Vertrag zur Auftragsdatenverarbeitung gemäß 11 BDSG (Bundesdatenschutzgesetz)

Transkript

1 Vertrag zur Auftragsdatenverarbeitung gemäß 11 BDSG (Bundesdatenschutzgesetz) zwischen Auftraggeber - nachstehend Auftraggeber genannt - und zeitwert GmbH & Co. KG Büchener Weg 94, Lauenburg Telefon , Telefax Komplementärin: Schilloks Verwaltungs GmbH Geschäftsführer: Daniel Schilloks - nachstehend Auftragnehmer genannt - Vorbemerkung - Einsatzbereich 1. Diese Datenschutzvereinbarung wird in Verbindung mit den beauftragten Hauptleistungen zur Nutzung der zeitwert-software samt Zusatzdienste abgeschlossen. 2. Sie regelt die datenschutzrechtlichen Anforderungen im Rahmen der beauftragten Auftragsdatenbearbeitung durch den Auftragnehmer. Der Inhalt richtet sich nach den gesetzlichen Festlegungen in 11 Abs. 2 S. 2 BDSG. 3. Die Datenschutzvereinbarung gilt während der Laufzeit des Vertrags über die gebuchten Hauptleistungen und endet mit diesem. 1. Gegenstand und Dauer des Auftrags 1.1. Der Gegenstand des Auftrags ergibt sich aus den beauftragten Leistungen einschließlich AGB und Lizenzvertrag, welche diesem Auftrag beigefügt sind Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit der Leistungsvereinbarung. 2. Umfang, Art und Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten sowie die Art der Daten und der Kreis der Betroffenen 2.1. Der Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung und/oder Nutzung von personenbezogenen Daten durch den Auftragnehmer für den Auftraggeber sowie die Art der Daten und der Kreis der Betroffenen ergeben sich aus dem Hauptvertrag Gegenstand der Erhebung, Verarbeitung und/oder Nutzung personenbezogener Daten sind folgende Datenarten/-kategorien: Personenbezogene Daten Personenstammdaten Kommunikationsdaten (z.b. Telefon, ) Vertragsstammdaten Kundenhistorie Vertragsabrechnungs- und Zahlungsdaten 2.3. Der Kreis der durch den Umgang mit ihren personenbezogenen Daten im Rahmen dieses Auftrags Betroffenen umfasst: Kundendaten des Auftraggebers und Mitarbeiter des Auftraggebers 2.4. Die Verarbeitung und Nutzung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, eines Mitgliedsstaat der Europäischen Union oder eines anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein außerhalb dieses Gebiets liegendes Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der 4b, 4c BDSG erfüllt sind. 3. Rechte und Pflichten des Auftraggebers 3.1. Der Auftraggeber ist für die Einhaltung der gesetzlichen Bestimmungen des Datenschutzes, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich ( verantwortliche Stelle im Sinne des 3 Abs. 7 BDSG). Die Beurteilung der Zulässigkeit der Datenerhebung /-verarbeitung und -nutzung sowie die Wahrung der Rechte der Betroffenen (insb. die auf Berichtigung, Löschung und Sperrung von Daten) obliegt dabei allein ihm. Betroffenenrechte sind gegenüber dem Auftraggeber wahrzunehmen Kontroll-/Prüfungsrecht: Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zur Datensicherheit zu überzeugen. Hierbei kann er sich auch von Dritten vertreten lassen. Der Auftraggeber ist verpflichtet, das Ergebnis in geeigneter Weise zu dokumentieren. Er kann nach vorheriger Anmeldung mit angemessener Frist die Kontrolle in der Betriebsstätte des Auftragnehmers zu den jeweils üblichen Geschäftszeiten vornehmen und dabei insb. die Anlagen, die geschäftlichen Unterlagen, die gespeicherten personenbezogenen Daten und die Datenverarbeitungsprogramme einsehen und prüfen, soweit es im Rahmen des Auftrags für die Überwachung des Datenschutzes erforderlich ist. Der Auftraggeber wird dabei Sorge dafür tragen, dass die Kontrollen nur im erforderlichen Umfang durchgeführt werden, sofern die Betriebsabläufe des Auftragnehmers durch die Kontrollen gestört werden Weisungsrecht: Der Auftraggeber hat das Recht, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Mündliche Weisungen oder Weisungen in Textform (z.b. ) sind unverzüglich vom Auftraggeber schriftlich zu bestätigen. Weisungsberechtigte Personen können benannt werden Der Auftraggeber wird unverzüglich entdeckte Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragnehmer anzeigen Für die Erfüllung der ggf. bestehenden Informationspflicht gegenüber Dritten nach 42a BDSG, ist der Auftraggeber verantwortlich Der Auftraggeber ist verpflichtet, alle Geschäftsgeheimnisse des Auftragnehmers und insbesondere Informationen zu den eingesetzten Datensicherheitsmaßnahmen vertraulich zu behandeln. 