Rechtliches

Datenschutz

Technische und organisatorische Maßnahmen (TOM) gem. Art. 32 DSGVO

Fitness Nation GmbH – Sicherheitskonzept

Stand: 08.09.2025

1. Zweck und Geltungsbereich

Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen (TOM) der Fitness Nation GmbH zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus gemäß Art. 32 DSGVO. Die TOM betreffen alle Prozesse und Systeme, in denen personenbezogene Daten im Verantwortungsbereich der Fitness Nation GmbH verarbeitet werden, einschließlich der Verarbeitung im Rahmen von Auftragsverarbeitungen sowie der Einbindung von Unterauftragsverarbeitern.

Die TOM dienen insbesondere der Sicherstellung von:

  • Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste,
  • der Fähigkeit, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen,
  • Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen.

2. Datenschutz- und Sicherheitsorganisation (grundsätzlich)

2.1 Datenschutz-Management und Dokumentation

Die Fitness Nation GmbH betreibt ein betriebliches Datenschutz-Managementsystem (DSMS), dessen Einhaltung fortlaufend überwacht sowie anlassbezogen und mindestens halbjährlich evaluiert wird. Die DSMS-Dokumentation wird auf Basis der Software DPMS-Online der LegalInnovate Technologies GmbH geführt und gepflegt.

2.2 Aktualität von Systemen und Schutzsoftware

Betriebssysteme und eingesetzte Software werden auf dem jeweils aktuell verfügbaren Stand gehalten. Sicherheitsrelevante Updates (insbesondere Betriebssystem-Updates) werden automatisiert eingespielt, sofern verfügbar und kompatibel. Virenschutz und Firewall-Lösungen sind im Einsatz und werden aktualisiert.

2.3 Berechtigungsentzug bei Rollenwechsel/Austritt

Ausgegebene Schlüssel, Zugangskarten, Codes sowie Berechtigungen zur Verarbeitung personenbezogener Daten werden bei Austritt aus dem Unternehmen oder Wechsel der Zuständigkeiten unverzüglich entzogen bzw. eingezogen. Die Ausgabe von Schlüsseln wird nachvollziehbar dokumentiert; Berechtigungen werden streng aufgabenbezogen vergeben und nach Ende der Erforderlichkeit entzogen.

2.4 Prozesse zur Wahrung von Betroffenenrechten

Es besteht ein geregelter Prozess zur Wahrung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerruf, Widerspruch) innerhalb der gesetzlichen Fristen. Dieser Prozess umfasst definierte Abläufe, Verantwortlichkeiten, sowie unterstützende Formulare/Anleitungen und ist im DSMS dokumentiert. Ein Löschkonzept sowie Aufbewahrungsfristen sind definiert und im DSMS hinterlegt.

2.5 Vertraulichkeit, Schulung und Mitarbeiterrichtlinien

Mitarbeitende werden auf Vertraulichkeit verpflichtet, zu Datenschutz und Informationssicherheit belehrt sowie regelmäßig geschult. Die Vertraulichkeitsverpflichtung ist Bestandteil des Arbeitsvertrags; deren Nachweisführung erfolgt im DSMS. Für besondere Arbeitssituationen (z. B. Tätigkeit außerhalb betrieblicher Räumlichkeiten oder Nutzung von Privatgeräten, sofern zulässig) bestehen zusätzliche Regelungen zum Schutz personenbezogener Daten und zur Sicherung der Auftraggeberrechte.

2.6 Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)

Der Schutz personenbezogener Daten wird bereits bei Entwicklung, Auswahl und Betrieb von Hardware, Software und Verfahren berücksichtigt (Privacy by Design & Privacy by Default). Datenschutzanforderungen werden in Konzeption, Spezifikation (Lasten-/Pflichtenhefte), Implementierung und Abnahme berücksichtigt. Dies umfasst insbesondere:

  • Datenminimierung und Datensparsamkeit,
  • Zugriffskontrollen und Berechtigungskonzepte,
  • Pseudonymisierung/Anonymisierung, wo geeignet,
  • geeignete Sicherheitsmaßnahmen wie Verschlüsselung und Protokollierung,
  • Kontrollmöglichkeiten für betroffene Personen im Rahmen der Produkt-/Prozessgestaltung.

