ESW Dev

Executive Summary

Dieses Dokument legt verbindliche Regeln für die Nutzung des ESW-Systems („ESW“) sowie die Verarbeitung personenbezogener Daten im Zusammenhang mit ESW fest. Es dient der rechtssicheren Rahmensetzung gegenüber Nutzenden, administrierenden Stellen und gegebenenfalls eingebundenen Dienstleistenden.

Der Nutzungsregelteil definiert u. a. Zweckbindung, Zugangs- und Authentifizierungsanforderungen, Pflichten der Nutzenden, Verbote missbräuchlicher Nutzung, Betriebsvorbehalte, Protokollierungsvorgaben, Sanktions- und Sperrmechanismen, Haftungsregeln sowie anwendbares Recht und Gerichtsstand (soweit zulässig).

Der Datenschutzteil enthält alle Pflichtinformationen nach Art. 13 und Art. 14 DSGVO (einschließlich Rechtsgrundlagen, Empfängerkategorien, Drittlandtransfers, Speicherdauer, Betroffenenrechten, Beschwerderecht, automatisierten Entscheidungen), Anforderungen an Sicherheit der Verarbeitung (Art. 32 DSGVO), Umgang mit Datenschutzverletzungen (Art. 33/34 DSGVO), Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO), Datenschutz-Folgenabschätzung (Art. 35 DSGVO), Benennung des Datenschutzbeauftragten (Art. 37 DSGVO; BDSG §5) sowie Regeln zu Cookies und Endgerätespeicherung (TTDSG §25).

Dokumentenrahmen und Begriffe

Rangfolge, Ergänzungen, Vorrangregelungen

1. Dieses Dokument gilt für alle Nutzenden von ESW. Es gilt ergänzend zu vorrangigen dienstlichen, organisatorischen oder vertraglichen Regelungen (z. B. Dienstanweisungen, Sicherheitsrichtlinien, Geheimschutz-/Verschlusssachenregelungen, Projekt- und Betriebsvereinbarungen). Soweit vorrangige Regelungen strengere Anforderungen vorsehen, gehen diese vor.
2. Soweit ESW im Rahmen hoheitlicher Aufgabenerfüllung betrieben wird, bleiben einschlägige Vorgaben des öffentlichen Rechts unberührt, insbesondere zur Amtsverschwiegenheit, Aktenführung und Nachweisführung.
3. Dieses Dokument ist als Muster zu verstehen und vor Inkraftsetzung rechtlich, datenschutzfachlich und technisch zu finalisieren; insbesondere sind alle Platzhalter auszufüllen („Platzhalter auszufüllen“).

Begriffsbestimmungen

1. ESW: IT-System zur Unterstützung von Planung, Durchführung, Dokumentation und Auswertung einsatz- oder projektbezogener Aufgaben, einschließlich zugehöriger Clients und Schnittstellen.
2. Betreiber / verantwortliche Stelle: Stelle, die über Zwecke und Mittel der Verarbeitung im Zusammenhang mit ESW entscheidet (DSGVO Art. 4 Nr. 7; DSGVO Art. 24).
3. Nutzende: Personen, denen der Betreiber die Nutzung von ESW gestattet hat (z. B. Beschäftigte, Beauftragte, ehrenamtlich Tätige, externe Nutzende im Rahmen definierter Rollen).
4. Administrierende: Nutzende mit erweiterten Berechtigungen (z. B. Rollenverwaltung, Konfiguration, Betrieb, Sicherheitsmonitoring).
5. Personenbezogene Daten: Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (DSGVO Art. 4 Nr. 1).
6. Verarbeitung: Jeder Vorgang im Zusammenhang mit personenbezogenen Daten (DSGVO Art. 4 Nr. 2).
7. Auftragsverarbeiter: Stelle, die personenbezogene Daten im Auftrag des Betreibers verarbeitet (DSGVO Art. 28).
8. Protokolldaten (Logs): Technisch oder fachlich erzeugte Ereignis- und Nachvollziehbarkeitsdaten (z. B. Authentifizierungsereignisse, sicherheitsrelevante Audit-Events, Fehlerlogs).

