Login StBKammern
Login Docuware*
* für Steuerberaterkammern und Mitglieder von Gremien der Bundessteuerberaterkammer
TOM
Technisch Organisatorische Maßnahmen der Bundessteuerberaterkammer (TOM) i.S.d. Art. 32 DSGVO
Stand: 28.05.2020
I. Vertraulichkeit
1. Zutrittskontrolle
In der Bundessteuerberaterkammer K.d.ö.R. sind zahlreiche Maßnahmen verwirklicht, um Unbefugten den Zutritt zu den Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren.
Die Geschäftsstelle ist durch folgende Einrichtungen gesichert:
- elektrische Türöffner
- Pförtner und Sicherheitsdienst
Es besteht eine umfassende Schlüsselregelung für die Mitarbeiter: Die Schlüsselvergabe und das Schlüsselmanagement erfolgen nach einem festgelegten Prozess, der sowohl zu Beginn eines Beschäftigungsverhältnisses als auch zu dessen Ende die Erteilung bzw. den Entzug von Schlüsseln für Räume regelt.
Im Haus besteht ein elektronisches Schließsystem mit Transponder Chips. Es erfolgt eine Personenkontrolle am Eingang. Besucher erhalten erst nach Türöffnung durch den Empfangsmitarbeiter Zutritt zu den Geschäftsräumen.
Durch die bauliche Anordnung ist sichergestellt, dass sich jeder Besucher beim Empfang meldet.
2. Zugangskontrolle
Es sind Maßnahmen verwirklicht, die geeignet sind, zu verhindern, dass mobile Endgeräte, Datenverarbeitungssysteme und Personalakten von unbefugten Dritten genutzt werden können.
Personalakten werden nur auf Anweisung und Zustimmung der Geschäftsführung an befugte Mitarbeiter ausgehändigt.
Die Personalakten werden in verschlossenen Schränken in der Buchhaltung aufbewahrt. Der Büroraum der Buchhaltung ist bei Nichtanwesenheit der für die Buchhaltung verantwortlichen Mitarbeiter abgeschlossen.
Zwei-Faktor-Authentifizierung: Um von außen Zugang zu den IT-Systemen zu erhalten, müssen die Nutzer über eine entsprechende Zugangsberechtigung verfügen. Sie erhalten Zugang über eine Zwei-Faktor-Authentifizierung.
Sichere Passwörter: Es besteht eine Passwortrichtlinie innerhalb der IT-Sicherheitsrichtlinie der BStBK. Die Mitarbeiter sind zur Passwortnutzung verpflichtet. Der Benutzer erhält bei der erstmaligen Anmeldung einen Benutzernamen und ein Initialpasswort, das bei erster Anmeldung geändert werden muss.
Die Passwortvorgaben beinhalten eine Mindestpasswortlänge von acht Zeichen, eine Passworthistorie ist hinterlegt. Turnusmäßig müssen Passwörter geändert werden.
Die vier zuletzt verwendeten Passwörter können deshalb nicht noch einmal verwendet werden. Passwörter werden grundsätzlich verschlüsselt gespeichert.
Die Authentifikation erfolgt durch Benutzername und Passwort. Fehlerhafte Anmeldeversuche werden protokolliert. Bei 3-maliger Fehleingabe erfolgt eine Sperrung des jeweiligen Benutzer-Accounts.
Die mobilen Endgeräte sind durch ein Passwort geschützt.
Alle Mitarbeiter sind angewiesen, ihre IT-Systeme zu sperren, wenn sie diese bzw. ihr Büro verlassen.
Im Übrigen gilt die IT-Sicherheitsrichtlinie der BStBK.
3. Zugriffskontrolle
Es sind Maßnahmen verwirklicht, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems bzw. zur Einsicht in Personalakten Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.
Dazu besteht ein umfassendes Nutzer-Berechtigungskonzept. Es gibt ein rollenbasiertes Berechtigungskonzept mit der Möglichkeit der differenzierten Vergabe von Zugriffs-berechtigungen, das sicherstellt, dass Beschäftigte abhängig von ihrem jeweiligen Aufgaben-gebiet und ggf. projektbasiert Zugriffsrechte auf Applikationen und Daten erhalten. Die Verwaltung der Nutzerrechte erfolgt durch die Systemadministratoren. Insgesamt ist ein System von Befugnissen abgestufter Zugriffsberechtigungen errichtet.
Das Berechtigungskonzept regelt:
- welche Personen und Personengruppen Zugriff erhalten,
- welche Zugriffsrechte (Lesen, Bearbeiten, Löschen, Drucken, usw.) erteilt werden und
- für welchen Zeitraum (dauerhaft oder temporär)
Berechtigungen erteilt werden.
Es werden speziell ausgewählte Dienstleister zur Datenvernichtung (inkl. Protokollierung der Vernichtung) herangezogen, die eine Vernichtung nach DIN 66399 gewährleisten. Darüber hinaus sind ausreichend Papier-Schredder in der Geschäftsstelle aufgestellt.
Alle Server- und Client-Systeme werden regelmäßig mit Sicherheits-Updates aktualisiert.
4. Trennungskontrolle
Es sind Maßnahmen ergriffen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Dies wird über ein Berechtigungskonzept sowie die Trennung von Produktiv- und Testumgebung gesteuert.
I. Integrität
Es sind Maßnahmen verwirklicht, die die Richtigkeit der personenbezogenen Daten und die korrekte Funktionsweise von Systemen gewährleisten.
