Anlage zum Vertrag vom. Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag

Transkript

1 Anlage zum Vertrag vom Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag O durch Wartung bzw. O Fernwartung *Zutreffendes bitte ankreuzen Diese Anlage konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der in der Wartungs- oder Fernwartungsvereinbarung (Hauptvertrag) in ihren Einzelheiten beschriebenen Auftragsdatenverarbeitung ergeben. Sie findet Anwendung auf alle Tätigkeiten, die mit der Wartungs- oder Fernwartungsvereinbarung (Hauptvertrag) in Zusammenhang stehen und bei denen Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen können. Auftraggeber (Name und Anschrift der Auftraggeberfirma) Auftragnehmer (Name und Anschrift der Auftragnehmerfirma) 1 Vertragsgegenstand Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten im Rahmen der für Wartung vor Ort Fernwartung 1

2 (Genaue Bezeichnung des zu wartenden Programms, der Software, Standort des Rechners etc.) 2 Bereitstellung von Daten (1) Die Auftraggeberin stellt nachfolgende Daten über Datenleitung (Fernwartung) bzw. im Gebäude, vor Ort, d. h. in zum Zwecke der Wartung zur Verfügung: ( Hier sind Daten, Art und Umfang der durchzuführenden Wartungsarbeiten, die davon betroffenen EDV-Systeme genau zu beschreiben.) 2

3 (2) Änderungen des Verarbeitungsgegenstandes und des Verfahrens sind schriftlich zu vereinbaren. 3 - Datenschutzbestimmungen Der Auftragnehmer unterwirft sich bei der Verarbeitung von Daten im Zusammenhang mit der Wartung denselben Anforderungen, die für die Auftraggeberin gelten. Er hat insbesondere die einschlägigen Vorschriften des Bundesdatenschutzgesetzes (BDSG), des Datenschutzgesetzes des Landes Nordrhein-Westfalen (DSG NRW) und ggf. des Sozialgesetzbuches zu beachten. 4 Rechte und Pflichten des Auftraggebers (1) Für die Beurteilung der Zulässigkeit der Wartung sowie für die Wahrung der Rechte der Betroffenen bleibt die Auftraggeberin verantwortlich ( 11 Abs. 1 DSG NRW). (2) Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen. Die Auftraggeberin ist jederzeit berechtigt, im Rahmen der Beauftragung Einzelweisungen zum Schutz personenbezogener Daten zu erteilen und die Einhaltung der Vorschriften über den Datenschutz und der von ihr getroffenen Weisungen zu überprüfen. Sie darf ungeachtet der Anwendbarkeit dieser Vorschrift die Rechte nach 80 Abs. 2 Sozialgesetzbuch X (SGB X) wahrnehmen. Weisungsberechtigte Personen der Auftraggeberin sind: Beauftragte Personen des Auftragnehmers sind Bei einem Wechsel oder einer längerfristigen Verhinderung des Ansprechpartners wird dem Vertragspartner unverzüglich schriftlich der Nachfolger bzw. der Vertreter mitgeteilt. Weisungsempfänger beim Auftragnehmer sind vor Beginn der Wartung der Auftraggeberin schriftlich mitzuteilen. (3) Im System der Auftraggeberin werden die Zugriffe, die für Wartungsarbeiten erfolgen, protokolliert. Die Protokollierung erfolgt so, dass sie in einer Revision nachvollzogen werden kann. Die Protokollierung darf vom Auftragnehmer nicht abgeschaltet werden. (4) Die Auftraggeberin informiert den Auftragnehmer unverzüglich, wenn sie Fehler oder Unregelmäßigkeiten feststellt, die bei der Wartung aufgefallen sind oder die einen Zugriff durch Unbefugte möglich machen. (5) Die Auftraggeberin verpflichtet sich, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherungsmaßnahmen des Auftragnehmers geheim zu halten und in keinem Fall Dritten zur Kenntnis bringen. (6) Die Auftraggeberin ist berechtigt, einmal jährlich oder in begründeten Fällen auf Wunsch des Auftragnehmers die Datenverarbeitung beim Auftragnehmer zu überprüfen. 3

4 5 Pflichten des Auftragnehmers (1) Die Wartung ist grundsätzlich von dem Auftragnehmer selbst zu erbringen. Die Beauftragung Dritter bedarf der vorherigen schriftlichen Zustimmung der Auftraggeberin. Der Auftragnehmer führt die Wartung ausschließlich im Rahmen der getroffenen Vereinbarung und nach Weisung der Auftraggeberin durch. (2) Der Auftragnehmer sichert die datenschutzkonforme Abwicklung aller Maßnahmen zu. Er stellt sicher, daß die verarbeiteten Daten von sonstigen Datenbeständen getrennt werden. (3) Der Auftragnehmer erklärt sich damit einverstanden, daß die Auftraggeberin jederzeit berechtigt ist, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu kontrollieren, insbesondere durch die Einholung von Auskünften. (4) Der Auftragnehmer verwendet Daten, die ihm im Rahmen der Erfüllung dieses Vertrages bekannt geworden sind, nur für Zwecke der Wartung. Kopien oder Duplikate werden ohne Wissen der Auftraggeberin nicht erstellt. Soweit möglich, erfolgt die Wartung am Bildschirm ohne gleichzeitige Speicherung. (5) Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherungsmaßnahmen der Auftraggeberin geheim gehalten und in keinem Fall Dritten zur Kenntnis zu geben. (6) Der Beginn der Wartung ist anzukündigen, um den Beauftragten der Auftraggeberin die Möglichkeit zu geben, die Maßnahmen der Wartung zu verfolgen. Der Verbindungsaufbau darf ausschließlich im Wartungsfall möglich sein und erfolgt stets durch die Auftraggeberin. (7) Bei der Datenverarbeitung insbesondere durch Fernwartung sind die technischen und organisatorischen Maßnahmen im Sinne des 10 DSG NRW sicherzustellen. (8) Die Fernwartung von Privatwohnungen aus ist nicht gestattet. Soll im Einzelfall davon abgewichen werden, bedarf dies einer gesonderten vorherigen schriftlichen Zustimmung der Auftraggeberin. (9) Der Auftragnehmer erklärt sich damit einverstanden, daß die Wartung durch IT- Sachverständige der Auftraggeberin beobachtet werden kann. (10) Der Auftragnehmer unterrichtet die Auftraggeberin umgehend über technische und organisatorische Unzulänglichkeiten der Datensicherung. (11) Sollte der Schutz personenbezogener Daten durch Maßnahmen Dritter, etwa durch Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer die Auftraggeberin sofort zu verständigen. Das Eigentum der Auftraggeberin an den Daten (z. B. Datenträger, Arbeitskopien, Behältnisse) ist rechtzeitig zu kennzeichnen. 4