Nutzungsbedingungen

Zweckbindung und zulässige Nutzung

1. ESW darf ausschließlich zur Erfüllung der vorgesehenen Aufgaben genutzt werden, nämlich zur Unterstützung von Planung, Durchführung, Dokumentation und Auswertung im Rahmen der Softwareentwicklung der ESW. Eine Nutzung für private, kommerzielle oder sachfremde Zwecke ist untersagt, soweit nicht ausdrücklich schriftlich genehmigt.
2. Nutzende dürfen ESW nur im Rahmen ihrer zugewiesenen Rollen und Berechtigungen nutzen. Jede Überschreitung von Berechtigungen, Umgehung von Zugriffsbeschränkungen oder testweiser Zugriff auf fremde Daten ohne ausdrückliche Berechtigung ist untersagt.
3. Sofern ESW Schnittstellen (API) bereitstellt, ist automatisierte Nutzung nur innerhalb der bereitgestellten technischen Grenzen und dokumentierten Zwecke zulässig. Der Betreiber ist berechtigt, Quoten, Rate-Limits, Scopes, Key-Rotation, IP-Bindungen und weitere Schutzmaßnahmen festzulegen und durchzusetzen.

Registrierung, Authentifizierung, Kontosicherheit

1. Der Zugang zu ESW erfolgt personalisiert. Sammel- oder Gruppenkonten sind unzulässig, soweit nicht für klar definierte technische Service-Konten ausnahmsweise genehmigt und organisatorisch verantwortet.
2. Nutzende haben Zugangsdaten geheim zu halten und vor Zugriff Dritter zu schützen. Zugangsdaten dürfen nicht weitergegeben, gemeinsam genutzt oder unverschlüsselt gespeichert werden.
3. Bei Verdacht auf Kompromittierung (z. B. Phishing, Malware, Verlust eines Tokens, Geräteverlust) ist unverzüglich der Supportkontakt zu informieren. Der Betreiber ist berechtigt, betroffene Konten oder Tokens ohne Vorankündigung zu sperren, zurückzusetzen oder zu rotieren, soweit dies zur Gefahrenabwehr erforderlich ist.
4. Der Betreiber kann die Nutzung von Multi-Faktor-Authentifizierung, Gerätebindung oder weiteren Sicherheitsmaßnahmen vorschreiben. Ausnahmen sind zu dokumentieren und zu begründen.

Pflichten der Nutzenden

1. Rechts- und Regelkonformität: Nutzende haben geltendes Recht sowie interne Regelungen einzuhalten. Insbesondere sind Datenschutz, Geheimhaltung, Urheberrecht, straf- und dienstrechtliche Vorgaben zu beachten.
2. Datenminimierung und Erforderlichkeit: Es dürfen nur solche Inhalte eingestellt oder verarbeitet werden, die für den jeweiligen Zweck erforderlich sind (DSGVO Art. 5 Abs. 1 lit. c).
3. Sorgfalt und Datenqualität: Nutzende sollen sachlich richtige, aktuelle und erforderliche Angaben machen. Erkennbar fehlerhafte oder nicht mehr erforderliche Inhalte sind nach Maßgabe der jeweiligen Aufgabenlage zu berichtigen oder als obsolet zu kennzeichnen.
4. Schutzbedarf und Geheimhaltung: Inhalte mit erhöhtem Schutzbedarf (z. B. Sicherheitskonzepte, operative Details, personenbezogene Daten besonderer Kategorien, interne Ermittlungsdaten) dürfen nur verarbeitet werden, wenn ESW dafür vorgesehen und die Verarbeitung rechtlich zulässig ist; gegebenenfalls sind zusätzliche Schutzmaßnahmen und Freigaben erforderlich (DSGVO Art. 9; BDSG §22).
5. Sicheres Arbeiten: Nutzende haben Endgeräte angemessen abzusichern (z. B. Bildschirmsperre, aktuelle Sicherheitsupdates, Schutz vor unberechtigtem Zugriff). Nutzung in unsicheren Umgebungen (z. B. öffentliche Terminals) ist untersagt, sofern nicht ausdrücklich abgesichert.

Unzulässige Nutzung und Schutz der Systemintegrität

1. Untersagt sind insbesondere:
   • Einbringen rechtswidriger, beleidigender, diskriminierender, hetzerischer oder sicherheitsgefährdender Inhalte,
   • Umgehung technischer Schutzmaßnahmen oder Manipulation von Konfigurationen ohne Berechtigung,
   • Erstellung oder Nutzung von Tools zum Ausnutzen von Schwachstellen,
   • Störung der Verfügbarkeit (z. B. Lasttests ohne Genehmigung, Denial-of-Service-ähnliche Aktivitäten),
   • unautorisierte Schnittstellen- oder Datenabgriffe, Scraping außerhalb dokumentierter Zwecke.
2. Der Betreiber ist berechtigt, technische und organisatorische Schutzmaßnahmen einzusetzen (z. B. IDS/IPS, Rate-Limits, WAF, automatisierte Sperren), soweit erforderlich und verhältnismäßig.

