Zur Gewährleistung der Vertraulichkeit personenbezogener Daten gemäß Art. 32 Abs. 1 lit. b DSGVO hat das jeweilige Unternehmen der Sihot.Group verschiedene Maßnahmen zur Zutritts-, Zugangs-, Zugriffs- und Trennungskontrolle umgesetzt.
Im Bereich der Zutrittskontrolle wird der Zugang zu den Räumlichkeiten und den darin befindlichen Datenverarbeitungsanlagen durch eine Alarmanlage, Chipkarten- bzw. Transpondersysteme, ein manuelles Schließsystem sowie Sicherheitsschlösser geschützt. Darüber hinaus erfolgt eine Videoüberwachung der Eingänge. Organisatorisch wird die Zutrittskontrolle durch eine Schlüsselregelung bzw. Schlüsselliste, einen Empfangs- bzw. Rezeptionsbereich sowie durch Mitarbeiter- und Besucherausweise unterstützt. Bei der Auswahl der eingesetzten Reinigungsdienste wird auf entsprechende Sorgfalt geachtet und diese sind zur Vertraulichkeit und Geheimhaltung verpflichtet.
Die Zugangskontrolle wird insbesondere durch die Anmeldung an den IT-Systemen mittels individuellem Benutzernamen und Passwort gewährleistet. Zur Absicherung der Systeme kommen ferner Antivirenlösungen für Server und Clients, eine Firewall sowie Intrusion-Detection-Systeme zum Einsatz. Für mobile Endgeräte besteht ein Mobile Device Management. Remote-Zugriffe werden über VPN abgesichert. Datenträger, Smartphones sowie Notebooks und Tablets werden verschlüsselt. Externe Schnittstellen, insbesondere USB-Schnittstellen, werden gesperrt, soweit dies technisch vorgesehen ist. Zudem ist eine automatische Desktopsperre eingerichtet.
Auf organisatorischer Ebene werden Benutzerberechtigungen verwaltet und Benutzerprofile erstellt. Ergänzend bestehen Richtlinien für sichere Passwörter, für das Löschen bzw. Vernichten von Daten sowie für einen sogenannten „Clean Desk“. Darüber hinaus gilt eine allgemeine Richtlinie zu Datenschutz und/oder Sicherheit. Diese organisatorischen Vorgaben dienen insbesondere dazu, unbefugte Zugriffe und Einsichtnahmen in personenbezogene Daten zu verhindern.
Im Rahmen der Zugriffskontrolle werden personenbezogene Daten durch geeignete Berechtigungskonzepte gegen unbefugten Zugriff geschützt. Zur physischen Vernichtung von Unterlagen und Datenträgern stehen Aktenschredder mit mindestens Sicherheitsstufe 3 im Cross-Cut-Verfahren sowie ein externer Aktenvernichter nach DIN 66399 zur Verfügung. Datenträger werden physisch gelöscht bzw. bei entsprechender Notwendigkeit physikalisch zerstört. Die Verwaltung der Benutzerrechte erfolgt durch Administratoren. Organisatorisch wird ein Berechtigungskonzept eingesetzt und die Anzahl der Administratoren auf das erforderliche Mindestmaß beschränkt.
Zur Trennungskontrolle wird eine technische Trennung zwischen Produktiv- und Testumgebung vorgenommen. Dadurch wird sichergestellt, dass unterschiedliche Verarbeitungszwecke und Verarbeitungsumgebungen voneinander getrennt betrieben werden können.
Im Bereich der Pseudonymisierung und Anonymisierung besteht eine interne Anweisung, personenbezogene Daten im Falle einer Weitergabe oder nach Ablauf der gesetzlichen Löschfrist möglichst zu anonymisieren bzw. zu pseudonymisieren. Darüber hinaus wird eine nicht reversible Anonymisierung eingesetzt, soweit eine solche Form der Datenverarbeitung erforderlich und möglich ist.
Zur Sicherstellung der Integrität personenbezogener Daten werden Maßnahmen zur kontrollierten Weitergabe und sicheren Übertragung eingesetzt.
Im Rahmen der Weitergabekontrolle werden VPN-Verbindungen eingesetzt. Zugriffe und Abrufe werden protokolliert. Darüber hinaus erfolgt die Bereitstellung von Daten über verschlüsselte Verbindungen, insbesondere über SFTP bzw. HTTPS. Zusätzlich werden Signaturverfahren eingesetzt. Diese Maßnahmen dienen dazu, personenbezogene Daten bei der elektronischen Übertragung gegen unbefugtes Lesen, Kopieren oder Verändern zu schützen.
Zur Gewährleistung der Verfügbarkeit und Belastbarkeit personenbezogener Daten werden technische und organisatorische Maßnahmen zum Schutz vor Verlust, Zerstörung und Ausfall eingesetzt.