4. Pflichten des Auftragnehmers 4.1. Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich nach Weisung des Auftraggebers und unter Einhaltung der Regelungen dieses Auftrags sowie der einschlägigen datenschutzrechtlichen Bestimmung. Empfangsberechtigte Personen für Weisungen sollen durch den Auftragnehmer benannt werden. zeitwert GmbH & Co. KG 1/6

2 4.2. Kopien und Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind Personenbezogene Daten sind auf Verlangen des Auftraggebers zu berichtigen, zu löschen und zu sperren. Sie dürfen für keine anderen, insbesondere nicht für eigene Zwecke verwendet werden. Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen Der Auftragnehmer bestellt einen Datenschutzbeauftragten schriftlich. Dieser muss seine Tätigkeit gemäß 4f, 4g BDSG ausüben können. Die Kontaktdaten werden dem Auftraggeber zur Kenntnis gegeben. Der Datenschutzbeauftragte wird den Auftraggeber unverzüglich informieren, sofern er im Rahmen dieses Auftrags sich auf das Zeugnisverweigerungsrecht bzw. auf das Beschlagnahmeverbot nach 4f Abs. 4a BDSG beruft Die Wahrung des Datengeheimnisses wird entsprechend 5 BDSG sichergestellt. Hierzu werden alle Personen, die auftragsgemäß auf personenbezogene Daten des Auftraggebers zugreifen können, auf das Datengeheimnis verpflichtet und eine Belehrung über die sich aus diesem Auftrag ergebenden besonderen Datenschutzpflichten sowie die bestehende Weisungs- bzw. Zweckbindung durchgeführt Die Umsetzung und Einhaltung aller für diesen Auftrag notwendigen technischen und organisatorischen Maßnahmen erfolgt entsprechend 9 BDSG und dessen Anlage (Siehe Punkt 5 dieses Vertrags) Für die Sicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren sind mit dem Auftraggeber abzustimmen Der Auftragnehmer wird an der Erstellung der Verfahrensverzeichnisse mitwirken und die jeweils erforderlichen Angaben in geeigneter Weise übermitteln Die Durchführung der Auftragskontrolle erfolgt mittels regelmäßiger Prüfungen durch den Auftragnehmer im Hinblick auf die Vertragsausführung bzw. -erfüllung, insbesondere die Einhaltung und ggf. die notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags Der Auftragnehmer unterstützt den Auftraggeber bei der Durchführung von Kontrollen über die getroffenen technischen und organisatorischen Maßnahmen. Hierzu kann der Auftraggeber Auskünfte einholen und Einsicht in die gespeicherten Daten und die Datenverarbeitungsprogramme nehmen sowie sonstige Kontrollen vor Ort selbst durchführen oder durch Dritte durchführen lassen Werden dem Auftragnehmer Verstöße gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder gegen die im Auftrag getroffenen Festlegungen bekannt, hat er diese unverzüglich dem Auftragnehmer anzuzeigen Der Auftraggeber wird unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach 38 BDSG informiert. Dies gilt auch, soweit eine zuständige Behörde nach 43, 44 BDSG beim Auftragnehmer ermittelt Ohne Ansehen der Verursachung ist das Abhandenkommen oder die unrechtmäßige Übermittlung an oder Kenntniserlangung durch Dritte von personenbezogenen Daten unverzüglich dem Auftraggeber mitzuteilen. Dies gilt auch bei schwerwiegenden Störungen des Betriebsablaufs, bei Verdacht auf sonstige Verletzungen gegen Vorschriften zum Schutz personenbezogener Daten oder anderen Unregelmäßigkeiten beim Umgang mit personenbezogenen Daten des Auftraggebers. In Abstimmung mit dem Auftraggeber sind angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen. Soweit den Auftraggeber Pflichten nach 42a BDSG treffen, hat der Auftragnehmer ihn hierbei zu unterstützen. 