Inhalte, Rechte, Verantwortlichkeiten

1. Nutzende sind für die Rechtmäßigkeit der von ihnen eingestellten Inhalte verantwortlich. Insbesondere dürfen keine Rechte Dritter verletzt werden (z. B. urheberrechtlich geschützte Inhalte ohne Berechtigung).
2. Soweit Nutzende Inhalte in ESW einstellen, räumen sie dem Betreiber ein einfaches, zweckgebundenes Nutzungsrecht ein, diese Inhalte zur Bereitstellung, Sicherung, Wiederherstellung, Protokollierung (Metadaten) und Bereitstellung an berechtigte Nutzende zu speichern, zu verarbeiten und darzustellen.
3. Der Betreiber ist berechtigt, Inhalte zu sperren, einzuschränken oder zu entfernen, wenn dies zur Einhaltung von Recht, Zweckbindung, Sicherheitsanforderungen oder organisatorischen Vorgaben erforderlich ist. Soweit möglich, erfolgt eine Information der betroffenen Nutzenden.

Betrieb, Verfügbarkeit, Änderungen, Support

1. ESW wird im Rahmen der verfügbaren Ressourcen bereitgestellt. Ein Anspruch auf ununterbrochene Verfügbarkeit, bestimmte Reaktionszeiten oder Fehlerfreiheit besteht nicht.
2. Wartungsarbeiten, Sicherheitsupdates, Weiterentwicklungen sowie Maßnahmen zur Abwehr von Sicherheitsvorfällen können zu temporären Einschränkungen führen.
3. Der Betreiber darf Funktionen ändern, erweitern oder einstellen, wenn dies aus rechtlichen, organisatorischen, technischen oder sicherheitsrelevanten Gründen erforderlich ist. Wesentliche Änderungen sollen vorab in geeigneter Weise angekündigt werden, soweit dies mit Sicherheitsinteressen vereinbar ist.
4. Support erfolgt über das Ticketsystem von Gitlab. Sicherheitsvorfälle sind als solche zu kennzeichnen und unverzüglich zu melden.

Protokollierung, Nachvollziehbarkeit, Kontrollen

1. Zur Aufrechterhaltung der IT-Sicherheit, zur Störungsbeseitigung, zur Missbrauchsabwehr sowie zur Nachvollziehbarkeit sicherheitsrelevanter Vorgänge werden Ereignisse protokolliert (DSGVO Art. 32; BSI Mindeststandard Protokollierung).
2. Protokolldaten werden zweckgebunden verarbeitet. Eine dauerhafte Leistungs- oder Verhaltenskontrolle ist nicht Zweck der Protokollierung. Anlassbezogene Auswertungen können erfolgen, wenn dies zur Aufklärung von Sicherheitsvorfällen, schweren Regelverstößen oder zur Wahrnehmung rechtlicher Pflichten erforderlich ist (DSGVO Art. 5; DSGVO Art. 6).
3. Zugriff auf Protokolldaten erhalten nur hierzu befugte Personen nach dokumentiertem Berechtigungskonzept; Zugriffe auf Protokolle sind selbst ebenfalls zu protokollieren (BSI Mindeststandard Protokollierung).

Sanktionen, Sperrung, Entzug von Berechtigungen

1. Bei Verstößen gegen diese Nutzungsbedingungen oder bei Sicherheitsrisiken kann der Betreiber Maßnahmen ergreifen, insbesondere:
   • Hinweis/Verwarnung,
   • temporäre Sperrung,
   • Entzug einzelner Berechtigungen,
   • vollständiger Entzug des Zugangs,
   • Einleitung organisatorischer oder rechtlicher Schritte.
2. Maßnahmen werden nach Verhältnismäßigkeit und Risikolage festgelegt. Bei akuter Gefahrenlage kann eine sofortige Sperrung ohne Vorankündigung erfolgen.

Haftung

1. Der Betreiber haftet nach den gesetzlichen Vorschriften, soweit nachfolgend keine zulässige Beschränkung greift.
2. Unbeschränkte Haftung besteht für Vorsatz, grobe Fahrlässigkeit sowie für Schäden aus der Verletzung von Leben, Körper oder Gesundheit.
3. Bei leichter Fahrlässigkeit haftet der Betreiber nur bei Verletzung wesentlicher Pflichten und beschränkt auf den vertragstypischen, vorhersehbaren Schaden, soweit eine solche Beschränkung rechtlich zulässig ist.
4. Im Übrigen ist die Haftung, soweit rechtlich zulässig, ausgeschlossen, insbesondere für mittelbare Schäden, Folgeschäden und entgangenen Gewinn.
5. Soweit ESW im Rahmen hoheitlicher Tätigkeit bereitgestellt wird, bleiben Regelungen zur Amtshaftung unberührt.

