Datenschutz und Datensicherheitsbestimmungen (DuD-B)

Transkript

1 Anlage Datenschutz Datenschutz und Datensicherheitsbestimmungen (DuD-B) - Zum Vertrag Nr. XXXX - Zur Bestellung Nr. XXXX 1. Die nachfolgenden Datenschutz- und Datensicherheitsbestimmungen (DuD-B) finden Anwendung auf alle Leistungen oder Tätigkeiten, bei denen der AUFTRAGNEHMER, von ihm eingesetzte Personen oder durch den AUFTRAGNEHMER mit Einwilligung des AUFTRAGGEBERS beauftragte Subunternehmer personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen, 11 Abs. 1 BDSG. 2. Die DuD-B finden weiterhin Anwendung bei Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen (Prüfung, Wartung und Pflege von Hard- oder Software), wenn dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann, 11 Abs. 5 BDSG. Die DuD-B bestehen aus: Teil 1: Allgemeine Regelungen zur Auftragsdatenverarbeitung Teil 2: Vereinbarung zur Festlegung der technischen und organisatorischen Maßnahmen Teil 3: Konkrete Angaben zur Auftragsdatenverarbeitung Anlage Datenschutz DuD-B (V4.0 Stand ) Seite 1 von 13

2 Teil 1 Allgemeine Regelungen zur Auftragsdatenverarbeitung 1 Allgemeine Bestimmungen (1) Der AUFTRAGGEBER ist als verantwortliche Stelle i.s.d. 3 Abs. 7 Bundesdatenschutzgesetz (BDSG) für die Einhaltung des BDSG und anderer Vorschriften über den Datenschutz, für die Rechtmäßigkeit der Datenerhebung, - verarbeitung und -nutzung, insbesondere der Datenweitergabe an den AUFTRAGNEHMER, sowie für die Wahrnehmung der Rechte der Betroffenen ( 3 Abs. 1 BDSG) verantwortlich, 11 Abs. 1 S. 1 BDSG. Der AUFTRAGNEHMER hat den AUFTRAGGEBER hierbei in geeigneter Weise zu unterstützen, 11 Abs. 3 BDSG. Darüber hinaus verpflichtet sich der AUFTRAGNEHMER zur Einhaltung sämtlicher einschlägiger datenschutzrechtlicher Vorschriften im Rahmen der Ausführung des Auftrages. Sofern der AUFTRAGGEBER im Rahmen des jeweiligen Auftrages seinerseits Auftragsdatenverarbeiter ist, stehen die Rechte aus dieser Anlage auch den vorgehenden Auftraggebern zu. (2) Bei der Erhebung, Verarbeitung und Nutzung personenbezogener Daten wird der AUFTRAGNEHMER für den AUFTRAGGEBER tätig und ist insoweit verpflichtet, die Daten ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen und für Zwecke des AUFTRAGGEBERS zu erheben, zu verarbeiten oder zu nutzen und dabei gemäß 11 Abs. 3 S. 1 BDSG den Weisungen des AUFTRAGGEBERS zu folgen. Eine Verarbeitung oder Nutzung für sonstige, insbesondere eigene Zwecke ist dem AUFTRAGNEHMER nicht erlaubt. (3) Soweit der AUFTRAGNEHMER seine Leistung in den Räumlichkeiten oder unter Zugriff auf die Systeme des AUFTRAGGEBERS erbringt, unterliegt er den Kontrolleinrichtungen des AUFTRAGGEBERS (insbesondere Zutritts-, Zugangsund Zugriffskontrolle). (4) Bei der -Kommunikation werden die Parteien die Vertraulichkeit beachten, indem sie vertrauliche Informationen gegen unberechtigte Kenntnisnahme oder Manipulationen schützen. Hierzu können die Parteien entsprechende technische Maßnahmen, z.b. Verschlüsselungs- und Signaturverfahren, abstimmen. Anlage Datenschutz DuD-B (V4.0 Stand ) Seite 2 von 13

