Paper Pilots GmbH
Stand: 25.09.2026
PDF herunterladen1. Einleitung
Dieses Dokument fasst die vom Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 Abs. 1 DSGVO zusammen. Das sind Maßnahmen, mit denen der Auftragsverarbeiter personenbezogene Daten schützt. Das Dokument hat den Zweck, den Auftragsverarbeiter bei der Erfüllung seiner Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO zu unterstützen.
2. Vertraulichkeit
Art. 32 Abs. 1 lit. b DSGVO
Zutrittskontrolle
Folgende implementierte Maßnahmen verhindern, dass Unbefugte Zutritt zu den Datenverarbeitungsanlagen haben:
Manuelles Schließsystem (z.B. Schlüssel)
Sicherheitsschlösser
Klingelanlage mit Kamera
Besucher nur in Begleitung durch Mitarbeiter
Arbeit im Home Office: Unbefugte haben keinen Zutritt zur Wohnstätte der Mitarbeiter
Arbeit im Home Office: Anweisung an Mitarbeiter, wenn möglich, in einem von Wohnräumen abgetrennten Arbeitszimmer zu arbeiten
Zugangskontrolle
Folgende implementierte Maßnahmen verhindern, dass Unbefugte Zugang zu den Datenverarbeitungssystemen haben:
Authentifikation mit Benutzer und Passwort
Authentifikation mit biometrischen Daten
Einsatz von Mobile Device Management
Einsatz von VPN-Technologie bei Remote-Zugriffen
Verwaltung von Benutzerberechtigungen
Erstellen von Benutzerprofilen
Nutzung von 2-Faktor-Authentifizierung
Allgemeine Anweisung, bei Verlassen des Arbeitsplatzes Desktop manuell zu sperren
Zugriffskontrolle
Folgende implementierte Maßnahmen stellen sicher, dass Unbefugte keinen Zugriff auf personenbezogene Daten haben:
Anzahl der Administratoren ist so klein wie möglich gehalten
Verwaltung der Benutzerrechte durch Systemadministratoren
Trennungskontrolle
Folgende Maßnahmen stellen sicher, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden:
Trennung von Produktiv- und Testsystem
Logische Mandantentrennung (softwareseitig)
Erstellung eines Berechtigungskonzepts
3. Integrität
Art. 32 Abs. 1 lit. b DSGVO
Weitergabekontrolle
Es ist sichergestellt, dass personenbezogene Daten bei der Übertragung oder Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und überprüft werden kann, welche Personen oder Stellen personenbezogene Daten erhalten haben. Zur Sicherstellung sind folgende Maßnahmen implementiert:
WLAN-Verschlüsselung (WPA2 mit starkem Passwort)
Bereitstellung von Daten über verschlüsselte Verbindungen wie SFTP oder HTTPS
Home Office: Fernlöschungsrecht des Arbeitgebers
Eingabekontrolle
Durch folgende Maßnahmen ist sichergestellt, dass geprüft werden kann, wer personenbezogene Daten zu welcher Zeit in Datenverarbeitungsanlagen verarbeitet hat:
Protokollierung der Eingabe, Änderung und Löschung von Daten
4. Verfügbarkeit und Belastbarkeit
Art. 32 Abs. 1 lit. b DSGVO
Durch folgende Maßnahmen ist sichergestellt, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt und für den Auftraggeber stets verfügbar sind:
RAID-System / Festplattenspiegelung
Regelmäßige Backups
Aufbewahrung von Datensicherung an einem sicheren, ausgelagerten Ort
Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse
Hosting (jedenfalls der wichtigsten Daten) mit einem professionellen Hoster
5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO
Datenschutz-Management
Folgende Maßnahmen sollen gewährleisten, dass eine den datenschutzrechtlichen Grundanforderungen genügende Organisation vorhanden ist:
Verwendung der heyData-Plattform zum Datenschutz-Management
Bestellung des Datenschutzbeauftragten heyData
Verpflichtung der Mitarbeiter auf das Datengeheimnis
Regelmäßige Schulungen der Mitarbeiter im Datenschutz
Führen einer Übersicht über Verarbeitungstätigkeiten (Art. 30 DSGVO)
Incident-Response-Management
Folgende Maßnahmen sollen gewährleisten, dass im Fall von Datenschutzverstößen Meldeprozesse ausgelöst werden:
Meldeprozess für Datenschutzverletzungen nach Art. 4 Ziffer 12 DSGVO gegenüber den Aufsichtsbehörden (Art. 33 DSGVO)
Meldeprozess für Datenschutzverletzungen nach Art. 4 Ziffer 12 DSGVO gegenüber den Betroffenen (Art. 34 DSGVO)
Einbindung des Datenschutzbeauftragten in Sicherheitsvorfälle und Datenpannen
Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO)
Die folgenden implementierten Maßnahmen tragen den Voraussetzungen der Prinzipien „Privacy by design“ und „Privacy by default“ Rechnung:
Schulung der Mitarbeiter im „Privacy by design“ und „Privacy by default“
Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind.
Auftragskontrolle
Durch folgende Maßnahmen ist sichergestellt, dass personenbezogene Daten nur entsprechend der Weisungen verarbeitet werden können:
Schriftliche Weisungen an den Auftragnehmer oder Weisungen in Textform (z.B. durch Auftragsverarbeitungsvertrag)
Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags, z.B. durch Anfrage entsprechender Bestätigungen
Bestätigung von Auftragnehmern, dass sie ihre eigenen Mitarbeiter auf das Datengeheimnis verpflichten (typischerweise im Auftragsverarbeitungsvertrag)
Sorgfältige Auswahl von Auftragnehmern (insbesondere hinsichtlich Datensicherheit)