Regelungen zu Datenschutz und Datensicherheit. in Auftragsverhältnissen nach 11 BDSG. zwischen

Transkript

1 Regelungen zu Datenschutz und Datensicherheit in Auftragsverhältnissen nach 11 BDSG zwischen (1) Name oder Firma Straße und Hausenummer PLZ und Ort -Adresse (die Sie bei Unterzeichnung des Hauptvertrages mit Shore verwendet haben) - "Auftraggeber" - und (2) Shore GmbH, Seidlstr. 23, München, - "Auftragnehmer" - 1. GEGENSTAND DER VEREINBARUNG 1.1 Der Auftragnehmer stellt dem Auftraggeber Unternehmenssoftware zur Nutzung über das Internet zur Verfügung ("Software") und erbringt weitere damit in Zusammenhang stehende Dienstleistungen (zusammen die "Services"). Die Unternehmenssoftware des Auftragnehmers besteht aus bestimmten Service Modulen (z.b. Shore Business Cloud, Shore Cash oder Shore Web), die der Auftraggeber jeweils einzeln oder zusammen mit anderen Service Modulen im Bestellschein oder über die Webseiten des Auftragnehmers bestellen kann. Die Software wird in vom Auftragnehmer genutzten Rechenzentren betrieben und dem Auftraggeber im jeweils von ihm gebuchten Umfang zur Nutzung über das Internet zur Verfügung gestellt (auch als "Software as a Service" Modell bezeichnet). Es besteht die Möglichkeit, dass der Auftragnehmer in diesem Zusammenhang mit personenbezogenen Daten des Auftraggebers in Kontakt kommt. Dieser Auftragsdatenverarbeitungsvertrag ("ADV") trifft die insoweit notwendigen Regelungen zu Datenschutz und Datensicherheit in Auftragsverhältnissen nach 11 BDSG. Der ADV ergänzt die Regelungen des Bestellscheins, den der Auftraggeber unterzeichnet hat, der Allgemeinen Geschäftsbedingungen des Auftragnehmers und die Leistungsbeschreibungen auf der Webseite des Auftragnehmers betreffend das vom Auftraggeber jeweils gebuchte Service Modul (zu finden unter (Bestellschein, Allgemeine Geschäftsbedingungen und Leistungsbeschreibung zusammen der "Hauptvertrag"). Stand: Februar 2017

2 Der Auftrag umfasst Folgendes: (a) Gegenstand des Auftrages: Bereitstellung einer aus verschiedenen Service Modulen bestehenden Unternehmenssoftware zur Nutzung über das Internet und Erbringung damit im Zusammenhang stehender ergänzender technischer Unterstützungsleistungen (b) Umfang, Art und Zweck der Datenerhebung, -verarbeitung oder -nutzung: Der Auftragnehmer verarbeitet und nutzt personenbezogene Daten des Auftraggebers alleine im Rahmen der technischen Bereitstellung und Abwicklung der Services sowie im Zusammenhang mit Kundensupport und technischer Wartung und Fehlerbehebung der Software. Neben der Speicherung der Daten für den Auftraggeber ist eine Erhebung, Verarbeitung oder Nutzung der Daten durch den Auftragnehmer über die durch den Auftraggeber im Rahmen der Nutzung der Services veranlassten technischen Abwicklungsvorgänge nicht vorgesehen. Der Auftragsnehmer ist jedoch berechtigt, die Daten des Auftraggebers auch über das Vertragsende hinaus in aggregierter oder statistischer Form zur Fehleranalyse und Fortentwicklung der Funktionen der Software oder zum Benchmarking zu nutzen, vorausgesetzt, dass die Daten alleine in anonymisierter Form verwendet werden (d.h. jeder Personenbezug ausgeschlossen ist). Einzelheiten zu Umfang, Art und Zweck der vorgesehenen Erhebung und Verwendung personenbezogener Daten ergeben sich aus den Regelungen des Hauptvertrags. (c) Art der Daten: Alle Daten, die im Rahmen der Nutzung der Software generiert werden (z.b. Buchungsanfragen bzw. Terminvereinbarungen, Chat-Inhalte), und der Auftraggeber und/oder Endkunde in die Software eingibt bzw. dem Auftragnehmer zum Import zur Verfügung stellt (z.b. Name, Mobilfunknummer, -Adresse, Geschlecht oder sonstige vom Auftraggeber benannten Merkmale). (d) Kreis der Betroffenen: Endkunden des Auftraggebers Mitarbeiter, Organe, Vertreter und Erfüllungsgehilfen des Auftraggebers 1.3 Der Auftraggeber kann verlangen, dass dieser ADV um eine Anlage ergänzt wird, welche die Art der Daten sowie den Kreis der Betroffenen näher konkretisiert. 2. RECHTE UND PFLICHTEN DES AUFTRAGGEBERS 2.1 Für die Beurteilung der Zulässigkeit der Datenverarbeitung, -erhebung, -nutzung sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich.