3 2 Pflichten des AUFTRAGNEHMERS (1) Der AUFTRAGNEHMER bestätigt und stellt sicher, dass die für die Durchführung des Auftrags eingesetzten Personen gemäß 5 BDSG (Datengeheimnis) schriftlich verpflichtet und in die Schutzbestimmungen des BDSG eingewiesen worden sind. Die gleiche Verpflichtung gilt für weitere Bestimmungen zum Datenschutz (z.b. 88 TKG sowie 203, 206 StGB), sofern diese im konkreten Auftrag einschlägig sind. Auf Verlangen des AUFTRAGGEBERS wird der AUFTRAGNEHMER die Verpflichtung und Einweisung nachweisen. (2) Der AUFTRAGNEHMER darf Zugriffsberechtigungen nur an Personen vergeben, die mit der Durchführung des Auftrags befasst sind. Die Berechtigungen sind nur in dem für die Erfüllung der jeweiligen Aufgaben erforderlichen Umfang zu vergeben. Auf Verlangen wird der AUFTRAGNEHMER dem AUFTRAGGEBER die zugriffsberechtigten Personen und deren Berechtigungen benennen. (3) Die Verarbeitung von Daten außerhalb von Betriebsstätten des AUFTRAGNEHMERS (z.b. Heim-/Telearbeit, Remotezugriff) ist unzulässig, es sei denn, die Parteien haben eine schriftliche Vereinbarung getroffen, die insbesondere die Datensicherheit und die Prüfungsrechte gemäß nachstehendem 2 Nr. 6 und 7 sicherstellt. (4) Die Datenerhebung, -verarbeitung oder -nutzung darf nur innerhalb der EU oder der EWR-Staaten erfolgen, 3 Abs. 8 Satz 3 BDSG. Die Datenerhebung, - verarbeitung oder -nutzung außerhalb der EU/EWR-Staaten (Drittstaaten) ist unzulässig. Dies gilt auch für Subunternehmer, wobei darauf hingewiesen wird, dass unter Verarbeitung auch die Möglichkeit der Einsichtnahme, etwa im Rahmen von Fernwartungszugriffen zu verstehen ist, 3 Abs. 4 Nr. 3 b BDSG. (5) Zum Schutz personenbezogener Daten vor Missbrauch und Verlust wird der AUFTRAGNEHMER die technischen und organisatorischen Maßnahmen treffen, auf die sich die Parteien entsprechend 9 BDSG und Anlagen zu 9 BDSG in Teil 2 der DuD-B, der Vereinbarung zur Festlegung der technischen und organisatorischen Maßnahmen (TOM), verständigt haben. Die vereinbarten Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung und sind vom AUFTRAGNEHMER dem aktuellen Stand der Technik anzupassen. Dies gilt ebenso im Fall von Anordnungen der zuständigen Aufsichtsbehörden. Beabsichtigte wesentliche Änderungen (z.b. wesentliche Änderung von Verschlüsselungsverfahren oder Anmeldeprozeduren) sind zu dokumentieren und dem AUFTRAGGEBER mitzuteilen sowie einvernehmlich in einer geänderten Fassung des Teil 2 der DuD-B, der Vereinbarung zur Festlegung der technischen und organisatorischen Maßnahmen festzuhalten, wobei der AUFTRAGGEBER Änderungen nicht ohne erheblichen Grund widerspricht. (6) Der AUFTRAGNEHMER gewährleistet die ordnungsgemäße Durchführung der technischen und organisatorischen Maßnahmen (Teil 2 der DuD-B, TOM ). Die Einhaltung der technischen und organisatorischen Maßnahmen wird der AUFTRAGNEHMER regelmäßig durch geeignete Nachweise z.b. von seiner Revision, seinem betrieblichen Datenschutzbeauftragten oder einer anerkannten Wirtschaftsprüfungsgesellschaft, belegen. Diese sogenannte Einhaltungsbestätigung ist vom AUFTRAGNEHMER dem AUFTRAGGEBER vor Beginn der Datenverarbeitung und danach sofern im Einzelfall nichts anderes vereinbart wird, unaufgefordert jährlich vorzulegen bzw. bereitzustellen. (7) Anlage Datenschutz DuD-B (V4.0 Stand ) Seite 3 von 13

