Vereinbarung zum Datenschutz und Datensicherheit im Auftragsverhältnis nach 11 BDSG

Transkript

1 Vereinbarung zum Datenschutz und Datensicherheit im Auftragsverhältnis nach 11 BDSG zwischen dem Auftraggeber (AG) und WVD Dialog Marketing GmbH onlinepost24 Heinrich-Lorenz-Straße Chemnitz - nachstehend Auftragnehmer (AN) genannt I. Gegenstand und Dauer des Auftrags 1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. 2. Der Auftrag umfasst Folgendes: Gegenstand des Auftrages Drucken, Verarbeiten und Posteinlieferung von personalisierten Postsendungen. Dauer des Auftrags Der Vertrag wir auf unbestimmte Zeit geschlossen und ist jederzeit kündbar. Umfang, Art und Zweck der Datenverarbeitung Personalisieren von Briefsendungen Art der Daten Name, Anschrift und persönliche Daten vom Empfänger II. Ort der Verarbeitung Die Verarbeitung und Nutzung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der 4b, 4c BDSG erfüllt sind. III. Technisch-organisatorische Maßnahmen Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben. Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage des Auftrags. Soweit die Prüfung / ein Audit des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.

2 Insgesamt handelt es sich bei den zu treffenden Maßnahmen um nicht auftragsspezifische Maßnahmen hinsichtlich der Organisationskontrolle, Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle sowie des Trennungsgebots, sowie andererseits um auftragsspezifische Maßnahmen, insbesondere im Hinblick auf die Art des Datenaustauschs / Bereitstellung von Daten, Art / Umstände der Verarbeitung / der Datenhaltung sowie Art / Umstände beim Output / Datenversand. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren. Der Auftragnehmer hat auf Anforderung die Angaben nach 4g Abs. 2 Satz 1 BDSG dem Auftraggeber zur Verfügung zu stellen. IV. Berichtigung, Sperrung und Löschung von Daten Der Auftragnehmer hat nur nach Weisung des Auftraggebers die Daten, die im Auftrag verarbeitet werden, zu berichtigen, zu löschen oder zu sperren. Ist der AN zur Vornahme solcher Maßnahmen aufgrund gesetzlicher Verpflichtung oder behördlicher bzw. gerichtlicher Anordnung verpflichtet, hat er den AG hierüber unverzüglich zu informieren. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten. V. Kontrollen und sonstige Pflichten des Auftragnehmers Der AN hat die nach 11 Abs. 4 BDSG ihm obliegenden Pflichten zu erfüllen insbesondere: Schriftliche bestellt ist der Datenschutzbeauftragte Norbert Rauch, Firma atarax GmbH & Co. KG Die Wahrung des Datengeheimnisses entsprechend 5 BDSG. Alle Personen, die auftragsgemäß auf personenbezogene Daten des Auftraggebers zugreifen können, sind auf das Datengeheimnis verpflichtet und über die sich aus diesem Auftrag ergebenden besonderen Datenschutzpflichten sowie die bestehende Weisungs- bzw. Zweckbindung belehrt werden. Der AG ist über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach 38 BDSG unverzüglich zu unterrichten. Dies gilt auch, soweit eine zuständige Behörde nach 43, 44 BDSG beim Auftragnehmer ermittelt. VI. Unterauftragsverhältnisse Die Vereinbarung von Unterauftragsverhältnissen ist, sofern nichts anderes vereinbart wurde, unzulässig. Ist es dem AN gestattet, Unteraufträge zu erteilen, so hat er dabei solche Vereinbarungen zu Grunde zu legen, die den Vertragsbedingungen zwischen ihm und dem AG entsprechen und die dem AG und insbesondere dessen Datenschutzbeauftragten Auskunfts- und Überprüfungsrechte in Bezug auf getroffene Datensicherungsvorkehrungen und weisungsgemäße Tätigkeiten des AN einräumen.

