[Seite 1]
Modulare
Vertraulichkeits- und
Sicherheitserklärung
Inhaltsverzeichnis
1 Vertraulichkeitserklärung ...........................................................................................................................2
1.1 Inhalt und Zweck der Vertraulichkeitserklärung ........................................................................................................2
1.2 Definitionen .........................................................................................................................................................................................2
1.2.1 Vertrauliche Informationen...................................................................................................................................2
1.2.2 Öffentlich bekannte Informationen ................................................................................................................2
1.2.3 Partei ....................................................................................................................................................................................2
1.2.4 Verbundene Gesellschaften ................................................................................................................................2
1.2.5 Mitarbeiter ...................................................................................................................................................................... 3
1.3 Verpflichtung zur Vertraulichkeit ........................................................................................................................................ 3
1.4 Ausnahmen von der Vertraulichkeitsverpflichtung ................................................................................................ 3
1.5 Weitergabe an Dritte/Subunternehmer ......................................................................................................................... 4
1.6 Kontroll- und Löschrechte ...................................................................................................................................................... 4
1.7 Pauschalierter Ersatz für Verletzungen der Vertraulichkeitserklärung ...................................................... 5
1.8 Laufzeit .................................................................................................................................................................................................. 5
1.9 Schlussbestimmungen ............................................................................................................................................................... 5
2 Sicherheitserklärung ................................................................................................................................... 5
2.1 Dokumentation ................................................................................................................................................................................ 6
2.2 Sicherheitsanforderungen an den IT-Betrieb des Auftragnehmers ............................................................ 6
2.3 Sicherstellung der Sicherheitsanforderungen in der Lieferkette .................................................................. 6
2.4 Arbeiten in der Infrastruktur der Komm.ONE Gruppe .......................................................................................... 6
2.5 Meldung von Sicherheitsvorfällen und-problemen ................................................................................................. 7
2.6 Audits ......................................................................................................................................................................................................7
2.7 Abweichungsreports ....................................................................................................................................................................7
3 Kontaktdaten ................................................................................................................................................. 9
modulare Vertraulichkeits- und Sicherheitserklärung civillent GmbH
Klassifizierung vertraulich Seite 1
[Seite 2]
Vertraulichkeits- und Sicherheitserklärung
1 Vertraulichkeitserklärung
1.1 Inhalt und Zweck der Vertraulichkeitserklärung
Diese Vertraulichkeitsvereinbarung schützt die vertraulichen Informationen des Auftraggebers, auf die der Auftragnehmer infolge des Hauptvertrags zugreifen kann. Die Verwendung der vertraulichen Informationen ist nur im Rahmen und zum Zwecke der zwischen den Parteien vertraglich vereinbarten Tätigkeiten zulässig.
1.2 Definitionen
1.2.1 Vertrauliche Informationen
„Vertrauliche Informationen“ sind wirtschaftlich, rechtlich, steuerlich oder technisch sensible oder vorteilhafte Informationen des Auftraggebers, die dem Auftragnehmer bekannt werden.
Vertrauliche Informationen können solche Informationen sein, die in irgendeiner Weise als, intern, vertraulich, streng vertraulich oder gesetzlich geschützt bezeichnet werden oder deren vertraulicher Inhalt offensichtlich ist. Der Begriff umfasst sowohl jegliches Anschauungsmaterial wie Bilder, Unterlagen, Schriftstücke, Notizen, Dokumente, digitale Aufzeichnungen etc. als auch mündliche Mitteilungen.
1.2.2 Öffentlich bekannte Informationen
Öffentlich bekannte Informationen sind solche, die nachweislich vor ihrer Bekanntgabe bereits dem Auftragnehmer oder seinen Organen, Angestellten und Bevollmächtigten (im Folgenden „Vertreter“) zugänglich waren bzw. ohne deren Verschulden während der Geltungsdauer dieser Vertraulichkeitsvereinbarung öffentlich bekannt wurden. Der Begriff „vertrauliche Information“ umfasst weiterhin nicht solche Informationen, die der Auftragnehmer sich selbst erschlossen hat, vorausgesetzt, dass dies durch schriftliche Aufzeichnungen dieser Partei oder auf sonstige Weise belegt wird und keine in dieser Vertraulichkeitsvereinbarung festgelegten Pflichten unterlaufen werden.
1.2.3 Partei
„Partei“ ist sowohl der Auftraggeber als auch der Auftragnehmer, sowie deren verbundene Gesellschaften, Organe, Mitarbeiter, Berater und eventuell sonstige für diese tätige Dritte, soweit diese einer den Anforderungen dieser Vertraulichkeitsvereinbarung oder des Hauptvertrages entsprechenden Vertraulichkeitsverpflichtung unterliegen.
