Vereinbarung zur Auftragsverarbeitung
zwischen
_____________________________________
Unternehmensbezeichnung, Firma
_____________________________________
Straße, Hausnummer
_____________________________________
PLZ, Stadt
- im Folgenden: Auftraggeber -
und
FUTRIS
Inh. Fabian Eschrich
Stollberger Str. 46
09119 Chemnitz
- im Folgenden: Auftragsverarbeiter –
schließen folgenden Vertrag:
1.
Allgemeine Bestimmungen und Auftragsgegenstand
1.1 Gegenstand des vorliegenden Vertrags ist die Verarbeitung
personenbezogener Daten im Auftrag durch den Auftragsverarbeiter (Art. 28
DSGVO). Inhalt des Auftrags, Kategorien betroffener Personen und Datenarten
sowie Zweck der Vereinbarung sind Anlage 1 zu entnehmen.
1.2 Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.
Er allein ist für Beurteilung der Zulässigkeit der
Datenverarbeitungsvorgänge nach Art. 6 DSGVO und die Wahrung der
Betroffenenrechte verantwortlich.
1.3 Die Verarbeitung der Daten durch den Auftragsverarbeiter findet
ausschließlich auf dem Gebiet der Bundesrepublik Deutschland, einem
Mitgliedsstaat der Europäischen Union oder einem Vertragsstaat des
EWR-Abkommens statt. Die Verarbeitung außerhalb dieser Staaten erfolgt nur
unter den Voraussetzungen von Kapitel 5 der DSGVO (Art. 44 ff.) und mit
vorheriger Zustimmung des Auftraggebers.
2.
Vertragslaufzeit und Kündigung
Die Vereinbarung beginnt mit dem Abschluss des Vertrags mit der o. g.
Kundennummer (Hauptvertrag) und endet mit Ablauf des Hauptvertrags. Sollte
eine Auftragsverarbeitung auch nach Beendigung des Hauptvertrags
stattfinden, gilt der vorliegende Vertrag für diese Verarbeitung fort.
3.
Weisungen des Auftraggebers
3.1 Dem Auftraggeber steht ein umfassendes Weisungsrecht in Bezug auf Art,
Umfang und Modalitäten der Datenverarbeitung ggü. dem Auftragsverarbeiter
zu. In dieser Rolle kann er insbesondere die unverzügliche Löschung,
Berichtigung, Sperrung oder Herausgabe der vertragsgegenständlichen Daten
verlangen. Der Auftragsverarbeiter ist verpflichtet, den Weisungen des
Auftraggebers Folge leisten, sofern keine berechtigten vertraglichen oder
gesetzlichen Interessen entgegenstehen.
3.2 Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, falls
er der Auffassung ist, dass eine Weisung des Auftraggebers gegen
gesetzliche Vorschriften verstößt. Wird eine Weisung erteilt, deren
Rechtmäßigkeit der Auftragsverarbeiter substantiiert anzweifelt, ist der
Auftragsverarbeiter berechtigt, deren Ausführung vorübergehend auszusetzen,
bis der Auftraggeber diese nochmals ausdrücklich bestätigt oder ändert.
Besteht die Möglichkeit, dass der Auftragsverarbeiter durch das Befolgen
der Weisung einem Haftungsrisiko ausgesetzt wird, kann die Durchführung der
Weisung bis zur Klärung der Haftung im Innenverhältnis ausgesetzt werden.
3.3 Weisungen sind grundsätzlich schriftlich oder in einem elektronischen
Format (z.B. per E-Mail) zu erteilen. Mündliche Weisung sind in begründeten
Einzelfällen zulässig und werden vom Auftraggeber unverzüglich schriftlich
oder in einem elektronischen Format bestätigt. In der Bestätigung ist
ausdrücklich zu begründen, warum keine schriftliche Weisung erfolgen
konnte. Der Auftragsverarbeiter hat Person, Datum und Uhrzeit der
mündlichen Weisung in angemessener Form zu protokollieren.
3.4 Der Auftraggeber benennt auf Verlangen des Auftragsverarbeiters eine
oder mehrere weisungsberechtigte Personen. Personelle Änderungen sind dem
Auftragsverarbeiter unverzüglich mitzuteilen.