5. Nach 9 BDSG vom Auftragnehmer zu treffende technische und organisatorische Maßnahmen 5.1. Zutrittskontrolle Maßnahmen, die verhindern sollen, dass Unbefugte Zutritt zu Datenverarbeitungsanlagen erhalten, mit denen personenbezogene Daten verarbeitet oder genutzt werden. Verarbeitung eigener Daten (insb. Vertrieb, Verwaltung, Personal): Die Verarbeitung eigener Daten erfolgt in geschützten Verwaltungsräumen. Die Verarbeitung der Daten von zeitwert GmbH & Co KG erfolgt in einem zertifizierten Hochsicherheitsrechenzentrum in Hamburg. Es besteht eine aktuelle Zertifizierung des Rechenzentrums nach ISO und ISO Ein rechtskonformer Vertrag im Rahmen der Auftragsdatenverarbeitung ( 11 BDSG) mit erfolgter Erstkontrolle besteht. Überwachung der Außenhaut und Firmengelände: Glasbruchsensoren 24 x 7 Sicherheitsüberwachung durch Überwachungskameras auch in Infrarot Vergabe von Zutrittskarten nur über spezielles Freigabeverfahren mit Ausweiskontrolle Vollständig elektronisches Zutrittskontrollsystem basierend auf berührungslosen Zutrittskarten mit Foto und PIN Tastencodes Speicherung der Zutrittsdaten über 12 Monate, Kameraaufnahmen über mehrere Monate. Überwachung im Rechenzentrum: 24 x 7 Sicherheitsüberwachung durch Überwachungskameras auch in Infrarot Vollständig elektronisches Zutrittskontrollsystem basierend auf berührungslosen Zutrittskarten mit Photo und PIN Tastencodes Biometrische Handflächenscanner bei der Colocationsfläche Verschlossene Colocation Suites mit berührungslosen Zutrittskarten mit Foto und PIN Tastencodes Verschlossene Serverschränke Einbruchsmeldesystem an Fluchtwegen und Notausgängen Speicherung der Zutrittsdaten über 12 Monate, Kameraaufnahmen über mehrere Monate Zugangskontrolle Maßnahmen, die sicherstellen sollen, dass nur befugte Personen Zugang zu Datenverarbeitungsanlagen erhalten, mit denen personenbezogene Daten verarbeitet werden. Die Verarbeitung eigener Daten findet in den Räumlichkeiten der zeitwert GmbH & Co KG statt, sowie für Präsentationen und Verwaltungszwecke auch auf Notebooks mit bestehender Datenverschlüsselung. Transport von Daten: Der Transport von Daten findet ausschließlich per Netzwerk statt. Alle hierbei eingesetzten Verbindungen sind per SSL/IP-Sec verschlüsselt. Es werden grundsätzlich keine mobilen Geräte für den Transport von Daten von Auftraggebern eingesetzt. Für die Administration eingesetzte Computer sind mittels Datenverschlüsselung gegen unbefugte Nutzung geschützt. Sicherheitsprotokolle: Es werden Security Logs der Systeme aufgezeichnet und automatisiert ausgewertet und ggf. eskaliert. Sicherung von Bildschirmarbeitsplätzen: An allen Arbeitsplätzen des Unternehmens setzt nach 900 Sekunden ohne Eingaben automatisch ein passwortgeschützter Bildschirmschoner ein. Diese Maßnahme ist soweit möglich technisch erzwungen. zeitwert GmbH & Co. KG 2/6

3 Schutz vor externem Zugriff: Die IT-Systeme sind durch Firewall, Intrusion Prevention Systeme und Netzwerksegmentierung gegen unbefugten Zugriff geschützt. Verschlüsselter remote Zugriff ist nur eigenen Mitarbeitern ermöglicht. Vernichtung von Datenträgern: Nicht mehr benötigte Daten werden sicher gelöscht, sofern keine anderen Weisungen der Auftraggeber bestehen.die Standardzeit für die Löschung von personenbezogenen Daten beträgt 14 Tage bei Sozialdaten und 90 Tage bei personenbezogenen Daten nach der Vertragserfüllung. Defekte Datenträger werden fachgerecht unter Beachtung der datenschutzrechtlichen Anforderungen vernichtet Zugriffskontrolle Maßnahmen, um sicherzustellen, dass berechtigte Personen nur auf solche personenbezogene