[Seite 1]
Anlage 4 zum
EVB-IT Systemvertrag 113/044/26
zur
Fernwartung gemäß Artikel 28 und 29 Datenschutzgrundverordnung (DSGVO)
für das
IT-Verfahren „Seminarverwaltung BZ Reinhardtsgrimma“ am Sächsischen Landes-
amt für Umwelt, Landwirtschaft und Geologie
Anlage Teleservice Seite 1
[Seite 2]
§ 1 Gegenstand
Der Auftragnehmer erbringt Teile der Leistung des Systemservices und der Mängelhaftung
mittels Teleservice. Der Teleservice beinhaltet Fehlererkennung, Diagnose, Datenanalyse o-
der Optimierung zu Wartungs- und Reparaturzwecken. Zu diesem Zweck verarbeitet der Auf-
tragnehmer auch personenbezogene Daten des Auftraggebers als Auftragsverarbeiter.
§ 2 Verfahrensregelungen
(1) Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind schriftlich
zu vereinbaren.
§ 3 Pflichten des Auftraggebers
(1) Für die Beurteilung der Zulässigkeit der Fernwartung sowie für die Wahrung der Rechte
der Betroffenen bleibt der Auftraggeber verantwortlich.
(2) Der Auftraggeber hat das Recht, Weisungen über Art, Umfang und Ablauf der Fernwartung
schriftlich oder mündlich zu erteilen. Verantwortliche Personen des Auftraggebers und Auf-
tragnehmers sind die gemäß Vertrag angegebenen Ansprechpartner sowie ein speziell für den
Teleservice vom Betreiber (IT-Referat) benannter Ansprechpartner sowie Stellvertreter. Bei
einem Wechsel oder einer längerfristigen Verhinderung des Ansprechpartners wird dem Ver-
tragspartner unverzüglich schriftlich der Nachfolger bzw. der Vertreter mitgeteilt.
(3) Im System des Auftraggebers werden alle Zugriffe, die für Wartungsarbeiten erfolgen, pro-
tokolliert. Die Protokollierung muss so erfolgen, dass sie nachvollziehbar ist. Die Protokollie-
rung darf vom Auftragnehmer nicht abgeschaltet werden.
(4) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unre-
gelmäßigkeiten feststellt, die bei der Fernwartung aufgetreten sind.
§ 4 Pflichten des Auftragnehmers
(1) Der Auftragnehmer führt die Fernwartung ausschließlich im Rahmen der getroffenen Ver-
einbarungen und nach Weisungen des Auftraggebers durch. Er verwendet Daten, die ihm im
Rahmen der Erfüllung seines Auftrages bekannt geworden sind, nur für Zwecke der Fernwar-
tung. Kopien, Dumps oder Debugger-Protokolle werden ohne Wissen des Auftraggebers nicht
erstellt. Soweit möglich erfolgt die Fernwartung am Bildschirm ohne gleichzeitige Speicherung.
(2) Der Auftragnehmer führt seinerseits regelmäßig Kontrollen zur vertragsgerechten Erfüllung
seiner Aufgaben durch und dokumentiert diese.
(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er Sachverhalte oder
Unregelmäßigkeiten feststellt, die gegen die DSGVO, das Sächsische Datenschutzdurchfüh-
rungsgesetz (SächsDSDG) oder andere Vorschriften des Datenschutzes verstoßen.
Anlage Teleservice Seite 2
[Seite 3]
(4) Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses ihm direkt
oder indirekt zur Kenntnis gekommenen vertraulichen Informationen strikt vertraulich zu be-
handeln und in keinem Fall Dritten zur Kenntnis zu bringen.
(5) Notwendige Datenübertragungen zu Zwecken der Fernwartung müssen in verschlüsselter
Form erfolgen; Ausnahmen sind schriftlich zu begründen.
(6) Der Auftragnehmer teilt dem Auftraggeber vor Beginn der Fernwartung mit, welche Mitar-
beiter er dafür einsetzen wird und wie diese Mitarbeiter sich identifizieren werden. Die Mitar-
beiter des Auftragnehmers verwenden sichere Identifizierungsverfahren.
