Anlage 7 - AV (Fern)Wartung und Instandhaltung (V1.1 2022-02).docx

Vertragliche Vereinbarungen

1. Rechte und Pflichten der Vertragspartner
   1. Die Rechte und Pflichten von Auftraggeber und Auftragnehmer für die Datenverarbeitung aufgrund der oben in Bezug genommen vertraglichen Vereinbarung ergeben sich aus den Bedingungen für die Auftragsverarbeitung (BedAV, Anlage 1) und der Übersicht der technischen und organisatorischen Maßnahmen (TOMs, Anlage 2) in der Anlage zu diesem Vertrag.
   2. Anlage 1 und Anlage 2 sind wirksame Bestandteile dieses Vertrages.
2. Besondere Vereinbarungen
   1. Der Auftragnehmer führt im Auftrag des Auftraggebers die vereinbarten Arbeiten aus. In diesem Zusammenhang ist nicht ausgeschlossen, dass der Auftragnehmer Zugriff auf personenbezogene Daten bekommt bzw. Kenntnis erlangt. Daher ist der Abschluss eines Auftragsverarbeitungsvertrages nach Art. 28 DS-GVO erforderlich.
   2. Die Verpflichtungen der BedAV werden auf diejenigen beschränkt, die sich auf das Verbot unbefugter Verarbeitung personenbezogener Daten und die Verpflichtung des Auftragnehmers, seiner Beschäftigten und der Subunternehmer als Mitwirkende gemäß § 203 Abs.3 StGB und die daraus resultierenden Geheimhaltungspflichten beziehen.
   3. Bei versehentlicher oder unbefugter Speicherung personenbezogener Daten sind diese rückstandslos unverzüglich zu löschen.
   4. Der Auftragnehmer führt ein Serviceprotokoll. Es beinhaltet Datum, Uhrzeit, Dauer, Name Servicemitarbeiter/in und eine nachvollziehbare Darstellung der Aktivitäten. Das Serviceprotokoll ist mindestens ein Jahr aufzubewahren. Der Auftraggeber erhält auf Nachfrage Auszüge zu ihn betreffenden konkreten Vorgängen.
   5. Der Auftragnehmer macht von den ihm eingeräumten Zugriffsrechten auf automatisierten Verfahren oder von Datenverarbeitungsanlagen (IT-Systeme, Anwendungen) des Auftraggebers nur in dem Umfang Gebrauch, wie dies für die ordnungsgemäße Durchführung der beauftragten Wartungs- und Prüfungsarbeiten notwendig ist. Nach Abschluss der einzelnen Tätigkeitserbringung wird die aktuelle Fernzugriff-Sitzung durch den Auftragnehmer unverzüglich und zuverlässig geschlossen bzw. beendet.
   6. Der Auftraggeber behält sich vor, stichprobenartig oder komplett Systemzugänge oder Serviceaktivitäten zu protokollieren und mitzuverfolgen. Protokolldaten werden im 13. Monat nach Entstehen gelöscht. Der Auftragnehmer hat sein Personal hierauf hinzuweisen.
   7. Fernzugriffe im Rahmen von Wartungs- und Prüfungsarbeiten sowie sämtliche in diesem Zusammenhang erforderlichen Tätigkeiten werden unter Berücksichtigung von technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten durchgeführt.
   8. Bei Fernzugriffen ist der Auftraggeber, soweit technisch möglich, berechtigt, diese von einem Kontrollbildschirm aus zu verfolgen und jederzeit abzubrechen.
   9. Verletzungen der Informationssicherheit beim Auftragnehmer mit eingetretenen oder möglichen negativen Auswirkungen auf den Auftraggeber sind unverzüglich dem Auftraggeber schriftlich oder in Textform zu melden. Dies schließt Verletzungen der Informationssicherheit beim Auftragnehmer mit einer Gefährdung der vertraglich definierten Leistungen ein.

3. Zugriffmöglichkeiten bei Fernwartungsarbeiten

• 1. Der Auftraggeber ermöglicht dem Auftragnehmer für seine vertraglichen Arbeiten einen Fernzugriff (Remote Access). Dieser kann sich damit von seinem Remote-Rechner über das Internet (öffentliches Netzwerk) mit dem Rechnernetz des Auftraggebers verbinden.
  2. <aus den folgenden Alternativen die zutreffende wählen, Rest bitte löschen>
     1. Der Zugriff erfolgt nicht direkt auf das interne System, sondern über ein SSL-VPN-Gateway (kryptographische Verschlüsselung nach dem Stand der Technik), das sich zwischen der externen und internen Firewall des Klinikums befindet. Dieses Gateway stellt den exklusiven Zugangspunkt für alle Remoteverbindungen dar. Die Kommunikation wird durch Firewallregeln des Auftraggebers auf die erforderlichen Ziel-IP-Adressen und die notwendigen Dienste eingeschränkt.
     2. Der Zugriff erfolgt nicht direkt auf das interne System, sondern auf einen „Virtual Desktop / Remote Desktop“ Arbeitsplatz (bspw. Citrix) mit entsprechend darauf eingerichteten Werkzeugen (kryptographische Kommunikationsverschlüsselung nach dem Stand der Technik). Diese Anwendung stellt den exklusiven Zugangspunkt für alle Remoteverbindungen dar.
     3. Die Anbindung erfolgt über einen Punkt-zu-Punkt-verschlüsselten IPSEC-Tunnel vom Auftraggebers zum Auftragnehmer (kryptographische -Verschlüsselung nach dem Stand der Technik). Die Kommunikation wird durch Firewallregeln des Auftraggebers auf die erforderlichen Ziel-IP-Adressen und die notwendigen Dienste eingeschränkt.
     4. Der Zugriff erfolgt über eine Ende zu Ende verschlüsselte Kommunikationsverbindung nach dem Stand der Technik auf einen Arbeitsplatz- oder Serversystem des Auftraggebers. Vom Auftraggeber freigegebene Werkzeuge / Applikationen (z.B. Teamviewer, Webex) kommen auf jeweils individuelle Initiative des Auftraggebers zum Einsatz.
  3. Nur bei Varianten 3.2.1 – 3.2.3: Der Auftragnehmer bzw. seine für die Arbeiten eingesetzten Beschäftigten authentifizieren sich mit einer Zwei-Faktor-Authentifizierung (Kennwort und Einmalpasswort eines Hardware-/Software-Tokens) . Der Auftragnehmer hat sicherzustellen, dass Unbefugte keine Möglichkeit einer Nutzung von Hard- oder Softwaretoken erhalten. Der Softwaretoken ist dabei vom zugreifenden Gerät/System (Remote-Rechner) des Auftragnehmers zu separieren. Das Hardwaretoken ist nach Beendigung des Vertrages zurückzugeben Die Registrierung des Auftragnehmers für den Erhalt von Softwaretokens wird nach Beendigung des Vertrages gelöscht/gesperrt.

Nur Variante 3.2.4: Der Auftragnehmer erhält eine individuelle Einladung mit Session-ID und Einmalkennwort. Er hat sicherzustellen, dass Unbefugte keine Kenntnis von der Session-ID und/oder dem Einmalpasswort erhalten sowie die Authentizität der durchführenden Person des Auftragnehmers zu gewährleisten.

Unterschriften