Vereinbarung zum Datenschutz und zur Datensicherheit in Auftragsverhältnissen nach 11 BDSG

Transkript

1 Vereinbarung zum Datenschutz und zur Datensicherheit in Auftragsverhältnissen nach 11 BDSG zwischen dem Auftraggeber und der letterei.de Pstdienste GmbH Grß-Gerau - Auftragnehmer - I. Gegenstand der Vereinbarung 1. Der Auftragnehmer erhebt und verarbeitet persnenbezgene Daten im Auftrag des Auftraggebers. 2. Der Auftrag umfasst Flgendes: Gegenstand des Auftrages (Definitin der Aufgaben) Drucken, Verarbeiten und Psteinliefern vn persnalisierten Pstsendungen Dauer des Auftrags Der Vertrag wird auf unbestimmte Zeit geschlssen und ist jederzeit kündbar. Umfang, Art und Zweck der Datenerhebung und -verarbeitung Persnalisieren vn Briefsendungen Art der Daten Namen, Anschriften und persönliche Daten vn Empfängern II. Rechte und Pflichten des Auftraggebers 1. Für die Beurteilung der Zulässigkeit der Datenerhebung und verarbeitung, swie für die Wahrung der Rechte der Betrffenen ist allein der Auftraggeber verantwrtlich. 2. Der Auftraggeber erteilt alle Aufträge der Teilaufträge schriftlich. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und entsprechend Nr. I.2 dieser Vereinbarung schriftlich festzulegen. 3. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen. Die schriftliche Bestätigung der mündlichen Weisungen sllte vn Auftraggeber und Auftragnehmer s aufbewahrt werden, dass alle maßgeblichen Regelungen jederzeit verfügbar sind. Weisungsberechtigte Persnen des Auftraggebers sind die beim Auftragnehmer hinterlegten Angebts- und Rechnungsempfänger, swie diese, die vn diesen Persnen autrisiert wurden. Weisungsempfänger beim Auftragnehmer sind die in Angebten und Rechnungen genannten Mitarbeiter, die Geschäftsleitung der die vn diesem Persnenkreis autrisierten Mitarbeiter. letterei.de Pstdienste GmbH Grß-Gerau Telefn: / inf@letterei.de Kreissparkasse Grß-Gerau Seite 1/6

2 4. Bei einem Wechsel der einer längerfristigen Verhinderung des Ansprechpartners ist dem anderen Vertragspartner unverzüglich schriftlich der Nachflger bzw. der Vertreter mitzuteilen. Falls Weisungen die unter Nr. I. 2 dieses Vertrages getrffenen Festlegungen ändern, aufheben der ergänzen, sind sie nur zulässig, wenn eine entsprechende neue Festlegung erflgt. 5. Der Auftraggeber ist berechtigt, sich vr Beginn der Datenverarbeitung und sdann regelmäßig vn der Einhaltung der beim Auftragnehmer getrffenen technischen und rganisatrischen Maßnahmen (s. Nr. IV) zu überzeugen. Der Auftraggeber kann diese Kntrlle auch durch einen Dritten durchführen lassen. 6. Der Auftraggeber infrmiert den Auftragnehmer unverzüglich, wenn er Fehler der Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt. 7. Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse vn Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln. III. Pflichten des Auftragnehmers 1. Der Auftragnehmer verarbeitet persnenbezgene Daten ausschließlich im Rahmen der getrffenen Vereinbarungen und nach Weisungen des Auftraggebers. Er hat persnenbezgene Daten zu löschen und zu sperren, wenn der Auftraggeber dies in der getrffenen Vereinbarung der einer Weisung verlangt. Der Auftragnehmer verwendet die zur Datenverarbeitung überlassenen Daten für keine anderen, insbesndere nicht für eigene Zwecke. Kpien der Duplikate werden hne Wissen des Auftraggebers nicht erstellt. 2. Die Datenträger, die vm Auftraggeber stammen bzw. für den Auftraggeber genutzt werden, werden besnders gekennzeichnet und unterliegen der laufenden - autmatisierten - Verwaltung. Eingang und Ausgang werden dkumentiert. 3. Der Auftragnehmer sichert im Bereich der auftragsgemäßen Verarbeitung vn persnenbezgenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die verarbeiteten Daten vn snstigen Datenbeständen strikt getrennt werden. 4. Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vm Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vrschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung slange auszusetzen, bis sie durch den Verantwrtlichen beim Auftraggeber bestätigt der geändert wird. 5. Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber jederzeit berechtigt ist, die Einhaltung der Vrschriften über den Datenschutz und der vertraglichen Vereinbarungen im erfrderlichen Umfang selbst der durch Dritte zu kntrllieren, insbesndere durch die Einhlung vn Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprgramme swie snstige Kntrllen vr Ort. Der Auftragnehmer sichert zu, dass er, sweit erfrderlich, bei diesen Kntrllen mitwirkt. 6. Die Verarbeitung vn persnenbezgenen Daten in Privatwhnungen ist nicht zulässig. letterei.de Pstdienste GmbH Grß-Gerau Telefn: / inf@letterei.de Kreissparkasse Grß-Gerau Seite 2/6

