Durchgängige Verschlüsselung
TLS bei der Übertragung und Verschlüsselung ruhender Daten und Anhänge.
Sicherheit und Compliance
Was Ihre IT-Leitung fragen wird
Verschlüsselung, Zugriffskontrolle, Audit-Protokoll, geprüfte Backups und ein Auftragsverarbeitungsvertrag, den man ohne böse Überraschungen lesen kann.
Die fünf Fragen der IT, beantwortet
Wer in der IT eine Plattform bewertet, fragt immer dasselbe: Wo liegen die Daten, wer kann darauf zugreifen, was geschieht bei einer Datenschutzverletzung und was steht im Auftragsverarbeitungsvertrag? Kimobox antwortet mit eigener Infrastruktur in der Europäischen Union, Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrolle nach Profil mit zweitem Faktor, einem Audit-Protokoll jeder Aktion und einem Vertrag nach Art. 28 DSGVO, der zum Lesen geschrieben ist, nicht zum blinden Unterschreiben.
- Rechtsrahmen
- Verordnung (EU) 2016/679 und LO 3/2018 DSGVO anwendbar seit 25. Mai 2018; spanisches LOPDGDD seit Dezember 2018
- Auftragsverarbeitungsvertrag
- Art. 28 DSGVO Mit dem Mindestinhalt, den der Artikel selbst aufzählt
- Meldung von Datenpannen
- 72 Stunden Art. 33 DSGVO, ab Kenntnisnahme durch den Verantwortlichen
- Maximales Bußgeld
- 20 Mio. € oder 4 % des weltweiten Umsatzes Der höhere Betrag, gemäß Art. 83 Abs. 5 DSGVO
- Speicherort der Daten
- Rechenzentren in der EU Keine Drittlandübermittlungen, die zusätzliche Garantien erfordern
Zugriffe und Zwei-Faktor
Berechtigungen nach Profil, Unternehmens-SSO und optional verpflichtender zweiter Faktor.
Audit-Protokoll
Wer was wann gesehen oder geändert hat, einschließlich der Zugriffe des Supports.
DSGVO und LOPDGDD
Auftragsverarbeitungsvertrag, Verarbeitungsverzeichnis und Verwaltung der Betroffenenrechte.
Betrieb
Wie der Dienst betrieben wird
- Überwachung rund um die Uhr mit Alarmen und Bereitschaft
- Tägliche Backups mit regelmäßigen Wiederherstellungstests
- Getrennte Test- und Produktionsumgebungen
- Geplante und vorab angekündigte Updates
- Getesteter Notfall- und Wiederanlaufplan
- Regelmäßige Sicherheitsaudits und Penetrationstests
Beispiele aus der Praxis
Was typischerweise schiefgeht
Unternehmen mit externem DSB
Unvollständiges Verzeichnis von Verarbeitungstätigkeiten
Vorher Das Verzeichnis wurde 2019 erstellt und seither nicht mehr angefasst, obwohl das Unternehmen drei neue Tools eingeführt hat.
Nachher Jede Verarbeitung wird mit Rechtsgrundlage, Datenkategorien, Fristen und Empfängern erfasst und überprüft, sobald sich das zugrunde liegende System ändert.
Industrie · Zugriffe von Fremdfirmen
Benutzer, die noch Jahre später aktiv sind
Vorher Niemand prüft die Berechtigungen. Konten von Personen, die das Unternehmen 2022 verlassen haben, haben noch Zugriff auf Qualitätsunterlagen.
Nachher Regelmäßige Zugriffsprüfung nach Profil und automatische Deaktivierung, gekoppelt an die Personalakte. Der Zugang endet, wenn das Beschäftigungsverhältnis endet.
Dienstleistung · Kundenaudit
Nachweisen, wer ein Dokument gesehen hat
Vorher Das System speichert nicht, wer worauf zugegriffen hat. Bei einer Beschwerde kann das Unternehmen weder etwas bestätigen noch widerlegen.
Nachher Audit-Protokoll mit Benutzer, Aktion, Objekt und Zeitpunkt. Die Frage „Wer hat das heruntergeladen?“ hat eine Antwort mit Datum.
Begriffe
Begriffe, die man richtig verwenden muss
- Verantwortlicher
- Wer über Zwecke und Mittel der Verarbeitung entscheidet. Bei einer Plattform wie dieser ist das Kundenunternehmen der Verantwortliche, nicht der Anbieter.
- Auftragsverarbeiter
- Wer Daten im Auftrag des Verantwortlichen verarbeitet. Er darf dies nur nach dessen dokumentierten Weisungen und auf Grundlage des Vertrags nach Art. 28 DSGVO tun.
- Datenschutzverletzung
- Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zum unbefugten Zugriff auf personenbezogene Daten führt. Sie ist der Behörde binnen 72 Stunden zu melden, es sei denn, ein Risiko ist unwahrscheinlich.
- Verschlüsselung ruhender Daten
- Schutz der Daten während der Speicherung, nicht nur bei der Übertragung. Sie begrenzt den Schaden, wenn jemand physisch auf den Datenträger zugreift.
