Allgemeines
      Zurück zur Startseite
      1. onyo Wissensdatenbank
      2. Allgemeines

      Technische und organisatorische Maßnahmen

      Datenschutz- und Datensicherheitskonzept für Kunden der onyo GmbH, Paul-Heyse-Str. 31, 80336 München

      Vorwort
      Dieses Dokument beschreibt die verbindlichen technischen und organisatorischen Maßnahmen, die mit den beauftragten Datenverarbeitungsoperationen zwischen den Auftraggebern und Beauftragten der onyo GmbH verbunden sind, und stellt Informationen zum gültigen Datenschutz- und Datensicherungskonzept bereit.

      1. Allgemeine Überlegungen

      Diese Datenschutzrichtlinie beschreibt die technischen und organisatorischen Maßnahmen, die für eine sichere und gesetzeskonforme Verarbeitung personenbezogener Daten umgesetzt wurden. Sie berücksichtigt die Rechte der betroffenen Personen und die Anforderungen der Artikel 24, 25 und 32 der DSGVO, soweit anwendbar. Die Richtlinie behandelt drei allgemeine Kategorien personenbezogener Daten:

      • Kontaktinformationen: E-Mail-Adresse und Telefonnummer

      • Adressdaten: Straßenname, Stadt, Postleitzahl, Land

      • Personenbezogene Informationen: Vor- und Nachname

      Die folgende Beschreibung der technischen und organisatorischen Maßnahmen wird, wo erforderlich, nach diesen Datenkategorien differenziert.

      2. Organisation

      onyo hat einen Datenschutzbeauftragten (DSB) ernannt, der bei datenschutzrechtlichen Fragen berät, das Team über Änderungen in den Vorschriften und Standards auf dem Laufenden hält und, falls erforderlich, bei der Überprüfung und Verbesserung der Maßnahmen unterstützt. Der DSB Niao Wu ist unter datenschutz@onyo.io erreichbar.

      3. Vertraulichkeit

      3.1 Zugangskontrolle

      onyo betreibt Bürogebäude, die nicht frei zugänglich sind. Sie sind abgeschlossen, wenn Mitarbeiter abwesend sind. Die folgenden Maßnahmen wurden umgesetzt:

      • Abgeschlossenes Gebäude

      • Abgeschlossenes Büro

      onyo unterhält keine eigenen Server oder Serverräume.
      Der Serverstandort befindet sich in Frankfurt, Deutschland.
      Verschlüsselte Backups werden verschlüsselt in den Niederlanden gespeichert.
      Alle Serverstandorte sind zertifiziert mit AICPA SOC 2 und 3 Typ II, Cloud Security Alliance (CSA) STAR Level 1, ISO/IEC 27001:2013 und PCI-DSS, die die neuesten Standards erfüllen.

      3.2 Zugangskontrolle

      Die folgenden Maßnahmen wurden für den Zugang zu Softwaresystemen umgesetzt:

      • Direkter Server- und Datenbankzugriff ist nur durch IT-Betriebsmitarbeiter möglich. Als Sicherheitsmaßnahme ist der Zugang nur von bestimmten IP-Adressen aus und nur mit Zwei-Faktor-Authentifizierung (2FA) möglich.

      • Der Zugang zu Kundendaten über die Plattform ist nur für Mitarbeiter im IT-Betrieb und Kundenservice möglich.

      3.3 Nutzungssteuerung

      Die folgenden Maßnahmen wurden im Umgang mit Softwaresystemen umgesetzt:

      • Die Passwortregeln für die Zugangskontrolle müssen auch für die Nutzungssteuerung beachtet werden.

      • Rollenbasierte Berechtigungen und administrative Benutzerprofile sind auf ein Minimum beschränkt.

      • Benutzerabhängige Authentifizierung mit Benutzername und Passwort.

      • Die Nutzung personenbezogener Daten ist auf diejenigen Personen beschränkt, die sie für ihre Aufgabe benötigen (De-Minimis-Prinzip).

      • Protokollierung der Nutzung und Änderungen.

      • Papierloses Arbeiten als Grundsatz und rechtskonforme Vernichtung von Papierdokumenten mit einem Aktenvernichter, wenn zutreffend.

      • Alle Passwörter werden asymmetrisch mit SHA256 im Frontend gemäß dem aktuellen Standard gehasht. Es wird nur der Hash gespeichert, und Passwörter können nicht zurückverfolgt werden.

      3.4 Pseudonymisierung

      Kundendaten werden pseudonymisiert, sofern die Verbindung zum Individuum für das Ergebnis nicht unbedingt erforderlich ist (z. B. bei Beendigung der Dienstleistungen von onyo).