4 Unabhängig davon räumt der AUFTRAGNEHMER dem AUFTRAGGEBER und dessen Bevollmächtigten bezüglich der vereinbarten technischen und organisatorischen Maßnahmen ein Besichtigungs-, Einsichtnahme-, Auskunftsund Kontrollrecht (Prüfungsrechte), grundsätzlich nach vorheriger Abstimmung mit dem AUFTRAGNEHMER und während dessen gewöhnlichen Geschäftszeiten, ein. Der AUFTRAGNEHMER ist verpflichtet, im Falle von Auskünften und Einsichtnahmen die erforderliche Unterstützung bereitzustellen. Im Übrigen wird der AUFTRAGNEHMER den Personen, die Prüfungen oder sonstige Maßnahmen gemäß BDSG vornehmen, den Zugang zu allen Räumlichkeiten und Liegenschaften zwecks Einhaltung der gesetzlichen Prüfpflichten des AUFTRAGGEBERS und seiner Pflichten gemäß 38 BDSG (Aufsichtsbehörde) gewähren. (8) Der AUFTRAGNEHMER hat den AUFTRAGGEBER unverzüglich darauf aufmerksam zu machen, wenn eine vom AUFTRAGGEBER erteilte Weisung seiner Meinung nach gegen das BDSG oder eine andere Vorschrift über den Datenschutz verstößt, 11 Abs. 3 S. 2 BDSG. (9) Der AUFTRAGNEHMER hat auf Weisung des AUFTRAGGEBERS die Daten zu berichtigen, zu löschen oder zu sperren, 35 BDSG. Näheres bestimmt sich nach den Regelungen des Vertrages einschließlich seiner Anlagen. (10) Der AUFTRAGNEHMER ist nicht befugt, ohne schriftliche Einwilligung des AUFTRAGGEBERS Hard- oder Software an die Systeme des AUFTRAGGEBERS anzuschließen oder darauf zu installieren. (11) Dem AUFTRAGNEHMER ist es nicht gestattet, personenbezogene Daten in Systeme Dritter einzuspielen. Dies gilt auch für Testzwecke. (12) Dem Auftragnehmer ist es nicht gestattet während der Entwicklung von Software oder der Prüfung und Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen des AUFTRAGGEBERS personenbezogenen Daten, sondern fiktive Testdaten oder allenfalls anonymisierte Originaldaten zu verwenden. (13) Der AUFTRAGNEHMER wird personenbezogene Daten nach Abschluss der Arbeiten - nach den Vorgaben des AUFTRAGGEBERS - vollständig datenschutzgerecht löschen (einschließlich der verfahrens- oder sicherheitstechnisch notwendigen Kopien) oder an den AUFTRAGGEBER zurückgeben. Das gleiche gilt auch für Test- und Ausschussmaterial, das bis zur Löschung oder Rückgabe unter datenschutzgerechtem Verschluss zu halten ist. Gesetzliche Aufbewahrungspflichten, denen der AUFTRAGNEHMER unterliegt insbesondere nach Abgabenordnung und HGB, bleiben hiervon unberührt. Vertragsbezogene Daten (z.b. Ansprechpartner des AUFTRAGGEBERS), die zur Sicherung von Beweisinteressen des AUFTRAGNEHMERS erforderlich sind, dürfen in gesperrter Form bis zum Ablauf der hierfür geltenden Verjährungsfrist aufbewahrt werden. Die Löschung ist dem AUFTRAGGEBER auf Anforderung schriftlich zu bestätigen. Zurückbehaltungsrechte des AUFTRAGNEHMERS sind ausgeschlossen. (14) Der AUFTRAGNEHMER ist verpflichtet, den AUFTRAGGEBER unaufgefordert und unverzüglich zu informieren, wenn vom Auftragnehmer personenbezogene Daten des Auftraggebers unrechtmäßig an Dritte übermittelt oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind ( Datenschutzverletzung ). (15) Der AUFTRAGNEHMER hat dem AUFTRAGGEBER, soweit vertraglich nicht abweichend geregelt, alle aus einer Datenschutzverletzung entstehenden Anlage Datenschutz DuD-B (V4.0 Stand ) Seite 4 von 13

