Stabsstelle Datenschutz. Mustervereinbarung zur Datenverarbeitung im Auftrag einer nicht öffentlichen Stelle...

Transkript

1 Stabsstelle Datenschutz Mustervereinbarung zur Datenverarbeitung im Auftrag einer nicht öffentlichen Stelle...

2 Vereinbarung über die Datenverarbeitung im Auftrag (personenbezogene Daten) Zwischen.., vertreten durch Herrn.. (im Folgenden Auftraggeber genannt), und der. vertreten durch die (im Folgenden Auftragnehmer genannt)

3 Seite: 1 1 Vertragsgegenstand (1) Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers gemäß der Anlage des Verfahrensverzeichnisses. (Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen ist genau zu beschreiben). (2) Die Datenverarbeitung findet an folgenden Orten statt: (Hier konkrete Adresse/n) 2 Bereitstellung von Daten durch den Auftraggeber Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Im Wesentlichen umfasst der Auftrag des Auftraggebers die Datenverarbeitungsphase Speicherung der Daten, die in den verschiedenen Fachverfahren verarbeitet werden. (Hier zum Beispiel konkrete Ausprägungen bei Rechenzentrum im Rahmen der Benutzerverwaltung beschreiben) Eine Übermittlung dieser personenbezogenen Daten durch den Auftragnehmer erfolgt lediglich zum internen Gebrauch. Eine Übermittlung dieser Daten an Dritte durch den Auftragnehmer bedarf der schriftlichen Beauftragung durch den Auftraggeber. 3 Datenschutzbestimmungen Der Auftragnehmer unterwirft sich bei der Verarbeitung von Daten denselben Anforderungen, die für den Auftraggeber gelten. Er hat insbesondere die einschlägigen Vorschriften des Bundesdatenschutzgesetzes (BDSG), zu beachten. 4 Rechte und Pflichten des Auftraggebers (1) Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich. (2) Der Auftraggeber hat das Recht, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Er ist jederzeit berechtigt, im Rahmen der Beauftragung Einzelweisungen zum Schutz personenbezogener Daten zu

4 Seite: 2 erteilen und die Einhaltung der Vorschriften über den Datenschutz und der von ihm getroffenen Weisungen zu überprüfen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen. Weisungsberechtigte Personen des Auftraggebers sind: (hier eher auf Funktionen als auf natürliche Personen abstellen) Weisungsempfänger beim Auftragnehmer sind: (siehe oben) Bei einem Wechsel oder einer längerfristigen Verhinderung einer Ansprechperson ist dem Vertragspartner unverzüglich schriftlich eine neue Ansprechperson mitzuteilen. (3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt. (4) Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers im Rahmen der Gesetze vertraulich zu behandeln. (5) Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Die Ergebnisse sind zu dokumentieren. (6) Der Auftraggeber ist für die Sicherheit der Unterlagen auf dem Transportweg zum Auftragnehmer verantwortlich und bestimmt die Art und den Umfang der technischen und organisatorischen Sicherheitsmaßnahmen (z.b. Verschlüsselung).

5 Seite: 3 (7) Der Auftraggeber legt die technischen und organisatorischen Maßnahmen nach 9 / Anlage BDSG, die bei der Verarbeitung einzuhalten sind, wie folgt fest: Festlegung von speziellen Sicherheitsmaßnahmen, insbesondere: Verwendung ausreichend ausgetesteter DV-Programme Berechtigungs, Zugriffs und Zugangskonzepte Maßnahmen zur Vollständigkeitskontrolle Einsatz von speziellen Sicherheitsmaßnahmen nach dem aktuellen Stand der Technik zugriffssichere Aufbewahrung und Speicherung von Daten Siehe hierzu 5 und die beigefügte Anlage 5 Pflichten des Auftragnehmers (1) Die Datenverarbeitung im Auftrag ist grundsätzlich von dem Auftragnehmer selbst zu erbringen. Die Beauftragung Dritter ist nur mit vorheriger schriftlicher Zustimmung des Auftraggebers zulässig. (2) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers. (3) Der Auftragnehmer sichert die datenschutzkonforme Verarbeitung von personenbezogenen Daten und die vertragsmäßige Abwicklung aller vereinbarten Maßnahmen zu. Er stellt sicher, dass die verarbeiteten Daten von sonstigen Datenbeständen getrennt erstellt werden. (4) Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber jederzeit berechtigt ist, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme. ( 5) Der Auftragnehmer sichert in seinem Verantwortungsbereich die Umsetzung und Einhaltung der vereinbarten allgemeinen und technischen und organisatorischen Maßnahmen entsprechend 9 BDSG bzw. Anlage zu. Insbesondere wird der Auftragnehmer seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dazu sind die einzelnen Maßnahmen zu beschreiben,

