Auftragsdatenverarbeitung. Diese Anlage konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, Anlage zum Vertrag vom

Transkript

1 Auftragsdatenverarbeitung Diese Anlage konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, Anlage zum Vertrag vom die sich aus der im Dienstvertrag/Werkvertrag (Hauptvertrag) in ihren Einzelheiten beschriebenen Auftragsdatenverarbeitung ergeben. Sie findet Anwendung auf alle Tätigkeiten, die mit dem Dienstvertrag/Werkvertrag (Hauptvertrag) in Zusammenhang stehen und bei denen Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen können. Auftraggeber... (Name und Anschrift der Auftraggeberfirma) Auftragnehmer... (Name und Anschrift der Auftragnehmerfirma) 1 Gegenstand der Vereinbarung (1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. (2) Der Auftrag umfasst folgende Arbeiten:... (Definition der Aufgaben) (3) Soweit dieser Vertrag von dem der Auftragserteilung zugrundeliegenden Vertrag abweichende Regelungen trifft, gehen die Regelungen des Vertrags zur Datenverarbeitung im Auftrag vor. (4) Die datenschutzrechtliche Terminologie dieser Vereinbarung entspricht der des nordrhein-westfälischen Landesdatenschutzgesetzes (DSG NRW). 1

2 2 Pflichten des Auftraggebers (1) Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich. (2) Der Auftraggeber erteilt alle Aufträge oder Teilaufträge schriftlich. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen. (3) Der Auftraggeber hat das Recht, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen. Weisungsberechtigte Personen des Auftraggebers sind:... Weisungsempfänger beim Auftragnehmer sind:... Bei einem Wechsel oder einer längerfristigen Verhinderung des Ansprechpartners ist dem Vertragspartner unverzüglich schriftlich der Nachfolger bzw. der Vertreter mitzuteilen. (4) Weisungen, die die unter 1 dieses Vertrags getroffenen Festlegungen ändern, aufheben oder ergänzen, sind nur zulässig, wenn eine entsprechende neue schriftliche Festlegung erfolgt. (5) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt. (6) Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln und in keinem Fall Dritten zur Kenntnis zu bringen. 3 Pflichten des Auftragnehmers (1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers. Er verwendet die zur Datenverarbeitung überlassenen Daten für keine anderen Zwecke. Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. (2) Der Auftragnehmer sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsmäßige Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die verarbeiteten Daten von sonstigen Datenbeständen scharf getrennt werden. (3) Die Auftragnehmerin unterstützt die Auftraggeberin bei der Erstellung und Führung des Verfahrensverzeichnisses, insbesondere durch Mitteilung der erforderlichen Angaben. (4) Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber oder eine von ihm beauftragte Person jederzeit berechtigt ist, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die 2

