Informationen zur Verwendung dieses Vertrags

Transkript

1 Informationen zur Verwendung dieses Vertrags www Deutscher Tele Markt GmbH stellt diesen vorformulierten Vertragstext zur Auftragsdatenverarbeitung nach deutschem Datenschutzrecht zur Verfügung. Wer sollte diesen Vertrag verwenden? Sofern Sie das ADDIGO Cockpit, bereitgestellt von www Deutscher Tele Markt GmbH, nutzen oder einen Account im ADDIGO Cockpit angelegt haben und Sie davon ausgehen, dass das deutsche Datenschutzrecht auf Ihre Verwendung des ADDIGO Cockpits anwendbar ist, sollten Sie diesen Vertrag verwenden. Wie ist dieser Vertrag zu verwenden? Das deutsche Datenschutzrecht sieht für einige Bestandteile dieses Vertrages die Schriftform vor. Damit der Unterschriftsprozess möglichst reibungslos und schnell abläuft, bitten wir Sie, wie folgt vorzugehen: 1. Wenn Sie noch keinen ADDIGO Cockpit Account haben, registrieren Sie sich hier: bevor sie diesen Vertrag unterzeichnen. Erst mit einem ADDIGO Cockpit Account können Sie die Funktionen nutzen, die ggfs. eine Verwendung dieses ADV notwendig machen 2. Bitte füllen Sie die folgenden Seiten des ADV inklusive der beigefügten Anlagen aus. 3. Unterzeichnen Sie den ADV (Seite 8) 4. Bitte senden Sie den ausgefüllten und unterschriebenen ADV inklusive Anlagen in doppelter Ausführung an die auf Seite 2 oben genannte Adresse von www Deutscher Tele Markt GmbH. Wir werden Ihnen ein unterschriebenes Exemplar zurücksenden. Bitte achten Sie darauf, dass auch Ihre vollständige Adresse auf Seite 2 ausgefüllt ist! ADDIGO www Deutscher Tele Markt GmbH

2 Seite 2 von 8 Auftragsdatenverarbeitungsvertrag zwischen <Name und Anschrift des Vertragspartners sowie ggf. gesetzlicher Vertreter> - im Folgenden "Auftraggeber" - und www Deutscher Tele Markt GmbH, Maxstraße 6, Dresden - im Folgenden "Auftragnehmer" - 1. Vertragsgegenstand Die Parteien haben einen Vertrag geschlossen, welcher unter anderem die Bereitstellung der Backend-Software Cockpit als Software as a Service zum Gegenstand hat (nachfolgend "Hauptvertrag" genannt). Dazu ist es erforderlich, dass der Auftragnehmer mit personenbezogenen Daten umgeht, für die der Auftraggeber als verantwortliche Stelle im Sinne der datenschutzrechtlichen Vorschriften fungiert (nachfolgend "Auftraggeber-Daten" genannt). Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit dem Umgang des Auftragnehmers mit Auftraggeber-Daten zur Durchführung des Hauptvertrags. 2. Art, Umfang und Zweck sowie Laufzeit der Auftragsdatenverarbeitung 2.1 Der Auftragnehmer verarbeitet die Auftraggeber-Daten im Auftrag und nach Weisung des Auftraggebers i.s.v. 11 Bundesdatenschutzgesetz (BDSG) (Auftragsdatenverarbeitung). Der Auftraggeber bleibt im datenschutzrechtlichen Sinn verantwortliche Stelle ("Herr der Daten"). 2.2 Die Verarbeitung der Auftraggeber-Daten im Rahmen der Auftragsdatenverarbeitung erfolgt entsprechend den in Anlage 1 zu diesem Vertrag enthaltenen Festlegungen zu Art, Umfang und Zweck der Datenverarbeitung. Sie bezieht sich auf die in Anlage 1 festgelegte Art der Auftraggeber-Daten und den dort bestimmten Kreis der Betroffenen. 2.3 Der Auftragnehmer darf die Auftraggeber-Daten im Rahmen des datenschutzrechtlich Zulässigen für eigene Zwecke auf eigene Verantwortung verarbeiten und nutzen, wenn eine gesetzliche Erlaubnisvorschrift oder eine Einwilligungserklärung des Betroffenen das gestattet. Auf solche Datenverarbeitungen findet dieser Vertrag keine Anwendung. In jedem Fall