3 Der Auftraggeber erteilt alle Aufträge schriftlich oder in Textform. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und entsprechend Ziffer 1.2 dieses ADV festzulegen. 2.3 Der Auftraggeber erteilt Weisungen durch Nutzung der Software und Services. Er hat ferner das Recht, im Rahmen des Umfangs der Bestimmungen dieses ADV und des Hauptvertrages (insbesondere unter Berücksichtigung des vereinbarten Leistungsumfangs der Services) ergänzende Weisungen gegenüber dem Auftragnehmer zu erteilen. (a) Mündliche Weisungen sind durch den Auftraggeber unverzüglich schriftlich oder in Textform zu bestätigen. Weisungsberechtigte Person des Auftraggebers ist, soweit nichts Anderes vereinbart wurde, der Unterzeichner dieses Vertrages. Weisungsempfänger beim Auftragnehmer ist der betriebliche Datenschutzbeauftragte gemäß 4 dieses Vertrages. (b) Bei einem Wechsel oder einer längerfristigen Verhinderung des Ansprechpartners ist dem Vertragspartner unverzüglich schriftlich oder in Textform der Nachfolger bzw. der Vertreter mitzuteilen. Falls Weisungen die unter Ziffer 1.2 dieses ADV getroffenen Festlegungen ändern, aufheben oder ergänzen, sind sie nur zulässig, wenn eine entsprechende neue einvernehmliche Festlegung erfolgt. 2.4 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt. 2.5 Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln. 3. RECHTE UND PFLICHTEN DES AUFTRAGNEHMERS 3.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers. 3.2 Der Auftragnehmer verwendet die zur Datenverarbeitung überlassenen Daten nur für die in Ziffer 1.2 dieses ADV festgelegten Zwecke, und wird die Daten nicht an Dritte weitergeben. Kopien oder Duplikate werden außer zu Sicherungszwecken ohne Wissen des Auftraggebers nicht erstellt. 3.3 Der Auftragnehmer trifft die erforderlichen Vorkehrungen, um eine Berichtigung, Löschung und Sperrung der personenbezogenen Daten auf Weisung des Auftraggebers, aufgrund gesetzlicher Anforderungen sowie auf Verlangen der zuständigen Aufsichtsbehörde vornehmen zu können, soweit dies dem Auftraggeber nicht selbst über die Nutzung der Services möglich ist. 3.4 Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird. 3.5 Der Auftragnehmer ermöglicht eine ordnungsgemäße Datenschutzkontrolle und Aufsicht durch die zuständige Aufsichtsbehörde.

4 Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber berechtigt ist, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang auf eigene Kosten zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme vor Ort beim Auftragnehmer. Der Auftragnehmer hat die Kontrolle zu dulden und den Auftraggeber in angemessenen Umfang zu unterstützen. Die Kontrolle erfolgt nach vorheriger angemessener Ankündigung durch den Auftraggeber und hat zu den üblichen Geschäftszeiten zu erfolgen. Der Auftraggeber wird die Kontrolle mit dem Auftragnehmer abstimmen und darauf achten, die Betriebsabläufe beim Auftragnehmer nicht unangemessen zu beeinträchtigen. 3.7 Der Auftragnehmer wird den Auftraggeber bei der Erstellung des Verfahrensverzeichnisses in angemessenen Umfang unterstützen. Er hat dem Auftraggeber auf Anforderung die erforderlichen Angaben zuzuleiten, soweit dem Auftraggeber diese nicht vorliegen oder durch Nutzung der Services verfügbar sind. 3.8 Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer auf Aufforderung des Auftraggebers sämtliche in seinen Systemen gespeicherte personenbezogene Daten des Auftraggebers herauszugeben und/oder zu löschen. Die Löschung ist dem Auftraggeber auf Anforderung schriftlich zu bestätigen. 3.9 Der Auftragnehmer ist - ohne Einzelzustimmung des Auftraggebers - zur Einschaltung von Subunternehmen berechtigt. Dabei sorgt der Auftragnehmer jeweils für die Erfüllung folgender Voraussetzungen: (a) (b) (c) (d) Der Auftragnehmer schließt mit dem Subunternehmer einen ADV, der das gleiche Schutzniveau sicherstellt, wie der Vertrag mit dem Auftraggeber, insbesondere bzgl. technischer und organisatorischer Sicherheits-Maßnahmen Die Ausübung der Kontrollrechte durch den Auftraggeber ist gegenüber dem Subunternehmer grundsätzlich möglich Auf Anfrage des Auftraggebers werden diesem Subunternehmer und datenschutz-wesentliche Vertragsbedingungen des Sub-ADV mitgeteilt Bei Subunternehmern außerhalb der EU/des EWR wird ein ausreichendes Datenschutzniveau sichergestellt 4. DATENSCHUTZBEAUFTRAGTER DES AUFTRAGNEHMERS Beim Auftragnehmer ist als betrieblicher Beauftragter für den Datenschutz Frau Dr. Evelyne Sørensen, Potsdamer Straße 3, München soerensen@activemind.de bestellt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber mitzuteilen. 5. DATENGEHEIMNIS 5.1 Der Auftragnehmer verpflichtet sich, bei der Verarbeitung der personenbezogenen Daten des Auftraggebers das Datengeheimnis nach 5 BDSG zu wahren. 5.2 Der Auftragnehmer wird insbesondere die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut machen und auf das Daten-

