1. MFA/2FA für alle Plattformen/Tools aktivieren, wo verfügbar (Pflicht)
3. Zugriffe entziehen bei:
oder in Klartext speichern (z. B. in Chats, E-Mails, ungesicherten Dokumenten)
Ganze Anforderung lesenWeniger anzeigen
A2. Passwortregeln
Der Dienstleister MUSS:
- Bei Verdacht auf Kompromittierung sofort die Auftraggeberin informieren.
B) Publishing-Regeln (Beiträge, Freigaben, Änderungen)
B1. Rollen, Verantwortlichkeiten, Freigabe
Der Dienstleister MUSS:
1. Den vereinbarten Redaktionsprozess einhalten:
- Erstellung dann interne Prüfung
Dienstleister dann Externe Feedbackschleife mit Auftraggeberin
dann Freigabe Auftraggeberin dann Veröffentlichung.
Der Dienstleister DARF NICHT:
- Inhalte ohne Freigabe posten, außer es gibt eine schriftlich definierte
Ausnahme (siehe B4).
- Kanal-/Account-Einstellungen (Rollen, Admins, Werbekonten,
Verknüpfungen, Sicherheitsoptionen) ohne schriftliche Freigabe ändern
B2. Inhaltliche Mindestanforderungen (Qualität, Compliance)
Der Dienstleister MUSS vor Veröffentlichung prüfen:
- Rechtliches: Urheberrechte von Material, das nicht von der Auftraggeberin zugeliefert wird (Bild/Video/Musik), Markenrechte, Kennzeichnungspflichten (Werbung/Kooperation).
B3. Scheduling & Timing
Der Dienstleister MUSS:
- Postings so planen, dass Freigaben realistisch möglich sind (Deadlines,
Zeitzonen).
- Bei kurzfristigen Änderungen (Breaking News, Krisen, politische/
sensible Ereignisse) die Auftraggeberin aktiv informieren und ggf. Pausierung vorschlagen.
B4. Community Management
Der Dienstleister DARF ohne Einzelfreigabe reagieren, wenn:
- die Antwort innerhalb eines schriftlich definierten Antwortkorridors liegt
(FAQ/Playbook, sonstige schriftliche Vereinbarungen)
- keine Rechts-/Krisen-/Sensitivthemen betroffen sind
- keine personenbezogenen Daten öffentlich verarbeitet werden
Alles außerhalb des Korridors dann Eskalation (siehe Abschnitt Teil D).
C) Community Management (Moderation, Antworten, DMs)
C1. Grundregeln für Interaktionen
Der Dienstleister MUSS:
- Freundlich, respektvoll und im definierten Wording kommunizieren.
- Keine internen Informationen preisgeben (auch nicht indirekt).
- Bei Kunden-/Servicefällen auf definierte Support-Kanäle verweisen (z. B. Hotline, Support Mail).
- Bei sensiblen oder fachspezifischen Themen (Gesundheit, Sicherheit,
rechtliche Streitigkeiten, HR) nicht inhaltlich beraten, sondern an die Auftraggeberin eskalieren
C2. Moderation & Hausregeln (Netiquette)
Der Dienstleister MUSS:
- Eine definierte Netiquette anwenden (von der Auftraggeberin hier
bereitgestellt:
https://www.hamburgwasser.de/kommentarrichtlinien-fuer-social-media
- Kommentare nach Kriterien
moderieren:
- Entfernen/Verbergen bei: Strafbaren Inhalten, Beleidigung (§185 StGB),
Üble Nachrede / Verleumdung (§§ 186, 187 StGB), Volksverhetzung (§130
StGB), Öffentliche Aufforderung zu Straftaten (§ 111 StGB), Bedrohung
(§ 241 StGB), Gewaltandrohung, Spam, pornografischen Inhalten,
Doxxing, Betrug/Scam.
- Eskalieren bei: Medienanfragen, rechtlichen Drohungen, Sicherheitsvorfällen, erheblichen Reputationsrisiken, Krisensignalen
C3. Direktnachrichten (DMs) & personenbezogene Daten
Der Dienstleister MUSS:
- DMs vertraulich behandeln, nur für den Zweck der Bearbeitung nutzen.
- Bei Daten/Identitätsfragen: an offizielle Kanäle weiterleiten.
Der Dienstleister DARF NICHT:
- Personendaten in ungesicherten Kanälen teilen (z. B. Chat ohne
Freigabe/Schutz).
- Sensiblen personenbezogenen Daten anfordern oder speichern, sofern nicht ausdrücklich durch Prozess erlaubt.
C4. Reaktionszeiten & Service-Level
Der Dienstleister SOLL folgende Ziele
einhalten:
- Erstreaktion innerhalb von 24 Stunden in Servicezeiten (Montag-Donnerstag, 9-17 Uhr und Freitag 9-14 Uhr).
- Eskalation innerhalb von 4 Stunden bei kritischen Inhalten (Teil D).
D) Eskalation, Krisenkommunikation & Vorfallmanagement
D1. Eskalationspflicht (Kommunikation)
Der Dienstleister MUSS eskalieren,
wenn:
- Medienanfragen/Journalistenkontakte auftreten,
- rechtliche Schritte angedroht werden,
- potenziell diskriminierende, extremistische, rufschädigende oder sicherheitsrelevante Inhalte auftauchen,
- ein Beitrag/Kommentar "viral negativ" geht oder Shitstorm Signale erkennbar sind,
- interne Informationen versehentlich veröffentlicht wurden.
D2. Sicherheitsvorfälle (Accounts, Zugriffe, Phishing)
Der Dienstleister MUSS Vorfälle unverzüglich, spätestens innerhalb von
2 Stunden melden bei:
- Verdacht auf Account Übernahme, ungewöhnliche Logins, Phishing,
- unautorisierte Posts/Ads, Rollenänderungen,
- Verlust/Leak von Assets/ Informationen.
Mindestinhalt der Meldung:
- Zeitpunkt, Plattform/Konto, Art des Vorfalls, betroffene Inhalte, erste
Gegenmaßnahmen, Kontaktperson
D3. Sofortmaßnahmen
Der Dienstleister MUSS im Ereignisfall:
- Publikationen pausieren, wenn erforderlich,
- kompromittierte Zugänge sperren/rotieren (in Abstimmung),
- Beweise sichern (Screenshots, URLs, Zeitstempel),
- Plattform-Support über definierte Wege einschalten (wenn vereinbart),
- ausschließlich abgestimmte Statements veröffentlichen.
E) Projektende: Rückgabe & Löschung
Der Dienstleister MUSS bei Beendigung:
- Zugänge zurückgeben/entziehen lassen
- Alle Assets/Daten an HAMBURG WASSER übergeben (Dateien, Vorlagen, Reportings)
- Kopien löschen, soweit keine gesetzlichen Pflichten entgegenstehen,und dies schriftlich bestätigen.