Struktur

Dieser AVV ist wie folgt gegliedert:

Abschnitt A – Schlüsselbegriffe

Die in Abschnitt A definierten Variablen dienen als Definitionen in Abschnitt B und Abschnitt C.

Abschnitt B – Allgemeine Bestimmungen

1. Zweck und Geltungsbereich

Zweck dieser Datenverarbeitungsvereinbarung (der „AVV“) ist es, die Einhaltung von Artikel 28 Absatz 3 und 4 der EU-Datenschutz-Grundverordnung („DSGVO“) und Artikel 9 des Schweizerischen Bundesgesetzes über den Datenschutz („DSG“) sicherzustellen, jeweils nur insoweit, als diese Gesetze auf die jeweilige Verarbeitungstätigkeit anwendbar sind.

Dieser AVV gilt für die Verarbeitung personenbezogener Daten wie in Abschnitt A spezifiziert.

2. Auslegung

Soweit in diesem AVV Begriffe verwendet werden, die in der DSGVO oder dem DSG definiert sind, haben diese Begriffe die gleiche Bedeutung wie in dem jeweiligen Gesetz.

Dieser AVV ist im Lichte der Bestimmungen der DSGVO und des DSG, sofern anwendbar, zu lesen und auszulegen.

Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die im Widerspruch zu Rechten und Pflichten aus der DSGVO oder dem DSG steht oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beeinträchtigt.

3. Beschreibung der Verarbeitungsvorgänge

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Verarbeitungszwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Abschnitt A angegeben.

4. Pflichten der Parteien

   
   

   1. Allgemeines

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Union, der Mitgliedstaaten oder der Schweiz, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet. Solche Weisungen sind in Abschnitt A spezifiziert. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Nachträgliche Weisungen können vom Verantwortlichen auch während der gesamten Dauer der Verarbeitung personenbezogener Daten erteilt werden. Solche Weisungen sind stets zu dokumentieren.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine vom Verantwortlichen erteilte Weisung nach Ansicht des Auftragsverarbeiters gegen geltende Datenschutzbestimmungen der Union, der Mitgliedstaaten oder der Schweiz verstößt.

2. Zweckbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Abschnitt A festgelegten spezifischen Zweck(e) der Verarbeitung.

3. Löschung oder Rückgabe von Daten

Die Verarbeitung durch den Auftragsverarbeiter erfolgt nur für die in Abschnitt A angegebene Dauer.

Nach Beendigung der Erbringung der Datenverarbeitungsdienste oder nach Kündigung gemäß Klausel 7 löscht der Auftragsverarbeiter alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten, bestätigt dem Verantwortlichen, dass dies geschehen ist, und löscht bestehende Kopien, es sei denn, das Recht der Union, der Mitgliedstaaten oder der Schweiz schreibt eine Speicherung der personenbezogenen Daten vor.

4. Sicherheit der Verarbeitung

Der Auftragsverarbeiter setzt die in Abschnitt C spezifizierten technischen und organisatorischen Maßnahmen um, um die Sicherheit der personenbezogenen Daten zu gewährleisten, einschließlich des Schutzes vor unbeabsichtigter oder unrechtmäßiger Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff auf diese Daten (Verletzung des Schutzes personenbezogener Daten) gemäß Artikel 5, Artikel 28 Absatz 3 Buchstabe c und Artikel 32 DSGVO sowie Artikel 8 DSG. Bei der Beurteilung des angemessenen Sicherheitsniveaus tragen sie insbesondere den mit der Verarbeitung verbundenen Risiken, der Art der personenbezogenen Daten sowie der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung gebührend Rechnung.

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die vom Auftragsverarbeiter verarbeitete Daten betrifft, benachrichtigt er den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem ihm die Verletzung bekannt geworden ist. Diese Benachrichtigung muss die Angaben zu einer Kontaktstelle enthalten, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können, sowie eine Beschreibung der Art der Verletzung (einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze), ihrer voraussichtlichen Folgen und der Maßnahmen, die zur Behebung der Verletzung oder zur Abmilderung ihrer möglichen nachteiligen Auswirkungen ergriffen oder vorgeschlagen wurden. Soweit und jene Informationen nicht alle gleichzeitig bereitgestellt werden können, enthält die erste Benachrichtigung die zu diesem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden unverzüglich bereitgestellt, sobald sie verfügbar sind.

Der Auftragsverarbeiter arbeitet nach bestem Wissen und Gewissen mit dem Verantwortlichen zusammen und unterstützt ihn in jeder erforderlichen Weise, damit der Verantwortliche gegebenenfalls die zuständige Datenschutzbehörde und die betroffenen Personen unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen benachrichtigen kann.