2.7 Reaktion auf Datenschutzvorfälle (Data Breach Prozess)

Es besteht ein Konzept zur unverzüglichen und gesetzeskonformen Reaktion auf Verletzungen des Schutzes personenbezogener Daten (Prüfung, Eindämmung, Dokumentation, Meldung, Benachrichtigung). Die Dokumentation und der Nachweis der Umsetzung erfolgen im DSMS. Hierzu sind standardisierte Vorlagen/Formulare etabliert (u. a. interne Meldung, externe Meldung, Information Betroffener).

2.8 Auswahl und Einbindung von unterstützenden Dienstleistern

Dienstleister (z. B. Reinigungspersonal, Wachpersonal, sonstige Hilfskräfte) werden sorgfältig ausgewählt. Soweit erforderlich wird organisatorisch sichergestellt, dass sie den Schutz personenbezogener Daten beachten. Tätigkeiten in sensiblen Bereichen erfolgen kontrolliert und nach organisatorischen Vorgaben.

3. Zutrittskontrolle

3.1 Ziel

Verhinderung des Zutritts Unbefugter zu Datenverarbeitungsanlagen und Räumlichkeiten, in denen personenbezogene Daten verarbeitet werden.

3.2 Maßnahmen

  • Bürozugänge sind durch Sicherheitsschlösser gesichert; die Ausgabe von Schlüsseln ist dokumentiert.
  • Zutritt zu Büroräumen erfolgt ausschließlich für Mitarbeitende; regulärer Besucherverkehr findet nicht statt.
  • Der Eingangsbereich zum Bürogelände wird videoüberwacht.
  • Überwachungseinrichtungen wie Alarmanlage, Kameraanlage und Einbruchmeldeanlage sind vorhanden.
  • Datenverarbeitungsanlagen, auf denen Kundendaten gespeichert werden, befinden sich überwiegend bei Unterauftragsverarbeitern in der Cloud (insbesondere AWS). Mitarbeitende nutzen zur Bearbeitung von Aufgaben Terminal-/Zugriffsanwendungen.
  • Für Rechenzentrums- und Infrastrukturmaßnahmen des Cloud-Providers gelten dessen dokumentierte TOM. Informationen zu AWS-Compliance und DSGVO sind beim Anbieter abrufbar (AWS GDPR Center).
  • Reinigungsleistungen erfolgen während der Betriebszeiten unter organisatorischer Kontrolle.

4. Zugangskontrolle und Zugriffskontrolle

4.1 Ziel

Sicherstellung, dass ausschließlich berechtigte Personen Zugang zu IT-Systemen erhalten und nur im Rahmen ihrer Berechtigungen auf personenbezogene Daten zugreifen können. Verhinderung von unbefugtem Lesen, Kopieren, Verändern oder Entfernen von Daten.

4.2 Authentifizierung und Passwortrichtlinien

  • Persönliche Benutzerkonten werden eingesetzt; generische/geteilte Zugänge sind untersagt.
  • Es gilt eine Passwortkonvention mit komplexen Passwörtern (Mindestlänge 12 Zeichen).
  • Die Einhaltung der Passwortkonvention wird technisch/organisatorisch überwacht.
  • Wo erforderlich wird ein Passwortmanager eingesetzt bzw. empfohlen.
  • Mehr-Faktor-Authentifizierung (MFA/2FA) wird eingesetzt; Zugänge werden standardmäßig über MFA abgesichert.