Anwendbares Recht, Gerichtsstand, salvatorische Klausel

1. Es gilt deutsches Recht, soweit nicht zwingende kollisionsrechtliche Vorschriften entgegenstehen.
2. Gerichtsstand ist, soweit rechtlich zulässig, Saarbrücken.
3. Sollte eine Bestimmung dieses Dokuments ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt eine rechtlich zulässige Regelung, die dem wirtschaftlichen und rechtlichen Zweck am nächsten kommt.

Datenschutzhinweise

Verantwortlicher, Datenschutzbeauftragte oder Datenschutzbeauftragter, Kontakt

1. Verantwortlicher: Dirk Blanckenhorn Postanschrift (ladungsfähige Anschrift): In der Himes 12, 66265 Heusweiler, Deutschland E-Mail: kontakt [at] esw-dev [dot] de

2. Datenschutzbeauftragte oder Datenschutzbeauftragter: Für dieses private Open-Source-Projekt ist derzeit keine Datenschutzbeauftragte bzw. kein Datenschutzbeauftragter benannt. Sofern eine Benennung gesetzlich erforderlich wird, wird dies an dieser Stelle veröffentlicht. Datenschutzanfragen richten Sie bitte an: Dirk Blanckenhorn — kontakt [at] esw-dev [dot] de

Pflichtinformationen bei Direkterhebung (Art. 13 DSGVO)

Die nachfolgenden Informationen gelten für personenbezogene Daten, die unmittelbar bei Ihnen erhoben werden (DSGVO Art. 13).

Kontext (privat betriebenes Open-Source-Projekt): ESW wird als privates, Open-Source-Projekt betrieben. ESW ist keine öffentliche Stelle; eine Rechtsgrundlage nach Art. 6 Abs. 1 lit. e DSGVO (Wahrnehmung einer Aufgabe im öffentlichen Interesse/hoheitliche Aufgaben) wird daher regelmäßig nicht herangezogen. Maßgeblich sind insbesondere das Nutzungsverhältnis (Art. 6 Abs. 1 lit. b DSGVO) sowie berechtigte Interessen des Projektbetriebs (Art. 6 Abs. 1 lit. f DSGVO).

1. Zwecke der Verarbeitung:

   • Bereitstellung und Betrieb von ESW einschließlich Nutzer- und Rollenverwaltung (Account-Lifecycle, Berechtigungsmanagement, Projekt-/Teamzuordnungen).
   • Authentifizierung, Autorisierung und Sitzungsverwaltung (z. B. SSO/OIDC, Token-Management, MFA-Status, Sitzungs- und Zugriffsschutz).
   • IT-Sicherheit, Missbrauchserkennung, Angriffserkennung und Incident Response (z. B. Erkennung ungewöhnlicher Anmeldeversuche, Brute-Force-Schutz, Rate-Limiting, Blocklisten, forensische Nachvollziehbarkeit).
   • Störungsanalyse, Fehlerbehebung, Kapazitäts- und Betriebssicherung (Monitoring, Debugging, Stabilitäts- und Performance-Optimierung).
   • Community- und Projektbetrieb (z. B. Zusammenarbeit in Vorgängen/ Aufgaben, Nachvollziehbarkeit von Änderungen, Support- und Kommunikationsprozesse), soweit dies zur Bereitstellung der Projektfunktionen erforderlich ist.

2. Rechtsgrundlagen (je Zweck):

   • Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses): Bereitstellung des ESW-Zugangs, Kontoführung, Rollen-/Berechtigungs- administration, Nutzung der Kernfunktionen.
   • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Sicherstellung eines sicheren, funktionsfähigen und manipulationsresistenten Betriebs von ESW (insb. IT-Sicherheit, Protokollierung, Missbrauchsabwehr, Fehleranalyse, Kapazitätsplanung). Das berechtigte Interesse liegt im Schutz des Systems, der Nutzenden und der Projektinfrastruktur; die Interessenabwägung wird dokumentiert.
   • Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung), soweit im Einzelfall einschlägig: Erfüllung gesetzlicher Pflichten, z. B. Beantwortung zulässiger behördlicher Auskunftsersuchen, Erfüllung handels-/steuerrechtlicher Aufbewahrungspflichten bei ggf. vorhandenen Abrechnungs-/Spendenprozessen, sowie Sicherung/Abwehr von Rechtsansprüchen.
   • Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), soweit ausnahmsweise erforderlich: optionale Funktionen, die nicht zur Bereitstellung des ausdrücklich gewünschten Dienstes notwendig sind. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden (DSGVO Art. 7 Abs. 3).
   • Endgerätetechniken/Cookies: Speicherung von Informationen auf Ihrem Endgerät oder Zugriff darauf erfolgt nach Maßgabe von § 25 TDDDG (Einwilligung; Ausnahme für unbedingt erforderliche Vorgänge).

