener Daten werden verhindert. Dies geschieht durch:

Maßnahmen	RZ	M	B	Anmerkungen
Es besteht die Möglichkeit auf Antrag personenbezogene Daten zu sperren und zu löschen.	X	X	X
Es wird eine automatische Bildschirmsperre eingesetzt.	X	X	X	(diese wird nach maximal 10 Minuten aktiviert)
Die Beschäftigten sind angehalten personenbezogene Daten fachgerecht zu entsorgen.	X	X	X
Es wird keine unverschlüsselte Passwortliste geführt.	X	X	X

Zuverlässigkeit

Es wird gewährleistet, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust abgesichert sind. Dies geschieht durch:

Maßnahmen	RZ	M	B	Anmerkungen
Es sind kritische Systeme und ggf. die Infrastruktur redundant ausgelegt.	X	X	X
Es wird eine Software zur Überwachung des Netzwerks bzw. der Anwendungen verwendet.	X	X	X	Papertrail, Newrelic

Änderungen der Technischen und Organisatorischen Maßnahmen

absence.io ist bestrebt, die Technischen und Organisatorischen Maßnahmen zum Schutz personenbezogener Daten stetig weiterzuentwickeln. Es wird sichergestellt, dass Änderungen an den TOM nicht zu einer Verringerung des Sicherheitsniveaus führen. absence.io wird die Kunden über wesentliche Änderungen der TOM informieren.

*Aus Gründen der besseren Lesbarkeit wird bei Personenbezeichnungen und personenbezogenen Ausdrücken das generische Maskulinum verwendet. Sämtliche Personenbezeichnungen gelten gleichermaßen im Sinne der Gleichbehandlung für alle Geschlechtsidentitäten. Die verkürzte Sprachform beinhaltet keine Wertung.