Der Auftragsverarbeiter gewährt Mitgliedern seines Personals den Zugriff auf die Daten nur in dem Umfang, der für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Wenn die Verarbeitung personenbezogene Daten umfasst, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische oder biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten (besondere Kategorien von Daten), wendet der Auftragsverarbeiter spezifische Einschränkungen und/oder zusätzliche Garantien an, die vom Verantwortlichen angemessen gefordert werden.

5. Dokumentation und Compliance

Die Parteien müssen in der Lage sein, die Einhaltung dieses AVV nachzuweisen.

Der Auftragsverarbeiter beantwortet alle angemessenen Anfragen des Verantwortlichen im Zusammenhang mit der Verarbeitung im Rahmen dieses AVV unverzüglich und ordnungsgemäß.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in diesem AVV festgelegten und sich direkt aus der DSGVO oder dem DSG ergebenden Pflichten nachzuweisen, und ermöglicht auf Verlangen des Verantwortlichen Überprüfungen von Datendateien und Dokumentationen oder Audits der von diesen Klauseln erfassten Verarbeitungstätigkeiten und trägt dazu bei, insbesondere wenn Anhaltspunkte für eine Nichteinhaltung vorliegen. 

Der Verantwortliche kann das Audit selbst durchführen, auf eigene Kosten einen unabhängigen Prüfer beauftragen oder sich auf ein vom Auftragsverarbeiter beauftragtes unabhängiges Audit verlassen. Beauftragt der Auftragsverarbeiter ein Audit, so hat er die Kosten des unabhängigen Prüfers zu tragen. Die Audit-, Zugangs- und Kontrollrechte des Verantwortlichen gemäß dieser Klausel beschränken sich ausschließlich auf die Unterlagen des Auftragsverarbeiters (einschließlich unter anderem der Register der Verarbeitungstätigkeiten personenbezogener Daten, der Empfängerregister personenbezogener Daten) und gelten nicht für die physischen Geschäftsräume des Auftragsverarbeiters. Jedes Audit und jedes Auskunftsersuchen beschränkt sich auf Informationen, die für die Zwecke dieses AVV erforderlich sind, und trägt den Vertraulichkeitspflichten des Auftragsverarbeiters und seinem berechtigten Interesse am Schutz von Geschäftsgeheimnissen gebührend Rechnung.

Der Auftragsverarbeiter und der Verantwortliche stellen der zuständigen Aufsichtsbehörde die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Audits, auf Verlangen zur Verfügung, sofern und soweit dies nach der DSGVO oder dem DSG erforderlich ist.

6. Inanspruchnahme von Unterauftragsverarbeitern

Der Auftragsverarbeiter verfügt über die allgemeine Genehmigung des Verantwortlichen zur Einbindung von Unterauftragsverarbeitern. Die Liste der Unterauftragsverarbeiter des Auftragsverarbeiters ist in Abschnitt A zu finden. Der Auftragsverarbeiter informiert den Verantwortlichen in Textform über alle beabsichtigten Änderungen dieser Liste durch Hinzufügung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage im Voraus, wodurch der Verantwortliche die Möglichkeit erhält, solchen Änderungen vor der Einbindung der betroffenen Unterauftragsverarbeiter zu widersprechen. Ein solcher Widerspruch darf nicht unbegründet erhoben werden. Die Parteien halten die Liste auf dem neuesten Stand.

Soweit der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) beauftragt, tut er dies im Rahmen eines Vertrags, der dem Unterauftragsverarbeiter die gleichen Pflichten auferlegt, die dem Auftragsverarbeiter im Rahmen dieses AVV auferlegt sind. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten einhält, denen der Auftragsverarbeiter gemäß diesem AVV, Artikel 28 Absatz 2 bis 4 DSGVO und Artikel 9 Absatz 3 DSG unterliegt.

Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Vereinbarung mit dem Unterauftragsverarbeiter sowie nachfolgende Änderungen zur Verfügung.

Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang für die Erfüllung der Pflichten des Unterauftragsverarbeiters aus dessen Vertrag mit dem Auftragsverarbeiter. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen über jede Nichterfüllung der Pflichten des Unterauftragsverarbeiters aus diesem Vertrag.

7. Internationale Übermittlungen

Jede Übermittlung von Daten in ein Land außerhalb der EU/des EWR und der Schweiz (ein „Drittland“) oder an eine internationale Organisation durch den Auftragsverarbeiter darf nur erfolgen, wenn sie gemäß Abschnitt A genehmigt wurde, und muss in Übereinstimmung mit Kapitel V der DSGVO und den Artikeln 16 bis 18 des DSG erfolgen, sofern anwendbar.

