Verpflichtung zur
Informationssicherheit
gegenüber der
LfA Förderbank Bayern
nachfolgend kurz „LfA“ genannt
durch
externen Auftragnehmer
nachfolgend kurz „ext. AN“ genannt.
Seite 1 von 4 783/04.20
PRÄAMBEL Die LfA beauftragt im Rahmen ihrer Geschäftstätigkeit Dritte (ext. AN). In diesem Zusammenhang
kann es erforderlich sein, dass die LfA dem ext. AN oder dessen Mitarbeitern höchst sensible Daten,
Unterlagen und sonstige Informationen der LfA oder auch ihrer Kunden oder Geschäftspartner
zugänglich macht, die bei einer unbefugten Weitergabe an Dritte zu einem wirtschaftlichen Schaden
bei der LfA oder den betroffenen Kunden oder Geschäftspartnern führen können, bzw. deren unbe-
fugte Verarbeitung schlichtweg verboten ist. Dies vorausgeschickt, verpflichtet sich der ext. AN zu
Folgendem:
- GEHEIMHALTUNG VON INFORMATIONEN
Unter „Informationen“ im Sinne dieser Verpflichtung werden alle Daten, Unterlagen und sons- tige Angaben verstanden, die die LfA gegenüber dem ext. AN im unmittelbaren oder mittelba- ren Zusammenhang mit dem Projekt/Auftrag in irgendeiner Form (z.B. mündlich, schriftlich oder durch Einsichtnahme) zugänglich macht oder die der ext. AN erhält oder erstellt - einschließlich erstellter Kopien und Zusammenfassungen. Der ext. AN wird stets alle Informationen, die ihm in diesem Zusammenhang durch die LfA zugänglich gemacht werden, vertraulich behandeln und vor dem Zugriff Dritter schützen. Dies gilt auch für Analysen und Ergebnisse, die auf Basis der zugänglich gemachten Informationen erstellt werden. Zur Sicherstellung der Geheimhaltung verpflichtet sich der ext. AN, angemes- sene technische und organisatorische Maßnahmen zum Schutze der Informationen zu ergrei- fen. Ausgenommen von dieser Geheimhaltungspflicht sind nur Informationen, die allgemein zugänglich sind, dem ext. AN vor Erhalt ohne Geheimhaltungsverpflichtung rechtmäßig be- kannt waren, von der LfA zur Veröffentlichung schriftlich freigegeben wurden oder aufgrund bindender behördlicher oder richterlicher Anordnung oder zwingender rechtlicher Vorschriften zu offenbaren sind. Bei Meinungsverschiedenheiten zwischen den Parteien, ob mitgeteilte Informationen vertrau- lich zu behandeln sind, hat die LfA gegenüber dem ext. AN ein verbindliches Bestimmungs- recht.
- VERWENDUNG UND WEITERGABE DER INFORMATIONEN
Der ext. AN verpflichtet sich, die Informationen vertragsgemäß ausschließlich nur im Zusammenhang mit den ihm übertragenen Aufgaben zu verwenden. Die Informationen dürfen nicht zu anderen, insbesondere nicht zu Wettbewerbszwecken, genutzt werden. Der ext. AN trifft alle Vorkehrungen, um eine auch nur versehentliche Weitergabe der Informationen zu vermeiden. Die Informationen dürfen nur an die Mitarbeiter des ext. AN weitergegeben werden welche für die Aufgabenerfüllung unbedingt notwendig sind. Der Grundsatz der Datensparsamkeit ist zu beachten. An welche Mitarbeiter des ext. AN die Informationen der LfA weitergegeben wurden ist vom ext. AN aktuell, schriftlich festzuhalten. Diese Liste ist auf Anforderung an die LfA weiter zu geben Der ext. AN verpflichtet sich zudem, seine Mitarbeiter, die im Rahmen der Beauftragung für die LfA tätig werden, im Sinne dieser Vereinbarung zu unterweisen und hinsichtlich der hie- raus resultierenden Verhaltensweisen zu verpflichten. Dies ist vollständig zu dokumentieren.
