Vereinbarung zum Datenschutz und zur Datensicherheit in Auftragsverhältnissen nach 11 BDSG

Transkript

1 Anhang 9 Vereinbarung zum Datenschutz und zur Datensicherheit in Auftragsverhältnissen nach 11 BDSG zwischen Mainova AG, Solmsstraße 38, Frankfurt am Main - nachfolgend "Auftraggeber" genannt - und - nachfolgend "Auftragnehmer" genannt - - Auftraggeber und Auftragnehmer nachfolgend einzeln oder gemeinsam "der/die Partner" genannt I. Gegenstand der Vereinbarung 1. Der Auftragnehmer erhebt / verarbeitet / nutzt personenbezogene Daten im Auftrag des Auftraggebers im Rahmen eines Dienstleistungsvertrages / ASP Vertrages. 2. Gegenstand des Auftrags ist der Betrieb und die Zurverfügungstellung der Software des Auftragnehmers (nachfolgend Software genannt) über einen vom Kunden vorzuhaltenden Internetzugang, die Bereitstellung von Rechenleistung sowie Speicherplatz für die Daten des Kunden hierfür und die Erbringung von Service- und sonstigen Dienstleistungen durch den Auftraggeber für den Kunden im Rahmen des Hauptvertrages. Diese Vereinbarung beginnt mit Unterzeichnung und wird auf unbestimmte Zeit geschlossen. 3. Umfang, Art und Zweck der Datenerhebung, -verarbeitung oder -nutzung sind folgende: Verarbeitung von Kundendaten im Rahmen des Hostings einer für den Kunden zur Verfügung gestellten Server Architektur. 4. Art der zu erhebenden Daten: Möglicher Zugriff auf Daten des Auftraggebers welche im Rahmen der gehosteten Serverarchitektur verarbeitet und/oder gespeichert werden. (Bsp. Mitarbeiter Kontaktdaten, Adressdaten, Systeminformationen). 5. Kreis der von der Datenverarbeitung Betroffenen: Mitarbeiter des Auftraggebers und dessen verbundenen Unternehmen i.s.v. 15 AktG Stand: 11/2015 Seite 1 von 9

2 II. Rechte und Pflichten des Auftraggebers 1. Der Auftraggeber erteilt alle Aufträge oder Teilaufträge schriftlich. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und schriftlich festzulegen. 2. Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Auftraggebers. Der Auftraggeber behält sich im Rahmen der getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor. Der Auftragnehmer hat nur nach Weisung des Auftraggebers die Daten, die im Auftrag verarbeitet werden, zu berichtigen, zu löschen oder zu sperren. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten. 3. Mündliche Weisungen sind unverzüglich schriftlich vom Auftragnehmer zu bestätigen. Die schriftliche Bestätigung der mündlichen Weisungen sollte von Auftraggeber und Auftragnehmer zusammen mit dieser Vereinbarung so aufbewahrt werden, dass alle maßgeblichen Regelungen jederzeit verfügbar sind. Weisungsberechtigte Personen des Auftraggebers sind: - - Weisungsempfänger beim Auftragnehmer ist die Cloud Management Abteilung sowie der Datenschutzbeauftragte. Bei einem Wechsel oder einer längerfristigen Verhinderung des jeweiligen Ansprechpartners ist dem Vertragspartner unverzüglich schriftlich der Nachfolger bzw. der Vertreter mitzuteilen. 4. Der Auftraggeber ist berechtigt, sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen (s. Ziff. IV) zu überzeugen. Der Auftraggeber kann diese Kontrolle auch durch einen Dritten durchführen lassen. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler, Verstöße gegen das BDSG oder gegen diesen Vertrag oder sonstige Unregelmäßigkeiten bei der Prüfung feststellt. III. Pflichten des Auftragnehmers 1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers. Er hat personenbezogene Daten zu berichtigen, zu löschen und zu sperren, wenn der Auftraggeber dies in der getroffenen Vereinbarung oder einer Weisung verlangt. Der Auftragnehmer verwendet die zur Datenverarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt, es sei denn es handelt sich um Sicherheitskopien, die zur Gewährleistung einer ordnungsgemäßen Stand: 11/2015 Seite 2 von 9