5 Schäden, insbesondere die Kosten für die Benachrichtigung der Betroffenen oder ein etwaiges Bußgeld bei Verletzung der Selbstanzeigepflicht gemäß 42a BDSG zu ersetzen, sofern dem ein schuldhaftes Verhalten des AUFTRAGNEHMERS zugrunde liegt. (16) Der AUFTRAGNEHMER hat den AUFTRAGGEBER bei Unregelmäßigkeiten des Datenverarbeitungsablaufes, bei begründetem Verdacht der Verletzung von Vorschriften und vertraglichen Vereinbarungen zum Schutz personenbezogener Daten, sowie bei Beanstandungen durch eine Datenschutzaufsichtsbehörde, eine Revision oder in sonstigen Datenschutzprüfungsberichten, sofern ihm dies nicht aufgrund einer behördlichen Vorgabe im Rahmen eines Ermittlungsverfahrens untersagt ist, zu informieren und die Abhilfemaßnahmen aufzuzeigen. (17) Der AUFTRAGNEHMER ist für die Durchführung des Auftrages verpflichtet, nach Maßgabe des 4f BDSG einen Beauftragten für den Datenschutz schriftlich zu bestellen, der die Aufgaben nach 4g Abs. 1 und 2 BDSG erfüllt. Soweit der AUFTRAGNEHMER nach Maßgabe des 4f BDSG nicht zur Bestellung eines Beauftragten für den Datenschutz verpflichtet ist, stellt er die Erfüllung der Aufgaben nach 4g Abs. 1 und 2 BDSG in anderer Weise sicher. Der AUFTRAGNEHMER wird dem AUFTRAGGEBER den Namen des Beauftragten für den Datenschutz benennen. Bei einem Wechsel des Beauftragten für den Datenschutz wird der AUFTRAGNEHMER den AUFTRAGGEBER unverzüglich hiervon in Kenntnis setzen. (18) Dem AUFTRAGNEHMER ist bekannt, dass ein Verstoß gegen datenschutzrechtliche Vorschriften eine Ordnungswidrigkeit und gegebenenfalls auch eine Straftat nach 43, 44 BDSG darstellen kann. 3 Subunternehmer (1) Der Einsatz von Subunternehmern durch den AUFTRAGNEHMER und/oder weiterer Subunternehmer (Kettenbeauftragung) bedarf - soweit zwischen den Parteien nichts Abweichendes vereinbart ist - der schriftlichen Einwilligung des AUFTRAGGEBERS. (2) Die schriftlich zu treffenden, vertraglichen Vereinbarungen zwischen dem AUFTRAGNEHMER und dem Subunternehmer sind so zu gestalten, dass sie den Regelungen der vorliegenden Anlage entsprechen. Zu diesem Zweck müssen insbesondere die mit dem Subunternehmer zu vereinbarenden technischen und organisatorischen Maßnahmen ein gleichwertiges Schutzniveau aufweisen; die Weisungs- und Kontrollrechte ( 2 Nr. 6 und 7) müssen uneingeschränkt erhalten bleiben und die Datenverarbeitung muss weiterhin in der EU/EWR erfolgen (vgl. 2 Nr. 4). (3) Auf Anforderung des AUFTRAGGEBERS wird der AUFTRAGNEHMER Auskunft über den wesentlichen Vertragsinhalt mit dem Subunternehmer und die Umsetzung der datenschutzrelevanten Verpflichtungen geben, erforderlichenfalls durch Einsicht in die relevanten Vertragsunterlagen. (4) Bedient sich der AUFTRAGNEHMER bei der Erbringung der Leistung gegenüber dem AUFTRAGGEBER eines Subunternehmers, wird der AUFTRAGNEHMER Anlage Datenschutz DuD-B (V4.0 Stand ) Seite 5 von 13