3 Seite 3 von 8 darf der Auftragnehmer die Auftraggeber-Daten anonymisieren und in anonymisierter Form für eigene Zwecke verarbeiten und nutzen. 2.4 Die Verarbeitung der Auftraggeber-Daten findet grundsätzlich im Gebiet der Bundesrepublik Deutschland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Unabhängig davon, dass eine Erhebung, Verarbeitung oder Nutzung von Auftraggeber-Daten außerhalb des EWR möglicherweise nicht der Privilegierung des 11 BDSG unterfällt, ist es dem Auftragnehmer gestattet, Auftraggeber-Daten unter Einhaltung der Bestimmungen dieses Vertrags auch außerhalb des EWR zu verarbeiten, wenn er den Auftraggeber vorab über den Ort der Datenverarbeitung informiert und ihm die Einhaltung der Sicherheitsmaßnahmen gemäß Ziffer 6 dieses Vertrags in geeigneter Form nachweist. 2.5 Die Laufzeit und Kündigung dieses Vertrags richtet sich nach den Bestimmungen zur Laufzeit und Kündigung des Hauptvertrags. Eine Kündigung des Hauptvertrags bewirkt automatisch auch eine Kündigung dieses Vertrags. Eine isolierte Kündigung dieses Vertrags ist ausgeschlossen. 3. Weisungsbefugnisse des Auftraggebers 3.1 Der Auftragnehmer verwendet die Auftraggeber-Daten ausschließlich in Übereinstimmung mit den Weisungen des Auftraggebers, wie sie abschließend in den Bestimmungen dieses Vertrags Ausdruck finden. Einzelweisungen, die von den Festlegungen dieses Vertrags abweichen oder zusätzliche Anforderungen aufstellen, bedürfen einer vorherigen Zustimmung des Auftragnehmers und sind vom Auftraggeber gesondert zu vergüten. 3.2 Ist der Auftragnehmer der Ansicht, dass eine zulässige Einzelweisung gegen geltendes Datenschutzrecht verstößt, wird er den Auftraggeber möglichst zeitnah darauf hinweisen. Außerdem ist der Auftragnehmer berechtigt, die Ausführung der Weisung bis zu einer Bestätigung der Weisung durch den Auftraggeber auszusetzen. 4. Pflichten des Auftraggebers 4.1 Der Auftraggeber ist für die Rechtmäßigkeit der Erhebung, Verarbeitung und Nutzung der Auftraggeber-Daten sowie für die Wahrung der Rechte der Betroffenen verantwortlich. Sollten Dritte gegen den Auftragnehmer aufgrund der Erhebung, Verarbeitung oder Nutzung von Auftraggeber-Daten Ansprüche geltend machen, wird der Auftraggeber den Auftragnehmer von allen solchen Ansprüchen auf erstes Anfordern freistellen. 4.2 Der Auftraggeber ist Eigentümer der Auftraggeber-Daten und Inhaber aller etwaigen Rechte, die die Auftraggeber-Daten betreffen. 4.3 Dem Auftraggeber obliegt es, dem Auftragnehmer die Auftraggeber-Daten rechtzeitig zur Leistungserbringung nach dem Hauptvertrag zur Verfügung zu stellen und er ist verantwortlich für die Qualität der Auftraggeber-Daten. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er bei der Prüfung der Auftragsergebnisse des Auftragnehmers Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen oder seinen Weisungen feststellt.