Daten Zugriff erhalten, für die sie die Befugnis zur Einsichtnahme und zur Verarbeitung besitzen. Die Verarbeitung eigener Daten findet im Rahmen des bestehenden Berechtigungskonzeptes statt. Die Verteilung von Berechtigungen erfolgt nach dem need-to-know- Prinzip. Sicherheitsstufen: Die zeitwert Plattform wird durch mehrere Sicherheitsstufen geschützt. Zugriffskontrolle: Im zeitwert Büro sind gesicherte Zugänge gewährleistet. Der Zugang zu dem zeitwert System durch das Unternehmen selbst erfordert einen Benutzernamen und ein Passwort (D.h. personalisierter Nutzer). Benutzername und Passwort verfallen nach einer bestimmten (vom Administrator definierten) Zeitspanne. Benutzernamen können bis zu 50 Zeichen lang sein. Passwörter sind zwischen 6 bis 50 Zeichen lang. Passwörter können nur vom Inhaber des Passworts geändert werden. Die Applikation im jeweiligen mobilen Gerät in dem Unternehmen baut auf einer SQ Lite Datenbank Infrastruktur auf. Nur der authentisierte Nutzer kann Zugang zur Anwendung erhalten. Der Zugang zur zeitwert Software erfordert einen Benutzernamen und ein Passwort (D.h. personalisierter Nutzer). Benutzername und Passwort verfallen nach einer bestimmten (vom Administrator definierten) Zeitspanne. Benutzernamen können bis zu 10 Zeichen lang sein. Passwörter des mobilen Apple Geräts sind maximal 4 Zeichen lang. Zeitliche Sitzungsbeschränkung: Sessions mit der zeitwert Plattform sind zeitlich beschränkt. Offene Sessions, die länger als 15 Minuten inaktiv sind, werden beendet. Kommunikations-Sicherheit: Die Kommunikation mit der Datenbank im Rechenzentrum ist SSL verschlüsselt. SSL-Zertifikate sichern Verbindung zwischen Servern und Ihren Benutzern ab. Sicherheit auf Datenebene (Data Security Layer): Die Serverumgebung speichert Informationen in einer Datenbank und in einem Dateisystem. Der Zugang zur Datenbank im Rechenzentrum ist passwortgeschützt, unter Verwendung von einer Authentifizierung. Berechtigungskonzept: Im Unternehmen besteht ein definiertes Berechtigungskonzept für: Administration Softwareentwicklung Usermanagement Benutzer Nutzerkennungen: Es existiert eine zentrale Administration für die eingesetzten Serversysteme. Die zentrale Administration nimmt keine Tätigkeiten außer der technischen Verwaltung der Sicherheits- und Serversysteme vor (seperation of duty). Die zentrale Kundenverwaltung vergibt und überwacht die individualisierten Zugänge für Kunden und sonstige Berechtigungen zum Zugriff auf eingesetzte Systeme. Der Zugriff wird zunächst über den eindeutigen Unternehmensnamen mit Passwort abgefragt. Anschließend wird durch einen weiteren Log In der jeweilige Benutzer authentifiziert. Es findet eine regelmäßige Änderung der Passwörter statt. Für die Unternehmen und Mitarbeiter werden ebenfalls individuelle Kennungen vergeben. Initialpasswörter hat der Inhaber unmittelbar nach Empfang zu ändern. Alle Passwörter sind individuell und geheim. Die Übermittlung der Passwörter im Rahmen einer Nutzeranmeldung erfolgt getrennt auf einem anderen Medium, als die Übermittlung des Benutzer Accounts. Alle Berechtigungen orientieren sich am tatsächlichen Bedarf der Nutzergruppen und sind entsprechend so restriktiv wie möglich ausgestaltet. Begrenzung/Protokollierung der Fehlversuche bei der Anmeldung: Erfolgreiche und verweigerte Anmeldeversuche werden über den Server protokolliert und im Bedarfsfall eskaliert. Administrationszugriff: Der verschlüsselte Remote-Zugriff auf die eingesetzten Server-Systeme ist nur für folgende Personen freigeschaltet: Administrator Entwickler Administratortätigkeiten: Administrative Tätigkeiten werden überwacht und als Changelog gespeichert und nachvollziehbar gemacht. Es erfolgt eine regelmäßige Prüfung dieser Logdateien. Protokollierung: Dateizugriffe werden überwacht und ggf. (z.b. verweigerter Zugriff) protokolliert. Auffälligkeiten, wie