4.3 Technische Schutzmaßnahmen am Arbeitsplatz/Endgerät

  • Automatische Bildschirmsperre ist aktiv (z. B. nach 5 Minuten Inaktivität).
  • Endgeräte sind verschlüsselt (z. B. FileVault, BitLocker).
  • USB-Ports können gemäß Richtlinie eingeschränkt/gesperrt werden; Einsatz von USB-Sticks ist geregelt.
  • Sichere Leitungsverbindungen für externen Zugriff werden eingesetzt (VPN/SSL oder vergleichbar).
  • Firewall ist aktiv (Software-Firewall) und mit Regelwerk konfiguriert.
  • Notebooks/Arbeitsgeräte sind grundsätzlich verschlüsselt; mobile Datenträger dürfen nur verschlüsselt genutzt werden, sofern die Nutzung erforderlich ist.

4.4 Sperrmechanismen und Session-Timeout

  • Konten werden nach einer definierten Anzahl fehlerhafter Anmeldeversuche temporär gesperrt (z. B. nach drei Fehlversuchen), um Brute-Force-Angriffe zu erschweren.
  • Sitzungen werden nach einer definierten Inaktivitätszeit automatisch beendet; die Timeout-Dauer richtet sich nach dem Risikograd der jeweiligen Anwendung.
  • Bei MFA-Systemen können zusätzlich tokenbasierte Sperrungen greifen, wenn ungültige Token mehrfach eingegeben werden.
  • Sperrungen und relevante Authentifizierungsereignisse werden protokolliert.

4.5 Rollen- und Berechtigungskonzept (Need-to-know / RBAC)

  • Der Zugriff auf personenbezogene Daten wird strikt nach Need-to-know und Funktionstrennung geregelt.
  • Es wird ein rollenbasiertes Berechtigungskonzept (RBAC) angewendet. Rollen verfügen über vordefinierte Rechte; individuelle Zusatzrechte werden restriktiv vergeben und dokumentiert.
  • Vergabe/Änderung/Entzug von Berechtigungen erfolgt nach geregeltem Prozess (inkl. Prüfung/Freigabe/Dokumentation, grundsätzlich nach Vier-Augen-Prinzip, sofern organisatorisch anwendbar).
  • Bei Eintritt werden Konten mit Mindestberechtigungen eingerichtet.
  • Berechtigungen werden mindestens jährlich auf Notwendigkeit überprüft und bei Bedarf angepasst.
  • Bei Austritt oder Rollenwechsel werden Zugriffsrechte unverzüglich, spätestens jedoch bis zum Ende des Arbeitstages, deaktiviert bzw. angepasst.

4.6 Protokollierung (Logging) und Monitoring

  • Anmeldeereignisse sowie relevante Zugriffe auf Systeme werden protokolliert.
  • Logins auf Produktivsystemen können Benachrichtigungen erzeugen.
  • Veränderungen an Daten sowie Löschvorgänge werden protokolliert.
  • Externe Zugriffe (z. B. VPN/Fernzugriff) werden protokolliert.
  • Protokolle werden gegen unbefugten Zugriff geschützt, zugriffsbeschränkt gespeichert und zur Erkennung sicherheitsrelevanter Ereignisse ausgewertet. Zugriffe auf Protokolle werden ebenfalls protokolliert.

4.7 Zugriff auf Kundensysteme / Fernwartung

  • Zugriff auf Kundensysteme erfolgt ausschließlich auf Grundlage einer schriftlichen Vereinbarung (z. B. AVV/Kundenvereinbarung und Fernwartungsvertrag).
  • Fernwartungszugriffe erfolgen über gesicherte, dedizierte Systeme/Verfahren und werden separat protokolliert.

4.8 Schutzsoftware (Virenschutz)

  • Auf Windows-Systemen besteht Basisschutz durch Microsoft Defender.
  • Auf macOS werden integrierte Schutzmechanismen genutzt (u. a. Gatekeeper, MRT, XProtect). Zusätzlich wird eine weitere Antimalware-Lösung eingesetzt.
  • Die macOS-Firewall wird standardmäßig aktiviert und konfiguriert.
  • Automatische Softwareaktualisierung der Betriebssysteme ist festgelegt.

