Technische und organisatorische Maßnahmen bei MAMMUT Deutschland
Was sind technische und organisatorische Maßnahmen (TOMs) im Sinne der DSGVO?
Die technischen und organisatorischen Maßnahmen (TOMs) leiten sich aus der Datenschutzgrundverordnung ab (Art. 32 DSGVO).
Sie beschreiben die Rahmenbedingungen, die Entsorgungsfachbetriebe für die datenschutzkonforme Vernichtung von Daten erfüllen müssen.
Diese Maßnahmen gewährleisten die Einhaltung des gesetzlich vorgeschriebenen Rahmens und den Schutz personenbezogener Daten vor unbefugtem Zugriff.
Was bedeutet das konkret?
Die Zertifizierung aller MAMMUT Deutschland Partner als Entsorgungsfachbetriebe setzt die konsequente Umsetzung der TOMs voraus.
Diese Zertifizierungen werden gemäß ISO 9001:2015 und nach DIN 66399 regelmäßig von externen Qualitätsmanagern überprüft und erneuert.
Nachfolgend zeigen wir Ihnen auf, welche Maßnahmen wir im Rahmen der Aktenvernichtung und Datenträgervernichtung zur Sicherheit aller Kunden umsetzen und welchen Bereichen diese zugeordnet sind.
Vertraulichkeit
Zutrittskontrolle
Kontrolliert den Zugang zum Betriebsgelände und den Sicherheitsbereichen.
Maßnahmen:
- Zutrittssicherung an allen Zutrittsmöglichkeiten zur Datenvernichtungsanlage
- Zutritt von Dritten nur mit Voranmeldung
- Zutrittsschleusen für Personen und Lkw (ab Schutzklasse 2)
- Überwachung der Türen mit Meldeeinrichtung (ab Schutzklasse 3)
- Einbruchmeldeanlage (ab Schutzklasse 2)
- Brandmeldeanlage
- Schlüsselverzeichnis
- Wachschutz
- Videoüberwachung (ab Schutzklasse 2)
- Taggleiche Vernichtung (ab Schutzklasse 3)
- Mitarbeiter- und Besucherausweise
- Sicherheitsbereich in massiver Bauausführung (ab Schutzklasse 2)
Zugangskontrolle
Mit der Zugangskontrolle wird reguliert, ob und welche Personen Zugang zu Datenverarbeitungsanlagen innerhalb des Betriebes haben. Damit wird ein unbefugter Zugriff auf Kundendaten verhindert.
Maßnahmen:
- Passwortauthentifizierungen für alle Computersysteme
- Verschlüsselung von elektr. Kundendaten (ansonsten keine Datenverarbeitung)
- Sperrung aller Systeme für externe Datenträger wie USB-Sticks
- Firewalls und Virenschutz
- Beschränkung sowie Regelungen, welche Personen Schlüssel zu bestimmten Räumlichkeiten erhalten
Zugriffskontrolle
Die Regeln für die Zugriffskontrolle definieren personelle und technische Maßnahmen, welche den Zugriff auf Kundendaten beschränken und deren Weitergabe verhindern.
Maßnahmen:
- Verpflichtung aller Mitarbeiter auf das Datengeheimnis nach § 203 StGB
- Verschwiegenheitsverpflichtung der Mitarbeiter
- Regelungen im Arbeitsvertrag
- sorgfältige Auswahl der Mitarbeiter (Führungszeugnis)
- Innensicherheitsrevision
- Sicherheitsschleusen
- personenbezogene Passwortvergabe für Datenverarbeitungssysteme
- Übergabeprotokoll
- Stellenbeschreibungen zur Definition von Mitarbeiterrechten
- Verwendung von geschlossenen und verschlossenen Sicherheitsbehältern (ab Schutzklasse 2)
- Verwendung von Fahrzeugen mit geschlossenem und verschlossenem festem Aufbau (ab Schutzklasse 2)
- Kunde kann bei Vernichtung anwesend sein (ab Schutzklasse 3)
- Ausschließliche Lagerung im Sicherheitsbereich (ab Schutzklasse 2)
Trennungskontrolle
Bestimmt, dass Daten, die unterschiedlichen Zwecken dienen, auch getrennt verarbeitet werden. Dies reguliert z. B. die getrennte Speicherung und Verarbeitung von Personal- und Kundendaten.
Maßnahmen:
- Verwendung von mitarbeiterbezogenen Sicherheitskontrollstreifen
- MAMMUT sind die Zwecke der Erhebung unbekannt, die Trennungskontrolle muss insoweit vom Auftraggeber gewährleistet werden.
Integrität
Weitergabekontrolle
Reguliert im Themenbereich der Aktenvernichtung/Datenvernichtung Weitergabe bzw. Transport von Kundendaten.
Maßnahmen:
- Transport in geschlossenen Fahrzeugen
- Transport in geschlossenen Behältern / Containern
- Lieferschein
- Tourenplan
- Übernahmeprotokoll
- Dienstanweisung im Fahrerhandbuch
- Verwendung von mitarbeiterbezogenen Sicherheitskontrollstreifen
Eingabekontrolle
Dies ist eine Maßnahme, mit der sämtliche Änderungen in Datenverarbeitungssysteme protokolliert und bestimmten Personen zugeordnet werden können.
Maßnahmen:
- Schichtbericht
- Tourenplan
- Lieferschein
Verfügbarkeit und Belastbarkeit
Verfügbarkeitskontrolle:
Dies sind Maßnahmen, die den Verlust oder die unkontrollierte und undokumentierte Zerstörung von Daten verhindern.
Maßnahmen:
- Notfallplan (ab Schutzklasse 2)
- Redundante Anlage (ab Schutzklasse 3)
- Brandbekämpfungseinrichtungen
- Einbruchmeldeanlage
- Brandmeldeanlage
- Regelmäßige Probeentnahme zur Kontrolle des Erreichens der Sicherheitsstufen
- Nachweis zum Einsatz geeigneter Maschinen („Maschinenzertifikat“)
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
Auftragskontrolle:
Dokumentiert das Vorhandensein und die korrekte Abwicklung eines Kundenauftrages im Sinne des Auftraggebers.
Maßnahmen:
- eindeutige Vertragsgestaltung
- formalisiertes Auftragsmanagement
- strenge Auswahl des Dienstleisters
- Audits/Kundenaudits
- Vorabüberzeugungspflicht
- Nachkontrollen
- Innensicherheitsrevision