Beauftragung zur Datenverarbeitung zwischen Leitstelle und Kraftfahrt-Bundesamt über eine PrivateWire-Kopfstelle. Auftraggeber: Bezeichnung:

Transkript

1 Beauftragung zur Datenverarbeitung zwischen Leitstelle und Kraftfahrt-Bundesamt über eine PrivateWire-Kopfstelle Auftraggeber: PlateRESCUE UG (haftungsbeschränkt) Am Kurpark 7a Lenzkirch Bezeichnung: Anschrift: Fachbereich: Telefon / Telefax: DV-Bereich: Telefon / Telefax: Bestellhotline: Telefon: Telefax: Geschäftsführer: Wolf Dieter Reichwein Handelsregister: HRB Amtsgericht: Freiburg Auftragnehmer (Betreiber der PrivateWire-Kopfstelle): Bezeichnung: PlateRESCUE UG (haftungsbeschränkt) Steuernr.: /07308 USt-ID: DE Anschrift: Fachbereich: Am Kurpark 7a, Lenzkirch Becker, Enrico, Administration Finanzamt: Freiburg Land Telefon / Telefax: / dev@platerescue.de Hiermit beauftragen wir die Firma PlateRESCUE UG (haftungsbeschränkt) mit der Datenverarbeitung/Datenkommunikation von der Leitstelle über die PrivateWire-Kopfstelle zum Zentralen Fahrzeugregister beim Kraftfahrt- Bundesamt über das Auskunftsverfahren ZEVIS-ZR für Rettungsleitstellen. Diese Beauftragung kann jederzeit schriftlich gegenüber dem Auftragnehmer widerrufen werden. Ort, Datum Unterschrift Behördenleiter / Amtsleiter - Stempel

2 Absender (Vollständige Bezeichnung und Anschrift) Kraftfahrt-Bundesamt Sachgebiet Flensburg Antrag zur Teilnahme am Datenabrufverfahren für Rettungsleitstellen Die Anbindung erfolgt über: ISDN-Wählleitung DOI-Netz und über eine PrivateWire-Kopfstelle -Netz Softwareanbieter/Verfahrensbezeichnung PlateRESCUE UG, Am Kurpark 7a, Lenzkirch Wir benötigen eine Benutzerkennung. Datenschutzrechtliche Bestimmungen Es wird versichert, dass die datenschutzrechtlichen Bestimmungen akzeptiert und eingehalten werden. Die Berechtigung zur Nutzung des Verfahrens ist gegeben, die Datenabrufe erfolgen ausschließlich im Rahmen der rechtlich zulässigen Zwecke. Datum, Unterschrift Ansprechpartner (Bitte Druckbuchstaben verwenden.) Leitstelle DV-Bereich Telefonnummer Telefaxnummer Telefonnummer Telefaxnummer des Ansprechpartners des Ansprechpartners Zentrale -Adresse der Behörde Betreiber der PrivateWire-Kopfstelle (auch bei Eigenbetrieb) Bezeichnung, PlateRESCUE UG, Becker, Enrico, Administrator Telefonnummer Telefaxnummer Änderungen der Anschriften, -Adressen und Ansprechpartner sind dem KBA unverzüglich mitzuteilen! Ort, Datum Stempel der Rettungsleitstellte Unterschrift des Dienststellenleiters/der Dienststellenleiterin

