Vereinbarung zur Auftragsdatenverarbeitung nach 11 Bundesdatenschutzgesetz (BDSG)

Transkript

1 Anlage zum Produkt: Produktname: Vertragsnummer: Vereinbarung zur Auftragsdatenverarbeitung nach 11 Bundesdatenschutzgesetz (BDSG) im Folgenden: Vereinbarung zwischen Unternehmen: Straße: Postleitzahl/Ort: im Folgenden: Auftraggeber und VAPS GmbH Kollberg Isernhagen im Folgenden: Auftragnehmer ADV_Mustervereinbarung V1 Seite 1 von 11

2 Inhaltsverzeichnis 1 GEGENSTAND UND DAUER DIESER VEREINBARUNG EINZELHEITEN ZUR AUFTRAGSDATENVERARBEITUNG PFLICHTEN DES AUFTRAGGEBERS PFLICHTEN DES AUFTRAGNEHMERS TECHNISCH-ORGANISATORISCHE MAßNAHMEN KONTROLLRECHTE DES AUFTRAGGEBERS UNTERAUFTRAGNEHMER RÜCKGABE VON DATENTRÄGERN UND LÖSCHUNG VON DATEN... 9 ADV_Mustervereinbarung V1 Seite 2 von 11

3 1 2 (3) GEGENSTAND UND DAUER DIESER VEREINBARUNG Der Gegenstand dieser Vereinbarung ergibt sich aus dem Vertrag und den dort beschriebenen Pflichten zur Leistungserfüllung personenbezogenen Daten des Auftraggebers. Diese Vereinbarung wird unter Bezugnahme auf den Vertrag geschlossen und endet mit Ablauf des in dem Vertrag vereinbarten Leistungszeitraums. hinsichtlich der EINZELHEITEN ZUR AUFTRAGSDATENVERARBEITUNG Umfang, Art und Zweck der vorgesehenen Auftragsdatenverarbeitung Aus dem Vertrag und den dort beschriebenen Pflichten zur Leistungserfüllung ergibt sich abschließend Art und Zweck der Auftragsdatenverarbeitung. Zu darüber hinausgehenden Verarbeitungen oder Nutzungen ist der Auftragnehmer nicht berechtigt oder verpflichtet. Art der verarbeiteten oder genutzten personenbezogenen Daten Gegenstand der Erhebung, Verarbeitung und/oder Nutzung personenbezogener Daten sind folgende Datenarten / -kategorien: Lieferanten Personenstammdaten von Kunden und Beschäftigten Kommunikationsdaten gem. TKG Vertragsstammdaten Vertragsabrechnungs- und Zahlungsdaten Fahrzeugdaten Finanzbuchhaltungsdaten Kreis der Betroffenen Der Kreis der durch den Umgang mit personenbezogenen Daten im Rahmen dieser Vereinbarung Betroffenen umfasst: Kunden, Vertragspartner, Ansprechpartner Interessenten Lieferanten Beschäftigte i. S. d. 3 Abs. 11 BDSG Interne Stellen Öffentliche Stellen ADV_Mustervereinbarung V1 Seite 3 von 11

