Auftragsdatenverarbeitung

Transkript

1 Auftragsdatenverarbeitung Wenn Sie als Unternehmer personenbezogene Daten Ihrer Firma (z. B. die Lohn- und Gehaltsdaten Ihrer Mitarbeiter) durch ein fremdes Dienstleistungsunternehmen (Auftragnehmer) verarbeiten lassen wollen, so bleiben Sie datenschutzrechtlich dennoch weiterhin in der Verantwortung. Sie haben den Auftragnehmer sorgfältig auszuwählen und dabei besonderes Augenmerk auf seine Sicherheitsvorkehrungen zu legen. Der Auftrag ist schriftlich zu erteilen und muss insbesondere klare Aussagen über folgende Teilbereiche enthalten: Spezifizierung der ausgelagerten Datenerhebung, Datenverarbeitung und Datennutzung Darstellung der beim Auftragnehmer tatsächlich realisierten technischen und organisatorischen Maßnahmen zur Datensicherheit sowie Festlegung etwaiger Unterauftragsverhältnisse (Subunternehmer). Der Auftragnehmer darf die Daten nur im Rahmen dieser so genannten "Weisungen" des Auftraggebers verarbeiten bzw. nutzen. Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen Datenschutzvorschriften verstößt, so hat er den Auftraggeber unverzüglich darauf hinzuweisen. Nachfolgend finden Sie einige Vorschläge für die Formulierung der schriftlichen Regelungen (Weisungen) zur Auftragsdatenverarbeitung: KWF Business Consultants GmbH Seite 1 von 5

2 Allgemeine Vorschläge zur Formulierung des datenschutzrechtlichen Teils vertraglicher Regelungen zur Auftragsdatenverarbeitung nach 11 BDSG (hier: Datenverarbeitung) 1. Der Auftraggeber (Name und Anschrift der Auftraggeberfirma) beauftragt hiermit den Auftragnehmer (Name und Anschrift der Auftragnehmerfirma) mit der ordnungsgemäßen und datenschutzgerechten Erledigung folgender Arbeiten: Erledigung von Abrechnungsarbeiten Erledigung von Schreibarbeiten Pflege und Verwaltung von Adressdatenbeständen Erledigung von Buchführungsarbeiten (Finanzbuchführung einschließlich Lohn- und Gehaltsabrechnung) Erstellung von Adressetiketten Mikroverfilmung von Buchführungsunterlagen Archivierung von geschäftlichen Unterlagen auf CD Durchführung von Mailings und sonstigen Marketingmaßnahmen Sonstiges (bitte genau definieren): Folgende technische und organisatorische Maßnahmen zur Datensicherung im Sinne von 9 BDSG sind beim Auftragnehmer getroffen: Das zu verarbeitende bzw. zu vernichtende Datenmaterial wird auf direktem Weg vom Auftraggeber zum Auftragnehmer transportiert (Botendienst/Post/Spediteur/...) und ist vom Zeitpunkt der Anlieferung bis zum Abschluss seiner Verarbeitung gegen unberechtigte Einblicknahme Dritter geschützt. (Einzelheiten bitte ggf. selbst formulieren!) Das Betriebsgelände/-gebäude des Auftragnehmers liegt im Gewerbegebiet... und bildet nach außen hin eine geschlossene Einheit. Türen und Tore der Gebäude sind mit Sicherheits-/Magnetkartenschlössern versehen. Türen und Fenster sind außerhalb der Betriebszeiten fest verschlossen. Erdgeschossfenster verfügen über eine gesonderte Sicherung (z.b.: Gitter, abschließbare Griffe, Sichtschutz,...). Die Gebäude sind durch eine Alarmanlage (ggf. mit Anschluss an eine Notrufzentrale) geschützt. In den Innenfluren sind zusätzlich Bewegungsmelder installiert. Das gesamte Betriebsgelände ist mit einem Zaun mit umgeben (ggf. nächtliche Kontrollgänge). (Einzelheiten bitte ggf. KWF Business Consultants GmbH Seite 2 von 5