4 Seite 4 von 8 5. Pflichten des Auftragnehmers 5.1 Der Auftragnehmer kontrolliert regelmäßig, dass die Datenverarbeitung und -nutzung im Rahmen der Leistungserbringung nach dem Hauptvertrag in seinem Verantwortungsbereich, der Unterauftragnehmer nach Ziffer 9 dieses Vertrags einschließt, in Übereinstimmung mit den Bestimmungen dieses Vertrags erfolgt. 5.2 Der Auftragnehmer darf ohne vorherige Zustimmung durch den Auftraggeber im Rahmen der Auftragsdatenverarbeitung keine Kopien oder Duplikate der Auftraggeber-Daten anfertigen. Hiervon ausgenommen sind jedoch Kopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung, zur ordnungsgemäßen Erbringung der Leistungen gemäß dem Hauptvertrag (einschließlich der Datensicherung) sowie zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind. 5.3 Der Auftragnehmer unterstützt den Auftraggeber bei Kontrollen durch die Aufsichtsbehörde im Rahmen des Zumutbaren und Erforderlichen, soweit diese Kontrollen die Datenverarbeitung durch den Auftragnehmer und Auftraggeber-Daten betreffen. 5.4 Der Auftragnehmer wird dem Auftraggeber auf Anforderung eine Übersicht über die in 4e Satz 1 BDSG genannten Angaben sowie über die zugriffsberechtigten Personen zur Verfügung stellen ( 4g Abs. 2 Satz 1 BDSG). 5.5 Der Auftragnehmer wird die bei der Verarbeitung von Auftraggeber-Daten beschäftigten Personen gemäß 5 BDSG schriftlich auf das Datengeheimnis verpflichten. 5.6 Der Auftragnehmer wird einen fachkundigen und zuverlässigen betrieblichen Datenschutzbeauftragten nach 4f BDSG bestellen, sofern und solange die gesetzlichen Voraussetzungen für eine Bestellpflicht gegeben sind. 5.7 Der Auftragnehmer unterliegt der behördlichen Aufsicht nach 38 BDSG sowie den Bußgeld- und Strafvorschriften in 43 Abs. 1 Nr. 2, 10 und 11, Abs. 2 Nr. 1 bis 3 und Abs. 3 BDSG sowie in 44 BDSG. 6. Technische und organisatorische Maßnahmen 6.1 Der Auftragnehmer hat vor Beginn der Verarbeitung der Auftraggeber-Daten die in Anlage 2 dieses Vertrags aufgelisteten technischen und organisatorischen Maßnahmen zu implementieren und während des Vertrags aufrechtzuerhalten. 6.2 Da die technischen und organisatorischen Maßnahmen dem technischen Fortschritt und der technologischen Weiterentwicklung unterliegen, ist es dem Auftragnehmer gestattet, alternative und adäquate Maßnahmen umzusetzen, sofern dabei das Sicherheitsniveau der in Anlage 2 festgelegten Maßnahmen nicht unterschritten wird. 7. Mitzuteilende Verstöße des Auftragnehmers 7.1 Der Auftragnehmer informiert den Auftraggeber zeitnah, wenn er feststellt, dass er oder ein Mitarbeiter bei der Verarbeitung von Auftraggeber-Daten gegen datenschutzrechtliche Vorschriften oder gegen Festlegungen aus diesem Vertrag verstoßen haben, sofern deshalb