1. Eingabekontrolle
Es sind Maßnahmen verwirklicht, die gewährleisten, dass überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten zuletzt in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Dazu wird die Eingabe, Änderung und Löschung von Daten auf Datenbankebene protokolliert. Für die Nutzer gibt es entsprechend individuelle Benutzernamen.
2. Weitergabekontrolle
Es sind Maßnahmen verwirklicht, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.
Hausintern werden physische Personalakten ausschließlich persönlich an berechtigte Personen übergeben.
Die Nutzung von privaten Datenträgern ist den Mitarbeitern grundsätzlich untersagt und technisch nicht möglich.
Die Mitarbeiter werden regelmäßig zu Datenschutzthemen geschult. Sie wurden auf einen vertraulichen Umgang mit personenbezogenen Daten verpflichtet.
II. Maßnahmen zur Datenminimierung und Speicherbegrenzung
Der Grundsatz der Datenminimierung wird gewährleistet, nur erforderliche Daten werden verarbeitet. Soweit dieselben Daten mehrfach gespeichert werden, erfolgt dies nur in folgenden Fällen:
(1) Technisch unvermeidbar, wenn für verschiedene Verfahren keine einheitliche Datenbank existiert;
(2) Prozessual unvermeidbar, weil aus Kapazitätsgründen und zur Fehlervermeidung verarbeitbare, individualisierte Muster vorgehalten werden müssen
Es erfolgt ein sicheres, rückstandsfreies Löschen von Daten bzw. Vernichten von Daten nach Ablauf der Aufbewahrungsfristen.
III. Maßnahmen zur Gewährleistung der Verfügbarkeit und Belastbarkeit der Systeme
Es sind Maßnahmen verwirklicht, die gewährleisten, dass die eingesetzten Datenverarbeitungssysteme jederzeit verfügbar sind und einwandfrei funktionieren (Lauffähigkeit) und personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Dazu gehören eine unterbrechungsfreie Stromversorgung (USV) sowie IT-Infrastruktur-Komponenten (Klimaanlagen in den IT-Räumen). Der Serverraum ist nicht unterhalb von sanitären Anlagen gelegen und es gibt keine Wasserleitungen im bzw. über den Server-Rechnern.
Generell gibt es Schutzsteckdosenleisten für EDV-Geräte. Ebenfalls gibt es Feuer- bzw. Rauchmeldeanlagen und Feuerlöschgeräte an mehreren, entsprechend gekennzeichneten Stellen im Gebäude.
Backup-Strategie:
Es erfolgt eine wöchentliche Anfertigung von Sicherheitskopien von Daten, Prozesszuständen, Konfigurationen, Datenstrukturen, Transaktionshistorien an einem sicheren, ausgelagerten Ort (Bankschließfach).
Der Schutz vor äußeren Einflüssen (Schadsoftware/Malware, Sabotage z.B. DDOS, höhere Gewalt) ist sichergestellt (Belastbarkeit der Systeme).
Es erfolgt eine Ereignisüberwachung und -protokollierung, einschließlich der regelmäßigen und anlassbezogenen Auswertung dieser Protokolle: Hardware-Mängel, die für die Systemstabilität relevant sein könnten, werden kontinuierlich erfasst. Auch eine erhöhte Anzahl von Anfragen bei Web-Systemen wird erfasst. Es kommen Virenscanner, eine Hardware-Firewall, eine Software-Firewall und ein zum Einsatz. Alle Serversysteme unterliegen einem Monitoring, das im Falle von Störungen unverzüglich Meldungen an einen Administrator auslöst.
IV. Maßnahmen, um nach einem physischen oder technischen Zwischenfall (Notfall) die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen rasch wiederherzustellen
Es sind Maßnahmen verwirklicht, die sicherstellen, dass nach einem Systemfehler oder -ausfall die Funktionsfähigkeit der Systeme so schnell wie möglich wiederhergestellt werden kann.
V. Maßnahmen zur Gewährleistung der Betroffenenrechte
- differenzierte Einwilligungs-, Rücknahme- sowie Widerspruchsmöglichkeiten
- Schaffung notwendiger Datenfelder z. B. für Sperrkennzeichen, Benachrichtigungen, Einwilligungen, Widersprüche, Gegendarstellungen
- dokumentierte Bearbeitung von Störungen, Problembearbeitungen und Änderungen am Verfahren sowie an den Schutzmaßnahmen der IT-Sicherheit und des Datenschutzes
- Deaktivierungsmöglichkeit einzelner Funktionalitäten ohne Mitleidenschaft für das Gesamtsystem
- operative Möglichkeit zur Zusammenstellung, konsistenten Berichtigung, Sperrung und Löschung aller zu einer Person gespeicherten Daten
VI. Maßnahmen zur regelmäßigen Überprüfung, Bewertung und Evaluierung
Die Bundessteuerberaterkammer arbeitet mit einem externen Datenschutzbeauftragten zusammen. Mit diesem werden regelmäßige Evaluationstermine durchgeführt.
Es ist ein formalisierter Prozess zur Bearbeitung von Auskunftsanfragen seitens Betroffener vorhanden.
VII. Auftragskontrolle
Es sind Maßnahmen getroffen, die gewährleisten, dass personenbezogene Daten, die Auftragnehmer im Auftrag der Bundessteuerberaterkammer verarbeiten, nur mit entsprechender Weisung verarbeitet werden. Dafür werden Auftragsverarbeitungsverträge geschlossen. Die Auswahl der Auftragnehmer erfolgt unter Sorgfaltsgesichtspunkten. Mitarbeiter von Auftragnehmern werden auf das Datengeheimnis verpflichtet.