Datensicherheit und Datenschutz

Die Beschäftigten der %Organisation einschließlich in Beziehung stehende Nutzer von Sachkunde24.de (S24) (Beschäftigte) sind gehalten, zur Sicherheit und zum Schutz von Arbeitsystemen mit IKT-Ressourcen, insbesondere der bearbeiteten Daten beizutragen, und verpflichtet sich, die von der %Organisation oder vom %S24-Firmenvertreter (S24-FV) eingerichteten Sicherheitsvorkehrungen einschließlich Zutritts- und Berechtigungsstrukturen nicht absichtlich zu umgehen, zu stören, zu behindern, zu unterbrechen oder zu löschen.

Beschäftigte verpflichten sich, der verantwortlichen Leitung oder dem Datenschutzbeauftragten des Datenschutzmanagementsystem (DSMS) unverzüglich jede Anomalie oder Verdachtsmomente der Störung, z.B. unbefugtes Eindringen in das IKT-System zu melden. Darüber hinaus muss der Beschäftigte selbst die ihm vorgesetzte Führungskraft unverzüglich informieren, wenn eigene Zugriffrechte auf Daten und Informationen nicht der eigenen Berechtigungsstufe gemäß Stellenbeschreibung vermutet werden oder entsprechen.

Gliederung

Datensicherheit und Datenschutz
1 Personenbezogener Daten (PbD)
2 Schutz des IKT-Arbeitsplatzes
2.1 Umgang mit technischen Störungen
3 Arbeitskontinuität
4 Internet, Browser, Netzwerk und Datenaustausch
4.1 Außendienst
4.2 Homeoffice
4.3 Private mobile Endgeräte
5 Verschlüsselung, Tokenesierung und Blockchain
6 Nutzung von LLMs und Künstlicher Intelligenz (KI)

↑

1 Personenbezogener Daten (PbD)

Unter personenbezogenen Daten (PbD) versteht man alle Informationen über eine identifizierte oder identifizierbare natürliche Person, als identifizierbare naturliche Person gilt eine natürliche Person, die direkt oder indirekt identifiziert werden kann, insbesondere durch Bezugnahme auf eine Kennung, wie einen Namen, eine Identifikationsnummer, Standortdaten, eine Online-Kennung, oder auf eines oder mehrere spezifische Elemente seiner physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identitat.

Bei der Ausübung, Interaktion und Kolaboration von Arbeitssysteme und Tätigkeiten könnten Beschäftigte auch Zugriff auf PbD oder Informationen über Mitarbeitern, Besuchern, Ansprechpartner von Kunden, Lieferanten und Partnern erlangen.

Die Beschäftigten der %Organisation erklären auch diese Daten und deren Vertraulichkeit anzuerkennen, wenn Ihnen aktuell keine explizite Einweisung zum Umgang, Unterweisung oder Bestellung zum Umgang mit diesen Daten erteilt wurde.

1.2 Rechte und Umgang mit Personenbezogener Daten (PbD)

Die Inhaber von personenbesogenen Daten werden nach Verordnung (EU) 2016/679 (EU-DSGVO) als "betroffene Personen" bezeichnet und haben Rechte der Transparenz bei der Erhebung, Auskunft über die aktuelle Erhebung, Berichtigung und Löschung der über Sie gespeicherten Daten und deren Verarbeitung.

Die Beschäftigten der %Organisation sind verpflichtet im Rahmen ihrer Befugnisse alle notwendigen Vorkehrungen zu treffen, um die Vertraulichkeit auf interne Informationen, insbesondere für PbD, auf die sie Zugriff haben zu schützen. Darüber hinaus im Vorsichtsprinzip und sensibel zu prüfen, ob Empfänger von PbD legitimiert sind, die eigenen oder fremde PbD entgegen zu nehmen.

