Vertrag zur Auftragsdatenverarbeitung. (bzgl. der Messung von Online-Angeboten nach dem SZM-Verfahren)

Transkript

1 Vertrag zur Auftragsdatenverarbeitung (bzgl. der Messung von Online-Angeboten nach dem SZM-Verfahren) Zwischen INFOnline GmbH Forum Bonn Nord Brühler Straße Bonn - im nachfolgenden INFOnline oder Auftragnehmer genannt - und Bitte hier Firmenstempel einfügen - im nachfolgenden Kunde oder Auftraggeber genannt - Ich habe bereits ein oder mehrere Online-Angebote bei der INFOnline GmbH zur Messung angemeldet; meine Kundennummer lautet D. Ich bin Neukunde und habe daher noch keine Kundennummer. Mit meiner Unterschrift bestätige ich den nachfolgenden Vertrag zur Auftragsdatenverarbeitung in der unten angegebenen Version. Bonn, Ort, Datum Unterschrift INFOnline Unterschrift Kunde Dr. Christof Rieck Name in Klarschrift Name in Klarschrift INFOnline GmbH Dr. Christof Rieck / Martin Zorn INFOnline_ADV_2.0.doc Version: Seite 1

2 1 Gegenstand und Dauer des Auftrags ( 11 Abs. 2 S. 1 Nr. 1 BDSG) Umfang, Art und Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen ( 11 Abs. 2 S. 1 Nr. 2 BDSG) Technisch-organisatorische Maßnahmen ( 11 Abs. 1 S. 2 Nr. 3 BDSG) Berichtigung, Sperrung und Löschung von Daten ( 11 Abs. 2 S. 1 Nr. 4 BDSG) Pflichten des Auftragnehmers ( 11 Abs. 2 S. 1 Nr. 5 BDSG) Unterauftragsverhältnisse ( 11 Abs. 2 S. 1 Nr. 6 BDSG) Kontrollrechte des Auftraggebers ( 11 Abs. 2 S. 1 Nr. 7 BDSG) Mitteilungspflichten bei Verstößen des Auftragnehmers oder bei ihm beschäf-tigter Personen gegen Datenschutzvorschriften oder gegen den Auftrag ( 11 Abs. 2 S. 1 Nr. 8 BDSG) Weisungsbefugnisse des Auftraggebers ( 11 Abs. 2 S. 1 Nr. 9 BDSG) Löschung von Daten und Rückgabe überlassener Datenträger ( 11 Abs. 2 S. 1 Nr. 10 BDSG)... 7 INFOnline_ADV_2.0.doc Version: Seite 2

3 1 Gegenstand und Dauer des Auftrags ( 11 Abs. 2 S. 1 Nr. 1 BDSG) 1.1 Gegenstand des Auftrags ist die Anonymisierung von Messdaten, insbesondere der IP-Adresse, im Rahmen der Nutzungsmessung von Webseiten, Smartphone-Applikationen und anderen Internetdiensten der vom Auftraggeber betriebenen Onlinedienste. 1.2 Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit der Leistungsvereinbarung (Kundenvertrag). 2 Umfang, Art und Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen ( 11 Abs. 2 S. 1 Nr. 2 BDSG) 2.1 Die Nutzungsmessung dient zur Zählung und Weitergabe anonymisierter Daten der mittels Meßverfahren erfassten Zugriffe auf die vom Auftraggeber betriebenen Onlinedienste an INFOnline. Im Rahmen des Verarbeitungsprozesses werden die in der Übersicht der erhobenen Daten ( aufgeführten Messdaten durch den Auftragnehmer erhoben und im Rahmen des Messverfahrens und der weiteren Verarbeitung anonymisiert. Die Anonymisierung der auf dem Client bzw. Endgerät des Webseitenbesuchers erhobenen Messdaten erfolgt im Client bzw. im Endgerät des Webseitenbesuchers. Die anonymisierten Messdaten werden im Rahmen des Verarbeitungsprozesses an INFOnline übertragen. Die mit den anonymisierten Messdaten erfasste IP-Adresse des Clients bzw. Endgerätes des Webseitenbesuchers wird nach der Erhebung mittels datenschutzkonformer Kürzung (IPv4: um 8 bit) anonymisiert. Auf Basis dieses Anonymisierungsprozesses wird dem Auftraggeber im Nachgang eine Übersicht über die erfolgten Webseitenzugriffe zur Verfügung gestellt. Die Art und Umfang der Erhebung, Verarbeitung und Nutzung von Daten durch den Auftragnehmer für den Auftraggeber ergibt sich aus dem Datenschutz und IT-Sicherheitskonzept zum Messverfahren, das dem Auftraggeber im Kundenbereich in der jeweils aktuellen Fassung zur Verfügung gestellt wird ( Das Meßverfahren unterliegt dem technischen Fortschritt und der Weiterentwicklung. Der Auftraggeber wird rechtzeitig über technisch bedingte Änderungen der Art und Umfang der Erhebung, Verarbeitung und Nutzung von Daten informiert. 2.2 Art der Daten Gegenstand der Erhebung sind die folgenden Daten, die unter Umständen einen Bezug zu einer natürlichen Person zulassen könnten: IP-Adresse weitere Daten in Abhängigkeit zur IP-Adresse und Client bzw. Endgerät des Webseitenbesuchers Alle weiteren Daten, die in Abhängigkeit zur IP-Adresse oder zum Client bzw. Endgerät stehen, verlieren mittels hashen der personenbeziehbaren Messdaten (IMEI, Browser-Fingerprint, Geräte-ID, etc.) ihren u.u. vorhandenen Bezug. Das auf dem Client bzw. Endgerät des Webseitenbesuchers angewandte Hashverfahren ergibt sich aus der Übersicht der erhobenen Daten ( Weiterhin wird mittels Anonymisierung der IP- Adresse der u.u. vorhandenen Bezug zu einer natürlichen Person zerstört. INFOnline_ADV_2.0.doc Version: Seite 3