mehrfach fehlgeschlagene Anmeldeversuche zur Nutzung von Hard- oder Software oder andere Abweichungen werden ebenfalls protokolliert. Die Auswertung der Protokolle erfolgt soweit möglich automatisch Weitergabekontrolle Maßnahmen, die verhindern, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transportes oder ihrer Speicherung auf Datenträger unbefugt gelesen, kopiert, verändert oder entfernt werden können. Zudem soll überprüft und festgestellt werden können, an welchen Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen der Datenübertragung vorgesehen ist. Die Weitergabe eigener Daten darf nur im Rahmen der Richtlinien zur Kommunikationssicherheit erfolgen. Sensible personenbezogene Kundendaten im Rahmen von zeitwert dürfen nur verschlüsselt weitergegeben werden. zeitwert GmbH & Co. KG 3/6

4 Regelung für den Eingang von personenbezogenen Daten: Auftragsbezogene personenbezogene Daten erreichen zeitwert GmbH & Co KG ausschließlich per verschlüsselter Datenfernübertragung. Es werden keine physikalischen Datenträger zum Transport eingesetzt. Protokollierung von Dateneingängen: Dateneingänge werden über ein Monitoring erfasst und die Server Protokolle zu Kontrollzwecken gespeichert. Die Löschung der Protokolldaten erfolgt wenn der Auftragszweck erfüllt ist und keine steuerrechtlichen oder anderen gesetzlichen Archivierungspflichten mehr bestehen. Authentisierung bei Aufträgen des Auftraggebers: Die zeitwert GmbH & Co KG übermittelt dem Auftraggeber das Initialpasswort zur Benutzung des Systems per . Im Bereich der zeitwert Plattform initiieren die Benutzer die Übertragung der personenbezogenen Daten selbst durch passwortgeschützte Anmeldung und anschließender Verwendung der Software. Bei Verwendung der zeitwert Software werden Daten ausschließlich verschlüsselt übertragenen. Auftragsspezifische Sicherheitsregelungen: Soweit spezielle Sicherheitsanforderungen durch Kunden im Rahmen der Auftragsdatenverarbeitung vereinbart wurden, werden diese in den jeweiligen Abteilungen entsprechend umgesetzt und dokumentiert. Datenschutzgerechte Verträge mit Dritten: Soweit eine Beauftragung von Dritten erfolgt, erfolgt dies transparent gegenüber dem Auftraggeber. Es werden nur datenschutzrechtlich erforderliche Verträge geschlossen, die mindestens den Anforderungen der Verträge zwischen Auftraggeber und Auftragnehmer dieses Vertrages entsprechen. Dokumentierte Erstprüfungen und laufende Prüfungen der Auftragnehmer erfolgen. Verpflichtung der Mitarbeiter auf das Datengeheimnis: Alle Mitarbeiter des Auftragnehmers sind datenschutzrechtlich zur Verschwiegenheit verpflichtet. Es bestehen folgende Verpflichtungserklärungen im Unternehmen: Verpflichtungserklärung / Vertraulichkeitserklärung Datenschutz gemäß 5 BDSG (Bundesdatenschutzgesetz), Verpflichtungserklärung Vertraulichkeitserklärung Telekommunikationsgeheimnis gemäß 88 TKG (Telekommunikationsgesetz) und Verpflichtungserklärung Vertraulichkeitserklärung Geschäftsgeheimnis 17 UWG (Gesetz gegen den unlauteren Wettbewerb) Verpflichtungserklärung Sozialgeheimnis 35 SGB I (Sozialgesetzbuch I) 5.5. Eingabekontrolle Maßnahmen, um zu ermöglichen, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungsanlagen eingegeben, verändert oder entfernt worden sind. Die Eingabekontrolle beim Serversystem erfolgt über Changelogs. Änderungen innerhalb des Dateisystems werden sichergestellt. Protokollierung von Dateneingaben: Soweit personenbezogene Daten im Auftrag des Auftraggebers empfangen und verarbeitet werden, wird dies über das bestehende Monitoring erfasst und protokolliert. Die Löschung der Protokolldaten erfolgt, wenn der Auftragszweck erfüllt ist und keine steuerrechtlichen oder anderen gesetzlichen Archivierungspflichten mehr bestehen. Protokollierung von Datenveränderungen: Veränderungen in den Datenbanken werden protokolliert. Die Löschung der Protokolldaten