Beschäftigte der %Organisation sind aufgefordert im Bezug auf Personenbezogene Daten (PbD):

• auf die sie Zugriff haben, nur im Rahmen ihrer Arbeitssysteme und vorgesehenen Zwecke entgegen zu nehmen, zu verwenden, zu reproduzieren (Papierdruck, Screenshot) oder zu verwerten (Zusammenführung auf schriftlichen oder digitalen Aufzeichnungen);
• nur an ordnungsgemäß im Rahmen ihrer Befugnisse zu deren Erhalt berechtigte Personen, egal ob private, öffentliche, natürliche oder juristische Person, und in den Fällen, die in den Verfahren der Organisation ausdrücklich vorgesehen sind, weiterzugeben;
  • es sei denn, es ist für die Ausübung einer aktuellen Arbeitsaufgabe zwingend notwendig und kurzfristig vernichtet
• mit allen nötigen Maßnahmen, welche Ihnen im Rahmen ihrer Befugnisse zukommen, gegen Missbrauch oder betrügerische Verwendung zu schützen,
• alle Maßnahmen, insbesondere Sicherheitsmaßnahmen, zu ergreifen, um die physische und logische Sicherheit dieser Informationen und Daten zu schützen
  • bei versehentlicher nicht korregierbarer Änderung, Verlust oder Weitergabe an unbefugte Dritte, umgehend Ihre vorgesetzte Führungskraft in Kenntnis zu setzen;
• im Kontinuierlichen Verbesserungsprozess (KVP) - Datenschutzmanagementsystem (DSMS) aktiv Vorschläge zu unterbreiten
  • die in Ihren Arbeitssystemen durchgeführten Begehungen, Prüfungen und Audits - DSMS bestmöglich und mit Interesse zu unterstützen

↑

1.2 Umgang mit Personenbezogener Daten (PbD) auf S24

1.2.1 Nutzerkonto und S24-KontaktID

Die eigene S24-KontaktID Ihres Nutzerkontos wurde konzipiert um ähnlich einer physischen Visitenkarte weitergegeben und verteilt zu werden. Zum Zwecke der Anbahnung von für die %Organisation sinnvollen Beziehungen darf ein Beschäftigter ausschließlich die eigene %S24-KontaktID persönlich nach Aufforderung eines interessierten Empfängers weitergeben (empfohlen) oder in seinem mit der %Organisation verknüpften Sachkundigenprofil (Prüfer, Berater, Trainer, Monteur) auch veröffentlichen (!Spamschutz).

Beschäftigte der %Organisation und Nutzer von Sachkunde24.de (S24) verpflichten sich eine fremde S24-KontaktID, z.B. eines Kollegen erst nach Rücksprache mit dessen Eigentümer zu verteilen (!Spamschutz). Dies gilt auch, wenn die S24-KontaktID sich in einem durch den Eigentümer veranlasst veröffentlichtem Zustand befindet (!Ettikette).

1.2.2 Recht auf Transparenz und Information Verordnung (EU) 2016/679 (Art. 13 - 15)

Beschäftigte mit Anbindung in Sachkunde24.de (S24) haben permanent gewährleistete Informationsrechte auf die eigenen Personenbezogenen Daten (PbD), welche in Ihrer [Beziehung](https://www.sachkunde24.de/de/beziehungen/ mit %Organisation in Ihrer digitalen Personalakte (Stellenbeschreibung, PbD, Visitenkarte oder ergänzenden Beauftragungen zu Ihrem Arbeitsvertrag) gespeichert sind.

1.2.3 Recht auf Berichtigung, Löschung und Widerspruch Verordnung (EU) 2016/679 (Art. 16 - 22)

Beschäftigte mit Anbindung in Sachkunde24.de (S24) haben ein permanent und direkt gewährleistete Vorschlagssrecht auf Korrektur der eigenen Personenbezogenen Daten (PbD), welche in Ihrer Beziehung mit %Organisation in Ihrer digitalen Personalakte (Stellenbeschreibung, PbD, Visitenkarte oder ergänzenden Beauftragungen zu Ihrem Arbeitsvertrag) aktualisiert werden müssen, sofern diese PbD im persönlichen Nutzerkonto persönlich hinterlegt oder von einer Beziehung mit angemessener Halbwertzeit der Speicherung bis zur Löschung abgefragt wurden.

↑

2 Schutz des IKT-Arbeitsplatze

Die Erteilung der Zugangsberechtigungen zu den IKT-Ressourcen, darunter zum Arbeitsplatz oder S24-Nutzerkonto des Beschäftigten, erfolgen namentlich.