3 VII. Kontrollrechte des Auftraggebers Der Auftraggeber hat das Recht, die in Nr. 6 der Anlage zu 9 BDSG vorgesehene Auftragskontrolle im Benehmen mit dem Auftragnehmer durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen. Im Hinblick auf die Kontrollverpflichtungen des Auftraggebers nach 11 Abs. 2 Satz 4 BDSG vor Beginn der Datenverarbeitung und während der Laufzeit des Auftrags stellt der Auftragnehmer sicher, dass sich der Auftraggeber von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen überzeugen kann. Hierzu weist der Auftragnehmer dem Auftraggeber auf Anfrage die Umsetzung der technischen und organisatorischen Maßnahmen gemäß 9 BDSG und der Anlage nach. Dabei kann der Nachweis der Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, auch durch Vorlage eines aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z.b. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.b. nach BSI-Grundschutz) erbracht werden. VIII. Mitteilung bei Verstößen des Auftragnehmers Der AN unterrichtet den AG unverzüglich bei begründetem Verdacht auf Datenschutzverletzungen, insbesondere Umstände nach 42a BDSG, und bei Prüfungen durch die Aufsichtsbehörde, wenn diese sich auf Daten des AG beziehen. IX. Weisungsbefugnis des Auftraggebers Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Auftraggebers (vgl. 11 Abs. 3 Satz 1 BDSG). Die Weisungen sollen schriftlich erfolgen. Auskünfte an Dritte oder den Betroffenen über gespeicherte Daten erteilt ausschließlich der AG. Der AG behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, das er durch Einzelanweisungen konkretisieren kann. X. Löschung von Daten und Rückgabe von Datenträgern Der AN ist verpflichtet, spätestens bei Beendigung des Vertrages innerhalb einer angemessenen Frist alle ihm übergebenen Unterlagen zurückzugeben oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten und regelmäßig den Nachweis der ordnungsgemäßen Vernichtung bzw. Löschung zu führen.

4 Protokoll technisch organisatorische Maßnahmen des Auftragsnehmers Zutrittskontrolle Das Objekt und die Datenverarbeitungsanlagen sind gegen unberechtigten Zutritt unbefugter Dritter durch technische Sicherheitseinrichtungen gesichert. Der Zutritt für die einzelnen Mitarbeiter des Auftragnehmers Festlegung befugter Personen Sicherung durch einen Objektschutz Schlüsselregelung Regelung für Firmenfremde Anwesenheitsaufzeichnungen Türsicherung (elektrischer Türschließer, Chipkartenleser) Zugangskontrolle Das unbefugte Benutzen von Datenverarbeitungssystemen ist durch einen umfassenden Passwortschutz gemäß den Empfehlungen des BSI gesichert. Im Einzelnen werden folgende Maßnahmen zugesichert: Regelung der Benutzerberechtigung Verpflichtung auf das Datengeheimnis nach 5 BDSG Einsatz von Verschlüsselungsroutinen für Dateien Zugriffskontrolle Für alle automatisierten Verarbeitungen des AN ist ein Berechtigungskonzept erstellt und implementiert, dass ausschließlich den berechtigten Zugriff auf Daten ermöglicht. Weitergabekontrolle Eine Weitergabe von Daten unserer Kunden ist unseren Mitarbeitern generell untersagt. Der Datenaustausch mit unseren Auftraggebern erfolgt gemäß den Empfehlungen des BSI. Im Einzelnen werden folgende Maßnahmen zugesichert: Dokumentation der Abruf- und Übermittlungsprogramme Verpackungs- und Versandvorschriften (Versandart z.b. in verschlossenen Behältnissen) Verschlüsselung Eingabekontrolle Eingaben, Veränderungen und Löschung von Daten werden in den Datenverarbeitungsanlagen des AN so protokolliert, dass Prüfungshandlungen ermöglicht werden.

5 Auftragskontrolle Die Daten des Auftraggebers werden ausschließlich gemäß den Weisungen des Auftragsgebers verarbeitet. Im Einzelnen werden folgende Maßnahmen zugesichert. Sorgfältige Auswahl der Sub-Auftragnehmer Vereinbarung der Datenschutzmaßnahmen in mindestens gleichem Umfang wie mit dem eigenen Auftraggeber Abgrenzung der Kompetenzen und Pflichten zwischen Sub-Auftragnehmer und Auftraggeber Formalisierung der Auftragserteilung Kontrolle der Arbeitsergebnisse Kontrolle des Auftragsnehmers bezüglich Einhaltung des Vertrages Verfügbarkeitskontrolle Die Daten werden täglich gesichert, die Sicherung der Daten erfolgt gemäß den Empfehlungen des BSI. Datentrennung Die Trennung der Daten der Mandanten des AN wird systemseitig realisiert.