5 - 5 - geheimnis nach 5 BDSG schriftlich verpflichten. Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften. 5.3 Der Auftragnehmer handelt datenschutzrechtlich als sogenannter Auftragsdatenverarbeiter. Eine Verwendung der Daten seitens des Auftragnehmers zu eigenen Zwecken, oder eine Weitergabe oder Offenlegung gegenüber Dritten (mit Ausnahme der Subunternehmen gemäß Ziffer 3.9 dieses ADV) ist unzulässig, sofern keine wirksame anderslautende Einwilligung des Auftraggebers vorliegt. Hiervon unberührt bleibt das Recht des Auftragnehmers gem. Ziffer 1.2(b), die Daten des Auftraggebers auch über das Vertragsende hinaus in aggregierter oder statistischer Form zur Fehleranalyse und Fortentwicklung der Funktionen der Software oder zum Benchmarking zu nutzen. 5.4 Der Auftragnehmer verpflichtet sich insbesondere zur Einhaltung der folgenden Grundsätze: (a) (b) (c) Die durch den Auftraggeber bzw. deren Mitarbeiter oder den Endkunden in das CRM eingegebenen Daten über Endkunden (z.b. , Name, Anschrift, sonstige Merkmale), dem Auftragnehmer vom Auftraggeber zum Import bereitgestellten Endkunden-Daten (z.b. Datenexporte aus sonstigen Systemen), und die im CRM über Endkunden generierten Daten (z.b. Buchungsanfragen, Terminvereinbarungen, Chat-Inhalte) (gemeinsam Kundendaten ) stehen dem Auftraggeber zu. Eine Verknüpfung der Auftraggeber-Kundendaten seitens des Auftragnehmers mit sonstigen Informationen, die nicht im Zusammenhang mit der Nutzung der Services durch den Auftraggeber stehen, ist unzulässig. Eine Weitergabe an Dritte (mit Ausnahme der Subunternehmer gemäß Ziffer 3.9 dieses ADV) erfolgt nicht. Entsprechend ist es möglich, alle Kundendaten des Auftraggebers jederzeit auf Anforderung zu löschen. Hat ein Endkunde des Auftraggebers auch eine Terminbuchung bei einem anderen Unternehmen getätigt, welches die Services des Auftragnehmers nutzt, und werden somit die Daten des Endkunden auch für dieses Unternehmen beim Auftragnehmer geführt, werden diese Daten von den Daten des Auftraggebers getrennt verarbeitet und eine Verknüpfung wird unterlassen. 6. DATENSICHERUNGSMAßNAHMEN 6.1 Der Auftragnehmer trifft geeignete technische und organisatorische Schutzmaßnahmen gemäß 9 BDSG und der Anlage zu 9 BDSG. Er wird seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird und die personenbezogenen Daten vor unbefugtem Zugriff, Missbrauch und Verlust geschützt sind. Das als Anlage beigefügte Datensicherheitskonzept des Auftragnehmers wird als verbindlich festgelegt. 6.2 Der Auftragnehmer hat regelmäßige Kontrollen der ordnungsgemäßen Umsetzung seiner entsprechenden technischen und organisatorischen Maßnahmen durchzuführen. 6.3 Die technischen und organisatorischen Maßnahmen gemäß der Anlage können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, sofern das Sicherheitsniveau insgesamt nicht verringert wird. 6.4 Der Auftragnehmer informiert den Auftraggeber unverzüglich über datenschutzrelevante Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie bei Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten des Auftraggebers.