1.2.4 Verbundene Gesellschaften
Verbundene Gesellschaften sind alle Unternehmen der Parteien, an denen die jeweilige Partei eine Beteiligung von mehr als 50 Prozent mittelbar oder unmittelbar hält oder deren
modulare Vertraulichkeits- und Sicherheitserklärung civillent GmbH
Klassifizierung vertraulich Seite 2
[Seite 3]
Vertraulichkeits- und Sicherheitserklärung
wirtschaftliche Führung sie innehat.
1.2.5 Mitarbeiter
Unter dem Begriff Mitarbeiter sind Arbeitnehmer, freie Mitarbeiter und Zeitarbeitskräfte oder Partner der jeweiligen Partei zu verstehen. Mitarbeiterinnen oder Mitarbeitende etc. sind dadurch keinesfalls ausgeschlossen, sondern ebenfalls adressiert.
1.3 Verpflichtung zur Vertraulichkeit
Der Auftragnehmer verpflichtet sich, die von dem Auftraggeber erhaltenen vertraulichen Informationen diskret und vertraulich zu behandeln. Der jeweilige Informationsempfänger verpflichtet sich, die Informationen aus diesem Angebot nur für die Zwecke der aktuellen Vertragsverhandlungen mit der Komm.ONE zu nutzen.
Das bedeutet insbesondere, dass der Auftragnehmer diese Informationen an Dritte weder selbst noch durch Mitarbeiter bekanntzugeben oder sonst für andere als die vertraglich zwischen den Parteien vereinbarten Zwecke zu nutzen hat. Eine Weitergabe an nicht im Rahmen des Hauptauftrages beauftragte Dienstleister oder anderweitige Nutzung der Informationen ist nur zulässig, wenn und soweit der Auftraggeber zuvor schriftlich oder in Textform eingewilligt hat.
Der Auftragnehmer verpflichtet sich, die von dem Auftraggeber erhaltenen vertraulichen Informationen mindestens mit der Sorgfalt zu behandeln, die er in eigenen Angelegenheiten im Umgang mit eigenen vertraulichen Informationen anwendet.
Nimmt der Auftragnehmer von personenbezogenen Daten des Auftraggebers Kenntnis und ist Gegenstand des Hauptvertrags nicht die Verarbeitung von personenbezogenen Daten im Auftrag, so verpflichtet sich der Auftragnehmer dennoch, die gesetzlichen und vertraglichen Vorschriften zum Datenschutz einzuhalten. Sofern der Hauptvertrag zwischen den Parteien eine Verarbeitung von personenbezogenen Daten im Auftrag durch den Auftragnehmer vorsieht, schließen die Parteien eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO.
Der Auftragnehmer nutzt die erhaltenen vertraulichen Informationen ausschließlich zur Erfüllung des Hauptvertrages. Die Rechte an den Informationen, die der Auftragnehmer von dem Auftraggeber erhalten hat, verbleiben beim Auftraggeber, soweit nichts anderes vertraglich geregelt wird.
1.4 Ausnahmen von der Vertraulichkeitsverpflichtung
Diese Verpflichtung zum Schutze vertraulicher Information beinhaltet nicht solche Informationen, die öffentlich bekannt sind.
Die Pflicht zur Vertraulichkeit besteht nicht gegenüber Gerichten und Behörden, soweit eine Rechtspflicht zur Offenlegung besteht oder die jeweilige Information in einem Zivilprozess zwischen den Parteien oder einer der Parteien und einem Dritten relevant ist. Über eine Herausgabe von vertraulichen Informationen ist der Auftraggeber unverzüglich zu
modulare Vertraulichkeits- und Sicherheitserklärung civillent GmbH
Klassifizierung vertraulich Seite 3
[Seite 4]
Vertraulichkeits- und Sicherheitserklärung
benachrichtigen. Sofern eine Weitergabe von Informationen gesetzlich oder durch gerichtliche Verfügung erforderlich ist, wird der Informationsempfänger den Informationsgeber unverzüglich hiervon parallel fernmündlich und in Textform benachrichtigen. es sei denn, eine solche Mitteilung ist gesetzlich nicht zulässig.
