Technische und organisatorische Maßnahmen

Gilt für: die SAP-Beratungs-, Entwicklungs- und Supportleistungen von MIXCONIX, bei denen wir per Fernzugriff in den Systemen des Kunden arbeiten. Gilt nicht für: die Anwendung Business Partner Validator, die auf der SAP® Business Technology Platform läuft und durch den Auftragsverarbeitungsvertrag abgedeckt ist.

1. Allgemeines

Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen, die die MIXCONIX.COM SRL („MIXCONIX“) zum Schutz personenbezogener Daten trifft, die sie im Auftrag ihrer Kunden verarbeitet. Die Maßnahmen gewährleisten unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung ein dem Risiko angemessenes Schutzniveau im Sinne von Art. 32 DSGVO.

Personenbezogene Daten des Auftraggebers bzw. des Verantwortlichen werden grundsätzlich in dessen Systemen per Fernzugriff verarbeitet. MIXCONIX betreibt für diese Leistungen keine eigenen Rechenzentren und keine eigenen Server zur Speicherung von Auftragsdaten.

2. Vertraulichkeit

Art. 32 Abs. 1 lit. b DSGVO.

2.1 Zutrittskontrolle

• Büroräume in Brașov mit elektronischem Zutrittssystem; Zutritt für Mitarbeitende ausschließlich mit personalisierter Chipkarte.
• Einbruchmeldeanlage, außerhalb der Arbeitszeit scharf geschaltet und auf einen Sicherheitsdienst mit Interventionsdienst aufgeschaltet.
• Rückgabe von Zutrittsmitteln, Ausweisen und Geräten bei Beendigung des Beschäftigungsverhältnisses.
• Mobiles Arbeiten ausschließlich mit firmeneigenen, verschlüsselten Endgeräten; Bildschirminhalte sind vor Einsichtnahme durch Dritte zu schützen; keine Nutzung öffentlicher oder fremder Computer.

2.2 Zugangskontrolle

• Ausschließlich firmeneigene Endgeräte; private Geräte sind für die Verarbeitung von Auftragsdaten nicht zugelassen.
• Festplattenvollverschlüsselung auf allen Notebooks.
• Persönliche, eindeutig zugeordnete Benutzerkonten; keine Sammel- oder Gruppenkonten.
• Mehr-Faktor-Authentifizierung (MFA) für alle eingesetzten Cloud-Dienste.
• Passwortvorgaben in Anlehnung an BSI IT-Grundschutz ORP.4: mindestens 14 Zeichen, keine Wiederverwendung über Dienste hinweg, sofortiger Wechsel bei Verdacht auf Kompromittierung. Sperrung nach fünf Fehlversuchen, soweit vom System unterstützt.
• Automatische Bildschirmsperre bei Inaktivität.
• Fernzugriff auf interne Ressourcen ausschließlich über ein selbst betriebenes, verschlüsseltes VPN mit schlüsselbasierter Authentifizierung.
• Zugang zu Systemen des Auftraggebers bzw. Verantwortlichen ausschließlich über die von diesem bereitgestellten Zugänge (z. B. VPN, personalisierte SAP-Benutzer) unter Einhaltung seiner Sicherheitsvorgaben.
• Firewall am Internetübergang des Büros; Schutz vor Schadsoftware durch die Schutzmechanismen des Betriebssystems sowie zeitnahe Installation von Sicherheitsupdates für Betriebssystem und Anwendungen.

2.3 Zugriffskontrolle

• Vergabe von Berechtigungen nach dem Need-to-know- und Minimalprinzip, projektbezogen.
• In Systemen des Verantwortlichen werden Berechtigungen durch den Verantwortlichen bzw. Auftraggeber nach dessen Berechtigungskonzept vergeben; MIXCONIX beantragt ausschließlich die für den Auftrag erforderlichen Rollen.
• Administrative Rechte in den Cloud-Diensten sind auf benannte Administratoren beschränkt.
• Unverzüglicher Entzug von Berechtigungen bei Projektende oder Austritt; Meldung an den Auftraggeber zur Deaktivierung der Kundenkennungen.
• Keine Downloads oder lokalen Kopien von Produktivdaten des Verantwortlichen und keine Nutzung von Wechseldatenträgern, sofern nicht ausdrücklich angewiesen.
• Sichere Löschung von Endgeräten vor Weitergabe oder Entsorgung.

2.4 Trennungskontrolle

• Getrennte Projekte, Bereiche, Repositories und Ordner je Kunde mit jeweils eigenen Berechtigungen.
• Trennung von Entwicklungs-, Test- und Produktivsystemen entsprechend der Systemlandschaft des Verantwortlichen; Quellcode wird getrennt von Test- und Produktivumgebungen verwaltet.
• Verwendung anonymisierter oder pseudonymisierter Testdaten, soweit möglich.

2.5 Pseudonymisierung und Verschlüsselung

Art. 32 Abs. 1 lit. a DSGVO.