6 dem AUFTRAGGEBER unverzüglich auf Verlangen die Dokumentation und das Ergebnis der vom AUFTRAGNEHMER in Bezug auf den Subunternehmer durchgeführten Erstkontrolle und regelmäßigen Kontrollen bzw. die Einhaltungsbestätigungen des Subunternehmers zugänglich machen. (5) Der AUFTRAGNEHMER bleibt für die Erfüllung der auf den Subunternehmer übertragenen Tätigkeiten im gleichen Umfang verantwortlich, als würden diese durch den AUFTRAGNEHMER selbst ausgeführt. (6) Die Regelungen dieser Anlage sind bei einer Kettenbeauftragung entsprechend vertraglich zu vereinbaren. Wiesbaden, den, den AUFTRAGGEBER AUFTRAGNEHMER Anlage Datenschutz DuD-B (V4.0 Stand ) Seite 6 von 13

7 Teil 2 Vereinbarung zur Festlegung der technischen und organisatorischen Maßnahmen Nach 11 Abs. 2 S. 2 BDSG sind die technischen und organisatorischen Datenschutzmaßnahmen schriftlich festzulegen. Bitte beachten Sie hierzu die beigefügten Ausfüllhinweise. Folgende technische und organisatorische Maßnahmen (Anlage zu 9 BDSG) werden zwischen dem AUFTRAGGEBER und dem AUFTRAGNEHMER verbindlich festgelegt. 11 Abs. 4 BDSG bleibt unberührt. 1) Zutrittskontrolle Maßnahmen die Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden verwehren: 2) Zugangskontrolle Maßnahmen die verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können: 3) Zugriffskontrolle Maßnahmen die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können: 4) Weitergabekontrolle Maßnahmen die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist: 5) Eingabekontrolle Maßnahmen die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind: 6) Auftragskontrolle Maßnahmen die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden: Anlage Datenschutz DuD-B (V4.0 Stand ) Seite 7 von 13

8 7) Verfügbarkeitskontrolle Maßnahmen die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind: 8) Trennungsgebot Maßnahmen die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden: Stand (Datum), den AUFTRAGNEHMER Anlage Datenschutz DuD-B (V4.0 Stand ) Seite 8 von 13

9 Teil 3 Konkrete Angaben zur Auftragsdatenverarbeitung Gemäß 11 Abs. 2 Satz 2 BDSG sind folgende konkrete Angaben für den Auftrag festzulegen, sofern sie nicht bereits im Vertrag einschließlich seiner Anlagen geregelt wurden: 1. der Gegenstand und die Dauer des Auftrags, 2. der Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen, 3. die nach 9 BDSG zu treffenden technischen und organisatorischen Maßnahmen (in Anlage 4 des Rahmenvertrages festgelegt), 4. die Berichtigung, Löschung und Sperrung von Daten, 5. die nach 11 Absatz 4 BDSG bestehenden Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden Kontrollen, 6. die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen, 7. die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers, 8. mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen, 9. der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält, 10. die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags. 1. zu Nr. 1: Gegenstand des Auftrages Der Auftragnehmer verarbeitet/erhebt/nutzt personenbezogene Daten im Auftrag des Auftraggebers. Der Gegenstand des Auftrags ergibt sich im Einzelnen aus der Leistungsvereinbarung (Bestellung, Vertrag, Auftrag), auf die hier verwiesen wird. Soweit in der Leistungsvereinbarung auf die Aufgaben des Auftragnehmers Bezug genommen wird, sind die jeweiligen Vertragsvorschriften