Seite 2 von 4 783/04.20
Werden im Rahmen des Auftrages auch nicht verbundenen Unternehmen, Subunternehmer oder Berater hinzugezogen gelten diese Regelungen sinngemäß. Die LfA ist und bleibt einzige Eigentümerin sämtlicher Daten und ist berechtigt, jederzeit die Herausgabe einzelner oder sämtlicher Daten zu verlangen. Die LfA ist jederzeit berechtigt, die Einhaltung der vorstehenden Vereinbarungen zu überprü- fen.
- AUFENTHALT IN SENSIBLEN RÄUMEN
Für die Absprache, inwiefern der ext. AN sich ohne Aufsicht in sensiblen Räumen (z.B. Technisches Zentrum, Verteilerräume oder Büros der Personalabteilung) aufhalten darf, ist die LfA verantwortlich. Dazu findet eine Einweisung statt, die von der LfA dokumentiert wird. In dieser Dokumentation ist festgelegt, für welche Arbeiten der ext. AN den Zugang zu welchen Räumen bekommt. Wenn die Tätigkeit verlangt, dass der ext. AN (z.B. Reinigungspersonal) öfter Zugang zu sensiblen Räumen benötigt, erfolgt die Einweisung einmal zu Beginn des Auftrages. Den diesbezüglichen Weisungen der LfA wird der ext. AN Folge leisten.
- RÜCKGABE
Der ext. AN hat jederzeit auf Anforderung durch die LfA alle ihm schriftlich oder technisch zugänglich gemachten Informationen sowie für ihn erstellte Auswertungen, Zusammenfassun- gen, Analysen, Konzepte etc. herauszugeben. Von der Herausgabepflicht erfasst sind auch sämtliche Kopien, Abschriften und Vervielfältigungen. Soweit eine Herausgabe technisch nicht möglich ist, verpflichtet sich der ext. AN, die geheim zu haltenden Informationen zu vernichten bzw. zu löschen und dies in geeigneter Form nachzuweisen. Auf Verlangen ist der ext. AN verpflichtet, in Bezug auf die vorher genannten Pflichten eine schriftliche Erklärung abzugeben. Darin hat er nach bestem Wissen und Gewissen zu versi- chern, dass er alle möglichen Anstrengungen unternommen hat, um die genannten Verpflichtungen zu erfüllen. Die Rückgabe bzw. Löschung der Informationen entbindet den ext. AN nicht von der Verpflich- tung zur Vertraulichkeit. Von der Verpflichtung zur Löschung bzw. Vernichtung ist der ext. AN nur insoweit befreit, als ihn für die konkrete Information gesetzliche Aufbewahrungspflichten treffen.
- INFORMATIONSPFLICHT BEI VERLETZUNGEN
Wenn dem ext. AN eine Verletzung des Schutzes von Informationen bekannt wird, unterrichtet er die LfA unverzüglich darüber. Die Unterrichtung erfolgt an den ISB der LfA an folgende E- Mail-Adresse „IT-Sicherheitsbeauft@lfa.de“. Gleiches gilt, wenn der ext. AN oder von ihm eingesetzte Personen gegen Vorschriften zum Schutz von Informationen / personenbezogener Daten oder gegen diese Verpflichtungserklä- rung verstoßen. Der ext. AN trifft die erforderlichen Maßnahmen zur Sicherung der Informationen, Minderung möglicher nachteiliger Folgen für die LfA oder betroffene Personen und stimmt sich hierzu unverzüglich mit der LfA ab.
Seite 3 von 4 783/04.20
- SCHLUSSBESTIMMUNGEN
Die von dem ext. AN unter dieser Verpflichtungserklärung geschuldeten Pflichten, Handlungen, Beistellungen und Mitwirkungen sind mit der im jeweiligen Auftrag vereinbarten Vergütung für die vom ext. AN geschuldeten Leistungen abgegolten. Der ext. AN erklärt sich mit den vorhandenen Regelungen durch seine Unterschrift einverstan- den.
Ort und Datum Unterschrift / Firmenstempel
Seite 4 von 4 783/04.20