Technische und organisatorische Maßnahmen

1. Allgemein

Der Auftraggeber als Verantwortlicher und Dealcode als Auftragsverarbeiter treffen gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wobei sie den Stand der Technik, die Implementierungskosten und die Art, den Umfang, den Kontext und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen berücksichtigen.

Der Auftraggeber ist dafür verantwortlich, seine eigenen geeigneten Maßnahmen gemäß Art. 24 der DSGVO umzusetzen. Dealcode empfiehlt, sich an den Empfehlungen einschlägiger Richtlinien und Standards, wie z. B. ISO/IEC 27002 und dem Bundesamt für Sicherheit in der Informationstechnik (BSI), zu orientieren und stellt im Folgenden die Maßnahmen dar, die Dealcode selbst zur Gewährleistung der Sicherheit der Verarbeitung getroffen hat. Soweit erforderlich, werden auch entsprechende Maßnahmen relevanter Unterauftragnehmer, insbesondere im Hinblick auf die physische Sicherheit von Infrastructure-as-a-Service-Anbietern und Rechenzentrumsbetreibern, aufgeführt und entsprechend gekennzeichnet bzw. darauf verwiesen.

2. Technische und organisatorische Maßnahmen gem. Art. 32 DSGVO

Dealcode hat die folgenden technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DSGVO zur Gewährleistung von Verschlüsselung und Pseudonymisierung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, Wiederherstellbarkeit sowie entsprechende Verfahren zur Überprüfung implementiert.

Maßnahmen zur Gewährleistung von Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen

Es sind geeignete technische und organisatorische Maßnahmen umzusetzen, welche den Anforderungen der DSGVO genügen sowie durch geeignete Voreinstellungen sicherstellen, dass nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden.

Dealcode berücksichtigt die Anforderungen des Art. 25 DSGVO bereits in der Konzeptionierungs- und Entwicklungsphase der Produktentwicklung. Dies wird durch proaktive Einbindung der Rechtsabteilung, des Datenschutzbeauftragten sowie des Information Security Managers sichergestellt. Prozesse und Funktionalitäten werden dabei so aufgesetzt, dass die Datenschutzgrundsätze wie Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung etc. sowie die Sicherheit der Verarbeitung frühzeitig berücksichtigt werden.

2.1 Organisatorische Kontrolle

Sicherstellen, dass die interne Organisation die spezifischen Anforderungen des Datenschutzes erfüllt.

a. Organisationsanweisungen (nach 5 und 6 ISO/IEC 27002:2017)
Die Ziele im Datenschutz und der Informationssicherheit sind in einer Datenschutz- und Informationssicherheitspolitik definiert und für alle Dealcode-Mitarbeiter verbindlich. Darüber hinaus werden weitere Organisationsanweisungen implementiert, die den Mitarbeitern konkrete Vorgaben im Zusammenhang mit der Verarbeitung personenbezogener Daten machen (z. B. Richtlinien zur Heim- und Telearbeit oder Richtlinien zur Nutzung von IT, Internet und E-Mail).

b. Benennung eines Datenschutzbeauftragten gemäß Art. 37 DSGVO
Die Geschäftsleitung hat einen Datenschutzbeauftragten bestellt. Er wirkt auf die Einhaltung der datenschutzrechtlichen Vorschriften hin und erfüllt die Aufgaben im Sinne des Art. 39 DSGVO. Dazu gehören u. a.: Unterstützung beim Aufbau und der Weiterentwicklung eines Datenschutzmanagementsystems, Erarbeitung, Weiterentwicklung und Überwachung entsprechender Richtlinien und Durchführung regelmäßiger Sensibilisierungsmaßnahmen.

