Frage

Antwort

Verfügt Operations1 über Zertifizierungen zur Informationssicherheit?

Ja, Operations1 wird auditiert und ist nach ISO 27001:2022 zertifiziert.

Wo befinden sich die Rechenzentren, in denen die in Operations1 eingegebenen Daten gespeichert werden?

In den Microsoft-Azure-Rechenzentren der Regionen Europa West sowie Europa Nord für Disaster Recovery.

Gibt es eine mobile Service-App und welche Gerätezugriffe werden benötigt?

Operations1 kann über eine Progressive Web App (PWA) im Browser genutzt werden, ohne dass eine Installation erforderlich ist. Für Nutzer, die eine native Nutzung bevorzugen, stehen zudem eigene Android- und iOS-Apps zur Verfügung. Für die volle Nutzung der Funktionen von Operations1 empfehlen wir den Zugriff auf die Gerätekamera für Videos und Fotos.

Unterstützt Ihre Lösung die Authentifizierung gegen Identity-Management-Systeme für Single Sign-on?

Wir unterstützen Single Sign-on (SSO) über OpenID Connect.

Werden für Infrastrukturadministratoren sichere, eindeutige Passwörter, Zugangstoken oder Zertifikate verwendet?

Das Operations1-Infrastrukturteam nutzt für sämtliche Administrationssoftware eine Zwei-Faktor-Authentifizierung, ein separates VPN für das Servermanagement sowie eindeutige Passwörter, die durch eine Passwortmanagement-Software verwaltet werden.

Wie werden Passwörter auf der Operations1-Plattform gespeichert?

Passwörter werden kryptografisch geschützt gespeichert und übertragen (gehasht mit bcrypt).

Wer hat Zugriff auf die Infrastruktur und Services?

Die Infrastrukturingenieure von Operations1 verwenden auf allen administrativen Portalen und Servern separate persönliche Konten. Das Berechtigungskonzept deckt alle relevanten Ebenen ab und stellt die Einhaltung folgender Prinzipien sicher: Need-to-know-Prinzip, d. h. Zugriffsrechte werden nur an Personen vergeben, die diese Informationen benötigen, sowie Least-Privilege-Prinzip, d. h. Benutzer erhalten nur die für ihre Aufgaben notwendigen Zugriffsrechte.

Welche Passwort-Richtlinie gilt auf der Operations1-Plattform?

Passwortrichtlinien | Operations1

Wie schützen wir Ihre Daten bei Operations1?

Für ruhende Daten (data at rest) werden alle auf die Operations1-Plattform geschriebenen Daten mit 256-Bit-AES verschlüsselt. Zudem wird vor dem Schreiben der Daten ein Virenscan durchgeführt. Zusätzlich prüft eine Web Application Firewall (WAF) alle Anfragen an Operations1 auf die häufigsten Bedrohungen.

Welche TLS-Version und welche Verschlüsselung werden verwendet?

Es wird HTTPS mit TLS 1.2 und TLS 1.3 verwendet, mit RSA 2048-Bit-Schlüssel, SHA256withRSA-Signaturalgorithmus und den folgenden Cipher Suites: TLS 1.3: TLS_AES_128_GCM_SHA256 (0x1301), TLS_AES_256_GCM_SHA384 (0x1302), TLS_CHACHA20_POLY1305_SHA256 (0x1303); TLS 1.2: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f), TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (0xc030), TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (0xcca8).

Gibt es angemessen etablierte Secure-Coding-Praktiken?

Secure Coding erfüllt alle folgenden Anforderungen: Es gibt dokumentierte Anweisungen für sicheres Programmieren auf Basis bewährter Verfahren, einschließlich Fehlerbehandlung, Eingabe- und Ausgabebereinigung sowie weiterer Secure-Coding-Prinzipien (z. B. sichere Funktionen, Session-Management). Verfahren für Code-Check-in und Kompilierung sind dokumentiert. Jeder neue Code durchläuft ein Code Review. Die Secure-Coding-Richtlinien sind allen Mitgliedern des Entwicklungsteams (z. B. Solution Architects, Entwicklern, Administratoren, Testern) zugänglich, und diese erhalten entsprechende Schulungen. Anforderungen an Third-Party-Code sind definiert und werden geprüft. Häufige Sicherheitsprobleme werden durch automatisierte statische Analysetools überprüft.

Nutzt Operations1 Open-Source-Komponenten, und falls ja, wie werden Lizenz-Compliance und Supply-Chain-Sicherheit sichergestellt?