3.5 Vorbehaltlich abweichender Vereinbarungen, kann der Auftragsverarbeiter
eine zusätzliche Vergütung für Mehraufwendungen verlangen, die ihm durch
die Weisungen des Auftraggebers entstehen.
4.
Kontrollbefugnisse des Auftraggebers
4.1 Der Auftraggeber ist berechtigt, die Einhaltung der gesetzlichen und
vertraglichen Vorschriften zum Datenschutz und zur Datensicherheit vor
Beginn der Datenverarbeitung und während der Vertragslaufzeit regelmäßig im
erforderlichen Umfang zu kontrollieren oder durch Dritte kontrollieren zu
lassen. Der Auftragsverarbeiter wird diese Kontrollen dulden und sie im
erforderlichen Maße unterstützen. Er wird dem Auftraggeber insbesondere die
für die Kontrollen relevanten Auskünfte vollständig und wahrheitsgemäß
erteilen, ihm die Einsichtnahme in die gespeicherten Daten und
Datenverarbeitungsprogramme/ -systeme gewähren sowie Vorort-Kontrollen
ermöglichen. Sofern der Auftraggeber der Verarbeitung der Daten außerhalb
der Geschäftsräume (z.B. Privatwohnung) zugestimmt hat, hat der
Auftragsverarbeiter dafür zu sorgen, dass der Auftraggeber auch diese Räume
zu Kontrollzwecken begehen darf.
4.2 Der Auftraggeber hat dafür zu sorgen, dass die Kontrollmaßnahmen
verhältnismäßig sind und den Betrieb des Auftragsverarbeiters nicht mehr
als erforderlich beeinträchtigen. Insbesondere sollen Vorortkontrollen
grundsätzlich zu den üblichen Geschäftszeiten und nach Terminvereinbarung
mit angemessener Vorlauffrist erfolgen, sofern der Kontrollzweck einer
vorherigen Ankündigung nicht widerspricht.
4.3 Die Ergebnisse der Kontrollen und Weisungen sind vom Auftraggeber in
geeigneter Weise zu protokollieren.
4.4 Vorbehaltlich abweichender Regelungen, kann der Auftragsverarbeiter
eine zusätzliche Vergütung für Mehraufwendungen verlangen, die ihm durch
die Kontrollmaßnahmen des Auftraggebers entstehen.
5.
Allgemeine Pflichten des Auftragsverarbeiters
5.1 Die Verarbeitung der vertragsgegenständlichen Daten durch den
Auftragsverarbeiter erfolgt ausschließlich auf Grundlage der vertraglichen
Vereinbarungen in Verbindung mit den ggf. erteilten Weisungen des
Auftraggebers. Eine hiervon abweichende Verarbeitung ist nur aufgrund
zwingender europäischer oder mitgliedsstaatlicher Rechtsvorschriften
zulässig (z.B. im Falle von Ermittlungen durch Strafverfolgungs- oder
Staatsschutzbehörden). Ist eine Verarbeitung aufgrund zwingenden Rechts
erforderlich,teilt der Auftragsverarbeiter dies dem Auftraggeber vor der
Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht
wegen eines wichtigen öffentlichen Interesses verbietet.
5.2 Der Auftragsverarbeiter hat bei der Auftragsdurchführung sämtliche
gesetzlichen Vorschriften einzuhalten. Er hat insbesondere die nach Art. 32
DSGVO notwendigen technischen und organisatorischen Maßnahmen
implementieren und das nach Art. 30 Abs. 2 DSGVO erforderliche Verzeichnis
von Verarbeitungstätigkeiten zu führen, soweit dies gesetzlich
vorgeschrieben ist.
5.3 Sofern der Auftragsverarbeiter nach der DSGVO oder sonstigen
gesetzlichen Vorschriften zur Benennung eines Datenschutzbeauftragten
verpflichtet ist, bestätigt er, dass er einen solchen in Einklang mit den
gesetzlichen Vorschriften ausgewählt hat und sichert dem Auftraggeber zu,
diesen unter Angabe seiner Kontaktdaten zu benennen (z.B. per E-Mail).
Änderungen und die aktuellen Kontaktdaten des Datenschutzbeauftragten sind
der Webseite des Auftragsverarbeiters zu entnehmen.