c. Verpflichtung auf Vertraulichkeit und Datenschutz
Alle Mitarbeiter werden bei Abschluss des Arbeitsvertrages, spätestens jedoch bei Beginn des Arbeitsverhältnisses, schriftlich auf die Vertraulichkeit und den Datenschutz sowie auf andere einschlägige Gesetze verpflichtet. Die Verpflichtung gilt über die Dauer des Arbeitsverhältnisses hinaus. Freie Mitarbeiter oder externe Dienstleister werden durch Geheimhaltungsvereinbarungen (Non-Disclosure Agreements, NDAs) schriftlich zur Vertraulichkeit verpflichtet und unterzeichnen zusätzlich eine Auftragsverarbeitungsvereinbarung, wenn sie personenbezogene Daten im Auftrag von Dealcode verarbeiten.

d. Datenschutzschulung
Jeder Dealcode-Mitarbeiter erhält mit dem Arbeitsvertrag Informationen und Merkblätter zum Datenschutz und bestätigt, dass er diese zur Kenntnis genommen hat. Darüber hinaus werden regelmäßige Schulungen (vor allem durch den Datenschutzbeauftragten) als Sensibilisierungsmaßnahmen durchgeführt. Mitarbeiter aus besonders sensiblen Bereichen wie z. B. der Personalabteilung, der Produktentwicklung oder dem Kundenservice werden bei Bedarf auch gesondert zu spezifischen Fachthemen informiert und geschult.

e. Einschränkung der privaten und dienstlichen Nutzung von Kommunikationsmitteln
Dealcode-Mitarbeitern ist es nicht gestattet, das firmeneigene E-Mail-System für private Zwecke zu nutzen. Das Internetsystem und die Telefondienste dürfen nur in begrenztem Umfang privat genutzt werden. Auf die Trennung von privaten und betrieblichen Daten ist strikt zu achten. Darüber hinaus ist es den Mitarbeitern von Dealcode nicht gestattet, persönliche Daten oder sonstige Daten des Kunden, insbesondere aus dem Auftrag, auf privaten Kommunikationsmitteln zu verarbeiten. Die Mitarbeiter von Dealcode verpflichten sich zur Einhaltung entsprechender Richtlinien, deren Einhaltung im zulässigen und notwendigen Umfang kontrolliert wird.

f. Personalsicherheit (nach 7 ISO/IEC 27002:2017)
Dealcode führt vor, während und nach der Beschäftigung Maßnahmen zur Gewährleistung der Personalsicherheit durch. Dazu gehören in der Regel: Überprüfung und Bestätigung der angegebenen akademischen und beruflichen Qualifikationen, vertragliche Vereinbarungen zur Festlegung von Verantwortlichkeiten und Verhaltensregeln, Durchführung von Schulungs-, Sensibilisierungs- und Kontrollmaßnahmen, Sensibilisierungs- und Sanktionsprozess bei Datenschutzverstößen und Implementierung eines dokumentierten Offboarding-Prozesses (inkl. Schlüsselentzug, Entzug von Zugriffsrechten, Sicherstellung einer ausreichenden Dokumentation, Herausgabe und Weitergabe von Daten, Informationen und Wissen etc.) bei Beendigung des Arbeitsverhältnisses.

2.2 Verschlüsselung und Pseudonymisierung von personenbezogenen Daten

Gewährleistung, dass personenbezogene Daten im System nur in einer Weise gespeichert werden, die Dritten die Zuordnung zum Betroffenen nicht ermöglicht.

a. Schlüsselverwaltung (nach 10.1.2 ISO/IEC 27002:2017)
Zum Gebrauch, zum Schutz und zur Lebensdauer von Schlüsseln sowie zum Einsatz von Verschlüsselungsverfahren nach dem Stand der Technik setzt Dealcode eine Richtlinie zur Verwendung von kryptographischen Verfahren um. Demnach erfolgt die Generierung und Verwaltung des Hauptschlüssels („Master Key“) außerhalb der Infrastruktur des von Dealcode eingesetzten Infrastructure-as-a-Service-Providers sowie Rechenzentrumsbetreibers. Eine Übertragung der Schlüssel außerhalb der Virtual Private Cloud und die Speicherung innerhalb der genutzten Infrastruktur erfolgt ausschließlich verschlüsselt. Der Zugriff auf die Schlüsselverwaltung wird protokolliert und automatisiert sowie bei konkretem Verdacht durch autorisiertes Personal von Dealcode auf Unregelmäßigkeiten überprüft. Die entsprechenden Schlüssel werden in regelmäßigen Abständen rotiert und bisher verwendete Schlüssel unmittelbar invalidiert und entfernt. Zudem werden Schlüssel strikt nach Netzwerken bzw. Datenbanken getrennt. Im Rahmen einer regelmäßigen Sicherheitsprüfung wird sichergestellt, dass die Maßnahmen zur Schlüsselrotation wirksam sind und alte Schlüssel ordnungsgemäß entfernt wurden.