4 2.3 Kreis der Betroffenen Der Kreis der durch den Umgang mit ihren Daten im Rahmen dieses Auftrags Betroffenen umfasst: Internetnutzer der von der Zählung erfassten Online-Angebote (auch Smartphone-Applikationen u.a. bei Teilnahme) des Auftraggebers. 3 Technisch-organisatorische Maßnahmen ( 11 Abs. 1 S. 2 Nr. 3 BDSG) 3.1 Der Auftragnehmer beachtet die Grundsätze ordnungsgemäßer Speicherbuchführung und gewährleistet die im Rahmen der ordnungsgemäßen Abwicklung des Auftrags erforderlichen technischen und organisatorischen Maßnahmen gem. 9 BDSG und Anlage. Die vereinbarten technischen und organisatorischen Maßnahmen gemäß 9 BDSG und Anlage ergeben sich aus dem Datenschutz und IT-Sicherheitskonzept zum Messverfahren, das dem Auftraggeber im Kundenbereich (in der jeweils aktuellen Fassung zur Verfügung gestellt wird ( 3.2 Der Auftragnehmer ermöglicht und unterstützt die Prüfung der Umsetzung der vereinbarten Maßnahmen vor Beginn sowie während der Verarbeitung durch den Auftraggeber. Hierzu steht dem Auftraggeber jederzeit das aktuelle Datenschutz- und IT-Sicherheitskonzept auf der Webseite von INFOnline zur Verfügung Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren. Der Auftragnehmer hat auf Anforderung die Angaben nach 4g Abs. 2 Satz 1 BDSG dem Auftraggeber zur Verfügung zu stellen. 4 Berichtigung, Sperrung und Löschung von Daten ( 11 Abs. 2 S. 1 Nr. 4 BDSG) 4.1 Die Rechte der durch den Datenumgang beim Auftragnehmer betroffenen Personen insbesondere auf Berichtigung, Löschung und Sperrung sind gegenüber dem Auftraggeber geltend zu machen. Er ist allein verantwortlich für die Wahrung dieser Rechte. 4.2 Der Auftragnehmer ist verpflichtet, im Rahmen seiner Tätigkeit für den Auftraggeber an ihn gerichtete Ersuchen Betroffener zur sachgerechten Bearbeitung unverzüglich an den Auftraggeber weiterzuleiten. Er ist nicht berechtigt, diese Ersuchen ohne Abstimmung mit dem Auftraggeber selbständig zu bescheiden. 4.3 Der Auftragnehmer hat den Auftraggeber bei der Umsetzung der Rechte der Betroffenen insbesondere im Hinblick auf Berichtigung, Sperrung und Löschung, Benachrichtigung und Auskunftserteilung im Rahmen seiner Möglichkeiten zu unterstützen. 5 Pflichten des Auftragnehmers ( 11 Abs. 2 S. 1 Nr. 5 BDSG) 5.1 Der Auftragnehmer hat bezogen auf diesen Auftrag insbesondere folgende Pflichten gemäß 11 Abs. 4 BDSG: Schriftliche Bestellung eines Datenschutzbeauftragten, der seine Tätigkeit gemäß 4f, 4g BDSG ausüben kann. Dessen Kontaktdaten werden dem Auftraggeber auf Anforderung zum Zweck der direkten Kontaktaufnahme mitgeteilt. Die Wahrung des Datengeheimnisses entsprechend 5 BDSG. Alle Personen, die auftragsgemäß auf die unter Punkt 2.2 aufgeführten Daten des Auftraggebers zugreifen können, müssen auf das Datengeheimnis verpflichtet und über die sich aus diesem Auftrag ergebenden besonderen Datenschutzpflichten sowie die bestehende Weisungs- bzw. Zweckbindung belehrt werden. Die Umsetzung und Einhaltung aller für diesen Auftrag notwendigen technischen und organisatorischen Maßnahmen entsprechend 9 BDSG und Anlage. INFOnline_ADV_2.0.doc Version: Seite 4

