Verpflichtung zur Einhaltung der datenschutzrechtlichen Anforderungen
nach der Europäischen Datenschutzgrundverordnung (EU-DSGVO) und
Geheimhaltung für externe Mitarbeiter und Mitarbeiter von Fremdfirmen
Einsatzbereich in der NRW.BANK: ____________________________________________________
Name, Vorname (geb. am) (Name der Fremdfirma)
- Verpflichtung zur Einhaltung der datenschutzrechtlichen Anforderungen
Ich verpflichte mich, personenbezogene Daten nicht unbefugt (d.h. zu einem anderen als dem zur jeweiligen rechtmäßigen Aufgabenerfüllung gehörenden Zweck) zu erheben, zu verarbeiten (d.h. speichern, bekannt geben, übermitteln, verändern, sperren oder löschen) oder zu nutzen (d.h. lesen, auswerten oder auf andere Art verwenden).
Personenbezogene Daten dürfen nur verarbeitet werden, wenn eine entsprechende Rechtsgrundlage vorliegt (z.B.: vertragliche Vereinbarung, Einwilligung des Betroffenen, gesetzliche Verpflichtung) Die Grundsätze der EU-DSGVO für die Verarbeitung personenbezogener Daten sind in Art. 5 Abs. 1 EU-DSGVO festgelegt und beinhalten im Wesentlichen folgende Verpflichtungen:
Personenbezogene Daten
a) dürfen nur auf rechtmäßige Weise und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden; b) dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; c) dürfen nur verarbeitet werden, wenn sie dem Zweck angemessen und erheblich sind sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind („Datenminimierung“); d) müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden; e) dürfen nur in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; f) dürfen nur in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich dem Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
Verstöße gegen diese Verpflichtung können mit Geldbuße und/oder Freiheitsstrafe geahndet werden. Ein Verstoß kann zugleich eine Verletzung von arbeitsvertraglichen Pflichten oder spezieller Geheimhaltungspflichten darstellen. Auch (zivilrechtliche) Schadenersatzansprüche können sich aus schuldhaften Verstößen gegen diese Verpflichtung ergeben.
2 Verpflichtungserklärung extern 1
2 Verpflichtung zur Geheimhaltung von Daten der NRW.BANK und ihrer KundInnen
Ich verpflichte mich, über alle mir im Rahmen meiner vorgenannten Tätigkeit in der NRW.BANK zur Kenntnis gelangenden geschäftlichen Angelegenheiten und Vorgänge, insbesondere Bank-, Geschäfts- und Betriebsgeheimnisse sowie über sonstige vertrauli- che Angelegenheiten - auch während einer eventuellen Unterbrechung und nach Beendigung meiner Tätigkeit - Stillschweigen zu bewahren und alle Daten und Informationen vor Kenntnisnahme durch Unberechtigte zu schützen.
Diese Verpflichtung schließt ein, dass Unterlagen, die Kunden- oder Bankgeschäftsdaten enthalten, grundsätzlich nicht aus den Bankgebäuden entfernt oder auf bankfremden IT- Systemen verarbeitet werden dürfen. Falls dies in einem Ausnahmefall nicht zu vermeiden ist, so werde ich die vorherige Zustimmung der verantwortlichen Stelle der NRW.BANK einholen lassen und deren gesonderte Weisung beachten.
Alle sonstigen Unterlagen der NRW.BANK, auf die ich im Rahmen meiner Tätigkeit Zugriff habe (z. B. NRW.BANK - Handbücher, Systemdokumentationen, Organisationsbeschreibungen, etc.), werde ich so behandeln, dass eine unbefugte Kenntnisnahme durch Dritte, auch in den Räumlichkeiten des Auftragnehmers bzw. aufgrund von Fernzugriffen, verhindert wird.
Zu entsorgende Unterlagen der NRW.BANK werde ich entweder mit einem Ak- tenvernichter unleserlich machen oder über die vorgegebenen Entsorgungswege der NRW.BANK entsorgen. Diese Verpflichtung gilt für jegliche Papierunterlagen und elektronischen Speichermedien mit Daten der NRW.BANK.
Sollte ich Kenntnis erhalten von unberechtigter Weitergabe oder Verletzung der Vertraulichkeit von Informationen, so werde ich unverzüglich meine(n) AnsprechpartnerIn in der NRW.BANK informieren.
Die Geheimhaltungspflichten gelten nicht für aufgabenunabhängige berufliche Fachkenntnisse.
2 Verpflichtungserklärung extern 2
3 Verpflichtung zur Beachtung der NRW.BANK-Regelungen betreffend der Nutzung von IT-Systemen
Ich verpflichte mich, den Zugang zu den Systemen der NRW.BANK nur durch die von der Bank zur Verfügung gestellten Endgeräte oder über entsprechend von der NRW.BANK bereitgestellte technische Verfahren durchzuführen. Dies gilt auch bei Tätigkeiten außerhalb der Räumlichkeiten der NRW.BANK. Ausnahmeregelungen sind vorab mit der beauftragenden Stelle bei der NRW.BANK, unter Einbeziehung des/der Informationssicherheitsbeauftragten und des/der betrieblichen Datenschutzbeauftragten, abzustimmen. Mir ist bekannt, dass der Anschluss meiner eigenen Endgeräte an die IT- Infrastruktur der NRW.BANK unzulässig ist mit der Ausnahme der Nutzung des Berater- VLANs für den Internetzugang.