Die Operations1-Software basiert – wie moderne Software häufig – auf vielen Open-Source-Komponenten. Die Lizenz-Compliance wird durch ein Scanner-Tool sichergestellt, das die Codebasis und ihre Abhängigkeiten täglich analysiert und alarmiert, wenn Code mit inkompatiblen Lizenzen erkannt wird oder eine Sicherheitslücke in einer Abhängigkeit vorliegt. Wird eine Schwachstelle gefunden, wird deren Auswirkung auf die Operations1-App bewertet und bei Bedarf so schnell wie möglich ein Fix ausgerollt.

Werden externe Audits der Anwendung auf Sicherheitsrisiken durchgeführt?

Ja. Operations1 strebt an, einmal jährlich einen Penetrationstest durch ein externes Sicherheitsforschungsunternehmen durchführen zu lassen. Die Ergebnisse können auf Anfrage geteilt werden.

Wie werden Produktions- und Nicht-Produktionssysteme im Entwicklungsprozess getrennt?

Operations1 entwickelt in getrennten Umgebungen für Entwicklung, Test und produktive Systeme.

Verfügt das Rechenzentrum über eine ISO-27001-, SOC-2- oder gleichwertige Zertifizierung?

Da Operations1 seinen Cloud-Service auf dem Microsoft Germany Cluster hostet, finden sich Details im Microsoft Trust Portal sowie in der entsprechenden Microsoft-Dokumentation.

Gibt es ein Datenschutzprogramm zur Sicherstellung der DSGVO-Compliance?

Operations1 hat ein umfassendes Datenschutzmanagementsystem eingeführt, einschließlich Richtlinien und Vorgaben für Datenschutz und Informationssicherheit. Operations1 hat einen Datenschutzbeauftragten benannt und ein Datenschutz- und Informationssicherheitsteam definiert. Dieses Team plant, implementiert, bewertet und passt Maßnahmen im Bereich Datenschutz und Informationssicherheit an. Alle Richtlinien und Vorgaben werden regelmäßig im Hinblick auf ihre Wirksamkeit überprüft und angepasst.

Was sind Methode und Häufigkeit solcher Schulungen, und wie wird die Teilnahme überwacht?

Operations1 führt regelmäßig Schulungen und Awareness-Präsentationen zu Datenschutz und Richtlinien für seine Mitarbeitenden durch. Für alle Mitarbeitenden gelten die gesetzlichen Standardvorgaben der DSGVO, die jährlich unterzeichnet werden müssen. Die DSGVO-Schulung wird mindestens einmal jährlich durchgeführt.

Wie ist der Prozess ausgestaltet und wie stellen Sie die Vollständigkeit sicher?

Jeder Mitarbeitende oder Lieferant ist rechtlich an eine Vertraulichkeitsvereinbarung (NDA) gebunden, die alle ausgetauschten, erstellten oder verarbeiteten Daten und Informationen umfasst. Jeder Mitarbeitende erhält eine Vertraulichkeitseinweisung und regelmäßig IT-Sicherheitsschulungen.

Wie oft werden Audits durchgeführt und welchen Umfang haben sie?

Der Datenschutzbeauftragte von Operations1 führt regelmäßige, mindestens jährliche Audits zur Datenschutz-Compliance durch, einschließlich der Prüfung der Konformität der Produkte und Services von Operations1 mit allen relevanten Datenschutzgesetzen und -vorschriften (insbesondere DSGVO, aber auch CCPA/CPRA usw.).

Wie sieht Ihr interner Prozess zur Erfüllung von Betroffenenrechten aus, und welche Tools werden für automatisierte oder anfragebasierte Löschung personenbezogener Daten verwendet?

Operations1 behandelt als Verantwortlicher Anfragen zu Betroffenenrechten (DSR) gemäß Art. 15–23 DSGVO. Als Auftragsverarbeiter unterstützt Operations1 seine Kunden bei der Erfüllung ihrer Pflichten nach Art. 15–23 DSGVO über das Support-Ticket-System von Operations1. Die ordnungsgemäße Bearbeitung und Erfüllung jeder einzelnen DSR-Anfrage eines Kunden wird zur Nachweisbarkeit bestätigt und dokumentiert. Wenn Operations1 eine an einen Kunden gerichtete DSR-Anfrage erhält, leitet Operations1 diese an den jeweiligen Kunden weiter und handelt nur auf dessen Anweisung.

