Technische und organisatorische Maßnahmen

(i) Der Auftragsverarbeiter hat ein Managementsystem für die Informationssicherheit eingeführt, das den folgenden Anforderungen entspricht:

(a) ISO/IEC 27001:2022 (Erklärung zur Anwendbarkeit); und

(b) SOC-2-Typ-II-Grundsätze für Vertrauensdienste.

(ii) Der Verarbeiter unterhält eine aktuelle Zertifizierung und stellt dem für die Verarbeitung Verantwortlichen innerhalb von dreißig (30) Tagen nach Erhalt oder auf schriftliche Anfrage eine Kopie seiner gültigen Zertifizierung oder seines Berichts zur Verfügung.

(iii) Die Zertifizierungen werden jährlich oder wie von der Zertifizierungsstelle vorgeschrieben erneuert.

(i) Alle Mitarbeiter, die Zugang zu den personenbezogenen Daten des für die Verarbeitung Verantwortlichen haben, sind an schriftliche Vertraulichkeitsverpflichtungen gebunden und nehmen an jährlichen Sicherheits-/Datenschutzschulungen teil.

(ii) Die Anforderungen an die Voreinstellung und die laufende Überprüfung (einschließlich Hintergrundüberprüfungen, soweit gesetzlich zulässig) gelten für Mitarbeiter und werden auf verbundene Unternehmen und Auftragnehmer ausgedehnt.

(iii) Der Zugang zu den personenbezogenen Daten des für die Verarbeitung Verantwortlichen ist auf Personen beschränkt, die diese Daten aus berechtigten geschäftlichen Gründen kennen müssen.

(i) Es werden eindeutige Benutzerkennungen vergeben; gemeinsame Konten sind verboten.

(ii) Der Zugang ist rollenbasiert, wird regelmäßig überprüft und bei Beendigung oder Rollenwechsel umgehend widerrufen.

(iii) Eine Multi-Faktor-Authentifizierung ist erforderlich.

(iv) Die personenbezogenen Daten des für die Verarbeitung Verantwortlichen sind logisch von anderen Kundendaten getrennt.

(i) Es werden Firewalls unterhalten, um Netzwerke zu schützen, in denen personenbezogene Daten des für die Verarbeitung Verantwortlichen gespeichert sind.

(ii) Anti-Malware-Software wird eingesetzt und automatisch aktualisiert.

(iii) Die Systeme werden durch Sicherheitspatches, Upgrades und Updates auf dem neuesten Stand gehalten.

(iv) Für den Fernzugriff ist ein sicheres VPN mit Multi-Faktor-Authentifizierung erforderlich.

(i) Die personenbezogenen Daten des für die Verarbeitung Verantwortlichen werden bei der Übertragung (TLS 1.2+ oder gleichwertig) und im Ruhezustand unter Verwendung von Verschlüsselungsmethoden nach dem Industriestandard gemäß den Empfehlungen des NIST oder des CIS verschlüsselt.

(i) Sicherheitsprotokollierung und -überwachung werden aufrechterhalten, um unbefugten Zugriff oder Anomalien zu erkennen.

(ii) Mindestens einmal jährlich werden unabhängige Penetrationstests durch Dritte durchgeführt, die sowohl die Anwendungs- als auch die Infrastrukturebene abdecken.

(iii) Identifizierte Schwachstellen werden innerhalb der SLAs behoben. Der Kontrolleur kann Bescheinigungen erhalten, die bestätigen, dass Tests stattgefunden haben und dass (i) keine wesentlichen Feststellungen gemacht wurden oder (ii) die Behebung abgeschlossen wurde.

(iv) Der Auftragsverarbeiter kann auch ein Schwachstellenmanagementprogramm und regelmäßige interne Tests durchführen.

(i) Bei der Ausmusterung von Datenträgern werden die Daten gemäß NIST SP 800-88 Rev.1 oder Nachfolgestandards sicher gelöscht, so dass sie nicht wiederherstellbar sind.

(i) Die vom Auftragsverarbeiter oder seinen Unterauftragsverarbeitern genutzten Rechenzentren setzen branchenübliche physische Sicherheitsvorkehrungen ein, einschließlich Zugangsbeschränkungen, Überwachung, Feuerschutz und Umweltkontrollen, und verfügen über eine Zertifizierung nach ISO 27001 oder eine gleichwertige Zertifizierung.

(i) Die Systeme sind mit Redundanz-, Backup- und Disaster-Recovery-Funktionen ausgestattet.

(ii) Backups werden verschlüsselt und regelmäßig auf Wiederherstellung getestet.

(iii) Pläne zur Aufrechterhaltung des Geschäftsbetriebs und zur Notfallwiederherstellung werden mindestens einmal jährlich überprüft und getestet.

(i) Der Verarbeiter verfügt über einen dokumentierten Plan zur Reaktion auf Zwischenfälle.

(ii) Sobald der Auftragsverarbeiter von einer Verletzung des Schutzes personenbezogener Daten erfährt, benachrichtigt er den für die Verarbeitung Verantwortlichen unverzüglich gemäß Abschnitt 7 dieser Datenschutzrichtlinie.

(iii) Der Auftragsverarbeiter untersucht und behebt Sicherheitsvorfälle und stellt dem für die Verarbeitung Verantwortlichen die Informationen zur Verfügung, die zur Erfüllung seiner rechtlichen Verpflichtungen erforderlich sind.

(i) Der Auftragsverarbeiter beauftragt unabhängige Prüfer mit der Verifizierung seiner Sicherheitsmaßnahmen gemäß ISO 27001 und/oder SOC 2 Typ II-Normen.

(ii) Auditberichte (z. B. SOC 2 Typ II) werden dem für die Verarbeitung Verantwortlichen auf schriftlichen Antrag höchstens einmal jährlich zur Verfügung gestellt, wobei eine Vertraulichkeitsverpflichtung besteht.

(iii) Der Auftragsverarbeiter kann dem für die Verarbeitung Verantwortlichen gegebenenfalls Zusammenfassungen oder Bescheinigungen anstelle vollständiger Berichte vorlegen.