Vertrag Auftragsdatenverarbeitung

Transkript

1 Webhosting Franken Inh: Holger Häring Bonalinostr Scheßlitz - Telefon: +49 (0)9542 / info@webhosting-franken.de Web: Webhosting, Webentwicklung und Administration Vertrag Auftragsdatenverarbeitung Auftraggeber und Webhosting Franken Inhaber Holger Häring Bonalinostrasse 1, Scheßlitz Auftragnehmer schließennachfolgenden Vertrag über die Verarbeitung von DatendesAuftraggebers durch den Auftragnehmer: 1. Allgemeines (1)Der Auftragnehmer verarbeitet personenbezogene Daten für den Auftraggeberim Auf trag. Der Auftraggeber hatdenauftragnehmer im RahmenderSorgfaltspflichten des 11 Bundesdatenschutzgesetz(BDSG)als Dienstleister ausgewählt. Voraussetzung für die Zulässigkeit einer Datenverarbeitung im Auftrag ist, dass der Auftraggeber dem Auftragnehmer den Auftrag schriftlich erteilt. Dieser Vertragenthält nachdem Willen der Parteien und ins besondere des Auftraggebers denschriftlichen Auftrag zur Auftragsdatenverarbeitung i.s.d. 11BDSGund regelt die RechteundPflichtender Parteien im Zusammenhang mitder Datenverarbeitung. Webdesign und Programmierung Server Installation / Administration Webhosting Bankverbindung: Commerzbank Nürnberg IBAN: DE SWIFT-BIC: DRES DE FF 760 Finanzamt Bamberg USt-IdNr: DE Unsere Leisungen und AGB finden Sie im Internet unter

2 (2)Sofern indiesem Vertrag der Begriff Datenverarbeitung oder Verarbeitung (von Daten) benutzt wird, wird damit allgemeindie Verwendung von personenbezogenendaten verstanden. Eine Verwendung personenbezogener Datenumfasst insbesonderedie Erhebung, Speicherung, Übermittlung, Sperrung, Löschung, Anonymisieren, Pseudonymisieren, Verschlüsseln oder sonstige Nutzung von Daten. 2. Gegenstand des Auftrags Der Auftrag des Auftraggebers an den Auftragnehmer umfasst folgende Arbeiten und/oder Leistungen: Personenbezogene Daten SensitiveDaten(vgl. 3Abs. 9 BDSG) Der Auftragnehmer erbringt für den Auftraggebernachfolgende Leistungen: Bereitstellung von Speicherplatz auf einem Server,die Möglichkeit zur Verwendung von Adressen,Zugangzum Webspace via FTP und ggfl. SecureShell,ggfl. Datenbanken ineinermysqldatenbank.zugriff auf eine ControlPanel (WHF Panel), die Möglichkeit Domains zu bestellen Weiteres: Kreis der von der Datenverarbeitung Betroffenen: Kunden und Interessenten des Auftraggebers Mitarbeiter und Lieferanten des Auftraggebers

3 3. Rechte und Pflichten des Auftraggebers (1)Der Auftraggeberist verantwortliche Stelle ( 3Abs.7BDSG) für dieverarbeitung von Daten im Auftrag durch den Auftragnehmer. Die Beurteilung derzulässigkeit der Datenverarbeitung obliegt allein dem Auftraggeber. (2)Der Auftraggeberist als verantwortliche Stelle für die Wahrung der Betroffenenrechte verantwortlich. Betroffenenrechte sind gegenüber demauftraggeber wahrzunehmen. (3)Der Auftraggeberhatsich vor Beginn der Datenverarbeitung und sodann regelmäßigvon der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zurdatensicherheitzuüberzeugen. Der Auftraggeber ist verpflichtet,das Ergebnis ingeeigneter Weise zudokumentieren. (4)Der Auftraggeberhatdas Recht,WeisungenüberArt, Umfang und Verfahren der Datenverarbeitung zu erteilen. Mündliche Weisungen oder Weisungen in Textform (z.b. ) sind unverzüglich vom Auftraggeberschriftlich zu bestätigen. (5)Der Auftraggeberkannweisungsberechtigte Personen benennen. Sofern sensitive Daten vom Auftragnehmerfür den Auftraggeber verarbeitet werden, wird der Auftraggeber weisungsberechtigte Personenkonkretbenennen: Weisungsberechtigte Personen des Auftraggebers sind: Für den Fall,dass sichdie weisungsberechtigten Personen beim Auftraggeber ändern, wird der Auftraggeber dies dem Auftragnehmer schriftlich oder in Textform mitteilen. (6)Der Auftraggeberinformiert den Auftragnehmer unverzüglich, wenn er FehleroderUnregelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragnehmer feststellt. (7)FürdenFall,dass eine Informationspflicht gegenüber Dritten nach 42a BDSG besteht, ist der Auftraggeber für die Erfüllung derpflichten aus 42a BDSG verantwortlich.

