Vg-26-030_Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO).pdf

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Als Anlage zum Vertrag, Vg-26-030

• nachfolgend „Leistungsvereinbarung“ -

zwischen der

ALDB GmbH Fehrbelliner Platz 3 10707 Berlin

• nachfolgend „Verantwortlicher“ -

und

[Vertragspartner]

• nachfolgend „Auftragsverarbeiter“ -

• beide nachfolgend gemeinsam „Vertragsparteien“ -

wird die folgende Vereinbarung zur Auftragsverarbeitung geschlossen:

Seite 1 von 18 Stand: 04/2024

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Inhaltsverzeichnis

Präambel 3

1 Anwendungsbereich 3

2 Verantwortlichkeit und Weisungsbefugnis 3

3 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverarbeiter 4

4 Technisch-organisatorische Maßnahmen und deren Kontrolle 5

5 Mitteilung bei Verstößen durch den Auftragsverarbeiter 6

6 Löschung und Rückgabe von Daten 6

7 Unterbeauftragung 7

8 Datenschutzkontrolle 8

9 Schlussbestimmungen 8

Stand: 04/2024

Seite 2 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Präambel

Die Vertragsparteien sind mit der Leistungsvereinbarung ein Auftragsverarbeitungsverhältnis eingegangen. Um die sich hieraus ergebenden Rechte und Pflichten gemäß den Vorgaben der europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG - DSGVO), und des Bundesdatenschutzgesetzes (BDSG) zu konkretisieren, schließen die Vertragsparteien die nachfolgende Vereinbarung.

1 Anwendungsbereich

Die Vereinbarung findet Anwendung auf die Erhebung, Verarbeitung und Löschung (im Folgenden: Verarbeitung) aller personenbezogener Daten (im Folgenden: Daten), die Gegenstand der Leistungsvereinbarung sind oder im Rahmen von deren Durchführung anfallen oder dem Auftragsverarbeiter bekannt werden. Nicht unter den Anwendungsbereich fallen Daten von Mitarbeitern des Auftragsverarbeiters, soweit sie ausschließlich das Beschäftigungsverhältnis mit dem Auftragsverarbeiter betreffen.

2 Verantwortlichkeit und Weisungsbefugnis

(1) Die Vertragsparteien sind für die Einhaltung der datenschutzrechtlichen Bestimmungen verantwortlich. Der Verantwortliche kann jederzeit die Herausgabe, Berichtigung, Anpassung, Löschung und Einschränkung der Verarbeitung der Daten verlangen.

(2) Zur Gewährleistung des Schutzes der Rechte der betroffenen Personen unterstützt der Auftragsverarbeiter den Verantwortlichen angemessen, insbesondere durch die Gewährleistung geeigneter technischer und organisatorischer Maßnahmen.

(3) Soweit sich eine betroffene Person zwecks Geltendmachung eines Betroffenenrechts unmittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.

(4) Der Auftragsverarbeiter darf Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen verarbeiten, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder des Mitgliedstaates, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Eine Weisung ist die auf einen bestimmten Umgang des Auftragsverarbeiters mit Daten gerichtete schriftliche, elektronische oder mündliche Anordnung des Verantwortlichen.

Stand: 04/2024

Seite 3 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Die Anordnungen sind zu dokumentieren. Die Weisungen werden zunächst durch die Leistungsvereinbarung definiert und können von dem Verantwortlichen danach in dokumentierter Form durch eine einzelne Weisung geändert, ergänzt oder ersetzt werden.

(5) Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie von Seiten des Verantwortlichen bestätigt oder geändert wird. [Die weisungsberechtigten Personen auf Seiten des Verantwortlichen sowie die zum Empfang der Weisungen berechtigten Personen auf Seiten des Auftragsverarbeiters sowie die vorgesehenen Informationswege werden nach Zuschlagserteilung festgelegt].