erfolgt, wenn der Auftragszweck erfüllt ist und keine steuerrechtlichen oder anderen gesetzlichen Archivierungspflichten bestehen. Definierte Abläufe für den IT-Betrieb: Über bestehende Prozesse, die die Tätigkeiten insb. der Entwickler vorgeben, sind die Aufgaben und Vorgehensweisen für jede Rolle im Rahmen der IT-Betreuung geregelt Auftragskontrolle Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur gemäß den Weisungen des Aufraggebers verarbeitet werden können. Die Verarbeitung eigener Daten findet in den Büroräumen statt. Die Verarbeitung personenbezogener Daten im Auftrag erfolgt ausschließlich im Rahmen der zugrunde liegenden Vereinbarung, entsprechend der gesetzlichen Vorschriften und nach Weisung des Auftraggebers. Soweit eine Beauftragung von Dritten erfolgt, erfolgt dies transparent gegenüber dem Auftraggeber. Es werden nur datenschutzrechtlich erforderliche Verträge geschlossen, die mindestens den Anforderungen der Verträge zwischen Auftraggeber und Auftragnehmer dieses Vertrages entsprechen. Dokumentierte Erstprüfungen und laufende Prüfungen der Auftragnehmer erfolgen Verfügbarkeitskontrolle Maßnahmen, mit denen personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt werden. Die Sicherung eigener Daten erfolgt im Rahmen eines bestehenden Backup- und Archivierungskonzeptes. Verschlüsselte Datensicherungsträger werden aus den Verwaltungsräumen regelmäßig ausgelagert. Das gesamte Rechenzentrum des eingesetzten Dienstleisters ist auf höchste Verfügbarkeit ausgelegt. Stromversorgung: Die externe Stromversorgung erfolgt redundant über zwei selbständige Trassen von unterschiedlichen Umspannwerken. Auch intern sind alle Löschabschnitte ebenfalls redundant versorgt und räumlich getrennt (Power Distribution Units an gegenüberliegenden Gebäudeseiten). Die Verfügbarkeit der Stromversorgung liegt bei 99.99%. Sollte dennoch eine Störung eintreten, so wird die unterbrechungsfreie Stromversorgung sofort durch USV s auf Basis von Batterien sichergestellt. Nach einer Minute Stromausfall übernehmen Dieselgeneratoren die Stromversorgung. Deren Treibstoffreserven erlauben 24 Stunden Betrieb bei Volllast. Bei Absinken des Vorrats unter 75% wird automatisch aufgefüllt. Hierfür bestehen Verträge mit ortsansässigen Lieferanten, die jederzeitige Versorgung sicherstellen. Klimatisierung: Die ausreichend dimensionierte Klimatisierung des Rechenzentrums (Kühlleistung aktuell 3 Megawatt) ist redundant ausgelegt. Derzeit existieren 12 Central Cooling Units, von denen mindestens zwei den Rechenzentrumsbereich des RZ-Dienstleisters versorgen. Wartung und Überwachung der IT-Infrastruktur: Monitoringsysteme melden permanent den Zustand der IT-Infrastruktur. Bei ungewöhnlichem Verhalten wird die Problemanalyse und - Lösung, auch teils unter Hinzunahme von externen Spezialdienstleistern, vorgenommen. Hinsichtlich der RZ-Infrastruktur werden nach den Wartungsrichtlinien quartalsweise, halbjährliche und jährliche Funktionstest einzelner Systeme durchgeführt. Bei den Diesel- Generatoren erfolgt z.b. ein monatlicher Testlauf gegen eine Lastbank, der die Funktion der Notstromaggregate bei Volllast prüft. Tests zeitwert GmbH & Co. KG 5/6

5 und Testergebnisse werden fortlaufend dokumentiert. Es finden automatisierte, permanente elektronische Tests der Core IT-Systeme statt, die die Funktion und Leistungsfähigkeit (z.b. den Durchsatz) prüfen. Jährlich viermal werden proaktiv Soft- und Hardwareupdates der zentralen Systeme evaluiert. Bufixreports der Lieferanten garantieren darüber hinaus eine Prävention von Hard- und Softwarefehlern. Die Stabilität einer Hard-/Software hat Vorrang vor Featurevielfalt, wenn die Entscheidung für ein Update getroffen werden soll. Umwelteinflüsse, Notfallprävention, insb. Brandschutz: Das gesamte Rechenzentrum wird über ein zentrales Gebäudemanagementsystem überwacht. Es existieren