Stand Seite 1 von Vertragsdauer. Anlage 2. Auftragsdatenverarbeitungsvereinbarung. 11 Sonstiges. Vereinbarung.

Transkript

1 Alte Biberacher Straße Warthausen Tel Fax Anlage 2 Auftragsdatenverarbeitungsvereinbarung Vereinbarung über die Verarbeitung persnenbezgener Daten im Auftrag gemäß 11 Bundesdatenschutzgesetz (BDSG) ( Vereinbarung ) zwischen Ringer Zeiterfassungssysteme Alte Biberacher Straße Warthausen und [ ] - nachflgend KUNDE genannt - - nachflgend zusammen Vertragsparteien genannt - Inhaltsverzeichnis 1 Gegenstand der Vereinbarung 2 Bereitstellung vn Daten durch den KUNDEN 3 Datenerhebung, -verarbeitung der nutzung durch die Ringer Zeiterfassungssysteme 4 Prüfung, Wartung, Fernzugriff, Datenlöschung 5 Rechte und Pflichten des KUNDEN 6 Rechte und Pflichten der Ringer Zeiterfassungssysteme 7 Technische und rganisatrische Sicherheitsmaßnahmen 8 Datengeheimnis 9 Unterauftragnehmer 10 Vertragsdauer 11 Snstiges Anhänge Annex 1: Genehmigte Subunternehmen Annex 2: Technische und rganisatrische Maßnahmen 1 Gegenstand der Vereinbarung Gegenstand der Vereinbarung ist die Erhebung bzw. Verarbeitung persnenbezgener Daten (nachstehend Daten genannt) durch den Auftragnehmer für den Auftraggeber in dessen Auftrag im Zusammenhang mit der Bereitstellung vn gehsteten IT-Services im Rechenzentrum bezgen auf die Allgemeinen Geschäftsbedingungen für Hsting und Betrieb vn ATOSS-Prdukten ( Hauptvertrag ). Die Vereinbarung gilt entsprechend für (Fern-) Prüfung und Wartung autmatisierter Verfahren der vn Datenverarbeitungsanlagen, wenn dabei ein Zugriff auf persnenbezgene Daten nicht ausgeschlssen werden kann. Es wird ausdrücklich festgehalten, dass allein der Auftraggeber gegenüber der Ringer Zeiterfassungssysteme weisungsbefugt ist und sämtliche Maßnahmen und Weisungen seiner Kunden gegenüber der Ringer Zeiterfassungssysteme krdiniert. Sfern in dieser Vereinbarung vm Auftraggeber gesprchen wird, meint dies den KUNDEN in seiner Eigenschaft als Auftraggeber gegenüber der Ringer Zeiterfassungssysteme. 2 Bereitstellung vn Daten durch den KUNDEN 1. Die Ringer Zeiterfassungssysteme erhält, sweit im Rahmen der Leistungserbringung nach dem Hauptvertrag erfrderlich, Zugriff auf flgende persnenbezgene Daten (insbesndere Stand Seite 1 vn 13

2 Alte Biberacher Straße Warthausen Tel Fax dadurch, dass der KUNDE ihr die Daten Infrmatinen über Qualifikatinen und bereitstellt der ihr einen Zugriff auf die Daten Ausbildungsmaßnahmen ermöglicht): Infrmatinen über Leistungsprfile vn Persnaldaten (Stamm- und Bewegungsdaten) des KUNDEN, die durch die Ringer Zeiterfassungssysteme ggf. unter Einbindung deren Hsting-Subunternehmer für den KUNDEN in dem gehsteten Persnaleinsatzplanungs-, Zeitwirtschafts- und Zutrittskntrllsystem ASES, verarbeitet werden Mitarbeitern Infrmatinen über Zeitknten Infrmatinen über einzelvertragliche, tarifliche und snstige Vergütungs-, Urlaubsund Freizeitansprüche vn Mitarbeitern: generelle Vereinbarungen histrische und aktuelle tatsächliche Werte und Salden insbesndere Infrmatinen über geplante und Mitarbeiterstammdaten und zeitwirtschaftliche Infrmatinen Stammdaten Persnalnummer Anrede, Name Geburtsdatum tatsächliche Abwesenheiten Infrmatinen über Buchungen inkl. Uhrzeit und Ort der Buchung Infrmatinen über tatsächliche Anwesenheits-, (Ruf-)Bereitschafts- und Arbeitszeiten Infrmatinen über Zugehörigkeit zu Kartennummer Organisatinseinheiten, Prjekten, Mitarbeiterkategrie Aufträgen, Kstenstellen, Arbeitsplätzen Snstige vertragsrelevante Daten wie Eintritts-, etc. und den dafür geleisteten Zeiten Austritts- Umgruppierungsdaten Kantinenbuchungen Vereinbarungen zur Arbeitszeit Manuelle Anmerkungen zu Stamm- und Kntaktdaten (wie Anschrift, , Bewegungsdaten Telefnnummern) Systemseitige Warnungen und Mitarbeiterft Fehlermeldungen bei Abweichungen vn Snstige rganisatrische Merkmale Vrgaben der Regeln Infrmatinen über Zugehörigkeit zu Infrmatinen aus der Persnaleinsatzplanung bestimmten Reginen / Ländern / Sprachen Infrmatinen über vertragliche und Infrmatinen über Arbeitsrte und planerische Verfügbarkeit vn Mitarbeitern Wegezeiten Infrmatinen über Planungswünsche vn Infrmatinen über Vrgesetzten-, Mitarbeitern Mitarbeiter-, und Infrmatinen über Einsatzplanung vn Stellvertreterbeziehungen. Mitarbeitern und tatsächlich geleistete Snstige persnenbezgene Daten, die vn Arbeitszeiten Endanwendern in frei definierbaren Feldern Infrmatinen über Planänderungen gespeichert werden Antragswesen und Aufgabenmanagement Stand Seite 2 vn 13

3 Alte Biberacher Straße Warthausen Tel Fax Anträge für Abwesenheiten inkl. Genehmigungsverlauf und stand Anträge für Arbeitszeit- der Dienstplanungs- relevante Vrgänge inkl. Genehmigungsverlauf und stand Anstehende und erledigte Aufgaben Infrmatinen über vm System versandte - und SMS-Benachrichtigungen Infrmatinen des Zutrittsmanagements Infrmatinen über Zutrittsberechtigungen für bestimmte Znen und Zeiträume Zugangskennungen Identifikatinsmerkmale für bimetrische Zutrittssicherung (Fingerprint-Verfahren etc.) Infrmatinen über tatsächlichen der versuchten Zutritt bzw. Verlassen vn Znen inkl. Uhrzeit und Ort der Buchung Systembezgene Infrmatinen Systemzugangsinfrmatinen Infrmatinen über Berechtigungen für bestimmte Objekte und Interaktinen als Benutzer des Systems Zuletzt verwendete Systemeinstellungen und Präferenzen Angemeldete System-Benutzer Anmeldeversuche Prtklle über Benutzerinteraktinen, die Daten im System verändern Die Verarbeitung vn Daten erflgt wie im Hauptvertrag beschrieben. 3 Datenerhebung, -verarbeitung der -nutzung durch die Ringer Zeiterfassungssysteme Die Ringer Zeiterfassungssysteme erbringt für den KUNDEN bezgen auf die in 2 genannten Daten Leistungen, die im Hauptvertrag beschrieben sind. 4 Prüfung, Wartung, Fernzugriff, Datenlöschung (Entsrgung) 1. Prüfungs- und Wartungsarbeiten vn autmatisierten Verfahren der vn Datenverarbeitungsanlagen auch slche im Wege des Fernzugriffs werden, sfern hierbei ein Zugriff auf persnenbezgene Daten nicht ausgeschlssen werden kann, mit vrheriger schriftlicher Zustimmung des KUNDEN ausgeführt. Art und Umfang der Prüfungs- und Wartungsarbeiten bzw. der Fernzugriffe sind in 2 und 3 dieser Vereinbarung bzw. dem Hauptvertrag beschrieben. Die Mitarbeiter der Ringer Zeiterfassungssysteme verwenden Identifizierungs- und Verschlüsselungsverfahren, wie in Annex 2 zu dieser Vereinbarung beschrieben. 2. Prüfungs- und Wartungsarbeiten, auch slche im Weg des Fernzugriffs, werden vn der Ringer Zeiterfassungssysteme dem KUNDEN vrab mit angemessener Frist schriftlich angekündigt und bei Durchführung dkumentiert und prtklliert. Der KUNDE ist berechtigt, Prüfungs- und Wartungsarbeiten vr, bei und nach Durchführung zu kntrllieren. Bei Fernzugriffen ist der KUNDE -sweit technisch möglich - berechtigt, diese vn einem Kntrllbildschirm aus zu verflgen und jederzeit abzubrechen. 3. Die Ringer Zeiterfassungssysteme wird vn den ihr eingeräumten Zugriffsrechten auf autmatisierte Verfahren der vn Datenverarbeitungsanlagen (insb. IT-Systeme, Anwendungen) des Auftraggebers nur in dem Umfange auch in zeitlicher Hinsicht - Gebrauch machen, als dies für die rdnungsgemäße Durchführung der Stand Seite 3 vn 13

4 Alte Biberacher Straße Warthausen Tel Fax beauftragten Wartungs- und Prüfungsarbeiten ntwendig ist. 4. Sweit bei der Leistungserbringung durch die Ringer Zeiterfassungssysteme nach dem Hauptvertrag Tätigkeiten zur Fehleranalyse erfrderlich sind, bei denen eine Kenntnisnahme (z.b. auch lesender Zugriff) der ein Zugriff auf Wirkdaten des KUNDEN ntwendig ist, wird die Ringer Zeiterfassungssysteme die vrherige Zustimmung des KUNDEN einhlen. Tätigkeiten zur Fehleranalyse, bei denen ein Datenabzug der Wirkbetriebsdaten erfrderlich ist, bedürfen der vrherigen Zustimmung des KUNDEN. Bei Datenabzug der Wirkbetriebsdaten wird die Ringer Zeiterfassungssysteme diese Kpien, unabhängig vm verwendeten Medium, nach Bereinigung des Fehlers datenschutzgerecht löschen. Wirkdaten dürfen nur zum Zweck der Fehleranalyse und ausschließlich auf dem bereitgestellten Equipment des KUNDEN der auf slchem der Ringer Zeiterfassungssysteme verwendet werden, sfern die vrherige Zustimmung des KUNDEN vrliegt. Wirkdaten dürfen nicht hne Zustimmung des KUNDEN auf mbile Speichermedien (PDAs, USB- Speichersticks der ähnliche Geräte) kpiert werden. 5. Prüfungs- und Wartungsarbeiten swie sämtliche in diesem Zusammenhang erfrderlichen Tätigkeiten, insbesndere die vrstehend beschriebenen Tätigkeiten wie Löschen, Transprt, Fehleranalyse, werden unter Berücksichtigung vn technischen und rganisatrischen Maßnahmen zum Schutz persnenbezgener Daten durchgeführt. In diesem Zusammenhang wird die Ringer Zeiterfassungssysteme die technischen und rganisatrischen Maßnahmen wie in den Leistungsbeschreibungen/Einzelverträgen der in Annex 2 beschrieben, ergreifen. 5 Rechte und Pflichten des KUNDEN 1. Für die Beurteilung der Zulässigkeit der Datenverarbeitung swie für die Wahrung der Rechte der Betrffenen ist allein der KUNDE verantwrtlich. Der KUNDE wird in seinem Verantwrtungsbereich dafür Srge tragen, dass die gesetzlich ntwendigen Vraussetzungen (z.b. durch Einhlung vn Einwilligungserklärungen) geschaffen werden, damit die Ringer Zeiterfassungssysteme die vereinbarten Leistungen auch insweit rechtsverletzungsfrei erbringen kann. 2. Der KUNDE hat das Recht, Weisungen über Art und Umfang der Datenverarbeitung zu erteilen. Der KUNDE erteilt alle Aufträge der Teilaufträge und Weisungen schriftlich der per Telefax der per . Die Ringer Zeiterfassungssysteme wird den KUNDEN unverzüglich infrmieren, wenn er der Meinung ist, eine Weisung verstße gegen datenschutzrechtliche Vrschriften. In diesem Fall ist die Ringer Zeiterfassungssysteme berechtigt, die Durchführung der entsprechenden Weisung slange auszusetzen, bis diese durch den KUNDEN bestätigt der geändert wird. Zusätzliche Weisungen bedürfen der Schriftfrm. Zusätzliche Weisungen und Maßnahmen, die über diese vertraglich vereinbarten Leistungen hinausgehen, sind bei Mehraufwand für die Ringer Zeiterfassungssysteme gesndert zu vergüten. 3. Der KUNDE kann, nach seiner Wahl, die Einhaltung der Vrschriften über den Datenschutz durch die Einhlung vn Auskünften, Selbstzertifizierungen der Zertifizierungen anerkannter Prüfer bei der Stand Seite 4 vn 13

5 Alte Biberacher Straße Warthausen Tel Fax Ringer Zeiterfassungssysteme im Hinblick auf die Datenverarbeitung nach dieser Vereinbarung kntrllieren. Wenn und sweit der begründete Verdacht eines Verstßes der Ringer Zeiterfassungssysteme gegen die Regelungen dieser Vereinbarung besteht der eine zuständige Datenschutzbehörde weitergehende Kntrllen frdert, ist die Ringer Zeiterfassungssysteme selbst bzw. in Begleitung eines Kundenvertreters auch zur Einsichtnahme in die gespeicherten Daten, die zur Verarbeitung der Daten genutzten IT-Systeme und Datenverarbeitungsprgramme swie snstigen Vr-Ort- Kntrllen berechtigt, um die Einhaltung der Regelungen dieser Vereinbarung zu überprüfen. Der KUNDE kann das Ergebnis der Kntrllen dkumentieren. Der KUNDE kann die Kntrllen selbst durchführen der durch einen vn ihm beauftragten Dritten auf seine Ksten durchführen lassen. Der Dritte ist mit Beauftragung nachweislich zur Wahrung der Vertraulichkeit zu verpflichten. Dritte im Sinne dieser Vereinbarung dürfen keine Vertreter vn Wettbewerbern der Ringer Zeiterfassungssysteme sein. Der KUNDE wird Kntrllen mit einer angemessenen Frist ankündigen und bei deren Durchführung auf Geschäftsbetrieb und Betriebsablauf Rücksicht nehmen. 6 Rechte und Pflichten der Ringer Zeiterfassungssysteme 1. Die Ringer Zeiterfassungssysteme verarbeitet die Daten ausschließlich im Rahmen des Hauptvertrages, dieser Vereinbarung und nach schriftlichen Weisungen des KUNDEN. Sie verwendet die Daten für keine anderen Zwecke und ist insbesndere nicht berechtigt, die ihr überlassenen Daten an Dritte weiterzugeben. Die Ringer Zeiterfassungssysteme ist verpflichtet, die Daten verschiedener Kunden des Auftraggebers pr Kunden getrennt zu verarbeiten. 2. Die Ringer Zeiterfassungssysteme wird die LEISTUNGEN vn den in Annex 1 vereinbarten Leistungsstandrten aus und ggf. durch die genehmigten Subunternehmer (vgl. 9 unten) erbringen. Wenn die Ringer Zeiterfassungssysteme die geschuldeten Leistungen ganz der teilweise vn einem anderen Standrt innerhalb der EU/dem EWR erbringen möchte, wird die Ringer Zeiterfassungssysteme vrab die schriftliche Zustimmung durch den KUNDEN einhlen. Entsprechendes gilt für jeglichen Zugriff bzw. jegliche Sicht auf die Daten durch die Ringer Zeiterfassungssysteme, z.b. im Rahmen vn internen Kntrllen der zu Zwecken der Entwicklung, der Durchführung vn Tests, der Administratin der der Wartung. Bei einer Leistungserbringung außerhalb Deutschlands aus Ländern, die Mitglied der Eurpäischen Unin der ein Vertragsstaat des Abkmmens über den Eurpäischen Wirtschaftsraum sind, wird der KUNDE seine Zustimmung zur Verlagerung der des Einsatzes eines Subunternehmers nicht unbillig verweigern, wenn sich diese Verlagerung nicht negativ auf den Datenschutz auswirkt und die Ringer Zeiterfassungssysteme dem KUNDEN vrab Details zur Verlagerung und der vm neuen Standrt erbrachten Leistungen schriftlich mitgeteilt hat. 3. Eine Verlagerung des Ortes der Leistungserbringung in Länder, die nicht Mitglied der Eurpäischen Unin der ein Vertragsstaat des Abkmmens über den Stand Seite 5 vn 13

6 Alte Biberacher Straße Warthausen Tel Fax Eurpäischen Wirtschaftsraum sind, ist nicht gestattet. 4. Unterlagen mit persnenbezgenen Daten und Dateien, mit Ausnahme der aufgrund gesetzlicher Verpflichtung der Ringer Zeiterfassungssysteme weiter vrzuhaltenden Daten, werden erst nach Weisung/Zustimmung durch den KUNDEN vernichtet. Gleiches gilt für Test- und Ausschussmaterial. Sweit sich Speichermedien im Besitz des KUNDEN befinden, wird der KUNDE vr einer etwaig vrgesehenen Übergabe an die Ringer Zeiterfassungssysteme der deren Unterauftragnehmer alle persnenbezgenen Daten datenschutzgerecht löschen. Sllte dies dem KUNDEN nicht möglich sein, wird er die Ringer Zeiterfassungssysteme rechtzeitig schriftlich infrmieren. Die Ringer Zeiterfassungssysteme ist dann berechtigt, diese persnenbezgenen Daten im Auftrag des KUNDEN zu löschen. Sweit nicht ausdrücklich anders vereinbart, wird der Aufwand der Löschung der Ringer Zeiterfassungssysteme gesndert vergütet. 5. Nach Abschluss der vertraglichen Arbeiten (inkl. Wind Dwn Perid) der früher nach Auffrderung durch den KUNDEN, spätestens jedch innerhalb vn fünf (5) Arbeitstagen nach Beendigung des Hauptvertrages, hat die Ringer Zeiterfassungssysteme sämtliche in ihren Besitz gelangten Unterlagen, erstellte Verarbeitungsund Nutzungsergebnisse swie Datenbestände, einschließlich persnenbezgener Daten, die im Zusammenhang mit dem Hauptvertrag stehen, auf eigene Ksten dem KUNDEN auszuhändigen der nach vrheriger Zustimmung durch den KUNDEN datenschutzgerecht zu vernichten. Gleiches gilt für Test-, Back-up- und Ausschussmaterial. Das Prtkll der Löschung ist auf Anfrderung dem KUNDEN vrzulegen. 6. Der KUNDE hat das Recht, die vllständige und vertragsgemäße Rückgabe und Löschung der Daten bei der Ringer Zeiterfassungssysteme zu kntrllieren. Dies kann auch durch eine Inaugenscheinnahme der Datenverarbeitungsanlagen in der Betriebsstätte der Ringer Zeiterfassungssysteme erflgen. Die Vr-Ort-Kntrlle ist mit angemessener Frist durch den KUNDEN anzukündigen. 7. Dkumentatinen, die dem Nachweis der auftrags- und rdnungsgemäßen Datenverarbeitung dienen, können durch die Ringer Zeiterfassungssysteme entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahrt werden. 8. Die Ringer Zeiterfassungssysteme infrmiert den KUNDEN unverzüglich nach Kenntniserlangung über Fälle vn schwerwiegenden Betriebsstörungen, bei Verdacht auf Datenschutzverletzungen der Verletzungen dieser Vereinbarung, gleich b diese durch den KUNDEN, Dritte der die Ringer Zeiterfassungssysteme verursacht wurden, bei Verstößen gegen die in dieser Vereinbarung getrffenen Festlegungen der anderen Unregelmäßigkeiten bei der Verarbeitung der Daten des KUNDEN. 9. Es ist der Ringer Zeiterfassungssysteme bekannt, dass nach 42a Bundesdatenschutzgesetz (BDSG) Infrmatinspflichten im Falle des Abhandenkmmens der der unrechtmäßigen Übermittlung der Kenntniserlangung vn persnenbezgenen Daten bestehen können. Stellt die Ringer Zeiterfassungssysteme daher Stand Seite 6 vn 13

7 Alte Biberacher Straße Warthausen Tel Fax fest, der begründen Tatsachen die Annahme, dass vn ihr für den KUNDEN verarbeitete 3 Absatz 9 BDSG) der persnenbezgene Daten, die einem Berufsgeheimnis unterliegen der persnenbezgene Daten, die sich auf strafbare Handlungen der Ordnungswidrigkeiten der den Verdacht strafbarer Handlungen der Ordnungswidrigkeiten beziehen der persnenbezgene Daten zu Bankder Kreditkartenknten der Bestands- der Nutzungsdaten ( 15 a TMG) unrechtmäßig übermittelt der auf snstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, hat die Ringer Zeiterfassungssysteme den KUNDEN unverzüglich und vllständig über Zeitpunkt, Art und Umfang des Vrfalls/der Vrfälle in Schriftfrm der Textfrm (Fax/E- Mail) zu infrmieren. Die Infrmatin sll eine Darlegung der Art der unrechtmäßigen Kenntniserlangung enthalten. Die Infrmatin sll zusätzlich eine Darlegung möglicher nachteiliger Flgen der unrechtmäßigen Kenntniserlangung beinhalten. Die vrstehende Verpflichtung gilt auch bei schwerwiegenden Störungen des Betriebsablaufs, bei Verdacht auf snstige Verstöße gegen Vrschriften zum Schutz persnenbezgener Daten der anderen Unregelmäßigkeiten beim Umgang mit Daten des Auftraggebers. Die Ringer Zeiterfassungssysteme hat im Benehmen mit dem KUNDEN angemessene Maßnahmen zur Sicherung der Daten swie zur Minderung möglicher nachteiliger Flgen für Betrffene zu ergreifen. Sweit den KUNDEN der dessen Kunden Pflichten nach 42a BDSG treffen, hat die Ringer Zeiterfassungssysteme hierbei angemessen zu unterstützen. 10. Die Ringer Zeiterfassungssysteme hat, sweit sie dazu gesetzlich verpflichtet ist, einen fachkundigen und zuverlässigen betrieblichen Datenschutzbeauftragten bestellt, dem die erfrderliche Zeit zur Erledigung seiner Aufgaben gewährt wird. Der Datenschutzbeauftragte nimmt die Aufgaben gem. 4g BDSG wahr. 11. Ist der KUNDE gegenüber einer staatlichen Stelle der einer Persn verpflichtet, Auskünfte über die Verarbeitung vn Daten zu geben, s wird die Ringer Zeiterfassungssysteme den KUNDEN in seinem Verantwrtungsbereich darin unterstützen, diese Auskünfte zu erteilen. Sweit nicht ausdrücklich anders vereinbart, wird der Aufwand der Unterstützungsleistungen der Ringer Zeiterfassungssysteme gesndert vergütet. 12. Macht der Betrffene sein Recht auf Berichtigung, Löschung der Sperrung seiner Daten geltend, wird die Ringer Zeiterfassungssysteme diese Anfrage an den KUNDEN weiterleiten, den KUNDEN bei der Beantwrtung der Anfrage auf Anfrdern unterstützen und auf Weisung des KUNDEN die Berichtigung, Sperrung der Löschung vrnehmen. 7 Technische und rganisatrische Sicherheitsmaßnahmen 1. Die Datenverarbeitung findet auf Datenverarbeitungs- Anlagen statt, für die technische und rganisatrische Maßnahmen zum Schutz persnenbezgener Daten getrffen wurden. In diesem Zusammenhang wird die Ringer Zeiterfassungssysteme alle Stand Seite 7 vn 13