3 selbst formulieren!) Die Schlüssel zu den Räumlichkeiten, in denen die Auftragsdaten verarbeitet bzw. vernichtet werden, befinden sich in der ausschließlichen Obhut der Geschäftsleitung des Auftragnehmers sowie ggf. der zuständigen Mitarbeiter. Dritte haben zu den Räumlichkeiten keinen Zutritt. Über ein einheitliches Schließsystem wird (ggf.) gewährleistet, dass Mitarbeiter neben den allgemeinen Bereichen nur ihre eigenen Räume betreten können. Die Vergabe von Schlüsseln ist schriftlich geregelt (z. B. durch eine Schlüssel- Liste). (Einzelheiten bitte ggf. selbst formulieren!) Die EDV-Anlage des Auftragnehmers (Hersteller und Typ, Betriebssystem, Anwendungssoftware,...) ist in einem (ggf. fensterlosen) Innenraum / in einem abgeschotteten EDV-Raum /... untergebracht. Die Tür zu diesem Raum besteht aus Metall/Holz/ Kunststoff und verfügt über ein eigenes Sicherheitsschloss (Zugangskontrollanlage?). Zugang zum EDV-Raum haben nur die Geschäftsleitung/Inhaber sowie ggf. die zuständigen Mitarbeiter. Die Zugangsberechtigung zum EDV-Raum ist schriftlich geregelt. (Einzelheiten bitte ggf. selbst formulieren!) Der Zugriff auf das System ist mit Benutzerkennungen und (abgestuften) Passwörtern geschützt. Für Fernwartungstechniker besteht ggf. eine gesonderte USER-ID, die keine Einblicke in Dateien mit personenbezogenen Daten zulässt. Ein Virenscanner der Marke... ist installiert. Außerdem ist folgende Datenschutz-Software implementiert: (z. B.:...). (Einzelheiten bitte ggf. selbst formulieren!) Die Abschottung der Datenbestände verschiedener Auftraggeber untereinander wird beim Auftragnehmer durch Speicherung in getrennten physischen Dateien bzw. Datenbanken erreicht. Sicherungsbestände der Daten lagern (ggf.) in einem Stahlschrank und (ggf.) zusätzlich in einem Schließfach der Hausbank. Für die datenschutzgerechte Vernichtung von Fehldrucken und sonstigem Datenmüll steht ein hauseigener Reißwolf der Marke... zur Verfügung (Alternative: Anschluss an einen gewerblichen Aktenvernichter). (Einzelheiten bitte ggf. selbst formulieren!) Außerdem können hier weitere Sicherungsmaßnahmen aufgeführt werden, soweit und sobald sie künftig realisiert werden (z.b.: Installation einer Datenschutzsoftware, Videoüberwachung gefährdeter Bereiche, Anschluss an Bewachungsunternehmen, Kontrollgänge des Hausmeisters, vergitterte Fenster, abschließbare Fenstergriffe, Sichtschutz an den Fenstern, durchwurfhemmende Folie auf den Fensterscheiben, automatisierte Zugangsüberwachung, unterbrechungsfreie Stromversorgung (USV), etc...)! 3. Die bei der Datenverarbeitung ggf. eingesetzten Mitarbeiter des Auftragnehmers sind schriftlich auf das Datengeheimnis nach 5 BDSG verpflichtet. 4. Der Auftragnehmer verpflichtet sich, die Verarbeitung der ihm übergebenen personenbezogenen Daten ausschließlich im Rahmen der vertraglich festgelegten Weisungen des Auftraggebers KWF Business Consultants GmbH Seite 3 von 5

4 durchzuführen ( 11 BDSG). Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen das Bundesdatenschutzgesetz oder andere Vorschriften über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. 5. Der Auftragnehmer ist verpflichtet, dem Auftraggeber jederzeit Auskünfte zu erteilen, soweit seine Daten und Unterlagen betroffen sind. Nicht mehr erforderliche Daten sind beim Auftragnehmer unverzüglich zu löschen. 6. Bei Beendigung des Auftragsverhältnisses verpflichtet sich der Auftragnehmer, alle ihm in Zusammenhang mit dem Auftrag übergebenen und bis dahin noch nicht verarbeiteten bzw. gelöschten personenbezogenen Daten an den Auftraggeber zurückzugeben bzw. den Nachweis einer ordnungsgemäßen Vernichtung darüber zu führen. 7. Der Auftraggeber hat sich in den Geschäftsräumen des Auftragnehmers von der ordnungsgemäßen Verarbeitung seiner personenbezogenen Daten sowie von der Einhaltung der beim Auftragnehmer vor Ort getroffenen technischen und organisatorischen Datensicherungsmaßnahmen zu überzeugen. 8. Es wird gewährleistet, daß zur Verarbeitung/Löschung bestimmte Datenträger während ihres Transportes gegen unberechtigte Einsichtnahme und Verlust geschützt sind (z. B. durch ausschließlichen Einsatz von geschlossenen Transportbehältern bzw. Transportfahrzeugen, durch Einsatz anerkannter Transportunternehmen, durch persönliche Übergabe oder durch Verschlüsselung bei Datenfernübertragung). 9. Der Auftragnehmer ist verpflichtet, den Auftraggeber bei besonderen Vorkommnissen - wie z. B. bei technischen oder organisatorischen Störungen im Rahmen der vertragsgemäßen Verarbeitung/Löschung der Daten - unverzüglich zu benachrichtigen und die weitere Behandlung der Daten (z. B. kurzfristige Aus- oder Zwischenlagerung oder ausnahmsweise Weitergabe an einen evtl. Subunternehmer bzw. Unterauftragnehmer) mit diesem abzustimmen. 10. Der Auftragnehmer verpflichtet sich, die ihm übergebenen personenbezogenen Daten grundsätzlich nur in seinen eigenen Geschäftsräumen in... und ohne Einschaltung von Subunternehmern / Unterauftragnehmern zu verarbeiten. Vor einer evtl. dennoch einmal erforderlich werdenden Einschaltung eines Subunternehmers / Unter-auftragnehmers (z. B. bei technischen Störungen an der EDV-Anlage bzw. an der Vernichtungsanlage des Auftragnehmers) ist unbedingt das Einverständnis des Auftraggebers einzuholen. oder alternativ (falls bereits jetzt ein Subunternehmer / Unterauftragnehmer in die Verarbeitung der Daten einbezogen ist): Die unter Ziff. 1 aufgeführten Arbeiten werden unter Einschaltung eines Subunternehmers / Unterauftragnehmers durchgeführt. Es handelt sich dabei um die Firma (Name und Anschrift des Unterauftragnehmers). 11. Ansprechpartner in Sachen Datenverarbeitung bzw. Datenschutz sind: - beim Auftraggeber: Herr/Frau... - beim Auftragnehmer: Herr/Frau... KWF Business Consultants GmbH Seite 4 von 5

5 PS: Diese Aufzählung ist beispielhaft und nicht abschließend! Allgemeine Vertragspunkte (z. B. Preise, Gerichtsstand, evtl. Haftungsfragen, Vertragsdauer, etc.) - soweit noch nicht geschehen - bitte ggf. selbst formulieren! KWF Business Consultants GmbH Seite 5 von 5