3. Kategorien personenbezogener Daten (Beispiele):

   • Stammdaten: Vor- und Nachname; Benutzerkennung; Organisations-/Teamzuordnungen; Kontostatus.
   • Kontaktdaten: E-Mail-Adresse (regelmäßig erforderlich); optional weitere Kontaktdaten (z. B. Telefonnummer), sofern von Ihnen bereitgestellt.
   • Authentifizierungs- und Sitzungsdaten: Login-/Logout-Zeitpunkte; MFA-Status; Token-Metadaten (z. B. Token-ID, Laufzeit, Client, Scope); Sitzungskennungen; Sicherheitsmetadaten wie IP-Adresse und User-Agent, soweit für Sicherheit und Betrieb erforderlich.
   • Rollen- und Berechtigungsdaten: Rollen/Gruppen/Scopes; Freigaben; Berechtigungsänderungen inkl. Zeitpunkt und verantwortlicher Administrationskennung.
   • Nutzungs- und Zugriffsdaten: funktions-/ereignisbezogene Nutzung in erforderlichem Umfang (z. B. aufgerufene Endpunkte zur Fehleranalyse oder Sicherheitsdetektion), Clienttyp (Web/Mobile/CLI/API).
   • Protokoll- und Sicherheitsdaten: Audit-Events, Fehlermeldungen, sicherheitsrelevante Ereignisse (z. B. Fehlanmeldeserien, Rate-Limit-Verstöße).
   • Inhalts- und Fachdaten: Inhalte, die Sie im Rahmen der Nutzung einstellen (z. B. Aufgaben, Vorgänge, Kommentare, Anhänge, Metadaten), abhängig von den aktivierten Modulen.

4. Empfänger oder Kategorien von Empfängern:

   • Interne Empfänger: Projektadministration, Betrieb/Plattform-Team, IT-Sicherheit, Support, jeweils nach Rollen-/Berechtigungskonzept und Need-to-know.
   • Andere Nutzende innerhalb von ESW: Soweit ESW kollaborativ genutzt wird, können bestimmte Inhalte (z. B. Aufgaben, Kommentare, Status- informationen) für andere berechtigte Nutzende sichtbar sein. Sichtbarkeit richtet sich nach Rollen, Projekträumen und Freigaben.
   • Externe Empfänger (Auftragsverarbeitung): Hosting-/Betriebs- dienstleistende (z. B. Rechenzentrum/VM-Hosting), Backup- und Monitoring-Dienstleistende, E-Mail-Transport, jeweils nur bei Erforderlichkeit und auf Grundlage eines Vertrags zur Auftragsverarbeitung (DSGVO Art. 28).
   • Sonstige Empfänger: Behörden/öffentliche Stellen nur, soweit eine gesetzliche Verpflichtung besteht oder eine zulässige Rechtsgrundlage greift (z. B. Art. 6 Abs. 1 lit. c DSGVO).

5. Drittlandübermittlungen:

   • ESW ist darauf ausgelegt, Verarbeitung innerhalb der EU/des EWR vorzunehmen. Drittlandübermittlungen finden grundsätzlich nicht statt.
   • Sofern im Einzelfall Drittlandübermittlungen erforderlich werden (z. B. durch Support-/Infrastrukturkomponenten), erfolgen sie nur unter den Voraussetzungen der Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss oder Standarddatenschutzklauseln) und nach dokumentierter Prüfung.

6. Speicherdauer bzw. Kriterien:

   • Kontodaten/Stammdaten: für die Dauer des aktiven Nutzerkontos; nach Deaktivierung regelmäßig 90 Tage, sofern keine längeren Pflichten oder Vorfallsachverhalte entgegenstehen.
   • Authentifizierungs- und Sitzungslogs: regelmäßig 180 Tage.
   • Audit-Logs (z. B. Rollen-/Berechtigungsänderungen): regelmäßig 24 Monate.
   • Backups/Wiederherstellungspunkte: regelmäßig 30 bis 90 Tage.
   • Verbindliche Speicher- und Löschfristen ergeben sich aus dem Löschkonzept/Retention-Policy (DSGVO Art. 5 Abs. 1 lit. e; DSGVO Art. 13 Abs. 2 lit. a).