wesentlicher Bestandteil dieses Auftrages. [Zu löschende Ausfüllhilfe: In der Leistungsvereinbarung muss der Auftrag zur Verarbeitung der personenbezogenen Daten beschrieben sein. Ist das nicht ausdrücklich und unmittelbar der Fall, sind diese Angaben nachstehend schriftlich festzuhalten. Sofern auf die Leistungsvereinbarung verwiesen wird, müssen die Unterschriften vom Auftraggeber und dem Auftragnehmer auf derselben Vertragsurkunde erfolgen. oder Gegenstand des Auftrags zum Datenumgang ist die Durchführung folgender Aufgaben durch den Auftragnehmer: [Zu löschende Ausfüllhilfe: Hier bitte den jeweiligen Auftragsgegenstand im Hinblick auf Umfang, Art und Zweck der Aufgaben des Auftragnehmers genau beschreiben, und zwar was im Hinblick auf die personenbezogenen Daten zu tun ist - Beispielsbeschreibung: Der Auftragnehmer führt auf Basis von Einzelabrufen Direktmarketing-Maßnahmen (DIMA-Maßnahmen) für den Auftraggeber durch. Anlage Datenschutz DuD-B (V4.0 Stand ) Seite 9 von 13

10 Auf Basis der bereitgestellten Daten werden vom Auftragnehmer folgende Leistungen erbracht: Erstellung und Versand von personalisierten Werbebriefen nach vorgegebenem Muster in Abhängigkeit von der jeweiligen Zielgruppe; Dauer des Auftrages Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit der Leistungsvereinbarung. oder (insbesondere, falls in der Leistungsvereinbarung keine Vorschrift zur Laufzeit besteht) Der Auftrag wird zur einmaligen Ausführung erteilt und endet, sobald die Leistung erbracht bzw. abgenommen ist. oder Die Dauer dieses Auftrags (Laufzeit) ist befristet bis zum [Zu löschende Ausfüllhilfe: Fachbereich bitte Datum ergänzen]. oder Der Auftrag ist unbefristet erteilt und kann von beiden Parteien mit einer Frist von [Zu löschende Ausfüllhilfe: Fachbereich Bitte Datum ergänzen] zum [Zu löschende Ausfüllhilfe: Fachbereich Bitte Datum ergänzen] gekündigt werden. Die Möglichkeit zur fristlosen Kündigung bleibt hiervon unberührt. 2. zu Nr. 2: Umfang, Art und Zweck der Erhebung, Verarbeitung oder Nutzung von Daten a) Art der Auftragsdatenverarbeitung DV-Dienstleister (z.b. Rechenzentrum) Callcenter Lettershop Datenträgerentsorgung Personaldatenverarbeitung Markt- und Meinungsforschung Sonstige: b) Zusammensetzung der personenbezogenen Daten Die im Rahmen der Auftragsdatenverarbeitung zwischen dem Auftraggeber und Auftragnehmer ausgetauschten personenbezogenen Daten setzen sich wie folgt zusammen: [Zu löschende Ausfüllhilfe: Detaillierte Beschreibung der ausgetauschten, in den Kontrollbereich des Auftragnehmers verbrachten personenbezogenen Daten - Beispielsbeschreibung: Vorname; Nachname; Straße; Postleitzahl; Ort; Anlage Datenschutz DuD-B (V4.0 Stand ) Seite 10 von 13

