Dies sind auch in der Anlage 2 zum Auftragsverarbeitungsvertrag zu finden.
Die technischen und organisatorischen Maßnahmen (TOMs) dienen dazu, ein angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten und insbesondere die Rechte und Freiheiten betroffener Personen zu schützen. Im Folgenden stellen wir die von uns implementierten TOMs vor.
Detailliertere Informationen zu einzelnen Maßnahmen finden Sie hier.
Zutrittskontrolle
Die Zutrittskontrolle regelt, wer physischen Zugang zu einem Gelände, Gebäude oder Raum erhält.
| Maßnahme | Rechenzentrumsstandorte | Verwaltungs-gebäude |
|---|---|---|
| Elektronisches Zutrittskontrollsystem mit Protokollierung | ✓ | ✓ |
| Dokumentierte Vergabe von Zutrittsmedien | ✓ | ✓ |
| Flächendeckende Videoüberwachung | ✓ | ✓ |
| Richtlinie zum Besuchermanagement | ✓ | ✓ |
| Hochsicherheitszaun mit Übersteigschutz und Untergrabenschutz um den gesamten Datacenter-Park | ✓ | ✓ |
| Separierte Colocation-Bereiche mit abschließbaren Racks | ✓ | ✓ |
Bitte beachten Sie für die nachstehenden Kapitel den folgenden Hinweis:
- Bei unseren Dedicated Servern & Cloud Servern liegt die Verantwortung für die Verwaltung, Wartung und Sicherheit der Serverinfrastruktur vollständig beim Auftraggeber.
- Bei unseren Managed-Produkten übernehmen wir die Verantwortung für die Wartung, Administration und Sicherheit Ihrer Systeme.
Zugangskontrolle
Die Zugangskontrolle definiert, wer sich auf einem System einloggen darf, sodass nur autorisierte Personen auf dieses erhalten.
Unmanaged Produkte
Maßnahmen |
Colocation | Dedicated Server | Cloud Server | Storage Box | Object Storage |
|---|---|---|---|---|---|
| Eigenes Kundenkonto mit zahlreichen Verwaltungsoptionen und Zugang zur Administrationsoberfläche | ✓ | ✓ | ✓ | ✓ | ✓ |
| Nachvollziehbare Protokollierung von Zugriffs- und Änderungsvorgängen im Kundenaccount | ✓ | ✓ | ✓ | ✓ | ✓ |
| Passwortpflicht für das Kundenkonto mit festgelegten Mindestanforderungen | ✓ | ✓ | ✓ | ✓ | ✓ |
| Option zur Zwei-Faktor- Authentifizierung (2FA) für Kundenkonto | ✓ | ✓ | ✓ | ✓ | ✓ |
| Serverzugriff erfolgt ausschließlich durch Auftraggeber | ✓ | ✓ | ✓ | NA | ✓ |
| Zugriff erfolgt ausschließlich durch autorisierte Hetzner-Mitarbeitende im Rahmen der vereinbarten Leistung über mehrstufige Authentifizierung und kryptografischem Schutz; je nach Produkt von reiner Infrastrukturwartung bis hin zu vollständiger Serververwaltung | NA | NA | NA | ✓ | NA |
| Individuell konfigurierbare Firewall | NA | ✓ | ✓ | NA (siehe nächste Zeile) |
✓ |
| Providerverwaltete Firewall mit 24/7-Monitoring | NA | NA (siehe vorherige Zeile) |
NA (siehe vorherige Zeile) |
✓ | NA (siehe vorherige Zeile) |
| Virenscanner / Sicherheitsprüfung | Obliegt Auftraggeber | ✓ | ✓ | Rootkit-Prüfungen | X |
| (Zusätzliche) Maßnahmen obliegen Auftraggeber | ✓ | ✓ | ✓ | NA | ✓ |
Managed Produkte
Maßnahmen |
Managed Server | Web- hosting | Storage Share |
|---|---|---|---|
| Eigenes Kundenkonto mit zahlreichen Verwaltungsoptionen und Zugang zur Administrationsoberfläche | ✓ | ✓ | ✓ |
| Nachvollziehbare Protokollierung von Zugriffs- und Änderungsvorgängen im Kundenaccount | ✓ | ✓ | ✓ |
| Passwortpflicht für das Kundenkonto mit festgelegten Mindestanforderungen | ✓ | ✓ | ✓ |
| Option zur Zwei-Faktor- Authentifizierung (2FA) für Kundenkonto | ✓ | ✓ | ✓ |
| Serverzugriff erfolgt ausschließlich durch Auftraggeber | NA | NA | NA |
| Zugriff erfolgt ausschließlich durch autorisierte Hetzner-Mitarbeitende im Rahmen der vereinbarten Leistung über mehrstufige Authentifizierung und kryptografischem Schutz; je nach Produkt von reiner Infrastrukturwartung bis hin zu vollständiger Serververwaltung | ✓ | ✓ | ✓ |
| Individuell konfigurierbare Firewall | NA (siehe nächste Zeile) |
NA (siehe nächste Zeile) |
NA (siehe nächste Zeile) |
| Providerverwaltete Firewall mit 24/7-Monitoring | ✓ | ✓ | ✓ |
| Virenscanner / Sicherheitsprüfung | ✓ | ✓ | Rootkit-Prüfungen |
| (Zusätzliche) Maßnahmen obliegen Auftraggeber | NA | NA | NA |
Zugriffskontrolle
Die Zugriffskontrolle regelt, welche Berechtigungen eine Person innerhalb eines Systems hat. Sie bestimmt, was ein Benutzer nach erfolgreichem Zugang sehen, ändern oder ausführen darf.