5.4 Der Auftraggeber gestattet dem Auftragsverarbeiter die
Datenverarbeitung außerhalb der Betriebsstätten des Auftragsverarbeiters
oder der Subunternehmer und / oder in Privatwohnungen (z.B. Fernzugriff
oder Homeoffice des Auftragsverarbeiters) vorzunehmen. Der
Auftragsverarbeiter hat hierbei sicherzustellen, dass nach Art. 32 DSGVO
erforderliche Schutzniveau nicht unterschritten wird.
5.5 Der Auftragsverarbeiter hat zu gewährleisten, dass sich die zur
Verarbeitung der personenbezogenen Daten befugten Personen zur
Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen
Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Vor der
Unterwerfung unter die Verschwiegenheitspflicht dürfen die betreffenden
Personen keinen Zugang zu den vom Auftraggeber überlassenen
personenbezogenen Daten erhalten.
5.6 Der Auftragsverarbeiter wird die Erfüllung seiner Pflichten regelmäßig
und selbstständig kontrollieren und in geeigneter Weise dokumentieren.
6.
Technische und organisatorische Maßnahmen
6.1 Der Auftragsverarbeiter hat geeignete technische und organisatorische
Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus festgelegt
und diese in Anlage 2 dieses Vertrags festgehalten. Die
dort beschriebenen Maßnahmen wurden unter Beachtung der Vorgaben nach Art.
32 DSGVO ausgewählt und mit dem Auftraggeber abgestimmt.
6.2 Der Auftragsverarbeiter wird die technischen und organisatorischen
Maßnahmen bei Bedarf und / oder anlassbezogen überprüfen und anpassen.
Erforderliche Anpassungen werden vom Auftragsverarbeiter dokumentiert und
dem Auftraggeber auf Nachfrage zur Verfügung gestellt. Wesentliche
Änderungen, durch die das Schutzniveau verringert werden könnte, sind vorab
mit dem Auftraggeber abzustimmen.
7.
Unterstützungspflichten des Auftragsverarbeiters
7.1 Der Auftragsverarbeiter wird den Auftraggeber gem. Art. 28 Abs. 3 lit.
e DSGVO bei dessen Pflichten zur Wahrung der Betroffenenrechte aus Kapitel
III, Art. 12 – 22 DSGVO unterstützen. Dies gilt insbesondere für die
Erteilung von Auskünften und die Löschung, Berichtigung oder Einschränkung
personenbezogener Daten. Die Reichweite der Unterstützungspflicht bestimmt
sich im Einzelfall unter Berücksichtigung der Art der Verarbeitung.
7.2 Der Auftragsverarbeiter wird den Auftraggeber ferner gem. Art. 28 Abs.
3 lit. f DSGVO bei dessen Pflichten nach Art. 32 – 36 DSGVO (insb.
Meldepflichten) unterstützen. Die Reichweite dieser Unterstützungspflicht
bestimmt sich im Einzelfall unter Berücksichtigung der Art der Verarbeitung
und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.
7.3 Vorbehaltlich abweichender Regelungen, kann der Auftragsverarbeiter
eine zusätzliche Vergütung für Mehraufwendungen verlangen, die ihm bei der
Durchführung der in dieser Ziffer genannten Unterstützungspflichten
entstehen.
8.
Einsatz von Unterauftragsverarbeitern (Subunternehmer)
8.1 Der Auftragsverarbeiter ist zum Einsatz von Unterauftragsverarbeitern
(Subunternehmern) berechtigt. Alle zum Zeitpunkt des Vertragsschlusses
bereits bestehenden Subunternehmerverhältnisse des Auftragsverarbeiters
sind diesem Vertrag abschließend in Anlage 3 beigefügt. Für
die in Anlage 3 aufgezählten Subunternehmer gilt die
Zustimmung mit Abschluss dieses Vertrags als erteilt.