5 (12) Notwendige Datenübertragungen zu Zwecken der Wartung haben ausschließlich über gesicherte und verschlüsselte Kommunikationskanäle zu erfolgen. Ausnahmen sind besonders zu begründen. (13) Die Beauftragung von Subunternehmen ist nur mit schriftlicher Zustimmung des Auftraggebers zugelassen. Der Auftragnehmer hat in diesem Falle vertraglich sicherzustellen, dass die vereinbarten Regelungen auch gegenüber Subunternehmern gelten. Er hat die Einhaltung dieser Pflichten regelmäßig zu überprüfen. Die Weiterleitung von Daten ist erst zulässig, wenn der Subunternehmer die Verpflichtung nach 4 erfüllt hat. [Zurzeit sind die in Anlage... mit Namen und Auftragsinhalt bezeichneten Subunternehmer mit der Verarbeitung von personenbezogenen Daten in dem dort genannten Umfang beschäftigt.] (14) Soweit für den Auftragnehmer die Vorschriften über den nicht-öffentlichen Bereich Anwendung finden, bestätigt er, dass er gem. 4 d Abs. 1 BDSG zum Register bei der Aufsichtsbehörde für den Datenschutz gemeldet ist oder gem. 4 f BDSG einen betrieblichen Datenschutzbeauftragten bestellt hat. 6 Verpflichtung zur Geheimhaltung (1) Der Auftragnehmer läßt die Wartung bzw. Fernwartung nur von Beschäftigten durchführen, die auf das Datengeheimnis ( 5 BDSG bzw. 6 DSG NRW) verpflichtet sind. (2) Der Auftragnehmer verpflichtet sich, bei Wartung bzw. Fernwartung in sensiblen Bereichen, soweit beispielsweise Daten, einem Berufs- oder besonderen Amtsgeheimnis unterliegen, nur Mitarbeiter einzusetzen, die nach dem Verpflichtungsgesetz des Landes verpflichtet sind. (3) Der Auftragnehmer bestätigt, daß ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind. Er überwacht die Einhaltung der datenschutzrechtlichen Vorschriften. 7 Zweckbindung Der Auftragnehmer verpflichtet sich, die Daten ausschließlich zu dem in 1 und 2 dieser Vereinbarung genannten Zwecke zu verwenden, sie insbesondere nicht zu anderen Zwecken zu verarbeiten oder an Dritte zu übermitteln. 8 Löschung von Daten Der Auftragnehmer verpflichtet sich, spätestens nach Beendigung des Vertragsverhältnisses sämtliche erhaltene Daten auf Datenträgern zu löschen und alle etwa noch verbliebenen Arbeitskopien und Arbeitsergebnisse im eigenen Besitz, die mit diesen personenbezogenen Daten verbunden sind, zu vernichten. Dies ist nach Beendigung der Arbeiten schriftlich dem Auftraggeber gegenüber zu bestätigen. 9 Kontrolle durch die Datenschutzbeauftragte vor Ort 5

6 Der Auftragnehmer unterwirft sich im Rahmen der Wartung vor Ort der Kontrolle der zuständigen Landesdatenschutzbeauftragten bzw. der zuständigen Aufsichtsbehörde und der Datenschutzbeauftragten der Universität Bielefeld. 10 Schadensersatz Der Auftragnehmer haftet dem Auftraggeber für Schäden, die der Auftragnehmer, seine Mitarbeiter bzw. die von ihm mit der Vertragsdurchführung Beauftragten bei der Erbringung der vertraglichen Leistung schuldhaft verursachen. Der Auftragnehmer stellt die Auftraggeberin frei von Ansprüchen, nach Maßgabe der 7 BDSG, 20 DSG NRW, 82 SGB X, die ihr als datenverarbeitende Stelle in Durchführung dieses Vertrages durch den Auftragnehmer entstehen, soweit er diese zu vertreten hat. 11 Wirksamkeit der Vereinbarung Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. Änderungen des Vertrages bedürfen der Schriftform. Dies gilt auch für das Schriftformerfordernis selbst. Bielefeld, den für den Auftraggeber für den Auftragnehmer 1 Exemplar Auftragnehmer 1 Exemplar Auftraggeberin 1 Kopie Behördliche Datenschutzbeauftragte 6