1.5 Weitergabe an Dritte/Subunternehmer
Die Parteien verpflichten sich, eine eventuelle Weitergabe auf folgende Personen zu beschränken:
a) eigene Mitarbeiter sowie Mitarbeiter von Eigenbetrieben und verbundenen Unternehmen, die aus geschäftlichen oder dienstlichen Gründen Zugang zu dieser Information benötigen;
b) Aufsichtsbehörden wie Landrat, GPA, Rechnungshof, Regierungspräsident, Verwaltungsrat, Innenministerium;
oder
c) Subunternehmer, Finanz- und Rechtsberater, die Berufsgeheimnisträger sind, oder solche Dritte, die zur betreffenden Auftragsdurchführung benötigt werden und aus geschäftlichen Gründen Zugang zu dieser Information benötigen.
Vor einer Weitergabe vertraulicher Informationen an in a) und c) genannte Personen muss der Informationsempfänger diese im Rahmen einer schriftlichen Vereinbarung zur Einhaltung entsprechender Verschwiegenheitspflichten verpflichten. Die Parteien erklären ausdrücklich, für jegliche schuldhafte Verletzung der Vertraulichkeitsverpflichtung durch Dritte, die zur betreffenden Auftragsdurchführung benötigt werden, unverzüglich einzustehen.
Der Auftragnehmer darf Subunternehmer lediglich nach schriftlicher Genehmigung durch den Auftraggeber im Rahmen der Erfüllung der beauftragten Tätigkeiten einsetzen. Die sich aus dieser Vertraulichkeitsvereinbarung ergebenden Verpflichtungen sind auch diesen aufzuerlegen.
1.6 Kontroll- und Löschrechte
Innerhalb von vierzehn (14) Tagen nach schriftlicher Aufforderung des Auftraggebers wird der Auftragnehmer alle vorliegenden vertraulichen Informationen und aufgrund dieser Informationen gefertigten weiteren Unterlagen an den Auftraggeber zurücksenden bzw. ihm die Vernichtung der Informationen und Unterlagen nachvollziehbar nachweisen. Dies gilt nicht, soweit eine Verpflichtung zur Aufbewahrung aus Gesetz oder aufgrund behördlicher bzw. gerichtlicher Anordnung besteht. In letztgenanntem Fall ist die weitere Speicherung der vertraulichen Informationen durch den Auftragnehmer nur zum Zwecke der Erfüllung dieser Verpflichtungen zulässig.
Der Auftraggeber ist berechtigt, die Einhaltung dieser Vertraulichkeitsvereinbarung im erforderlichen Umfang zu kontrollieren oder kontrollieren zu lassen. Der Auftragnehmer gewährt dazu nach Absprache ungehinderten Zutritt und Zugang zu informationsverarbeitenden Systemen, Dateien und Informationen, die mit der Durchführung der Tätigkeiten in Verbindung stehen. Dem Auftraggeber sind durch den Auftragnehmer alle Auskünfte zu erteilen, die zur
modulare Vertraulichkeits- und Sicherheitserklärung civillent GmbH
Klassifizierung vertraulich Seite 4
[Seite 5]
Vertraulichkeits- und Sicherheitserklärung
Erfüllung der Kontrollfunktion benötigt werden. Der Auftragnehmer hat dem Auftraggeber auf Aufforderung mitzuteilen, welche vertraulichen Informationen zurückgesendet oder vernichtet und welche aufbewahrt wurden. Die Gründe dafür, dass bestimmte Unterlagen oder Informationen aufbewahrt wurden, sind anzugeben.
Sollte eine Partei Kenntnis davon erlangen, dass vertrauliche Informationen entgegen dieser Vertraulichkeitsvereinbarung weitergegeben wurden, hat die Partei die jeweils andere Partei umgehend hierüber zu informieren.
1.7 Pauschalierter Ersatz für Verletzungen der
Vertraulichkeitserklärung
Für jeden Fall eines schuldhaften Verstoßes gegen die sich aus dieser Vertraulichkeitsvereinbarung ergebenden Verpflichtungen schuldet der Auftragnehmer dem Auftraggeber eine Pauschalsumme in Höhe von 15% des Wertes des Hauptvertrages oder des angestrebten Hauptvertrages, mindestens jedoch 10.000 EUR netto, als Ersatz für den immateriellen und materiellen Schaden aufgrund des Verstoßes. Die Geltendmachung weiterer Ansprüche auf Schadensersatz oder Unterlassung bleibt dem Auftraggeber vorbehalten.
Dies Schadenspauschale wird auf einen eventuell zu leistenden bezifferten Schadensersatz angerechnet.