4.9 Sichere Vernichtung von Datenträgern

  • Datenträger werden datenschutzkonform über einen spezialisierten Dienstleister (z. B. Remondis) vernichtet. Die Vernichtung erfolgt entsprechend interner Richtlinien und wird nachvollziehbar organisiert.

5. Weitergabekontrolle

5.1 Ziel

Sicherstellung, dass personenbezogene Daten bei Übertragung/Weitergabe nicht unbefugt gelesen, kopiert, verändert oder entfernt werden und dass Empfänger und Übermittlungen nachvollziehbar sind.

5.2 Festlegung und Dokumentation der Empfänger

  • Empfänger von personenbezogenen Daten werden gemäß gesetzlichen Vorgaben dokumentiert.
  • Empfänger werden im Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO erfasst.
  • Interne Empfänger sind durch das Berechtigungskonzept (Need-to-know) geregelt.
  • Externe Empfänger werden gesondert erfasst (z. B. Auftragsverarbeiter wie Hosting-/Cloudanbieter, externe Dienstleister; Behörden, sofern gesetzlich erforderlich; Kunden/Partner zur Vertragserfüllung).
  • Jede Weitergabe erfolgt auf Grundlage einer Rechtsgrundlage (z. B. Einwilligung, Vertragserfüllung, gesetzliche Verpflichtung, berechtigtes Interesse).
  • Empfängerlisten und Verzeichnis der Verarbeitungstätigkeiten werden mindestens jährlich überprüft; die Einhaltung wird durch interne Kontrollen unterstützt.

5.3 Verschlüsselung und sichere Übertragung

  • Webanwendungen/Portale nutzen HTTPS mit aktuellen TLS-Standards (mindestens TLS 1.2).
  • E-Mail-Verkehr wird, sofern technisch möglich, per Transportverschlüsselung (z. B. STARTTLS) abgesichert; für besonders sensible Inhalte kann Ende-zu-Ende-Verschlüsselung (z. B. PGP/S/MIME) eingesetzt werden.
  • Fernzugriffe erfolgen über VPN; VPN-Verbindungen werden protokolliert.
  • Es werden ausschließlich dem Stand der Technik entsprechende Verschlüsselungsverfahren eingesetzt; veraltete Protokolle werden deaktiviert.

6. Eingabekontrolle

6.1 Ziel

Nachvollziehbarkeit, ob und von wem personenbezogene Daten in Systeme eingegeben, verändert oder gelöscht wurden.

6.2 Maßnahmen

  • Rechte zur Eingabe, Änderung und Löschung werden auf Basis des Berechtigungskonzepts vergeben.
  • Datenbank- und Systemprotokolle erfassen relevante Vorgänge mit Zeitstempel und Benutzerkennung.
  • Administrative Aktionen (z. B. Änderungen an Berechtigungen oder Datenbankstrukturen) werden protokolliert.
  • Protokolldaten werden geschützt und getrennt von operativen Daten gespeichert; Manipulationsschutz und Zugriffsbeschränkung sind umgesetzt.
  • Protokolle werden regelmäßig auf sicherheitsrelevante Ereignisse geprüft; im Vorfallsfall dienen sie der forensischen Analyse.

6.3 Aufbewahrung von Formularen/Quellbelegen

  • Formulare, aus denen Daten in automatisierte Verarbeitungen übernommen werden, werden entsprechend rechtlicher und interner Vorgaben aufbewahrt.
  • Papierformulare werden in gesicherten, abschließbaren Bereichen verwahrt; Zugriff nur für berechtigte Personen.
  • Digitale Formulare (z. B. PDF) werden in sicheren Archiven/Datenbanken gespeichert; Zugriff ist durch Zugangs- und Zugriffskontrollen geschützt.
  • Aufbewahrungsfristen orientieren sich an gesetzlichen/vertraglichen Vorgaben (z. B. handels-/steuerrechtliche Pflichten).
  • Nach Fristablauf erfolgt datenschutzkonforme Vernichtung (Schreddern, unwiderrufliches Löschen); die Vernichtung wird organisatorisch nachvollziehbar durchgeführt.

