Technische & organisatorische Maßnahmen gemäß Art. 32 DSGVO

1. Vertraulichkeit (Art. 32 I lit. b) DSGVO)

a. Zutrittskontrolle

Die Anwendungsdaten werden in zwei verschiedenen Räumlichkeiten verarbeitet, im Büro von Lytt und in von Unterauftragnehmern zur Verfügung gestellten Rechenzentren.

Rechenzentrum

Lytt nutzt für den Serverbetrieb im Rechenzentrum einen Unterauftragnehmer, die Open Telekom Cloud der Telekom Deutschland Gmbh. Der Unterauftragnehmer wird entsprechend der Vereinbarung zur Auftragsvereinbarung durch Lytt geprüft. Das Rechenzentrum des von Lytt beauftragten Unterauftragnehmers erfüllt mindestens folgende Anforderungen an:

Zutrittskontrollen:

  • Alarmüberwachung
  • Personenüberprüfung und -identifikation bei Zutritt
  • Zutrittsprotokollierung
  • Kameraüberwachung sowie Bewegungs- und Einbruchsmelder
  • Personenkontrolle und -überwachung durch Vor-Ort-Personal

Diese Sicherheitsmaßnahmen werden durch die Unterauftragnehmer rund um die Uhr an sieben Tagen pro Woche sichergestellt.

Büroräume

Die Büroräume der Lytt GmbH liegen im 4. OG am Alter Fischmarkt 12 in 48143 Münster. Der Zugang zu den Büroräumen ist durch folgende Maßnahmen geschützt:

  • Transponder-Schließsystem
  • Zutrittsprotokollierung
  • Dokumentierte Aus- und Rückgabe bzw. Sperrung der Transponder
b. Zugangskontrolle

Für die Rechner der Mitarbeitenden, für eigene Server als auch für externe Dienste (z.B. zur Administration von gemieteten Servern) unternimmt Lytt umfangreiche Maßnahmen, um die Nutzung durch Unbefugte zu verhindern:

  • Alle nicht-öffentlichen Dienste sind grundsätzlich durch individuelle Benutzername/Passwort-Kombinationen geschützt.
  • Die Anmeldung bei kritischen Diensten ist nur mit Zwei-Faktor-Authentifizierung möglich, d.h. mit Benutzername, Passwort und einem zusätzlichem, getrennt generierten Einmaltoken.
  • Ein externer Zugang zum Büronetzwerk ist nur über eine verschlüsselte VPN-Verbindung möglich.
  • Sofern die Mitarbeitenden firmeneigene Smartphones nutzen, sind diese durch Vollverschlüsselung geschützt und können bei Diebstahl oder Verlust durch eine zentrale Administrationsplattform gelöscht werden.
  • Die Daten auf den Rechnern der Mitarbeitenden sind vollständig verschlüsselt und nur nach Anmeldung durch den Nutzer entschlüsselbar, um einen Zugriff auf die Daten bei Verlust oder Diebstahl des Rechners zu verhindern.
  • Durch den ausschließlichen Einsatz von Linux- und Apple-Computern reduzieren sich die Angriffsmöglichkeiten auf die Systeme deutlich.
c. Zugriffskontrolle

Lytt stellt durch verschiedene Maßnahmen sicher, dass Personen nur entsprechend der ihnen eingeräumten Zugriffsberechtigung auf IT-Systeme und die darauf gespeicherten Daten zugreifen können. Dies wird durch folgende Maßnahmen erreicht:

  • Benutzer und ihre Zugriffsrechte werden zentral verwaltet, aktiviert und gesperrt.
  • Die Verwaltung der Nutzer für sicherheits- und datenschutzrelevante Systeme ist nur durch den Geschäftsführer und einen leitenden Angestellten möglich.
  • Für den Zugriff auf die verwendeten Systeme werden, sofern technisch möglich, Passwortrichtlinien inkl. Passwortlänge und Änderungsintervallen vorgegeben.
  • Für die ordnungsgemäße Vernichtung von Dokumenten und optischen Datenträgern wird ein Aktenvernichter der Sicherheitsstufe 3 gemäß DIN 32757 genutzt.
d. Trennungskontrolle

Mit den folgenden Maßnahmen realisiert Lytt die Trennung der Daten verschiedener Kunden bzw. Kundenprojekte:

  • Beim Betrieb werden die Daten verschiedener Kunden auf jeweils eigenen Servern gespeichert
  • Produktiv- und Testsysteme werden getrennt betrieben
  • Sofern eine logische Mandantentrennung innerhalb der Anwendung notwendig ist, wird dies gemeinsam mit dem Auftraggeber im Rahmen der Anwendungsentwicklung vorgenommen.
e. Pseudonymisierung und Verschlüsselung (Art. 32 I lit. a) DSGVO)

Lytt gewährleistet, dass Datensätze auch bei der Datenübermittlung an Dritte pseudonymisiert und verschlüsselt werden.

2. Integrität (Art. 32 I lit. b) DSGVO)

a. Weitergabekontrolle

Daten zwischen Auftraggeber und Auftragnehmer werden ausschließlich elektronisch übertragen, ein Datentransport per Datenträger findet nicht statt. Dementsprechend werden folgende Maßnahmen zur Sicherung der personenbezogenen Daten bei der Übertragung vorgenommen:

  • Daten werden ausschließlich verschlüsselt (per SSH-, TLS- oder VPN-Verbindung) übertragen.
  • Falls Anwendungsdaten zur Demonstration von Funktionen der Anwendung benötigt werden (sogenannte Test-Daten), werden diese vor der Übertragung auf das Testsystem pseudonymisiert.
  • Zugriffe auf Systeme mit personenbezogenen Daten werden protokolliert.
b. Eingabekontrolle

Folgende Maßnahmen gewährleisten die Überprüfung und Feststellung, ob und von wem personenbezogene Daten eingegeben, verändert oder entfernt worden sind:

  • Im Rahmen der Anwendungsentwicklung und des Betriebs der Anwendung erfolgt keine Eingabe oder Änderung von Anwendungsdaten durch Lytt. Dies obliegt allein dem Auftraggeber.
  • Das Löschen von Datensicherungsdateien im Rahmen des Betriebs erfolgt nach der vom Auftraggeber festgelegten Frist.
  • Maßnahmen innerhalb der Anwendung, die die Nachvollziehbarkeit von Datenänderungen sicherstellt und Lösch- und Sperrfristen umsetzt, sind durch den Auftraggeber im Rahmen der Zusammenarbeit zu beauftragen.

3. Verfügbarkeit und Belastbarkeit (Art. 32 I lit. b) DSGVO)

Die Verarbeitung personenbezogener Daten erfolgt im Rechenzentrum des Unterauftragnehmers und in den Büroräumen von Lytt. Dementsprechend sind beim Schutz personenbezogener Daten vor zufälliger Zerstörung oder Verlust die Maßnahmen für die beiden Standorte zu unterscheiden.

a. Rechenzentrum

Der Unterauftragnehmer für den Serverbetrieb im Rechenzentrum ist vertraglich verpflichtet, mindestens mit den folgenden Maßnahmen die Verfügbarkeit sicherzustellen:

  • Betrieb einer unterbrechungsfreien Stromversorgung
  • Temperatur- Feuchtigkeits- und Klimaüberwachung
  • Feuer- und Rauchmeldeanlagen
  • Automatische Löschanlagen
b. Wiederherstellbarkeit (Art. 32 I lit. c) DSGVO)

Zum Schutz der personenbezogenen Daten vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung werden alle relevanten Daten täglich gesichert (Artikel 32 DSGVO).

Die Datensicherung umfasst sowohl die Datenbank als auch alle hochgeladenen Dateien in Onlinespeichern. Hierdurch ist die Integrität aller erhobenen Daten gewährleistet.

Die Backups werden täglich durchgeführt und in einem vom normalen Betrieb getrennten Speicher gesichert. Die Aufbewahrungsfristen sind wie folgt:

Tägliche Sicherung für einen Monat (30 Tage)

Wöchentliche Sicherung für ein Jahr

Nach Ablauf der jeweiligen Fristen werden sämtliche Daten unwiederbringlich gelöscht. Es werden jeweils alle Dateien vollständig gesichert (nicht-inkrementell), sodass für das Wiederherstellen die Integrität von nur einem Backup gegeben sein muss.