b. Datenbank- und Speicherverschlüsselung
Auf allen von Dealcode eingesetzten Datenbanken wird eine Verschlüsselung „at Rest“ nach dem Stand der Technik eingesetzt, sodass die Daten aus der Datenbank nur nach ordnungsgemäßer Authentifizierung am jeweiligen Datenbank-System gelesen werden können. Die zur Speicherung von Dokumenten eingesetzten Speichermedien („Storage“) werden ebenfalls auf Dateisystemebene verschlüsselt. Backups der Datenbank-Systeme werden ausschließlich verschlüsselt aufbewahrt.

c. Übermittlung von Daten über verschlüsselte Datennetze oder Tunnelverbindungen („Data in Transit“)
Alle personenbezogenen Daten, die von der Dealcode-Applikation an einen Client oder an andere Plattformen über ein unsicheres oder öffentliches Netzwerk übertragen werden, werden ausschließlich verschlüsselt übertragen. Dies gilt insbesondere auch für Zugriffe auf das Kunden- und Admin-System. Dealcode gewährleistet die Verwendung einer Verschlüsselungsmethode nach dem Stand der Technik in Abhängigkeit des auf Auftraggeber-Seite kompatiblen Verschlüsselungsalgorithmus (derzeit HTTPS-Verbindungen bzw. TLS 1.3/1.2). Administrative Zugriffe auf Server-Systeme von Dealcode sowie die Übertragung von Backups erfolgen ausschließlich über verschlüsselte Verbindungen, bspw. Secure Shell (SSH) bzw. Virtual Private Network (VPN).

d. Verschlüsselung von mobilen Datenträgern
Mobile Datenträger, auf denen Daten von Dealcode genutzt oder verarbeitet werden, werden ausschließlich verschlüsselt verwendet. Grundsätzlich ist der Einsatz von mobilen Datenträgern zur Speicherung von Kundendaten nicht gestattet.

e. Verschlüsselung von Datenträgern auf Laptops
Auf allen Laptops der Mitarbeiter wird eine vollständige Festplattenverschlüsselung nach dem Stand der Technik eingerichtet.

f. Verschlüsselter Austausch von Informationen und Dateien
Grundsätzlich erfolgt der Austausch von Informationen und Dateien zwischen Auftraggeber und Dealcode direkt verschlüsselt über die Dealcode-Applikation (siehe c.). Sofern personenbezogene Daten oder vertrauliche Informationen des Auftraggebers auf Server übertragen werden müssen, die nicht über TLS-verschlüsselte HTTPS-Uploads gesendet werden können, werden diese mit Secure File Transfer Protocol (SFTP) übertragen.

g. E-Mail-Verschlüsselung
Grundsätzlich werden alle von Mitarbeitern von Dealcode oder innerhalb der Dealcode-Applikation versendeten E-Mails transportverschlüsselt (TLS) versendet.

2.3 Zutrittskontrolle

Verwehrung des Zugangs zu IT-Systemen und Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte.

a. Elektronische Türsicherung: Die Eingangstüren zu den Räumlichkeiten von Dealcode sind grundsätzlich verschlossen und elektronisch gesichert. Eine Öffnung der Türen erfolgt über einen personengebundenen elektronischen Schlüssel.

b. Kontrollierte Schlüsselvergabe: Es erfolgt eine zentrale, dokumentierte Schlüsselvergabe an die Mitarbeiter von Dealcode. Diese elektronischen Schlüssel können zentral deaktiviert werden.