5 Die unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach 38 BDSG. Dies gilt auch, soweit eine zuständige Behörde nach 43, 44 BDSG beim Auftragnehmer ermittelt. Die Durchführung der Auftragskontrolle mittels Prüfungen durch den Auftragnehmer im Hinblick auf die Vertragsausführung bzw. -erfüllung, insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags. 6 Unterauftragsverhältnisse ( 11 Abs. 2 S. 1 Nr. 6 BDSG) 6.1 Der Auftragnehmer bedient sich zur Vertragserfüllung dem folgenden Unterauftragnehmer: Teilnahme an der Messung über die Domain ivwbox.de, SZM-Tag Version 1.5: spring GmbH & Co. KG, Am Saaraltarm 1, Saarlouis: Entwicklerfirma der SZM-Boxen und zuständig für die Wartung der Applikation über Fernzugriff. Teilnahme an der Messung über die Domain ioam.de, SZM-Tag Version 2.0 & INFOnline- Librarys zur Messung von Applikationen: Es werden derzeit keine Unterauftragnehmer eingesetzt. 6.2 Bei der Unterbeauftragung sind dem Auftraggeber Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung und des 11 BDSG i.v.m. Nr. 6 der Anlage zu 9 BDSG beim Unterauftragnehmer einzuräumen. Dies umfasst auch das Recht des Auftraggebers, vom Auftragnehmer auf schriftliche Anforderung Auskunft über den wesentlichen Vertragsinhalt und die Umsetzung der datenschutzrelevanten Verpflichtungen im Unterauftragsverhältnis, erforderlichenfalls durch Einsicht in die relevanten Vertragsunterlagen, zu erhalten. Der Auftragnehmer führt die erforderlichen Kontrollen im Sinne des 11 Abs. 2 Satz 4 BDSG für den Auftraggeber durch. Der Auftragnehmer stellt dem Auftraggeber auf Anforderung die aktuellen Prüfprotokolle zur Verfügung. 6.3 Die Einschaltung von weiteren Unterauftragnehmern ist grundsätzlich nur mit schriftlicher Zustimmung des Auftraggebers gestattet. Ohne schriftliche Zustimmung kann der Auftragnehmer zur Vertragsdurchführung unter Wahrung seiner unter Punkt 5 erläuterten Pflicht zur Auftragskontrolle andere Unterauftragnehmer mit der gesetzlich gebotenen Sorgfalt einsetzen, wenn er dies dem Auftraggeber vor Beginn der Verarbeitung oder Nutzung mitteilt. 6.4 Nicht als Unterauftragsverhältnis im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z.b. Telekommunikationsleistungen, Benutzerservice, Reinigungskräfte, Prüfer oder die Entsorgung von Datenträgern sofern diese keine personenbeziehbaren Daten enthalten. 7 Kontrollrechte des Auftraggebers ( 11 Abs. 2 S. 1 Nr. 7 BDSG) 7.1 Die in Nr. 6 der Anlage zu 9 BDSG vorgesehene Auftragskontrolle im Rahmen der vorliegenden Auftragsdatenverarbeitung wird durch die Benennung einer neutralen Prüfinstanz ermöglicht. Die Ergebnisse der jährlich beim Auftragnehmer durchzuführenden Kontrolle werden im Kundenbereich ( in der jeweils aktuellen Fassung veröffentlicht. Der Auftraggeber hat das Recht, sich durch eigene Prüfungen, die in der Regel rechtzeitig anzumelden sind, selbst von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die zur Wahrung seiner bei der Verarbeitung der oben genannten Daten bestehende Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und Nachweise zu führen. Dies gilt auch, soweit der Auftragnehmer die Kontrolle seiner Unterauftragnehmer für den Auftraggeber durchführt. INFOnline_ADV_2.0.doc Version: Seite 5