(6) Änderungen des Verarbeitungsgegenstandes mit Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren. Auskünfte an Dritte oder die betroffene Person darf der Auftragsverarbeiter nur nach vorheriger ausdrücklicher schriftlicher Zustimmung durch den Verantwortlichen erteilen. Der Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt.

(7) Der Verantwortliche führt das Verzeichnis von Verarbeitungstätigkeiten i.S.d. Art. 30 Abs. 1 DSGVO. Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Wunsch Informationen zur Aufnahme in das Verzeichnis zur Verfügung. Der Auftragsverarbeiter führt entsprechend den Vorgaben des Art. 30 Abs. 2 DSGVO ein Verzeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung.

(8) Die Verarbeitung der Daten im Auftrag des Verantwortlichen findet ausschließlich auf dem Gebiet der Bundesrepublik Deutschland statt. Eine Verarbeitung in einem Staat außerhalb des in Satz 1 genannten Territoriums ist nur zulässig, wenn sichergestellt ist, dass unter Berücksichtigung der Voraussetzungen des Kapitels V der DSGVO das durch die DSGVO gewährleistete Schutzniveau nicht unterlaufen wird und bedarf der vorherigen ausdrücklichen schriftlichen Zustimmung des Verantwortlichen. Die grundlegenden Voraussetzungen für die Rechtmäßigkeit der Verarbeitung bleiben unberührt.

(9) Der Auftragsverarbeiter stellt sicher, dass ihm unterstellte natürliche Personen, die Zugang zu Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten. Eine Verarbeitung von Daten außerhalb der Betriebsräume des Auftragsverarbeiters (z.B. Telearbeit, Heimarbeit, Home Office, mobiles Arbeiten) bedarf der vorherigen ausdrücklichen schriftlichen Zustimmung des Verantwortlichen, die erst nach Festlegung angemessener technischer und organisatorischer Maßnahmen für die Verarbeitungssituation erteilt werden kann.

3 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverarbeiter

Stand: 04/2024

Seite 4 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

(1) Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und weist dies dem Verantwortlichen auf Wunsch nach. Dies umfasst auch die Belehrung über die in diesem Auftragsverarbeitungsverhältnis bestehende Weisungs- und Zweckbindung.

(2) Die Vertragsparteien unterstützen sich gegenseitig beim Nachweis und der Dokumentation der ihnen obliegenden Rechenschaftspflicht im Hinblick auf die Grundsätze ordnungsgemäßer Datenverarbeitung einschließlich der Umsetzung der notwendigen technischen und organisatorischen Maßnahmen (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Der Auftragsverarbeiter stellt dem Verantwortlichen hierzu bei Bedarf entsprechende Informationen zur Verfügung.

(3) Der Auftragsverarbeiter hat eine/n Datenschutzbeauftragte/n zu benennen, die/der ihre/seine Tätigkeit entsprechend den gesetzlichen Vorschriften ausübt. Die Kontaktdaten der/des Datenschutzbeauftragten sind dem Verantwortlichen zum Zwecke der direkten Kontaktaufnahme mitzuteilen.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde im Rahmen ihrer Zuständigkeit bei dem Auftragsverarbeiter anfragt, ermittelt oder sonstige Erkundigungen einzieht.

4 Technisch-organisatorische Maßnahmen und deren Kontrolle

(1) Die Vertragsparteien vereinbaren die in dem Anhang „Technisch-organisatorische Maßnahmen“ zu dieser Vereinbarung niedergelegten konkreten technischen und organisatorischen Sicherheitsmaßnahmen. Der Anhang ist Gegenstand dieser Vereinbarung.