8 Alte Biberacher Straße Warthausen Tel Fax vereinbarten Maßnahmen treffen, die für die Verarbeitung der überlassenen Daten auf den Datenverarbeitungs-Anlagen der Ringer Zeiterfassungssysteme gemäß Anlage zu 9 BDSG für die Durchführung der Aufträge i.s.d. 9 BDSG erfrderlich sind. Näheres zu den vereinbarten technischen und rganisatrischen Maßnahmen nach 9 BDSG und Anlage zu 9 BDSG regelt der Hauptvertrag und die Leistungsvereinbarungen. 2. Die technischen und rganisatrischen Maßnahmen können im Laufe des Auftragsverhältnisses der technischen und rganisatrischen Weiterentwicklung angepasst werden. Die Maßnahmen werden erst nach entsprechender Weisung des KUNDEN ausgeführt. Der KUNDE ersetzt der Ringer Zeiterfassungssysteme den durch die Anpassung der Schutzmaßnahmen nach 9 BDSG an den technischen Frtschritt entstehenden Mehraufwand. 8 Datengeheimnis Die Ringer Zeiterfassungssysteme wird das Datengeheimnis und das Fernmeldegeheimnis wahren und seine Mitarbeiter entsprechend verpflichten. 9 Unterauftragnehmer Die Ringer Zeiterfassungssysteme darf zur Erfüllung der nach dem Hauptvertrag zu erbringenden Leistungen nur nach vrheriger schriftlicher Zustimmung durch den KUNDEN Unterauftragnehmer einsetzen. Die Zustimmung zum Einsatz eines Unterauftragnehmers kann nur erteilt werden, wenn die Ringer Zeiterfassungssysteme Namen und Anschrift des Unterauftragnehmers mitteilt. Außerdem muss die Ringer Zeiterfassungssysteme erklären, dass er den Unterauftragnehmer unter besnderer Berücksichtigung der Eignung der vn ihm getrffenen technischen und rganisatrischen Maßnahmen srgfältig ausgewählt hat. Die Ringer Zeiterfassungssysteme muss mit Subunternehmern vertragliche Vereinbarungen treffen, die den vertraglichen Regelungen dieser Vereinbarung entsprechen. Insbesndere muss der KUNDE berechtigt sein, Kntrllen vr Ort beim Subunternehmer durchzuführen der durch Dritte durchführen zu lassen. Die Ringer Zeiterfassungssysteme hat die Einhaltung der Pflichten regelmäßig zu überprüfen. Die Weiterleitung vn Daten an Unterauftragnehmer ist erst zulässig, wenn der Unterauftragnehmer die Verpflichtung nach 11 BDSG erfüllt hat. Für die in Annex 1 aufgeführten Unterauftragnehmer und die drt genannten Aufgabenbereiche gilt die Zustimmung des KUNDEN als erteilt. Der KUNDE ist zum Widerruf der Zustimmung zum Einsatz eines Subunternehmers berechtigt, wenn die Vraussetzungen nach dieser Ziffer nicht mehr vrliegen. Der Einsatz vn Unterauftragnehmern durch einen Unterauftragnehmer unterliegt den gleichen Zustimmungsvraussetzungen durch den KUNDEN, wie der in dieser Ziffer beschriebene Einsatz vn Unterauftragnehmern. Der Einsatz vn Unterauftragnehmern in Ländern außerhalb der EU/des EWR ist nicht gestattet. 10 Vertragsdauer Die Laufzeit dieser Vereinbarung entspricht der Laufzeit des Hauptvertrages. Stand Seite 8 vn 13

9 Alte Biberacher Straße Warthausen Tel Fax Snstiges 1. Die Unwirksamkeit einer Bestimmung dieser Vereinbarung berührt die Gültigkeit der übrigen Bestimmungen nicht. Sllte sich eine Bestimmung als unwirksam erweisen, werden die Parteien diese durch eine neue ersetzen, die dem vn den Parteien Gewllten am nächsten kmmt. 2. Änderungen dieser Vereinbarungen swie Nebenabreden bedürfen der Schriftfrm. Dies gilt auch für das Abbedingen dieser Schriftfrmklausel selbst. 3. Es besteht zwischen den Parteien Einigkeit darüber, dass die "Allgemeinen Geschäftsbedingungen" des Auftraggebers auf diese Vereinbarung keine Anwendung finden. 4. Alleiniger Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit dieser Vereinbarung ist, vrbehaltlich eines etwaigen ausschließlich gesetzlichen Gerichtsstandes, Biberach/Riss. 5. Es gilt deutsches Recht. 6. Im Fall vn Widersprüchen vn Regelungen dieser Vereinbarung und Regelungen aus snstigen Vereinbarungen gilt 21 der Allgemeinen Geschäftsbedingungen für Hsting und Betrieb vn ATOSS-Prdukten. Im Übrigen bleiben die Regelungen des Hauptvertrags unberührt und gelten für diese Vereinbarung entsprechend. Stand Seite 9 vn 13