c. Beaufsichtigung und Begleitung von Fremdpersonen: Ein Zutritt externer Dienstleister und sonstiger Fremdpersonen darf nur durch vorige Autorisierung und Begleitung durch einen Mitarbeiter von Dealcode erfolgen.

d. Sicherung von Räumlichkeiten mit erhöhtem Schutzbedarf: Räumlichkeiten mit erhöhtem Schutzbedarf werden grundsätzlich nach Verlassen oder Nutzung verschlossen. Ein Zutritt zu diesen Räumlichkeiten wird nur autorisiertem Personal gewährt.

e. Geschlossene Türen und Fenster: Mitarbeiter sind organisatorisch dazu angewiesen, Fenster und Türen außerhalb der Bürozeiten geschlossen bzw. verschlossen zu halten.

f. Physische Sicherheit in den Rechenzentren: Dealcode setzt ausschließlich Server-Systeme von Rechenzentrumsbetreibern ein, die eine gültige Zertifizierung nach ISO/IEC 27001 besitzen (z. B. 24/7-Sicherheitsdienst, biometrische oder elektronische Zugangsschleusen, Videoüberwachung sensibler Bereiche, redundante Zäune und Einbruchmeldeanlagen).

2.4 Zugangskontrolle

Verhinderung der Nutzung und Verarbeitung von datenschutzrechtlich geschützten Daten durch Unbefugte.

a. Verwendung von Authentifizierungsverfahren
Zugänge, die den Zugriff auf personenbezogene Daten ermöglichen, erfolgen stets über verschlüsselte Protokolle: SSH, SSL/TLS, HTTPS oder vergleichbare Protokolle.

i. Authentifizierungsverfahren IT-System/Laptop: Authentifizierung mit Benutzername und individuellem Kennwort.

ii. Authentifizierungsverfahren Kunden-System: Authentifizierung mit E-Mail-Adresse und starkem Kennwort (Mindestlänge 8 Zeichen, Zahlen, Buchstaben und Sonderzeichen; Speicherung via Bcrypt-Hash, Einhaltung technisch erzwungen); Account-Sperrung nach fünf fehlgeschlagenen Login-Versuchen; 2-Faktor-Authentifizierung (2FA) verfügbar und empfohlen; optionale Anbindung von OAuth2/SSO.

iii. Authentifizierungsverfahren Admin-System: Zugang zu Kunden-Systemen via Benutzeroberfläche ausschließlich für berechtigte Mitarbeiter für Support-Zwecke; Authentifizierung mit E-Mail-Adresse; 2-Faktor-Authentifizierung (2FA) zwingend erzwungen (starkes Kennwort, Passwortänderung vom Teamlead alle drei Monate angeordnet & Token-Generator zur Authentifizierung); Sperrung des Accounts nach fünf fehlgeschlagenen Login-Versuchen.

iv. Authentifizierungsverfahren Server-/Datenbank-System: Administrative Zugriffe auf die gespeicherten Daten durch Entwicklungs- und Infrastrukturteams erfolgen ausschließlich über VPN und SSH mit Key-Pair-Authentifizierung.

b. Benennung von Support- und Weisungsberechtigten: Der Auftraggeber bestimmt weisungsberechtigte Ansprechpartner. Das Support-Team von Dealcode nimmt Weisungen ausschließlich von verifizierten Ansprechpartnern entgegen.

c. Verwendung sicherer Passwörter: Richtlinien zur Passwortkomplexität gemäß BSI IT-Grundschutz (Sonderzeichen, Mindestlänge, regelmäßiger Wechsel).

d. Verbot von Shared Accounts: Verbot der Weitergabe von Zugangsdaten und Verbot gemeinsamer Sammelkonten.

e. Automatische Sperrung bei Inaktivität: Bildschirmsperre mit Kennwortschutz nach maximal 10 Minuten Inaktivität.

f. Einsatz von Anti-Viren-Software: Zentral verwalteter Endpoint-Schutz mit automatischen Definitionsupdates auf allen Arbeitsgeräten.

g. Clean Desk Policy: Verbot des Ausdruckens von Kundendaten, sichere Verwahrung von Unterlagen in abschließbaren Schränken.

h. Drahtlose Netzwerke: Nutzung öffentlicher WLAN-Netze ausschließlich über unternehmenseigene VPN-Tunnel.