(2) Technische und organisatorische Maßnahmen unterliegen dem technischen Fortschritt. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der in dem Anhang „Technisch-organisatorische Maßnahmen“ festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

(3) Der Auftragsverarbeiter wird dem Verantwortlichen alle erforderlichen Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung der in dieser Vereinbarung getroffenen und der gesetzlichen Vorgaben erforderlich sind. Er wird insbesondere Überprüfungen/Inspektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglichen und deren Durchführung unterstützen. Der Nachweis der Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann dabei auch durch Vorlage eines aktuellen Testats, von Berichten hinreichend qualifizierter und unabhängiger Instanzen (z.B. Wirtschaftsprüfer, unabhängige Datenschutzauditoren), durch die Einhaltung genehmigter Verhaltensregeln nach Art. 40

Stand: 04/2024

Seite 5 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

DSGVO, einer Zertifizierung nach Art. 42 DSGVO oder einer geeigneten Zertifizierung durch IT- Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz) erbracht werden. Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen über den Ausschluss von genehmigten Verhaltensregeln gemäß Art. 41 Abs. 4 DSGVO, den Widerruf einer Zertifizierung gemäß Art. 42 Abs. 7 und jede andere Form der Aufhebung oder wesentlichen Änderung der vorgenannten Nachweise unverzüglich zu unterrichten.

(4) Der Verantwortliche kann sich jederzeit zu Prüfzwecken in den Betriebsstätten des Auftragsverarbeiters zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs von der Angemessenheit der Maßnahmen zur Einhaltung der gesetzlichen Vorgaben oder der zur Durchführung dieses Vertrages erforderlichen technischen und organisatorischen Erfordernisse überzeugen.

(5) Der Auftragsverarbeiter stellt dem Verantwortlichen darüber hinaus alle erforderlichen Informationen zur Verfügung, die er für die Prüfungen nach Absatz 4 sowie für eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz der Daten (Datenschutz-Folgenabschätzung i.S.d. Art. 35 DSGVO) benötigt.

(6) Der Auftragsverarbeiter hat im Benehmen mit dem Verantwortlichen alle erforderlichen Maßnahmen zur Sicherung der Daten bzw. der Sicherheit der Verarbeitung, insbesondere auch unter Berücksichtigung des Stands der Technik, sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen.

5 Mitteilung bei Verstößen durch den Auftragsverarbeiter

Der Auftragsverarbeiter unterrichtet den Verantwortlichen umgehend bei schwerwiegenden Störungen seines Betriebsablaufes, bei Verdacht auf Verstöße gegen diese Vereinbarung sowie gesetzliche Datenschutzbestimmungen, bei Verstößen gegen solche Bestimmungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der Daten des Verantwortlichen. Dies gilt insbesondere im Hinblick auf die Meldepflicht nach Art. 33 Abs. 2 DSGVO sowie auf korrespondierende Pflichten des Verantwortlichen nach Art. 33 und Art. 34 DSGVO. Der Auftragsverarbeiter sichert zu, den Verantwortlichen erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen. Meldungen nach Art. 33 oder 34 DSGVO für den Verantwortlichen darf der Auftragsverarbeiter nur nach vorheriger Weisung gem. Ziffer 2 dieses Vertrages durchführen.

6 Löschung und Rückgabe von Daten

(1) Überlassene Datenträger und Datensätze verbleiben im Eigentum des Verantwortlichen.

(2) Nach Abschluss der vertraglich vereinbarten Leistungen oder früher nach Aufforderung durch den Verantwortlichen, jedoch spätestens mit Beendigung der Leistungsvereinbarung,

Stand: 04/2024

Seite 6 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände (wie auch hiervon gefertigte Kopien oder Reproduktionen), die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verantwortlichen auszuhändigen oder nach vorheriger Zustimmung des Verantwortlichen datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Ein Löschungsprotokoll ist dem Verantwortlichen auf Anforderung vorzulegen.

(3) Der Auftragsverarbeiter kann Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, entsprechend den jeweiligen Aufbewahrungsfristen bis zu deren Ende auch über das Vertragsende hinaus aufbewahren. Alternativ kann er sie zu seiner Entlastung bei Vertragsende dem Verantwortlichen übergeben. Für die nach Satz 1 aufbewahrten Daten gelten nach Ende der Aufbewahrungsfrist die Pflichten nach Absatz 2.