(8) Der Beginn der Fernwartung ist telefonisch anzukündigen, um den Beauftragten des Auf-
traggebers die Möglichkeit zu geben, die Maßnahmen der Fernwartung zu verfolgen.
(9) Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer alle erstellten Verarbei-
tungs- oder Nutzungsergebnisse dem Auftraggeber auszuhändigen. Die dabei entstehenden
Datenträger des Auftragnehmers sind danach physisch zu löschen. Test- und Ausschussma-
terial ist unverzüglich zu vernichten.
(10) Die Beauftragung vom Subauftragnehmer bedarf der schriftlichen Zustimmung des Auf-
traggebers. Der Auftragnehmer hat in diesem Falle vertraglich sicher zu stellen, dass die ver-
einbarten Regelungen auch gegenüber Subunternehmern gelten. Er hat die Einhaltung dieser
Pflichten regelmäßig zu überprüfen und zu dokumentieren. Die Weiterleitung von Daten ist
erst zulässig, wenn der Subunternehmer die Verpflichtung nach § 5 erfüllt hat.
(11) Für die Sicherheit erhebliche Entscheidungen zur Organisation der Fernwartung und zu
den angewandten Verfahren sind mit dem Auftraggeber abzustimmen.
(12)Der Auftraggeber hat das Recht, die Fernwartung zu unterbrechen, insbesondere wenn er
den Eindruck gewinnt, dass unbefugt auf Dateien zugegriffen wird. Die Unterbrechung kann
ferner erfolgen, wenn eine Fernwartung mit nicht vereinbarten Hard- oder Softwarekomponen-
ten festgestellt wird.
(13) Der Auftraggeber hat das Recht, Sicherheitsüberprüfungen beim Auftragnehmer durch-
zuführen. Der Auftragnehmer unterstützt diese Prüfung in dem er ggf. notwendiges Personal
und Infrastruktur bereitstellt.
§ 5 Datengeheimnis
(1) Der Auftragnehmer verpflichtet sich, das Datengeheimnis zu wahren und die im Rahmen
dieses Vertrages tätig werdenden Mitarbeiter auf das Datengeheimnis gemäß Artikel 28 Ab-
satz 3 Satz 2 Buchstabe b) DSGVO schriftlich zu verpflichten.
(2) Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschrif-
ten bekannt sind. Der Auftragnehmer sicher zu, dass er die bei der Durchführung der Arbeiten
Anlage Teleservice Seite 3
[Seite 4]
beschäftigten Mitarbeiter mit den für sie maßgebenden Bestimmungen des Datenschutzes
vertraut macht. Er überwacht die Einhaltung der datenschutzrechtlichen Vorschriften.
(3) Der Auftragnehmer hat Betroffenenwünsche (Auskunft, Berichtigung, Löschung, Sperrung)
immer an den Auftraggeber weiterzuleiten. Auskünfte an Dritte darf der Auftragnehmer nicht
erteilen, Auskünfte an Mitarbeiter des Auftraggebers darf der Auftragnehmer nur gegenüber
den gemäß § 3 Abs. 2 dieser Vereinbarung autorisierten Personen erteilen.
§ 6 Datensicherungsmaßnahmen
(1) Um die Übertragung der Daten abzusichern und unbefugten Zugang auf die Systeme des
Auftraggebers im Rahmen der Fernwartung zu verhindern, legt der Auftraggeber folgende
technische und organisatorische Maßnahmen verbindlich fest:
Fernwartungen werden vom Auftragnehmer mit dem Verfahrensbetreuer oder Fach-
administrator der Anwendung und dem Betreiber (IT-Referat) abgestimmt.
Das IT-Referat gibt dem Auftragnehmer einen Ansprechpartner und Stellvertreter (IT-
Mitarbeiter) für die Durchführung der Fernwartung an.
Die Fernwartung darf nur mit Wissen des IT-Referates durchgeführt werden.