10 Alte Biberacher Straße Warthausen Tel Fax Annex 1 Genehmigte Subunternehmen: Stand Seite 10 vn 13

11 Alte Biberacher Straße Warthausen Tel Fax Annex 2 Festgelegte Maßnahmen nach 9 BDSG bei der Ringer Zeiterfassungssysteme (hier: Auftragsdatenverarbeiter) 1. Zutrittskntrlle Es sind keine Maßnahmen zur Zutrittskntrlle erfrderlich, weil Zutrittskntrlle. (x) Es existieren flgende Maßnahmen zur Zutrittskntrlle: Alle DV-Anlagen befinden sich in Räumen der Rechenzentren mit Zutrittskntrlle. Der für den Zugang autrisierte Persnenkreis für die Rechenzentren wird vm Auftragsdatenverarbeiter festgelegt und vr Ort durch entsprechendes Supprt-Persnal des Rechenzentrumsbetreibers (Subunternehmer) mindestens per Sichtkntrlle authentifiziert. Der Zutritt wird prtklliert. Er erflgt dann per elektrnischem Zutrittskntrllsystem. Die Außenhaut der Rechenzentren unterliegt einer kmpletten Videüberwachung nebst Einbruchund Kntaktmeldern. Die technischen Mitarbeiter des Subunternehmers erhalten nach denselben Regeln Zugriff zu den Rechenzentren. IT-Verantwrtliche des Subunternehmers haben eine permanente Zutrittsberechtigung für die Rechenzentren. Die Zutrittskntrlle der Mitarbeiter zu den DV- Anlagen in den Arbeitsräumen des Subunternehmers erflgt per elektrnischem Zutrittskntrllsystem. Persnen, die nicht zum Kreis der Mitarbeiterinnen des Auftragsdatenverarbeiters der des Subunternehmers gehören (beispielsweise Wartungstechniker), erhalten ebenfalls nach denselben Regeln Zutritt zu den Rechenzentren. 2. Zugangskntrlle Es sind keine Maßnahmen zur Zugangskntrlle erfrderlich, weil Zugangskntrlle. (x) Es existieren flgende Maßnahmen zur Zugangskntrlle: Zugänge zu den DV-Anlagen sind grundsätzlich persnenbezgen passwrtgeschützt, wbei die Passwörter in Zyklen geändert werden müssen. Die Änderung und die damit verbundenen Änderungsregelungen vn Passwörtern bliegt dem Auftragsdatenverarbeiter. Die Passwrtregelungen entsprechen den Anfrderungen, die zu einer ISO ff. ntwendig sind. Grundsätzlich liegt die Verantwrtlichkeit für die vllen Administratinsprivilegien (Zuweisung vn Passwörtern und Änderungsregelungen) und für die Zugangskntrlle beim Auftragsdatenverarbeiter. In Ntfällen kann die jeweilige, nicht persnifizierte Systemadministratrenkennung verwendet werden. Diese wird unter Verschluss vm Auftragsdatenverarbeiter verwaltet und in regelmäßigen Abständen geändert. Die Verwendungsprtklle sind durch den Auftragsdatenverarbeiter jederzeit einsehbar und abrufbar. 3. Zugriffskntrlle Es sind keine Maßnahmen zur Zugriffskntrlle erfrderlich, weil Stand Seite 11 vn 13

12 Alte Biberacher Straße Warthausen Tel Fax Zugriffskntrlle. (x) Es existieren flgende Maßnahmen zur Zugriffskntrlle: Das Berechtigungsknzept umfasst sämtliche Maßnahmen zur Verhinderung des unbefugten Lesens, Kpierens, Veränderns der Entfernens vn Datenträgern, die Einschränkung der Zugriffsmöglichkeit des zur Benutzung eines DV- Systems Berechtigten ausschließlich auf die seiner Zugriffsberechtigung unterliegenden Daten (z.b. funktinale Zurdnung einzelner Datenendgeräte; autmatische Prüfung der Zugriffsberechtigung; differenzierte Zugriffsberechtigung auf Dateien, Datensätze, Datenfelder, Anwendungsprgramme, Betriebssysteme und differenzierte Verarbeitungsmöglichkeiten wie Lesen, Ändern, Löschen). 