3 gespeicherten Daten und die Datenverarbeitungsprogramme. Der Auftragnehmer unterstützt die Kontrollen. (5) Die Verarbeitung von Daten in Privatwohnungen ist nur mit Zustimmung des Auftraggebers im Einzelfall gestattet. Soweit die Daten in einer Privatwohnung verarbeitet werden, ist der Zugang zur Wohnung durch den Auftraggeber oder eine von ihm beauftragte Person ( 3 Abs. 4) vorher mit dem Auftragnehmer abzustimmen. Der Auftragnehmer sichert zu, dass auch die anderen Bewohner dieser Privatwohnung mit dieser Regelung einverstanden sind. (6) Der Auftragnehmer hat dem Auftraggeber nach Ende der vertraglichen Tätigkeiten sämtliche in ihren Besitz gelangten Unterlagen und erstellten Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, auszuhändigen oder nach vorheriger Zustimmung des Auftraggebers datenschutzgerecht zu löschen. Dem Auftraggeber ist auf Verlangen ein Nachweis über die Löschung vorzulegen. Ein Zurückbehaltungsrecht wird hinsichtlich der verarbeiteten personenbezogenen Daten und der zugehörigen Datenträger ausgeschlossen. (7) Sofern sich Daten der Auftraggeberin auf Datenträgern der Auftragnehmerin befinden, wird folgendes vereinbart: a) Eignen sich die Datenträger zur Übergabe, übereignet die Auftragnehmerin der Auftraggeberin zur Sicherung diese Datenträger. Diese Datenträger sind besonders zu kennzeichnen. Die Auftragnehmerin verpflichtet sich, mindestens einen Datenträger vorzuhalten, auf dem alle Daten der Auftraggeberin gespeichert werden können und der übereignet werden kann. Die Auftragnehmerin verwahrt den Datenträger bis zur Herausgabe an die Auftraggeberin für diese unentgeltlich. b) Eignen sich die Datenträger nicht zur Übergabe, verpflichtet sich die Auftragnehmerin, diese Daten in dem Fall, in dem aufgrund von Maßnahmen Dritter (etwa bei Pfändung), bei Insolvenz- oder Vergleichsverfahren oder bei sonstige Ereignisse die Gefahr besteht, dass diese Daten in die Hände Dritter gelangen, diese Daten auf den Datenträger nach Absatz 7 lit. a Satz 3 zu kopieren und diese Daten auf den von der Maßnahme Dritter bzw. von den Ereignissen betroffenen Datenträgern datenschutzgerecht zu löschen. (7) Die Beauftragung von Subunternehmen ist nur mit schriftlicher Zustimmung des Auftraggebers zugelassen. Der Auftragnehmer hat in diesem Falle vertraglich sicherzustellen, dass die vereinbarten Regelungen auch gegenüber Subunternehmern gelten. Er hat die Einhaltung dieser Pflichten regelmäßig zu überprüfen. Die Weiterleitung von Daten ist erst zulässig, wenn der Subunternehmer die Verpflichtung nach 4 erfüllt hat. [Zur Zeit sind die in Anlage.. mit Namen und Auftragsinhalt bezeichneten Subunternehmer mit der Verarbeitung von personenbezogenen Daten in dem dort genannten Umfang beschäftigt.] Der Auftragnehmer teilt dem Auftraggeber die für das Verfahrensverzeichnis erforderlichen Informationen zur Datenverarbeitung durch den Unterauftragnehmer mit. (8) Soweit für den Auftragnehmer die Vorschriften über den nicht-öffentlichen Bereich Anwendung finden, bestätigt er, dass er gem. 4 d Abs. 1 BDSG zum Register bei der Aufsichtsbehörde für den Datenschutz gemeldet ist oder gem. 4 f BDSG einen betrieblichen Datenschutzbeauftragten bestellt hat. Ist der Auftragnehmer gesetzlich zur Bestellung eines Datenschutzbeauftragten verpflichtet, so ist dieser vor Beginn der Vertragsdurchführung zu bestellen. Der Auftragnehmer teilt dem Auftraggeber dessen Kontaktdaten mit. Entsprechendes gilt bei einem Wechsel in der Person des Datenschutzbeauftragten 3

4 (9) Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren, die für die Sicherheit erheblich sind, sind mit dem Auftraggeber abzustimmen. 4 Datengeheimnis (1) Jede Partei ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der Vertragspartnerin vertraulich zu behandeln. Diese Pflicht besteht auch nach Vertragsende fort. (2) Der Auftragnehmer verpflichtet sich zur Wahrung des Datengeheimnisses entsprechend 6 DSG NRW bzw. 5 Bundesdatenschutzgesetz (BDSG). Er sichert zu, dass sie die bei der Durchführung der Arbeiten Beschäftigten schriftlich auf das Datengeheimnis verpflichtet, soweit sie nicht ohnehin tarif- oder individualvertraglich oder aus anderen Rechtsgründen zur Wahrung des Datengeheimnisses verpflichtet sind. (3) Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften, insbesondere des DSG NRW, BDSG und des Strafgesetzbuchs, bekannt sind, und sichert zu, dass er die bei der Durchführung der Arbeiten Beschäftigten mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht. Er überwacht die Einhaltung der datenschutzrechtlichen Vorschriften. (4) Der Auftragnehmer darf Auskünfte an Dritte oder Betroffene nur nach vorheriger schriftlicher Zustimmung durch der Auftraggeber erteilen. Ist der Auftragnehmer gerichtlich oder gesetzlich verpflichtet, Auskunft zu erteilen, so hat er den Auftraggeber hierüber unverzüglich zu informieren. Der Auftragnehmer darf Auskünfte an den Auftraggeber nur gegenüber den autorisierten Personen ( 2 Abs. 3 dieses Vertrags) erteilen. 5 Kontrollrechte der/des Landesbeauftragten für den Datenschutz NRW (1) Der Auftragnehmer verpflichtet sich, der oder dem Landesbeauftragten für den Datenschutz NRW und den von ihm eingesetzten Bediensteten Zugang zu den Arbeitsräumen zu gewähren und unterwirft sich der Kontrolle nach Maßgabe des DSG NRW in seiner jeweiligen Fassung. (2) Soweit Daten in einer Privatwohnung verarbeitet werden, ist der Zugang der oder des Landesdatenschutzbeauftragten NRW und der von ihm eingesetzten Bediensteten vorher mit dem Auftragnehmer abzustimmen. Der Auftragnehmer stellt sicher, dass die anderen Bewohner dieser Privatwohnung mit dieser Regelung einverstanden sind. 6 Datensicherungsmaßnahmen (Erläuterungen s. Anhang) (1) Zu den Regelungstatbeständen des 10 DSG NRW werden folgende technische und organisatorische Maßnahmen verbindlich festgelegt: a) Vertraulichkeit Maßnahmen, damit nur Befugte personenbezogene Daten zur Kenntnis nehmen können: 4

