Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Beschreibung der von BR-Systems getroffenen Maßnahmen zur Sicherheit der Verarbeitung. Anlage 2 zum Auftragsverarbeitungsvertrag.

1 Vertraulichkeit

Zutrittskontrolle (physisch)

• Unterbringung der Hardware in einem gesicherten Rechenzentrum (Colocation) mit Zutrittsschutz des Betreibers: gesicherte Gebäude, Vereinzelungsanlagen, Videoüberwachung und protokollierter Zutritt.
• Zutritt zu den eigenen Systemen nur für berechtigte Personen; verschlossene Racks/Gehäuse.
• Büro-/Arbeitsplätze mit Zutrittsschutz und verschlossener Aufbewahrung von Datenträgern.

Zugangskontrolle (Systeme)

• Authentifizierung über individuelle Benutzerkonten mit starken Passwörtern.
• Mehr-Faktor-Authentifizierung (MFA) für administrative Zugänge und Fernzugriff.
• Automatische Sperrung inaktiver Sitzungen; verschlüsselte Verwaltungszugänge.

Zugriffskontrolle (Berechtigungen)

• Rollen- und Berechtigungskonzept nach dem Prinzip der minimalen Rechte (Least Privilege).
• Protokollierung administrativer Zugriffe; Mandantentrennung im RMM.
• Geregeltes Verfahren zur Vergabe und zum Entzug von Berechtigungen.

Trennungskontrolle

• Logische Trennung der Daten verschiedener Kunden (Mandantenfähigkeit).
• Getrennte Umgebungen für Verwaltung, Produktion und Tests.

2 Integrität

Weitergabe-/Transportkontrolle

• Verschlüsselte Übertragung sämtlicher Verbindungen (TLS); Fernzugriff ausschließlich über verschlüsselte Kanäle.
• Verschlüsselung gespeicherter Daten bzw. Datenträger, soweit technisch sinnvoll.
• Mailserver auf eigener, getrennter IP-Adresse im eigenen Rechenzentrum.

Eingabekontrolle

• Protokollierung sicherheitsrelevanter Ereignisse und administrativer Tätigkeiten (Logging).
• Nachvollziehbarkeit, wer wann welche Änderungen vorgenommen hat.
• Transparenz bei Fernzugriff: Während einer Bildschirmsitzung wird dem Nutzer am Gerät ein deutlich sichtbarer Hinweis angezeigt, dass und mit wem der Desktop geteilt wird.

3 Verfügbarkeit und Belastbarkeit

• Regelmäßige, verschlüsselte Backups; getrennte Aufbewahrung der Sicherungen.
• Schutz durch Firewall (UTM) und Endpoint-Security; laufendes Monitoring der Systeme.
• Infrastruktur im Rechenzentrum mit unterbrechungsfreier Stromversorgung (USV), Klimatisierung und Brandschutz des Betreibers.
• Definiertes Verfahren zur raschen Wiederherstellung nach einem Zwischenfall (Restore).

4 Pseudonymisierung & Verschlüsselung

• Verschlüsselung bei Übertragung und — wo angemessen — bei Speicherung.
• Pseudonymisierung bzw. Datenminimierung, soweit für den Zweck möglich.

5 Regelmäßige Überprüfung & Datenschutz-Management

• Regelmäßige Überprüfung und Aktualisierung der Maßnahmen an den Stand der Technik.
• Geregeltes Vorgehen bei Sicherheitsvorfällen inkl. Meldewegen.
• Verpflichtung der mitarbeitenden Personen auf Vertraulichkeit und Datenschutz.
• Auftragskontrolle: Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen.