Maßnahmen, die Unbefugten den Zutritt zu Datenverarbeitungsanlagen verwehren:

• Eigenes DataCenter in einem nicht öffentlich zugängliches Rechenzentrum in Berlin
• Zutrittskontrollsystem mit elektronischen Schlüsseln/Zutrittskarten
• Zutritt nur für autorisiertes Personal mit personalisierter Berechtigung
• Besucherregelung mit Anmeldepflicht und Begleitung
• Protokollierung aller Zutritte (elektronisches Zutrittsbuch)
• Videoüberwachung der Zugangsbereiche (mit angemessener Aufbewahrungsdauer)
• Verschlossene Serverracks
• Alarmanlage außerhalb der Betriebszeiten

Maßnahmen, die verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden:

• Passwortrichtlinie (Mindestlänge, Komplexitätsanforderungen, regelmäßiger Wechsel)
• Mehr-Faktor-Authentifizierung für administrative Zugänge, soweit technisch vorgesehen
• Individuelle Benutzerkonten (keine Sammelaccounts)
• Automatische Bildschirmsperre nach Inaktivität
• Verschlüsselung der Festplatten auf Administrationssystemen
• VPN-Pflicht für Remote-Zugriff auf Infrastruktur
• Zentrale Verwaltung der Zugriffsberechtigungen
• Automatische Sperrung nach fehlerhaften Anmeldeversuchen
• Regelmäßige Überprüfung der Benutzerkonten und Berechtigungen

Maßnahmen, die gewährleisten, dass Berechtigte nur auf die ihrer Berechtigung unterliegenden Daten zugreifen:

• ​Rollenbasiertes Berechtigungskonzept (Role-Based Access Control / RBAC)
• Need-to-know-Prinzip: Zugriff nur auf für die jeweilige Aufgabe erforderliche Daten
• Mandantentrennung: Strikte logische Trennung der Kundendaten
• Protokollierung von Zugriffen auf Kundendaten
• Regelmäßige Überprüfung und Rezertifizierung der Zugriffsrechte
• Unverzüglicher Entzug von Berechtigungen bei Ausscheiden von Mitarbeitern

Maßnahmen, die gewährleisten, dass Daten bei der Übertragung und Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden:

• Transportverschlüsselung: TLS 1.2 oder höher für alle Datenübertragungen zwischen Kundensystemen und Rechenzentrum
• Speicherverschlüsselung: AES-256-Verschlüsselung der Backup-Daten im Ruhezustand (at rest)
• Verschlüsselte Verbindungen für alle administrativen Zugriffe (SSH, VPN)
• Dokumentation aller regelmäßigen Datenübertragungswege
• Verbot der Nutzung privater Datenträger
• Sichere Löschung oder datenschutzkonforme Vernichtung ausgemusterter Datenträger nach anerkannten Verfahren

Maßnahmen, die gewährleisten, dass nachträglich überprüft werden kann, ob und von wem Daten eingegeben, verändert oder entfernt wurden:

• Protokollierung aller administrativen Tätigkeiten (Audit-Logging)
• Protokollierung von Backup- und Restore-Vorgängen
• Revisionssichere Aufbewahrung der Logdaten
• Personalisierte Benutzerkonten (Zuordnung von Aktionen zu Personen)
• Regelmäßige Auswertung der Protokolldaten

Maßnahmen, die gewährleisten, dass personenbezogene Daten nur entsprechend den Weisungen des Auftraggebers verarbeitet werden:

• Schriftlicher Auftragsverarbeitungsvertrag (AVV) mit allen Kunden.
• Verarbeitung personenbezogener Daten ausschließlich im Rahmen dokumentierter Weisungen des Auftraggebers, soweit keine gesetzliche Verpflichtung zur abweichenden Verarbeitung besteht.
• Regelmäßige Schulung der Mitarbeiter zu Datenschutz und Auftragsverarbeitung.
• Sorgfältige Auswahl und regelmäßige Überprüfung von etwaigen Unterauftragnehmern.
• Vertraulichkeitsverpflichtung aller Mitarbeiter.
• Klar definierte Ansprechpartner und Eskalationswege.

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind:

• Unterbrechungsfreie Stromversorgung (USV) im Rechenzentrum
• Notstromversorgung (Dieselaggregat)
• Klimatisierung und Temperaturüberwachung der Serverräume
• Brandmelde- und Löschanlage
• Redundante Speichersysteme (RAID)
• Regelmäßige Backup-Überprüfungen und Wiederherstellungstests
• Monitoring und Alerting (24/7-Überwachung der Systeme)
• Dokumentiertes Notfallkonzept und Wiederanlaufpläne
• Regelmäßige Wartung der Hardware

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werdend:

• Logische Mandantentrennung: Jeder Kunde erhält einen eigenen, isolierten Backup-Bereich
• Getrennte Datenbanken bzw. Datenbereiche je Kunde
• Berechtigungskonzept stellt sicher, dass kein Zugriff auf Daten anderer Mandanten möglich ist
• Trennung von Produktiv- und Testsystemen
• Getrennte Verarbeitung von Kunden-Backup-Daten und internen Unternehmensdaten

Die technisch-organisatorischen Maßnahmen werden mindestens jährlich überprüft und bei Bedarf an den aktuellen Stand der Technik angepasst. Die Ergebnisse der Überprüfung werden dokumentiert.