5 b) Integrität Maßnahmen, damit personenbezogene Daten während der Verarbeitung unversehrt, vollständig und aktuell bleiben: c) Verfügbarkeit Maßnahmen, damit personenbezogene Daten zeitgerecht zur Verfügung stehen und ordnungsgemäß verarbeitet werden können d) Authentizität Maßnahmen, damit jederzeit personenbezogene Daten ihrem Ursprung zugeordnet werden können: e) Revisionsfähigkeit Maßnahmen, damit festgestellt werden kann, wer wann welche personenbezogenen Daten in welcher Weise verarbeitet hat: 5

6 f) Transparenz Maßnahmen, die Verfahrensweisen bei der Verarbeitung personenbezogene Daten vollständig, aktuell und in einer Weise dokumentiert, dass sie in zumutbarer Zeit nachvollzogen werden können: (2) Der Auftragnehmer beachtet die Grundsätze ordnungsmäßiger Datenverarbeitung. Er gewährleistet die vertraglich vereinbarten und gesetzlich vorgeschriebenen Datensicherheitsmaßnahmen. Der Auftragnehmer benachrichtigt unverzüglich den Auftraggeber, wenn die bei ihm getroffenen Sicherheitsmaßnahmen den Anforderungen der Auftraggeberin nicht genügen. (3) Die in diesem Vertrag vereinbarten technischen und organisatorischen Maßnahmen können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden. Änderungen und Ergänzungen der vereinbarten technischen und organisatorischen Maßnahmen bedürfen einer schriftlichen Mitteilung an die weisungsberechtigte(n) Person(n) der Auftraggeberin und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Maßnahmen handelt. Wesentliche Änderungen der technischen und organisatorischen Maßnahmen bedürfen der Zustimmung der Auftraggeberin. Bei allen Änderungen der technischen und organisatorischen Maßnahmen durch die Auftragnehmerin darf das Sicherheitsniveau der vereinbarten Maßnahmen nicht unterschritten werden. (4) Der Auftragnehmer informiert den Auftraggeber unverzüglich bei schwerwiegenden Störungen des Betriebsablaufs, Verdacht auf Verletzungen des Datenschutzes, anderen Unregelmäßigkeiten bei der Datenverarbeitung, bei Kontrollhandlungen und Maßnahmen einer Aufsichts- oder Ermittlungsbehörde. Er unterrichtet den Auftraggeber unverzüglich, wenn eine vom Auftraggeber erteilte Weisung nach seiner Meinung zu einem Verstoß gegen gesetzliche Vorschriften führen kann. Die Weisung braucht nicht befolgt zu werden, solange sie nicht durch den Auftraggeber geändert oder ausdrücklich bestätigt wird. (5) Im Falle des Abhandenkommens oder der unrechtmäßigen Übermittlung oder Kenntniserlangung von personenbezogenen Daten ergreift die Auftragnehmerin im Benehmen mit der Auftraggeberin angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene. Sie unterstützt die Auftraggeberin bei der Erfüllung ihrer Informationspflichten gegenüber der Aufsichtsbehörde und den Betroffenen. 6