6 VERTRAGSLAUFZEIT Dieser ADV beginnt mit Unterzeichnung durch beide Parteien und gilt, bis der Hauptvertrag beendet wurde. 8. HAFTUNGSBESCHRÄNKUNGEN 8.1 Der Auftragnehmer haftet dem Auftraggeber für Vorsatz oder grobe Fahrlässigkeit und im Falle von Arglist nach Maßgabe der gesetzlichen Bestimmungen. Im Falle leichter Fahrlässigkeit haftet der Auftragnehmer nur für Schäden, die auf einer wesentlichen Pflichtverletzung beruhen, die die Erreichung des Vertragszwecks gefährdet, oder auf der Verletzung von Pflichten, deren Erfüllung die ordnungsgemäße Durchführung dieses ADV überhaupt erst ermöglicht und auf deren Einhaltung der Auftraggeber regelmäßig vertrauen darf. 8.2 Die Haftung des Auftragnehmers für leichte Fahrlässigkeit gemäß vorstehender Ziffer 8.1 ist der Höhe nach beschränkt auf die Höhe des bei Abschluss dieses ADV vorhersehbaren Schadens, mit dessen Entstehung typischerweise gerechnet werden muss. 8.3 Die Haftungsbeschränkungen gemäß den vorstehenden Regelungen gelten für alle Schadensersatzansprüche unabhängig vom Rechtsgrund mit Ausnahme von Schadensersatzansprüchen nach dem Produkthaftungsgesetz, bei Verletzung von Leben, Körper oder Gesundheit, sowie bei Verletzung einer Garantie (in diesem Fall gelten die etwaigen Haftungsbestimmung der Garantie). Die Haftungsbeschränkungen gemäß den vorstehenden Regelungen gelten auch für etwaige Schadensersatzansprüche gegen die Organe, leitenden Angestellte, Mitarbeiter oder Beauftragte des Auftragnehmers. 9. SONSTIGES 9.1 Soweit andere Vereinbarungen zum Zeitpunkt des Abschlusses dieses ADV anderslautende oder diesem ADV widersprechende Angaben enthalten, so gehen die Inhalte dieses ADV vor. Im Falle eines Widerspruchs zwischen dem Hauptvertrag und diesem ADV geht dieser ADV vor. 9.2 Änderungen dieses ADV bedürfen der Schriftform, das gilt auch für Änderungen des Schriftformerfordernisses, soweit selbiges nicht infolge einer ausdrücklichen individuellen Vereinbarung zwischen den Parteien aufgehoben wurde. 9.3 Dieser ADV unterliegt dem Recht der Bundesrepublik Deutschland. Der Gerichtsstand ist München. Shore GmbH Ort, Datum Ort, Datum Unterschrift, Stempel Auftraggeber Unterschrift, Stempel Auftragnehmer

7 - 7 - Anlage Beschreibung der technischen und organisatorischen Maßnahmen der Shore GmbH 1. Zutrittskontrolle Zugänge ausreichend gesichert (Türen, Türschlösser, Fenster, elektronische Türöffner) Auf- und Abschließung der Räume bei Arbeitsbeginn bzw. ende, Schlüsselregelung (inkl. Quittierung der Schlüsselausgabe) Überwachungseinrichtung (Alarmanlage, Videoüberwachung) Elektronisches Zutrittskontrollsystem Sicherheit bei Heimarbeit/Telearbeit 2. Zugangskontrolle Firewall, Virenschutz Geeignete Benutzeridentifizierung und Passwortverfahren Automatische Sperrung der Bildschirme mit Passwortschutz bei Pausen Einrichtung eines Benutzerstammsatzes pro User Verschlüsselung von Datenträgern 3. Zugriffskontrolle Ausgestaltung des Berechtigungskonzeptes und der Zugriffsrechte (sowohl für Anwender, als auch für Administratoren) Schutz gegen unberechtigte interne und externe Zugriffe, Verschlüsselung, Firewall Art und Anzahl der Datenträger dokumentiert (inkl. Datenträgerverwaltung) Vollständige Löschung verwendeter Datenträger vor neuer Verwendung bzw. vor Weitergabe Entsorgung von Fehldrucken und veralteten Datenträgern 4. Weitergabekontrolle Weitergabe von Daten in anonymisierter- oder pseudoanonymisierter Form

8 - 8 - Transportsicherung durch zuverlässige Boten bzw. Transportunternehmen 5. Eingabekontrolle Protokollierung der Eingabe, Änderung und Löschung von Daten Vergabe von Rechten zur Eingabe, Änderung & Löschung von Daten auf Basis eines Berechtigungskonzeptes 6. Auftragskontrolle Sorgfältige Auswahl von Auftragsnehmern, Kriterien zur Auswahl des Auftragsnehmers Formalisierte Auftragserteilung Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrages 7. Verfügbarkeitskontrolle Brandschutzeinrichtung (Feuerlöscher, Rauch- bzw. Brandmelder), Rauchverbot, Wasserschutzeinrichtung Virenschutz / Firewall Notfallplan 8. Trennungskontrolle Regelung zur Sicherstellung der getrennten Speicherung, Veränderung, Löschung und Übermittlung von Daten mit unterschiedlichen Vertragszwecken (getrennte DV-Systeme für unterschiedliche Verarbeitungszwecke) Interne Mandantenfähigkeit Funktionstrennung Festlegung von Datenbankrechten & Verschlüsselung der Datensätze