7 Unterbeauftragung

(1) Der Auftragsverarbeiter darf weitere Auftragsverarbeiter (Unterauftragnehmer) nur mit vorheriger ausdrücklicher schriftlicher Zustimmung des Verantwortlichen in Anspruch nehmen. Mit deren Beauftragung erklärt sich der Verantwortliche einverstanden. Sofern es sich um eine allgemeine schriftliche Genehmigung handelt, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragnehmern. Der Verantwortliche kann gegen derartige Änderungen Einspruch erheben. Nicht als Leistungen von Unterauftragnehmern im Sinne dieser Regelung gelten Dienstleistungen, die der Auftragsverarbeiter bei Dritten als Nebenleistung zur Unterstützung der Auftragsdurchführung in Anspruch nimmt, beispielsweise Telekommunikationsdienstleistungen. Der Auftragsverarbeiter ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Verantwortlichen auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.

(2) Wenn Unterauftragnehmer durch den Auftragsverarbeiter eingeschaltet werden, hat der Auftragsverarbeiter sicherzustellen, dass seine vertraglichen Vereinbarungen mit dem Unterauftragnehmer so gestaltet sind, dass das Datenschutzniveau mindestens der Vereinbarung zwischen dem Verantwortlichen und dem Auftragsverarbeiter entspricht und alle vertraglichen und gesetzlichen Vorgaben beachtet werden; dies gilt insbesondere auch im Hinblick auf den Einsatz geeigneter technischer und organisatorischer Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus der Verarbeitung.

(3) Dem Verantwortlichen sind in der vertraglichen Vereinbarung mit dem Unterauftragnehmer Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung einzuräumen. Ebenso ist der Verantwortliche berechtigt, auf schriftliche Anforderung vom Auftragsverarbeiter Auskunft über den Inhalt des mit dem Unterauftragnehmer geschlossenen

Stand: 04/2024

Seite 7 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Vertrages und die darin enthaltene Umsetzung der datenschutzrelevanten Verpflichtungen des Unterauftragnehmers zu erhalten.

(4) Kommt der Unterauftragnehmer seinen datenschutzrechtlichen Verpflichtungen nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragnehmers. Der Auftragsverarbeiter hat in diesem Falle auf Verlangen des Verantwortlichen die Beschäftigung des Unterauftragnehmers ganz oder teilweise zu beenden oder das Vertragsverhältnis mit dem Unterauftragnehmer zu lösen, wenn und soweit dies nicht unverhältnismäßig ist.

8 Datenschutzkontrolle

Der Auftragsverarbeiter verpflichtet sich, der/dem Datenschutzbeauftragten des Verantwortlichen sowie der zuständigen Aufsichtsbehörde zur Erfüllung ihrer jeweiligen gesetzlichen zugewiesenen Aufgaben im Zusammenhang mit diesem Auftrag jederzeit Zugang zu den üblichen Geschäftszeiten zu gewähren. Der Auftragsverarbeiter unterwirft sich zusätzlich zu der für ihn bestehenden gesetzlichen Datenschutzaufsicht der Kontrolle der für den Verantwortlichen bestehenden Datenschutzaufsicht (hier: die/der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit) und der Kontrolle durch die/den Datenschutzbeauftragten des Verantwortlichen mit Ausnahme der Bereiche, die keinerlei Bezug zur Auftragserfüllung haben. Er duldet insbesondere Betretungs-, Einsichts- und Fragerechte der Genannten einschließlich der Einsicht in durch Berufsgeheimnisse geschützte Unterlagen. Er wird seine Mitarbeiter anweisen, mit den Genannten zu kooperieren, insbesondere deren Fragen wahrheitsgemäß und vollständig zu beantworten. Die nach Gesetz bestehenden Verschwiegenheitspflichten und Zeugnisverweigerungsrechte der Genannten bleiben davon unberührt.