7. Ihre Rechte (Übersicht; Details siehe „Betroffenenrechte“):

   • Auskunft (DSGVO Art. 15), Berichtigung (DSGVO Art. 16), Löschung (DSGVO Art. 17), Einschränkung (DSGVO Art. 18), Datenübertragbarkeit (DSGVO Art. 20), Widerspruch (DSGVO Art. 21), Schutz vor ausschließlich automatisierten Entscheidungen (DSGVO Art. 22).

8. Beschwerderecht:

   • Sie haben das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde (DSGVO Art. 77) sowie auf gerichtlichen Rechtsbehelf (DSGVO Art. 79).
   • Zuständig ist in der Regel die Datenschutzaufsichtsbehörde des Bundeslands, in dem der Verantwortliche seinen Sitz bzw. Wohnsitz hat. Beispiel (sofern Sitz in NRW): Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

9. Pflicht zur Bereitstellung der Daten und Folgen der Nichtbereitstellung:

   • Für die Kontoerstellung und Nutzung sind mindestens eine Benutzerkennung, ein gültiger Vor- und Nachname und eine E-Mail-Adresse erforderlich (u. a. Authentifizierung, Kommunikation, Sicherheitsmeldungen).
   • Ohne diese Daten sind Kontoerstellung, Zugang und Nutzung der Kernfunktionen nicht möglich (DSGVO Art. 13 Abs. 2 lit. e).

10. Automatisierte Entscheidungen einschließlich Profiling:

• ESW trifft keine ausschließlich automatisierten Entscheidungen im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.
• ESW kann jedoch automatisierte Sicherheitsmaßnahmen einsetzen (z. B. temporäre Sperre nach wiederholten Fehlanmeldungen, Rate-Limiting, Blockierung auffälliger Tokens) zur Abwehr von Angriffen und zur Sicherstellung der Systemintegrität; diese Maßnahmen sind überprüfbar und können durch die zuständige Administration aufgehoben werden.

Pflichtinformationen bei indirekter Erhebung (Art. 14 DSGVO)

Wenn personenbezogene Daten nicht unmittelbar bei uns erhoben werden, erhält der Verantwortliche diese Daten regelmäßig aus zentralen Identitäts- und Organisationsverzeichnissen sowie aus Berechtigungs- und Zuständigkeitsquellen der zuständigen Organisationseinheit. Hierzu zählen insbesondere der angebundenen Identity-Provider (z. B. Verzeichnisdienst/SSO), interne Organisations- und Rollenverzeichnisse, sowie Freigabe- und Berechtigungsmitteilungen durch zuständige Stellen. In diesem Zusammenhang werden insbesondere Identifikations- und Kontaktdaten (z. B. Name, Benutzerkennung, dienstliche E-Mail-Adresse), Organisationszuordnungen (z. B. Einheit, Funktion), sowie rollen- und berechtigungsbezogene Informationen verarbeitet, soweit dies für die Einrichtung, Verwaltung und fortlaufende Aktualisierung Ihres Benutzerkontos sowie für die Erfüllung der unter „Zwecke der Verarbeitung“ genannten Aufgaben erforderlich ist. Die Unterrichtung nach Art. 14 DSGVO erfolgt spätestens innerhalb eines Monats nach erstmaliger Übernahme der Daten in ESW-DEV; sofern die Daten zur Kommunikation mit Ihnen verwendet werden, erfolgt die Unterrichtung spätestens zum Zeitpunkt der ersten Kontaktaufnahme, und sofern eine Offenlegung gegenüber Dritten erfolgt, spätestens zum Zeitpunkt der ersten Offenlegung, soweit nicht ausnahmsweise eine der Voraussetzungen des Art. 14 Abs. 5 DSGVO vorliegt.

Cookies, Endgerätespeicherung und vergleichbare Technologien

1. ESW kann technisch erforderliche Informationen auf Endgeräten der Nutzenden speichern oder auslesen (z. B. Session-IDs, Sicherheits-Tokens, Spracheinstellungen), soweit dies unbedingt erforderlich ist, um den ausdrücklich gewünschten Telemediendienst bereitzustellen (TTDSG §25 Abs. 2).
2. Jede darüber hinausgehende Speicherung oder jedes Auslesen (z. B. Komfort- oder Statistikfunktionen, soweit nicht unbedingt erforderlich) erfolgt nur mit wirksamer Einwilligung (TTDSG §25 Abs. 1) und unter Beachtung der Anforderungen an Einwilligungen (DSGVO Art. 7; DSGVO Art. 4 Nr. 11).