7 7 Haftung (1) Der Auftragnehmer haftet dem Auftraggeber für Schäden, die der Auftragnehmer, seine Mitarbeiter bzw. die von ihm mit der Vertragsdurchführung Beauftragten bei der Erbringung der vertraglichen Leistung schuldhaft verursachen. (2) Für den Ersatz von Schäden, die ein Betroffener wegen einer nach dem DSG NRW oder anderen Vorschriften für den Datenschutz unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, ist der Auftraggeber gegenüber den Betroffenen verantwortlich. Soweit der Auftraggeber zum Schadensersatz gegenüber dem Betroffenen verpflichtet ist, bleibt ihm der Rückgriff beim Auftragnehmer vorbehalten, soweit der Auftragnehmer oder einer seiner Unterauftragnehmer den Schaden schuldhaft herbeigeführt hat. (3) Im Übrigen gelten für die Haftung die Regelungen des dieser Vereinbarung zugrunde liegenden Vertragsverhältnisses. 8 Vertragsstrafe Bei Verstoß gegen die Abmachungen dieses Vertrages, insbesondere gegen die Einhaltung des Datenschutzes, wird eine Vertragsstrafe von... Euro vereinbart. 9 Wirksamkeit der Vereinbarung (1) Änderungen, Ergänzungen und Nebenabreden dieses Vertrages bedürfen der Schriftform. (2) Sollten in dieser Vereinbarung eine oder mehrere Bestimmungen unwirksam oder undurchführbar sein oder werden, so wird die Wirksamkeit der übrigen Vertragsbestimmungen hierdurch nicht berührt. Die Vertragspartner werden die unwirksame oder undurchführbare Bestimmung durch eine Bestimmung ersetzen, die deren Sinn und Zweck am nächsten kommt. Gleiches gilt für den Fall einer ungewollten Regelungslücke. Datum, Unterschrift Datum, Unterschrift Auftraggeber Auftragnehmer Erläuterungen zu 6 Datensicherungsmaßnahmen In dem Vertrag müssen die technischen und organisatorischen Maßnahmen festgelegt werden, die bei der Datenverarbeitung umzusetzen sind. Der Auftragnehmer darf personenbezogene Daten nur im Rahmen des Auftraggebers verarbeiten. 7

8 Rechtsgrundlage ist 11 DSG NRW, in dem beschrieben ist, welche Prüfungen ein Auftraggeber vor einer Auftragsvergabe durchzuführen hat. So muss der Auftragnehmer unter besonderer Berücksichtigung der Zuverlässigkeit und der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig ausgewählt werden. Im Auftrag sind insbesondere die technischen und organisatorischen Maßnahmen sowie ergänzende Weisungen schriftlich festzulegen Werden personenbezogene Daten verarbeitet, deren Verarbeitung für die Betroffenen keine besonderen Risiken erwarten lässt, so bietet das Grundschutzhandbuch des BSI für bestimmte technische Konstellationen einen Katalog an Sicherheitsmaßnahmen. a) Wenn der Auftragnehmer ein Datensicherheitskonzept besitzt, muss der Auftraggeber prüfen und schriftlich festlegen, ob es seinen Anforderungen entspricht. Die Sicherheitsziele sind in 10 DSG NRW genannt. Ist das Konzept nicht ausreichend, sind ergänzende Maßnahmen zu vereinbaren. Das daraus resultierende Sicherheitskonzept sollte zum Vertragsbestandteil gemacht werden. In diesem Fall kann darauf verzichtet werden, im Sicherheitskonzept genannte Maßnahmen im Vertragstext zu wiederholen. b) Wenn der Auftragnehmer kein Datensicherheitskonzept vorlegen kann, müssen die Maßnahmen im Vertrag vereinbart werden. Dabei sind wiederum die in 10 DSG NRW genannten Sicherheitsziele zu erreichen. Aus dem Katalog sollten die einzelnen Maßnahmen in den Vertrag übernommen werden. Es handelt sich um keinen abschließenden Maßnahmenkatalog. Insbesondere bei der Verarbeitung sensibler Daten sind in der Regel zusätzliche Maßnahmen erforderlich. 8