8.2 Beabsichtigt der Auftragsverarbeiter den Einsatz weiterer
Subunternehmer, die Daten des Auftraggebers verarbeiten sollen, wird er
dies dem Auftraggeber rechtzeitig - spätestens jedoch zwei Wochen - vor
deren Einsatz in schriftlicher oder elektronischer Form anzeigen. Der
Auftraggeber hat nach dieser Mitteilung zwei Wochen Zeit, der Hinzuziehung
des / der Subunternehmer zu widersprechen. Erfolgt innerhalb dieser Frist
kein Widerspruch, gilt die Hinzuziehung des / der Subunternehmer(s) als
genehmigt. Im Falle eines Widerspruchs dürfen die betroffenen
Subunternehmer nicht eingesetzt werden. Widersprüche sind nur zulässig,
wenn der Auftraggeber begründete Anhaltspunkte dafür hat, dass durch den
Einsatz des Unterauftragnehmers die Datensicherheit oder der Datenschutz
eingeschränkt würde, die Einhaltung gesetzlicher oder vertraglicher
Bestimmungen gefährdet wäre und / oder sonstige berechtigte Interessen des
Auftraggebers entgegenstehen; die entsprechenden Verdachtsmomente sind dem
Widerspruch beizufügen.
8.3 Subunternehmer werden vom Auftragsverarbeiter unter Beachtung der
gesetzlichen und vertraglichen Vorgaben ausgewählt. Nebenleistungen, die
der Auftragsverarbeiter zur Ausübung seiner geschäftlichen Tätigkeit in
Anspruch nimmt, stellen keine Unterauftragsverhältnisse im Sinne des Art.
28 DSGVO dar. Nebentätigkeiten in diesem Sinne sind insbesondere
Telekommunikationsleistungen ohne konkreten Bezug zur Hauptleistung, Post-
und Transportdienstleistungen, Wartung und Benutzerservice sowie sonstige
Maßnahmen, die die Vertraulichkeit Integrität der Hard- und Software
sicherstellen sollen und keinen konkreten Bezug zur Hauptleistung
aufweisen. Der Auftragsverarbeiter wird jedoch auch bei diesen
Drittleistungen die Einhaltung der gesetzlichen Datenschutzstandards
(insbesondere durch entsprechende Vertraulichkeitsvereinbarungen)
sicherstellen.
8.4 Sämtliche Verträge zwischen Auftragsverarbeiter und
Unterauftragsverarbeiter (Subunternehmerverträge) müssen den Anforderungen
dieses Vertrags und den gesetzlichen Vorschriften über die Verarbeitung
personenbezogener Daten im Auftrag genügen; dies betrifft insbesondere die
Implementierung geeigneter technischer und organisatorischer Maßnahmen nach
Art. 32 DSGVO im Betrieb des Subunternehmers. Die Subunternehmerverträge
haben darüber hinaus sicherzustellen, dass die im vorliegenden Vertrag
vereinbarten Kontroll- und Weisungsbefugnisse durch den Auftraggeber in
gleicher Weise und in vollem Umfang auch gegenüber dem
Unterauftragsverarbeiter ausgeübt werden können. Der Auftragsverarbeiter
ist im Falle einer entsprechenden Aufforderung des Auftraggebers
verpflichtet, Auskunft über die datenschutzrechtlich relevanten
Verpflichtungen des Subunternehmers zu erteilen. Der Auftraggeber hat das
Recht einschlägige Vertragsunterlagen oder Kontroll- und
Aufsichtsergebnisse sowie entsprechende Dokumentationen, Protokolle und
Verzeichnisse des Auftragsverarbeiters einzusehen oder die Übermittlung
dieser Unterlagen in Kopie zu verlangen.
8.5 Der Auftragsverarbeiter ist für die Einhaltung der
Datenschutzbestimmungen durch die von ihm eingesetzten
Unterauftragsverarbeiter verantwortlich. Er haftet ggü. dem Auftraggeber
für die Einhaltung der gesetzlichen und vertraglichen Datenschutzpflichten.
8.6 Der Auftragsverarbeiter hat sich von seinen Unterauftragsverarbeitern
bestätigen zu lassen, dass diese – soweit gesetzlich vorgeschrieben – einen
Datenschutzbeauftragten benannt haben.
8.7 Die Beauftragung von Subunternehmern in Drittstaaten ist nur zulässig,
wenn die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO gegeben sind
und der Auftraggeber zugestimmt hat.
8.8 Die Einhaltung der in dieser Ziffer genannten Pflichten wird vom
Auftragsverarbeiter vor Vertragsschluss mit dem Subunternehmer und sodann
während der Vertragslaufzeit regelmäßig kontrolliert und dokumentiert.
9.