Unmanaged Produkte
Maßnahmen |
Colocation | Dedicated Server | Cloud Server | Storage Box | Object Storage |
|---|---|---|---|---|---|
| Regelmäßige Sicherheitsupdates | Obliegt Auftraggeber | Obliegt Auftraggeber | ✓ für zugrunde liegende Cloud-Infrastruktur |
✓ | ✓ |
| Revisionssicheres, verbindliches Berechtigungsverfahren auf Basis eines Rollen- und Berechtigungskonzeptes | Obliegt Auftraggeber | Obliegt Auftraggeber | ✓ Es erfolgen Zugriffe auf die Cloud-Infrastruktur |
✓ | ✓ |
| Pflege, Sicherheit und Aktualität der übertragenen Daten/Software | Obliegt Auftraggeber | Obliegt Auftraggeber | Obliegt Auftraggeber | Obliegt Auftraggeber | Obliegt Auftraggeber |
| (Zusätzliche) Maßnahmen obliegen Auftraggeber | ✓ | ✓ | ✓ bzgl. Zugriffe auf Cloud-Server |
NA | NA |
Managed Produkte
Maßnahmen |
Managed Server | Web- hosting | Storage Share |
|---|---|---|---|
| Regelmäßige Sicherheitsupdates | ✓ | ✓ | ✓ |
| Revisionssicheres, verbindliches Berechtigungsverfahren auf Basis eines Rollen- und Berechtigungskonzeptes | ✓ | ✓ | ✓ |
| Pflege, Sicherheit und Aktualität der übertragenen Daten/Software | Obliegt Auftraggeber | Obliegt Auftraggeber | Obliegt Auftraggeber |
| (Zusätzliche) Maßnahmen obliegen Auftraggeber | NA | NA | NA |
Datenträgerkontrolle
Die Datenträgerkontrolle umfasst Maßnahmen und Verfahren, die sicherstellen, dass die Nutzung, der Zugriff und der Transport von physischen Datenträgern kontrolliert und vor unbefugtem Zugriff geschützt werden.
Unmanaged Produkte
Maßnahmen |
Colocation | Dedicated Server | Cloud Server | Storage Box | Object Storage |
|---|---|---|---|---|---|
| Definiertes Verfahren zur Löschung von Festplattendaten nach Auftragsbeendigung; je nach Produktart unterschiedlich umgesetzt | Obliegt Auftraggeber | ✓ | ✓ | ✓ | ✓ |
| Physische Zerstörung von Datenträgern bei nicht erfolgreicher Datenlöschung | Obliegt Auftraggeber | ✓ | ✓ | ✓ | ✓ |
Managed Produkte
Maßnahmen |
Managed Server | Web- hosting | Storage Share | Interne Verwaltungs- systeme |
|---|---|---|---|---|
| Definiertes Verfahren zur Löschung von Festplattendaten nach Auftragsbeendigung; je nach Produktart unterschiedlich umgesetzt | ✓ | ✓ | ✓ | ✓ |
| Physische Zerstörung von Datenträgern bei nicht erfolgreicher Datenlöschung | ✓ | ✓ | ✓ | ✓ |
Trennungskontrolle
Maßnahmen zur Trennungskontrolle stellen sicher, dass Daten unterschiedlicher Kunden oder Anwendungen innerhalb eines Systems klar voneinander getrennt verarbeitet und gespeichert werden.