4. Weitergabekntrlle Es sind keine Maßnahmen zur Weitergabekntrlle erfrderlich, weil Weitergabekntrlle. (x) Es existieren flgende Maßnahmen zur Weitergabekntrlle: Die Weitergabekntrlle umfasst die Regeln zur Weitergabe vn Datenträgern, die Nutzung vn privaten Datenträgern, die Mitnahme vn Behältnissen in Räume mit DV-Anlagen, die Vernichtung vn Datenträgern. Das unbefugte Lesen, Kpieren, Verändern der Entfernen vn Daten bei der Übertragung swie beim Transprt vn Datenträgern wird dadurch verhindert, dass Zugang und Datenverarbeitung grundsätzlich über verschlüsselte Verbindungen, beispielsweise über SSH, HTTPS der RDP erflgen. Bei Kppelungen vn internen Netzen wird eine VPN-Kpplung eingesetzt. W der Zugang aus technischen Gründen nicht über eine verschlüsselte Verbindung möglich ist (z.b. Telnet- der VNC-Zugänge), existieren andere Mechanismen (VLAN, MPLS, Firewallschaltungen) zur Eingrenzung auf den für die Entstörung erfrderlichen Persnenkreis. An welcher Stelle Datenübermittlung durch Einrichtungen zur Datenübertragung vrgesehen ist, kann durch die Dkumentatin der vrgesehenen Abruf- und Übermittlungsvrgänge bzw. Dkumentatin der Übermittlungsstellen und wege überprüft und festgestellt werden. 5. Eingabekntrlle Es sind keine Maßnahmen zur Eingabekntrlle erfrderlich, weil Eingabekntrlle. (x) Es existieren flgende Maßnahmen zur Eingabekntrlle: Ob und vn wem Daten in DV- Systemen eingegeben, verändert der entfernt wrden sind, kann grundsätzlich überprüft und festgestellt werden anhand des Zugangs, der in den Systemprtkllen dkumentiert wird. Dabei wird, mindestens hne weitere Sicherungsmaßnahmen, auf dem jeweiligen System flgendes gespeichert: Die persönliche Kennung und der Zugangszeitpunkt für den Zeitraum vn einem Mnat. Bei besnderen Anfrderungen werden diese Daten zentral gespeichert und die Vrhaltezeit verlängert. Bei besnderen Anfrderungen wird die Vrbereitung vn Datenänderungen, die Stand Seite 12 vn 13

13 Alte Biberacher Straße Warthausen Tel Fax Freigabe und deren Einspielung auf getrennte, jeweils dafür verantwrtliche Persnenkreise beschränkt. Weitere Maßnahmen wie Erfassungsbelege mit Erfassungs- und Prüfbestätigung, Prtkllierung eingegebener Daten, Verarbeitungsprtklle u.a. können nach spezieller Beauftragung durch den KUNDEN gegen Entgelt eingeführt und entsprechend dkumentiert werden. 6. Auftragskntrlle Es sind keine Maßnahmen zur Auftragskntrlle erfrderlich, weil hierfür nur der KUNDE verantwrtlich ist. Auftragskntrlle. (x) Es existieren flgende Maßnahmen zur Auftragskntrlle: a.) die Subunternehmer wurden srgfältig ausgewählt b.) die Subunternehmer wurden verpflichtet, ihre Mitarbeiter auf das Datengeheimnis zu verpflichten c.) der KUNDE wurde schriftlich über den Einsatz der Subunternehmer infrmiert d.) es liegt ein schriftlicher Vertrag zwischen dem Auftragsdatenverarbeiter und den Subunternehmern (mittelbar mit deren Auftrags-, Weisungsbefugnis ist schriftlich geregelt, e.) die Einhaltung der technischen und rganisatrischen Maßnahmen beim Subunternehmer wird regelmäßig kntrlliert. 7. Verfügbarkeitskntrlle Es sind keine Maßnahmen zur Verfügbarkeitskntrlle erfrderlich, weil Verfügbarkeitskntrlle. (x) Es existieren flgende Maßnahmen zur Verfügbarkeitskntrlle: Die Rechenzentren verfügen über eine unterbrechungsfreie Versrgung (Strm und Klimatisierung). Je nach Beauftragung werden für Katastrphenfälle auch die Systeme vllständig redundant an getrennten Standrten bereitgehalten, bzw. werden die Daten der Kundensysteme mit entsprechenden Sicherungs- der Speichersystemen an getrennten Standrten gespeichert. Für Server existieren grundsätzlich Back-ups, üblicherweise ein tägliches Vll-Backup. Tatsächliche Vrhaltezeit und tatsächlicher Rhythmus können je nach Beauftragung, dem jeweiligen System und Datenbestand angemessen variieren. Die Daten werden vllständig autmatisiert und, über ein Stragesystem gepuffert, auf Magnetband geschrieben. Grundsätzlich werden dem technischen Stand entsprechend und den Anfrderungen angemessene, regelmäßig aktualisierte Firewallsysteme und Antivirenschutzsysteme eingesetzt. 8. Verwendungszweckkntrlle Es sind keine Maßnahmen zur Verwendungszweckkntrlle erfrderlich, weil Verwendungszweckkntrlle. (x) Es existieren flgende Maßnahmen zur Verwendungszweckkntrlle: Vm Auftragsdatenverarbeiter wird die getrennte Bereitstellung der Systeme gewährleistet. Stand Seite 13 vn 13