9 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Anlage und aller ihrer Bestandteile - einschließlich etwaiger Zusicherungen des Auftragsverarbeiters - bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

(2) Sollten einzelne Regelungen dieser Vereinbarung unwirksam oder undurchführbar sein, wird davon die Wirksamkeit der übrigen Regelungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Regelung tritt diejenige wirksame und durchführbare Regelung, deren Wirkungen der Zielsetzung am nächsten kommt, die die Vertragsparteien mit der unwirksamen oder undurchführbaren Bestimmung verfolgt haben. Die vorstehenden Bestimmungen gelten entsprechend für den Fall, dass sich die Vereinbarung als lückenhaft erweist.

Stand: 04/2024

Seite 8 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Datum, Ort Datum, Ort

Unterschrift (Verantwortlicher) Unterschrift (Auftragsverarbeiter)

Name, Vorname Name, Vorname

Anhang TOM „Technisch-organisatorische Maßnahmen“

zur Vereinbarung zur Auftragsverarbeitung vom [Datum]

zwischen

ALDB GmbH Fehrbelliner Platz 3 10707 Berlin

und

…

[Auftragsverarbeiter/ Vertragspartner]

Stand: 04/2024

Seite 9 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Ziffer 4 der Vereinbarung zur Auftragsverarbeitung verweist zur Konkretisierung der technisch- organisatorischen Maßnahmen auf diesen Anhang.

§ 1 Technische und organisatorische Sicherheitsmaßnahmen

Die Vertragspartner sind verpflichtet, geeignete technische und organisatorische Maßnahmen so durchzuführen, dass die Verarbeitung der Daten im Einklang mit den gesetzlichen Anforderungen erfolgt und der Schutz der Rechte der betroffenen Person in angemessener Form gewährleistet ist.

§ 2 Innerbehördliche oder innerbetriebliche Organisation des Auftragsverarbeiters

Der Auftragsverarbeiter wird seine innerbehördliche oder innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden Daten oder Datenkategorien geeignet sind.

§ 3 Konkretisierung der Einzelmaßnahmen

(1) Im Einzelnen werden folgende Maßnahmen bestimmt, die der Umsetzung der Vorgaben des Art. 32 DSGVO dienen:

Nr. Maßnahme Umsetzung der Maßnahme

Stand: 04/2024

Seite 10 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

1. Zutrittskontrolle Folgende implementierte Maßnahmen verhindern, dass Unbefugte Zutritt zu den Unbefugten ist der Zutritt zu Datenverarbeitungsanlagen haben: Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet Zutrittskontrollsystem, Ausweisleser werden, zu verwehren. (Magnet-/Chipkarte)

Türsicherungen (elektrische Türöffner, Zahlenschloss, etc.)

Sicherheitstüren / -fenster

Gitter vor Fenstern/Türen

Abgeschlossener Serverraum

Schlüsselverwaltung/ Dokumentation der Schlüsselvergabe

Werkschutz, Pförtner

Alarmanlage

Videoüberwachung/ Überwachungseinrichtung

Spezielle Schutzvorkehrungen des Serverraums

Spezielle Schutzvorkehrungen für die Aufbewahrung von Back-Ups und/oder sonstigen Datenträgern

Besucherregelung (Besucher sind vorher bekannt und werden vom Empfang an den Besuchten übergeben)

Mitarbeiter- und Berechtigungsausweise

Sperrbereich

Stand: 04/2024

Seite 11 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

2. Zugangskontrolle Folgende implementierte Maßnahmen Es ist zu verhindern, dass verhindern, dass Unbefugte Zugang zu den Datenverarbeitungssysteme von Datenverarbeitungssystemen haben. Unbefugten genutzt werden können. Persönlicher und individueller User-Log-In bei Anmeldung am System bzw. Unternehmensnetzwerk