Protokollierung, Audit-Logs, Sicherheitsmonitoring

1. Protokollierung erfolgt zur Gewährleistung der IT-Sicherheit, zur Störungsbeseitigung, zur Missbrauchsabwehr sowie zur Nachvollziehbarkeit administrativer und sicherheitsrelevanter Vorgänge (DSGVO Art. 32; BSI Mindeststandard Protokollierung).

2. Protokolle können insbesondere umfassen:

   • Authentifizierung (Erfolg/Misserfolg, Zeitpunkt, technische Metadaten),
   • Berechtigungsänderungen und administrative Aktionen,
   • sicherheitskritische Zugriffe und Konfigurationsänderungen,
   • Systemfehler und Integrationsfehler,
   • API-Requests in sicherheitsrelevantem Umfang (z. B. Rate-Limit-Verstöße, Schlüsselrotation).

3. Protokolldaten werden gegen Manipulation geschützt, Zugriff wird restriktiv vergeben und selbst protokolliert. Aufbewahrungsfristen sind festzulegen und zu begrenzen (DSGVO Art. 5; DSGVO Art. 32).

Empfänger, Auftragsverarbeiter, gemeinsame Verantwortlichkeit

1. Interne Empfänger: Zugriff auf personenbezogene Daten erhalten nur hierzu berechtigte Personen innerhalb ESW-DEV, entsprechend dokumentiertem Rollen- und Berechtigungskonzept (DSGVO Art. 5; DSGVO Art. 32).
2. Auftragsverarbeiter: Externe Dienstleistende verarbeiten personenbezogene Daten nur auf Grundlage eines Vertrags zur Auftragsverarbeitung (DSGVO Art. 28).
3. Gemeinsame Verantwortlichkeit: Sofern mehrere Stellen Zwecke und Mittel gemeinsam festlegen, wird eine Vereinbarung nach Art. 26 DSGVO abgeschlossen und den Betroffenen in ihren wesentlichen Inhalten zur Verfügung gestellt (DSGVO Art. 26).

Drittlandübermittlungen und internationale Zugriffe

1. Drittlandübermittlungen finden nur statt, wenn die Voraussetzungen nach Art. 44 ff. DSGVO erfüllt sind (DSGVO Art. 44).
2. Bei Fernzugriffen aus dem Ausland (z. B. Dienstreisen) sind die Risiken zu bewerten und in Sicherheitsvorgaben abzubilden; dies ersetzt keine Drittlandtransfer-Prüfung, kann aber zusätzliche Schutzmaßnahmen erforderlich machen (DSGVO Art. 32).

Sicherheit der Verarbeitung (TOM)

1. Der Betreiber setzt geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau sicherzustellen (DSGVO Art. 32), insbesondere:

   • Zugriffskontrolle, Rollenkonzepte, Least-Privilege, Need-to-know,
   • Authentifizierungsschutz (MFA, Passwort-Policies, Key-Management),
   • Verschlüsselung bei Übertragung und Speicherung, soweit angemessen,
   • Protokollierung, Detektion und Incident-Response-Prozesse,
   • Backup- und Wiederherstellungsprozesse,
   • Patch- und Schwachstellenmanagement,
   • Berechtigungskontrollen für Administratorinnen und Administratoren,
   • Regelmäßige Evaluierung und Wirksamkeitskontrollen.

2. Der Stand der Technik und behördliche Sicherheitsstandards sind zu berücksichtigen, soweit einschlägig (BSI Mindeststandard Protokollierung; BSI IT-Grundschutz).

Datenschutzverletzungen (Breach) und Benachrichtigungen

1. Verletzungen des Schutzes personenbezogener Daten werden nach dokumentiertem Incident-Response-Prozess bewertet und behandelt (DSGVO Art. 33; DSGVO Art. 34).
2. Meldungen an die Aufsichtsbehörde erfolgen, soweit erforderlich, unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden (DSGVO Art. 33).
3. Benachrichtigungen betroffener Personen erfolgen, soweit erforderlich, bei hohem Risiko für Rechte und Freiheiten (DSGVO Art. 34), es sei denn, eine Ausnahme greift (z. B. nachträgliche Risikobeseitigung durch wirksame Maßnahmen).
4. Zuständigkeiten, Meldewege und Entscheidungskompetenzen sind organisatorisch festgelegt.

Betroffenenrechte, Verfahren, Fristen

1. Betroffenenrechte werden nach Maßgabe der DSGVO gewährt (DSGVO Art. 12; DSGVO Art. 15 bis 22). Anträge sind an kontakt at esw-dev.de zu richten.
2. Identitätsprüfung: Zur Vermeidung unberechtigter Auskünfte kann eine geeignete Identitätsprüfung verlangt werden (DSGVO Art. 12 Abs. 6).
3. Fristen und Dokumentation: Bearbeitung erfolgt grundsätzlich binnen eines Monats; Verlängerungen werden begründet (DSGVO Art. 12 Abs. 3).
4. Einschränkungen: Rechte können im gesetzlich zulässigen Rahmen eingeschränkt sein (z. B. bei überwiegenden Schutzinteressen, gesetzlichen Geheimhaltungspflichten, IT-Sicherheitsanforderungen), soweit einschlägig und dokumentiert.

Verzeichnis von Verarbeitungstätigkeiten, DPIA und datenschutzfreundliche Voreinstellungen

1. Der Betreiber führt ein Verzeichnis der Verarbeitungstätigkeiten und hält dieses aktuell (DSGVO Art. 30).
2. Vor Einführung wesentlicher neuer Funktionen oder Datenkategorien ist zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist (DSGVO Art. 35); Ergebnis und Maßnahmen sind zu dokumentieren (Platzhalter auszufüllen): [DPIA-Verfahren/Checkliste].
3. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen sind zu berücksichtigen (DSGVO Art. 25).

Speicher- und Löschkonzept

Grundsätze

1. Personenbezogene Daten werden nur so lange gespeichert, wie dies für die genannten Zwecke erforderlich ist und solange keine gesetzlichen Aufbewahrungspflichten entgegenstehen (DSGVO Art. 5 Abs. 1 lit. e; DSGVO Art. 13/14).
2. Konkrete Fristen wurden verbindlich im Löschkonzept festgelegt.
3. Technisch bedingte Restbestände (z. B. Backups, Replikate) sind im Löschkonzept dargestellt; für diese sind angemessene, begrenzte Aufbewahrungsfristen und Zugriffsbeschränkungen festgelegt.

Verwendete Standard-Aufbewahrungsfristen

Governance, Barrierefreiheit, Versionierung und Kontrollen

Barrierefreiheit

1. ESW-DEV soll nach Maßgabe der jeweils einschlägigen Barrierefreiheitsanforderungen gestaltet und betrieben werden.
2. Sofern eine Erklärung zur Barrierefreiheit erforderlich ist, ist diese in geeigneter Form bereitzustellen und aktuell zu halten.

Rollen, Dokumentation, Kontrollen

1. Der Betreiber stellt klare Rollen und Verantwortlichkeiten sicher (z. B. fachliche Verantwortung, Betrieb, Informationssicherheit, Datenschutz, Incident Response). Diese sind dokumentiert (DSGVO Art. 24; DSGVO Art. 32).
2. Regelmäßige Reviews sind festgelegt: Berechtigungsreviews, Protokoll- und Alarmkategorien, Retention-Check, DPIA-Trigger, Sicherheitsmaßnahmen (BSI Mindeststandard Protokollierung; DSGVO Art. 32; DSGVO Art. 35).
3. Änderungen am System (Konfiguration, Berechtigungskonzepte, Integrationen) unterliegen einem Change-Management mit Freigaben, Protokollierung und Rollback-Verfahren (BSI IT-Grundschutz; DSGVO Art. 25/32).

Rechtsquellen

• Datenschutz-Grundverordnung: Informationspflichten (DSGVO Art. 13/14), Grundsätze (DSGVO Art. 5), Rechtsgrundlagen (DSGVO Art. 6/7), Betroffenenrechte (DSGVO Art. 12 und 15-22), Auftragsverarbeitung (DSGVO Art. 28), Verzeichnis (DSGVO Art. 30), Sicherheit (DSGVO Art. 32), Datenschutzverletzungen (DSGVO Art. 33/34), DPIA (DSGVO Art. 35), DSB (DSGVO Art. 37), Beschwerde/Rechtsbehelfe (DSGVO Art. 77-79).
• Bundesdatenschutzgesetz: Datenschutzbeauftragte oder Datenschutzbeauftragter (BDSG §5), Verarbeitung besonderer Kategorien (BDSG §22, soweit einschlägig).
• Telekommunikation-Telemedien-Datenschutz-Gesetz: Speicherung und Zugriff auf Endgeräte (TTDSG §25).
• BSI-orientierte Sicherheitsvorgaben: Protokollierung und Detektion (BSI Mindeststandard Protokollierung), weitere Anforderungen nach Stand der Technik (BSI IT-Grundschutz).