For your convenience, we have provided a translation of this page. This translation is for informational purposes only, and the definitive version of this page is the German version.

TOM-Checkliste

  1. Vertraulichkeit gem. Art. 32 Abs. 1 lit. b DSGVO

    1. Zutrittskontrolle

      Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren. Als Maßnahmen zur Zutrittskontrolle können zur Gebäude- und Raumsicherung unter anderem automatische Zutrittskontrollsysteme, Einsatz von Chipkarten und Transponder, Kontrolle des Zutritts durch Pförtnerdienste und Alarmanlagen eingesetzt werden. Server, Telekommunikationsanlagen, Netzwerktechnik und ähnliche Anlagen sind in verschließbaren Serverschränken zu schützen. Darüber hinaus ist es sinnvoll, die Zutrittskontrolle auch durch organisatorische Maßnahmen (z.B. Dienstanweisung, die das Verschließen der Diensträume bei Abwesenheit vorsieht) zu stützen.

      technische Maßnahmenorganisatorische Maßnahmen
      Manuelles SchließsystemBesucher in Begleitung durch Mitarbeiter
      Türen mit Knauf an der AußenseiteVerschließen der Türen bei Abwesenheit
    2. Zugangskontrolle

      Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme (Computer) von Unbefugten genutzt werden können. Mit Zugangskontrolle ist die unbefugte Verhinderung der Nutzung von Anlagen gemeint. Möglichkeiten sind beispielsweise Bootpasswort, Benutzerkennung mit Passwort für Betriebssysteme und eingesetzte Softwareprodukte, Bildschirmschoner mit Passwort, der Einsatz von Chipkarten zur Anmeldung wie auch der Einsatz von CallBack-Verfahren. Darüber hinaus können auch organisatorische Maßnahmen notwendig sein, um beispielsweise eine unbefugte Einsichtnahme zu verhindern (z.B. Vorgaben zur Aufstellung von Bildschirmen, Herausgabe von Orientierungshilfen für die Anwender zur Wahl eines „guten“ Passworts).

      technische Maßnahmenorganisatorische Maßnahmen
      Login mit Benutzername & PasswortVerwalten von Benutzerberechtigungen
      Nutzung individueller BenutzerkennungenRichtlinie Datenschutz und/oder Datensicherheit
      Nutzung und Durchsetzung komplexer PasswörterPrinzip der minimalen Berechtigungsvergabe
      Sperrung von System/Benutzer bei mehrfachen Fehlversuchenregelmäßige Überprüfung der vergebenen Berechtigungen
      Anti-Virus-Software ClientsReduzierung von administrativen Berechtigungen
      Firewallauthentifizierungsfreie Zugänge sind standardmäßig deaktiviert
      Monitoring/Protokollierung von Systemzugriffen
      Regelungen bzgl. sicherer Passwörter
    3. Zugriffskontrolle

      Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Die Zugriffskontrolle kann unter anderem gewährleistet werden durch geeignete Berechtigungskonzepte, die eine differenzierte Steuerung des Zugriffs auf Daten ermöglichen. Dabei gilt, sowohl eine Differenzierung auf den Inhalt der Daten vorzunehmen als auch auf die möglichen Zugriffsfunktionen auf die Daten. Weiterhin sind geeignete Kontrollmechanismen und Verantwortlichkeiten zu definieren, um die Vergabe und den Entzug der Berechtigungen zu dokumentieren und auf einem aktuellen Stand zu halten (z.B. bei Einstellung, Wechsel des Arbeitsplatzes, Beendigung des Arbeitsverhältnisses). Besondere Aufmerksamkeit ist immer auch auf die Rolle und Möglichkeiten der Administratoren zu richten.

      technische Maßnahmenorganisatorische Maßnahmen
      physische Löschung von DatenträgernMinimale Anzahl an Administratoren
      Verwaltung Benutzerrechte durch Administratoren
      regelmäßige Sicherheitsupdates
    4. Trennungskontrolle

      Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Dieses kann beispielsweise durch logische und physikalische Trennung der Daten gewährleistet werden.

      technische Maßnahmenorganisatorische Maßnahmen
      Trennung von Produktiv- und TestumgebungFestlegung von Datenbankrechten
      Physikalische Trennung (Systeme / Datenbanken / Datenträger)
    5. Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO)

      Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen.

      technische Maßnahmenorganisatorische Maßnahmen
      Anweisung, personenbezogene Daten im Falle einer Weitergabe oder auch nach Ablauf der gesetzlichen Löschfrist möglichst zu anonymisieren / pseudonymisieren
  2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

    1. Weitergabekontrolle

      Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. Zur Gewährleistung der Vertraulichkeit bei der elektronischen Datenübertragung können z.B. Verschlüsselungstechniken und Virtual Private Network eingesetzt werden. Maßnahmen beim Datenträgertransport bzw. Datenweitergabe sind Transportbehälter mit Schließvorrichtung und Regelungen für eine datenschutzgerechte Vernichtung von Datenträgern.