Der Auftragnehmer gibt vor der Wartung an, welche Maßnahmen er beabsichtigt
durchzuführen.
Die Fernwartung ist dem IT-Referat mindestens einen Tag vor der geplanten Durch-
führung anzukündigen; Zeitpunkt und Dauer der Fernwartung sind einvernehmlich
festzulegen.
Die Fernwartung ist i. d. R während der Funktionszeiten durchzuführen, damit eine
Verfolgung der Maßnahmen der Fernwartung durch das IT-Referat möglich ist.
Die Fernwartung kann außerhalb der Funktionszeiten durchgeführt werden, sofern
die Anwesenheit des IT-Personals sichergestellt ist.
Es ist sicherzustellen, dass Remote-Verbindungen nur zu den vorgesehenen Rech-
nern hergestellt werden können und der Zugriff auf andere Anwendungen und Daten
ausgeschlossen ist.
Bei schreibenden Zugriffen in einer Produktivumgebung muss sichergestellt werden,
dass Fehler, zufälliges Löschen oder Verändern korrigierbar ist, indem auf den Ar- beitsstand vor Beginn der Wartungsarbeiten zurückgegriffen werden kann1.
Der Auftragnehmer dokumentiert die durchgeführten Maßnahmen und übergibt dem
IT-Referat unmittelbar nach der Fernwartung ein entsprechendes Protokoll.
1 z. B. durch das Anlegen von Snapshots in einer virtualisierten Betriebsumgebung oder Einführung einer spezifischen Manage- mentsoftware.
Anlage Teleservice Seite 4
[Seite 5]
Das IT-Referat prüft unmittelbar nach der Fernwartung die Ergebnisse und stellt si-
cher, dass der technische Betrieb der Anwendung gewährleistet ist.
Das IT-Referat leitet das Protokoll nach Abschluss der Maßnahmen an den Verfah-
rensbetreuer oder Fachadministrator der Anwendung weiter.
(2) Der Auftragnehmer beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung, dazu
zählt insbesondere eine Absicherung seiner Systeme gemäß aktuellem Stand der Technik. Er
gewährleistet die vertraglich vereinbarten und gesetzlich vorgeschriebenen Datensicherheits-
maßnahmen.
(3) Die technischen und organisatorischen Maßnahmen können im Laufe des Auftragsverhält-
nisses der technischen und organisatorischen Weiterentwicklung angepasst werden. Wesent-
liche Änderungen sind schriftlich zu vereinbaren.
(4) Soweit die beim Auftragnehmer getroffenen Sicherheitsmaßnahmen den Anforderungen
des Auftraggebers nicht genügen oder unvorhergesehen vom vereinbarten Standard abwei-
chen, benachrichtigt er den Auftraggeber unverzüglich.
§ 7 Vertragsdauer
(1) Beginn und Dauer der Fernwartungsleistungen sowie Kündigungsfristen entsprechen der
Gewährleistungsdauer sowie dem Beginn und der Dauer der vereinbarten Serviceleistungen
gemäß BVB-Planungsvertrag.
(2) Der Auftraggeber kann den Teleservice jederzeit ohne Einhaltung einer Frist kündigen,
wenn ein schwerwiegender Verstoß des Auftragnehmers gegen die Bestimmungen der
DSGVO, des SächsDSDG oder dieser Vereinbarung vorliegt, der Auftragnehmer eine Wei-
sung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer den Zutritt des
Auftraggebers vertragswidrig verweigert.
§ 8 Vergütung
Gemäß BVB-Planungsvertrag.
§ 9 Haftung
Für den Ersatz von Schäden, die ein Betroffener wegen einer nach der DSGVO, dem
SächsDSDG oder anderen Vorschriften für den Datenschutz unzulässigen oder unrichtigen
Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, ist der Auftraggeber gegen-
über den Betroffenen verantwortlich. Soweit der Auftraggeber zum Schadensersatz gegen-
über dem Betroffenen verpflichtet ist, bleibt ihm der Rückgriff auf den Auftragnehmer vorbe-
halten.
Anlage Teleservice Seite 5