Wo finden wir eine Liste der Unterauftragsverarbeiter mit Name, Anschrift, Leistungsumfang und vertraglichen Verpflichtungen (z. B. EU-SCCs, Privacy Shield)?

Siehe Datenschutzrichtlinie von Operations1, Anhang 2 und 3.

Wie stellen Sie im Fall einer Datenschutzverletzung eine rechtzeitige Benachrichtigung und die Information der Behörden sicher?

Allen Mitarbeitenden wird klar und fortlaufend kommuniziert – z. B. in Datenschutzschulungen –, dass vermutete oder festgestellte Datenschutzvorfälle unverzüglich an die Geschäftsleitung, den Datenschutzbeauftragten und/oder das Datenschutz- und Informationssicherheitsteam zu melden sind. Das Datenschutz- und Informationssicherheitsteam untersucht den Vorfall sofort. Soweit personenbezogene Daten als Auftragsverarbeiter im Auftrag eines Kunden verarbeitet werden, wird sichergestellt, dass der betroffene Kunde unverzüglich über Art und Umfang des Vorfalls informiert wird.

Werden in Ihrer Software Cookies verwendet? Was sind die Details der Verarbeitung?

Innerhalb der Operations1-App nutzen wir ein Analytics-Tool und ein Heat-Mapping-Tool, um die Nutzung der App zu analysieren und Funktionen, Funktionalitäten sowie die Benutzererfahrung zu verbessern. Solche Tools erfassen IP-Adressen, die als personenbezogene Daten gelten, diese sowie weitere personenbezogene Identifikatoren aus der Nutzungsanalyse werden jedoch sofort anonymisiert. Es werden keine Nutzerprofile erstellt, und die Nutzungsdaten werden nicht mit den jeweiligen Kontoinformationen der Nutzer angereichert. Zusätzlich verwendet die Chat- und Ticketfunktion Cookies, und die App setzt technisch notwendige Cookies, insbesondere für Authentifizierung und Spracheinstellungen.

Bitte nennen Sie Ihren Datenschutzbeauftragten einschließlich E-Mail-Adresse und Telefonnummer.

Christian Schmoll | Telefon: +49 89 4622 7322 | E-Mail: schmoll@dp.institute

Frage

Antwort

Verfügt Operations1 über Zertifizierungen zur Informationssicherheit?

Ja, Operations1 wird auditiert und ist nach ISO 27001:2022 zertifiziert.

Wo befinden sich die Rechenzentren, in denen die in Operations1 eingegebenen Daten gespeichert werden?

In den Microsoft-Azure-Rechenzentren der Regionen Europa West sowie Europa Nord für Disaster Recovery.

Gibt es eine mobile Service-App und welche Gerätezugriffe werden benötigt?

Operations1 kann über eine Progressive Web App (PWA) im Browser genutzt werden, ohne dass eine Installation erforderlich ist. Für Nutzer, die eine native Nutzung bevorzugen, stehen zudem eigene Android- und iOS-Apps zur Verfügung. Für die volle Nutzung der Funktionen von Operations1 empfehlen wir den Zugriff auf die Gerätekamera für Videos und Fotos.

Unterstützt Ihre Lösung die Authentifizierung gegen Identity-Management-Systeme für Single Sign-on?

Wir unterstützen Single Sign-on (SSO) über OpenID Connect.

Werden für Infrastrukturadministratoren sichere, eindeutige Passwörter, Zugangstoken oder Zertifikate verwendet?

Das Operations1-Infrastrukturteam nutzt für sämtliche Administrationssoftware eine Zwei-Faktor-Authentifizierung, ein separates VPN für das Servermanagement sowie eindeutige Passwörter, die durch eine Passwortmanagement-Software verwaltet werden.

Wie werden Passwörter auf der Operations1-Plattform gespeichert?

Passwörter werden kryptografisch geschützt gespeichert und übertragen (gehasht mit bcrypt).

Wer hat Zugriff auf die Infrastruktur und Services?

Die Infrastrukturingenieure von Operations1 verwenden auf allen administrativen Portalen und Servern separate persönliche Konten. Das Berechtigungskonzept deckt alle relevanten Ebenen ab und stellt die Einhaltung folgender Prinzipien sicher: Need-to-know-Prinzip, d. h. Zugriffsrechte werden nur an Personen vergeben, die diese Informationen benötigen, sowie Least-Privilege-Prinzip, d. h. Benutzer erhalten nur die für ihre Aufgaben notwendigen Zugriffsrechte.