automatische Meldeeinrichtungen für Wassereinbruch, Temperaturanstieg, Brandfrüherkennung und sonstige betriebsrelevanten Störungen. Auch Bereiche mit Unterbodenleitungen werden automatisch überwacht. Die Meldeeinrichtungen werden regelmäßig gewartet und auf Funktion getestet. Die Feuerlösch- und Rauchabzugsanlage wird automatisch beim Eintreten von kritischen Situationen durch mehrfach vorhandene Brandmeldeanlagen ausgelöst. Die zusätzliche optische Überwachung und die damit gegebene Möglichkeit des manuellen Eingreifens schützt die im Rechenzentrum befindlichen Systeme bestmöglich vor Beschädigungen im Brandfall. Im Gebäude werden soweit wie möglich nicht entflammbare und raucharme Materialien verwendet. Das Gebäude ist in mehrere selbständige Brandabschnitte unterteilt. Innerhalb des eigentlichen Rechenzentrumsbereichs erfolgt keine Lagerung, insbesondere von entflammbaren Materialien. Brandschutzwartungen erfolgen nach geltender Brandschutzverordnung. Betriebsrelevante Systeme wie z.b. Gebäudetechnik, USV / UPS inkl. Batterie und Generatortechnik, Klimatechnik werden nach Richtlinien der Hersteller gewartet. Notfallübungen werden im Zuge der Wartungen durchgeführt. Zusätzlich wird ein jährlicher Black Building -Test zur Simulation eines totalen Stromausfalls durchgeführt. Tatsächliche Störungsmeldungen werden zentral außerhalb des Rechenzentrums gesammelt und rund um die Uhr ausgewertet. Je nach Art der Störung erfolgt eine sofortige Benachrichtigung der Mitarbeiter vor Ort per (Ticketsystem) oder telefonisch. Netzwerkanbindung: Glasfaser- und Kupferleitungen sind jeweils in höchstwertigen eigenen Leitungsschächten verlegt. Die Anbindung des Rechenzentrums an das Internet erfolgt mehrfach redundant über verschiedene 1 und 10 Gbit/s Ethernet Carrieruplinks sowie Peerings mit anderen Internet Service Providern und Rechenzentren. Momentan bestehen 7 Anbindungen. Die Verfügbarkeit der Anbindung liegt bei 99,95%. Backbonestörungen sind innerhalb von maximal 4 Stunden zu beheben. Internetverbindungen bestehen standardmäßig mit 1 Gbit/s, optional sind auch 10 Gbit/s möglich. Diese Bandbreiten sind garantiert bis zu den Backbones anderer Betreiber. Bedienter Betrieb: Der bediente Betrieb 7x24 wird gewährleistet. Sowohl für die RZ Grundleistungen wie auch für die Netzwerksysteme steht ein 7x24 Stundensupport zur Verfügung, der die Verfügbarkeit und Leistung der Systeme überwacht. Eine 24 Stundenhotline für den Kunden ist vorhanden. Gebäudewartung: Geplante Wartungen und andere notwendige Maßnahmen z.b. Veränderungen an der RZ Infrastruktur werden hinsichtlich der Beeinträchtigung verschiedenen Klassifizierungsstufen (PSA no, low und high) zugeordnet. Der Auftragnehmer wird über eine geplante und voraussichtlich servicebeeinträchtigende Maßnahme vier Wochen im Voraus durch den RZ-Betreiber informiert. Datensicherung: Die Sicherung der Systeme beim beauftragten Dienstleister erfolgt in mindestens 14 Generationen. Eine Rücksicherung der Daten im Rahmen des erfolgten Backups zurückgehend durch den Dienstleister wird garantiert. Die garantierte Verfügbarkeit der Systeme beträgt im Jahresmittel mindestens 99%. Notfallkonzept: Der Dienstleister hat ein bestehendes Notfallkonzept in dessen Rahmen regelmäßige Test der Infrastruktur (Internetanbindung, Storage, Serverinfrastruktur) dokumentiert durchgeführt werden. Updates: Der Administrator versorgt alle Server und Software regelmäßig mit aktuellen Sicherheits- und sonstigen notwendigen Updates. Der Einsatz von Sicherheitsupdates erfolgt nach Tests auf separaten Testsystemen. Virenschutz: Im Rahmen der Gateway Security werden übertragene Daten auf den eingesetzten Servern auf Schadsoftware überwacht. Die Software hält sich selbst automatisch auf aktuellem Stand (Programm und Signaturen). Verdächtige Dateien werden automatisch in ein Quarantäne-Verzeichnis verschoben