Technisch-organisatorische Massnahmen (TOMs)

Die Auftraggeberin und visol haben unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und der Schwere der mit der Verarbeitung verbundenen Gefahren für die Rechtsgüter der betroffenen Personen die erforderlichen technischen und organisatorischen Massnahmen zu treffen, um bei der Verarbeitung personenbezogener Daten ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf die Verarbeitung besonderer Kategorien personenbezogener Daten. Sowohl visol als auch die einzelnen von diesen beauftragten Subunternehmen haben insbesondere die folgenden Massnahmen getroffen. Grundsätzlich ist eine Nutzung der Datenverarbeitungssysteme durch den Betreiber des Rechenzentrums nicht vorgesehen. visol nutzt eigene Hardware, so dass weder Zugriffsrechte, Zugänge, Weitergaben, Eingaben der Daten der Auftraggeberin durch die Rechenzentren stattfinden.

visol gewährleistet, dass die Leistungserbringung in Schweizer Rechenzentren oder Rechenzentren innerhalb der EU erfolgt. Der Workflow zur Annäherung und Erfüllung der Normen richtet sich nach dem im ITIL Framework.

visol hat geeignete Massnahmen zur Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung implementiert.

• Die Büroräumlichkeiten von visol befinden sich in einem ausschliesslich geschäftlich genutzten Bereich. Sämtliche Zugänge sind gegen den unbefugten Zutritt abgesichert, das bedeutet, dass:

• jegliche Aussentüren mit einem Schliesssystem versehen sind,

• die den Mitarbeitern zur Verfügung gestellten Schlüssel personengebunden registriert sind,

• der Zugang zu Serverräumen nur einer begrenzten Anzahl von Personen gestattet wird,

• Mitarbeiter ausschliesslich mit den personalisiert angelegten Benutzerprofilen arbeiten,

• VPN-Technologie (SSL/TLS) eingesetzt wird,

• Datenträger (soweit möglich und relevant) verschlüsselt sind,

• Besucher nur in Begleitung eines Mitarbeitenden sich in den Räumlichkeiten bewegen können,

• Personal von Dritten, insbesondere für Reinigungs- und Wartungsaufgaben, sorgfältig ausgewählt wird und Geheimhaltungsvereinbarungen bestehen.

• Datenträger (soweit möglich und relevant) restriktiv einzusetzen sowie verschlüsselt sind,

• Hardware von visol geprüft und erst danach eingesetzt wird,

• die Zugriffsrechte (sowohl für Anwender, wie auch für Administratoren) sich an den aufgabenbedingten und datenschutzrechtlichen Erfordernissen orientieren,

• ausgesonderte Datenträger datenschutzkonform gelöscht oder physikalisch gelöscht werden,

• der Zugriff auf Anwendungen (Eingabe, Veränderung und Löschung) protokolliert sowie Schutz gegen unberechtigte interne und externe Zugriffe durch Verschlüsselung und Firewalls besteht.

• die Zugriffsrechte (sowohl für Anwender, wie auch für Administratoren) orientieren sich an den aufgabenbedingten und datenschutzrechtlichen Erfordernissen (Berechtigungskonzept nach dem Need-To-Know-Prinzip),

• der Zugriff auf Anwendungen (Eingabe, Veränderung und Löschung) wird protokolliert und kann ausgewertet werden,

• Schutz gegen unberechtigte interne und externe Zugriffe durch Verschlüsselung und Firewalls besteht,

• freigegebene Speicherbereiche werden vor Neuzuweisung überschrieben (genullt).

• die Zugriffsrechte (sowohl für Anwender, wie auch für Administratoren) sich an den aufgabenbedingten und datenschutzrechtlichen Erfordernissen orientieren (Berechtigungskonzept nach dem Need-To-Know-Prinzip),

• der Zugriff auf Anwendungen (Eingabe, Veränderung und Löschung) protokolliert wird sowie,

• Remote-Access auf Infrastruktursysteme über verschlüsselte, Passphrase-gesicherte Services erfolgen.

• die Zugriffsrechte (sowohl für Anwender, wie auch für Administratoren), die sich an den aufgabenbedingten und datenschutzrechtlichen Erfordernissen orientieren (Berechtigungskonzept nach dem Need-To-Know-Prinzip),

• Passwortrichtlinien inkl. Passwortlänge und Passwortwechsel vorgegeben werden,

• der Zugriff auf Anwendungen (Eingabe, Veränderung und Löschung) protokolliert wird,

• Schutz gegen unberechtigte interne und externe Zugriffe durch Verschlüsselung und Firewalls besteht und

• dedizierte Aufbewahrungspflichten bestehen.

• VPN-Technologie (SSL/TLS) zur Datenkommunikation eingesetzt wird,

• E-Mail-Nachrichten bzw. sonstige Informationen grundsätzlich verschlüsselt bzw. pseudonymisiert versendet werden können und beim physischen Transport geeignete Transportpersonen sorgfältig ausgewählt werden.

• die Auswahl von Dritten sorgfältig erfolgt (insb. bzgl. Datensicherheit) in Zusammenarbeit mit dem Datenschutzbeauftragten,

• detaillierte vertragliche Regelungen zum Auftragsverhältnis existieren,

• wirksame Kontroll- und oder Zugriffs- bzw. Löschungsrechte (ggf. Vertragsstrafen) vereinbart werden und

• eine regelmässige Kontrolle durch den Datenschutzbeauftragten erfolgt.

• VPN-Technologie (SSL/TLS) zur Datenkommunikation eingesetzt wird

• E-Mail-Nachrichten bzw. sonstige Informationen grundsätzlich verschlüsselt versendet werden können und

• beim physischen Transport, geeignete Transportpersonen und 
  -fahrzeuge sorgfältig ausgewählt werden und eine Festlegung der Wege stattfindet. Die Kontrolle von Eingaben, erfolgt durch:

• Protokollierung und Nachvollziehbarkeit von Eingaben, Änderungen und Löschung von Daten (durch Logfiles) sowie

• die Zugriffsrechte, welche sich (sowohl für Anwender, wie auch für Administratoren) an den aufgabenbedingten und datenschutzrechtlichen Erfordernissen orientieren.

• zur Erstellung eines Backup- und Recovery-Konzepts,

• die Datenwiederherstellbarkeit zu testen,

• RAID-Controller zu verwenden,

• Protokollierung und Auswertung von Störungsvorfällen.

• Eskalationsfälle prozessual gemeldet werden (Anzeige von Fehler- und Störmeldungen in den IT-Systemen),

• externe/interne technische Sicherheitsanalysen durchgeführt werden,

• Test- und Freigabeverfahren z. B. bei Einführung neuer Soft- oder Hardware bestehen und

• Sensibilisierungen der Mitarbeiter zum Datenschutz und/oder 
  -sicherheit vorgenommen werden.

• die Verarbeitung personenbezogener Daten im Einzelfall in Abstimmung mit der Auftraggeberin in einer Weise erfolgen, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnetwerden können. Es erfolgt eine authentifizierte Benutzeridentifikation, insbesondere dadurch, dass:

• alle technischen Systeme (zentral und dezentral), sowohl Hard-, als auch Software durch eine Firewall geschützt sind und Protokollierung und Nachvollziehbarkeit von Eingaben, Änderungen und Löschung von Daten (durch Logfiles) als auch, die Zugriffsrechte, welche sich (sowohl für Anwender, wie auch für Administratoren) an den aufgabenbedingten unddatenschutzrechtlichen Erfordernissen orientieren.

• eine Backup-Strategie existiert,

• Räumlichkeiten mit verbundenen Brandschutzeinrichtungen ausgestattet sind,