3 Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind. 2. Die Datenträger, die vom Auftraggeber stammen bzw. für den Auftraggeber genutzt werden, werden besonders gekennzeichnet. Eingang und Ausgang werden dokumentiert. 3. Der Auftragnehmer sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden. 4. Der Auftragnehmer wird den Auftraggeber unverzüglich gemäß 11 Abs. 3 S. 2 BDSG darüber informieren, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird. 5. Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber jederzeit berechtigt ist unter Einräumung einer angemessenen Vorlaufzeit und ohne Störung des Betriebs, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu überprüfen. Die Überprüfung kann durch die Einholung von Auskünften seitens des Auftragnehmers oder durch eine vor Ort Kontrolle durchgeführt werden. Der Auftragnehmer sichert zu, dass er, soweit erforderlich, bei diesen Kontrollen mitwirkt. 6. Nach Abschluss der vertraglichen Arbeiten oder früher nach Aufforderung durch den Auftraggeber hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen und erstellten Verarbeitungs- oder Nutzungsergebnisse, Test- und Ausschussmaterial sowie Datensicherungskopien, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Die Löschung bzw. Vernichtung ist dem Auftraggeber mit Datumsangabe schriftlich zu bestätigen. 7. Im Falle von Unterauftragnehmern muss der Auftragnehmer versichern, dass er den Unterauftragnehmer unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig ausgewählt hat. Der Auftragnehmer hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwischen Auftraggeber und Auftragnehmer auch gegenüber dem Unterauftragnehmer gelten. Der Auftragnehmer hat die Einhaltung der Pflichten regelmäßig zu überprüfen. Die Weiterleitung von Daten ist nur zulässig, wenn der Unterauftragnehmer die Verpflichtung nach 11 BDSG erfüllt. Für die Einhaltung der Vorgaben des BDSG in Bezug auf den Unterauftragnehmer ist der Auftragnehmer verantwortlich. 8. Die Verarbeitung und Nutzung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der 4b, 4c BDSG erfüllt sind. 9. Der beim Auftragnehmer bestellte Beauftragte für den Datenschutz ist in Anlage B benannt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen. Ist beim Auftragnehmer kein Datenschutzbeauftragter bestellt, weil für eine Bestellung die Voraussetzungen fehlen, entfällt Anlage B. 10. Der Auftragnehmer verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten des Auftraggebers das Datengeheimnis zu wahren. Der Stand: 11/2015 Seite 3 von 9

4 Auftragnehmer beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung. Er gewährleistet die vertraglich vereinbarten und gesetzlich vorgeschriebenen Datensicherheitsmaßnahmen. 11. Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften des BDSG bekannt sind. Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und sie auf das Datengeheimnis schriftlich verpflichtet. Der Auftragnehmer überwacht die Einhaltung der hier angegebenen datenschutzrechtlichen Vorschriften. 12. Auskünfte an Dritte oder an den Betroffenen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen. IV. Technische und organisatorische Maßnahmen nach 9 BDSG 1. Die als Anlage A beigefügten technischen und organisatorischen Maßnahmen zum Datenschutz (mit den Festlegungen entsprechend der Anlage zu 9 BDSG) des Auftragnehmers wird als verbindlich festgelegt. 2. Die technischen und organisatorischen Maßnahmen können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden. 3. Soweit die beim Auftragnehmer getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht genügen, benachrichtigt er den Auftraggeber unverzüglich. Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Informationspflichten des Auftraggebers nach 42 a BDSG. Der Auftragnehmer sichert zu, den Auftraggeber bei seinen Pflichten nach 42 a BDSG zu unterstützen. V. Sonstiges 1. Sollte das Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu informieren. 2. Diese Vereinbarung und die jeweilige Einzelverträge unterliegen deutschem Recht unter Ausschluss der kollisionsrechtlichen Bestimmungen. 3. Gerichtsstand für alle Streitigkeiten im Zusammenhang mit dieser Vereinbarung ist Limburg, Bundesrepublik Deutschland. 4. Änderungen bzw. Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Dies gilt auch für den Verzicht auf das Schriftformerfordernis. Mündliche Nebenabreden wurden nicht getroffen. 5. Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, so bleibt die Vereinbarung im Übrigen unberührt. Für diesen Fall verpflichten sich die Partner, die unwirksam gewordene Bestimmung unverzüglich durch eine Regelung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt. Dasselbe gilt, soweit eine Regelung undurchführbar ist oder die Vereinbarung eine Lücke aufweist. Stand: 11/2015 Seite 4 von 9

5 VI. Anlage(n) Anlage A: Übersicht der technischen und organisatorischen Maßnahmen zum Datenschutz... Ort, Datum... Ort, Datum... Mainova AG... Auftragsnehmer Stand: 11/2015 Seite 5 von 9