Die IT-Systeme der NRW.BANK werde ich ausschließlich für die Erfüllung meiner beauftragten Tätigkeit nutzen.
Ich verpflichte mich, die mir mitgeteilten NRW.BANK - Regelungen über den vertrauli- chen Umgang mit der Benutzeridentifikation und dem persönlichen Passwort zu beach- ten und meine Benutzerkennung und mein Passwort nicht an andere weiterzugeben.
Für mich eingerichtete Berechtigungen in den IT-Systemen oder Zutrittsberechtigungen, die offensichtlich über die für meine Vertragserfüllung erforderlichen Berechtigungen hinausgehen, werde ich meinem/meiner AnsprechpartnerIn unverzüglich mitteilen. Mir ist bekannt, dass die Nutzung dieser Berechtigungen als Missbrauch gewertet wird. Ferner verpflichte ich mich, meinen Berechtigungsumfang nur zur Erledigung der mir übertragenen Aufgaben/der mir von der oben genannten Fremdfirma übertragenen Aufgaben zu verwenden.
Beim Verdacht des Missbrauchs meiner Berechtigung, dem Bekanntwerden von Pass- wörtern oder dem Verlust von zusätzlichen Sicherheitsmedien (z. B. meiner SecureID- Card) werde ich die zuständigen Stellen der NRW.BANK unverzüglich informieren.
Bei der Übertragung von internen oder vertraulichen Informationen über das Internet bzw. der Verarbeitung solcher Daten auf mobilen IT-Systemen (z. B. Notebooks) ist eine von der Bank freigegebene Verschlüsselungshardware oder -software einzusetzen.
Insbesondere werde ich keine Daten auf der lokalen Festplatte des mir zur Verfügung gestellten PCs speichern.
Mir ist bekannt, dass das Erstellen von Kopien von Daten ohne Bezug zum Auftrag unzulässig ist, insbesondere unter Beachtung des Urheberrechts.
Die Nutzung des USB- Anschlusses, des DVD/CD-Laufwerks, des Email-Verkehrs mit externen Adressaten und die Nutzung des Internets (mit Ausnahme im Falle von Recherchezwecken) ist mir grundsätzlich untersagt. Ausnahmen müssen separat beantragt werden.
2 Verpflichtungserklärung extern 3
4 Verpflichtung zum sorgfältigen Umgang mit IT-Ressourcen
Ich verpflichte mich, mit den IT-Ressourcen der NRW.BANK, auf die ich im Zusammen- hang mit meiner Tätigkeit Zugriff habe, sorgfältig und bestimmungsgemäß umzugehen, d.h. im Sinne des Auftrags bzw. der zwischen der NRW.BANK und dem Auftragnehmer getroffenen vertraglichen Absprachen. Dieses gilt bei allen IT-Systemen. Die mir zur Verfügung gestellten Daten und IT-Ressourcen werde ich nur zum Zweck meiner Aufgabenerfüllung verwenden.
Auf Aufforderung und nach Abschluss meiner Tätigkeiten für die NRW.BANK werde ich alle mir überlassenen Daten, Informationen und Arbeitsmittel (z.B. Laptop, Tablet, Mobiltelefon) der NRW.BANK zurückgeben.
Ereignisse, welche die Sicherheit der Daten und Systeme des Auftraggebers gefährden, sind unverzüglich zu melden.
5 Tätigkeit bei Drittkunden
Soweit ich im Auftrag der NRW.BANK/im Auftrag der oben genannten Fremdfirma für DrittkundInnen der NRW.BANK tätig werde, werde ich alle in dieser Erklärung enthaltenen Verpflichtungen dort entsprechend erfüllen.
6 Bestätigung der Unterrichtung
Ich bin mir bewusst, dass ein Verstoß gegen die vorstehenden Verpflichtungen eine Ver- letzung des Vertragsverhältnisses zwischen meinem Arbeitgeber/mir und der NRW.BANK darstellt, die auch arbeits- und strafrechtliche Konsequenzen haben kann.
7 Behandlung von Verstößen Mir ist bekannt, dass die NRW.BANK bei Verstoß gegen diese Regelungen rechtliche Schritte gegen mich einleiten wird.
Die Verpflichtungen gelten auch nach Beendigung der Tätigkeit weiter.
Ich werde diese Verpflichtung einhalten. Ein Exemplar der Verpflichtung habe ich erhalten.
Ort, Datum Unterschrift des/der Verpflichteten
2 Verpflichtungserklärung extern 4