Technische und organisatorische Maßnahmen

Last updated: February 2026

1. Einleitung

1.1. Verantwortlicher

Verantwortlicher gem. Art. 4 Nr. 7 EU-Datenschutz-Grundverordnung (DSGVO) ist comstruct ICT GmbH, Agnes-Pockels-Bogen 1, 80992 München, Deutschland, E-Mail: kontakt@comstruct.com. Gesetzlich vertreten werden wir durch Henric Meinhardt.

1.2. Datenschutzbeauftragter

Unser Datenschutzbeauftragter ist die heyData GmbH, Schützenstraße 5, 10117 Berlin, www.heydata.eu, E-Mail: datenschutz@heydata.eu.

1.3. Gegenstand des Dokuments

Dieses Dokument fasst die vom Verantwortlichen getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 Abs. 1 DSGVO zusammen. Das sind Maßnahmen, mit denen der Verantwortliche personenbezogene Daten schützt. Das Dokument hat den Zweck, den Verantwortlichen bei der Erfüllung seiner Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO zu unterstützen.

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

2.1. Zutrittskontrolle

Folgende implementierte Maßnahmen verhindern, dass Unbefugte Zutritt zu den Datenverarbeitungsanlagen haben:

Manuelles Schließsystem (z.B. Schlüssel)
Protokollierung der Besucher (z.B. Besucherbuch)
Besucher nur in Begleitung durch Mitarbeiter
Sorgfältige Auswahl des Reinigungspersonals

2.2. Zugangskontrolle

Folgende implementierte Maßnahmen verhindern, dass Unbefugte Zugang zu den Datenverarbeitungssystemen haben:

Authentifikation mit Benutzer und Passwort
Einsatz von Anti-Viren-Software
Einsatz von Firewalls
Einsatz von Mobile Device Management
Einsatz von VPN-Technologie bei Remote-Zugriffen
Verschlüsselung von Datenträgern
Automatische Desktopsperre
Verschlüsselung von Notebooks / Tablets
Verwaltung von Benutzerberechtigungen
Erstellen von Benutzerprofilen
Zentrale Passwortregeln
Nutzung von 2-Faktor-Authentifizierung
Protokollierung der Besucher (z.B. Besucherbuch)
Schlüsselregelung / Schlüsselbuch
Allgemeine Unternehmens-Richtlinie zum Datenschutz oder zur Sicherheit
Unternehmens-Richtlinie für sichere Passwörter
Unternehmens-Richtlinie "Cleandesk"
Unternehmens-Richtlinie zur Verwendung mobiler Geräte
Allgemeine Anweisung, bei Verlassen des Arbeitsplatzes Desktop manuell zu sperren

2.3. Zugriffskontrolle

Folgende implementierte Maßnahmen stellen sicher, dass Unbefugte keinen Zugriff auf personenbezogene Daten haben:

Einsatz von Aktenvernichtern (mit cross cut-Funktion)
Physische Löschung von Datenträgern vor deren Wiederverwendung
Protokollierung der Vernichtung von Daten
Protokollierung von Zugriffen auf Anwendungen (insbesondere bei der Eingabe, Änderung und Löschung von Daten)
Einsatz eines Berechtigungskonzepts
Anzahl der Administratoren ist so klein wie möglich gehalten
Verwaltung der Benutzerrechte durch Systemadministratoren

2.4. Trennungskontrolle

Folgende Maßnahmen stellen sicher, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden:

Trennung von Produktiv- und Testsystem
Verschlüsselung von Datensätzen, die zu demselben Zweck verarbeitet werden
Logische Mandantentrennung (softwareseitig)
Festlegung von Datenbankrechten

3. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

3.1. Weitergabekontrolle

Es ist sichergestellt, dass personenbezogene Daten bei der Übertragung oder Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und überprüft werden kann, welche Personen oder Stellen personenbezogene Daten erhalten haben. Zur Sicherstellung sind folgende Maßnahmen implementiert:

Einrichtungen von VPN-Tunneln
WLAN-Verschlüsselung (WPA2 mit starkem Passwort)
Protokollierung von Zugriffen und Abrufen
Bereitstellung von Daten über verschlüsselte Verbindungen wie SFTP oder HTTPS
Nutzung von Signaturverfahren
Erstellen einer Übersicht von regelmäßigen Abruf- und Übermittlungsvorgängen
Weitergabe von Daten in anonymisierter oder pseudonymisierter Form

3.2. Eingabekontrolle

Durch folgende Maßnahmen ist sichergestellt, dass geprüft werden kann, wer personenbezogene Daten zu welcher Zeit in Datenverarbeitungsanlagen verarbeitet hat:

Protokollierung der Eingabe, Änderung und Löschung von Daten
Manuelle oder automatische Kontrolle der Protokolle
Nachvollziehbarkeit der Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen (nicht Benutzergruppen)
Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Durch folgende Maßnahmen ist sichergestellt, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt und für den Auftraggeber stets verfügbar sind:

Regelmäßige Backups
Erstellung eines Backup- & Recoverykonzepts
Kontrolle des Sicherungsvorgangs
Aufbewahrung von Datensicherung an einem sicheren, ausgelagerten Ort
Erstellen eines Notfallplans (z.B. BSI IT-Grundschutz 100-4)
Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse
Hosting (jedenfalls der wichtigsten Daten) mit einem professionellen Hoster

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)

5.1. Datenschutz-Management

Folgende Maßnahmen sollen gewährleisten, dass eine den datenschutzrechtlichen Grundanforderungen genügende Organisation vorhanden ist:

Verwendung der heyData-Plattform zum Datenschutz-Management
Bestellung des Datenschutzbeauftragten heyData
Verpflichtung der Mitarbeiter auf das Datengeheimnis
Regelmäßige Schulungen der Mitarbeiter im Datenschutz
Führen einer Übersicht über Verarbeitungstätigkeiten (Art. 30 DSGVO)

5.2. Incident-Response-Management

Folgende Maßnahmen sollen gewährleisten, dass im Fall von Datenschutzverstößen Meldeprozesse ausgelöst werden:

Meldeprozess für Datenschutzverletzungen nach Art. 4 Ziffer 12 DSGVO gegenüber den Aufsichtsbehörden (Art. 33 DSGVO)
Meldeprozess für Datenschutzverletzungen nach Art. 4 Ziffer 12 DSGVO gegenüber den Betroffenen (Art. 34 DSGVO)
Einbindung des Datenschutzbeauftragten in Sicherheitsvorfälle und Datenpannen
Einsatz von Anti-Viren-Software
Einsatz von Firewalls

5.3. Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO)

Die folgenden implementierten Maßnahmen tragen den Voraussetzungen der Prinzipien "Privacy by design" und "Privacy by default" Rechnung:

Schulung der Mitarbeiter im "Privacy by design" und "Privacy by default"
Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind.

5.4. Auftragskontrolle

Durch folgende Maßnahmen ist sichergestellt, dass personenbezogene Daten nur entsprechend der Weisungen verarbeitet werden können:

Schriftliche Weisungen an den Auftragnehmer oder Weisungen in Textform (z.B. durch Auftragsverarbeitungsvertrag)
Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags, z.B. durch Anfrage entsprechender Bestätigungen
Bestätigung von Auftragnehmern, dass sie ihre eigenen Mitarbeiter auf das Datengeheimnis verpflichten (typischerweise im Auftragsverarbeitungsvertrag)
Sorgfältige Auswahl von Auftragnehmern (insbesondere hinsichtlich Datensicherheit)
Laufende Überprüfung von Auftragnehmern und ihren Tätigkeiten