3 Kraftfahrt-Bundesamt Datenschutzrechtliche Bestimmungen Anlage zum Antrag zur Teilname an den automatisierten Datenaustauschverfahren des Kraftfahrt-Bundesamtes (KBA) Der Zugriff auf die Registerdaten des KBA ist beschränkt auf die zur Nutzung der Datenübermittlungsverfahren berechtigten Stellen. Auskünfte dürfen ausschließlich im Rahmen der rechtlich zulässigen Zwecke eingeholt werden. Zentrales Fahrzeugregister (ZFZR) / Ausländische Fahrzeugregister Zulassungsbehörden Bußgeldbehörden 36 Abs. 1 StVG 1 i. V. m. 39 Abs. 1 FZV 2 36 Abs. 2 Satz 1 Nr. 1a StVG i. V. m. 36 Abs. 5 StVG i. V. m. 40 u. 41 FZV 39 Abs. 3 FZV 43 StVG 36 Abs. 5 StVG i. V. m. 40 u. 41 FZV Artikel 2, 4, 9, 11, 15 u. 16 EUCARIS-Vertrag 3 36a i. V. m. 41 Abs. 4 FZV 43 StVG Finanzämter (Kfz-Steuerverwaltung) Auskunftsstelle nach 8a PflversG 36 Abs. 3b StVG i. V. m. 39 Abs. 6a FZV 36 Abs. 3a StVG i. V. m. 39 Abs. 6 FZV 36 Abs. 5 StVG i. V. m. 40 u. 41 FZV 36 Abs. 5 StVG i. V. m. 40 u. 41 FZV 43 StVG 43 StVG Maut erhebende Stelle nach dem ABMG Maut erhebende Stelle n. d. FStrPrivFinG 36 Abs. 2b StVG i. V. m. 39 Abs. 5 FZV 36 Abs. 2a StVG i. V. m. 39 Abs. 4 FZV 36 Abs. 5 StVG i. V. m. 40 u. 41 FZV 36 Abs. 5 StVG i. V. m. 40 u. 41 FZV 43 StVG 43 StVG Zentrale Leitstellen für Brandschutz, Gerichtsvollzieher (gem. 802l ZPO) Katastrophenschutz und Rettungsdienst 36 Abs. 2d StVG i. V. m. 39 Abs. 5a FZV 36 Abs. 3c StVG i. V. m. 39 Abs. 6b FZV 36 Abs. 5 StVG i. V. m. 40 u. 41 FZV 36 Abs. 5 StVG i. V. m. 40 u. 41 FZV 43 StVG 43 StVG Zentrale Behörde nach 4 AUG 36 Abs. 2c StVG i. V. m. 39 Abs. 5a FZV 36 Abs. 5 StVG i. V. m. 40 u. 41 FZV 43 FZV Ermittlungsbehörden und Dienste 4 36 Abs. 2 Satz 1 Nummern 1, 2 und 3 und Abs. 3 StVG i. V. m. 39 Abs. 2 FZV 36 Abs. 5 StVG i. V. m. 40 u. 41 FZV 43 StVG Artikel 12, 35, 38 u. 39 Prümer Vertrag 5 Artikel 12 u. 25 bis 30 des Beschlusses 2008/615/JI 6 Artikel 15 u. Kapitel 3 d. Anhangs des Beschlusses 2008/616/JI 7 1 StVG = Straßenverkehrsgesetz 2 FZV = Verordnung über die Zulassung von Fahrzeugen zum Straßenverkehr (Fahrzeug-Zulassungsverordnung) 3 EUCARIS-Vertrag = Vertrag vom über ein Europäisches Fahrzeug- und Führerscheininformationssystem (EUCARIS), ratifiziert mit dem Gesetz (sog. EUCARIS-Gesetz ) vom (BGBl. 2003, Teil II, Seite 1786) 4 Bundes- und Landespolizeien, Zollverwaltung, Zollfahndung, Steuerfahndung, BND, MAD, Verfassungsschutz 5 Prümer Vertrag = Vertrag zwischen B, D, E, F, L, NL und A über die Vertiefung der grenzüberschreitenden Zusammenarbeit, insbesondere zur Bekämpfung des Terrorismus, der grenzüberschreitenden Kriminalität und der illegalen Migration vom , ratifiziert mit dem Gesetz zum Prümer Vertrag vom (BGBl. 2006, Teil II, Seite 626) 6 Beschluss 2008/615/JI des Rates der EU vom zur Vertiefung der grenzüberschreitenden Zusammenarbeit, insbesondere zur Bekämpfung des Terrorismus und der grenzüberschreitenden Kriminalität 7 Beschluss 2008/615/JI des Rates der EU vom zur Durchführung des Beschlusses 2008/615/JI