Trennungsgebot Maßnahmen, die sicherstellen, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten auch nur getrennt verarbeitet werden. Innerhalb des Verwaltungssystems findet keine Verarbeitung von Auftragsdaten statt. Mandantentrennung: Alle personenbezogenen Daten werden innerhalb des DV-Systems, sowohl im Empfang der Daten Verarbeitung, als auch in der Auslieferung auftragsbezogen getrennt gespeichert. Für jeden Kunden werden eigene Accounts angelegt, die logisch und auf Berechtigungsebene von anderen Kunden getrennt sind. Trennung von Entwicklungs-, Test- und Produktionsprogrammen: Entwicklungs- und Produktionsdaten werden voneinander getrennt auf den jeweils dafür eingesetzten DV-Anlagen gespeichert. 6. Berechtigung zur Begründung von Unterauftragsverhältnissen 6.1. Zur Erfüllung und Sicherstellung der vertraglich vereinbarten Leistungen der Auftragsdatenverarbeitung können für einzelne Leistungen Subunternehmer beauftragt werden (z.b. bei technischen Störungen an der EDV-Anlage des Auftragnehmers, Server-Hosting). Der Auftraggeber wird hierüber im Voraus informiert und ihm werden Name und Anschrift des Subunternehmers mitgeteilt. Die vertraglichen Vereinbarungen mit dem Subunternehmer sind so zu gestalten, dass sie die Anforderungen der Datenschutzbestimmungen im Vertragsverhältnis zwischen Auftraggeber und Auftragnehmer erfüllen. Das Recht zur Beauftragung weiterer Unterauftragnehmer durch den Subunternehmer ist dabei auszuschließen Dem Auftraggeber sind Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung und des 11 BDSG i.v.m. Nr. 6 der Anlage zu 9 BDSG beim Subunternehmer einzuräumen. Dies umfasst auch das Recht des Auftraggebers, vom Auftragnehmer auf schriftliche Anforderung Auskunft über den wesentlichen Vertragsinhalt und die Umsetzung der datenschutzrelevanten Verpflichtungen im Unterauftragsverhältnis, erforderlichenfalls durch Einsicht in die relevanten Vertragsunterlagen, zu erhalten Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z.b. Telekommunikationsleistungen, Wartung und Benutzerservice, Reinigungskräfte, Prüfer oder die Entsorgung von Datenträgern. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Auftraggebers auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen. zeitwert GmbH & Co. KG 5/6

6 7. Wahrung von Betroffenenrechten 7.1. Der Auftraggeber ist für die Wahrung der Betroffenenrechte allein verantwortlich.w 7.2. Der Auftragnehmer wird Ersuchen von Betroffenen zur sachgerechten Bearbeitung unverzüglich an den Auftraggeber weiterleiten und ohne Zustimmung seitens des Auftraggebers diese nicht selbständig bescheiden Der Auftragnehmer wird im Rahmen seiner Möglichkeiten bei der Bearbeitung der Ersuchen Betroffener insoweit den Auftraggeber unterstützen. Der Auftraggeber erstattet dem Auftragnehmer die durch diese Unterstützungshandlungen entstandenen Kosten. 8. Rückgabe überlassener Datenträger und die Datenlöschung zum Auftragsende 8.1. Bei Beendigung des Vertrags wird der Auftragnehmer alle vom Kunden übergebenen Unterlagen einschließlich Datenträger sowie die erstellten Verarbeitungs- oder Nutzungsergebnisse sowie Datensicherungskopien zurückgeben bzw. nachweisen, dass diese ordnungsgemäß und datenschutzrechtskonform vernichtet wurden. Die beim Auftragnehmer vorhandenen Datenbestände des Auftraggebers werden gelöscht Soweit beauftragt, wird der Aufragnehmer den Kunden bei Beendigung des Vertragsverhältnisses in zumutbarer und rechtlich zulässiger Weise bei der Überleitung der hier vertragsgegenständlichen Leistungen an einen Dritten oder an den Kunden selbst gegen gesondertes Entgelt unterstützen. Hierzu gehören die Erteilung von Auskünften, die Übergabe von erforderlichen Dokumentationen und die Übergabe aller Kundendaten in einem Standardformat (z.b. CSV, XML) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben. zeitwert GmbH & Co. KG 6/6