Mitteilungspflichten des Auftragsverarbeiters
9.1 Verstöße gegen diesen Vertrag, gegen die Weisungen des Auftraggebers
oder gegen sonstige datenschutzrechtliche Bestimmungen sind dem
Auftraggeber unverzüglich mitzuteilen; das gleiche gilt bei Vorliegen eines
entsprechenden begründeten Verdachts. Diese Pflicht gilt unabhängig davon,
ob der Verstoß vom Auftragsverarbeiter selbst, einer bei ihm angestellten
Person, einem Unterauftragsverarbeiter oder einer sonstigen Person, die er
zur Erfüllung seiner vertraglichen Pflichten eingesetzt hat, begangen
wurde.
9.2 Der Auftragsverarbeiter ist verpflichtet, den Auftraggeber bei der
Erfüllung seiner gesetzlichen Informationspflichten nach Art. 33 und 34
DSGVO zu unterstützen. Eigenständige Meldungen an Behörden oder Betroffene
nach Art. 33 und 34 DSGVO darf der Auftragsverarbeiter erst nach vorheriger
Weisung des Auftraggebers durchführen.
9.3 Ersucht ein Betroffener, eine Behörde oder ein sonstiger Dritter den
Auftragsverarbeiter um Auskunft, Berichtigung, Sperrung oder Löschung, wird
der Auftragsverarbeiter die Anfrage unverzüglich an den Auftraggeber
weiterleiten; in keinem Fall wird der Auftragsverarbeiter dem Ersuchen des
Betroffenen ohne Zustimmung des Auftraggebers nachkommen.
9.4 Der Auftragsverarbeiter wird den Auftraggeber unverzüglich informieren,
wenn Aufsichtshandlungen oder sonstige Maßnahmen einer Behörde bevorstehen,
von der auch die Verarbeitung, Nutzung oder Erhebung der durch den
Auftraggeber zur Verfügung gestellten personenbezogenen Daten betroffen
sein könnten. Darüber hinaus hat der Auftragsverarbeiter den Auftraggeber
unverzüglich über alle Ereignisse oder Maßnahmen Dritter zu informieren,
durch die die vertragsgegenständlichen Daten gefährdet oder beeinträchtigt
werden könnten.
10.
Vertragsbeendigung, Löschung und Rückgabe der Daten
Nach Abschluss der vertragsgegenständlichen Datenverarbeitung bzw. nach
Beendigung dieses Vertrags hat der Auftragsverarbeiter alle
personenbezogenen Daten nach Wahl des Auftraggebers zu löschen oder
zurückzugeben, sofern keine gesetzliche Verpflichtung zur Speicherung der
betreffenden Daten mehr besteht (z.B. gesetzliche Aufbewahrungsfristen).
Der Auftraggeber ist berechtigt, die Maßnahmen des Auftragsverarbeiters in
geeigneter Weise zu überprüfen. Hierzu ist er insbesondere berechtigt, die
einschlägigen Löschprotokolle und die betroffenen Datenverarbeitungsanlagen
vor Ort in Augenschein zu nehmen.
11.
Datengeheimnis und Vertraulichkeit
11.1 Der Auftragsverarbeiter ist unbefristet und über das Ende dieses
Vertrages hinaus verpflichtet, die im Rahmen der vorliegenden
Vertragsbeziehung erlangten personenbezogenen Daten vertraulich zu
behandeln und einschlägige Geheimnisschutzregeln, denen der Auftraggeber
unterliegt (z.B. § 203 StGB), zu beachten. Der Auftraggeber ist
verpflichtet, den Auftragsverarbeiter bei Auftragserteilung auf ggf.
bestehende besondere Geheimnisschutzregeln hinzuweisen.
11.2 Der Auftragsverarbeiter verpflichtet sich, seine Mitarbeiter mit den
einschlägigen Datenschutzbestimmungen und Geheimnisschutzregeln vertraut zu
machen und sie zur Verschwiegenheit zu verpflichten, bevor diese ihre
Tätigkeit beim Auftragsverarbeiter aufnehmen.
11.3 Der Auftragsverarbeiter wird die Einhaltung der in dieser Ziffer
genannten Maßnahmen in geeigneter Weise dokumentieren. Die Dokumentation
ist dem Auftraggeber auf Verlangen vorzulegen.
12.