Als Schutz vor unbefugtem Zugriff, auch im Einzelfall, ist jeder Beschäftigte verpflichtet:

• die von der Organisation physisch bereitgestellten Mittel (Schließanlage, Türcodes, Büroschlüssel) zu nutzen, um die Arbeitsplätz zu sichern,
• davon Abstand zu nehmen, die installierten Sicherheitssysteme (Virenschutz, Firewall etc) zu umgehen oder zu blockieren;
• die Passwortpolitik der %Organisation für den Zugang zu jeder IKT-Ressourcen anzuwenden (regelmäßige Änderung, ausreichende Länge und Komplexität des Passworts, etc.)
• die Passwörter und Registrierungsinformationen geheim zu halten und in keinem Fall an interne- bzw. -externe Personen abzutreten, zu verleihen oder zu übertragen, auch nicht vorübergehend (vorbehaltlich zwingender dienstlicher Erfordernisse; in diesem Fall muss das Passwort geändert werden);
• bei Verlassen des Arbeitsplatzes die IKT-Ressourcen wie Computer zu sperren, sich ggf. aus verwendeter Software und Netzwerken spätestens am Ende des Arbeitstags auszuloggen und vor dem Wochenende abzuschalten, ausgenommen im Fall technischer Notwendigkeiten zur Systempflege bzw. aus betrieblichen Gründen,
• davon Abstand zu nehmen, etwaig festgestellte Sicherheitslücken bei den bereitgestellten IKT-Ressourcen übergangsweise zu nutzen und/oder sie darüber hinaus bekannt zu machen,
• Arbeitsplatz-Backups durchzuführen.

2.1 Umgang mit technischen Störungen

Bei Störungen ist die Abteilung Informationssysteme zu verständigen. Das ungenehmigte Downloaden und installieren von Apps und Software zur Beseitigung von Störungen ist ausschließlich beauftragten Beschäftigten der Abteilung ISMS oder DSMS befugt oder kann diese genehmigen.

• Nur die Ihnen namentlich bekannt und ausdrücklich dafür befugte Personen und Stellen sind berechtigt, administrative Eingriffe an den IKT- Ressourcen eines Beschäftigten vorzunehmen. Alle Arbeitssitzungen (aktive Netwerk- und Softwareanwendungen) der IKT-Ressource müssen vom Beschäftigten vor dem Eingriff abgemeldet sein.
• Ferneingriffe in eine aktive Arbeitssitzung eines Beschäftigten sind nur auf Anfrage des Beschäftigten bzw. bei Anfrage durch die Abteilung ISMS oder DSMS nach Zustimmung des Beschäftigten und dessen Führungskraft möglich. Der Beschäftigte hat das Recht bei einem Ferneingriff in aktiver Arbeitssitzung hinreichend beteiligt und über die Prüf- und Wartungsergebnisse informiert zu werden.

↑

3 Arbeitskontinuität

Der Zweck der Arbeitskontinuität bei Abwesenheit (Krankheit, Urlaub) ist ausdrücklich kein unmittelbarer Anlass für andere Personen eine Delegierung eigene Zugriffsrechte zu seinen beruflichen Daten einzurichten. Im Bsp. S24 ist hierzu ohnehin nur der Firmenvertreter berechtigt, allerdings darf auch der Firmenvertreter diese Delegation nur in Rücksprache mit seiner Führungskraft auf ein andere Beziehung (Verwalter) deligieren.

Darüber hinaus ist der Nutzer im Sinne der Arbeitskontinuität verpflichtet, die von ihm bearbeiteten, erstellten oder geänderten Daten mit Hilfe der bereitgestellten Programme, Geräte und/oder Verfahren sowie Netzwerkräume ausschließlich nur dann auszudrucken, zu speichern und abzulegen (Vermeidung von Duplikaten, unsauberen Revisionsständen), wenn hierfür eine schriftliche Prozessanweisung für einen Aushang oder Weitergabe vorliegt.

Bei Beendigung seiner Tätigkeit ist der Nutzer zur Gewährleistung der Arbeitskontinuität verpflichtet, der Organisation zusätzlich zu dem ihm zugewiesenen Material alle Ordner, Verzeichnisse, Dateien, E-Mails und generell alle beruflichen elektronischen Dokumente und die z.B. über S24 erstellten Datensätze und .pdfs zu hinterlassen.

↑

4 Internet, Browser, Netzwerk und Datenaustausch

E-Mail

Das E-Mail-System ist kein überwachbar und sicherer Kommunikationskanal, sobald Nachrichten an Empfänger ausserhalb des von der Organisation bereitgestellten Web-Clients (...@unsereOrganisation.net) verschickt werden.