5 Seite 5 von 8 die Gefahr besteht, dass Auftraggeber-Daten unrechtmäßig übermittelt oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind. 7.2 Soweit den Auftraggeber aufgrund eines Vorkommnisses nach Ziffer 7.1 gesetzliche Informationspflichten wegen einer unrechtmäßigen Kenntniserlangung von Auftraggeber-Daten (insbesondere nach 42a BDSG) treffen, hat der Auftragnehmer den Auftraggeber bei der Erfüllung der Informationspflichten auf dessen Ersuchen im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der dem Auftragnehmer hierdurch entstehenden Aufwände und Kosten zu unterstützen. 8. Kontrollrechte des Auftraggebers 8.1 Der Auftraggeber ist berechtigt, im Rahmen der üblichen Geschäftszeiten (montags bis freitags von 8:00 bis 17:00 Uhr) auf eigene Kosten, ohne Störung des Betriebsablaufs und unter strikter Geheimhaltung von Betriebs- und Geschäftsgeheimnissen des Auftragnehmers die Geschäftsräume des Auftragnehmers in denen Auftraggeber-Daten verarbeitet werden, zu betreten, um sich von der Einhaltung der technischen und organisatorischen Maßnahmen gemäß Anlage 2 zu diesem Vertrag zu überzeugen. Kosten, die dem Auftragnehmer durch seine Unterstützungshandlung entstehen, sind ihm im angemessenen Umfang zu erstatten. 8.2 Der Auftragnehmer gewährt dem Auftraggeber die zur Durchführung der Kontrollen nach Ziffer 8.1 erforderlichen Zugangs-, Auskunfts- und Einsichtsrechte. 8.3 Der Auftragnehmer ist berechtigt, nach eigenem Ermessen unter Berücksichtigung der gesetzlichen Verpflichtungen des Auftraggebers, Informationen nicht zu offenbaren, die sensibel im Hinblick auf die Geschäfte des Auftragnehmers sind oder wenn der Auftragnehmer durch deren Offenbarung gegen gesetzliche oder andere vertragliche Regelungen verstoßen würde. Der Auftraggeber ist nicht berechtigt, Zugang zu Daten oder Informationen über andere Kunden des Auftragnehmers, zu Informationen hinsichtlich Kosten es sei denn, dass diese die Basis des erstattungsfähigen oder durchlaufenden Aufwandes darstellen zu Qualitätsprüfungs- und Vertrags-Managementberichten sowie zu sämtlichen anderen vertraulichen Daten des Auftragnehmers, die nicht unmittelbar relevant für die vereinbarten Kontrollzwecke sind, zu erhalten. 8.4 Der Auftraggeber hat den Auftragnehmer rechtzeitig (in der Regel mindestens drei Wochen vorher) über alle mit der Durchführung der Kontrolle zusammenhängenden Umstände zu informieren. Der Auftraggeber darf in der Regel eine Kontrolle pro Kalenderjahr durchführen. Hiervon unbenommen ist das Recht des Auftraggebers, weitere Kontrollen im Fall von besonderen Vorkommnissen durchzuführen. 8.5 Beauftragt der Auftraggeber einen Dritten mit der Durchführung der Kontrolle, hat der Auftraggeber den Dritten schriftlich ebenso zu verpflichten, wie auch der Auftraggeber aufgrund von dieser Ziffer 8 dieses Vertrags gegenüber dem Auftragnehmer verpflichtet ist. Zudem hat der Auftraggeber den Dritten auf Verschwiegenheit und Geheimhaltung zu verpflichten, es sei denn, dass der Dritte einer beruflichen Verschwiegenheitsverpflichtung unterliegt. Auf Verlangen des Auftragnehmers hat der Auftraggeber diesem die Verpflichtungsvereinbarungen mit dem Dritten unverzüglich vorzulegen. Der Auftraggeber darf keinen Konkurrenten des Auftragnehmers mit der Kontrolle beauftragen.

6 Seite 6 von Nach Wahl des Auftragnehmers kann der Nachweis der Einhaltung der technischen und organisatorischen Maßnahmen gemäß Anlage 2 anstatt einer Vor-Ort-Kontrolle auch durch die Vorlage eines geeigneten, aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z.b. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT- Sicherheitsabteilung, Datenschutzauditoren oder Qualitätsauditoren) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit z.b. nach BSI-Grundschutz ( Prüfungsberichts ) erbracht werden, wenn der Prüfungsbericht es dem Auftraggeber in angemessener Weise ermöglicht, sich von der Einhaltung der technischen und organisatorischen Maßnahmen gemäß Anlage 2 zu diesem Vertrag zu überzeugen. 9. Unterauftragsverhältnisse 9.1 Der Auftragnehmer darf Unterauftragsverhältnisse hinsichtlich der Verarbeitung oder Nutzung von Auftraggeber-Daten nur nach vorheriger schriftlicher Zustimmung des Auftraggebers begründen. Eine solche vorherige Zustimmung darf vom Auftraggeber nur aus wichtigem, dem Auftragnehmer nachzuweisenden Grund verweigert werden. Im Fall der Einschaltung eines nach 15 ff. AktG mit dem Auftragnehmer verbundenen Unternehmens als Unterauftragnehmer erteilt der Auftraggeber hiermit ausdrücklich seine Zustimmung. Der Auftragnehmer wird dem Auftraggeber auf Anforderung eine aktuelle Übersicht über die eingeschalteten Unterauftragnehmer übergeben. 9.2 Keiner Zustimmung bedarf die Einschaltung von Subunternehmern, bei denen der Subunternehmer lediglich eine Nebenleistung zur Unterstützung bei der Leistungserbringung nach dem Hauptvertrag in Anspruch nimmt, auch wenn dabei ein Zugriff auf die Auftraggeber-Daten nicht ausgeschlossen werden kann; dazu zählen insbesondere Transportleistungen von Post- oder Kurierdiensten sowie Geldtransportdienstleistungen, Telekommunikationsdienste, Bewachungsdienste und Reinigungsdienste, nicht aber Prüfungs- und Wartungsleistungen i.s.v. 11 Abs. 5 BDSG. Der Auftragnehmer wird mit solchen Subunternehmern branchenübliche Geheimhaltungsvereinbarungen treffen. 9.3 Zur Prüfung einer nach Ziffer 9.1 erforderlichen Zustimmung hat der Auftragnehmer dem Auftraggeber auf Anfrage eine Kopie der Vereinbarung zur Unterauftragsdatenverarbeitung zur Verfügung zu stellen. Der Unterauftragsdatenverarbeitungsvertrag muss ein adäquates Schutzniveau aufweisen, welches demjenigen dieses Vertrags vergleichbar ist. Dem Auftraggeber sind in dem Unterauftragsdatenverarbeitungsvertrag gegenüber dem Unterauftragnehmer eigene Kontrollrechte nach Ziffer 8 dieses Vertrags einzuräumen. 9.4 Die Regelungen in dieser Ziffer 9 gelten auch, wenn ein Unterauftragnehmer in einem Drittstaat eingeschaltet wird ungeachtet des Umstands, dass Datenweitergaben an einen solchen Unterauftragnehmer nicht den Privilegierungen des 11 BDSG unterliegen. Der Auftraggeber bevollmächtigt den Auftragnehmer hiermit, in Vertretung des Auftraggebers mit einem Unterauftragnehmer, der Auftraggeber-Daten außerhalb des EWR verarbeitet oder nutzt, einen Vertrag unter Einbeziehung der EU-Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern vom zu schließen. Der Auftraggeber erklärt sich bereit, an der Erfüllung der Voraussetzungen nach 4c BDSG im erforderlichen Maße mitzuwirken.