- Verarbeitungsverzeichnis
- Übersicht der Verarbeitungstätigkeiten einer Organisation, vorgeschrieben durch Art. 30 DSGVO. Es ist das Erste, was die Aufsichtsbehörde bei einer Prüfung anfordert.
- Zwei-Faktor (2FA)
- Prüfung, die etwas, das man weiß, mit etwas, das man besitzt, kombiniert. Sie macht aus einem geleakten Passwort ein lästiges Problem statt eines ernsten Vorfalls.
Häufige Fragen
Was man uns vor dem Start fragt
Wo werden die Daten gespeichert?
In Rechenzentren innerhalb der Europäischen Union, auf eigener Infrastruktur.
Wer kann meine Daten sehen?
Nur der Support, mit protokolliertem Zugriff und nach Ihrer ausdrücklichen Genehmigung.
Sind Sie nach ISO 27001 zertifiziert?
Der Dienst wird nach den Controls der ISO 27001 betrieben; die Unterlagen für Ihre Lieferantenbewertung stellen wir Ihnen gern zur Verfügung.
Wer ist Verantwortlicher und wer Auftragsverarbeiter?
Das Kundenunternehmen ist der Verantwortliche: Es entscheidet über Zwecke und Mittel. Kimobox handelt als Auftragsverarbeiter und verarbeitet die Daten ausschließlich nach dessen dokumentierten Weisungen, auf Grundlage des Vertrags nach Art. 28 DSGVO.
Was passiert bei einer Datenschutzverletzung?
Art. 33 DSGVO verpflichtet, sie der Aufsichtsbehörde binnen höchstens zweiundsiebzig Stunden nach Bekanntwerden zu melden. Der Auftragsverarbeitungsvertrag enthält die Zusage, Sie unverzüglich zu informieren, damit Sie diese Frist einhalten können.
Wie hoch ist das maximale Bußgeld nach DSGVO?
Zwanzig Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, für Verstöße nach Art. 83 Abs. 5. Deshalb sind diese Fragen längst keine Formsache mehr.
Lässt sich nachvollziehen, wer auf ein Dokument zugegriffen hat?
Ja. Das Audit-Protokoll speichert Benutzer, Aktion, Objekt und Zeitpunkt und lässt sich abfragen und exportieren. Die Frage „Wer hat das heruntergeladen?“ hat eine Antwort mit Datum.
Wie werden die Betroffenenrechte bearbeitet?
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch werden direkt in der Plattform bearbeitet – mit Auffinden der Daten je betroffener Person und Dokumentation der Antwort innerhalb der Monatsfrist nach Art. 12 Abs. 3.
Gibt es Zwei-Faktor-Authentifizierung?
Ja, je Profil aktivierbar. Sie macht aus einem geleakten Passwort einen lästigen Vorfall statt eines ernsten Problems.
Geben Sie unser Sicherheitsdatenblatt an Ihre IT weiter
Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.
Weiter entdecken
Verwandte Seiten
Zweiter Faktor über den Kanal, den jeder schon nutzt
Zweiter Faktor per Google oder Microsoft Authenticator, SMS, WhatsApp, Telegram, E-Mail oder Passkey, je…
RGPD · Datenschutz
Kostenloser Lernpfad zur DSGVO: Grundsätze, Betroffenenrechte, Sicherheitsmaßnahmen und Datenpannen, erklärt…
Eigene Server in Europa
Eigene Infrastruktur in EU-Rechenzentren, tägliche Backups mit getesteter Wiederherstellung, Verschlüsselung…
ISO 27001 ohne Ordner und ohne Überraschungen
Inventar der Werte, Risikoanalyse und Maßnahmen aus Anhang A mit Umsetzungsstand und verantwortlicher Person.
Quellen
Woher jede Angabe stammt
Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.
- Verordnung (EU) 2016/679, Datenschutz-Grundverordnung EUR-Lex · Anwendbar seit 25. Mai 2018
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (spanisches Datenschutzgesetz) BOE-A-2018-16673 · 6. Dezember 2018
- Guía para la notificación de brechas de datos personales (Leitfaden zur Meldung von Datenschutzverletzungen) Agencia Española de Protección de Datos · Leitfaden der AEPD
- ISO/IEC 27001:2022 — Informationssicherheitsmanagementsysteme ISO/IEC · 25. Oktober 2022
Informationssicherheit und DSGVO-Konformität
Die Plattform setzt Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrolle nach Profil, Zwei-Faktor-Authentifizierung, Anbindung an das Unternehmens-SSO und ein Audit-Protokoll aller Aktionen ein, einschließlich der Zugriffe des Support-Teams.
Der Dienst wird aus Rechenzentren in der Europäischen Union erbracht, mit Auftragsverarbeitungsvertrag gemäß DSGVO und dem spanischen Datenschutzgesetz LOPDGDD, täglich geprüften Backups, getrennten Umgebungen und einem getesteten Notfallplan.