1.8 Laufzeit
Die Laufzeit dieser Vertraulichkeitsvereinbarung beginnt ab Unterzeichnung und entspricht der des Hauptvertrages. Die Verpflichtungen zur Vertraulichkeit verjähren drei Jahre nach Beendigung des Hauptvertrages.
1.9 Schlussbestimmungen
Änderungen und Ergänzungen dieser Vertraulichkeitsvereinbarung, die Erklärung einer Kündigung sowie die Abänderung dieser Klausel bedürfen zu ihrer Wirksamkeit der Schriftform (§ 126 Abs. 1, Abs. 2 BGB). Die Ersetzung der Schriftform durch die elektronische Form (§§ 126 Abs. 3, 126 a BGB) oder die Textform (§ 126 b BGB) ist ausgeschlossen.
Auf diese Vereinbarung ist deutsches Recht anwendbar. Der Gerichtsstand ist Stuttgart.
2 Sicherheitserklärung
Der Auftraggeber betreibt ein Informationssicherheitsmanagementsystem (ISMS) mit dem Ziel die Vertraulichkeit, Verfügbarkeit und Integrität der verarbeiteten Informationen bzw. der relevanten Systeme sicherzustellen. Bei der Organisationsgruppe Komm.ONE (im Folgenden Komm.ONE) handelt es sich um einen Organisationsverbund der kritischen Infrastruktur für die öffentliche Verwaltung. modulare Vertraulichkeits- und Sicherheitserklärung civillent GmbH
Klassifizierung vertraulich Seite 5
[Seite 6]
Vertraulichkeits- und Sicherheitserklärung
Auch Lieferanten leisten mit ihren Dienstleistungen und Produkten einen wichtigen Beitrag zur Informationssicherheit in der Lieferkette, weshalb mit dieser Erklärung entsprechende Regelungen definiert werden.
2.1 Dokumentation
Der Auftragnehmer stellt dem Auftraggeber eine Information bereit, um das Niveau der Informationssicherheit beim Auftragnehmer grundsätzlich bewerten zu können.
Auf Rückfrage des Auftraggebers werden auf den Hauptvertrag bezogen weitere Informationen bereitgestellt, damit der Auftraggeber mögliche Auswirkungen für die Informationssicherheit hinsichtlich der Lieferkette hinreichend bewerten kann.
2.2 Sicherheitsanforderungen an den IT-Betrieb des
Auftragnehmers
Der Auftragnehmer sichert seine Systeme nach Stand der Technik durch geeignete und angemessene technische, organisatorische, personale und prozessuale Maßnahmen. Hierbei beachtet er die Schutzwürdigkeit der verarbeiteten Informationen und das Schutzniveau des Auftraggebers.
Der primäre Ansprechpartner des Hauptvertrages des Auftraggebers informiert den Auftragnehmer diesbezüglich auf Rückfrage.
2.3 Sicherstellung der Sicherheitsanforderungen in der
Lieferkette
Sollte der Auftragnehmer weitere Auftragnehmer für die Leistungserbringung mit einbeziehen, so sind die Anforderungen der Informationssicherheit analog dieser Erklärung auch dem Subunternehmer aufzuerlegen. Die datenschutzrechtlichen Regelungen bleiben hiervon unberührt.
Der Auftragnehmer verpflichtet sich Sub-Dienstleister gegenüber dem Auftraggeber fortlaufend anzuzeigen, die Produkte oder Dienstleistungen bereitstellen, die von relevanten deutschen Behörden (z. B. Bundesamt für Sicherheit in der Informationstechnik, Cybersicherheitsagentur Baden-Württemberg, LfDI BW, BfDI, DSK) bedenklich hinsichtlich der Nutzung in der öffentlichen Verwaltung bewertet werden.
2.4 Arbeiten in der Infrastruktur der Komm.ONE Gruppe
Sofern der Auftragnehmer Arbeiten in und an der Infrastruktur oder an Daten und Informationen des Auftraggebers oder ihrer Kunden durchführt, sind besondere Anforderungen umzusetzen.
Insbesondere werden die organisatorischen und prozessualen Anforderungen berücksichtigt.
modulare Vertraulichkeits- und Sicherheitserklärung civillent GmbH
Klassifizierung vertraulich Seite 6
[Seite 7]
Vertraulichkeits- und Sicherheitserklärung
Hierüber informiert der primäre Ansprechpartner des Hauptvertrages den Auftragnehmer auf Rückfrage.
Sofern der Auftragnehmer zur Erfüllung des Auftrages und in dem dort vereinbarten Umfang die Möglichkeit erhält, sich am Kommunikationsnetz des Auftraggebers anzumelden gelten folgende
weitere Anforderungen:
-
Ausschließliche Verwendung der durch den Auftraggeber freigegebenen oder lizenzierten Hard- und Software.