      4. Integrität

      4.1 Übertragungssteuerung

      Die Verwendung einzelner USB-Sticks oder verwandter Datenträgerwerkzeuge ist nicht gestattet. Informationen sollten nur dann ausgedruckt werden, wenn es absolut notwendig ist. Ausgedruckte Kopien müssen sofort vernichtet werden, wenn sie nicht mehr benötigt werden.
      Alle mobilen Geräte der Mitarbeiter müssen verschlüsselt werden.

      4.2 Eingabekontrolle

      Die folgenden Maßnahmen wurden für Softwaresysteme umgesetzt:

      • Nachvollziehbarkeit von Eingaben, Änderungen und Löschungen durch personalisierte Benutzer

      • Nachvollziehbarkeit der Zuweisung, Änderung und Löschung von Benutzerberechtigungen

      4.3 Verfügbarkeit und Zuverlässigkeit

      Mitarbeitern wird moderne Ausstattung zur Verfügung gestellt.
      Personenbezogene Daten werden auf Datenverarbeitungssystemen verarbeitet, die regelmäßigen und dokumentierten Patch-Management-Prozessen unterliegen.
      Automatische Updates sind auf den Computern und Servern aktiviert.
      Die kontinuierliche Verfügbarkeit des Internets mit hoher Geschwindigkeit ist gewährleistet. (Cloud-Systemdienste können mit jeder Internetverbindung verwendet werden.)
      Die kontinuierliche Verfügbarkeit von Daten wird durch redundante Speicher und Systembackups gemäß den neuesten technischen Standards garantiert.
      Die Rechenzentren und Serverräume des Cloud-Anbieters sind auf dem neuesten Stand der Technik (Temperaturkontrolle, Brandschutz, Wasserschutz, unterbrechungsfreie Stromversorgung (USV), um eine kontrollierte Abschaltung ohne Datenverlust sicherzustellen).

      4.4 Produktentwicklung
      4.4.1 Entwicklungstools

      Drittanwendungen müssen vor der Verwendung von den Co-CEOs von onyo genehmigt werden, um die Einhaltung der Qualitätsmanagement- und Datenschutzanforderungen sicherzustellen.
      Entwicklungstools dürfen nur von sicheren Quellen heruntergeladen werden (z. B. von den Servern des Herstellers).
      Soweit möglich, wird für Drittanwendungen Single-Sign-On-Authentifizierung verwendet, um eine vollständige und konforme Zugriffskontrolle innerhalb der Organisation zu ermöglichen.
      Weniger sichere Drittanwendungen werden durch die Standardkonfiguration des Administrators deaktiviert.

      4.4.2 Datenschutzfreundliche Einstellungen

      Die Produktentwicklung muss berücksichtigen, dass den Nutzern die Option gegeben wird, nur die für den Verarbeitungszweck notwendigen Informationen einzugeben. Eingabefelder mit zusätzlichen, unnötigen Informationen sollten vermieden oder zumindest als nicht obligatorisch gestaltet werden.
      Datenschutzfreundliche Einstellungen müssen standardmäßig voreingestellt sein.

      5. Arbeitsplatz des Mitarbeiters

      Die folgenden Maßnahmen wurden umgesetzt:

      • Mitarbeiter müssen ihre Festplatten mit moderner Verschlüsselung, z. B. BitLocker oder gleichwertiger Software für andere Betriebssysteme, verschlüsseln.

      • Der E-Mail-Anbieter des Unternehmens wendet einen standardmäßigen Virus-, Spam- und Phishingfilter an, um schadhafter Software vorzubeugen und Cyberangriffe abzuwehren.

      • Mitarbeiter müssen für ihr Homeoffice-Internetnetzwerk eine vollständig geschlossene Firewall einrichten.

      • Mitarbeiter sind verpflichtet, ihre Schreibtische von Dokumenten zu befreien, die sensible Daten enthalten, insbesondere wenn diese für andere zugänglich sind.

      • Die Standardeinstellung für Bildschirmschoner muss auf den kürzesten Zeitraum bis zur Aktivierung gesetzt werden. Beim Verlassen des Arbeitsplatzes und der Hardware sollten Mitarbeiter ihre Geräte immer sperren.

      6. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

      Der Datenschutz und die IT-Sicherheit innerhalb des Unternehmens werden regelmäßig überprüft und kontinuierlich verbessert, basierend auf diesen Bewertungen. Interne Prüfungen können Datenschutzanforderungen wie folgt umfassen:

      • Verpflichtung der Mitarbeiter zur Wahrung der Datensicherheit, Schulungen und Weiterbildungen.

      • Regelmäßige Überprüfung der Verfahren zur Datenverarbeitung.

      • Verfahren bei Datenschutzverletzungen und dem Schutz der Rechte betroffener Personen.

      Das Unternehmen hat die folgenden internen Maßnahmen implementiert:

      • Ernennung eines Datenschutzbeauftragten

      • Regelmäßige Prüfung der Verfahren

      • Regelmäßige Überprüfung technischer Fortschritte gemäß Artikel 32 DSGVO