Unmanaged Produkte
Maßnahmen |
Colocation | Dedicated Server | Cloud Server | Storage Box | Object Storage |
|---|---|---|---|---|---|
| Physische oder logische Trennung von Daten | Obliegt Auftraggeber | Obliegt Auftraggeber | ✓ | ✓ | ✓ |
| Physische und logische Trennung von Backup-Daten | Obliegt Auftraggeber | Obliegt Auftraggeber | ✓ | ✓ | NA |
| (Zusätzliche) Maßnahmen obliegen Auftraggeber | ✓ | ✓ | ✓ | NA | NA |
Managed Produkte
Maßnahmen |
Managed Server | Web- hosting | Storage Share | Interne Verwaltungs- systeme |
|---|---|---|---|---|
| Physische oder logische Trennung von Daten | ✓ | ✓ | ✓ | ✓ |
| Physische und logische Trennung von Backup-Daten | ✓ | ✓ | ✓ | ✓ |
| (Zusätzliche) Maßnahmen obliegen Auftraggeber | NA | NA | NA | NA |
Pseudonymisierung
Durch Maßnahmen zur Pseudonymisierung werden personenbezogene Daten so modifiziert, dass sie nur unter Verwendung von Zusatzinformationen einer bestimmten Person zugeordnet werden können.
Maßnahmen |
Colo- cation | Dedicated Server | Cloud Server | Managed Server | Web- hosting | Storage Share | Storage Box | Object Storage |
|---|---|---|---|---|---|---|---|---|
| Serverzugriff erfolgt ausschließlich durch Auftraggeber | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ |
Vertraulichkeit
Maßnahmen zur Vertraulichkeit stellen sicher, dass personenbezogene Daten bei der Verarbeitung und Speicherung vor unberechtigtem Zugriff oder Weitergabe geschützt werden.
| Maßnahme | Allgemein | Produktabhängig |
|---|---|---|
| Verpflichtungserklärung der Hetzner-Mitarbeitenden vor Tätigkeitsbeginn zur datenschutzkonformen Verarbeitung personenbezogener Daten | ✓ | X |
| Regelmäßige Sensibilisierungen und Schulungen der Hetzner-Mitarbeitenden bzgl. Datenschutz- und Informationssicherheitsthemen | ✓ | X |
| Verschlüsselungsoptionen für die Datenübertragung | X | ✓ |
Integrität
Die Integrität stellt sicher, dass Daten und Systeme vollständig, unverfälscht und korrekt bleiben – sowohl bei der Speicherung als auch bei der Übertragung.
Unmanaged Produkte
Maßnahmen |
Colocation | Dedicated Server | Cloud Server | Storage Box | Object Storage |
|---|---|---|---|---|---|
| Protokollierung von Datenänderungen | Obliegt Auftraggeber | Obliegt Auftraggeber | Obliegt Auftraggeber | ✓ | ✓ |
| Verantwortung für Eingabe und Bearbeitung von Daten obliegt Auftraggeber | ✓ | ✓ | ✓ | ✓ | ✓ |
| (Zusätzliche) Maßnahmen obliegen Auftraggeber | ✓ | ✓ | ✓ | ✓ | ✓ |
Managed Produkte
Maßnahmen |
Managed Server | Web-hosting | Storage Share | Interne Verwaltungssysteme |
|---|---|---|---|---|
| Protokollierung von Datenänderungen | ✓ | ✓ | ✓ | ✓ |
| Verantwortung für Eingabe und Bearbeitung von Daten obliegt Auftraggeber | ✓ | ✓ | ✓ | ✓ Kunde kann Kundendatenänderung über Kundenaccount selbstständig vornehmen |
| (Zusätzliche) Maßnahmen obliegen Auftraggeber | ✓ | ✓ | ✓ | NA |
Verfügbarkeit und Belastbarkeit
Die Verfügbarkeit fokussiert sich auf die kontinuierliche Funktionsfähigkeit eines Systems. Die Belastbarkeit sorgt in diesem Zusammenhang dafür, dass die Verfügbarkeit auch unter außergewöhnlichen Umständen gewährleistet bleibt.
