Technisch-organisatorische Massnahmen (TOMs)

Der Organisation: visol digitale Dienstleistungen AG

Stand: September 2024
 

Die Auftraggeberin und visol haben unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und der Schwere der mit der Verarbeitung verbundenen Gefahren für die Rechtsgüter der betroffenen Personen die erforderlichen technischen und organisatorischen Massnahmen zu treffen, um bei der Verarbeitung personenbezogener Daten ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf die Verarbeitung besonderer Kategorien personenbezogener Daten. Sowohl visol als auch die einzelnen von diesen beauftragten Subunternehmen haben insbesondere die folgenden Massnahmen getroffen. Grundsätzlich ist eine Nutzung der Datenverarbeitungssysteme durch den Betreiber des Rechenzentrums nicht vorgesehen. visol nutzt eigene Hardware, so dass weder Zugriffsrechte, Zugänge, Weitergaben, Eingaben der Daten der Auftraggeberin durch die Rechenzentren stattfinden.

visol gewährleistet, dass die Leistungserbringung in Schweizer Rechenzentren oder Rechenzentren innerhalb der EU erfolgt. Der Workflow zur Annäherung und Erfüllung der Normen richtet sich nach dem im ITIL Framework.

visol hat geeignete Massnahmen zur Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung implementiert.
 

Ziel: Verwehrung des unbefugten Zugangs zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird

• Die Büroräumlichkeiten von visol befinden sich in einem ausschliesslich geschäftlich genutzten Bereich. Sämtliche Zugänge sind gegen den unbefugten Zutritt abgesichert, das bedeutet, dass:

• jegliche Aussentüren mit einem Schliesssystem versehen sind,

• die den Mitarbeitern zur Verfügung gestellten Schlüssel personengebunden registriert sind,

• der Zugang zu Serverräumen nur einer begrenzten Anzahl von Personen gestattet wird,

• Mitarbeiter ausschliesslich mit den personalisiert angelegten Benutzerprofilen arbeiten,

• VPN-Technologie (SSL/TLS) eingesetzt wird,

• Datenträger (soweit möglich und relevant) verschlüsselt sind,

• Besucher nur in Begleitung eines Mitarbeitenden sich in den Räumlichkeiten bewegen können,

• Personal von Dritten, insbesondere für Reinigungs- und Wartungsaufgaben, sorgfältig ausgewählt wird und Geheimhaltungsvereinbarungen bestehen.

Ziel: Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Löschens von Datenträgern

visol gewährleistet, dass

• Datenträger (soweit möglich und relevant) restriktiv einzusetzen sowie verschlüsselt sind,

• Hardware von visol geprüft und erst danach eingesetzt wird,

• die Zugriffsrechte (sowohl für Anwender, wie auch für Administratoren) sich an den aufgabenbedingten und datenschutzrechtlichen Erfordernissen orientieren,

• ausgesonderte Datenträger datenschutzkonform gelöscht oder physikalisch gelöscht werden,

• der Zugriff auf Anwendungen (Eingabe, Veränderung und Löschung) protokolliert sowie Schutz gegen unberechtigte interne und externe Zugriffe durch Verschlüsselung und Firewalls besteht.

Ziel: Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie der unbefugten Kenntnisnahme, Veränderung und Löschung von gespeicherten personenbezogenen Daten

Im Rahmen der Speicherkontrolle gilt Nachfolgendes:

• die Zugriffsrechte (sowohl für Anwender, wie auch für Administratoren) orientieren sich an den aufgabenbedingten und datenschutzrechtlichen Erfordernissen (Berechtigungskonzept nach dem Need-To-Know-Prinzip),

• der Zugriff auf Anwendungen (Eingabe, Veränderung und Löschung) wird protokolliert und kann ausgewertet werden,

• Schutz gegen unberechtigte interne und externe Zugriffe durch Verschlüsselung und Firewalls besteht,

• freigegebene Speicherbereiche werden vor Neuzuweisung überschrieben (genullt).

Ziel: Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte

Die Benutzerkontrolle bedingt, dass

• die Zugriffsrechte (sowohl für Anwender, wie auch für Administratoren) sich an den aufgabenbedingten und datenschutzrechtlichen Erfordernissen orientieren (Berechtigungskonzept nach dem Need-To-Know-Prinzip),

• der Zugriff auf Anwendungen (Eingabe, Veränderung und Löschung) protokolliert wird sowie,

• Remote-Access auf Infrastruktursysteme über verschlüsselte, Passphrase-gesicherte Services erfolgen.

Ziel: Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschliesslich zuden von ihrer Zugangsberechtigung umfassten personenbezogenen Daten Zugang haben

Die unerlaubte Tätigkeit in Verarbeitungssysteme ausserhalb eingeräumter Berechtigungen wird verhindert durch:

• die Zugriffsrechte (sowohl für Anwender, wie auch für Administratoren), die sich an den aufgabenbedingten und datenschutzrechtlichen Erfordernissen orientieren (Berechtigungskonzept nach dem Need-To-Know-Prinzip),

• Passwortrichtlinien inkl. Passwortlänge und Passwortwechsel vorgegeben werden,

• der Zugriff auf Anwendungen (Eingabe, Veränderung und Löschung) protokolliert wird,

• Schutz gegen unberechtigte interne und externe Zugriffe durch Verschlüsselung und Firewalls besteht und

• dedizierte Aufbewahrungspflichten bestehen.