7. Auftragskontrolle

7.1 Ziel

Sicherstellung, dass personenbezogene Daten im Auftrag nur entsprechend dokumentierter Weisungen verarbeitet werden und dass eingesetzte Auftrags- und Unterauftragsverarbeiter geeignete TOM umsetzen.

7.2 Auswahl und vertragliche Verpflichtung

  • Auftragnehmer werden unter Sorgfaltsgesichtspunkten ausgewählt (z. B. Eignungsprüfung, Referenzen, Nachweise/Zertifizierungen wie ISO 27001, soweit verfügbar und erforderlich).
  • Für Auftragsverarbeiter wird ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO abgeschlossen.
  • Weisungen, relevante Festlegungen und Dokumentationen werden zentral geführt.

7.3 Kontrolle und Nachweise

  • Die Einhaltung von Datenschutz- und Sicherheitsanforderungen wird risikobasiert überprüft (z. B. Fragebögen, Dokumenteneinsicht, Audits).
  • Das Recht auf Auskunft und Kontrolle ist vertraglich fixiert.
  • Datenschutzverletzungen/sicherheitsrelevante Vorfälle sind vom Auftragnehmer unverzüglich zu melden (vertraglich vereinbart).
  • Ergebnisse und Kommunikation zu Kontrollen werden dokumentiert und dienen der Rechenschaftspflicht.

7.4 Löschung/Vernichtung nach Auftragsende

  • Auftragnehmer sind verpflichtet, Daten nach Beendigung des Auftragsverhältnisses oder auf Weisung sicher zu löschen oder zurückzugeben.
  • Sichere Löschverfahren für digitale Daten werden genutzt; physische Dokumente werden nach anerkannten Standards vernichtet.
  • Vernichtung/Nachweise erfolgen dokumentiert (z. B. Vernichtungsprotokoll/Bestätigung).
  • Die Fitness Nation GmbH behält sich Kontrollen (z. B. Einsicht in Protokolle oder Audit) vor.

8. Verfügbarkeitskontrolle und Integrität

8.1 Ziel

Sicherstellung der Verfügbarkeit personenbezogener Daten sowie Schutz vor unbeabsichtigter Zerstörung oder Verlust; Erhaltung der Datenintegrität.

8.2 Redundanz / Festplattenspiegelung (soweit systembezogen erforderlich)

  • Für kritische Systeme können Redundanzmechanismen (z. B. Spiegelung/RAID) eingesetzt werden, um Ausfallzeiten bei Hardwaredefekten zu minimieren.
  • Redundanz ersetzt keine Datensicherung; sie dient der kurzfristigen Ausfallsicherheit.

8.3 Backup- und Recovery-Konzept

  • Es besteht ein dokumentiertes Backup- und Recovery-Konzept.
  • Backups erfolgen regelmäßig und automatisiert für Systeme, die personenbezogene Daten verarbeiten; Umfang und Frequenz richten sich nach der Kritikalität der Systeme.
  • Backups werden redundant gespeichert und vor unbefugtem Zugriff geschützt, einschließlich Verschlüsselung der Backup-Daten.
  • Die Datensicherung orientiert sich an anerkannten Grundsätzen (z. B. 3-2-1-Prinzip: mehrere Kopien, verschiedene Medien, mindestens eine Kopie außer Haus/off-site).
  • Wiederherstellbarkeit wird durch regelmäßige, dokumentierte Restore-Tests überprüft.
  • Backup-Prozesse werden überwacht; Fehler lösen Warnmeldungen aus und werden zeitnah behoben.