6 7.3 Der der Auftragnehmer weist dem Auftraggeber auf Anfrage die Umsetzung der technischen und organisatorischen Maßnahmen gemäß 9 BDSG und der Anlage nach. Dabei kann der Nachweis der Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, auch durch Vorlage eines aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z.b. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.b. nach BSI-Grundschutz) erbracht werden. 8 Mitteilungspflichten bei Verstößen des Auftragnehmers oder bei ihm beschäftigter Personen gegen Datenschutzvorschriften oder gegen den Auftrag ( 11 Abs. 2 S. 1 Nr. 8 BDSG) 8.1 Stellt der Auftragnehmer fest, dass die bei ihm gespeicherten auftragsrelevanten Daten des Auftraggebers unrechtmäßig übermittelt oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, hat er dies ohne Ansehen auf die Verursachung unverzüglich dem Auftraggeber mitzuteilen. 8.2 Dies gilt auch bei schwerwiegenden Störungen des Betriebsablaufs (z.b. längerer Ausfall des Mess- Server), beim Verdacht auf sonstige Verletzungen gegen Vorschriften zum Schutz personenbezogener Daten oder anderen Unregelmäßigkeiten beim Umgang mit den relevanten Daten des Auftraggebers. 8.3 Der Auftragnehmer hat im Benehmen mit dem Auftraggeber angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen. Soweit den Auftraggeber Pflichten nach 42a BDSG treffen, hat der Auftragnehmer ihn hierbei zu unterstützen. 9 Weisungsbefugnisse des Auftraggebers ( 11 Abs. 2 S. 1 Nr. 9 BDSG) 9.1 Für die Beurteilung der Zulässigkeit der Erhebung, Verarbeitung oder Nutzung sowie für die Wahrung der Rechte der Betroffenen insbesondere nach 6, 7 und 8 BDSG ist allein der Auftraggeber verantwortlich ( 11 Abs. 1 BDSG). 9.2 Ziffer 9.1 gilt auch für den Einsatz und Einbindung folgender datenschutzbezogener technischer Maßnahmen zwecks nutzerseitiger Einwilligung oder Widerruf der Teilnahme an der Messung des Besuchs von Onlineangeboten: - Einsatz eines optout-cookies 9.3 Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen. Der Auftraggeber ist berechtigt, Weisungen über Art und Umfang der Datenverarbeitung im Hinblick auf die Umsetzung von Datenschutzanforderungen zu erteilen. Die Weisungen bedürfen der Textform. 9.4 Soweit durch eine diesbezügliche Weisung der Gegenstand der Leistungserbringung, insbesondere der Betrieb des SZM nach Maßgabe der einheitlichen Prüfkriterien der IVW betroffen ist, ist der Auftragnehmer berechtigt, im Benehmen mit dem Auftraggeber die Weisung oder die Leistungserbringung auszusetzen. Die Aussetzung erfolgt nur solange, bis ihre Umsetzung ohne Auswirkungen auf den Gegenstand der Leistungserbringung, insbesondere auf den Betrieb des SZM nach Maßgabe der einheitlichen Prüfkriterien der IVW erfolgen kann. Ist den Parteien eine Umsetzung der Weisung ohne Auswirkungen auf den Gegenstand der Leistungserbringung, insbesondere bei Gefährdung des Betriebs des SZM nach Maßgabe einheitlicher Prüfkriterien nicht möglich, steht ihnen ein Sonderkündigungsrecht zu. 9.5 Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen das Bundesdatenschutzgesetz oder andere Vorschriften über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Er ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird. Eine materiell rechtliche Prüfung steht dem Auftragnehmer nicht zu. INFOnline_ADV_2.0.doc Version: Seite 6

7 9.6 Der Auftragnehmer verwendet die personenbezogenen Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben, wenn er hierzu nicht vom Auftraggeber beauftragt wurde. Kopien und Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind. 10 Löschung von Daten und Rückgabe überlassener Datenträger ( 11 Abs. 2 S. 1 Nr. 10 BDSG) 10.1 Nach Abschluss der vertraglichen Arbeiten oder früher nach Aufforderung durch den Auftraggeber spätestens mit Beendigung der Leistungsvereinbarung hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellten Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen und einen Personenbezug zulassen könnten, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial Zu einem Datenträgeraustausch zwischen den Beteiligten dieser Auftragsdatenverarbeitung kommt es nicht. Insoweit ist eine Rückgabe hier nicht zu regeln Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben. Dies gilt auch, soweit nach den Kriterien der IVW e.v. oder der AGOF e.v. zum SZM über das Vertragsende hinausgehende Aufbewahrungspflichten bestehen. In diesem Fall sperrt der Auftragnehmer diese Daten für diese Zwecke bis zum Fristablauf. Nach Fristablauf löscht der Auftragnehmer diese Daten unaufgefordert und erbringt den Nachweis über die erfolgreiche Löschung auf Anforderung gegenüber dem Auftraggeber Die im Verfahren erhobenen gekürzten IP-Adressen werden zum Zwecke der technischen Wartung und Ausschluss des Misbrauchs der Zählmechanik maximal 60 Tage aufbewahrt und anschließend gelöscht. INFOnline_ADV_2.0.doc Version: Seite 7