4 (4) Ort der Datenverarbeitung oder -nutzung Die Verarbeitung und Nutzung der personenbezogenen Daten durch den Auftragnehmer findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der 4b, 4c BDSG erfüllt sind. Falls ein Unterauftragnehmer beauftragt werden soll, gelten diese Anforderungen zusätzlich zu den Regelungen in 7 dieser Vereinbarung. 3 PFLICHTEN DES AUFTRAGGEBERS Für die Beurteilung der Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung sowie für die Wahrung der Rechte der Betroffenen ist als Herr der Daten alleine der Auftraggeber verantwortlich. Dieser bleibt im Verhältnis zu den Betroffenen verantwortliche Stelle. Der Auftraggeber darf dem Auftragnehmer Einzelweisungen im Sinne von 2 dieser Vereinbarung erteilen. Einzelweisungen sind schriftlich oder in Textform zu erteilen. Bei Gefahr in Verzug kann eine Einzelweisung mündlich erteilt werden, der Auftraggeber hat in einem solchen Fall diese unverzüglich schriftlich zu bestätigen. Weisungsberechtigte Personengruppen des Auftraggebers sind (Position im Unternehmen): 3) (4) 4 Berechtigte Weisungsempfänger beim Auftragnehmer sind: Geschäftsführung Technische Leitung Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Auftragsdatenverarbeitung, insbesondere bei der Prüfung der Arbeitsergebnisse des Auftragnehmers, feststellt. Die Verpflichtung zur Beantwortung von Auskunftsanfragen Betroffener trifft nur den Auftraggeber. Die Mitwirkungspflichten des Auftragnehmers bestimmen sich nach 4 (9) dieser Vereinbarung. PFLICHTEN DES AUFTRAGNEHMERS Der Auftragnehmer verarbeitet und nutzt personenbezogene Daten, die er vom Auftraggeber erhält, ausschließlich im ihm durch diese Vereinbarung, die Vertragsgrundlage und insbesondere der Leistungsbeschreibung vorgegebenen Rahmen sowie im Rahmen etwaiger Einzelweisungen des Auftraggebers. ADV_Mustervereinbarung V1 Seite 4 von 11

5 (3) (4) (5) (6) (7) (8) Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird. In Erfüllung des datenschutzrechtlichen Trennungsgebots sichert der Auftragnehmer zu, dass die zu verarbeitenden oder nutzenden personenbezogenen Daten von sonstigen Datenbeständen strikt getrennt werden und Datenträger, die vom Auftraggeber stammen oder für den Auftraggeber genutzt werden, besonders gekennzeichnet und Eingang und Ausgang dokumentiert werden. Kopien der personenbezogenen Daten und Datenträger des Auftraggebers dürfen ohne dessen Einwilligung nicht erstellt werden. Hiervon ausgenommen sind Kopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind oder im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungsfristen benötigt werden. Der Auftragnehmer hat personenbezogene Daten des Auftraggebers zu berichtigen, zu löschen und zu sperren, wenn sich diese Pflicht aus dem Hauptvertrag ergibt oder der Auftraggeber per Einzelweisung verlangt. Soweit sich ein Betroffener zwecks Berichtigung, Löschung oder Sperrung seiner personenbezogenen Daten unmittelbar an den Auftragnehmer wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten und dessen Weisung abwarten. Für die Datensicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren beim Auftragnehmer sind mit dem Auftraggeber abzustimmen. Der Datenschutzbeauftragte beim Auftragnehmer ist Herr Dr. Jan Holling. Sie können Herrn Dr. Holling wie folgt erreichen: Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen. Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften durch seine Mitarbeiter. Der Auftragnehmer verpflichtet sich insofern auch, das Datengeheimnis zu wahren und alle Mitarbeiter, die auftragsgemäß auf personenbezogene Daten des Auftraggebers zugreifen können, auf das Datengeheimnis gemäß 5 BDSG zu verpflichten und über die sich aus dieser Auftragsdatenverarbeitung ergebenden besonderen Datenschutzpflichten sowie die Weisungs- und Zweckbindung zu belehren. Auf Wunsch des Auftraggebers hat er diesem anonymisierte Verpflichtungserklärungen zur Kontrolle der Einhaltung dieser Verpflichtung vorzulegen. Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen; etwaige solche Anfragen hat er unverzüglich dem Auftraggeber weiterzuleiten. ADV_Mustervereinbarung V1 Seite 5 von 11