4 4. Pflichten des A uftragnehmers (1)Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen. Zweck, Art und Umfang der Datenverarbeitung richten sich ausschließlich nach den Weisungen desauftraggebers. Eine hiervon abweichende Verarbeitung von Daten ist dem Auftragnehmer untersagt, es sei denn, dass der Auftraggeber dieser schriftlich zugestimmthat. (2)Der Auftragnehmer wird den Auftraggeberbeider Durchführung von Kontrollendurch den Auftraggeberunterstützenundandervollständigen und zügigen Abwicklung der Kontrolle mitwirken. (3)Nicht mehr benötigte Unterlagen mitpersonenbezogenen Daten und Dateien dürfen erst nach vorheriger Zustimmung durchdenauftraggeber datenschutzgerecht vernichtet wer den. (4)Der Auftragnehmer bestätigt, dass er einenbetrieblichen Datenschutzbeauftragteni.S.d. 4f BDSG bestellt hat und wird diesen gegenüberdem Auftraggeber schriftlich oder in Text form (z.b. ) benennen. (5)Der Auftragnehmer sichert im Bereichder auftragsgemäßen Verarbeitung von personenbezogenen Datendievertragsmäßige Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die verarbeitetendaten von sonstigen Datenbeständengetrenntwerden (vgl. Ziff. 8 der Anlage zu 9BDSG). (6)Der Auftragnehmer ist verpflichtet, sein Unternehmenundseine Betriebsabläufe so zu gestalten, dass die Daten, dieer im Auftrag des Auftraggebers verarbeitet, im jeweils erforderlichen Maß gesichert und vor der unbefugten Kenntnisnahme Dritter geschützt sind. Der Auftragnehmer wirdänderungen in der Organisation der Datenverarbeitung im Auftrag, die für diesicherheit der Daten erheblich sind, vorab mit dem Auftraggeber abstimmen. (7)Der Auftragnehmer wird den Auftraggeberunverzüglichdarüber informieren, wenn eine vom Auftraggeber erteilte Weisung nach seiner Auffassung gegen gesetzliche Regelungen verstößt. DerAuftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung(en) solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird. (8)Der Auftragnehmer ist verpflichtet, dem Auftraggeber jeden Verstoß gegendatenschutzrechtliche Vorschriftenodergegen die getroffenen vertraglichen Vereinbarungen und/oder die erteilten Weisungen des Auftraggebers unverzüglich mitzuteilen, der im Zuge der Verarbeitung von Daten durch ihn oder anderemit derverarbeitung beschäftigten Personener folgt ist.

5 (9)FürdenFall,dass der Auftragnehmer feststellt oder Tatsachen, die Annahme begründen, dass von ihr für den Auftraggeber verarbeitete besondere Arten personenbezogener Daten( 3Absatz 9) oder personenbezogene Daten, die einem Berufsgeheimnis unterliegen oder personenbezogene Daten, die sichaufstrafbare Handlungen oder Ordnungswidrigkeiten oder den Verdachtstrafbarer Handlungen oder Ordnungswidrigkeiten beziehenoder personenbezogene Daten zu Bank oderkreditkartenkonten unrechtmäßig übermittelt oderauf sonstige Weise Drittenunrechtmäßig zur Kenntnis gelangt sind, hat der Auftragnehmer den Auftraggeber unverzüglich und vollständigüber Zeitpunkt, Art und Umfang des Vorfalls/derVorfälle in Schriftform oder Textform (Fax/ ) zu informieren. Die InformationmusseineDarlegung der Art der unrechtmäßigen Kenntniserlangung enthalten. Die Information sollzusätzlich eine Darlegung möglicher nachteiligerfolgen derunrechtmäßigen Kenntniserlangung beinhalten. Der Auftragnehmer ist darüber hinaus verpflichtet,unverzüglich mitzuteilen, welche Maßnahmendurchden Auftragnehmergetroffenwurden, um die unrechtmäßige Übermittlung bzw. unbefugte Kenntnisnahme durch Dritte künftig zuverhindern. (10) DieVerarbeitung von Daten im Auftrag des Auftraggebers außerhalbvonbetriebsstättendes Auftragnehmers oder Subunternehmern ist nur mit Zustimmung des Auftraggebers in Schriftform odertextform zulässig. Eine Verarbeitung von Daten für den Auftraggeber inprivatwohnungen ist nur mitzustimmung des Auftraggebers inschriftform oder Textform im Einzelfall zulässig. (11) Der Auftragnehmer wirddie Daten, die er im Auftrag für den Auftraggeberverarbeitet, auf geeignete Weise kennzeichnen. Soferndie Daten für verschiedene Zwecke verarbeitet werden,wirderauftragnehmerdie Daten mit dem jeweiligen Zweck kennzeichnen. (12) AnderErstellung der Verfahrensverzeichnisse durch den Auftraggeber hatderauftrag nehmer mitzuwirken. Erhat dem Auftraggeber diejeweils erforderlichen Angaben in geeigneter Weise mitzuteilen. (13) Der Auftragnehmer soll dem Auftraggeberdie Person(en) benennen, die zum Empfang von Weisungen des Auftraggebers berechtigt sind. Weisungsempfangsberechtigte Personen des Auftragnehmers sind: Holger Häring

