Stabsstelle Datenschutz. Mustervereinbarung zur Datenverarbeitung im Auftrag einer öffentlichen Stelle...

Transkript

1 Stabsstelle Datenschutz Mustervereinbarung zur Datenverarbeitung im Auftrag einer öffentlichen Stelle...

2 Vereinbarung über die Datenverarbeitung im Auftrag (personenbezogene Daten / Sozialdaten) Zwischen.., vertreten durch Herrn.. (im Folgenden Auftraggeber genannt), und der. vertreten durch die (im Folgenden Auftragnehmer genannt)

3 Seite: 2 1 Vertragsgegenstand (1) Gegenstand dieser Vereinbarung ist die Verarbeitung 1 personenbezogener Daten im Auftrag des Auftraggebers gemäß der Anlage des Verfahrensverzeichnisses. (Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen ist genau zu beschreiben, zum Beispiel in Form von Anlagen). (2) Die Datenverarbeitung findet an folgenden Orten statt: (Hier konkrete Adresse/n) (3) Der Einfachheit halber stellen die Vertragspartner klar, dass nach ihrem Verständnis die Formulierung personenbezogene Daten in den nachfolgenden Regelungen nicht nur personenbezogene Daten i. S. d. DSG NRW erfasst, sondern auch Sozialdaten i. S. d. SGB X. 2 Bereitstellung von Daten durch den Auftraggeber Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Im Wesentlichen umfasst der Auftrag des Auftraggebers die Datenverarbeitungsphase Speicherung der Daten, die in den verschiedenen Fachverfahren verarbeitet werden. (Hier zum Beispiel konkrete Ausprägungen bei Rechenzentrum im Rahmen der Benutzerverwaltung beschreiben) Eine Übermittlung dieser Daten durch den Auftragnehmer bedarf der schriftlichen Beauftragung durch den Auftraggeber. 3 Datenschutzbestimmungen Der Auftragnehmer unterwirft sich bei der Verarbeitung von Daten denselben Anforderungen, die für den Auftraggeber gelten. Er hat insbesondere die einschlägigen Vorschriften des Bundesdatenschutzgesetzes (BDSG), des Datenschutzgesetzes des Landes Nordrhein-Westfalen (DSG NRW) und des Sozialgesetzbuches (Erstes und Zehntes Buch SGB) zu beachten. 1 Nach DSG NRW sind hier die Phasen gem. 3 enthalten. Unterscheidung zum BDSG, hier muss explizit auf die Erhebung hingewiesen werden.

4 Seite: 3 4 Rechte und Pflichten des Auftraggebers (1) Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich. (2) Der Auftraggeber hat das Recht, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Er ist jederzeit berechtigt, im Rahmen der Beauftragung Einzelweisungen zum Schutz personenbezogener Daten zu erteilen und die Einhaltung der Vorschriften über den Datenschutz und der von ihm getroffenen Weisungen zu überprüfen. Er darf ungeachtet de Anwendbarkeit dieser Vorschrift die Rechte nach 80 Abs. 2 Satz 4 SGB X wahrnehmen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen. Weisungsberechtigte Personen des Auftraggebers sind: (hier eher auf Funktionen als auf natürliche Personen abstellen) Weisungsempfänger beim Auftragnehmer sind: (siehe oben) Bei einem Wechsel oder einer längerfristigen Verhinderung einer Ansprechperson ist dem Vertragspartner unverzüglich schriftlich eine neue Ansprechperson mitzuteilen. (3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt. (4) Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers im Rahmen der Gesetze vertraulich zu behandeln. (5) Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Die Ergebnisse sind zu dokumentieren. (6) Der Auftraggeber ist für die Sicherheit der Unterlagen auf dem Transportweg zum Auftragnehmer verantwortlich und bestimmt die Art und den Umfang der

