1.2 Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit des SaaS-Rahmenvertrag.

Transkript

1 Auftrag zur Datenverarbeitung gemäß $11 BDSG / Art. 17 EG-Datenschutzrichtlinie für Kunden der EU Stand 1.Quartal 2016 Zwischen [..] - Auftraggeber - und crowdhouse GmbH -Auftragnehmer- Dieses Dokument konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus der im SaaS-Rahmenvertrag in ihren Einzelheiten beschriebenen Auftragsdatenverarbeitung ergeben. Sie findet Anwendung auf alle Tätigkeiten, die mit dem Vertrag in Zusammenhang stehen und bei denen Beschäftigte des Auftragnehmers oder durch den Auftragnehmer Beauftragte mit personenbezogenen Daten des Auftraggebers in Berührung kommen können. 1. Gegenstand, Zweck und Umfang der Datenverarbeitung 1.1 Der Gegenstand des Auftrags ergibt sich aus dem SaaS-Rahmenvertrag, auf den hier verwiesen wird. Der Auftragnehmer erhebt, verarbeitet oder nutzt die personenbezogenen Daten im Auftrag des Auftraggebers im Sinne des 11 BDSG zu den im SaaS-Rahmenvertrag und der Leistungsbeschreibung genannten Zwecken. 1.2 Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit des SaaS-Rahmenvertrag. 1.3 Der Auftraggeber ist gemäß SaaS-Rahmenvertrag für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich (»verantwortliche Stelle«im Sinne des 3 Abs. 7 BDSG). 1.4 Die Weisungen werden anfänglich durch den SaaS-Rahmenvertrag festgelegt und können vom Auftraggeber danach in schriftlicher Form oder in Textform durch einzelne Weisungen geändert, xitavis Seite 1/7 crowdhouse GmbH

2 ergänzt oder ersetzt werden (Einzelweisung). Weisungen, die über die vertraglich vereinbarte Leistung hinausgehen, werden als Antrag auf Leistungsänderung behandelt. 1.5 Gegenstand der Erhebung, Verarbeitung und / oder Nutzung personenbezogener Daten sind folgende Datenkategorien Benutzerdaten (Name, Vorname, Login, Passwort, ) Kontaktdaten (Name, Fax, Telefon, ) Firmendaten (Name, Anschrift) Planungs- und Steuerungsdaten 1.6 Der Kreis der durch den Umgang mit ihren personenbezogenen Daten im Rahmen dieses Auftrags Betroffenen umfasst Personal und Mitarbeiter des Auftraggeber Ansprechpartner, Mitarbeiter der Geschäftspartner des Auftraggebers 1.7 Die Verarbeitung und Nutzung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der 4b, 4c BDSG erfüllt sind. 2. Pflichten des Auftragnehmers 2.1 Der Auftragnehmer darf Daten von Betroffenen nur im Rahmen des Auftrages und der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen. 2.2 Der Auftragnehmer wird die für ihn anwendbaren datenschutzrechtlichen Verpflichtungen beachten und deren Einhaltung regelmäßig überprüfen. 2.3 Er wird das Datengeheimnis gemäß 5 BDSG wahren und hat bei der Erhebung, Verarbeitung oder Nutzung ausschließlich Beschäftigte einzusetzen, die auf das Datengeheimnis verpflichtet sind. Er hat insbesondere sicherzustellen, dass alle Personen, die mit der Durchführung des Vertrags betraut sind, sorgfältig ausgewählt werden, die gesetzlichen Bestimmungen über den Datenschutz beachten und die aus dem Bereich des Auftraggebers erlangten oder mit dessen Hilfe erarbeiteten Informationen nicht an Dritte weitergeben oder sonst unbefugt verwenden. 2.4 Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich bei schwerwiegenden Verstößen des Auftragnehmer oder der bei ihm im Rahmen des Auftrags beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder die im Vertrag getroffenen Festlegungen. Er trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen und spricht sich hierzu unverzüglich mit dem Auftraggeber ab. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Informationspflichten nach 42a BDSG. 3. Technische und organisatorische Maßnahmen 3.1 Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er wird xitavis Seite 2/7 crowdhouse GmbH