6 5. Umfang der Weisungsbefugnis (1) Der Auftraggeber hatdas Recht,jederzeit ergänzendeweisungen bezüglich Zweck, Art und Umfang der Verarbeitung von Daten an denauftragnehmer zuerteilen. Die Weisungen müssen schriftlich erfolgen. Dem Auftragnehmer soll eine angemessene Frist zur Umsetzung der Weisungen gesetzt werden. (2) Regelungen über eine etwaige Vergütung von Mehraufwänden, die durch ergänzende Weisungen des Auftraggebers beim Auftragnehmer entstehen, bleiben unberührt. 6. Unterauftragsverhältnisse (1) DieBeauftragung von Subunternehmen durch denauftragnehmer ist nur mit schriftlicher Zustimmung des Auftraggebers zulässig. (2) Der Auftragnehmer hat den Subunternehmer sorgfältig auszuwählen und vor der Beauftragung zu prüfen, dass dieser die zwischen Auftraggeber und Auftragnehmer getroffenen Vereinbarungen einhalten kann.der Auftragnehmer hat insbesonderevorab und regelmäßig während dervertragsdauer zukontrollieren, dass der Subunternehmer die nach 9 BDSG erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten getroffen hat. Das Ergebnis der Kontrolle ist vom Auftragnehmer zu dokumentieren undaufanfrage dem Auftraggeber zu übermitteln. Der Auftragnehmer ist verpflichtet, sichvom Subunternehmer bestätigen zu lassen, dass dieser einen betrieblichen Datenschutzbeauftragten i.s.d. 4f BDSG bestellthat. (3) Der Auftragnehmer hat sicherzustellen, dass die in diesem Vertrag vereinbarten Regelungen und ggf. ergänzendeweisungen desauftraggebers auch gegenüber dem Subunternehmern gelten. Der Auftragnehmer hat dieeinhaltung dieser Pflichten regelmäßig zu kontrollieren. (4) Eine Übergabe von Daten an densubunternehmer ist erst zulässig wenn der Subunternehmer die Verpflichtung nach Ziff. 8 dieses Vertrages erfüllthat. (5) DieVerpflichtung des Subunternehmens muss schriftlich erfolgen. Dem Auftraggeber ist die schriftliche Verpflichtung auf Anfrage in Kopie zu übermitteln. 7. Kontrollbefugnisse (1) Der Auftraggeber hatdas Recht,dieEinhaltung der gesetzlichen Vorschriften zum Datenschutz und/oder die Einhaltung der zwischen den Parteien getroffenen vertraglichen