5 Seite: 4 technischen und organisatorischen Sicherheitsmaßnahmen (z.b. Verschlüsselung). (7) Der Auftraggeber legt die technischen und organisatorischen Maßnahmen nach 10 DSG NRW, die bei der Verarbeitung einzuhalten sind, wie folgt fest: Festlegung von speziellen Sicherheitsmaßnahmen, insbesondere: Verwendung ausreichend ausgetesteter DV-Programme Berechtigungs, Zugriffs und Zugangskonzepte Maßnahmen zur Vollständigkeitskontrolle Einsatz von speziellen Sicherheitsmaßnahmen nach dem aktuellen Stand der Technik zugriffssichere Aufbewahrung und Speicherung von Daten Siehe hierzu 5 und die beigefügte Anlage (Anlage zu 5 der Vereinbarung) 5 Pflichten des Auftragnehmers (1) Die Datenverarbeitung im Auftrag ist grundsätzlich von dem Auftragnehmer selbst zu erbringen. Die Beauftragung Dritter ist nur mit vorheriger schriftlicher Zustimmung des Auftraggebers zulässig. (2) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers. (3) Der Auftragnehmer sichert die datenschutzkonforme Verarbeitung von personenbezogenen Daten und die vertragsmäßige Abwicklung aller vereinbarten Maßnahmen zu. Er stellt sicher, dass die verarbeiteten Daten von sonstigen Datenbeständen getrennt erstellt werden. (4) Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber jederzeit berechtigt ist, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme. (5) Der Auftragnehmer sichert in seinem Verantwortungsbereich die Umsetzung und Einhaltung der vereinbarten allgemeinen und technischen und organisatorischen Maßnahmen entsprechend 10 DSG NRW bzw. Anlage zu (Gleichzeitig Anlage zu 5 der Vereinbarung).

6 Seite: 5 Insbesondere wird der Auftragnehmer seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. (6) Der Auftragnehmer unterrichtet den Auftraggeber umgehend über technische und organisatorische Unzulänglichkeiten der Datensicherung und bei jeglichem Verdacht auf Datenschutzverletzungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten. Der Auftragnehmer gewährleistet eine Protokollierung der Systemleistungen, insbesondere wenn Dritte auf das DV-System des Auftragnehmers zugegriffen haben (Fernwartung). Bei Störungen im Betriebsablauf, etwa bei Hard- und Softwareaustausch, hat der Auftragnehmer zu gewährleisten, dass keine Daten des Auftraggebers an Dritte weitergegeben werden bzw. nur nach ausdrücklicher Rücksprache mit dem Auftraggeber. (7) Sicherungsmaßnahmen können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden. Wesentliche Änderungen sind schriftlich zu vereinbaren. (8) Soweit die beim Auftragnehmer getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht genügen, benachrichtigt er den Auftraggeber unverzüglich. (9) Die Verarbeitung von Daten in Privatwohnungen ist nur mit Zustimmung des Auftraggebers im Einzelfall gestattet. (10) Der Auftragnehmer ist verpflichtet bei der Wahrung des Auskunftsrechts eines Betroffenen im Sinne des Auftraggebers mitzuwirken (Unterstützung des Auftraggebers). (11) Sollte der Schutz personenbezogener Daten durch Maßnahmen Dritter, etwa durch Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer die Stadt unverzüglich vor Eintritt dieser Maßnahme zu verständigen. Das Eigentum des Auftraggebers (z. B. Datenträger, Arbeitskopien, Behältnisse) ist rechtzeitig zu kennzeichnen. 6 Verpflichtung zur Geheimhaltung (1) Der Auftragnehmer setzt für die auftragsgemäße Verarbeitung personenbezogener Daten nur Beschäftigte ein, die auf das Datengeheimnis ( 5 BDSG bzw. 6 DSG NRW) verpflichtet wurden. (2) Der Auftragnehmer verpflichtet sich, in sensiblen Bereichen, soweit beispielsweise Daten einem Berufs- oder besonderem Amtsgeheimnis unterliegen, nur Beschäftigte einzusetzen, die nach dem Verpflichtungsgesetz in der jeweils gültigen Fassung verpflichtet wurden. Der Auftraggeber wirkt auf die Verpflichtung durch den Auftragnehmer hin. (3) Auskünfte darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen.

