LoyJoy

Technische und organisatorische Maßnahmen Art. 32 – LoyJoy

•

Die LoyJoy GmbH trifft die folgenden technischen und organisatorischen Maßnahmen (TOMS), um die Ausführung der Vorschriften der Datenschutzgrundverordnung zu gewährleisten. Anlage 1 zum AVV.

Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)

Zutrittskontrolle

Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren.

Technische Maßnahmen

  • Ausschließliches Hosting bei nach ISO 27001 zertifizierten Cloud-Infrastrukturanbietern mit strengsten physischen Zutrittskontrollen
  • Kein Betrieb eigener Rechenzentren

Organisatorische Maßnahmen

  • Besucher in Begleitung durch Mitarbeiter
  • Regelmäßige Prüfung der Sicherheitszertifikate und Zutrittsschutz-Nachweise der eingesetzten Unterauftragsverarbeiter

Zugangskontrolle

Maßnahmen, die geeignet sind, zu verhindern, dass Datenverarbeitungssysteme (Computer) von Unbefugten genutzt werden können. Mit Zugangskontrolle ist die unbefugte Verhinderung der Nutzung von Anlagen gemeint.

Technische Maßnahmen

  • Login mit E-Mail-Adresse und Zugangstoken
  • Login mit Zugangsschlüssel im FIDO 2-Standard
  • Firewall
  • Verschlüsselung von Datenträgern (nach aktuellem Stand der Technik, z. B. AES)
  • Verschlüsselung von Smartphones
  • Automatische Desktopsperre
  • Verschlüsselung von Notebooks / Tablets
  • Verwaltung von Endgeräten via Mobile Device Management
  • Sperrung des Zugangs zur LoyJoy Platform nach zu vielen Fehlversuchen

Organisatorische Maßnahmen

  • Verwalten von Benutzerberechtigungen
  • Erstellen von Benutzerprofilen
  • Richtlinie „Clean desk”
  • Besucher in Geschäftsräumen in Begleitung durch Mitarbeiter
  • Allg. Richtlinie Datenschutz und / oder Sicherheit
  • Anweisung „Manuelle Bildschirmsperre”
  • Nutzung externer Datenträger durch Richtlinie untersagt

Zugriffskontrolle

Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Technische Maßnahmen

  • Protokollierung von Zugriffen auf Anwendungen, konkret bei der Eingabe, Änderung und Löschung von Daten

Organisatorische Maßnahmen

  • Einsatz Berechtigungskonzepte
  • Prozess zur Berechtigungsvergabe sowie dem Entzug von Berechtigungen
  • Minimale Anzahl an Administratoren mit weitreichenden Systemrechten
  • Verwaltung Benutzerrechte durch Administratoren des Auftraggebers innerhalb dessen Mandanten

Trennungskontrolle

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.

Technische Maßnahmen

  • Trennung von Produktiv- und Testumgebung
  • Logische Trennung (Systeme / Datenbanken / Datenträger) durch strikte Mandantenarchitektur
  • Mandantenfähigkeit relevanter Anwendungen inkl. Dienstleister

Organisatorische Maßnahmen

  • Steuerung über Berechtigungskonzept
  • Festlegung von Datenbankrechten

Pseudonymisierung (Art. 32 Abs. 1 lit. a DS-GVO; Art. 25 Abs. 1 DS-GVO)

Die Verarbeitung erfolgt so, dass Daten ohne Identifikationsmerkmale verarbeitet werden und nach Zweckfortfall in die Anonymisierung übergehen.

Technische Maßnahmen

  • Automatisierter Daten-Lebenszyklus: Umsetzung der unter „Auftragskontrolle” beschriebenen Löschroutinen. Personenbezogene Daten werden nach Ablauf kundenspezifischer Fristen (24h bis 720 Tage) unwiderruflich gelöscht.

  • Aggregations-Anonymisierung: Analytics-Daten werden auf Stundenbasis aggregiert gespeichert, sodass nach dem Löschzyklus kein Personenbezug mehr hergestellt werden kann.