7 Regelungen und/oder die Einhaltung der Weisungen desauftraggebers durchden Auftragnehmer jederzeit im erforderlichen Umfang zu kontrollieren. (2) Der Auftragnehmer ist dem Auftraggeber gegenüber zur Auskunftserteilung verpflichtet, soweit dies zurdurchführung der Kontrolle i.s.d. Absatzes 1erforderlich ist. (3) Der Auftraggeber kanneine Einsichtnahme in die vom Auftragnehmer für den Auftrag geber verarbeiteten Daten sowie in die verwendeten Datenverarbeitungssystemeundpro gramme verlangen. (4) Der Auftraggeber kannnach vorheriger Anmeldung mit angemessener Frist diekontrolle imsinnedes Absatzes 1in der Betriebsstätte des Auftragnehmers zudenjeweils üblichen Geschäftszeiten vornehmen. Der Auftraggeber wird dabeisorge dafür tragen, dass die Kontrollen nur im erforderlichen Umfang durchgeführt werden, sofern diebetriebsabläufe des Auftragnehmers durch die Kontrollen gestörtwerden. (5) Sofern Datenin einer Privatwohnung verarbeitet werden, ist der Zugangzur Wohnung zuvor mit dem Auftragnehmer abzustimmen. Der Auftragnehmer sichert zu, dass auch etwaige andere Mitbewohner der Privatwohnung mit dieser Regelungeinverstanden sind. 8. Datengeheimnis (1) Der Auftragnehmer ist bei der Verarbeitung von Daten für den Auftraggeber zur Wahrung des Datengeheimnisses im Sinne des 5 BDSG verpflichtet. Der Auftragnehmer verpflichtet sich, die gleichen Geheimnisschutzregeln zu beachten, wie siedem Auftraggeber obliegen. Der Auftraggeber ist verpflichtet, dem Auftragnehmer etwaige besonderegeheimnisschutzregeln mitzuteilen. (2) Der Auftragnehmer sichert zu, dass ihm die jeweils geltenden datenschutzrechtlichen Vorschriften bekanntsindunder mit deranwendung dieser vertraut ist. Der Auftragnehmer sichert ferner zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter mit den für sie maßgeblichen Bestimmungen desdatenschutzes vertraut macht und diese auf das Datengeheimnis i.s.d. 5 BDSG verpflichtet werden. Sofern der Auftragnehmer im Zusammenhang mit Leistungen für den Auftraggeber an der Erbringung geschäftsmäßiger Telekommunikationsdienste mitwirkt, ist er verpflichtet, diehieran beteiligten Beschäftigten schriftlich auf das Fernmeldegeheimnis i.s.d. 88 TKG zu verpflichten.

8 9.Wahrung von Betroffenenrechten (1) Der Auftraggeber ist für die Wahrung der Betroffenenrechte allein verantwortlich. (2) Soweit eine Mitwirkung des Auftragnehmers für die Wahrung von Betroffenenrechten insbesondereaufauskunft, Berichtigung, Sperrung oder Löschung durch den Auftraggeber erforderlich ist, wird der Auftragnehmer die jeweils erforderlichen Maßnahmen nach Weisung des Auftraggebers treffen. (3) Regelungen über eine etwaige Vergütung von Mehraufwänden, die durch ergänzende Weisungen des Auftraggebers beim Auftragnehmer entstehen, bleiben unberührt. 10. Geheimhaltungspflichten (1) Beide Parteien verpflichten sich, alle Informationen, die sie im Zusammenhang mit der Durchführung dieses Vertrages erhalten, zeitlich unbegrenzt vertraulich zu behandeln und nur zur Durchführung des Vertrages zu verwenden. Keine Partei ist berechtigt, diese Informationen ganzoder teilweise zu anderen als den soeben genannten Zwecken zu nutzen oder diese Information Dritten zugänglich zu machen. (2) Dievorstehende Verpflichtung giltnicht für Informationen, die eine der Parteien nach weisbar von Dritten erhalten hat, ohne zur Geheimhaltung verpflichtet zu sein, oder die öffentlich bekannt sind. 10. Vergütung Die Vergütung des Auftragnehmers wird gesondert vereinbart. 11. Technische und organisatorische Maßnahmen zur Datensicherheit (1) Der Auftragnehmer verpflichtet sich gegenüber demauftraggeber zur Einhaltung nach folgender technischer undorganisatorischer Maßnahmen, die zur Einhaltung der anzuwendenden Datenschutzvorschriften erforderlich sind: a) Zutrittskontrolle Maßnahmen, mit denen Unbefugten derzutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, verwehrt wird:

9 DIN ISO/IEC zertifiziertes Rechenzentrum. Überwachung mit Kamara und Wachpersonal. Dokumentierter Zugang nur nach Absprache mit dem Betreiber, Key Card und Passwort b) Zugangskontrolle Maßnahmen, mit denen die Nutzung von Datenverarbeitungssystemen durch Unbefugte verhindert werden: DIN ISO/IEC zertifiziertes Rechenzentrum. Überwachung mit Kamara und Wachpersonal. Zugang nur nach Absprache mit dem Betreiber, mit Key Card und vordeffiniertem Passwort Komplette Kameraüberwachung der Serverräume. Jeder Zutritt wird dokumentiert und archiviert c) Zugriffskontrolle Maßnahmen, diegewährleisten, dass diezur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugangsberechtigung unterliegenden Daten zugreifen können,unddasspersonenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt, gelesen, kopiert, verändert oder entfernt werden können.: DIN ISO/IEC zertifiziertes Rechenzentrum. Überwachung mit Kamara und Wachpersonal. Zugriff auf Server nicht möglich, da kein Sicht.- und Eingabegeräte angeschlossen sind. Tägliche Datensicherung aller Kundendaten, verschlüsselt auf Backup Server untergebracht Regelmaßige Sicherheitsupdates und Security Überprüfung der Datenbestände d) Weitergabekontrolle Maßnahmen, diegewährleisten, dass personenbezogene Daten bei der elektronischen Über tragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugtgelesen, kopiert, verändert oder entfernt werden können und dass überprüft und fest gestellt werden kann,an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist: Alle Mitarbeiter sind auf das Datengeheimnis nach 5 BDSG verpflichtet. Datenschutzgerechte Loschung der Daten nach Auftragsbeendigung. Moglichkeiten zur verschlusselten Datenubertragung werden im Umfang der Leistungsbeschreibung des Hauptauftrages zur Verfugung gestellt