Autorisierungsprozess für Zugangsberechtigungen

Begrenzung der befugten Benutzer

Benutzerzugänge zu den Kundensystem- Konsolen sind durch Nitrokey Pro 2 geschützt

Single Sign-On

BIOS-Passwörter

Kennwortverfahren (Angabe von Kennwortparametern hinsichtlich Komplexität und Aktualisierungsintervall)

Elektronische Dokumentation von Passwörtern und Schutz dieser Dokumentation vor unbefugtem Zugriff

Protokollierung des Zugangs

Zusätzlicher System-Log-In für bestimmte Anwendungen

Automatische Sperrung der Clients nach gewissem Zeitablauf ohne Useraktivität (auch passwortgeschützter Bildschirmschoner oder automatische Pausenschaltung)

Firewall

Verschlüsselung von Datenträgern

Automatisches Sperren

Stand: 04/2024

Seite 12 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

3. Zugriffskontrolle Folgende implementierte Maßnahmen stellen sicher, dass Unbefugte keinen Zugriff auf Es ist zu gewährleisten, dass die zur personenbezogene Daten haben: Benutzung eines Datenverarbeitungssystems Verwaltung und Dokumentation von Berechtigten ausschließlich auf die ihrer differenzierten Berechtigungen Zugriffsberechtigung unterliegenden Abschluss von Verträgen zur Daten zugreifen können, und dass Auftragsdatenverarbeitung für die externe personenbezogene Daten bei der Pflege, Wartung und Reparatur von Verarbeitung nicht unbefugt gelesen, Datenverarbeitungsanlagen, sofern bei der kopiert, verändert oder entfernt Fernwartung die Verarbeitung von pbD, also werden können. der Umgang mit personenbezogenen Daten, Gegenstand der Dienstleistung ist.

Auswertungen/Protokollierungen von Datenverarbeitungen

Autorisierungsprozess für Benutzerzugänge zu den Kundensystem-Konsolen sind durch Nitrokey Pro 2 geschützt

Profile/Rollen

Verschlüsselung von CD/DVD-ROM, externen Festplatten und/oder Laptops (etwa per Betriebssystem, TrueCrypt, Safe Guard Easy, WinZip, PGP)

Maßnahmen zur Verhinderung unbefugten Überspielens von Daten auf extern verwendbare Datenträger (z. B. Kopierschutz, Sperrung von USB-Ports, „Data Loss Prevention (DLP)-System“)

Bedarfsorientierte Ausgestaltung des Berechtigungskonzepts und der Zugriffsrechte sowie deren Überwachung und Protokollierung

Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren (Beispiele: differenzierte Berechtigungen wie Profile, Rollen etc. Auswertungen, Kenntnisnahme, Veränderung, Löschung

Stand: 04/2024

Seite 13 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

4. Weitergabekontrolle Zur Sicherstellung sind folgende Maßnahmen Es ist zu gewährleisten, dass implementiert: personenbezogene Daten bei der Verschlüsselung von E-Mail bzw.- E-Mail- elektronischen Übertragung oder Anhängen (z. B. WinZip) während ihres Transports oder ihrer Speicherung auf Datenträger nicht Verschlüsselung des Speichermediums von unbefugt gelesen, kopiert, verändert Laptops oder entfernt werden können, und dass Gesicherter File Transfer (z. B. sftp) überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung Gesicherter Datentransport (z. B. SSL, ftp, personenbezogener Daten durch ftps, TLS) Einrichtungen zur Datenübertragung Verschlüsselung von CD/DVD-ROM, vorgesehen ist. externen Festplatten oder USB-Sticks (z. B. True Crypt, Safe Guard Easy, PGP)

Physikalische Transportsicherung

Verpackungs- und Versandvorschriften

Elektronische Signatur

Gesichertes WLAN (getrennt für Mitarbeiter und Gäste)

Fernwartungskonzept (z. B. Verschlüsselung, Ereignisauslösung durch Auftraggeber, Challenge-Response, Rückrufautomatik, Einmal-Passwort)