Zusätzliche Sicherungskopien können georedundant in einem getrennten Rechenzentrum (z. B. bei Hetzner) gelagert werden, sofern für Systeme erforderlich.

8.4 Energieversorgung, Klima, Rechenzentrum

Für Cloud-Infrastrukturen (z. B. AWS) werden Maßnahmen wie unterbrechungsfreie Stromversorgung, Überspannungsschutz und Klimatisierung durch den Provider im Rahmen seiner Rechenzentrumsstandards sichergestellt. Fitness Nation verantwortet die sichere Konfiguration, Berechtigungen und den Betrieb der Anwendungen innerhalb der genutzten Umgebungen.

8.5 Notfallkonzept / Business Continuity

  • Ein Notfallkonzept zur Sicherstellung der Geschäftskontinuität ist etabliert und dokumentiert.
  • Risiken (z. B. Ausfälle, Cyberangriffe, physische Ereignisse) werden systematisch betrachtet; daraus abgeleitete Vorsorgemaßnahmen werden umgesetzt.
  • Alarmierungs- und Kommunikationswege sind definiert; Rollen/Verantwortlichkeiten sind festgelegt.
  • Wiederherstellungsmaßnahmen (Recovery) sind als Teil des Notfallkonzepts beschrieben (Prioritäten, Checklisten, Verantwortlichkeiten).
  • Notfallübungen bzw. Tests (inkl. Wiederherstellungstests) werden mindestens jährlich sowie anlassbezogen durchgeführt und dokumentiert.
  • Nach Ereignissen erfolgt eine Nachbereitung mit Ursachenanalyse und Verbesserungsmaßnahmen.

8.6 Belastbarkeitstests

  • Zur Sicherstellung der Belastbarkeit von Systemen werden in geeigneten Abständen Belastbarkeitstests durchgeführt (z. B. vor Releases, nach größeren Änderungen oder mindestens jährlich, soweit angemessen).
  • Tests erfolgen in einer geeigneten Testumgebung, die den Produktivbetrieb nicht beeinträchtigt.
  • Ergebnisse werden protokolliert, ausgewertet und fließen in Maßnahmen zur Optimierung/Absicherung ein.

9. Gewährleistung des Zweckbindungs- und Trennungsgebots

9.1 Logische Mandantentrennung

In Mehrmandantensystemen ist eine strenge logische Mandantentrennung implementiert. Dadurch wird verhindert, dass ein Mandant auf Daten eines anderen Mandanten zugreifen kann. Mandantentrennung wird insbesondere umgesetzt durch:

  • Mandantenbindung auf Datenbankebene (z. B. Mandanten-ID als zwingendes Zugriffskriterium oder getrennte Datenbanken),
  • Mandantenbindung in der Anwendungslogik (automatische Berücksichtigung der Mandanten-ID),
  • mandantenbezogene Authentifizierung/Autorisierung in Schnittstellen (APIs),
  • restriktiv geregelte Administrationsrechte.

9.2 Trennung von Produktiv- und Testsystemen

  • Produktiv- und Testumgebungen sind logisch und organisatorisch getrennt.
  • In Testumgebungen werden grundsätzlich anonymisierte oder pseudonymisierte Daten verwendet.
  • Die Übernahme echter personenbezogener Daten aus Produktivsystemen in Test-/Entwicklungsumgebungen ist untersagt, sofern nicht zwingend erforderlich und zuvor entsprechend anonymisiert/pseudonymisiert.
  • Zugriff auf Produktivsysteme ist auf einen eng begrenzten, berechtigten Personenkreis beschränkt und wird protokolliert; Entwickler/Testrollen arbeiten grundsätzlich in Testumgebungen.