10 e) Eingabekontrolle Maßnahmen, diegewährleisten, dass nachträglich überprüft werden kann, ob und von wem personenbezogene Daten indatenverarbeitungssystemen eingegeben, verändert oder entfernt worden sind: Die Daten werden vom Auftraggeber selbst eingegeben bzw. erfasst. Änderungen werden protokolliert sofern technisch möglich. f) Auftragskontrolle Maßnahmen, diegewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können: Alle Mitarbeiter sind auf das Datengeheimnis nach 5 BDSG unterweisen und verpflichtet Die AGB enthalten detaillierte Angaben uber Art und Umfang der beauftragten Verarbeitung und Nutzung personenbezogener Daten des Auftraggebers. g) Verfügbarkeitskontrolle Maßnahmen, diegewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind: Backup- und Recovery-Konzept mit taglicher Sicherung aller relevanten Daten. SPAM-Filter). Einsatz von Festplattenspiegelung bei allen relevanten Servern. Einsatz unterbrechungsfreier Stromversorgung. Sachkundiger Einsatz von Schutzprogrammen (Virenscanner, Firewalls, Verschlusselungsprogramme, h) Trennungsgebot Maßnahmen, diegewährleisten, dass zuunterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Daten werden physikalisch oder logisch von anderen Daten getrennt gespeichert. Die Datensicherung erfolgt ebenfalls auf logisch und/oder physikalisch getrennten Systemen.

11 13. Dauer des Auftrags (1)Der Vertrag beginnt am und wirdaufunbestimmte Zeit geschlossen. (2)Erist mit einer Frist von dreißig Tagen zum Monatsende kündbar. (3)Der AuftraggeberkanndenVertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen die anzuwendenden Datenschutzvorschriftenodergegen Pflichten aus diesem Vertrag vorliegt,der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer den Zutrittdes Auftraggebers oderderzuständigen Aufsichtsbehörde vertragswidrig verweigert. 14. Beendigung (1)Nach Beendigung desvertrages hat der Auftragnehmer sämtliche inseinen Besitzgelang tenunterlagen, Daten und erstellten Verarbeitungs oder Nutzungsergebnisse, die im Zusammenhang mitdem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen. Die DatenträgerdesAuftragnehmers sind danach physisch zu löschen. Dies betrifft auch etwaige Datensicherungen beim Auftragnehmer. Die Löschung ist ingeeigneter Weise zudokumentieren. Test und Ausschussmaterial ist unverzüglich zu vernichten oderphysisch zu löschen. (2)Der AuftraggeberhatdasRecht, die vollständige und vertragsgemäße Rückgabe und Löschung der Daten beim Auftragnehmerzukontrollieren. Dies kann auchdurch eine Inaugenscheinnahme der Datenverarbeitungsanlagen in der Betriebsstätte des Auftragnehmers erfolgen. Die VorOrtKontrolle soll mitangemessenerfrist durch den Auftraggeberangekündigt werden. 15. Schlussbestimmungen (1)Solltedas Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwadurch Pfändung oderbeschlagnahme), durch ein Insolvenzverfahrenoderdurch sonstige Ereignissegefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu informieren. Der Auftragnehmer wird die Gläubiger über die Tatsache,dass es sich um Daten handelt, die im Auftrag verarbeitet werden, unverzüglich informieren. (2) Für Nebenabreden ist die Schriftform erforderlich. (3)DieEinrede des Zurückbehaltungsrechts i.s.v. 273BGB wird hinsichtlich der verarbeite tendaten und der zugehörigen Datenträgerausgeschlossen.

12 (4)Sollten einzelne Teile dieses Vertrages unwirksam sein, so berührt dies die Wirksamkeit der übrigen Regelungen des Vertrages nicht. Ort, Datum Auftraggeber Ort, Datum Auftragnehmer