6 Seite: 4 insbesondere Maßnahmen nach Satz 2 Nummer 2 bis 4 der Anlage zu 9 BDSG (die Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren). (6) Der Auftragnehmer unterrichtet den Auftraggeber umgehend über technische und organisatorische Unzulänglichkeiten der Datensicherung und bei jeglichem Verdacht auf Datenschutzverletzungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten. Der Auftragnehmer gewährleistet eine Protokollierung der Systemleistungen, insbesondere wenn Dritte auf das DV-System des Auftragnehmers zugegriffen haben (Fernwartung). Bei Störungen im Betriebsablauf, etwa bei Hard- und Softwareaustausch, hat der Auftragnehmer zu gewährleisten, dass keine Daten des Auftraggebers an Dritte weitergegeben werden bzw. nur nach ausdrücklicher Rücksprache mit dem Auftraggeber. (7) Sicherungsmaßnahmen können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden. Wesentliche Änderungen sind schriftlich zu vereinbaren. (8) Soweit die beim Auftragnehmer getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht genügen, benachrichtigt er den Auftraggeber unverzüglich. (9) Die Verarbeitung von Daten in Privatwohnungen ist nur mit Zustimmung des Auftraggebers im Einzelfall gestattet. (10) Der Auftragnehmer ist verpflichtet bei der Wahrung des Auskunftsrechts eines Betroffenen im Sinne des Auftraggebers mitzuwirken (Unterstützung des Auftraggebers). (11) Sollte der Schutz personenbezogener Daten durch Maßnahmen Dritter, etwa durch Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer die Stadt unverzüglich vor Eintritt dieser Maßnahme zu verständigen. Das Eigentum des Auftraggebers (z. B. Datenträger, Arbeitskopien, Behältnisse) ist rechtzeitig zu kennzeichnen. 6 Verpflichtung zur Geheimhaltung (1) Der Auftragnehmer setzt für die auftragsgemäße Verarbeitung personenbezogener Daten nur Beschäftigte ein, die auf das Datengeheimnis ( 5 BDSG bzw.) verpflichtet wurden. (2) Auskünfte darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen.

7 Seite: 5 7 Zweckbindung Der Auftragnehmer verpflichtet sich, die Daten ausschließlich zu den in 1 und 2 genannten Zwecken zu verwenden, sie insbesondere nicht zu anderen Zwecken zu verarbeiten oder an Dritte zu übermitteln. 8 Löschung von Daten (1) Der Auftragnehmer verpflichtet sich, nach vorheriger schriftlicher Zustimmung des Auftraggebers, spätestens nach Beendigung des Vertragsverhältnisses sämtliche erhaltene Daten auf Datenträgern zu löschen und alle etwa noch verbliebenen Arbeitskopien und Arbeitsergebnisse im eigenen Besitz, die mit diesen personenbezogenen Daten verbunden sind, zu vernichten. Dies ist nach Beendigung der Arbeiten schriftlich dem Auftraggeber zu bestätigen. (2) Anfallendes Test- und Ausschussmaterial wird vom Auftragnehmer unter Verschluss gehalten, bis es entweder vom Auftragnehmer datenschutzgerecht vernichtet oder dem Auftraggeber übergeben wird. (3) Nicht mehr benötigte Unterlagen mit personenbezogenen Daten dürfen erst nach Weisung durch den Auftraggeber datenschutzgerecht vernichtet werden. 9 Kontrolle durch den Datenschutzbeauftragten vor Ort Der Auftragnehmer unterwirft sich im Rahmen der Auftragsdatenverarbeitung der Kontrolle der zuständigen Landesdatenschutzbeauftragten bzw. der zuständigen Aufsichtsbehörde und der/des betrieblichen oder behördlichen Datenschutzbeauftragten des Auftraggebers. Die Datenschutzbeauftragten des Auftraggebers und des Auftragnehmers wirken gemeinsam auf die Sicherstellung des Datenschutzes im Zusammenhang mit dem Auftragsverhältnis entsprechend 4g Abs.1 hin. 10 Schadensersatz Der Auftragnehmer stellt den Auftraggeber frei von Ansprüchen, nach Maßgabe der 7 BDSG, die ihr als datenverarbeitende Stelle in Durchführung dieses Vertrages durch den Auftragnehmer entstehen, soweit er diese zu vertreten hat. 11 Vertragsstrafe Bei Verstoß gegen die Abmachungen dieses Vertrages, insbesondere gegen die Einhaltung des Datenschutzes, wird eine Vertragsstrafe von... Euro vereinbart.

8 Seite: 6 Von der Vertragsstrafe bleiben darüber hinausgehende Rechte des Auftraggebers unberührt. 12 Laufzeit und Kündigung des Vertrages (1) Der Vertrag beginnt am: (2) Der Vertrag kann von beiden Vertragspartnern unter Einhaltung einer Kündigungsfrist von zwölf Monaten zum Ende eines Kalenderjahres gekündigt werden. Die Kündigung bedarf zu ihrer Wirksamkeit der Schriftform. (3) Dessen ungeachtet ist der Auftraggeber zu einer außerordentlichen fristlosen Kündigung des Vertrags aus wichtigem Grund berechtigt, insbesondere wenn der Auftragnehmer schwerwiegende Vertragsverletzungen begangen hat wie z.b. einem Verstoß gegen die datenschutzrechtlichen Bestimmungen. 13 Wirksamkeit der Vereinbarung Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. Änderungen des Vertrages bedürfen der Schriftform. Dies gilt auch für das Schriftformerfordernis selbst. (Bei Anlagen: Die Anlagen sind wesentliche Bestandteile des Vertrages) Ort, den Ort, den..