Während der interne Datenverkehr geschützt sind, entfallen viele Schutz-, Kontroll- und Handlungsmöglichkeiten, sobald die Daten über das öffentlich zugängliche Internet laufen. Vor dem Senden von Daten an Konzernfremde per E-Mail ist daher stets zu prüfen, wie sensibel diese Daten sind und ob die Empfängeradresse mit einem berechtigten Empfänger verifiziert werden kann bzw. wurde.

Wenn es daher aus beruflichen Gründen erforderlich ist, besonders sensible Daten mit Konzernfremden auszutauschen, ist zu empfehlen, sich an die zuständigen Ansprechpartner und Verantwortlichen der Abteilung DSMS bei Legitimierungsfragen oder ISMS bei technischen Fragen zu wenden, um eine dem erforderlichen Vertraulichkeitsbedarf angepasste und mit den Leitlinien und Schutzzielen vereinbare Lösung zu finden.

Clouddienste und Filesharing (S24, Dropbox, Google Drive etc

Chat (S24, Whattsapp, Signal etc.

ToDo

Datenschutzerklärung (Auszug_4A)

Wenn unsere Organisation oder in Zusammenarbeit mit externen Datenverarbeitern gesetzlich dazu verpflichtet ist, ein Ereignisprotokoll (*) und Filtersystem (**) für die Web-, Mail- und Datenaustauschverbindungen z.B. mit S24 einzurichten, gibt es die erforderlichen Erklärungen bei den verantwortlichen Stellen ggf. zuständigen Kontrollbehörden ab.

(* Aufbewahrung von Verbindungsdaten wie die Uhrzeit des Zugriffs und die IP-Adresse des Nutzers.
(** Für die Filterfunktion der Zugriffe zu Websites ist es ggf. erforderlich, den Datenaustausch zwischen dem vom Nutzer genutzten Endgerät und der Website zu entschlüsseln. Diese Analyse erfolgt global gemäß internen und mit externe Datenverarbeitern vereinbarten Datenschutzerklärungen z.B. S24-DSE: die entschlüsselten Daten werden nicht gespeichert (unzugängliche Daten). Die Protokolldatei der entschlüsselten Daten entspricht der Konfiguration für Standard-HTTP-Datensätze (Uhrzeit, Nutzer-Account, URL der Website, Zugriffsberechtigung, identifizierte Viren). Es werden keine weiteren Daten gespeichert.

↑

4.1 Außendienst

ToDo
Datenschutzerklärung (Auszug_4A1)
4.2 Homeoffice
ToDo
Datenschutzerklärung (Auszug_4A2)

4.3 Private mobile Endgeräte

ToDo
Datenschutzerklärung (Auszug_4A3)

↑

5 Verschlüsselung, Tokenesierung und Blockchain

Der Beschäftigte ist gehalten, ausschließlich die von der Organisation zugelassenen Lösungen zur Verschlüsselung und Tokenesierung von Informationen und Daten zu verwenden.

Es sei darauf verwiesen, dass die von Bürosoftwareanwendungen angebotene Schutzfunktion von Dateien per Passwort (Word, Excel, Powerpoint, PDF etc.) keinen wirksamen Schutz bietet, da im Internet zahlreiche frei zugängliche Anwendungen verfügbar sind, mit denen dieser Schutz auf einfache Weise aufgehoben werden kann.

↑

6 Nutzung von LLMs und Künstlicher Intelligenz (KI)

Der Beschäftigte ist gehalten, ausschließlich die von der Organisation zugelassene KI zu verwenden. Das proaktive Anlernen von im Markt befindlichen KI-Lösungen (ChatGPT, Gemini, Deepseek, Grok) mit Informationen und Daten der Organisation ist ausschließlich den mit dieser Aufgabe von der Leitung beauftragten Beschäftigten und Diensleistern gestattet.

• Die Zuführung von internen Informationen der Organisation und insbesondere Personenbezogene Daten (PbD) von in Beziehung stehenden Beschäftigten, Ansprechpartnern von Stakeholdern (Besucher, Ansprechpartner) in Prompts (Eingabemaske einer KI) ist strengstens untersagt.

↑