7 Seite 7 von Rechte der Betroffenen 10.1 Die Rechte der durch die Datenverarbeitung betroffenen Personen sind gegenüber dem Auftraggeber geltend zu machen Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Auskunft, Berichtigung, Löschung oder Sperrung der ihn betreffenden Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen zeitnah an den Auftraggeber weiterleiten Für den Fall, dass eine betroffene Person ihre Rechte auf Berichtigung, Löschung oder Sperrung von Auftraggeber-Daten oder auf Auskunft über die gespeicherten Auftraggeber- Daten, den Zweck der Speicherung und die Personen und Orte, an die Auftraggeber-Daten regelmäßig übermittelt werden, geltend macht, hat der Auftragnehmer den Auftraggeber bei der Erfüllung dieser Ansprüche in angemessenem und für den Auftraggeber erforderlichen Umfang zu unterstützen, sofern der Auftraggeber die Ansprüche nicht ohne Mitwirkung des Auftragnehmers erfüllen kann. Die Kosten, die dem Auftragnehmer durch seine Unterstützungshandlung entstehen, sind ihm im angemessenen Umfang zu erstatten Der Auftragnehmer wird es dem Auftraggeber ermöglichen, Auftraggeber-Daten zu berichtigen, zu löschen oder zu sperren oder auf Verlangen des Auftraggebers die Berichtigung, Sperrung oder Löschung selbst vornehmen, wenn und soweit das dem Auftraggeber selbst unmöglich ist. 11. Rückgabe und Löschung überlassener Daten und Datenträger 11.1 Der Auftragnehmer hat sämtliche Auftraggeber-Daten nach Beendigung der vertragsgegenständlichen Leistungserbringung (insbesondere bei Kündigung oder sonstiger Beendigung des Hauptvertrags) zu löschen und von dem Auftraggeber erhaltene Datenträger, die zu diesem Zeitpunkt noch Auftraggeber-Daten enthalten, an den Auftraggeber zurückzugeben. Führt eine vom Auftraggeber verlangte Löschung der Auftraggeber-Daten dazu, dass der Auftragnehmer seine Leistungspflichten nach dem Hauptvertrag nicht mehr erbringen kann, wird er von der Verpflichtung zur Leistung frei Über eine Löschung bzw. Vernichtung von Auftraggeber-Daten nach Beendigung der vertragsgegenständlichen Leistungserbringung hat der Auftragnehmer ein Protokoll zu erstellen, das dem Auftraggeber auf Anforderung vorzulegen ist Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung oder gesetzlichen Aufbewahrungsfristen dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. 12. Verhältnis zum Hauptvertrag Soweit in diesem Vertrag keine Sonderregelungen enthalten sind, gelten die Bestimmungen des Hauptvertrags. Im Fall von Widersprüchen zwischen diesem Vertrag und Regelungen