-
Ausschließliche Nutzung der durch den Auftraggeber freigegebenen Kommunikationsverbindungen.
-
Nutzung von Hardware, Software und Informationen ausschließlich zur Erfüllung der vereinbarten Aufgaben.
-
Ausschließliche Verwendung von Datenträgern, die auf Schadprogramme geprüft wurden.
-
Verwendung von sicheren Passwörtern, gemäß den internen Regelungen.
-
Nutzung nur der im Rahmen der vereinbarten Leistung zugewiesenen Rechte.
-
Einhaltung sämtlicher dem Vertragspartner bekannt gegebenen IT-Sicherheitsregelungen.
-
Zwingendes Ausfüllen der Anlage „Selbstauskunft“.
2.5 Meldung von Sicherheitsvorfällen und-problemen
Der Auftragnehmer ist verpflichtet jegliche Sicherheitsvorfälle, Veröffentlichung von vertraulichen Informationen, Schwachstellen oder Sicherheitslücken, die Bezug zur Komm.ONE-Gruppe haben unverzüglich dem Cyber Security Incident Response Team des Auftraggebers zu melden. Hierbei liegt der primäre Fokus der Meldung auf die Dienstleistungen und Produkte des Hauptvertrages.
Der Auftragnehmer verpflichtet sich im Rahmen seiner Möglichkeiten bei der Bearbeitung der Sicherheitsvorfälle und -probleme mitzuwirken.
2.6 Audits
Der Auftragnehmer stimmt zu, dass der Auftraggeber oder ein anderer beauftragter Dritter im Auftrag des Auftraggebers die relevanten Teile der Organisation, sowie die zum Produkt oder Dienstleistung gehörenden Systeme in Bezug auf die Informationssicherheit des Auftragnehmers auditieren darf. Die Prüfungen werden auf der Grundlage der von dem Auftragnehmer zur Verfügung gestellten Dokumentation sowie der Inaugenscheinnahme von tatsächlichen Umsetzungen in den Räumlichkeiten des Auftragnehmers durchgeführt. Der genaue Umfang, die Dauer und die Organisation werden jeweils einvernehmlich vereinbart.
2.7 Abweichungsreports
Der Auftragnehmer muss dem Auftraggeber Abweichungen von den vereinbarten
modulare Vertraulichkeits- und Sicherheitserklärung civillent GmbH
Klassifizierung vertraulich Seite 7
[Seite 8]
Vertraulichkeits- und Sicherheitserklärung
Sicherheitsanforderungen unverzüglich in Textform anzeigen.
modulare Vertraulichkeits- und Sicherheitserklärung civillent GmbH
Klassifizierung vertraulich Seite 8
[Seite 9]
Vertraulichkeits- und Sicherheitserklärung
3 Kontaktdaten
Cyber Security Incident Response Team (CSIRT)
E-Mail: csirt@komm.one
Tel: 0711-8108-45300 (über techn. Service-Desk)
Informationssicherheitsbeauftragter
E-Mail: ISB@komm.one
Compliance
Funktionspostfach: compliance@komm.one
Aktuelle Kontaktdaten können auch über die Internetpräsenz der Komm.ONE (https://www.komm.one/) abgefragt werden.
Hinweis für die Bedarfsstelle:
Der nachfolgende Anhang zur Selbstauskunft ist regelmäßig auszufüllen, wenn
a) ein mehr als zweimaliger persönlicher Kontakt zur Abwicklung des geplanten oder vereinbarten Vertragsverhältnisses vorgesehen ist,
b) der Auftragnehmer Arbeiten in und an der Infrastruktur oder an Daten und Informationen des Auftraggebers oder ihrer Kunden durchführt,
c) der Auftragnehmer an den Auftraggeber sicherheitskritische Bauteile oder Softwarekomponenten liefert oder diese selbst herstellt
- oder wenn -
d) der Kern der Leistungen des Auftragnehmers in Datenschutz- oder Datensicherheits- Dienstleistungen oder -Beratungen besteht.
Ergebnis der Risikoevaluierung, ob einer der Fälle a) bis d) vorliegt:
modulare Vertraulichkeits- und Sicherheitserklärung civillent GmbH
Klassifizierung vertraulich Seite 9
[Seite 10]
Vertraulichkeits- und Sicherheitserklärung
modulare Vertraulichkeits- und Sicherheitserklärung civillent GmbH
Klassifizierung vertraulich Seite 10