Überblick über Sicherheit & Datenschutz

1. Unser Ansatz

Nebs-Creative setzt verhältnismäßige technische und organisatorische Maßnahmen ein, um Kundenarbeiten, Konten und personenbezogene Daten zu schützen. Die Kontrollen werden nach der Sensibilität der Informationen, den Anforderungen der Kunden, den beteiligten Systemen und den Risiken des jeweiligen Auftrags ausgewählt.

2. Zugriffskontrolle

• Für Konten, die für Kundenarbeiten verwendet werden und dies unterstützen, ist eine Multi-Faktor-Authentifizierung erforderlich.
• Der Zugriff ist auf Personen beschränkt, die ihn für ein bestimmtes Projekt benötigen, und wird entfernt, sobald er nicht mehr erforderlich ist.
• Gemeinsam genutzte Zugangsdaten werden, wo unvermeidbar, in einem genehmigten verschlüsselten Passwortmanager gespeichert und nicht in gewöhnlichen Dokumenten oder Chat-Nachrichten.
• Die zugrunde liegende interne Richtlinie verlangt eine Überprüfung der Zugriffsrechte bei Projektabschluss sowie eine regelmäßige Überprüfung der aktiven Zugriffsrechte.

3. Geräte und Konten

• Von Arbeitsgeräten wird erwartet, dass sie über eine Bildschirmsperre, aktuelle unterstützte Betriebssysteme, automatische Sicherheitsupdates und eine Festplattenvollverschlüsselung verfügen.
• Nach der zugrunde liegenden internen Richtlinie ist für Geräte, die für Kundenprojekte verwendet werden, ein Schutz vor Schadsoftware erforderlich.
• Private Geräte dürfen nur unter Einhaltung der internen Genehmigungs- und Sicherheitsanforderungen verwendet werden.
• Teammitglieder müssen eindeutige Zugangsdaten verwenden und die Passwortrichtlinie des Unternehmens befolgen.

4. Datenverarbeitung und Datenminimierung

• Wir bevorzugen, soweit möglich, Beispieldaten sowie anonymisierte oder pseudonymisierte Daten anstelle von echten personenbezogenen Daten.
• Personenbezogene Daten des Kunden sind auf genehmigte Tools und autorisierte Personen beschränkt.
• Echte personenbezogene Daten sollten nicht in Designs/Prototypen eingefügt werden, es sei denn, der Kunde weist uns dazu an und es gelten angemessene Schutzmaßnahmen.
• Dateien mit vertraulichen Informationen werden mit Zugriffsbeschränkungen weitergegeben, die dem jeweiligen Projekt angemessen sind.

5. Verschlüsselung und Übermittlung

Der zugrunde liegende Auftragsverarbeitungsvertrag (DPA) sieht eine Verschlüsselung bei der Übermittlung von Daten sowie eine Verschlüsselung ruhender Daten vor, sofern diese von genehmigten Speichersystemen bereitgestellt wird, zusammen mit Schutzmaßnahmen für internationale Datenübermittlungen, soweit dies nach geltendem Datenschutzrecht erforderlich ist.

6. Personal und Vertraulichkeit

Das zugrunde liegende Rechtsdokumentenpaket verlangt, dass Mitarbeitende, Auftragnehmer und Freelancer Vertraulichkeits- und Geistiges-Eigentum-Verpflichtungen unterzeichnen, bevor sie Zugang zu Kundenarbeiten erhalten. Nach der internen Richtlinie sind Schulungen zu Sicherheit und Datenschutz beim Eintritt und danach in regelmäßigen Abständen erforderlich.

