Technische & Organisatorische Maßnahmen (TOMs)

Aktualisiert am 01.01.2025

Im Folgenden werden die technischen und organisatorischen Maßnahmen beschrieben, die gemäß Art. 24 Abs. 1 DSGVO für die Auftragsverarbeitung getroffen wurden. Alle Maßnahmen berücksichtigen das Risiko des jeweiligen Verarbeitungsvorgangs und den Stand der Technik.

1. Gewährleistung der Vertraulichkeit

1.1 Zutrittskontrolle

• Zutritt zu Datenverarbeitungsanlagen nur für Befugte
• Bürogebäude mit Schließanlage und Videoüberwachung
• Speicherung ausschließlich bei zertifizierten Unterauftragsverarbeitern

1.2 Zugangskontrolle

• Passwörter mit Mindestlänge 16 Zeichen inkl. Zahlen und Buchstaben
• Automatische Sperrung des Desktops bei Inaktivität
• Rollenbasierte Rechtevergabe
• Hosting-Anbieter ISO 27001-zertifiziert

1.3 Zugriffskontrolle

• Softwareseitige Schutzmechanismen gegen unbefugten Zugriff
• Protokollierung aller Logins
• Zugriffskontrollrichtlinie im ISMS

2. Gewährleistung der Integrität

• Datenübertragung ausschließlich per TLS ≥ 1.2
• Aktenvernichtung nach ISO/IEC 21964 Stufe P3
• Datenträgervernichtung nach ISO/IEC 21964 Stufen E3/H3

3. Pseudonymisierung und Verschlüsselung

• Daten werden nach definierten Fristen pseudonymisiert, sofern dies für den jeweiligen Prozess vorgesehen ist
• Übertragung via TLS ≥ 1.2
• Backups werden zusätzlich verschlüsselt

4. Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit

• Regelmäßige Backups auf externe Systeme
• USV-geschützte Infrastruktur bei Dienstleistern
• Firewall-Schutz gegen externe Angriffe
• Monitoring und Alerting der Produktivsysteme

5. Prüf-, Bewertungs- und Evaluierungsverfahren

• Abschluss von AV-Verträgen und Standardvertragsklauseln
• Auswahl von Dienstleistern nach Sorgfaltspflicht
• Dokumentation aller Prozesse
• Datenschutzfolgeabschätzungen bei Bedarf
• Mitarbeiterschulungen und Verpflichtungen