Der Serverraum ist durch Feuer- und Rauchmeldeanlagen sowie Feuerlöscher geschützt und wird hinsichtlich Temperatur und Feuchtigkeit überwacht. Der Serverraum ist klimatisiert. Zur Absicherung der Stromversorgung werden eine unterbrechungsfreie Stromversorgung (USV) sowie Schutzsteckdosenleisten eingesetzt. Darüber hinaus kommt ein RAID-System bzw. eine Festplattenspiegelung zum Einsatz.
Der Serverraum wird videoüberwacht; bei einem unberechtigten Zutritt erfolgt eine Alarmmeldung. Zur Sicherung der Daten werden regelmäßige Backups durchgeführt. Hierfür besteht ein ausgearbeitetes Backup- und Recovery-Konzept. Die Durchführung der Sicherungsvorgänge wird kontrolliert. Die Sicherungsmedien werden an einem sicheren Ort außerhalb des Serverraums aufbewahrt.
Durch die Kombination der technischen Schutzmaßnahmen und der organisatorischen Vorgaben soll sichergestellt werden, dass personenbezogene Daten auch bei technischen Störungen, Stromausfällen, physischen Schäden oder sonstigen Ereignissen möglichst verfügbar bleiben und wiederhergestellt werden können.
Im Bereich des Datenschutz-Managements ist ein interner bzw. externer Datenschutzbeauftragter bestellt. Es gibt eine zentrale Dokumentation aller Verfahrensweisen und Regelungen zum Datenschutz mit Zugriffsmöglichkeit für Mitarbeiter nach Bedarf / Berechtigung. Die Mitarbeiter werden hinsichtlich Vertraulichkeit bzw. Datengeheimnis geschult und entsprechend verpflichtet. Darüber hinaus erfolgt mindestens einmal jährlich eine Sensibilisierung der Mitarbeiter für Datenschutz- und Sicherheitsthemen.
Als Informationssicherheitsorganisation ist ein Informationssicherheitsbeauftragter benannt. Daneben ist ein dokumentiertes Informationssicherheitsmanagementsystem (ISMS) im Einsatz.
Datenschutz-Folgenabschätzungen (DSFA) werden bei Bedarf durchgeführt, unter anderem im Rahmen der Incident-Response-Checkliste. Die Organisation kommt ihren Informationspflichten nach Art. 13 und 14 DSGVO nach.
Im Rahmen des Incident-Response-Managements werden eine Firewall, ein Spamfilter und Virenscanner eingesetzt und regelmäßig aktualisiert. Zusätzlich kommen ein Intrusion-Detection-System (IDS) und ein Intrusion-Prevention-System (IPS) zum Einsatz.
Für Sicherheitsvorfälle und Datenschutzverletzungen besteht ein dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen bzw. Datenpannen, einschließlich der Berücksichtigung etwaiger Meldepflichten gegenüber der zuständigen Aufsichtsbehörde. Darüber hinaus ist eine dokumentierte Vorgehensweise zum Umgang mit Sicherheitsvorfällen vorhanden. Datenschutzbeauftragter und Informationssicherheitsbeauftragter werden in Sicherheitsvorfälle und Datenpannen eingebunden. Sicherheitsvorfälle und Datenpannen werden beispielsweise über ein Ticketsystem dokumentiert. Für die Nachbearbeitung bestehen ein formaler Prozess und festgelegte Verantwortlichkeiten.
Im Sinne von Privacy by Design und Privacy by Default wird technisch sichergestellt, dass nicht mehr personenbezogene Daten erhoben werden, als für den jeweiligen Verarbeitungszweck erforderlich sind.
Bei der Beauftragung externer Dienstleister und Auftragsverarbeiter wird auf eine sorgfältige Auswahl unter besonderer Berücksichtigung des Datenschutzes und der Datensicherheit geachtet. Hierzu werden insbesondere die datenschutzrechtlichen und sicherheitsbezogenen Anforderungen bei der Auswahl der Auftragnehmer berücksichtigt. Diese werden unter entsprechenden Sorgfaltsgesichtspunkten ausgesucht (z.B. PCI-Richtlinie, AV-Verträge).
Mit den jeweiligen Auftragnehmern werden die erforderlichen Vereinbarungen zur Auftragsverarbeitung bzw. – soweit erforderlich – EU-Standardvertragsklauseln abgeschlossen. Den Auftragnehmern werden schriftliche Weisungen erteilt. Zudem werden die Mitarbeiter der Auftragnehmer auf das Datengeheimnis verpflichtet. Für verschiedene eingesetzte Dienstleister bestehen entsprechende AV-Verträge.