      technische Maßnahmenorganisatorische Maßnahmen
      Daten-Bereitstellung nur über verschlüsselte Verbindungen wie sftp, httpsDatenweitergabe nur in anonymisierter oder pseudonymisierter Form
      Datenschutzgerechte Löschung der Daten nach Auftragsbeendigung
      Besucher erhalten keinen Zugriff auf das Netzwerk
    2. Eingabekontrolle

      Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Eingabekontrolle wird durch Protokollierungen erreicht, die auf verschiedenen Ebenen (z.B. Betriebssystem, Netzwerk, Firewall, Datenbank, Anwendung) stattfinden können. Dabei ist weiterhin zu klären, welche Daten protokolliert werden, wer Zugriff auf Protokolle hat, durch wen und bei welchem Anlass/Zeitpunkt diese kontrolliert werden, wie lange eine Aufbewahrung erforderlich ist und wann eine Löschung der Protokolle stattfindet.

      technische Maßnahmenorganisatorische Maßnahmen
      Die Daten werden vom Auftraggeber selbst eingegeben bzw. erfasst.Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen (nicht Benutzergruppen)
      technische Protokollierung der Eingabe, Änderung und Löschung von DatenVergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts
      klare Zuständigkeiten für Löschungen
  3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

    1. Verfügbarkeitskontrolle

      Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Hier geht es um Themen wie eine unterbrechungsfreie Stromversorgung, Klimaanlagen, Brandschutz, Datensicherungen, sichere Aufbewahrung von Datenträgern, Virenschutz, RAID-Systeme, Plattenspiegelungen etc.

      technische Maßnahmenorganisatorische Maßnahmen
      Monitoring aller relevanten ServerExistenz einer Eskalationskette, die vorgibt wer im Fehlerfall zu informieren ist, um das System schnellstmöglich wiederherzustellen
      sicherheitsrelevante Updates und Patches werden regelmäßig und zeitnah eingespielt
  4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)

    1. Datenschutz-Management

      Maßnahmen, die eine Steuerung der Datenschutzprozesse ermöglichen und die Einhaltung der datenschutzrechtlichen Vorgaben nachweisbar sicherstellen.

      technische Maßnahmenorganisatorische Maßnahmen
      Benennung einer/eines Datenschutzbeauftragten (DSB)
      regelmäßig Überprüfungen durch die/den DSB
      Verpflichtung der Beschäftigten zur Wahrung der Vertraulichkeit
      regelmäßige Schulungen / Sensibilisierung der Beschäftigten
      Mitarbeiter sind zu Meldungen von Datenschutzverstößen verpflichtet
      erfüllen der Informationspflicht nach Art. 13 und 14 DSGVO
      regelmäßige Überprüfung der Wirksamkeit der technischen Schutzmaßnahmen
    2. Incident-Response-Management

      Maßnahmen zur Unterstützung bei der Reaktion auf Sicherheitsverletzungen.

      technische Maßnahmenorganisatorische Maßnahmen
      formaler Prozess und Verantwortlichkeiten zur Nachbearbeitung von Sicherheitsvorfällen und Datenpannen
    3. Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO)

      technische Maßnahmenorganisatorische Maßnahmen
      Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind
    4. Auftragskontrolle

      Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Unter diesen Punkt fällt neben der Datenverarbeitung im Auftrag auch die Durchführung von Wartung und Systembetreuungsarbeiten sowohl vor Ort als auch per Fernwartung. Sofern der Auftragnehmer Dienstleister im Sinne einer Auftragsverarbeitung einsetzt, sind die folgenden Punkte stets mit diesen zu regeln.

      technische Maßnahmenorganisatorische Maßnahmen
      zentrale Erfassung vorhandener Dienstleister
      sorgfältige Auswahl von Auftragnehmern in Bezug auf Datenschutz und Datensicherheit
      vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmaßnahmen und deren Dokumentation
      Sichtung vorhandener IT-Sicherheitszertifikate der Auftragnehmer
      Abschluss der notwendigen Vereinbarung zur Auftragsverarbeitung bzw. EU Standard-Vertragsklauseln
      Vereinbarung der Verpflichtung der Beschäftigten des Auftragnehmers zur Wahrung der Vertraulichkeit
      Vereinbarung zur Benennung eines Datenschutzbeauftragten durch den Auftragnehmer soweit gesetzlich vorgeschrieben
      Vereinbarung von Regelung zum Einsatz weiterer Subunternehmer
      Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags
      Aufzeichnung/Protokollierung der Wartungsarbeiten
© 2022 Martin Melzer, All rights reserved.