6 (9) (10) (11) (12) (13) Der Auftragnehmer hat dem Auftraggeber auf dessen Wunsch die Angaben nach 4g Abs. 2 Satz 1 BDSG zur Verfügung zu stellen, hierzu hat ihm der Auftraggeber eine Auflistung der konkret gewünschten Informationen zuzusenden. Bei Anfragen Betroffener an den Auftraggeber hat der Auftragnehmer dem Auftraggeber unverzüglich die zur Beantwortung einer solchen Anfrage erforderlichen Informationen zu überlassen. Der Auftragnehmer erstattet in allen Fällen dem Auftraggeber eine Meldung, wenn durch ihn oder die bei ihm beschäftigten Personen hinsichtlich der personenbezogenen Daten des Auftraggebers Verstöße gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen vorgefallen sind oder die beim Auftragnehmer getroffenen technisch-organisatorischen Maßnahmen von den mit dem Auftraggeber vereinbarten oder gesetzlichen Anforderungen abweichen. Nach 42a BDSG können im Falle des Abhandenkommens oder der unrechtmäßigen Übermittlung oder Kenntniserlangung von personenbezogenen Daten Informationspflichten bestehen. Deshalb sind solche Vorfälle hinsichtlich personenbezogener Daten des Auftraggebers ohne Ansehen der Verursachung dem Auftraggeber mitzuteilen. Dies gilt in Hinsicht der personenbezogenen Daten des Auftraggebers für den Auftragnehmer auch bei schwerwiegenden Störungen des Betriebsablaufs, bei Verdacht auf sonstige Verletzungen gegen Vorschriften zum Schutz personenbezogener Daten, anderen Unregelmäßigkeiten und gerichtlichen und behördlichen Anordnungen beim Umgang mit personenbezogenen Daten. Der Auftragnehmer hat im Benehmen mit dem Auftraggeber angemessene Maßnahmen zur Sicherung der personenbezogenen Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen. Soweit den Auftraggeber Pflichten nach 42a BDSG treffen, hat der Auftragnehmer ihn hierbei zu unterstützen. Der Auftragnehmer ist verpflichtet, den Auftraggeber unverzüglich über alle Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach 38 BDSG zu informieren. Dies gilt auch, soweit nach 43, 44 BDSG eine zuständige Behörde beim Auftragnehmer ermittelt. Der Auftragnehmer ist zur regelmäßigen Kontrolle der korrekten Auftragsdurchführung im Hinblick auf die Vertragsausführung bzw. -erfüllung, insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung der Auftragsdatenverarbeitung, verpflichtet. Der Auftragnehmer sorgt für eine ausreichende Nachweisbarkeit der von ihm für die personenbezogenen Daten des Auftraggebers getroffenen technischen und organisatorischen Maßnahmen. Hierzu kann der Auftragnehmer auch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.b. Wirtschaftsprüfer, Revision, IT-Sicherheitsabteilung, Datenschutzbeauftragter, Datenschutzauditoren, Qualitätsauditoren) oder eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.b. nach BSI-Grundschutz) vorlegen. ADV_Mustervereinbarung V1 Seite 6 von 11

7 5 (3) 6 TECHNISCH-ORGANISATORISCHE MAßNAHMEN Der Auftragnehmer sichert die in ANHANG 1 zu dieser Vereinbarung vereinbarten technisch-organisatorischen Maßnahmen zu, ebenso, dass diese den gesetzlichen Vorgaben des 9 BDSG samt Anlage entsprechen. Insgesamt handelt es sich bei den technisch-organisatorischen Maßnahmen zum einen um nicht-auftragsspezifische Maßnahmen hinsichtlich der Organisationskontrolle, Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle und des Trennungsgebots sowie zum anderen um auftragsspezifische Maßnahmen, insbesondere im Hinblick auf die Art des Datenaustauschs / Bereitstellung von Daten, Art / Umstände der Verarbeitung / der Datenhaltung sowie Art / Umstände beim Output / Datenversand. Der Auftragnehmer hat vor Beginn der Auftragsdatenverarbeitung die Umsetzung, der im Vorfeld der Auftragsvergabe dargelegten technischen und organisatorischen Maßnahmen, insbesondere hinsichtlich der konkreten Auftragsdurchführung, zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben. Bei Zustimmung durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage der Auftragsdatenverarbeitung. Soweit die Prüfung des Auftraggebers Anpassungsbedarf ergibt, ist dieser nach Mitteilung durch den Auftraggeber vom Auftragnehmer umzusetzen. Erfolgt seitens des Auftraggebers bis zum beauftragten Beginn der Auftragsdatenverarbeitung keine solche Mitteilung, gilt dies als Einverständnis des Auftraggebers mit den ihm bekannten Maßnahmen des Auftragnehmers. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen, sofern dabei das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren und dem Auftraggeber unverzüglich bekannt zu geben. KONTROLLRECHTE DES AUFTRAGGEBERS Der Auftraggeber hat das Recht, die in Nr. 6 der Anlage zu 9 BDSG vorgesehene Auftragskontrolle durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Der Auftragnehmer verpflichtet sich insofern insbesondere, dem Auftraggeber auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben, die entsprechenden Nachweise verfügbar zu machen und dem Auftraggeber Einsichtnahme in die gespeicherten personenbezogenen Daten des Auftraggebers und die dazugehörigen Datenverarbeitungsprogramme zu gewähren. Der Auftraggeber hat außerdem das Recht, sich jederzeit durch Stichprobenkontrollen, die rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen. ADV_Mustervereinbarung V1 Seite 7 von 11