Durch diese vertraglichen und organisatorischen Maßnahmen wird sichergestellt, dass personenbezogene Daten, die durch externe Dienstleister verarbeitet werden, ausschließlich im Rahmen der vereinbarten datenschutzrechtlichen Vorgaben und Weisungen verarbeitet werden.
Es wird durch ein Bündel technischer und organisatorischer Maßnahmen eingesetzt, die auf den Schutz personenbezogener Daten hinsichtlich Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit ausgerichtet sind. Die Maßnahmen umfassen insbesondere physische Zutritts- und Zugangssicherungen, Benutzer- und Berechtigungskonzepte, technische Schutzsysteme wie Firewall, Virenschutz, IDS und IPS, Verschlüsselungsmaßnahmen, VPN-Verbindungen, Datensicherungs- und Wiederherstellungsverfahren sowie organisatorische Regelungen zu Datenschutz, Informationssicherheit, Mitarbeiterschulung und dem Umgang mit Sicherheitsvorfällen.
Die bestehenden Maßnahmen werden durch ein dokumentiertes ISMS, einen Datenschutzbeauftragten und einen Informationssicherheitsbeauftragten sowie durch Prozesse zur Behandlung von Sicherheitsvorfällen und zur Durchführung von Datenschutz-Folgenabschätzungen ergänzt. Bei der Einbindung externer Dienstleister werden entsprechende vertragliche und organisatorische Maßnahmen zur Auftragskontrolle umgesetzt gemäß den gesetzlichen Vorgaben.
Verzeichnis der Subunternehmer im Sinne der DSGVO
EU
| Name | Adresse des Hauptsitzes | Kurze Beschreibung der Dienstleistung |
| Global Touch Express | Calle de Molina de Segura, 5, 30007 Murcia, Spanien | Wartung von SIHOT.Touch Express |
| Aaron Hotels and Hostels Holding AG | Singerstrasse 12 Top 5, 1010 Wien, Österreich | Wartung von SIHOT.Channelmanager |
| Amazon Web Services EMEA SARL, Niederlassung Deutschland | Marcel-Breuer-Str. 12, D-80807 München | Bereitstellung von Infrastructure und Cloud Services |
| ORACLE Deutschland B.V. & Co. KG | Riesstraße 25, 80992 München | Bereitstellung von Infrastructure und Cloud Services |
| GUBSE Aktiengesellschaft (Zentrale) | Bahnhofstraße 26-28, 66578 Schiffweiler | Wartung von SIHOT und den entsprechenden Modulen |
| SIHOT Austria GmbH | Karolingerstraße 1, 5020 Salzburg, Österreich | Wartung von SIHOT und den entsprechenden Modulen |
| SIHOT Portugal Unipessoal Lda | Avenida da Bela Rosa N65, 2860-020 Alhos Vedros, Portugal | Wartung von SIHOT und den entsprechenden Modulen |
| SIHOT Iberia SL | Calle Andarella nº1, Bloque 2, Planta 3, Puerta 7, 46014 Valencia, Spanien | Wartung von SIHOT und den entsprechenden Modulen |
| ADDIPOS GmbH | Bahnhofstraße 26-28, 66578 Schiffweiler | Wartung von SIHOT.POS |
| INFOSERVE GmbH | Am Felsbrunnen 15, DE-66119 Saarbrücken | Bereitstellung von Infrastructure und Cloud Services |
| fiskaltrust Deutschland GmbH | Moosweg 3, DE-51377 Leverkusen | Bereitstellung der Fiskalisierungslösung für Deutschland |
| fiskaltrust consulting gmbh | Alpenstraße 99a, AT-5020 Salzburg | Bereitstellung der Fiskalisierungslösung für Österreich |
| fiskaltrust France SAS | 132 rue Bossuet, FR-69006 Lyon | Bereitstellung der Fiskalisierungslösung für Frankreich |
| DF Deutsche Fiskal GmbH | c/o fiskaly Germany GmbH, Schönhauser Allee 180, 10119 Berlin | Bereitstellung der Cloud-TSE (Fiskal Cloud) für Deutschland |
| efsta IT Services GmbH | Pachergasse 17/Top 11, 4400 Steyr, Österreich | Bereitstellung der Fiskalisierungslösung für ADDIPOS |
Non-EU
| Name | Adresse des Hauptsitzes | Kurze Beschreibung der Dienstleistung |
| SIHOT UK International Ltd. |
11 Moor Street
Chepstow NP16 5DD United Kingdom | Wartung von SIHOT und den entsprechenden Modulen
(EU-Anerkennungsbeschluss) |
| Mehmet Şeref Dağ | Çağlayan Mah. 2014 Sk. Fener Apt No: 8/6, Kapı No: –, Muratpaşa/Antalya, Türkiye | Wartung von SIHOT.POS und ADDIPOS
(EU-Standardvertragsklauseln) |