8 Seite 8 von 8 aus sonstigen Vereinbarungen, insbesondere aus dem Hauptvertrag, gehen die Regelungen aus diesem Vertrag vor. 13. Anlagen Anlage 1: Anlage 2: Anlage 3: Zweck, Art und Umfang der Datenverarbeitung, Art der Daten und Kreis der Betroffenen Technische und organisatorische Maßnahmen Unterauftragnehmer, den, den Auftraggebener Name: Position: Auftragnehmer: Name: Position:

9 Anlage 1 Zweck, Art und Umfang der Datenerhebung, -verarbeitung und -nutzung, Art der Daten und Kreis der Betroffenen Datenverarbeitung Nr. 1: Addigo-Cockpit Zweck der Datenverarbeitung Art und Umfang der Datenerhebung, -verarbeitung und -nutzung Art der Daten Addigo-Cockpit Erhebung Speicherung Veränderung Übermittlung Sperrung Löschung Nutzung zur... Vertragsdaten Kontaktdaten Bankdaten <weitere Datenkategorien> Kreis der Betroffenen Datenempfänger bei Weiterleitung von Daten an Dritte keine Kunden des Auftraggebers Interessenten Beschäftigte Lieferanten <weitere Betroffene> _Anlage-1-ADV-Vertrag_ADDIGO.docx

10 Anlage 2 Technische und organisatorische Maßnahmen des Auftragnehmers gemäß 9 BDSG Beim Auftragnehmer sind folgende technische und organisatorische Maßnahmen umgesetzt: 1. Zutrittskontrolle Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren. Alarmanlage Absicherung von Gebäudeschächten Automatisches Zugangskontrollsystem Chipkarten-/Transponder-Schließsystem Schließsystem mit Codesperre Manuelles Schließsystem Biometrische Zugangssperren Videoüberwachung der Zugänge Lichtschranken/Bewegungsmelder Sicherheitsschlösser Schlüsselregelung (Schlüsselausgabe, etc.) Personenkontrolle beim Pförtner/Empfang Protokollierung der Besucher Sorgfältige Auswahl von Reinigungspersonal Sorgfältige Auswahl von Wachpersonal Tragepflicht von Berechtigungsausweisen <Sonstige Maßnahmen der Zutrittskontrolle> 2. Zugangskontrolle Maßnahmen, die geeignet sind, zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können. Zuordnung von Benutzerrechten Erstellen von Benutzerprofilen Passwortvergabe Authentifikation mit biometrischen Verfahren Authentifikation mit Benutzername/Passwort Zuordnung von Benutzerprofilen zu IT-Systemen _Anlage-2-ADV-Vertrag_ADDIGO.docx

11 Seite 2 von 5 Gehäuseverriegelungen Einsatz von VPN-Technologie Sperren von externen Schnittstellen (USB etc.) Sicherheitsschlösser Schlüsselregelung (Schlüsselausgabe etc.) Personenkontrolle beim Pförtner/Empfang Protokollierung der Besucher Sorgfältige Auswahl von Reinigungspersonal Sorgfältige Auswahl von Wachpersonal Tragepflicht von Berechtigungsausweisen Einsatz von Intrusion-Detection-Systemen Verschlüsselung von mobilen Datenträgern Verschlüsselung von Smartphone-Inhalten Einsatz von zentraler Smartphone-Administrations-Software (z.b. zum externen Löschen von Daten) Einsatz von Anti-Viren-Software Verschlüsselung von Datenträgern in Laptops/Notebooks Einsatz einer Hardware-Firewall Einsatz einer Software-Firewall <Sonstige Maßnahmen der Zugangskontrolle> 3. Zugriffskontrolle Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Erstellen eines Berechtigungskonzeptes Verwaltung der Rechte durch einen Systemadministrator Anzahl der Administratoren auf das Notwendigste reduziert Passwortrichtlinie inkl. Passwortlänge, Passwortwechsel Erzwingung Passwortmindestlänge 8 Zeichen Erzwingung Passwortkomplexität (Verwendung Buchstaben, Ziffern, Sonderzeichen, Groß- und Kleinschreibung) Erzwingung Passwortwechsel nach 30 Tagen Protokollierung von Zugriffen auf Anwendungen, insbesondere bei der Eingabe, Änderung und Löschung von Daten Sichere Aufbewahrung von Datenträgern Physische Löschung von Datenträgern vor Wiederverwendung Ordnungsgemäße Vernichtung von Datenträgern (DIN 32757)