4 - 2 - Verkehrszentralregister (VZR) / Ausländische Fahrerlaubnisregister Fahrerlaubnisbehörden Zulassunsgbehörden 30a Abs. 1 und 2 StVG i. V. m. 61 Abs. 1, 2, 5 u. 6 FeV 8 30a Abs. 1 und 2 StVG 30b StVG i. V. m. 62 FeV 61 Abs. 1, 2, 5 u. 6 FeV Artikel 2, 4, 9, 11, 15 u. 16 EUCARIS-Vertrag Strafverfolgungsbehörden und für Verkehrsund Grenzkontrollen zuständige Behörden Bußgeldbehörden 30a Abs. 1 und 2 StVG i. V. m. 61 Abs. 1, 2, 4 und 6 FeV 30a Abs. 1 und 2 StVG i. V. m. 61 Abs. 1 bis 3 und 6 FeV 30b StVG i. V. m. 62 FeV 30b StVG i. V. m. 62 FeV Zentrales Fahrerlaubnisregister (ZFER) / Ausländische Fahrerlaubnisregister Fahrerlaubnisbehörden 53 Abs. 1 bis 2 StVG i. V. m. 52 Abs. 1, 2 u. 4, 54 u. 55 FeV 54 StVG i. V. m. 53 FeV Artikel 2, 4, 9, 11, 15 u. 16 EUCARIS-Vertrag Fahrlehrerlaubnisbehörden 41, 32 und 38 FahrlG 9 46 FahrlG Ermittlungsbehörden und BAG 53 Abs. 1 und 2 StVG i. V. m. 52 Abs. 1 bis 3 und 5, 54 u. 55 FeV 54 StVG i. V. m. 53 FeV 4b FPersG Bußgeldbehörden 53 Abs. 1 und 2 StVG i. V. m. 52 Abs. 1 bis 3, 54 u. 55 FeV 54 StVG i. V. m. 53 FeV Fahrerkarten ausstellende Behörden 4b FPersG 10 Zentrales Kontrollgerätkartenregister (ZKR) Karten ausstellende Behörden 4c i. V. m 2 Nr. 4 Buchst. c FPersG i. V. m. 14 Abs. 1 u. 15 FPersV Kontrollbehörden 4c i. V. m 2 Nr. 4 Buchst. c FPersG i. V. m. 15 FPersV 11 8 FeV = Verordnung über die Zulassung von Personen zum Straßenverkehr (Fahrerlaubnis-Verordnung) 9 FahrlG = Fahrlehrergesetz FPersG = Fahrpersonalgesetz FPersV = Fahrpersonalverordnung

5 Verpflichtungserklärung des Betreibers einer Kopfstelle bzw. der abrufberechtigten Stelle zur Datenkommunikation über eine Kopfstelle Stand: Dezember Bedingungen und Mindestanforderungen für den Betrieb bzw. die Datenkommunikation über eine Kopfstelle: (1) Die Datenkommunikation mit dem Kraftfahrt-Bundesamt (KBA) kann über ISDN-Wählleitungen, das Verwaltungs-/Behördennetz DOI oder über eine von dem externen Kommunikationspartner beauftragte Standleitung erfolgen. Der Zugriff auf die Online-Dialoganwendungen des KBA kann entweder unter Nutzung der KBA-Browser-Dialoge (KBA-Portal) oder der XML- Schnittstellen für die Programm-zu-Programm-Kommunikation erfolgen. Für die bei dieser Art der Datenübermittlung aus Datenschutz- und Datensicherheitsgründen erforderliche Verschlüsselung und Authentifizierung ist das Produkt PrivateWire der Firma Algorithmic Research (AR), das in Deutschland von der Fa. Applied Security GmbH vertrieben wird, einzusetzen. (2) Bei der Nutzung der XML-Schnittstellen im Rahmen einer Programm-zu-Programm Kommunikation ist für die erforderliche Verschlüsselung und Authentifizierung das Produkt PrivateWire lediglich auf einem Kopfstellen-Server (PrivateWire-Verschlüsselungs- und/oder Anwendungs- Server) erforderlich, über den bzw. von dem eine automatisierte verschlüsselte Datenkommunikation erfolgt ( PrivateWire-Kopfstellenlösung ). Um bei dieser Lösung einen automatisierten Verbindungsaufbau zu ermöglichen, wird das für die Authentifizierung gegenüber der Chipkarte normalerweise über die Tastatur einzugebende Passwort auf dem Server in einem gesonderten und verschlüsselten Eintrag abgelegt. (3) Bei Einsatz einer "PrivateWire-Kopfstelle" (nur bei Kommunikation mit den XML- Schnittstellen des KBA möglich!) ist die interne Kommunikation zwischen den Arbeitsplätzen und dem Server in eigener Zuständigkeit des externen Kommunikationspartners unter Einhaltung organisatorischer und sicherheitstechnischer Mindestanforderungen abzusichern. Diese Mindestanforderungen lauten: a) Zugangs- und Zugriffskontrolle (i) Es sind die erforderlichen organisatorischen und sicherheitstechnischen Maßnahmen zu treffen, um die Vertraulichkeit und Integrität der Daten auf dem Weg zwischen dem jeweiligen Endgerät/Client und der "PrivateWire-Kopfstelle" zu gewährleisten und unbefugte Nutzungen der Kopfstelle zu verhindern. Hinweis: Grundsätzlich wird zur Erfüllung dieser Anforderungen eine durchgängige Verschlüsselung vom jeweiligen Endgerät/Client bis zur "PrivateWire-Kopfstelle" sowie eine sichere gegenseitige Authentifizierung zwischen Anwendungs-Server und Client-PC erforderlich sein 1. Die Verschlüsselungsstärke sollte bei symmetrischer Verschlüsselung mindestens 128-Bit (AES-vergleichbar) und bei asymmetrischer Verschlüsselung mindestens 1024-Bit (RSA-vergleichbar) bzw. 160-Bit (ECC-vergleichbar) betragen. Sollten die Anforderungen im Einzelfall durch andere Maßnahmen erfüllt werden, so ist dies gegenüber dem KBA darzulegen. 1 Hierbei muss insbesondere die systemtechnische Einmaligkeit des Client-PC sichergestellt sein.