3 7. Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen und erstellten Verarbeitungs- der Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen. Die Datenträger des Auftragnehmers sind danach physisch zu löschen. Test- und Ausschussmaterial ist unverzüglich zu vernichten der dem Auftraggeber auszuhändigen. 8. Die Beauftragung vn Subunternehmern ist nur mit schriftlicher Zustimmung des Auftraggebers zugelassen, es sei denn, es handelt sich nicht um die Verarbeitung vn persnenbezgenen Daten. Der Auftragnehmer hat im Falle der Weitergabe vn persnenbezgenen Daten an Subunternehmer vertraglich sicherzustellen, dass die vereinbarten Regelungen auch gegenüber Subunternehmern gelten. Er hat die Einhaltung dieser pflichten regelmäßig zu überprüfen. Die Weiterleitung vn Daten ist erst zulässig, wenn der Subunternehmer die Verpflichtung nach 11 BDSG erfüllt hat. Hiervn nicht berührt ist die Weitergabe vn Daten an Pstbeförderungsunternehmen der sgenannten Knslidierer. 9. Die Verarbeitung und Nutzung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Eurpäischen Unin der in einem anderen Vertragsstaat des Abkmmens über den Eurpäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vrherigen Zustimmung des Auftraggebers und darf nur erflgen, wenn die besnderen Vraussetzungen der 4b, 4c BDSG erfüllt sind. Falls ein Subunternehmer beauftragt werden sll, gelten diese Anfrderungen zusätzlich zu den Bestimmungen in Nr. III.8. Hiervn aussgenmmen ist die Weitergabe vn Pstsendungen an Pstbeförderungsunternehmen mit dem Ziel, die entsprechenden Pstsendungen im Ausland zuzustellen. IV. Datenschutzbeauftragte des Auftragnehmers 1. Ein betrieblicher Datenschutzbeauftragter ist beim Auftragnehmer nicht bestellt, da der Auftragnehmer nach 4 f Abs. 1 BDSG nicht verpflichtet ist einen Datenschutzbeauftragten zu bestellen. V. Datengeheimnis 1. Der Auftragnehmer verpflichtet sich, bei der auftragsgemäßen Verarbeitung der persnenbezgenen Daten des Auftraggebers das Datengeheimnis zu wahren. Er verpflichtet sich, die gleichen Geheimnisschutzregeln zu beachten, wie sie dem Auftraggeber bliegen. 2. Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vrschriften bekannt sind. Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und sie auf das Datengeheimnis schriftlich verpflichtet. Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vrschriften. 3. Auskünfte an Dritte der den Betrffenen darf der Auftragnehmer nur nach vrheriger schriftlicher Zustimmung durch den Auftragnehmer erteilen. letterei.de Pstdienste GmbH Grß-Gerau Telefn: / inf@letterei.de Kreissparkasse Grß-Gerau Seite 3/6

4 VI. Technische und rganisatrische Maßnahmen nach 9 BDSG 1. Der Auftragnehmer beachtet die Grundsätze rdnungsgemäßer Datenverarbeitung. Er gewährleistet die vertraglich vereinbarten und gesetzlich vrgeschriebenen Datensicherheitsmaßnahmen. 2. Die technischen und rganisatrischen Maßnahmen können im Laufe des Auftragsverhältnisses der technischen und rganisatrischen Weiterentwicklung angepasst werden. 3. Sweit die beim Auftragnehmer getrffenen Sicherheitsmaßnahmen den Anfrderungen des Auftraggebers nicht genügen, benachrichtigt er den Auftraggeber unverzüglich. Entsprechendes gilt für Störungen, Verstöße des Auftragnehmers der der bei ihm beschäftigten Persnen gegen datenschutzrechtliche Bestimmungen der die im Auftrag getrffenen Festlegungen swie bei Verdacht auf Datenschutzverletzungen der Unregelmäßigkeiten bei der Verarbeitung persnenbezgener Daten. VII. Vertragsdauer 1. Der Vertrag wird auf unbestimmte Zeit geschlssen und ist jederzeit kündbar. VIII. Vergütung 1. Die Vergütung richtet sich nach den AGB und den aktuell gültigen Preislisten des Auftragnehmers, swie individuell vereinbarten Knditinen, sweit sie schriftlich vereinbart wurden. IX. Haftung 1. Der Auftragnehmer haftet dem Auftraggeber für Schäden, die der Auftragnehmer, seine Mitarbeiter bzw. die vn ihm mit der Vertragsdurchführung Beauftragten bei der Erbringung der vertraglichen Leistung schuldhaft verursachen. Näheres regeln die AGB des Auftragnehmers. 2. Für den Ersatz vn Schäden, die ein Betrffener wegen einer nach dem BDSG der anderen Vrschriften für den Datenschutz unzulässigen der unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, ist der Auftraggeber gegenüber dem Betrffenen verantwrtlich. Sweit der Auftraggeber zum Schadensersatz gegenüber dem Betrffenen verpflichtet ist, bleibt ihm der Rückgriff beim Auftragnehmer vrbehalten. X. Snstiges 1. Des Weiteren gelten die aktuellen AGB des Auftragnehmers. letterei.de Pstdienste GmbH Grß-Gerau Telefn: / inf@letterei.de Kreissparkasse Grß-Gerau Seite 4/6