7. Sichere Entwicklung und Projektarbeit

Die Sicherheitsverantwortlichkeiten bei einem Entwicklungsprojekt hängen vom Leistungsumfang ab. Wir können Versionskontrolle, kontrollierten Zugriff, Reviews, Tests, Abhängigkeitsmanagement und strukturierte Bereitstellungsverfahren einsetzen, die dem jeweiligen Auftrag angemessen sind. Ein Kunde, der ein bestimmtes Framework für sichere Entwicklung, einen Penetrationstest, einen Sicherheitsstandard, ein Code-Audit oder eine Compliance-Zertifizierung benötigt, sollte dies ausdrücklich in das SOW aufnehmen.

8. KI-Tools

Vertrauliche Informationen und personenbezogene Daten des Kunden dürfen nicht in nicht genehmigte KI-Tools eingegeben werden. Wird ein genehmigtes KI-Tool mit Kundeninformationen verwendet, muss die Nutzung dem geltenden Kundenvertrag, dem DPA, den genehmigten Einstellungen und den Beschränkungen hinsichtlich des Trainings von Modellen entsprechen. Kunden können KI-generierte Elemente in projektspezifischen Dokumenten einschränken.

9. Reaktion auf Sicherheitsvorfälle

Die zugrunde liegende interne Richtlinie verlangt, dass vermutete Sicherheitsvorfälle unverzüglich intern gemeldet und dokumentiert werden. Betrifft ein Vorfall personenbezogene Daten des Kunden, verlangt das DPA eine Benachrichtigung des Kunden ohne unangemessene Verzögerung und nach dem aktuellen DPA in jedem Fall innerhalb von 48 Stunden, nachdem Nebs-Creative Kenntnis von einer relevanten Verletzung des Schutzes personenbezogener Daten erlangt hat. Meldungen an Aufsichtsbehörden oder betroffene Personen werden gemäß den gesetzlichen Vorgaben sowie den Verantwortlichkeiten des Kunden bzw. Verantwortlichen vorgenommen.

10. Geschäftskontinuität und Backups

Projektarbeiten werden in der Regel in genehmigten Cloud-Diensten aufbewahrt, die über Backup- und Wiederherstellungsfunktionen des Anbieters verfügen. Die Verantwortung für Backups von Produktivsystemen, Hosting und Infrastruktur des Kunden hängt vom Projektumfang ab und sollte im SOW oder in der Hosting-/Wartungsvereinbarung festgelegt werden.

11. Datenlöschung

Für personenbezogene Daten des Kunden, die im Rahmen des DPA verarbeitet werden, besteht nach aktueller vertraglicher Regelung eine Rückgabe- oder Löschpflicht innerhalb von 30 Tagen nach Beendigung der jeweiligen Leistungen, vorbehaltlich der Weisungen des Kunden, gesetzlicher Aufbewahrungspflichten und üblicher Überschreibungszyklen von Backups. Sonstige Geschäftsunterlagen werden gemäß unserer Datenschutzerklärung und den rechtlichen Verpflichtungen aufbewahrt.

12. Meldung von Sicherheitsproblemen

Wenn Sie glauben, ein Sicherheitsproblem entdeckt zu haben, das Nebs-Creative betrifft, wenden Sie sich bitte an contact@nebs-creative.com und geben Sie in der Betreffzeile „Security“ an. Stellen Sie uns ausreichend Informationen zur Verfügung, damit wir den Sachverhalt untersuchen können. Greifen Sie nicht auf Daten zu, die nicht Ihnen gehören, laden Sie diese nicht herunter, verändern Sie sie nicht und legen Sie sie nicht offen; stören Sie keine Dienste und führen Sie keine zerstörerischen Tests durch.

13. Keine absolute Sicherheitsgarantie

Keine Organisation kann garantieren, dass jedes System, jedes Gerät oder jede Übertragung vollständig sicher ist. Diese Übersicht beschreibt unsere beabsichtigten Vorgehensweisen und begründet keine Gewährleistung, die über die Verpflichtungen hinausgeht, die in einem anwendbaren Kundenvertrag oder einer anwendbaren Auftragsverarbeitungsvereinbarung (DPA) ausdrücklich festgelegt sind.