6 - 2 - (ii) Es ist eine personenbezogene Anmeldung mit Benutzerkennung und Passwort am jeweiligen Endgerät/Client (Domäne) und am entsprechenden Anwendungs-Server bzw. innerhalb des Fachverfahrens erforderlich. Die Vergabe der vom KBA für die Authentifizierung gegenüber den Online-Dialoganwendungen des KBA erforderliche ZEVIS-Benutzerkennung erfolgt dienststellenbezogen. Es ist programmtechnisch sicherzustellen, dass Zugriffe auf die XML-Schnittstellen nur durch berechtigte Nutzer dieser Dienststelle durchgeführt werden. Wird in Abweichung von diesem Verfahren mehr als eine dienststellenbezogene ZEVIS-Benutzerkennung (in Abhängigkeit von der Anwenderzahl) verwendet, so ist sicherzustellen, dass jede Benutzerkennung einer konkreten Personen zugeordnet wird und die Nachvollziehbarkeit der ordnungsgemäßen Verwendung gewährleistet ist. b) Passwortverwendung Das personenbezogene Passwort bei der Anmeldung am Anwendungs-Server muss eine Länge von mindestens 6 und höchstens 20 Zeichen haben und muss Buchstaben, Ziffern und Sonderzeichen beinhalten (Leerzeichen sind nicht erlaubt). Der Passwortwechsel muss mindestens alle 42 Tage erfolgen und darf die Verwendung der letzten fünf Passwörter nicht erlauben. c) Protokollierung Zugriffe aus der externen Anwendung heraus auf die XML-Schnittstellen des Kraftfahrt- Bundesamtes sind auf Seiten der externen Anwendung mit der jeweiligen personenbezogenen Benutzerkennung nachvollziehbar zu protokollieren (kann bei einem Verfahren nach Buchst. a, Abschnitt ii, Satz 4 entfallen ). Es ist zusätzlich eine Protokollierung der systemtechnischen Zugriffe (IP-Adresse, Port) der Kopfstelle erforderlich. Die Archivierung der Protokolldaten ist für mindestens 6 Monate sicherzustellen. Zur Untersuchung von Sicherheitsvorfällen können die Protokolldaten bis zu deren Abschluss auch länger als 6 Monate aufbewahrt werden. d) System- und netztechnische Sicherheit Die systemtechnischen Komponenten (insbesondere PrivateWire-Verschlüsselungs-Server und Anwendungs-Server) sind systemseitig durch geeignete Maßnahmen gegen unautorisierte Zugriffe zu schützen und auf dem aktuellen sicherheitstechnischen Stand (z. B. durch die Verwendung aktueller Patches) zu halten. Zudem sind Schutzmaßnahmen gegenüber unberechtigten Zugriffen aus anderen Netzen (insbesondere dem Internet) vorzunehmen. e) Räumliche Sicherheit Die Unterbringung der systemtechnischen Komponenten (PrivateWire-Verschlüsselungs- Server und Anwendungs-Server) ist räumlich und organisatorisch so abzusichern, dass gewährleistet ist, dass nur autorisierte Personen Zugang zur "PrivateWire-Kopfstelle" und/oder den Anwendungs-Servern haben. f) Sicherheitskonzept Es muss ein Sicherheitskonzept (formlos) vorliegen, in dem die Umsetzung der geforderten organisatorischen und sicherheitstechnischen Mindestanforderungen beschrieben wird. Es ist dem KBA auf Wunsch grundsätzlich jedoch im Rahmen der erstmaligen Antragstellung vorzulegen. g) Zulassungsbescheid Die Aufnahme des Wirkbetriebes der Kopfstelle darf erst nach Erhalt des vom KBA ausgestellten Zulassungsbescheides erfolgen. (4) Für die Programm-zu-Programm-Kommunikation ist das vom KBA herausgegebene Informationsblatt Information zur netztechnischen Anbindung an das Kraftfahrt-Bundesamt für Behörden in der jeweils gültigen Fassung zu beachten. (5) Die für den automatisierten Verbindungsaufbau benötigten Programm-Dateien (PrivateWire-DLL) dürfen ausschließlich für den laufenden Betrieb der in Anlage 1 genannten Stelle(n) eingesetzt werden. Die erklärende Stelle verpflichtet sich zur Einhaltung der angeführten für sie maßgeblichen Bedingungen.