• Verschlüsselung aller Datenträger der Endgeräte.
• Transportverschlüsselung (TLS) für E-Mail und Cloud-Dienste; verschlüsselter Fernzugriff über VPN.
• Verschlüsselung ruhender Daten durch die eingesetzten Cloud-Anbieter.
• Pseudonymisierung bzw. Anonymisierung von Daten für Test- und Analysezwecke, soweit möglich.

3. Integrität

Art. 32 Abs. 1 lit. b DSGVO.

3.1 Weitergabekontrolle

• Elektronische Übermittlung ausschließlich über verschlüsselte Kanäle (TLS, VPN).
• Personenbezogene Auftragsdaten werden nur an autorisierte Empfänger des Auftraggebers bzw. Verantwortlichen übermittelt; keine Weitergabe an Dritte ohne Weisung.
• Einsatz von Unterauftragsverarbeitern ausschließlich gemäß der Liste der Unterauftragsverarbeiter.
• Keine Nutzung privater E-Mail-Konten oder privater Cloud-Speicher für geschäftliche Daten.
• Die Eingabe personenbezogener Daten oder vertraulicher Kundeninformationen in generative KI-Dienste ist untersagt, sofern der Auftraggeber dem nicht zuvor in Textform zugestimmt hat.
• Ein physischer Transport von Datenträgern mit Auftragsdaten findet nicht statt.

3.2 Eingabekontrolle

• Nachvollziehbarkeit von Änderungen in den SAP-Systemen des Verantwortlichen über personalisierte Benutzerkennungen, Änderungsbelege und das Transportwesen.
• Versionierung aller Quellcode-Änderungen (Commit-Historie, Pull Requests mit Review).
• Vier-Augen-Prinzip für Transporte in Produktivsysteme gemäß den Vorgaben des Verantwortlichen.
• Ticketbasierte Dokumentation von Aufgaben und Änderungen.
• Protokolle dürfen nicht ohne Freigabe gelöscht oder verändert werden.

4. Verfügbarkeit und Belastbarkeit

Art. 32 Abs. 1 lit. b und c DSGVO.

• Daten des Verantwortlichen verbleiben in dessen Systemen; deren Sicherung erfolgt durch den Verantwortlichen.
• Projektunterlagen und Quellcode werden in redundant betriebenen Cloud-Diensten mit Versionierung und Wiederherstellungsfunktion gespeichert; geschäftsrelevante Daten werden nicht ausschließlich lokal gespeichert.
• Vorhaltung von Ersatzhardware; Wiederherstellung eines Arbeitsplatzes innerhalb eines Arbeitstages.
• Redundante Internetanbindung (Festnetz und Mobilfunk).
• Dokumentierter Notfall- und Wiederherstellungsplan mit definierten Wiederanlaufzielen; jährliche Überprüfung.

5. Regelmäßige Überprüfung, Bewertung und Evaluierung

Art. 32 Abs. 1 lit. d, Art. 25 DSGVO.

5.1 Datenschutz- und Informationssicherheitsmanagement

• Verbindliche Informationssicherheitsrichtlinie für alle Mitarbeitenden.
• Überprüfung dieser TOM, der Informationssicherheitsrichtlinie und des Notfallplans mindestens jährlich sowie anlassbezogen.
• Verpflichtung aller Mitarbeitenden auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO); die Verpflichtung gilt über das Ende des Beschäftigungsverhältnisses hinaus.
• Jährliche Sicherheitsunterweisung mit schriftlicher Bestätigung, einschließlich Datenschutz, Phishing-Erkennung und Umgang mit generativer KI (Maßnahmen zur KI-Kompetenz nach Art. 4 KI-Verordnung).
• Führung eines Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO.

5.2 Incident-Response-Management

• Unverzügliche interne Meldung von Sicherheitsvorfällen an den Ansprechpartner für Informationssicherheit.
• Benachrichtigung des Auftraggebers über Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, mit den Informationen nach Art. 33 Abs. 3 DSGVO.
• Dokumentation aller Sicherheitsvorfälle und der ergriffenen Maßnahmen.

5.3 Datenschutzfreundliche Voreinstellungen

Art. 25 DSGVO.

• Datenminimierung: Zugriff nur auf die für den Auftrag erforderlichen Daten; Verarbeitung im System des Verantwortlichen statt Erstellung von Kopien.
• Sichere Softwareentwicklung unter Berücksichtigung der OWASP Top 10 und mit Code-Reviews.

5.4 Auftragskontrolle

• Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers auf Grundlage eines Vertrags nach Art. 28 DSGVO.
• Für Beratungs- und Entwicklungsleistungen werden ausschließlich eigene Angestellte eingesetzt; Subunternehmer werden hierfür nicht eingesetzt.
• Unterauftragsverarbeiter werden nur mit Vertrag nach Art. 28 DSGVO und, bei Übermittlung in Drittländer, mit geeigneten Garantien nach Kapitel V DSGVO eingesetzt (Angemessenheitsbeschluss bzw. Standardvertragsklauseln).
• Auswahl von Dienstleistern unter Berücksichtigung ihres Sicherheitsniveaus und anerkannter Zertifizierungen (z. B. ISO/IEC 27001).
• Rückgabe bzw. Löschung von Auftragsdaten nach Auftragsende gemäß Weisung des Auftraggebers.