11 Anrede Anredebezeichnung; Geburtsdatum/Gründungdatum; Personennummer; Kundenberater; Telefon privat; Telefon geschäftlich; Telefax; Zielgruppe. Es genügt aber auch eine Nennung der Oberbegriffe: Postanschrift, Kontaktdaten] c) Verarbeitungsschritte Zur Erfüllung seiner Aufgaben und Erbringung seiner Leistungen gemäß Ziffer 1 führt der Auftragnehmer im Rahmen der Erhebung, Verarbeitung oder Nutzung der personenbezogenen Daten die folgende einzelnen Arbeitsschritte durch, bei denen personenbezogene Daten erhoben, verarbeitet und genutzt werden: [Zu löschende Ausfüllhilfe: Detaillierte Beschreibung der einzelnen Arbeitsschritte, bei denen personenbezogene Daten erhoben, verarbeitet oder genutzt werden Beispielsbeschreibung (Erstellung und Versand von personalisierten Werbebriefen nach vorgegebenem Muster in Abhängigkeit von der jeweiligen Zielgruppe): - Prüfung und Erfassung der gemäß Ziffer 3 Buchstabe b) dieser Vereinbarung vom Auftraggeber gelieferten personenbezogenen Daten; - Abgleich der vom Auftraggeber gelieferten personenbezogenen Daten mit der Werbewiderspruchsdatei ( Robinson -Liste); - Erzeugung von Druckdaten der beauftragten Werbemaßnahme; - Lieferung der erforderlichen personenbezogenen Daten aus Neuabschlüssen des Auftraggebers im Zeitraum nach Durchführung der beauftragten Werbemaßnahme an den Auftragnehmer zur Erfolgsauswertung; - Erfolgsauswertung durch Abgleich von Neuabschlüssen des Auftraggebers und den von ihm gelieferten Adresslisten; Bei folgenden Arbeitsschritten bedient sich der Auftragnehmer nach vorheriger Zustimmung des Auftraggebers Erfüllungsgehilfen (z. B. Firma [ ]): - Druck und Personalisierung von Endlosformaten; - Zusammenführung, Kuvertierung und Postauflieferung.] Art der Daten Gegenstand der Erhebung, Verarbeitung und / oder Nutzung personenbezogener Daten sind folgende Datenarten / -kategorien: [Zu löschende Ausfüllhilfe für den Fachbereich: Detaillierte Beschreibung der Art der Daten - Beispielsbeschreibungen: - Personenstammdaten; - Kommunikationsdaten (z.b. Telefon, ); Anlage Datenschutz DuD-B (V4.0 Stand ) Seite 11 von 13

12 - Vertragsstammdaten (Vertragsbeziehung, Produkt- bzw. Vertragsinteresse); - Kundenhistorie; - Vertragsabrechnungs- und Zahlungsdaten; - Planungs- und Steuerungsdaten; - Auskunftsangaben (von Dritten, z.b. Auskunfteien, oder aus öffentlichen Verzeichnissen).] Kreis der Betroffenen Der Kreis der durch den Umgang mit ihren personenbezogenen Daten im Rahmen dieses Auftrags Betroffenen umfasst: [Zu löschende Ausfüllhilfe: Genaue Beschreibung der betroffenen Personenkreise - Beispielsbeschreibungen: - Kunden; - Interessenten; - Abonnenten; - Beschäftigte i. S. d. 3 Abs. (11) BDSG; - Lieferanten; - Handelsvertreter; - Ansprechpartner.] 3. zu Nr. 4: Berichtigung, Löschung, Sperrung von Daten Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung, Löschung oder Sperrung seiner Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten. Im Übrigen gilt Anlage 3 des Rahmenvertrages 2 Abs. (8) DuD-B. Falls steuerrechtlich relevante Daten betroffen sind, gilt für diesen Unterfall alternativ folgende Musterformulierung: Der AUFTRAGNEHMER ist verpflichtet, die im Rahmen der Erbringung seiner Leistungen entstehenden Unterlagen einschließlich der in diesem Zusammenhang anfallenden personenbezogenen Daten für die Dauer der gesetzlichen Aufbewahrungsfristen unter Berücksichtigung der Vorschriften der Abgabenordnung aufzubewahren und anschließend zu löschen (Anlage 3 des Rahmenvertrages 2 Abs. 12 DuD-B), wobei personenbezogene Daten nach Erfüllung des Vertragszwecks zu sperren sind. Unterlagen in diesem Sinne sind auch digital erstellte