Maßnahme

Umsetzung bei Cloudunify

1. Vertraulichkeit (Art 32 Abs 1 lit b DSGVO)

Zutrittskontrolle

• Abschließbare Büros in Salzburg, Linz und Wien

• Persönliche Schlüssel nur für Berechtigte; Schlüsselverzeichnis mit dokumentierter Ausgabe und Rückgabe

• Kein Zutritt Dritter zu Büros ohne Begleitung; Clear-Desk-Regel

Zugangskontrolle

• Persönliche Konten, keine Sammelkonten

• Anmeldung an Firmen-Notebooks über Google Workspace; zentrale Geräteverwaltung

• Festplattenverschlüsselung (BitLocker) auf allen Firmen-Notebooks

• Passwortmanager 1Password verpflichtend: generierte, einzigartige Passwörter; keine Speicherung in Browsern, Dokumenten oder Chats

• Zwei-Faktor-Authentifizierung für alle Konten des Auftragnehmers

• Test- und Staging-Umgebungen mit Produktivdaten nur mit sicheren Passwörtern und Zwei-Faktor-Authentifizierung

• Automatische Bildschirmsperre; verschlüsseltes Büro-WLAN

• Automatische Sicherheitsupdates und Virenschutz auf allen Firmen-Notebooks

• Bei Verlust eines Geräts sofortige Sperre der Konten und Fernlöschung über die zentrale Geräteverwaltung

• Freelancer sind vertraglich verpflichtet auf Festplattenverschlüsselung, aktuelle Updates, Virenschutz und Bildschirmsperre

Zugriffskontrolle

• Need-to-know- und Minimalprinzip

• Projektablage in Google Shared Drives mit verantwortlicher Person je Projekt

• Personalisierte Zugänge zu Systemen des Auftraggebers; gemeinsam genutzte Zugänge nur in berechtigten 1Password-Tresoren

• Zugriff auf Systeme des Auftraggebers nur für die im Projekt eingesetzten Personen und nur im Umfang des Auftrags, auch bei Administrator- oder Entwicklerrechten

• Regelmäßige, mindestens jährliche Prüfung der Berechtigungen

• Offboarding mit sofortigem Entzug aller Zugänge, auch zu Systemen des Auftraggebers, und Rückgabe von Geräten und Schlüsseln

Trennungskontrolle

• Eigene Datenbank bzw. Instanz und getrennte Projektablage je Auftraggeber

• Änderungen werden zuerst auf Test- bzw. Staging-Umgebungen geprüft

• Logische Mandantentrennung durch die Cloud-Anbieter

Pseudonymisierung und Datenminimierung

• Testdaten in Test- und Entwicklungsumgebungen, soweit möglich, anonymisiert oder pseudonymisiert

• Lokale Datenbankkopien nur auf verschlüsselten Firmengeräten; Löschung nach Zweckerreichung

• Keine personenbezogenen Daten des Auftraggebers in Code-Repositories, Tickets oder Commit-Nachrichten

2. Integrität (Art 32 Abs 1 lit b DSGVO)

Weitergabekontrolle

• Nutzung aller Cloud-Dienste ausschließlich über verschlüsselte Verbindungen (TLS/HTTPS)

• Keine unverschlüsselte Weitergabe von Kunden- und Projektdaten

• Personenbezogene Daten nur in intern freigegebenen Diensten mit Auftragsverarbeitungsvertrag (Anlage ./2)

• Zugangsdaten nur über 1Password, nie per Chat oder E-Mail

Eingabekontrolle

• Änderungsverfolgung in Odoo

• Audit-Protokolle der Google-Admin-Konsole

• Freigabe von Änderungen durch die Key-User des Auftraggebers

• Versionierte Code-Änderungen mit nachvollziehbarer Historie

3. Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit (Art 32 Abs 1 lit b und c DSGVO)

Verfügbarkeit und Wiederherstellbarkeit

• Systeme des Auftraggebers: Hosting und Sicherung liegen beim Auftraggeber bzw. dessen Hosting-Anbieter

• Eigene Systeme: tägliche Backups durch den Anbieter und zusätzliche unabhängige Sicherung mit regelmäßigem Wiederherstellungstest

• Redundante Speicherung in Google Workspace

• Notebooks ohne Datenverlust neu aufsetzbar, da keine Daten ausschließlich lokal gespeichert werden

• Notfallplan mit Vertretungsregelungen

4. Verfahren zur regelmäßigen Überprüfung (Art 32 Abs 1 lit d DSGVO)

Organisation

• Informationssicherheitsbeauftragter und Rollen benannt

• Richtlinien mit Dokumentenlenkung

• Verpflichtung von Mitarbeitenden und Freelancern auf das Datengeheimnis nach § 6 DSG vor Aufnahme der Tätigkeit

• Regelmäßige Awareness-Schulungen zu Datenschutz und Informationssicherheit

Vorfallmanagement

• Meldeprozess und Incident-Management für Datenschutzverletzungen

• Meldung an den Auftraggeber unverzüglich nach Bekanntwerden (Punkt 3 Abs 5 der Vereinbarung)

• Dokumentation jedes Vorfalls samt Ursache und ergriffenen Maßnahmen

Auftragskontrolle

• Verarbeitung nur auf dokumentierte Weisung (Punkt 3 Abs 1 der Vereinbarung)

• Auftragsverarbeitungsverträge mit allen Sub-Auftragsverarbeitern (Anlage ./2)

• Auswahl von Sub-Auftragsverarbeitern nach Prüfung von Zertifikaten und Datenschutzbedingungen

Überprüfung

• Regelmäßige Überprüfung der Maßnahmen durch die Geschäftsführung, mindestens jährlich

• Anpassung an den Stand der Technik nach Punkt 3 Abs 3 der Vereinbarung

5. Besondere Tätigkeiten

Fernzugriff auf Systeme des Auftraggebers

• Zugriff nur über die vom Auftraggeber bereitgestellten Zugänge und verschlüsselte Verbindungen

• Zugangsdaten ausschließlich in 1Password

• Datenbankkopien für Test, Upgrade und Migration nur im erforderlichen Umfang und nur auf verschlüsselten Geräten oder in den Umgebungen nach Anlage ./2

Einsatz von KI-Diensten

• Nur freigegebene KI-Dienste in Business-Versionen laut Anlage ./2 (Claude Team, Gemini in Google Workspace)

• Die Anbieter verwenden Kundendaten vertraglich nicht zum Training ihrer Modelle

• Keine Eingabe von Zugangsdaten in KI-Dienste

• Ergebnisse von KI-Diensten werden vor der Übernahme fachlich geprüft

Rückgabe und Löschung

• Rückgabe oder Löschung der Daten nach Vertragsende nach Wahl des Auftraggebers (Punkt 3 Abs 8 der Vereinbarung)

• Löschung von Sicherungskopien im Rahmen der regulären Löschzyklen