Liebe Community,
wir benötigen für unsere Datenschutzbestimmungen eine Übersicht von Shopify zu deren TOMs (technisch organisatorische Maßnahmen) gemäß DSGVO.
In den entsprechenden Unterlagen wird eher allgemein kommuniziert, was Shopify im Sinne des Datenschutzes unternimmt. Aber eine konkrete Information zu den TOMs ist nicht hinterlegt.
Gibt es Ideen wie man an diese Informationen kommt. Über den Support haben wir es bereits ohne Erfolg versucht.
Vielen Dank vorab für eure Unterstützung.
Beispiel eines TOM-Fragebogens:
Technische und organisatorische Maßnahmen (TOM)
|
Nr. |
Gebiet |
Beschreibung |
|
0 |
Organisation |
|
|
Wie ist die Umsetzung des Datenschutzes organisiert? |
||
|
Nennen Sie uns bitte den Namen und die Kontaktdaten Ihres Datenschutzbeauftragten. |
||
|
In welcher Form werden die Mitarbeiter auf die Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen geschult, die für diese Verarbeitung in Anwendung kommen? |
||
|
Sind die Verarbeitungen hinsichtlich datenschutzrechtlicher Zulässigkeit dokumentiert? |
||
|
1 |
Vertraulichkeit (Art. 32 Abs. 1 lit. b DC-GVO) |
|
|
1.1 |
Zutrittskontrolle |
|
|
Wie werden die Gebäude, in denen die Verarbeitung stattfindet, vor unbefugtem Zutritt gesichert? |
||
|
Wie werden die Räume / Büros, in denen die Verarbeitung stattfindet, vor unbefugtem Zutritt gesichert? |
||
|
Wie werden die Verarbeitungsanlagen vor unbefugtem Zugriff geschützt? |
||
|
Wie werden die umgesetzten Zutrittskontrollmaßnahmen auf Tauglichkeit geprüft? |
|
1.2 |
Zugangskontrolle |
|
|
Wie erfolgt die Vergabe von Benutzerzugängen? |
||
|
Wie wird die Gültigkeit von Benutzerzugängen überprüft? |
||
|
Wie werden Benutzerzugänge inkl. Antragstellung, Genehmigungsverfahren etc. dokumentiert? |
||
|
Wie wird sichergestellt, dass die Anzahl von Administrationszugängen ausschließlich auf die notwendige Anzahl reduziert ist und nur fachlich und persönlich geeignetes Personal hierfür eingesetzt wird? |
||
|
Ist ein Zugriff auf die Systeme / Anwendungen von außerhalb des Unternehmens möglich (Heimarbeitsplätze, Dienstleister etc.) und wie ist der Zugang gestaltet? |
||
|
1.3 |
Zugriffskontrolle |
|
|
Wie wird erreicht, dass Passwörter nur dem jeweiligen Benutzer bekannt sind? |
||
|
Welche Anforderungen werden an die Komplexität von Passwörtern gestellt? |
||
|
Wie wird gewährleistet, dass der Benutzer sein Passwort regelmäßig ändern kann / muss? |
||
|
Welche organisatorischen Vorkehrungen werden zur Verhinderung von unberechtigten Zugriffen auf personenbezogene Daten am Arbeitsplatz getroffen? |
||
|
Wie wird sichergestellt, dass Zugriffsberechtigungen anforderungsgerecht und zeitlich beschränkt vergeben werden? |
||
|
Wie erfolgt die Dokumentation von Zugriffsberechtigungen? |
||
|
Wie wird sichergestellt, dass Zugriffsberechtigungen nicht missbräuchlich verwendet werden? |
||
|
Wie lange werden Protokolle aufbewahrt? Wer hat Zugriff auf die Protokolle und wie oft werden sie ausgewertet? |
||
|
1.4 |
Trennungskontrolle |
|
|
Wie wird sichergestellt, dass Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt voneinander verarbeitet werden? |
||
|
1.5 |
Pseudonymisierung |
|
|
Welche organisatorischen Maßnahmen wurden getroffen, damit die Verarbeitung personenbezogener Daten gesetzeskonform erfolgt? |
||
|
Wie werden personenbezogene Daten verarbeitet /aufbewahrt, sodass diese nicht den betroffenen Personen zugeordnet werden können? |
||
|
2 |
Integrität (Art. 32 Abs. 1 lit. b DS-GVO) |
|
|
2.1 |
Weitergabekontrolle |
|
|
Wie gewährleisten Sie die Integrität und Vertraulichkeit bei der Weitergabe von personenbezogenen Daten? |
||
|
Werden Verschlüsselungssysteme bei der Weitergabe von personenbezogenen Daten eingesetzt und wenn ja, welche? |
||
|
Wie wird die Weitergabe personenbezogener Daten dokumentiert? |
||
|
Wie wird der unberechtigte Abfluss von personenbezogenen Daten durch technische Maßnahmen beschränkt? |
||
|
Gibt es ein Kontrollsystem, das einen unberechtigten Abfluss von personenbezogenen Daten aufdecken kann? |
||
|
2.2. |
Eingabekontrolle |
|
|
Welche Maßnahmen werden ergriffen, um nachvollziehen zu können, wer wann und wie lange auf Applikationen zugegriffen hat? |
||
|
Wie ist nachvollziehbar, welche Aktivitäten auf den entsprechenden Applikationen durchgeführt wurden? |
||
|
Welche Maßnahmen werden ergriffen, damit die Verarbeitung durch die Mitarbeiter nur gemäß den Weisungen des Auftraggebers erfolgen kann? |
||
|
Welche Maßnahmen werden getroffen, damit auch Unterauftragnehmer ausschließlich im vereinbarten Umfang personenbezogene Daten des Auftraggebers durchführt? |
. |
|
|
Wie wird die Löschung / Sperrung von personenbezogenen Daten am Ende der Aufbewahrungsfrist bei Unterauftragnehmern sichergestellt? |
. |
|
|
3 |
Verfügbarkeit und Belastbarkeit |
|
|
3.1. |
Verfügbarkeitskontrolle |
|
|
Wie wird gewährleistet, dass die Datenträger vor elementaren Einflüssen (Feuer, Wasser, elektromagnetische Abstrahlung etc.) geschützt sind? |
||
|
Welche Schutzmaßnahmen werden zur Bekämpfung von Schadprogrammen eingesetzt und wie wird deren Aktualität gewährleistet? |
. |
|
|
Wie wird sichergestellt, dass nicht mehr benötigte bzw. defekte Datenträger ordnungsgemäß entsorgt werden? |
|
3.2. |
Wiederherstellbarkeit |
|
|
Welche organisatorischen und technischen Maßnahmen werden getroffen, um auch im Schadensfall die Verfügbarkeit von Daten und Systemen schnellstmöglich zu gewährleisten? |
||
|
4. |
Verfahren zur regelmäßigen Überprüfung, Bewertung, Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO, Art. 25 Abs. 1 DS-GVO) |
|
|
Welche Verfahren gibt es zur regelmäßigen Bewertung/Überprüfung, um die Sicherheit der Datenverarbeitung zu gewährleisten (Datenschutz-Management)? |
. |
|
|
Wie wird auf Anfragen bzw. Probleme reagiert (Incident-Response-Management)? |
||
|
Welche datenschutzfreundlichen Voreinstellungen gibt es (Art. 25 Abs. 2 DS-GVO)? |
||
|
4.1 |
Auftragskontrolle |
|
|
Welche Vorgänge gibt es zur Weisung bzw. dem Umgang mit der Auftragsdatenverarbeitung (Datenschutz-Management)? |