Daten. Die gesetzliche Aufbewahrungsfrist (Anlage 3 des Rahmenvertrages 2 Abs. 12 DuD-B) läuft gem. 147 Abs. 3 Satz 3 Abgabenordnung (AO) nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für welche die Festsetzungsfrist noch nicht abgelaufen ist. Aus diesem Grund ist vor einer Vernichtung der Unterlagen eine entsprechende Auskunft vom AUFTRAGGEBER einzuholen. Eine Vernichtung ohne Rückfrage bei dem AUFTRAGGEBER nach Ablauf von 13 Jahren nach Beginn der Aufbewahrungsfrist ist zulässig, sofern nicht ausdrücklich eine andere Vereinbarung getroffen wurde. Wenn die Unterlagen mit Hilfe von Datenverarbeitungssystemen erstellt wurden, sind gemäß 147 Absatz 6 der Abgabenordnung während der vorstehend genannten Aufbewahrungsfristen zusätzlich die Datenverarbeitungssysteme zur Prüfung durch die Finanzbehörde im Rahmen einer Außenprüfung vorzuhalten. 4. zu Nr. 6: etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen Die Durchführung der vertraglich vereinbarten Leistungen oder Teilen hiervon durch Subunternehmer ist nicht zulässig. Anlage Datenschutz DuD-B (V4.0 Stand ) Seite 12 von 13

13 oder Die Berechtigung ergibt sich aus dem Hauptvertrag. oder Die Parteien vereinbaren, dass der AUFTRAGNEHMER folgende Subunternehmer einsetzen darf: 5. zu Nr. 7: Nachweis zur Einhaltung der vereinbarten technisch-organisatorischen Maßnahmen Der Auftragnehmer ist verpflichtet, den nach Anlage 3 des Rahmenvertrages 2 Abs. (6) DuD-B geschuldeten Nachweis zur Einhaltung der zwischen dem Auftraggeber und dem Auftragnehmer vereinbarten technisch-organisatorischen Maßnahmen gemäß 9 BDSG und Anlagen zu 9 BDSG (siehe Anlage 4 des Rahmenvertrages Vereinbarung zu den technischen und organisatorischen Maßnahmen vom Zu löschende Ausfüllhilfe: bitte Datum einfügen dem Auftraggeber vor Beginn der Auftragsdatenverarbeitung unaufgefordert vorzulegen. 6. zu Nr. 9: Umfang der Weisungsbefugnisse, Verantwortliche Ansprechpartner bei den Parteien Der Auftragnehmer darf während der Dauer des Auftrages die personenbezogenen Daten ausschließlich für die Zwecke gemäß Ziffer 1 entsprechend den unter Ziffer 3 Buchstabe c) dargestellten Verarbeitungsschritten erheben, verarbeiten oder nutzen, wenn und soweit dies mit den Bestimmungen zum Schutz personenbezogener Daten vereinbar ist. Darüber hinaus hat der Auftragnehmer alle weiteren konkreten und/oder generellen schriftlichen Weisungen des Auftraggebers über Art, Umfang und Verfahren der Datenverarbeitung nach Maßgabe der Anlage 3 des Rahmenvertrages zu befolgen. Weisungsberechtigte Personen des Auftraggebers sind: Zu löschende Ausfüllhilfe: Bitte Name, Organisationseinheit, Funktion, Telefon ergänzen Weisungsempfänger beim Auftragnehmer sind: Zu löschende Ausfüllhilfe: Auftragnehmer bitte Name, Organisationseinheit, Funktion, Telefon ergänzen Bei einem Wechsel oder einer längerfristigen Verhinderung des Ansprechpartners ist dem Vertragspartner unverzüglich schriftlich der Nachfolger bzw. Vertreter mitzuteilen. 7. Geltung der Anlage Datenschutz- und Datensicherheitsbestimmungen ( DuD-B ) Die DuD-B ist wesentlicher Bestandteil des Vertrages zwischen den Parteien. Anlage Datenschutz DuD-B (V4.0 Stand ) Seite 13 von 13