5 2. Sllte das Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung der Beschlagnahme), durch ein Inslvenz- der Vergleichsverfahren der durch snstige Ereignisse gefährdet werden, s hat der Auftragnehmer den Auftraggeber unverzüglich zu verständigen. 3. Für Nebenabreden ist die Schriftfrm erfrderlich. XI. Wirksamkeit der Vereinbarung 1. Sllten einzelne Teile dieser Vereinbarung unwirksam sein, s berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. Beschreibung der technischen und rganisatrischen Maßnahmen zu VI Datensicherungsmaßnahmen 1. Zutrittskntrlle Maßnahmen, damit Unbefugten der Zutritt zu den Datenverarbeitungsanlagen verwehrt wird, mit denen persnenbezgene Daten verarbeitet werden: Kntrllierte Schlüsselvergabe (elektrnische Schlüssel) Schlüssel ist jedem einzelnen Mitarbeiter zugerdnet Jeder Zutritt wird elektrnisch festgehalten Zutritt zu Datenverarbeitungs- und Prduktinsanlagen nur unter Aufsicht vn verpflichtetem Persnal Videüberwachung der Ein- und Ausgänge, swie des Pstausgangs und der Warenannahme 2. Zugangskntrlle Maßnahmen, die verhindern, dass Unbefugte die Datenverarbeitungsanlagen und - verfahren benutzen: Kennwrtgeschützter Zugang zu allen Systemen Firewall Zugriff auf persnenbezgene Daten nur verschlüsselt im internen Netz der über VPN 3. Zugriffskntrlle Maßnahmen, die gewährleisten, dass die zur Benutzung der Datenverarbeitungsverfahren Befugten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden persnenbezgenen Daten zugreifen können: Kennwrtgeschützter Zugang Zugriffsbeschränkung durch strikte Rechtevergabe 4. Weitergabekntrlle Maßnahmen, die gewährleisten, dass persnenbezgene Daten bei der elektrnischen Übertragung der während ihres Transprts der ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kpiert, verändert der entfernt werden können, und dass überprüft und letterei.de Pstdienste GmbH Grß-Gerau Telefn: / inf@letterei.de Kreissparkasse Grß-Gerau Seite 5/6

6 festgestellt werden kann, an welche Stellen eine Übermittlung persnenbezgener Daten durch Einrichtungen zur Datenübertragung vrgesehen ist: Verschlüsselte SSL-Übertragung (2048Bit) Verschlüsselte- bzw. passwrtgeschützte Dateien Kntrllierte und sachgemäße Vernichtung der Datenträger und der Fehldrucke 5. Eingabekntrlle Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, b und vn wem persnenbezgene Daten in DV-Systeme eingegeben, verändert der entfernt wrden sind: Elektrnisches Lgbuch Adressdaten werden nur in Kpie verarbeitet, Originale bleiben erhalten 6. Auftragskntrlle Maßnahmen, die gewährleisten, dass die Auftragsdatenverarbeitung weisungsgemäß erflgt und die Kmpetenzen zwischen Auftraggeber und Auftragnehmer abgegrenzt werden: Erfassung der Auftragsdaten in internem Kundenverwaltungssystem Frmalisierte Auftragserteilung (Auftragsfrmular) Auf Wunsch des Auftraggebers werden Krrekturabzüge gefertigt Bei nlinebrief24.de: Elektrnisches Sendungsprtkll 7. Verfügbarkeitskntrlle Maßnahmen, die gewährleisten, dass persnenbezgene Daten gegen zufällige Zerstörung der Verlust geschützt sind: Sicherungsverfahren RAID 6 Zusätzlich kmplette Spiegelung der Daten Externe Aufbewahrung der Backups (verschlüsselt) USV, damit bei Strmausfall nicht gespeicherte Daten erhalten bleiben Firewall und permanenter Virenschutz 8. Trennungskntrlle Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhbene Daten getrennt verarbeitet werden können: Speicherung der übermittelten Daten in getrennten, lgischen Auftragsrdnern Dazugehörige Aufträge erhalten intern eigene Auftragsnummern zwecks Zurdnung Bei nlinebrief24.de erhält jede einzelne Sendung eine einmalige Auftragsnummer und einen entsprechenden Datamatrixcde Denny Kunkel letterei.de Pstdienste GmbH Geschäftsführer Pstlizenz für die Bundesrepublik Deutschland Bundesnetzagentur, Bnn Lizenz-Nr. P 08/3438 letterei.de Pstdienste GmbH Grß-Gerau Telefn: / inf@letterei.de Kreissparkasse Grß-Gerau Seite 6/6