Unmanaged Produkte
Maßnahmen |
Colocation | Dedicated Server | Cloud Server | Storage Box | Object Storage |
|---|---|---|---|---|---|
| 24/7 technischer Support direkt im Rechenzentrum | Nicht zutreffend | ✓ | ✓ | ✓ | ✓ |
| Unterbrechungsfreie Stromversorgung durch redundante USVs und NEA | ✓ | ✓ | ✓ | ✓ | ✓ |
| Redundante und hochverfügbare Netzwerkinfrastruktur | ✓ | ✓ | ✓ | ✓ | ✓ |
| Flächendeckende Brandfrüherkennungsmechanismen mit automatischer Alarmierung und Leitstellenanbindung | ✓ | ✓ | ✓ | ✓ | ✓ |
| Dynamisches Brandschutzkonzept | ✓ | ✓ | ✓ | ✓ | ✓ |
| Regelmäßige Schulungen und Notfallübungen der Brandschutzhelfer | ✓ | ✓ | ✓ | ✓ | ✓ |
| Redundante und energie- effiziente Kühlung durch direkte freie Kühlung und Klimaanlagen | ✓ | ✓ | ✓ | ✓ | ✓ |
| Kaltgangeinhausung | ✓ | ✓ | ✓ | ✓ | ✓ |
| Kontinuierliche Temperatur- überwachung in Serverräumen und Verteilerschränken | ✓ | ✓ | ✓ | ✓ | ✓ |
| Dauerhaft aktive DDoS-Erkennung | ✓ | ✓ | ✓ | ✓ | ✓ |
Maßnahmen |
Colocation | Dedicated Server | Cloud Server | Storage Box | Object Storage |
|---|---|---|---|---|---|
| Backup- und Recovery- Konzept | Obliegt Auftraggeber |
Obliegt Auftraggeber |
✓ abhängig von gebuchten Leistungen |
Snapshots, abhängig von gebuchter Leistung | Redundante Speicherung innerhalb des Cluster-systems |
| Festplattenspieglung | Obliegt Auftraggeber |
Obliegt Auftraggeber |
Obliegt Auftraggeber |
✓ | ✓ |
| Monitoring | Obliegt Auftraggeber |
Obliegt Auftraggeber |
Obliegt Auftraggeber |
✓ | ✓ |
| Eskalationskette für Störungen und Notfälle | siehe Produkt-beschreibung | siehe Produkt-beschreibung | siehe Produkt-beschreibung | siehe Produkt-beschreibung | siehe Produkt-beschreibung |
| Einsatz von Softwarefirewall und Portreglementierungen | Obliegt Auftraggeber |
Obliegt Auftraggeber |
Obliegt Auftraggeber |
✓ | ✓ |
Managed Produkte
Maßnahmen |
Managed Server | Web- hosting | Storage Share | Interne Verwaltungs- systeme |
|---|---|---|---|---|
| 24/7 technischer Support direkt im Rechenzentrum | Nicht zutreffend | ✓ | ✓ | ✓ |
| Unterbrechungsfreie Stromversorgung durch redundante USVs und NEA | ✓ | ✓ | ✓ | ✓ |
| Redundante und hochverfügbare Netzwerkinfrastruktur | ✓ | ✓ | ✓ | ✓ |
| Flächendeckende Brandfrüherkennungsmechanismen mit automatischer Alarmierung und Leitstellenanbindung | ✓ | ✓ | ✓ | ✓ |
| Dynamisches Brandschutzkonzept | ✓ | ✓ | ✓ | ✓ |
| Regelmäßige Schulungen und Notfallübungen der Brandschutzhelfer | ✓ | ✓ | ✓ | ✓ |
| Redundante und energie- effiziente Kühlung durch direkte freie Kühlung und Klimaanlagen | ✓ | ✓ | ✓ | ✓ |
| Kaltgangeinhausung | ✓ | ✓ | ✓ | ✓ |
| Kontinuierliche Temperatur- überwachung in Serverräumen und Verteilerschränken | ✓ | ✓ | ✓ | ✓ |
| Dauerhaft aktive DDoS-Erkennung | ✓ | ✓ | ✓ | ✓ |
Maßnahmen |
Managed Server | Web- hosting | Storage Share | Interne Verwaltungs- systeme |
|---|---|---|---|---|
| Backup- und Recovery-Konzept | ✓ zum Teil abhängig von gebuchten Leistungen |
Einzelne Datei-wieder-herstellung möglich | RAID-basiertes Speicher-backend | ✓ tägliche Sicherung aller relevanten Daten |
| Festplattenspieglung | ✓ | ✓ | ✓ | ✓ bei allen relevanten Servern |
| Monitoring | ✓ | ✓ | ✓ | ✓ bei allen relevanten Servern |
| Eskalationskette für Störungen und Notfälle | siehe Produkt-beschreibung | siehe Produkt-beschreibung | siehe Produkt-beschreibung | ✓ |
| Einsatz von Softwarefirewall und Portreglementierungen | ✓ | ✓ | ✓ | ✓ |
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
Regelmäßige Überprüfungs-, Bewertungs- und Evaluierungsverfahren gewährleisten die kontinuierliche Einhaltung und Verbesserung von Datenschutz- und Sicherheitsstandards.
| Maßnahme | Allgemein | Produkt-abhängig |
|---|---|---|
| Datenschutz-Informationssicherheits-Management-System (DIMS) | ✓ | X |
| Incident-Response-Management | ✓ | X |
| Datenschutzfreundliche Voreinstellungen bei Softwareentwicklungen (Privacy by default) | ✓ | X |
| Bestellung eines Datenschutz- und Informationssicherheitsbeauftragten und Einbindung dieser in betriebliche Prozesse | ✓ | X |