  • ID-basierte Verarbeitung: Die interne Datenverarbeitung erfolgt primär über abstrakte Identifikatoren, um die direkte Identifizierbarkeit in den Arbeitsprozessen zu minimieren.

Organisatorische Maßnahmen

  • Standardisierte Lösch-Konfiguration: Festlegung der Löschfristen als integraler Bestandteil der Mandanteneinrichtung (Owner-Rolle).

  • Vorgabe der Datensparsamkeit: Interne Richtlinie zur Vermeidung der Speicherung von Klardaten (z. B. Telefonnummern), sofern diese nicht für den spezifischen Use Case des Kunden zwingend erforderlich sind.

Integrität (Art. 32 Abs. 1 lit. b DS-GVO)

Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.

Technische Maßnahmen

  • Protokollierung der Zugriffe und Abrufe
  • Bereitstellung über verschlüsselte Verbindungen (ausschließlich TLS / https)
  • Patches und Updates werden automatisch für die LoyJoy-Infrastruktur angewendet. Automatisierte Updates sind auf den Geräten der Mitarbeiter aktiviert. Die Wirksamkeit wird regelmäßig überprüft.
  • Es werden ausschließlich verschlüsselte WLAN-Netze (mindestens WPA2) genutzt.
  • Einsatz von Verschlüsselung zur Gewährleistung der Integrität von Daten, Software und IT-Systemen gemäß dem Stand der Technik.

Organisatorische Maßnahmen

  • Nutzung externer Datenträger (z. B. USB-Sticks, externe Festplatten) ist durch interne Richtlinie untersagt.
  • Nutzung nicht freigegebener Datenaustauschplattformen und Cloud-Speicherdienste ist durch interne Richtlinie untersagt. Datenaustausch erfolgt ausschließlich über vom Unternehmen freigegebene und verschlüsselte Kanäle.

Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.

Technische Maßnahmen

  • Technische Protokollierung der Eingabe, Änderung und Löschung von Daten

Organisatorische Maßnahmen

  • Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch Individuelle Benutzerkennung
  • Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts

Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)

Verfügbarkeitskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

Technische Maßnahmen

  • Nutzung zertifizierter Cloud-Rechenzentren mit modernsten physischen Schutzmaßnahmen (z. B. Brand- und Wasserschutz)
  • Automatische Prüfung der Verfügbarkeit mit Notifikation bei Nichtverfügbarkeit
  • Alle Firmencomputer sind mit Malware Protection ausgestattet

Organisatorische Maßnahmen

  • Kein Betrieb eigener Rechenzentren
  • Backup & Recovery-Konzept (ausformuliert)
  • Georedundante Aufbewahrung verschlüsselter Backups in getrennten Verfügbarkeitszonen des Cloud-Anbieters
  • Notfallpläne

Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DS-GVO)

Die schnelle Wiederherstellbarkeit ist über die umfassenden Maßnahmen unserer Unterauftragsverarbeiter nach aktuellen technischen Standards gewährleistet.

Im Falle einer dauerhaften Nichtverfügbarkeit eines Unterauftragsverarbeiters würde der Auftragnehmer nach einer angemessenen Zeit den Betrieb auf einen alternativen Cloud-Dienstleister umstellen. Ist der Auftragnehmer für die Nichtverfügbarkeit verantwortlich, werden unverzüglich Mitigationsmaßnahmen eingeleitet.

Technische Maßnahmen

  • Automatisierte, regelmäßige Backups der Datenbanken und Anwendungsdaten
  • Georedundante Datenhaltung über mehrere Verfügbarkeitszonen des Cloud-Anbieters
  • Monitoring und automatische Alarmierung bei Störungen

Organisatorische Maßnahmen

  • Notfallpläne (Business Continuity) mit definierten Verantwortlichkeiten und Eskalationsstufen
  • Regelmäßige Überprüfung der Unterauftragsverarbeiter hinsichtlich ihrer Wiederherstellungsfähigkeiten

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)

Datenschutz-Management

Technische Maßnahmen

  • Eine Überprüfung der Wirksamkeit der Technischen Schutzmaßnahmen wird mind. jährlich durchgeführt
  • Bei unserem Infrastrukturanbieter Google Cloud EMEA liegt eine Zertifizierung nach ISO 27001 und PCI DSS vor.