Das Ergebnis der Datensicherung wird vor der Übertragung in den Sicherungsspeicher verschlüsselt. Hierbei wird die synchronen, höchsten Sicherheitsstandards genügende AES Verschlüsselung mit einer Schlüssellänge von 256 bit verwendet. Der Schlüssel wird in einem Schlüsselbund gesichert, auf den lediglich Administratoren Zugriff haben. Der vom normalen Betrieb getrennte Speicher wird mit denselben Vorkehrungen gesichert wie die Infrastruktur des normalen Betriebs: Selektive Zugriffe nur für notwendige Personen (Administratoren) und zwei-Faktor-Authentifizierung. Erst bei einer Wiederherstellung der Daten wird die Sicherung außerhalb des Sicherungsspeichers wieder entschlüsselt. So liegen niemals unverschlüsselte Daten im Speicher. Die Übertragung der Sicherung selbst erfolgt ebenfalls über eine verschlüsselte Verbindung. Somit sind Daten In-Transit als auch At-Rest immer verschlüsselt.

Um der Speicherbegrenzung gerecht zu werden, werden vor Inbetriebnahme einer wiederhergestellten Datensicherung die für personenbezogene Daten relevanten, automatisierten Sperr- und Löschregeln auf die Daten angewandt. Hierdurch wird sichergestellt, dass Daten, welche zwischenzeitlich gelöscht wurden aber in der Sicherung aber noch vorhanden waren, erneut gelöscht werden (Artikel 5 DSGVO).

Das Programm, welches die Daten sichert, wird ebenfalls zur Wiederherstellung der Daten genutzt. Sowohl Sicherung als auch Wiederherstellung werden dokumentiert und sind durch autorisierte Personen (siehe oben) einfach umsetzbar.

Die tägliche Datensicherung wird überwacht. Bei einem Fehler werden qualifizierte Mitarbeiter umgehend benachrichtigt. Die Benachrichtigung erfolgt über ein Eskalationssystem, welches zunächst SMS und dann automatisierte Telefonanrufe bei den Mitarbeitern durchführt. Erst bei Bestätigung der Mitarbeiter wird die Eskalation gestoppt. Darüber hinaus wird bei einem Fehler automatisch mehrfach versucht, die Datensicherung neu zu starten.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 I lit. d) DSGVO)

Um zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend der Weisungen des Auftraggebers verarbeitet werden, unternimmt Lytt u.a. die folgenden Maßnahmen:

  • Überprüfung vorhandener Zertifizierungen von Unterauftragnehmern (speziell gemäß ISO 9001, ISO 27001 und ISO 27018)
  • Abschluss einer Vereinbarung zur Auftragsdatenverarbeitung oder von EU-Standardvertragsklauseln
  • Überprüfen von sonstigen Dokumentationen und Rechercheergebnissen, die eine Beurteilung der Zuverlässigkeit eines Anbieters ermöglichen
  • Kontrolle der Vertragsausführung

5. Verpflichtung der mit der Datenverarbeitung beschäftigten Personen (Art. 32 Abs. 4 DSGVO)

Lytt gewährleistet, dass Personen und freie Mitarbeiter, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen bzw. des Auftragverarbeiters verarbeiten und unternimmt hierzu folgende Maßnahmen:

  • Aufklärung über die Rechte und Pflichten im Umgang mit personenbezogenen Daten
  • Abschluss einer Vertraulichkeitsverpflichtung zwischen Lytt und den Personen
  • Regelmäßige Schulungen im Umgang mit personenbezogenen Daten

6. Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 1 und 2 DSGVO)

a) Datenschutz durch Technikgestaltung

Die über das Kommunikationssystems von Lytt geführten Chatverläufe erfolgen sind stets verschlüsselt (Zwei-Wege-Kommunikation). Ferner ist eine Rollenkonzeption zur Einschränkung des Datenzugriffs und zu Beschränkung von Benutzerrechten eingerichtet worden. Darüber hinaus nutzt Lytt flexible Audit Trails, so dass die Datenminimierung gewährleistet ist.

b) Datenschutzfreundliche Voreinstellungen

Im Rahmen des Kommunikationssystems von Lytt werden Chatverläufe automatisch verschlüsselt gespeichert. Zugriffsrechte sind automatisch an die verschiedenen Benutzerrollen (Admin, Meldende, Dritte, Case Manager) angepasst bzw. beschränkt. Zugriffsrechte der Mitarbeiter von Lytt auf Endgeräte, die an das Netzwerk von Lytt angeschlossen sind, sind automatisch beschränkt.

Stand: August 2019