gemäß Art. 32 DSGVO · Stand: 20.05.2026
1 Organisation
Wie ist die Umsetzung des Datenschutzes organisiert?
Aufgrund der Unternehmensgröße ist die Bestellung eines Datenschutzbeauftragten gesetzlich nicht vorgeschrieben. Die Belange des Datenschutzes werden direkt durch die Geschäftsführung vertreten.
In welcher Form werden die Mitarbeiter auf die Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen geschult, die für diese Verarbeitung in Anwendung kommen?
Die Mitarbeiter wurden auf den Datenschutz und die Vertraulichkeit von Informationen sensibilisiert. Dies wird durch Datenschutzunterweisungen gewährleistet.
Sind die Verarbeitungen hinsichtlich datenschutzrechtlicher Zulässigkeit dokumentiert?
Es besteht eine Datenschutzvereinbarung, die Verarbeitung ist zulässig.
2 Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)
2.1 Zutrittskontrolle
Wie werden die Gebäude, in denen die Verarbeitung stattfindet, vor unbefugtem Zutritt gesichert?
Das Gebäude ist mit einer Sicherheits-Schließanlage ausgerüstet. Der Serverraum ist mit einer eigenen Schließanlage gesichert.
Wie werden die Räume / Büros, in denen die Verarbeitung stattfindet, vor unbefugtem Zutritt gesichert?
Die Räume werden ebenfalls durch das Sicherheitsschließsystem gesichert.
Wie werden die Verarbeitungsanlagen vor unbefugtem Zugriff geschützt?
Durch technische Maßnahmen wie Multifaktorauthentifizierung, Firewalltechnologie, Zugangsbeschränkungen und Datenverschlüsselung.
Wie werden die umgesetzten Zutrittskontrollmaßnahmen auf Tauglichkeit geprüft?
Die Kontrollmaßnahmen werden durch interne Audits geprüft. Bei externen Datenschutzaudits durch Kunden gab es bisher keine Beanstandungen.
2.2 Zugangskontrolle
Wie erfolgt die Vergabe von Benutzerzugängen?
Die Vergabe der Zugangsrechte erfolgt nur nach Bedarf jeweils für die Mitarbeiter die den Zugriff benötigen. Zugangrechte werden sofort entzogen, wenn Mitarbeiter ausscheiden oder sich ihr Tätigkeitsumfeld ändert.
Wie wird die Gültigkeit von Benutzerzugängen überprüft?
Benutzerzugänge werden einmal pro Jahr auf Ihre Notwendigkeit hin überprüft.
Wie werden Benutzerzugänge inkl. Antragstellung, Genehmigungsverfahren etc. dokumentiert?
Die Anlage und Veränderung von Benutzerzugängen wird von der Geschäftsleitung tabellarisch dokumentiert.
Wie wird sichergestellt, dass die Anzahl von Administrationszugängen ausschließlich auf die notwendige Anzahl reduziert ist und nur fachlich und persönlich geeignetes Personal hierfür eingesetzt wird?
Die eingesetzten Mitarbeiter sind in der Regel durch ihren Einsatz bei anderen Kunden sicherheitsüberprüft und den Kunden jeweils namentlich und persönlich bekannt.
Ist ein Zugriff auf die Systeme / Anwendungen von außerhalb des Unternehmens möglich (Heimarbeitsplätze, Dienstleister etc.) und wie ist der Zugang gestaltet?
Der Zugang von Heimarbeitsplätzen erfolgt nur über Multifaktorauthentifizierung und Transportverschlüsselung.
2.3 Zugriffskontrolle
Wie wird erreicht, dass Passwörter nur dem jeweiligen Benutzer bekannt sind?
Die Passwörter werden vom jeweiligen Mitarbeiter selbst vergeben. Die Systemvoreinstellungen zwingen (soweit technisch möglich) zu einer hohen Passwortkomplexität. Administrator-Passwörter für Notfälle werden in einem Passwort-Safe abgelegt, zu dem der Zugriff auf zwei Mitarbeiter beschränkt ist.
Welche Anforderungen werden an die Komplexität von Passwörtern gestellt?
Die Empfehlungen des Bundesamt für Sicherheit in der Informationstechnik (BSI) werden soweit technisch möglich umgesetzt.
Wie wird gewährleistet, dass der Benutzer sein Passwort regelmäßig ändern kann / muss?
Eine erzwungene regelmäßige Änderung der Passwörter erfolgt gemäß NIST-Standard nicht mehr. Administratorpasswörter werden jeweils nach Ausscheiden oder Änderung der Tätigkeit eines Mitarbeiters geändert.
Welche organisatorischen Vorkehrungen werden zur Verhinderung von unberechtigten Zugriffen auf personenbezogene Daten am Arbeitsplatz getroffen?
Alle Mitarbeiter wurden bzgl. Datenschutz und Informationssicherheit sensibilisiert. Beispielsweise wird die Sperrung des Arbeitsplatzes beim Verlassen stichprobenartig geprüft.
Wie wird sichergestellt, dass Zugriffsberechtigungen anforderungsgerecht und zeitlich beschränkt vergeben werden?
Die Geschäftsleitung prüft anlassbezogen die Notwendigkeit von Zugriffsberechtigungen und entzieht sie ggf.
Wie erfolgt die Dokumentation von Zugriffsberechtigungen?