Haftung
Der Auftragsverarbeiter haftet ggü. dem Auftraggeber im Innenverhältnis
nicht, wenn die haftungsauslösende Datenverarbeitung / Maßnahme in Folge
einer Weisung des Auftraggebers durchgeführt wurde. Das gleiche gilt, für
Maßnahmen, die mit dem Auftraggeber abgestimmt wurden (z.B. TOMs nach Art.
32 DSGVO). Als Abstimmung gilt es auch, wenn eine Regelung in diesem
Vertrag auf Verlangen des Auftraggebers eingefügt wurde. Im Übrigen bleiben
die gesetzlichen Haftungsregelungen (insb. Art. 82 DSGVO) unberührt.
13.
Schlussbestimmungen
13.1 Änderungen dieses Vertrags und Nebenabreden bedürfen der schriftlichen
oder elektronischen Form, die eindeutig erkennen lässt, dass und welche
Änderung oder Ergänzung der vorliegenden Bedingungen durch sie erfolgen
soll.
13.2 Sind die Vertragsparteien Kaufleute, juristische Personen des
öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist der
Sitz des Auftragsverarbeiters Gerichtsstand für alle Streitigkeiten aus
diesem Vertrag, sofern insoweit hierfür ein ausschließlicher Gerichtsstand
nicht begründet wird.
13.3 Sollte sich die DSGVO oder sonstige in Bezug genommenen gesetzlichen
Regelungen während der Vertragslaufzeit ändern, gelten die hiesigen
Verweise auch für die jeweiligen Nachfolgeregelungen.
13.4 Sollten einzelne Teile dieser Vereinbarung unwirksam sein oder werden,
bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.
13.5 Sämtliche Anlagen zu diesem Vertrag sind Vertragsbestandteil.
____________, den ______________ ____________, den ______________
Ort Datum Ort Datum
____________________________ ___________________________
Unterschrift (Auftraggeber) Unterschrift (Auftragsverarbeiter)
Anlage 1 – Auftragsdetails
Der vorliegende Vertrag umfasst (ggf. im Zusammenhang mit dem
Hauptvertrag) folgende Leistungen:
-
Cloud-Dienstleistungen (Hosting, Server, Software as a Service, Domainegistrierungen)
-
Support (u.a. via Teamviewer)
-
Erstellung von Abrechnungen
Wichtiger Hinweis zur Weitergabe von Daten in Drittländer:
Die vertraglich vereinbarten Dienstleistungen werden grundsätzlich in einem
Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des
Abkommens über den Europäischen Wirtschafsraum erbracht.
Etwas anderes gilt, wenn die Übermittlung zwingend notwendiger Daten an Re-
gistrierungsstellen in Drittländer zur Erfüllung eines Vertrages mit der
betroffenen Person oder zum Abschluss oder zur Erfüllung eines Vertrages im
Interesse der betroffenen Person erforderlich ist. Eine derartige
Übermittlung ist aufgrund Art. 49 Abs. 1 Satz 1, lit. b und c DSGVO
zulässig. Welche Daten zwingend übermittelt werden ist abhängig von der
zuständigen Registrierungsstelle in dem jeweiligen Drittland, um eine
Domainregistrierung schnellstmöglich durchführen zu können.
Im Rahmen der vertraglichen Leistungserbringung werden regelmäßig
folgende Datenarten verarbeitet:
-
personenbezogene Daten der Nutzer / Webseitenbesucher des Auftraggebers
-
personenbezogene Daten der Lieferanten des Auftraggebers
-
personenbezogene Daten der Mitarbeiter des Auftraggebers
-
personenbezogene Daten der Kunden des Auftraggebers
-
Bestell- und Abrechnungsdaten
Bei dem Kreis der von der Datenverarbeitung betroffenen Personen
handelt es sich um:
-
Nutzer / Webseitenbesucher des Auftraggebers
-
Lieferanten des Auftraggebers
-
Mitarbeiter des Auftraggebers
-
Kunden des Auftraggebers
Der Zugriff auf die betroffenen Daten geschieht in folgender Weise:
-
Fernzugriff via Teamviewer
-
automatisierte oder manuelle Datensicherungen / Backups
-
Übermittlung durch den Auftraggeber
Anlage 2 – Liste der bestehenden technischen und organisatorischen
Maßnahmen des Auftragsverarbeiters nach Art. 32 DSGVO
Der Auftragsverarbeiter setzt folgende technische und
organisatorische Maßnahmen zum Schutz der vertragsgegenständlichen
personenbezogenen Daten um. Die Maßnahmen wurden im Einklang mit
Art. 32 DSGVO festgelegt und mit dem Auftraggeber abgestimmt.