Welche Passwort-Richtlinie gilt auf der Operations1-Plattform?

Passwortrichtlinien | Operations1

Wie schützen wir Ihre Daten bei Operations1?

Für ruhende Daten (data at rest) werden alle auf die Operations1-Plattform geschriebenen Daten mit 256-Bit-AES verschlüsselt. Zudem wird vor dem Schreiben der Daten ein Virenscan durchgeführt. Zusätzlich prüft eine Web Application Firewall (WAF) alle Anfragen an Operations1 auf die häufigsten Bedrohungen.

Welche TLS-Version und welche Verschlüsselung werden verwendet?

Es wird HTTPS mit TLS 1.2 und TLS 1.3 verwendet, mit RSA 2048-Bit-Schlüssel, SHA256withRSA-Signaturalgorithmus und den folgenden Cipher Suites: TLS 1.3: TLS_AES_128_GCM_SHA256 (0x1301), TLS_AES_256_GCM_SHA384 (0x1302), TLS_CHACHA20_POLY1305_SHA256 (0x1303); TLS 1.2: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f), TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (0xc030), TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (0xcca8).

Gibt es angemessen etablierte Secure-Coding-Praktiken?

Secure Coding erfüllt alle folgenden Anforderungen: Es gibt dokumentierte Anweisungen für sicheres Programmieren auf Basis bewährter Verfahren, einschließlich Fehlerbehandlung, Eingabe- und Ausgabebereinigung sowie weiterer Secure-Coding-Prinzipien (z. B. sichere Funktionen, Session-Management). Verfahren für Code-Check-in und Kompilierung sind dokumentiert. Jeder neue Code durchläuft ein Code Review. Die Secure-Coding-Richtlinien sind allen Mitgliedern des Entwicklungsteams (z. B. Solution Architects, Entwicklern, Administratoren, Testern) zugänglich, und diese erhalten entsprechende Schulungen. Anforderungen an Third-Party-Code sind definiert und werden geprüft. Häufige Sicherheitsprobleme werden durch automatisierte statische Analysetools überprüft.

Nutzt Operations1 Open-Source-Komponenten, und falls ja, wie werden Lizenz-Compliance und Supply-Chain-Sicherheit sichergestellt?

Die Operations1-Software basiert – wie moderne Software häufig – auf vielen Open-Source-Komponenten. Die Lizenz-Compliance wird durch ein Scanner-Tool sichergestellt, das die Codebasis und ihre Abhängigkeiten täglich analysiert und alarmiert, wenn Code mit inkompatiblen Lizenzen erkannt wird oder eine Sicherheitslücke in einer Abhängigkeit vorliegt. Wird eine Schwachstelle gefunden, wird deren Auswirkung auf die Operations1-App bewertet und bei Bedarf so schnell wie möglich ein Fix ausgerollt.

Werden externe Audits der Anwendung auf Sicherheitsrisiken durchgeführt?

Ja. Operations1 strebt an, einmal jährlich einen Penetrationstest durch ein externes Sicherheitsforschungsunternehmen durchführen zu lassen. Die Ergebnisse können auf Anfrage geteilt werden.

Wie werden Produktions- und Nicht-Produktionssysteme im Entwicklungsprozess getrennt?

Operations1 entwickelt in getrennten Umgebungen für Entwicklung, Test und produktive Systeme.

Verfügt das Rechenzentrum über eine ISO-27001-, SOC-2- oder gleichwertige Zertifizierung?

Da Operations1 seinen Cloud-Service auf dem Microsoft Germany Cluster hostet, finden sich Details im Microsoft Trust Portal sowie in der entsprechenden Microsoft-Dokumentation.

Gibt es ein Datenschutzprogramm zur Sicherstellung der DSGVO-Compliance?

Operations1 hat ein umfassendes Datenschutzmanagementsystem eingeführt, einschließlich Richtlinien und Vorgaben für Datenschutz und Informationssicherheit. Operations1 hat einen Datenschutzbeauftragten benannt und ein Datenschutz- und Informationssicherheitsteam definiert. Dieses Team plant, implementiert, bewertet und passt Maßnahmen im Bereich Datenschutz und Informationssicherheit an. Alle Richtlinien und Vorgaben werden regelmäßig im Hinblick auf ihre Wirksamkeit überprüft und angepasst.

Was sind Methode und Häufigkeit solcher Schulungen, und wie wird die Teilnahme überwacht?