Organisatorische Maßnahmen

  • Mitarbeiter geschult und auf Vertraulichkeit / Datengeheimnis verpflichtet
  • Regelmäßige Sensibilisierung der Mitarbeiter, mindestens jährlich
  • Die Datenschutz-Folgenabschätzung (DSFA) wird bei Bedarf durchgeführt
  • Die Organisation kommt den Informationspflichten nach Art. 13 und 14 DS-GVO nach
  • Formalisierter Prozess zur Bearbeitung von Auskunftsanfragen seitens Betroffener ist vorhanden

Incident-Response-Management

Unterstützung bei der Reaktion auf Sicherheitsverletzungen.

Technische Maßnahmen

  • Einsatz von Firewall und regelmäßige Aktualisierung
  • Einsatz eines Spamfilters und regelmäßige Aktualisierung

Organisatorische Maßnahmen

  • Dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen / Datenpannen innerhalb des Verantwortungsbereichs von LoyJoy (Infrastruktur und Plattform).
  • Verfahren zur unverzüglichen Benachrichtigung des Auftraggebers bei Verletzungen des Schutzes personenbezogener Daten (gemäß Art. 33 Abs. 2 DS-GVO), um diesem die Prüfung und Einhaltung seiner eigenen Meldepflichten gegenüber der Aufsichtsbehörde zu ermöglichen.
  • Dokumentation von Sicherheitsvorfällen und Datenpannen z.B. via Ticketsystem
  • Formaler Prozess und Verantwortlichkeiten zur Nachbearbeitung von Sicherheitsvorfällen und Datenpannen

Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DS-GVO)

Bereitstellung einer Systemumgebung, die durch restriktive Voreinstellungen eine unbewusste Datenverarbeitung verhindert und den Auftraggeber bei der Einhaltung der Grundsätze von „Privacy by Design” unterstützt.

Technische Maßnahmen

  • Zweckgebundene Datensparsamkeit: Die Plattform ist so vorkonfiguriert, dass Daten zur technischen Fehleranalyse (Logging) nur für einen minimalen Zeitraum vorgehalten werden.

  • Konfigurierbare Datenpersistenz: Die dauerhafte Speicherung von strukturierten Endnutzerdaten in Datenbanken ist funktionsbezogen und muss vom Auftraggeber aktiv für die jeweiligen Prozessschritte konfiguriert werden.

  • Vermeidung von Datenanhäufungen: Durch systemseitig voreingestellte, kurze Löschzyklen wird technisch verhindert, dass ohne explizite Konfiguration durch den Auftraggeber langfristige Datensammlungen entstehen.

  • Selektive Erfassung: Auftraggeber können im Rahmen der Plattformnutzung granular entscheiden, welche Datenkategorien für den jeweiligen Geschäftszweck erhoben werden.

Auftragskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können.

Technische Maßnahmen

  • Technische Durchsetzung von mandantenspezifischen Berechtigungen, sodass Zugriff auf personenbezogene Daten nur im Rahmen des jeweiligen Auftrags möglich ist
  • Technische Umsetzung automatisierter Löschroutinen nach Ablauf definierter Aufbewahrungsfristen
  • API-basierter Datenaustausch mit Auftraggebern ausschließlich über authentifizierte und verschlüsselte Schnittstellen

Organisatorische Maßnahmen

  • Vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmaßnahmen und deren Dokumentation
  • Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (gerade in Bezug auf Datenschutz und Datensicherheit)
  • Abschluss der notwendigen Vereinbarung zur Auftragsverarbeitung bzw. EU Standardvertragsklauseln
  • Verpflichtung der Mitarbeiter des Auftragnehmers auf Datengeheimnis
  • Verpflichtung zur Bestellung eines Datenschutzbeauftragten durch den Auftragnehmer bei Vorliegen Bestellpflicht
  • Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags