DSGVO-Konformität

1. Präambel

Auch wenn diese Verpflichtung in der DSGVO nicht formal festgeschrieben ist, ist es unverzichtbar, dass Software, Programme oder andere Anwendungen (sprachlich vereinfacht „Produkt” genannt) ihren Nutzern (Unternehmen oder öffentliche Akteure) die Einhaltung der durch die DSGVO gestellten Pflichten ermöglichen.

Man kann 3 Arten von Anforderungen unterscheiden:

Anforderungen an das Produkt selbst;
Anforderungen an die Nutzung des Produkts;
Anforderungen an die Sicherheit des Produkts.

Es wird klargestellt, dass Sie als Kroqi-Kunde Verantwortlicher im Sinne der DSGVO sind und den Anforderungen dieses Referenzrahmens direkt entsprechen müssen.

Das vorliegende Dokument stellt die Liste dieser Anforderungen dar und erläutert, wie Kroqi es Ihnen ermöglicht, ihnen zu entsprechen.

2. Punkte zum Produkt

Es handelt sich im Wesentlichen um interne Anforderungen, die mit dem Produkt selbst verbunden sind.

2.1 Aktualisierung der Daten

Art. 16 DSGVO: Recht auf Berichtigung: „Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger personenbezogener Daten, auch mittels einer ergänzenden Erklärung, zu verlangen.”
Antwort Kroqi: Jeder Kroqi-Nutzer kann jederzeit seine personenbezogenen Daten ändern und berichtigen (Bereich Mein Konto) und erhält eine Bestätigungsmeldung über die Speicherung seiner Änderungen.

2.2 Zugriff und Kopie der Daten

Art. 15.1 DSGVO: Auskunftsrecht der betroffenen Person
„Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden (…)”
Art. 15.3 DSGVO: Recht auf Kopie
„Der Verantwortliche stellt eine Kopie der personenbezogenen Daten zur Verfügung, die Gegenstand der Verarbeitung sind. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.”
Antwort Kroqi
Auskunftsrecht der betroffenen Person: Die Datenschutzrichtlinie listet die von Kroqi durchgeführten Verarbeitungen personenbezogener Daten auf. Der Verantwortliche kann dieses Dokument jederzeit einer Person übermitteln, die dieses Recht ausüben möchte.
Recht auf Kopie: Die Daten, die für eine Verarbeitung genutzt werden können, sind diejenigen, die im Bereich Mein Konto angezeigt werden (für den Endnutzer zugänglich, änderbar und kopierbar).

2.3 Datenübertragbarkeit

Art. 20 DSGVO: Recht auf Datenübertragbarkeit: „Die betroffene Person hat das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und sie hat das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch den Verantwortlichen, dem die personenbezogenen Daten bereitgestellt wurden, zu übermitteln…”
Antwort Kroqi
Kroqi bietet eine Exportfunktion für alle mit einem Nutzer verbundenen Aktivitäten und ermöglicht die Kopie der personenbezogenen Daten aus dem Bereich Mein Konto.

2.4 Vollständige oder teilweise Löschung

Art. 5 e) DSGVO: Löschung der Daten nach einer gewissen Frist: „Personenbezogene Daten müssen in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden (Speicherbegrenzung);”
Antwort Kroqi
Die Aufbewahrungsdauer der personenbezogenen Daten übersteigt nicht die für die Zwecke der Verarbeitung notwendige Dauer (transparente Teamarbeit, Projektmanagement, Nachvollziehbarkeit).
Wenn ein Kroqi-Konto gelöscht wird (die Zwecke der Verarbeitung sind hinfällig geworden), werden alle personenbezogenen Daten der Nutzer dieses Kontos innerhalb von 30 Tagen nach der Löschung des Kontos ebenfalls gelöscht.

2.5 Einschränkung

Art. 18 DSGVO: Recht auf Einschränkung der Verarbeitung:
1. Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:
  a) die Richtigkeit der personenbezogenen Daten von der betroffenen Person bestritten wird, und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen;
  b) die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der personenbezogenen Daten ablehnt und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangt;
  c) der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt;
  d) die betroffene Person Widerspruch gegen die Verarbeitung gemäß Artikel 21 Absatz 1 eingelegt hat, solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.
  Der Begriff der „Einschränkung” wird in Artikel 4 „Begriffsbestimmungen” der DSGVO erläutert: „Einschränkung der Verarbeitung” die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken”
Antwort Kroqi
Kroqi kann auf einfache schriftliche Anfrage des Kunden (Verantwortlicher) an dpo-wimi@racine.eu eine Einschränkung der Verarbeitung umsetzen, unter Angabe der Art der gewünschten Einschränkung, der betroffenen Verarbeitung(en) und der betroffenen Nutzer.

2.6 Löschung

Art. 17 DSGVO: Recht auf Löschung („Recht auf Vergessenwerden”):
„Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:
a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig;
b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung;
c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe (…) vor.”
Antwort Kroqi
Kroqi verpflichtet sich, die personenbezogenen Daten eines Nutzers, der sein Recht auf Vergessenwerden ausüben möchte, auf einfache schriftliche Anfrage des Kunden (Verantwortlicher) an dpo-wimi@racine.eu unter Angabe der betroffenen Nutzer zu löschen.

2.7 Nutzerkonto

Art. 13 und 14 DSGVO: Information und Zugang zu personenbezogenen Daten:
Werden personenbezogene Daten einer betroffenen Person bei dieser Person erhoben, teilt der Verantwortliche ihr mehrere Informationen mit, darunter:
die Identität und Kontaktdaten des Verantwortlichen (gegebenenfalls seines Vertreters);
die Zwecke der Datenverarbeitung;
die Empfänger der Daten; etc.
Antwort Kroqi
Jeder Nutzer von Kroqi kann unsere Datenschutzrichtlinie auf der Website www.kroqi.fr einsehen, die dem Nutzer alle von der DSGVO geforderten Informationen liefert.

2.8 Einwilligung

Art. 7: Bedingungen für die Einwilligung:
„1. Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung sie betreffender personenbezogener Daten eingewilligt hat.”
Antwort Kroqi
Wird ein neuer Nutzer in einem Kroqi-Konto hinzugefügt, gibt er seine Einwilligung zur Verarbeitung der personenbezogenen Daten, die er in Kroqi hinterlegen wird.

3. Punkte zur Sicherheit

3.1 Sicherheit der Verarbeitung

Artikel 32 „Sicherheit der Verarbeitung”:
legt fest, dass der Verantwortliche (Kunde) und der Auftragsverarbeiter (Dienstleister) geeignete technische und organisatorische Maßnahmen umsetzen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten.
Antwort Kroqi
Der Frontserver verschlüsselt alle externen Verbindungen mit einem Web-Sicherheitsmechanismus (HTTP Strict Transport Security, HSTS). Das schützt unsere Dienste vor aktiven und passiven Netzwerkangriffen (Abhören). Ein „Man-in-the-Middle”-Angreifer hat eine stark reduzierte Fähigkeit, Anfragen und Antworten zwischen einem Nutzer und unseren Webanwendungsservern abzufangen.
Außerdem profitiert Kroqi von einer Netzwerkisolation. Das bedeutet, dass alle Server unserer Infrastruktur innerhalb des Rechenzentrums isoliert und durch dedizierte private Netze verbunden sind.

3.2 Zugangsbedingungen zum Produkt

Erwägungsgrund 57 DSGVO:
„Die Identifizierung sollte die digitale Identifizierung einer betroffenen Person umfassen, beispielsweise mittels eines Authentifizierungsmechanismus wie derselben Kennungen, die die betroffene Person zur Anmeldung beim Online-Dienst des Verantwortlichen verwendet.”
Antwort Kroqi
Kroqi bietet eine verstärkte Authentifizierung über die Aktivierung der Option „Erweiterte Passwortrichtlinie”. In diesem Fall müssen Passwörter folgende Bedingungen erfüllen:
mindestens 8 Zeichen
einen Klein- und einen Großbuchstaben
eine Ziffer oder ein Sonderzeichen
darf nicht bereits verwendet worden sein
Zudem bietet Kroqi eine Authentifizierung über bestehende Identitäten im Unternehmensverzeichnis seiner Kunden via SAML V2. In diesem Fall sind die Kennungen identisch mit denen, die beim Verantwortlichen (Kunden) verwendet werden.

3.3 Zugangsbedingungen zum Produkt

Art. 5 f) DSGVO:
Verarbeitung, die die Sicherheit der Daten gewährleistet, Schutz vor unrechtmäßiger Verarbeitung und vor Verlust
Antwort Kroqi
Kroqi verfügt über Verlaufsprotokolle und Warnmeldungen zur Nachverfolgung verdächtiger Aktivitäten. Der Zugang zu diesen Protokollen ist streng kontrolliert und begrenzt. Generell erfolgen alle Zugriffe auf die Kroqi-Infrastruktur über VPN: nur bestimmte vordefinierte IPs sind autorisiert, einen Tunnel aufzubauen (IP-Whitelist), mithilfe eines RSA-4096-Schlüssels. Dieser Kommunikationstunnel ist dann mit AES-256-CBC verschlüsselt und mit SHA-512 gehasht. Administratoren müssen sich per SSH mit ihrem privaten Schlüssel (ED25519 oder ECDSA), geschützt durch eine Passphrase, authentifizieren. Die von Kroqi genutzten Rechenzentren verfügen über maximale physische Sicherheit. Alle Zugänge zu den Räumlichkeiten sind streng kontrolliert. Zum Schutz vor Eindringlingen und Gefahren sind die Rechenzentren mit Stacheldrahtzäunen gesichert. Bewegungsmelder und Videoüberwachung sind ebenfalls im Dauerbetrieb. Die Aktivität in und außerhalb der Rechenzentrumsgebäude wird auf gesicherten Servern überwacht und aufgezeichnet, und das Überwachungsteam ist 24/7 vor Ort.

3.4 Technische und organisatorische Sicherheit

Art. 32 Abs. 1 DSGVO:
„(…) der Verantwortliche und der Auftragsverarbeiter treffen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (…)”
Erwägungsgrund 39 DSGVO:
„Personenbezogene Daten sollten so verarbeitet werden, dass ihre Sicherheit und Vertraulichkeit angemessen gewährleistet ist, wozu auch gehört, dass unbefugter Zugang zu ihnen und unbefugte Nutzung von ihnen und der zu ihrer Verarbeitung verwendeten Ausrüstung verhindert wird.”
Antwort Kroqi
Die Zahl der Kroqi-Mitarbeitenden mit Zugang zur Infrastruktur ist extrem begrenzt. Diese Personen sind durch eine spezifische Vertraulichkeitsverpflichtung und eine Vertraulichkeitsklausel in ihrem Arbeitsvertrag gebunden.
Alle Zugänge zur Kroqi-Infrastruktur sind streng kontrolliert, überwacht und erfolgen über VPN: nur bestimmte vordefinierte IPs sind autorisiert, einen Tunnel aufzubauen (IP-Whitelist), mithilfe eines RSA-4096-Schlüssels.
Dieser Kommunikationstunnel ist dann mit AES-256-CBC verschlüsselt und mit SHA-512 gehasht.
Administratoren müssen sich anschließend per SSH mit ihrem privaten Schlüssel (ED25519 oder ECDSA), geschützt durch eine Passphrase, authentifizieren.
Die Datenbanken werden alle 3 Stunden gesichert. Die Dateien werden täglich nachts repliziert und gesichert. Die Sicherungsserver sind gesichert, isoliert und nur für die Sicherungsanwendungen zugänglich.

3.5 Verwaltung von Sicherheitslücken

DSGVO-Rahmen: Sicherheitspflicht der DSGVO
Umsetzung
Unsere Infrastruktur stützt sich überwiegend auf Open-Source-Technologien, deren Vorteil es ist, sehr breite Communities von Beitragenden und Nutzern zu bündeln, dank derer Sicherheitslücken schnell entdeckt werden. Wir wenden systematisch alle genehmigten und als stabil betrachteten Sicherheitspatches an.