7 - 3-2 Pflichten der erklärenden Stelle: (1) Die erklärende Stelle verpflichtet sich zur unverzüglichen Mitteilung von: a) Änderungen ihres Sicherheitskonzeptes und/oder Änderungen der Infrastruktur, die Auswirkungen auf die Einhaltung der organisatorischen und sicherheitstechnischen Mindestanforderungen haben b) Änderungen der IP-Adresse c) Anschriftenänderungen und Änderungen der Ansprechpartner d) Änderungen (Wegfall, Hinzukommen, qualitative Änderungen) der abrufenden Stellen e) sonstigen Umständen, die für den Zugriff bedeutsam sind bzw. die die Nichteinhaltung der unter 1 genannten Mindestanforderungen zur Folge haben (insbesondere im Kompromittierungsfall von geheimen Schlüsseln). (2) Die erklärende Stelle verpflichtet auch von ihr beauftragte Subunternehmen und/oder Wartungspersonal zur Einhaltung der unter 1 und 2 Abs. 1 genannten Standards. Sie trägt vollumfänglich die Verantwortung für diese. Sie teilt dem KBA auf der Anlage 1 mit, welche Subunternehmer sie für diese Applikation einsetzt. 3 (1) Bei Beendigung des Datentransfers zwischen der erklärenden Stelle und dem KBA auf Dauer verpflichten sich beide Kommunikationspartner zu Geheimhaltung über die jeweiligen ihnen bekannt gewordenen Interna des Anderen. Diese Verpflichtung erstreckt sich auch auf Subunternehmer, die von dem jeweiligen Kommunikationspartner beauftragt wurden. (2) Alle sicherheitsrelevanten Unterlagen, Soft- oder Hardwareprodukte (insbesondere die PrivateWire-DLL und die Chipkarte) sind sicher zu verwahren und dem KBA ggf. auf dessen Verlangen zurückzugeben. (3) Die unter 1 und 2 Abs.1 genannten Standards werden vom KBA aktualisiert und sind - ggf. nach angemessener Übergangsfrist - von der erklärenden Stelle anzuwenden. Die Nichteinhaltung einer oder mehrerer der oben beschriebenen Voraussetzungen führt zum Widerruf des Zulassungsbescheides bei gleichzeitiger Sperrung der Zugangsberechtigung der Kopfstelle durch das Kraftfahrt-Bundesamt. (Bezeichnung und Anschrift der abrufberechtigten Dienststelle bzw. des Betreibers der Kopfstelle) (Ort, Datum) (Unterschrift Behördenleiter/Amtsleiter und Dienststempel)

8 - 4 - Anlage 1 zur Verpflichtungserklärung des Betreibers einer Kopfstelle bzw. der abrufberechtigten Stelle zur Datenkommunikation über eine Kopfstelle Stand: Dezember 2010 Der/Die/Das (Bezeichnung und Anschrift der abrufberechtigten Dienststelle) erklärt: Die für die Programm-zu-Programm-Kommunikation mit dem Kraftfahrt-Bundesamt über eine Kopfstelle vorgegebenen organisatorischen und sicherheitstechnischen Mindestanforderungen werden eingehalten. IP-Adresse der Kopfstelle und/oder des Anwendungs- Servers Zum Abruf berechtige Haupt- oder Nebenstelle (Dienststellen, PLZ, Ort, Straße, Hausnummer) Ansprechpartner (fachlich u. technisch) (Name, Tel.-Nr., -Adresse) (Ort, Datum) (Unterschrift Behördenleiter/Amtsleiter und Dienststempel)