Tabellarisch
Wie wird sichergestellt, dass Zugriffsberechtigungen nicht missbräuchlich verwendet werden?
Stichprobenartige Kontrolle der Logfiles durch die Geschäftsführung.
Wie lange werden Protokolle aufbewahrt? Wer hat Zugriff auf die Protokolle und wie oft werden sie ausgewertet?
Keine festgelegten Fristen, meist bedingt durch die maximale Größe der Logfiles. In der Regel ca. 4 Wochen. Zugriff hat ausschließlich die Geschäftsführung.
2.4 Trennungskontrolle
Wie wird sichergestellt, dass Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt voneinander verarbeitet werden?
Daten von Kunden werden nur auf Kundensystemen in Anwendungen der Kunden verarbeitet.
2.5 Pseudonymisierung
Welche organisatorischen Maßnahmen wurden getroffen, damit die Verarbeitung personenbezogener Daten gesetzeskonform erfolgt?
Alle mit der Verarbeitung von personenbezogenen Daten betrauten Personen wurden nach DSGVO verpflichtet. Ein Datenschutzkonzept wird im Unternehmen eingesetzt und ist allen Mitarbeitern bekannt.
3 Integrität (Art. 32 Abs. 1 lit. b DS-GVO)
3.1 Weitergabekontrolle
Wie gewährleisten Sie die Integrität und Vertraulichkeit bei der Weitergabe von personenbezogenen Daten?
Es werden keine personenbezogenen Daten der Auftragnehmer weitergegeben.
Werden Verschlüsselungssysteme bei der Weitergabe von personenbezogenen Daten eingesetzt und wenn ja, welche?
Es werden keine personenbezogenen Daten der Auftragnehmer weitergegeben.
Wie wird die Weitergabe personenbezogener Daten dokumentiert?
Es werden keine personenbezogenen Daten der Auftragnehmer weitergegeben.
Wie wird der unberechtigte Abfluss von personenbezogenen Daten durch technische Maßnahmen beschränkt?
Der Zugriff auf Daten und Logfiles ist nur für Administratoren möglich und wird restriktiv gehandhabt. Es gelten die Zugriffsrechte der verwendeten Betriebssysteme.
Gibt es ein Kontrollsystem, das einen unberechtigten Abfluss von personenbezogenen Daten aufdecken kann?
Es gibt kein solches automatisches Kontrollsystem.
3.2 Eingabekontrolle
Welche Maßnahmen werden ergriffen, um nachzuvollziehen zu können, wer wann und wie lange auf Applikationen zugegriffen hat?
Dokumentation der Arbeiten via Ticketsystem
Wie ist nachvollziehbar, welche Aktivitäten auf den entsprechenden Applikationen durchgeführt wurden?
Dokumentation der Arbeiten via Ticketsystem
3.3 Auftragskontrolle
Welche Maßnahmen werden getroffen, damit auch Unterauftragnehmer ausschließlich im vereinbarten Umfang personenbezogene Daten des Auftraggebers durchführt?
Dokumentation der Arbeiten via Ticketsystem
Wie wird die Löschung / Sperrung von personenbezogenen Daten am Ende der Aufbewahrungsfrist bei Unterauftragnehmern sichergestellt?
Daten verbleiben ausschließlich auf den Systemen des Auftragnehmers.
4 Verfügbarkeit und Belastbarkeit
4.1 Verfügbarkeitskontrolle
Wie wird gewährleistet, dass die Datenträger vor elementaren Einflüssen (Feuer, Wasser, elektromagnetische Abstrahlung etc.) geschützt sind?
Liegt in der Verantwortung des Auftraggebers, da Daten nur auf seinen Systemen verarbeitet werden.
Welche Schutzmaßnahmen werden zur Bekämpfung von Schadprogrammen eingesetzt und wie wird deren Aktualität gewährleistet?
Ständig aktuelle Virenscanner und Spamfilter finden Einsatz. Die Systeme werden regelmäßig upgedated.
Wie wird sichergestellt, dass nicht mehr benötigte bzw. defekte Datenträger ordnungsgemäß entsorgt werden?
Alle Datenträger werden bei Bedarf von der Fa. Harmut Aktenvernichter physisch vernichtet und die Zerstörung per Zertifikat bestätigt.
4.2 Wiederherstellbarkeit
Welche organisatorischen und technischen Maßnahmen werden getroffen, um auch im Schadensfall die Verfügbarkeit von Daten und Systemen schnellstmöglich zu gewährleisten? (rasche Wiederherstellbarkeit nach Art. 32 Abs. 1 lit. c DS-GVO)
Backup der Daten ist Aufgabe des Auftraggebers, da die Daten auf seinen Systemen verarbeitet werden.
5 Verfahren zur regelmäßigen Überprüfung, Bewertung, Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO, Art. 25 Abs. 1 DS-GVO)
Welche Verfahren gibt es zur regelmäßigen Bewertung/Überprüfung, um die Sicherheit der Datenverarbeitung zu gewährleisten (Datenschutz-Management)?
Die Gewährleistung des Datenschutzes erfolgt durch die Geschäftsleitung.
Wie wird auf Anfragen bzw. Probleme reagiert (Incident-Response-Management)?
Automatisierte Überwachung aller Systeme und Alarmierung bei Fehlern.
INMC GmbH · Schacht-Kronprinz-Str. 89E · 45359 Essen · [email protected]