7 7 Zweckbindung Seite: 6 Der Auftragnehmer verpflichtet sich, die Daten ausschließlich zu den in 1 und 2 genannten Zwecken zu verwenden, sie insbesondere nicht zu anderen Zwecken zu verarbeiten oder an Dritte zu übermitteln. 8 Löschung von Daten (1) Der Auftragnehmer verpflichtet sich, nach vorheriger schriftlicher Zustimmung des Auftraggebers, spätestens nach Beendigung des Vertragsverhältnisses sämtliche erhaltene Daten auf Datenträgern zu löschen und alle etwa noch verbliebenen Arbeitskopien und Arbeitsergebnisse im eigenen Besitz, die mit diesen personenbezogenen Daten verbunden sind, zu vernichten. Dies ist nach Beendigung der Arbeiten schriftlich dem Auftraggeber zu bestätigen. (2) Anfallendes Test- und Ausschussmaterial wird vom Auftragnehmer unter Verschluss gehalten, bis es entweder vom Auftragnehmer datenschutzgerecht vernichtet oder dem Auftraggeber übergeben wird. (3) Nicht mehr benötigte Unterlagen mit personenbezogenen Daten dürfen erst nach Weisung durch den Auftraggeber datenschutzgerecht vernichtet werden. 9 Kontrolle durch den Datenschutzbeauftragten vor Ort Der Auftragnehmer unterwirft sich im Rahmen der Auftragsdatenverarbeitung der Kontrolle der zuständigen Landesdatenschutzbeauftragten bzw. der zuständigen Aufsichtsbehörde und der/des betrieblichen oder behördlichen Datenschutzbeauftragten des Auftraggebers. Die Datenschutzbeauftragten des Auftraggebers und des Auftragnehmers wirken gemeinsam auf die Sicherstellung des Datenschutzes im Zusammenhang mit dem Auftragsverhältnis entsprechend 4g Abs.1 BDSG, 32a DSG NRW hin. 10 Schadensersatz Der Auftragnehmer stellt den Auftraggeber frei von Ansprüchen, nach Maßgabe der 7 BDSG, 20 DSG NRW, 82 SGB X, die ihr als Daten verarbeitende Stelle in Durchführung dieses Vertrages durch den Auftragnehmer entstehen, soweit er diese zu vertreten hat.

8 11 Vertragsstrafe Seite: 7 Bei jedem Verstoß gegen die Einhaltung des Datenschutzes hat der Auftragnehmer dem Auftraggeber eine Vertragsstrafe von... Euro zu zahlen. Von der Vertragsstrafe bleiben darüber hinausgehende Rechte des Auftraggebers unberührt. 12 Laufzeit und Kündigung des Vertrages (1) Der Vertrag beginnt am: (2) Der Vertrag kann von beiden Vertragspartnern unter Einhaltung einer Kündigungsfrist von zwölf Monaten zum Ende eines Kalenderjahres gekündigt werden. Die Kündigung bedarf zu ihrer Wirksamkeit der Schriftform. (3) Dessen ungeachtet ist der Auftraggeber zu einer außerordentlichen fristlosen Kündigung des Vertrags aus wichtigem Grund berechtigt, insbesondere wenn der Auftragnehmer schwerwiegende Vertragsverletzungen begangen hat wie z.b. einem Verstoß gegen die datenschutzrechtlichen Bestimmungen. 13 Wirksamkeit der Vereinbarung Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. Die Vertragspartner verpflichten sich für den Fall der Unwirksamkeit einer Bestimmung, diese durch eine dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommende Bestimmung zu ersetzen. Das gilt auch, wenn sich bei der Durchführung oder Auslegung des Vertrages eine ausfüllungsbedürftige Lücke ergibt. Änderungen des Vertrages bedürfen der Schriftform. Dies gilt auch für das Schriftformerfordernis selbst. (Bei Anlagen: Die Anlagen sind wesentliche Bestandteile des Vertrages) Ort, den Ort, den..