3 technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers treffen, die den Anforderungen des Bundesdatenschutzgesetzes (Anlage zu 9 BDSG) genügen. Dies umfasst Maßnahmen zu a) Zutrittskontrolle b) Zugangskontrolle c) Zugriffskontrolle d) Weitergabekontrolle e) Eingabekontrolle f) Auftragskontrolle g) Verfügbarkeitskontrolle h) Trennungskontrolle Als wesentliche Maßnahmen sind folgende umgesetzt: Betrieb der Produktivserver in einem externen Rechenzentrum mit den gewünschten Sicherheits- und Verfügbarkeitsanforderungen Einsatz von dem Stand der Technik entsprechenden Verschlüsselungsverfahren Autorisierte Benutzerkennungen und individuelle Passwörter für den Zugang zu Datenverarbeitungssystemen Abgestufte, rollenbasierte Zugriffskonzepte mit unterschiedlichen Kennungen und Passwörtern für den Zugriff auf Datenverarbeitungssysteme Einsatz von Audit-Protokollen Logische Trennung der Daten nach Mandant und Projekt Trennung von Produktiv- und Testsystem getrennte Aufbewahrung der Backups Die Maßnahmen werden vom Auftragnehmer im Detail dokumentiert. Die Dokumentation kann vom Auftraggeber angefordert werden. 3.2 Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt dem Auftragnehmer vorbehalten, wobei jedoch sichergestellt sein muss, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird. 4. Rechte der Betroffenen 4.1 Der Auftraggeber ist verantwortlich für die Wahrung der Rechte der Betroffenen, die sich aus den 6 und 7 BDSG ergeben. Die Rechte sind von den Betroffenen gegenüber dem Auftraggeber geltend zu machen. Der Auftragnehmer hat den Auftraggeber über die etwaige Geltendmachung solcher Rechte sofort zu unterrichten und ihn hierbei vollumfänglich, xitavis Seite 3/7 crowdhouse GmbH

4 insbesondere jedoch im Hinblick auf die Auskunftserteilung, Berichtigung, Sperrung und Löschung von Daten zu unterstützen, vorausgesetzt: a) Der Auftragnehmer wurde vom Auftraggeber dazu aufgefordert b) Der Auftraggeber erstattet dem Auftragnehmer die über den vertraglich vereinbarten Leistungsumfang hinausgehenden Kosten für diese Unterstützung 4.2 Wendet sich ein Betroffener mit Forderungen zur Berichtigung, Löschung oder Sperrung an den Auftragnehmer, wird der Auftragnehmer den Betroffenen an den Auftraggeber verweisen. 5. Begründung von Unterauftragsverhältnissen 5.1 Der Auftragnehmer ist nur nach vorheriger schriftlicher Zustimmung des Auftraggebers berechtigt, Subunternehmer mit der Erfüllung von Aufgaben aus diesem Vertrag zu beauftragen. In diesem Fall hat er sicherzustellen, dass die Regelungen dieser Vereinbarung auch von den Subunternehmern eingehalten werden. 5.2 Die vertraglich vereinbarten Leistungen bzw. die nachfolgend beschriebenen Teilleistungen werden unter Einschaltung eines Subunternehmers durchgeführt, nämlich: Host Europe GmbH Hosting der Server und Bereitstellung im Internet Für diese Subunternehmer gilt die Einwilligung für das Tätigwerden als erteilt. 5.3 Erteilt der Auftragnehmer Aufträge an Subunternehmer, so obliegt es dem Auftragnehmer, seine Pflichten aus diesem Vertrag dem Subunternehmer zu übertragen. Satz 1 gilt insbesondere für Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit zwischen den Vertragspartnern dieses Vertrages. Eine etwaige Prüfung durch den Auftraggeber beim Subunternehmer erfolgt nur in Abstimmung mit dem Auftragnehmer. Durch schriftliche Aufforderung ist der Auftraggeber berechtigt, vom Auftragnehmer Auskunft über die datenschutzrelevanten Verpflichtungen des Subunternehmers zu erhalten, erforderlichenfalls auch durch Einsicht in die relevanten Vertragsunterlagen. 5.4 Ein zustimmungspflichtiges Subunternehmerverhältnis liegt nicht vor, wenn der Auftragnehmer Dritte im Rahmen einer Nebenleistung zur Hauptleistung beauftragt, wie beispielsweise bei externem Personal, Post- und Versanddienstleistungen oder Wartung. Der Auftragnehmer wird xitavis Seite 4/7 crowdhouse GmbH