8 Im Hinblick auf die Kontrollverpflichtungen des Auftraggebers nach 11 Abs. 2 Satz 4 BDSG stellt der Auftragnehmer sicher, dass sich der Auftraggeber vor Beginn der Auftragsdatenverarbeitung und während deren Laufzeit jederzeit von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen überzeugen kann. Hierzu weist der Auftragnehmer dem Auftraggeber auf Anfrage die Umsetzung der technischen und organisatorischen Maßnahmen gemäß 9 BDSG und der Anlage in der Vergangenheit und nach aktuellem Stand nach. Die Regelung des 4 (13) dieser Vereinbarung gilt entsprechend. 7 UNTERAUFTRAGNEHMER Der Auftraggeber ist damit einverstanden, dass der Auftragnehmer zur Erfüllung seiner vertraglich vereinbarten Leistungen verbundene Unternehmen des Auftragnehmers zur Leistungserfüllung heranzieht bzw. Unternehmen mit Leistungen unterbeauftragt. Der Auftragnehmer hat die vertraglichen Vereinbarungen mit etwaigen Unterauftragnehmern so zu gestalten, dass sie mindestens den Datenschutzbestimmungen im Vertragsverhältnis zwischen Auftraggeber und Auftragnehmer entsprechen, insbesondere nach dieser Auftragsdatenverarbeitung. Bei einer Unterbeauftragung des Auftragnehmers an einen Dritten sind auch dem Auftraggeber beim Unterauftragnehmern Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung und des 11 BDSG i. V. m. Nr. 6 der Anlage zu 9 BDSG einzuräumen. Dies umfasst auch das Recht des Auftraggebers, vom Auftragnehmer auf schriftliche Anforderung Auskunft über den wesentlichen Vertragsinhalt und die Umsetzung der datenschutzrelevanten Verpflichtungen im Unterauftragsverhältnis, erforderlichenfalls durch Einsicht in die relevanten Vertragsunterlagen, zu erhalten. Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z.b. Telekommunikationsleistungen, Wartung und Benutzerservice, Reinigungskräfte, Prüfer oder die Entsorgung von Datenträgern. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Auftraggebers auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen. (3) (4) ADV_Mustervereinbarung V1 Seite 8 von 11