„Mobile Device Management-System“

„Data Loss Prevention (DLP)-System“

Regelung zum Umgang mit mobilen Speichermedien (z. B. Laptop, USB-Stick, Mobiltelefon)

Protokollierung von Datenübertragung oder Datentransport

Protokollierung von lesenden Zugriffen

Protokollierung des Kopierens, Veränderns oder Entfernens von Daten

Stand: 04/2024

Seite 14 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: 04/2024

Seite 15 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

6. Auftragskontrolle Durch folgende Maßnahmen ist sichergestellt, dass, dass personenbezogene Daten nur Es ist zu gewährleisten, dass entsprechend der Weisungen verarbeitet personenbezogene Daten, die im werden können. Auftrag verarbeitet werden, nur entsprechend den Weisungen des Vereinbarung zur Auftragsverarbeitung mit Verantwortlichen verarbeitet werden Regelungen zu den Rechten und Pflichten des können. Auftragnehmers und Auftraggebers

Prozess zur Erteilung und/oder Befolgung von Weisungen

Bestimmung von Ansprechpartnern und/oder verantwortlichen Mitarbeitern

Kontrolle/Überprüfung weisungsgebundener Auftragsdurchführung

Schulungen/Einweisung aller zugriffsberechtigten Mitarbeiter beim Auftragnehmer

Unabhängige Auditierung der Weisungsgebundenheit

Verpflichtung der Mitarbeiter auf das Datengeheimnis

Vereinbarung von Konventionalstrafen für Verstöße gegen Weisungen

Stand: 04/2024

Seite 16 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

7. Verfügbarkeitskontrolle Durch folgende Maßnahmen ist sichergestellt, Es ist zu gewährleisten, dass dass personenbezogene Daten gegen zufällige personenbezogene Daten gegen Zerstörung oder Verlust geschützt und für den zufällige Zerstörung oder Verlust Auftraggeber stets verfügbar sind. geschützt sind. Sicherheitskonzept für Software- und IT- Anwendungen

Back-Up Verfahren

Aufbewahrungsprozess für Back-Ups (ISO 27001 zertifiziertes Rechenzentrum)

Gewährleistung der Datenspeicherung im gesicherten Netzwerk

Bedarfsgerechtes Einspielen von Sicherheits-Updates

Spiegeln von Festplatten

Einrichtung einer unterbrechungsfreien Stromversorgung (USV)

Geeignete Archivierungsräumlichkeiten für Papierdokumente

Brand- und/oder Löschwasserschutz des Serverraums

Brand- und/oder Löschwasserschutz der Archivierungsräumlichkeiten

Klimatisierter Serverraum

Virenschutz

Firewall

Notfallplan

Erfolgreiche Notfallübungen

Redundante, örtlich getrennte Datenaufbewahrung (Offsite Storage)

Stand: 04/2024

Seite 17 von 18

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

8. Trennungskontrolle Folgende Maßnahmen stellen sicher, dass zu Es ist zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet Daten getrennt verarbeitet werden werden. können. Speicherung der verschiedenen Kunden- Daten in physikalisch getrennten Datenbanken

Verarbeitung auf getrennten Systemen

Zugriffsberechtigungen nach funktioneller Zuständigkeit

Getrennte Datenverarbeitung durch differenzierende Zugriffsregelungen

Mandantenfähigkeit von IT-Systemen

Verwendung von Testdaten

Trennung von Entwicklungs- und Produktionsumgebung

(2) Es ist ein Verfahren zu etablieren, das eine regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der zum Einsatz kommenden technischen und organisatorischen Maßnahmen durch die Vertragsparteien ermöglicht.

Datum, Ort Datum, Ort

Unterschrift (Verantwortlicher) Unterschrift (Auftragsverarbeiter)

Name, Vorname Name, Vorname

Stand: 04/2024

Seite 18 von 18