Operations1 führt regelmäßig Schulungen und Awareness-Präsentationen zu Datenschutz und Richtlinien für seine Mitarbeitenden durch. Für alle Mitarbeitenden gelten die gesetzlichen Standardvorgaben der DSGVO, die jährlich unterzeichnet werden müssen. Die DSGVO-Schulung wird mindestens einmal jährlich durchgeführt.

Wie ist der Prozess ausgestaltet und wie stellen Sie die Vollständigkeit sicher?

Jeder Mitarbeitende oder Lieferant ist rechtlich an eine Vertraulichkeitsvereinbarung (NDA) gebunden, die alle ausgetauschten, erstellten oder verarbeiteten Daten und Informationen umfasst. Jeder Mitarbeitende erhält eine Vertraulichkeitseinweisung und regelmäßig IT-Sicherheitsschulungen.

Wie oft werden Audits durchgeführt und welchen Umfang haben sie?

Der Datenschutzbeauftragte von Operations1 führt regelmäßige, mindestens jährliche Audits zur Datenschutz-Compliance durch, einschließlich der Prüfung der Konformität der Produkte und Services von Operations1 mit allen relevanten Datenschutzgesetzen und -vorschriften (insbesondere DSGVO, aber auch CCPA/CPRA usw.).

Wie sieht Ihr interner Prozess zur Erfüllung von Betroffenenrechten aus, und welche Tools werden für automatisierte oder anfragebasierte Löschung personenbezogener Daten verwendet?

Operations1 behandelt als Verantwortlicher Anfragen zu Betroffenenrechten (DSR) gemäß Art. 15–23 DSGVO. Als Auftragsverarbeiter unterstützt Operations1 seine Kunden bei der Erfüllung ihrer Pflichten nach Art. 15–23 DSGVO über das Support-Ticket-System von Operations1. Die ordnungsgemäße Bearbeitung und Erfüllung jeder einzelnen DSR-Anfrage eines Kunden wird zur Nachweisbarkeit bestätigt und dokumentiert. Wenn Operations1 eine an einen Kunden gerichtete DSR-Anfrage erhält, leitet Operations1 diese an den jeweiligen Kunden weiter und handelt nur auf dessen Anweisung.

Wo finden wir eine Liste der Unterauftragsverarbeiter mit Name, Anschrift, Leistungsumfang und vertraglichen Verpflichtungen (z. B. EU-SCCs, Privacy Shield)?

Siehe Datenschutzrichtlinie von Operations1, Anhang 2 und 3.

Wie stellen Sie im Fall einer Datenschutzverletzung eine rechtzeitige Benachrichtigung und die Information der Behörden sicher?

Allen Mitarbeitenden wird klar und fortlaufend kommuniziert – z. B. in Datenschutzschulungen –, dass vermutete oder festgestellte Datenschutzvorfälle unverzüglich an die Geschäftsleitung, den Datenschutzbeauftragten und/oder das Datenschutz- und Informationssicherheitsteam zu melden sind. Das Datenschutz- und Informationssicherheitsteam untersucht den Vorfall sofort. Soweit personenbezogene Daten als Auftragsverarbeiter im Auftrag eines Kunden verarbeitet werden, wird sichergestellt, dass der betroffene Kunde unverzüglich über Art und Umfang des Vorfalls informiert wird.

Werden in Ihrer Software Cookies verwendet? Was sind die Details der Verarbeitung?

Innerhalb der Operations1-App nutzen wir ein Analytics-Tool und ein Heat-Mapping-Tool, um die Nutzung der App zu analysieren und Funktionen, Funktionalitäten sowie die Benutzererfahrung zu verbessern. Solche Tools erfassen IP-Adressen, die als personenbezogene Daten gelten, diese sowie weitere personenbezogene Identifikatoren aus der Nutzungsanalyse werden jedoch sofort anonymisiert. Es werden keine Nutzerprofile erstellt, und die Nutzungsdaten werden nicht mit den jeweiligen Kontoinformationen der Nutzer angereichert. Zusätzlich verwendet die Chat- und Ticketfunktion Cookies, und die App setzt technisch notwendige Cookies, insbesondere für Authentifizierung und Spracheinstellungen.

Bitte nennen Sie Ihren Datenschutzbeauftragten einschließlich E-Mail-Adresse und Telefonnummer.

Christian Schmoll | Telefon: +49 89 4622 7322 | E-Mail: schmoll@dp.institute