9 8 (3) (4) (5) RÜCKGABE VON DATENTRÄGERN UND LÖSCHUNG VON DATEN Auf Einzelweisung durch den Auftraggeber, spätestens aber mit Beendigung der Auftragsdatenverarbeitung, hat der Auftragnehmer sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit der Auftragsdatenverarbeitung stehen, dem Auftraggeber herauszugeben und im Anschluss bei sich physikalisch zu löschen. Gleiches gilt für Testund Ausschussmaterial. Der Auftraggeber kann auf die Herausgabe nach vorstehendem Absatz verzichten und den Auftragnehmer per Einzelweisung anweisen, ohne solche Herausgabe sogleich eine datenschutzgerechte Löschung vorzunehmen. Nach vorstehenden Absätzen sind vorgenommene Löschungen zu protokollieren und das Protokoll der Löschung dem Auftraggeber jeweils unverzüglich vorzulegen. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung durch den Auftragnehmer dienen, sowie Unterlagen, die gesetzlichen Aufbewahrungsfristen unterliegen, sind von vorstehenden Regelungen ausgenommen. Diese darf der Auftragnehmer auch über das Vertragsende hinaus aufbewahren. Die Einrede des Zurückbehaltungsrechts i.s.v. 273 BGB wird für den Auftragnehmer hinsichtlich der Daten und der Datenträger des Auftraggebers ausgeschlossen. Ort, Datum (Auftraggeber) Ort, Datum (Auftragnehmer) Unterschrift (Auftraggeber) Unterschrift (Auftragnehmer) ADV_Mustervereinbarung V1 Seite 9 von 11

10 ANHANG 1: TECHNISCH-ORGANISATORISCHE MAßNAHMEN gemäß 9 BDSG Zutrittskontrolle Absicherung der Zutrittswege (Alarmanlage) Festlegung der Zutrittsberechtigungen einschließlich ihrer Dokumentation für Mitarbeiter und Firmenfremde Legitimation der Zutrittsberechtigten (Schlüssel, Codekarten, Schlüssel-Liste) Elektronisches Zutrittskontrollsystem Kontrolle/Protokollierung des Zutritts Überwachungseinrichung (Videoüberwachungs- und Alarmanlage, Bewegungsmelder) Zugangskontrolle Identifikation der Zugangsberechtigten Sicherung von Bildschirmarbeitsplätzen durch Bildschirmschoner Sicherung des Netzwerkes gegen Zugriff von außen Sicherung der Netze (3) Zugriffskontrolle Festlegung der Befugnisse für die Eingabe von Daten sowie Kenntnisnahme und Veränderung gespeicherter Daten Legitimation der zugriffsberechtigten Personen (Passwörter, Zugangscodes) Kontrolle des Zugriffs Teilzugriffsmöglichkeit auf Datenbestände und Funktionen (4) Weitergabekontrolle Festlegung der Bereiche, in denen sich Datenträger befinden müssen oder befinden dürfen Festlegung der Personen, die aus diesem Bereich Datenträger entfernen dürfen Kontrolle der Entfernung von Datenträgern Absicherung der Bereiche, in denen sich Datenträger befinden Festlegung der zu Übermittlung bzw. den Transport Befugten Legitimation der Berechtigten Festlegung der Wege und Verfahren des Transportes/der Übermittlung Absicherung des Transports/der Übermittlung Erstellung von Übergabeprotokollen/Empfangsbestätigungen Prüfung auf Vollständigkeit Kryptographische Verfahren, Verschlüsselungen ADV_Mustervereinbarung V1 Seite 10 von 11

11 (5) Eingabekontrolle Erfassungsprotokolle der Eingaben, Veränderungen und Löschungen personenbezogener Daten Regelung der Zugriffsberechtigung Kontrolle und Auswertung Aufbewahrungsfristen für Revision und Nachweiszwecke (6) Auftragskontrolle Schriftlicher Vertrag gem. Anforderungen aus 11 BDSG Die zu verarbeitenden personenbezogenen Daten werden entsprechend den gesetzlichen Vorschriften nur im Rahmen der Weisungen des jeweiligen Auftraggebers verarbeitet und insbesondere auch nicht an unbefugte Dritte weitergegeben. (7) Verfügbarkeitskontrolle Datensicherungs- und Backupkonzepte Katastrophen- oder Notfallplan (Wasser, Feuer, Explosion, Erdbeben etc.) Einbeziehung des Einflusses angrenzender baulicher Einrichtungen Schwachstellenanalyse (Geländeschutz, Gebäudeschutz, Eindringen in Rechner, Rechnernetze Aufbewahrung der Daten in Datensicherungsschränken (8) Trennungsgebot Physische oder logische Trennung Produktiv- und Testsystem ADV_Mustervereinbarung V1 Seite 11 von 11