2.5 Zugriffskontrolle

Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den von ihrer Zugangsberechtigung umfassten personenbezogenen Daten Zugang haben.

a. Rollen- und Berechtigungskonzept: Granulare Vergabe von Lese-, Schreib- und Administrationsrechten im Kunden-System.

b. Kontrolle der Zugriffsberechtigung auf Kunden-Systeme: Der Support-Zugriff durch Dealcode ist standardmäßig deaktiviert und muss vom Auftraggeber aktiv freigeschaltet werden.

c. Vergabe von Zugriffsrechten nach dem Need-to-Know-Prinzip: Rechte werden minimal vergeben und bei Ausscheiden von Mitarbeitern binnen 24 Stunden entzogen.

d. Host-basiertes Angriffserkennungssystem (HIDS): Überwachung von System-Logs, Rootkit-Signaturen und Brute-Force-Angriffen in Echtzeit.

e. Firewall-Architektur: Segmentierte Netzwerkzonen und Paketfilter-Firewalls; öffentliche Erreichbarkeit ausschließlich über gehärtete Loadbalancer/Bastion-Hosts.

2.6 Trennbarkeit

Gewährleistung, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können.

a. Trennung von Entwicklungs-, Test- und Betriebsumgebungen: Produktionsdaten werden vor einer Übernahme in Testsysteme vollständig anonymisiert.

b. Netzwerktrennung: Physische oder logische Trennung von Produktivumgebung (Production), Testumgebung (Staging), internem Office-Netz und Gastnetz.

c. Softwareseitige Mandantentrennung: Multi-Tenancy-Architektur mit strikter logischer Trennung auf Mandantenebene über eindeutige Company-IDs in allen Datenbankabfragen.

2.7 Transport- und Weitergabekontrolle

Gewährleistung, dass bei der Übermittlung personenbezogener Daten Vertraulichkeit und Integrität geschützt werden (TLS-Transportverschlüsselung, kryptographische Prüfsummen, Weitergabeverbot an unbefugte Dritte).

2.8 Eingabekontrolle

Gewährleistung der Nachvollziehbarkeit: Relevante administrative Vorgänge und Datenänderungen werden protokolliert (Benutzer-ID, Zeitstempel, geänderte Ressourcen) und revisionssicher aufbewahrt.

2.9 Verfügbarkeitskontrolle

Gewährleistung des Schutzes gegen zufällige Zerstörung oder Verlust:

• Tägliche automatisierte Backups mit Verschlüsselung at Rest.
• Geo-Redundanz über getrennte Rechenzentren / Verfügbarkeitszonen innerhalb der EU.
• Proaktives Kapazitätsmonitoring und Alarmierungssysteme.
• Dokumentiertes Incident Response Management.
• USV und Notstromaggregate in den Rechenzentren.

2.10 Wiederherstellbarkeit

Regelmäßige Restore-Tests der Datensicherungen und Disaster Recovery Pläne zur Systemwiederherstellung innerhalb von 24 Stunden im Notfall.

3. Maßnahmen zur Überprüfung und Evaluierung

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen:

• Datenschutz- und Information Security Team: Kontinuierliche Überwachung und Steuerung der Sicherheitsrichtlinien.
• Risikomanagement: Regelmäßige Risikoanalysen und Ableitung präventiver Schutzmaßnahmen.
• Interne & externe Audits: Überprüfung der Einhaltung von Sicherheitsstandards und DSGVO-Vorgaben.
• Schwachstellen-Management: Regelmäßige automatisierte Schwachstellenscans und Penetrationstests.
• Lieferanten- und Unterauftragnehmer-Kontrolle: Strikte Prüfung von Unterauftragnehmern (Art. 28 DSGVO, ISO 27001 Zertifizierungen, vertragliche Garantien).