I.
Zweckbindung und Trennbarkeit
Folgende Maßnahmen gewährleisten, dass zu unterschiedlichen Zwecken
erhobene Daten getrennt verarbeitet werden:
-
physikalisch getrennte Speicherung auf gesonderten Systemen oder
Datenträgern
-
Logische Mandantentrennung (softwareseitig)
-
Berechtigungskonzept
-
Trennung von Produktiv- und Testsystem
II.
Vertraulichkeit und Integrität
Folgende Maßnahmen gewährleisten die Vertraulichkeit und Integrität der
Systeme des Auftragsverarbeiters:
1. Verschlüsselung
Die im Auftrag verarbeiteten Daten bzw. Datenträger werden in folgender
Weise verschlüsselt:
Sicherung und Verarbeitung der Abrechnungsdaten erfolgt auf verschlüsselten
Datenträgern. Der Zugriff ist durch ein Berechtigungskonzept nach
verschiedenen Benutzerrollen geregelt.
2. Es wurden folgende Maßnahmen getroffen, um Unbefugte am Zutritt zu den
Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet
oder genutzt werden, zu hindern (Zutrittskontrolle) :
Rechenzentrum der Vertragspartner:
-
Elektronisches Zutrittskontrollsystem mit Protokollierung
-
Dokumentierte Schlüsselvergabe an Mitarbeiter
-
Richtlinien zur Begleitung von Gästen im Gebäude
-
24/7 personelle Besetzung der Rechenzentren
-
Videoüberwachung von Serverräumen
-
Rechenzentren sind alarmgesichert (Einbruch, Sabotage) mit Aufschaltung
an einen externen Sicherheitsdienst
-
Rechenzentren sind nicht als solche gekennzeichnet (neutrale Schilder)
Büroräume:
-
Protokollierte Schlüsselvergabe
3. Es wurden folgende Maßnahmen getroffen, die die Nutzung der Datensysteme
durch unbefugte Dritte verhindern (Zugangskontrolle):
-
Zuordnung von Benutzerrechten
-
Erstellen von Benutzerprofilen
-
Passwortvergabe
-
Passwort-Richtlinien (regelmäßige Änderung, Mindestlänge, Komplexität)
-
Authentifikation mit Benutzername / Passwort
-
Zuordnung von Benutzerprofilen zu IT-Systemen
-
Einsatz von VPN-Technologie bei der Übertragung von Daten
-
Sichere Übertragung zwischen Server und Client
-
Verschlüsselung mobiler IT-Systeme
-
Verschlüsselung mobiler Datenträger
-
Verschlüsselung der Datensicherungssysteme
-
Einsatz von zentraler Smartphone-Administrations-Software
(z.B. zum externen Löschen von Daten)
-
Einsatz von Anti-Viren-Software
-
Verschlüsselung von Datenträgern in Laptops / Notebooks
-
Einsatz einer Firewall
4. Es wurden folgende Maßnahmen getroffen, die gewährleisten, dass die zur
Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf
die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und
dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der
Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden
können (Zugriffskontrolle):
-
Berechtigungskonzept
-
Verwaltung der Rechte durch Systemadministrator
-
regelmäßige Überprüfung und Aktualisierung der Zugriffsrechte (insb.
bei Ausscheiden von Mitarbeitern o.Ä.)
-
Anzahl der Administratoren ist das „Notwendigste“ reduziert
-
Passwortrichtlinie inkl. Passwortlänge, Passwortwechsel
-
Sichere Aufbewahrung von Datenträgern
-
physische Löschung von Datenträgern vor Wiederverwendung
-
ordnungsgemäße Vernichtung von Datenträgern (DIN 66399)
-
Einsatz von Aktenvernichtern bzw. Dienstleistern (nach Möglichkeit mit
Datenschutz-Gütesiegel)
-
Protokollierung der Vernichtung
-
Verschlüsselung von Datenträgern
5. Mit Hilfe folgender Maßnahmen kann nachträglich überprüft und
festgestellt werden, ob und von wem personenbezogene Daten in
Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle).