Ziel: Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können
 

Die Aspekte der Weitergabe personenbezogener Daten wird hierdurch umgesetzt, dass:

• VPN-Technologie (SSL/TLS) zur Datenkommunikation eingesetzt wird,

• E-Mail-Nachrichten bzw. sonstige Informationen grundsätzlich verschlüsselt bzw. pseudonymisiert versendet werden können und beim physischen Transport geeignete Transportpersonen sorgfältig ausgewählt werden.

Ziel: Gewährleistung, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Vertraulichkeit und Integrität der Daten geschützt wird

Die Transportkontrolle erfordert, dass

• die Auswahl von Dritten sorgfältig erfolgt (insb. bzgl. Datensicherheit) in Zusammenarbeit mit dem Datenschutzbeauftragten,

• detaillierte vertragliche Regelungen zum Auftragsverhältnis existieren,

• wirksame Kontroll- und oder Zugriffs- bzw. Löschungsrechte (ggf. Vertragsstrafen) vereinbart werden und

• eine regelmässige Kontrolle durch den Datenschutzbeauftragten erfolgt.

Die Aspekte der Weitergabe personenbezogener Daten wird hierdurch umgesetzt, dass:

• VPN-Technologie (SSL/TLS) zur Datenkommunikation eingesetzt wird

• E-Mail-Nachrichten bzw. sonstige Informationen grundsätzlich verschlüsselt versendet werden können und

• beim physischen Transport, geeignete Transportpersonen und 
  -fahrzeuge sorgfältig ausgewählt werden und eine Festlegung der Wege stattfindet. Die Kontrolle von Eingaben, erfolgt durch:

• Protokollierung und Nachvollziehbarkeit von Eingaben, Änderungen und Löschung von Daten (durch Logfiles) sowie

• die Zugriffsrechte, welche sich (sowohl für Anwender, wie auch für Administratoren) an den aufgabenbedingten und datenschutzrechtlichen Erfordernissen orientieren.

Ziel: Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können
 

Zur Wiederherstellbarkeit verpflichtet sich visol

• zur Erstellung eines Backup- und Recovery-Konzepts,

• die Datenwiederherstellbarkeit zu testen,

• RAID-Controller zu verwenden,

• Protokollierung und Auswertung von Störungsvorfällen.

Ziel: Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen und Fehlfunktionen gemeldet werden
 

Die Zuverlässigkeit erfordert, dass

• Eskalationsfälle prozessual gemeldet werden (Anzeige von Fehler- und Störmeldungen in den IT-Systemen),

• externe/interne technische Sicherheitsanalysen durchgeführt werden,

• Test- und Freigabeverfahren z. B. bei Einführung neuer Soft- oder Hardware bestehen und

• Sensibilisierungen der Mitarbeiter zum Datenschutz und/oder 
  -sicherheit vorgenommen werden.

Ziel: Gewährleistung, dass gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können

Im Rahmen der Datenintegrität orientiert sich visol

• die Verarbeitung personenbezogener Daten im Einzelfall in Abstimmung mit der Auftraggeberin in einer Weise erfolgen, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnetwerden können. Es erfolgt eine authentifizierte Benutzeridentifikation, insbesondere dadurch, dass:

• alle technischen Systeme (zentral und dezentral), sowohl Hard-, als auch Software durch eine Firewall geschützt sind und Protokollierung und Nachvollziehbarkeit von Eingaben, Änderungen und Löschung von Daten (durch Logfiles) als auch, die Zugriffsrechte, welche sich (sowohl für Anwender, wie auch für Administratoren) an den aufgabenbedingten unddatenschutzrechtlichen Erfordernissen orientieren.

Ziel: Gewährleistung, dass personenbezogene Daten gegen Zerstörung oder Verlust geschützt sind

Zur Durchsetzung der Verfügbarkeit, hat visol veranlasst, dass:

• eine Backup-Strategie existiert,

• Räumlichkeiten mit verbundenen Brandschutzeinrichtungen ausgestattet sind,

Ziel: Gewährleistung, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können

Die getrennte Datenverarbeitung wird gewährleistet durch:

• fehlende Möglichkeit eines physikalischen Zugriffs durch dedizierte Rechte und Pflichten,

• klare Trennung und Nachvollziehbarkeit von Kundenzugriffen (logische Trennung durch individuelle Benutzerprofile mit Passwortschutz / Trennung von Produktiv- und Testinfrastruktur),

• getrennte Verarbeitung zweckgebundener Daten.

Anpassung der innerbetrieblichen Organisation an die besonderen Anforderungen des Datenschutzes

visol richtet sich nach den folgenden datenschutzrechtlichen Standards:

• Erarbeitung eines IT-Sicherheits- und Datenschutzkonzepts,

• Fertigung von internen Datenschutz- und Sicherheitsrichtlinien sowie Arbeitsanweisungen,

• Regelmässige Kontrolle durch den Datenschutzbeauftragten,

• Regelmässige Hinweise und Ermahnungen, um das Problembewusstsein zu fördern,

• Gelegentliche unvermutete Kontrolle der Einhaltung von Datenschutz- und Datensicherungsmassnahmen.