9.3 Pseudonymisierung/Anonymisierung

  • Wo immer möglich, werden Daten anonymisiert verarbeitet (z. B. Statistiken ohne Personenbezug, Gruppenkennzahlen, Feedback ohne Rückverfolgbarkeit).
  • Ist Anonymisierung nicht möglich, wird Pseudonymisierung als risikominimierende Maßnahme eingesetzt (z. B. in Analysen, Berichten, Entwicklungs-/Testkontexten).
  • Zuordnungsinformationen (Schlüssel/Mapping) werden getrennt von pseudonymisierten Daten aufbewahrt, besonders geschützt und nur einem sehr eng autorisierten Personenkreis zugänglich gemacht.
  • Zugriffe auf Zuordnungsdateien werden lückenlos protokolliert; Zuordnungsinformationen werden zusätzlich geschützt (z. B. Verschlüsselung, RBAC, separate Systeme/Netzwerkzonen).
  • Bei Wegfall des Zwecks werden Zuordnungsdaten und ggf. Mapping-Tabellen gelöscht.

10. Verschlüsselung von Datenträgern und Verbindungen

10.1 Datenträgerverschlüsselung

  • Datenträger von Endgeräten (mobil und stationär), auf denen sensible Daten verarbeitet oder gespeichert werden, sind durch vollständige Festplattenverschlüsselung geschützt (z. B. FileVault/BitLocker).
  • Mobile Datenträger (z. B. externe Festplatten/USB-Sticks) dürfen nur verschlüsselt genutzt werden, sofern deren Nutzung erforderlich ist.

10.2 Transport- und Kommunikationsverschlüsselung

  • Webkommunikation erfolgt über HTTPS mit aktuellen TLS-Standards (mindestens TLS 1.2).
  • Fernzugriffe erfolgen über VPN bzw. vergleichbar abgesicherte Tunnelverbindungen; VPN-Verbindungen werden protokolliert.
  • E-Mail-Transportverschlüsselung wird eingesetzt, soweit technisch möglich; für besonders sensible Daten kann Ende-zu-Ende-Verschlüsselung genutzt werden.
  • Es werden ausschließlich anerkannte, robuste Verschlüsselungsalgorithmen genutzt; unsichere/veraltete Protokolle werden deaktiviert.

11. Informationsklassifizierung

Eine Richtlinie zur Informationsklassifizierung ist etabliert, um den Schutzbedarf verarbeiteter Informationen risikobasiert zu bestimmen und daraus passende Schutzmaßnahmen abzuleiten. Klassifizierungen können u. a. umfassen:

  • Öffentlich,
  • Intern,
  • Vertraulich,
  • Geheim/Streng vertraulich.

Die Einstufung erfolgt durch fachliche Verantwortliche in Abstimmung mit Datenschutz- und Sicherheitsfunktionen. Klassifizierungen und Wirksamkeit der Maßnahmen werden mindestens jährlich oder anlassbezogen überprüft.

12. Regelmäßige Bewertung der Wirksamkeit

Die Fitness Nation GmbH überprüft, bewertet und evaluiert die Wirksamkeit der beschriebenen TOM regelmäßig sowie anlassbezogen. Ergebnisse und relevante Nachweise werden im DSMS dokumentiert und fließen in die kontinuierliche Verbesserung von Datenschutz und Informationssicherheit ein.

Beispiel-Formulierung (direkt verwendbar als Textbaustein)

Beispiel: Zugriffskontrolle (kurzer, veröffentlichungsfähiger Baustein)

„Der Zugriff auf personenbezogene Daten erfolgt ausschließlich rollenbasiert nach dem Need-to-know-Prinzip. Alle Zugriffe werden über persönliche Benutzerkonten mit Passwortschutz und Mehr-Faktor-Authentifizierung abgesichert. Relevante Anmeldeereignisse, Datenzugriffe und Änderungen werden protokolliert und gegen Manipulation geschützt gespeichert. Berechtigungen werden aufgabenbezogen vergeben, regelmäßig überprüft und bei Rollenwechsel oder Ausscheiden unverzüglich entzogen."