12 Seite 3 von 5 4. Weitergabekontrolle Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. Einsatz von Aktenvernichtern bzw. Dienstleistern (nach Möglichkeit mit Datenschutz- Gütesiegel) Protokollierung der Vernichtung Verschlüsselung von Datenträgern <Sonstige Maßnahmen der Zugriffskontrolle> Einrichtungen von VPN-Tunneln keine Weitergabe von Daten, egal in welcher Form -Verschlüsselung Erstellen einer Übersicht von regelmäßigen Abruf- und Übermittlungsvorgängen Dokumentation der Empfänger von Daten und der Zeitspannen der geplanten Überlassung bzw. vereinbarter Löschfristen Beim physischen Transport: sichere Transportbehälter/-verpackungen Beim physischen Transport: sorgfältige Auswahl von Transportpersonal und -fahrzeugen <Sonstige Maßnahmen der Weitergabekontrolle> 5. Eingabekontrolle Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Protokollierung der Eingabe, Änderung und Löschung von Daten Erstellen einer Übersicht, aus der sich ergibt, mit welchen Applikationen welche Daten eingegeben, geändert und gelöscht werden können. Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen (nicht Benutzergruppen) Aufbewahrung von Formularen, von denen Daten in automatisierte Verarbeitungen übernommen worden sind Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzeptes

13 Seite 4 von 5 <Sonstige Maßnahmen der Eingabekontrolle> 6. Auftragskontrolle Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (insbesondere hinsichtlich Datensicherheit) Vorherige Prüfung und Dokumentation der beim Auftragnehmer getroffenen Sicherheitsmaßnahmen Schriftliche Weisungen an den Auftragnehmer (z.b. durch Auftragsdatenverarbeitungsvertrag) i.s.d. 11 Abs. 2 BDSG Verpflichtung der Mitarbeiter des Auftragnehmers auf das Datengeheimnis ( 5 BDSG) Auftragnehmer hat einen Datenschutzbeauftragten bestellt Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrages Wirksame Kontrollrechte gegenüber dem Auftragnehmer vereinbart Laufende Überprüfung des Auftragnehmers und seiner Tätigkeiten Vertragsstrafen bei Verstößen <Sonstige Maßnahmen der Auftragskontrolle> 7. Verfügbarkeitskontrolle Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Unterbrechungsfreie Stromversorgung (USV) Klimaanlage in Serverräumen Geräte zur Überwachung von Temperatur und Feuchtigkeit in Serverräumen Schutzsteckdosenleisten in Serverräumen Feuer- und Rauchmeldeanlagen Feuerlöschgeräte in Serverräumen Alarmmeldung bei unberechtigten Zutritten zu Serverräumen Erstellen eines Backup- und Recovery-Konzeptes Testen von Datenwiederherstellung Erstellen eines Notfallplans Aufbewahrung von Datensicherung an einem sicheren, ausgelagerten Ort Serverräume nicht unter sanitären Anlagen In Hochwassergebieten: Serverräume über der Wassergrenze

14 Seite 5 von 5 <Sonstige Maßnahmen der Verfügbarkeitskontrolle> 8. Trennungsgebot Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Physikalisch getrennte Speicherung auf gesonderten Systemen oder Datenträgern Logische Mandantentrennung (softwareseitig) Erstellung eines Berechtigungskonzeptes Verschlüsselung von Datensätzen, die zu demselben Zweck verarbeitet werden Versehen der Datensätze mit Zweckattributen/Datenfeldern Bei pseudonymisierten Daten: Trennung der Zuordnungsdatei und der Aufbewahrung auf einem getrennten, abgesicherten IT-System Festlegung von Datenbankrechten Trennung von Produktiv- und Testsystem <Sonstige Maßnahmen zur Gewährleistung des Trennungsgebots>

15 Anlage 3 Unterauftragnehmer Unterauftragnehmer <Unterauftragnehmer, Anschrift> Tätigkeiten Zweck Kategorien von Daten <Tätigkeit> <Zweck der Datenverarbeitung> <Art der Daten, z.b. Vertragsdaten, Kontaktdaten Bankdaten> Betroffene <Kreis der Betroffenen, z.b. Kunden, Interessenten, Lieferanten> <weiterer Unterauftragnehmer> <Tätigkeit> <Zweck der Datenverarbeitung> <Art der Daten> <Kreis der Betroffenen>