-
Protokollierung der Eingabe, Änderung und Löschung von Daten
-
Erstellen einer Übersicht, aus der sich ergibt, mit welchen
Applikationen welche Daten eingegeben, geändert und gelöscht werden
können.
-
Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch
individuelle Benutzernamen (nicht Benutzergruppen)
-
Aufbewahrung von Formularen, von denen Daten in automatisierte
Verarbeitungen übernommen worden sind
-
Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf
Basis eines Berechtigungskonzepts
6. Folgende Maßnahmen gewährleisten, dass personenbezogene Daten, die im
Auftrag verarbeitet werden, nur entsprechend den Weisungen des
Auftraggebers verarbeitet werden können (Auftragskontrolle).
-
Auswahl des Auftragsverarbeiters unter Sorgfaltsgesichtspunkten
(insbesondere hinsichtlich Datensicherheit)
-
vorherige Prüfung der und Dokumentation der beim Auftragsverarbeiter
getroffenen Sicherheitsmaßnahmen
-
schriftliche Weisungen an den Auftragsverarbeiter (z.B. durch
Auftragsverarbeitungsvertrag)
-
Verpflichtung der Mitarbeiter des Auftragsverarbeiters auf das
Datengeheimnis
-
Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags
-
Wirksame Kontrollrechte gegenüber dem Auftragsverarbeiter vereinbart
-
laufende Überprüfung des Auftragsverarbeiters und seiner Tätigkeiten
-
Vertragsstrafen bei Verstößen
7. Folgende Maßnahmen gewährleisten, dass personenbezogene Daten bei der
Weitergabe (physisch und / oder digital) nicht von Unbefugten erlangt oder
zur Kenntnis genommen werden können ( Transport- bzw. Weitergabekontrolle):
-
Einsatz von VPN-Tunneln
-
Verschlüsselung der Kommunikationswege (z.B. Verschlüsselung des
E-Mail-Verkehrs)
-
Verschlüsselung physischer Datenträger bei Transport
II.
Verfügbarkeit, Wiederherstellbarkeit und Belastbarkeit der Systeme
Folgende Maßnahmen gewährleisten, dass die eingesetzten
Datenverarbeitungssysteme jederzeit einwandfrei funktionieren und
personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt
sind
-
Unterbrechungsfreie Stromversorgung (USV)
-
Klimatisierung der Serverräume
-
Geräte zur Überwachung von Temperatur und Feuchtigkeit in Serverräumen
-
Schutzsteckdosenleisten in Serverräumen
-
Feuer- und Rauchmeldeanlagen in Serverräumen
-
Feuerlöschgeräte in Serverräumen
-
Alarmmeldung bei unberechtigten Zutritten zu Serverräumen
-
Erstellen eines Backup- & Recoverykonzepts
-
Testen von Datenwiederherstellung
III.
Besondere Datenschutzmaßnahmen
Es liegen schriftlich vor:
- interne Verhaltensregeln
- Risikoanalyse
- Datenschutz-Folgenabschätzung
- Datensicherheitskonzept
- Wiederanlaufkonzept
IV.
Überprüfung, Evaluierung und Anpassung der vorliegenden Maßnahmen
Der Auftragsverarbeiter wird die in dieser Anlage niedergelegten
technischen und organisatorischen Maßnahmen jährlich und anlassbezogen,
prüfen, evaluieren und bei Bedarf anpassen.
Anlage 3 – Liste der bestehenden Subunternehmer zum Zeitpunkt des
Vertragsschlusses
|
(Unternehmens-) Name und Anschrift
|
Beschreibung der Leistung
|
Ort der Leistungserbringung
|
|
Vautron Rechenzentrum AG
|
Betrieb der Server, Nameserver, Backupsysteme und
Netzwerkinfrastruktur, Domainregistrierungen
|
Regensburg, Deutschland
|
|
InterNetX GmbH
|
Domainregistrierungen und Betrieb von Nameservern
|
Regensburg, Deutschland
|
|
rankingCoach GmbH
|
Entwicklung und Betrieb des FUTRIS RankingCoach zur
Suchmaschinenoptimierung
|
Köln, Deutschland
|