5 mit diesem Dritten im erforderlichen Umfang Vereinbarungen treffen, um einen angemessenen Datenschutz zu gewährleisten. 6. Kontrollrechte, Duldungs- und Mitwirkungspflichten 6.1 Der Auftragnehmer gewährt dem Auftraggeber die zur Auftragskontrolle notwendigen Zutrittssowie Einsichts- und Zugriffsrechte. Er berichtet dem Auftraggeber auf Anfrage über die Einhaltung der technischen und organisatorischen Maßnahmen. 6.2 Der Auftraggeber kann sich nach rechtzeitiger Anmeldung zu Prüfzwecken während der üblichen Geschäftszeiten von der Angemessenheit und Umsetzung der Maßnahmen zur Einhaltung der technischen und organisatorischen Erfordernisse der für die Auftragsdatenverarbeitung einschlägigen Vorschriften überzeugen. 6.3 Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf schriftliche Anforderung alle Auskünfte innerhalb einer angemessenen Frist zu geben, die zur Durchführung einer umfassenden Auftragskontrolle erforderlich sind. 6.4 Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt. 7. Pflichten bei Beendigung des Vertragsverhältnisses 7.1 Bei Beendigung des Vertrages verpflichtet sich der Auftragnehmer, alle ihm im Rahmen dieses Vertrags übermittelten oder von ihm selbst im Auftrag des Auftraggebers erhobenen Daten oder mit dessen Hilfe erarbeiteten Informationen auf Verlangen des Auftraggebers an diesen zu übermitteln und nach erfolgreicher Übermittlung zu löschen bzw. zu sperren. Verlangt der Auftraggeber trotz schriftlicher Aufforderung keine Übermittlung, werden die Daten nach Weisung des Auftraggebers gelöscht bzw. gesperrt. 7.2 Insbesondere Dokumentationen, die dem Nachweis der ordnungsgemäßen Erhebung, Verarbeitung oder Nutzung personenbezogener Daten dienen, sind durch den Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Der Auftragnehmer kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben. 7.3 Der Auftragnehmer ist verpflichtet, auch über das Ende des Vertragsverhältnisses hinaus Stillschweigen über die ihm im Zusammenhang mit dem Auftrag bekannt gewordenen Daten zu wahren. xitavis Seite 5/7 crowdhouse GmbH

6 Anhang Technische und organisatorische Maßnahmen gemäß Anlage zu 9 BDSG Datenarten Name, Vorname, -Adressen, Kontaktdaten (Rufnummern, Faxnummern) Firmenname und Anschrift Zwecke und Umfang der Datenverarbeitung Registrierung von Benutzern zur Nutzung des Dienstes Erfassung von Kontaktdaten zur projektinternen Kommunikation der Projektbeteiligten 1. Hosting xitavis wird in einem Rechenzentrum bei Europas größtem Business Hoster Host Europe GmbH mit Standort innerhalb der EU betrieben und im Internet via HTTPS unter der mit dem Kunden abgestimmten projektspezifischen Adresse zur Verfügung gestellt. Dieser Anbieter hat die Zertifikate ISO und Trusted Cloud erworben und damit alle erforderlichen Maßnahmen zur Absicherung getroffen Übertragung - Kompletter Zugriff über HTTPS gesichert - Nutzung eines Premium Organisation SSL-Zertifikats mit erweiterter Validierung durch führenden Zertifizierer Global Sign - Verschlüsselung mit 2048 Bit 3. Datenzugriff - Erhöhte Datenbanksicherheit durch ausschließliche Nutzung von Stored Procedures - Sicher vor SQL Injection - Webseitensicherung durch Validierung aller Eingaben - Ausschließlich authentifizierter Zugriff auf allen Ebenen (Webseite/Datenbank) - Datenzugriff getrennt nach Mandant und Projekt - Rollenbasierte Zugriffsberechtigung auf Daten und Funktionen innerhalb eines Projektes 4. Datensicherung - Alle 6h wird eine lokale Sicherung des Datenbanklog angelegt. xitavis Seite 6/7 crowdhouse GmbH

7 - Alle 24h werden lokale vollständige Datenbankbackups angelegt. - Alle 24h werden Datenbankbackups und Internetserverbackups extern beim Hoster gesichert. 5. Reporting - Zur Messung der Verfügbarkeit und Erreichbarkeit von Datenbank und Webseite wird ein Monitoring-Dienst eingesetzt - Der Anbieter überprüft die Verfügbarkeit des Providers im 30 Minuten-Takt mit Hilfe unterschiedlicher technischer Verfahren - Auf Anfrage kann ein Report der Ausfälle der letzten 31 Tage angefordert werden 6. Datenschutzerklärung - Auftragsdatenverarbeitungsvertrag mit Google nach deutschem Recht mit anonymisierter IP - xitavis Seite 7/7 crowdhouse GmbH