6 Anlage A zur Vereinbarung nach 11 BDSG: Allgemeine technische und organisatorische Maßnahmen nach 9 BDSG und Anlage 1. Zutrittskontrolle Technische bzw. organisatorische Maßnahmen zur Zutrittskontrolle sowie zur Legitimation der Berechtigten: Schlüsselregelung verschlossene Türen bei Abwesenheit Festlegung von Sicherheitsbereichen entsprechend Schutzbedarf Zutrittsberechtigungsregelung und Vergabeprozess für Zutrittsberechtigungen Protokollierung der Zu- und Abgänge Zutrittsregelungen für betriebsfremde Personen Empfang Überwachung des Zutritts (Videoüberwachung) Riegelkontakte an Außentüren bzw. an allen Eingangstüren der Etagenbereiche Einbruchmeldeanlage an eine rund um die Uhr besetzte Leitwarte Verriegelte (schlossgesicherte) Serverschränke 2. Zugangskontrolle Technische und organisatorische Maßnahmen hinsichtlich der Benutzeridentifikation und Authentifizierung: Zuordnung von Benutzerrechten Verwendung einfacher Identifizierungs- und Authentisierungsverfahren (Benutzername & Kennwort) Implementierung einer Passwortrichtlinie (Vorgaben zur Passwortkomplexität) Zugriffsprotokollierung Vergabe von Zugangsberechtigungen entsprechend des Prinzips minimaler Berechtigungen Trennung von Benutzer und Administrativen Accounts 3. Zugriffskontrolle Technische und organisatorische Maßnahmen zur Verhinderung unerlaubter Tätigkeiten in DV- Systemen außerhalb eingeräumter Berechtigungen. Rollen- und Berechtigungskonzept Verwaltung der Rechte durch Systemadministrator Vergabe von Berechtigungsrollen entsprechend des need-to-know Prinzips Prozess zur Änderung / Entzug von Berechtigungen (Abteilungswechsel, Austritt) Verfahren zum Umgang und Einschränkung von privilegierten Berechtigungen (Administrationsrechte) Anzahl der Administratoren auf das Notwendigste reduziert Stand: 11/2015 Seite 6 von 9

7 Weitergabekontrolle Maßnahmen bei Transport, Übertragung und Übermittlung oder Speicherung auf Datenträger (manuell oder elektronisch) sowie bei der nachträglichen Überprüfung: Vorgaben zum Transport und zur Vernichtung von Datenträgern Beschränkung der Nutzung von Ports Härtung von Systemen und Datenbanken Netzwerkseparierung Kryptographische Verschlüsselung im Rahmen des Datentransfers Protokollierung von Schnittstellen (Datentransfer) Fernwartungskonzept 5. Eingabekontrolle Maßnahmen zur nachträglichen Überprüfung, ob und von wem Daten eingegeben, verändert oder entfernt (gelöscht) worden sind: Verwendung von Protokollierungsfunktionen (Logging) Logging von Usern mit privilegierten Berechtigungen 6. Auftragskontrolle Maßnahmen (technisch / organisatorisch) zur Abgrenzung der Kompetenzen zwischen Auftraggeber und Auftragnehmer: Abschluss entsprechender Vereinbarungen (z.b. ADV, EU-Standardvertragsklauseln) Regelungen zur Auftragsdurchführung (Service Level Agreements (SLA)) 7. Verfügbarkeitskontrolle Maßnahmen zur Datensicherung (physikalisch / logisch): Existenz von Notfallkonzepten Brandschutzmaßnahmen (Feuermelder, Löschanlage) Datensicherungen / Backups Lagerung von Sicherungskopien in gesonderten Brandabschnitten bzw. alternativen Standorten Redundanz von Komponenten (Dieselgenerator, USV, redundanter Stromkreislauf, redundante Hardware) Kapazitätsmanagement Patch Management Signatur / verhaltensbasierter Virenschutz Gateway Firewall Cluster / Reverse Proxy 8. Trennungskontrolle Maßnahmen zur getrennten Verarbeitung (Speicherung, Veränderung, Löschung, Übermittlung) von Daten mit unterschiedlichen Zwecken: Verfahren zur Mandantentrennung (logisch) Verwendung von anonymisierten Testdaten in Entwicklungs- und Testumgebungen Trennung der Netze (Produktiv, Test, Entwicklung, etc.) Stand: 11/2015 Seite 7 von 9

8 Organisationskontrolle Maßnahmen die innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird: Verpflichtung von Beschäftigten auf das Datengeheimnis Vertreterregelungen Freigabeverfahren von IT-Systemen (Change Management) Incident Management Stand: 11/2015 Seite 8 von 9

9 Anlage B Checkliste 9 BDSG Stand: 11/2015 Seite 9 von 9