Technische und organisatorische Maßnahmen der SHD IT UG (haftungsbeschränkt), Friedenshöhe 23, 89564 Nattheim, nach Art. 32 DSGVO. Sie gelten für die Verarbeitung personenbezogener Daten im eigenen Betrieb sowie im Auftrag von Kunden und sind Anlage zum Vertrag zur Auftragsverarbeitung.

Stand: November 2026

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

Maßnahmen, die Unbefugten den Zutritt zu Räumen und Anlagen verwehren, in denen personenbezogene Daten verarbeitet werden:

Büroräume außerhalb der Arbeitszeiten verschlossen
Schlüsselregelung mit dokumentierter Schlüsselvergabe
Besucher nur in Begleitung von Mitarbeitern
Serverschränke und Netzwerktechnik in verschlossenen Räumen bzw. abschließbaren Schränken

Zugangskontrolle

Maßnahmen, die verhindern, dass Unbefugte Datenverarbeitungssysteme nutzen:

Persönliche Benutzerkonten, keine gemeinsam genutzten Zugänge
Mehr-Faktor-Authentifizierung für alle Fernzugriffe, Cloud-Dienste und administrativen Zugänge
Passwortrichtlinie nach aktuellen Empfehlungen des BSI
Automatische Bildschirmsperre bei Inaktivität
Firewall und Endpoint-Schutz auf allen Arbeitsplätzen und Servern
Verschlüsselte Datenträger auf Notebooks und mobilen Geräten
Zentrale Verwaltung der Identitäten über Microsoft Entra ID

Zugriffskontrolle

Maßnahmen, die sicherstellen, dass Berechtigte nur auf die Daten zugreifen können, die sie für ihre Aufgabe benötigen:

Rollen- und Berechtigungskonzept nach dem Prinzip der geringsten Rechte
Getrennte Konten für administrative Tätigkeiten
Zugangsdaten von Kunden in einem verschlüsselten Passwort-Manager mit kundenbezogener Trennung
Regelmäßige Überprüfung und Entzug nicht mehr benötigter Berechtigungen
Protokollierung administrativer Zugriffe auf Kundensysteme

Trennungskontrolle

Maßnahmen, die gewährleisten, dass Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden:

Mandantentrennung zwischen den Systemen und Daten verschiedener Kunden
Getrennte Test- und Produktivumgebungen
Getrennte Zugangsdaten je Kunde

Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

Verschlüsselung von Datensicherungen
Verschlüsselte Übertragung (TLS, VPN) bei allen Fernzugriffen und Datenübertragungen
Pseudonymisierung personenbezogener Daten, soweit dies für den jeweiligen Zweck möglich ist

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

Maßnahmen, die verhindern, dass Daten bei der Übertragung oder beim Transport unbefugt gelesen, kopiert, verändert oder entfernt werden:

Fernwartung nur nach Freigabe durch den Kunden und über verschlüsselte Verbindungen
Keine Weitergabe von Kundendaten an Dritte ohne Weisung des Kunden
Datenträger werden vor der Entsorgung sicher gelöscht oder nach DIN 66399 vernichtet

Eingabekontrolle

Maßnahmen, mit denen nachvollzogen werden kann, ob und von wem Daten eingegeben, verändert oder entfernt worden sind:

Dokumentation aller Arbeiten an Kundensystemen im Ticketsystem
Protokollierung von Änderungen an Systemen und Berechtigungen
Persönliche Benutzerkonten, sodass Tätigkeiten einzelnen Personen zugeordnet werden können

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Datensicherung nach der 3-2-1-Regel mit Veeam, inklusive einer Kopie außerhalb des Hauptstandorts
Unveränderliche Sicherungskopien zum Schutz vor Ransomware
Regelmäßige Tests der Wiederherstellung
Unterbrechungsfreie Stromversorgung für zentrale Systeme
Patch- und Schwachstellenmanagement für Betriebssysteme und Anwendungen
Überwachung der Systeme (Monitoring) mit Alarmierung bei Störungen
Dokumentierter Notfall- und Wiederherstellungsplan

4. Regelmäßige Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

Datenschutz-Management

Verpflichtung aller Mitarbeiter auf Vertraulichkeit und Datenschutz
Regelmäßige Schulungen zu Datenschutz und Informationssicherheit
Regelmäßige Überprüfung und Aktualisierung dieser Maßnahmen
Verzeichnis von Verarbeitungstätigkeiten

Umgang mit Sicherheitsvorfällen

Festgelegter Ablauf zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen
Unverzügliche Information des Kunden bei Vorfällen, die seine Daten betreffen

Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO)

Systeme werden so eingerichtet, dass nur die für den jeweiligen Zweck erforderlichen Daten verarbeitet werden

Auftragskontrolle

Maßnahmen, die gewährleisten, dass Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden:

Abschluss von Verträgen zur Auftragsverarbeitung mit Kunden und Unterauftragsverarbeitern
Sorgfältige Auswahl von Unterauftragsverarbeitern unter Berücksichtigung ihrer Sicherheitsmaßnahmen
Schriftliche bzw. dokumentierte Weisungen des Auftraggebers