Der Verantwortliche stimmt zu, dass der Auftragsverarbeiter und der Unterauftragsverarbeiter zur Einhaltung der Anforderungen von Kapitel V der DSGVO von der Kommission auf der Grundlage von Artikel 46 Absatz 2 DSGVO angenommene Standardvertragsklauseln verwenden können, wenn der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 4.6 mit der Durchführung spezifischer Verarbeitungstätigkeiten im Auftrag des Verantwortlichen in einem Drittland beauftragt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne der DSGVO oder des DSG beinhalten, sofern die Bedingungen für die Verwendung dieser Klauseln erfüllt sind und eine interne Prüfung ergeben hat, dass eine solche Übermittlung dem Datenschutzniveau der DSGVO und des DSG entspricht.

5. Rechte der betroffenen Personen

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich über alle Anfragen, die er direkt von der betroffenen Person erhält. Er antwortet selbst nicht auf diese Anfrage, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte gemäß Kapitel III der DSGVO und Kapitel 4 des DSG, namentlich:

• das Recht auf Information bei Erhebung von personenbezogenen Daten bei der betroffenen Person;

• das Recht auf Information, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden;

• das Auskunftsrecht der betroffenen Person;

• das Recht auf Berichtigung;

• das Recht auf Löschung („Recht auf Vergessenwerden“);

• das Recht auf Einschränkung der Verarbeitung;

• die Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung;

• das Recht auf Datenübertragbarkeit;

• das Widerspruchsrecht;

• das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden; und

• das Recht auf Widerruf der Einwilligung.

Der Auftragsverarbeiter unterstützt den Verantwortlichen, falls eine betroffene Person bei der zuständigen Aufsichtsbehörde eine Beschwerde eingereicht hat, die auf der Grundlage dieses AVV verarbeitete Daten betrifft.

Zusätzlich zur Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 5 zu unterstützen, unterstützt der Auftragsverarbeiter den Verantwortlichen ferner bei der Gewährleistung der Einhaltung der folgenden Pflichten unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen:

• Die Pflicht, eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden (es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen) gemäß Artikel 33 DSGVO und Artikel 24 Absätze 1 bis 3 DSG;

• die Pflicht, die Verletzung des Schutzes personenbezogener Daten unverzüglich der betroffenen Person mitzuteilen, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Grundfreiheiten natürlicher Personen zur Folge hat, gemäß Artikel 34 DSGVO und Artikel 24 Absatz 4 DSG;

• die Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (eine „Datenschutz-Folgenabschätzung“), wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, gemäß Artikel 35 DSGVO und Artikel 22 DSG;

• die Pflicht zur Konsultation der zuständigen Aufsichtsbehörde vor der Verarbeitung, wenn eine Datenschutz-Folgenabschätzung ergibt, dass die Verarbeitung ohne vom Verantwortlichen getroffene Maßnahmen zur Eindämmung des Risikos ein hohes Risiko zur Folge hätte, gemäß Artikel 36 DSGVO und Artikel 23 DSG.

Die Parteien legen in Abschnitt C die angemessenen technischen und organisatorischen Maßnahmen fest, mit denen der Auftragsverarbeiter den Verantwortlichen bei der Anwendung dieser Klausel zu unterstützen hat, sowie den Umfang und das Ausmaß der erforderlichen Unterstützung.

6. Benachrichtigung bei Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter nach bestem Wissen und Gewissen mit dem Verantwortlichen zusammen und unterstützt ihn in jeder erforderlichen Weise, damit der Verantwortliche seine Pflichten gemäß den Artikeln 33 und 34 der DSGVO und Artikel 24 des DSG erfüllen kann, sofern anwendbar, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen gegebenenfalls bei der Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde. Der Auftragsverarbeiter ist verpflichtet, insbesondere bei der Beschaffung der folgenden Informationen mitzuwirken, die gemäß Artikel 33 Absatz 3 DSGVO beziehungsweise Artikel 24 Absatz 2 DSG in der Meldung des Verantwortlichen anzugeben sind:

• Die Art der personenbezogenen Daten, einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen sowie der Kategorien und der ungefähren Anzahl der betroffenen personenbezogenen Datensätze;

• die voraussichtlichen Folgen der Verletzung des Schutzes personenbezogener Daten;

• die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

7. Kündigung

Unbeschadet der Bestimmungen der DSGVO oder des DSG kann der Verantwortliche den Auftragsverarbeiter im Falle einer Verletzung seiner Pflichten aus diesem AVV anweisen, die Verarbeitung personenbezogener Daten vorübergehend auszusetzen, bis dieser AVV eingehalten wird oder der Vertrag gekündigt wird. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er aus welchen Gründen auch Er nicht in der Lage ist, diesen AVV einzuhalten.

Der Verantwortliche kann diesen AVV kündigen, wenn:

• die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter vom Verantwortlichen gemäß Buchstabe (a) vorübergehend ausgesetzt wurde, der Verstoß des Auftragsverarbeiters wesentlich ist und die Einhaltung dieses AVV nicht innerhalb einer angemessenen Frist, in jedem Fall aber innerhalb eines Monats, wiederhergestellt wird;

• der Auftragsverarbeiter in erheblichem Maße oder fortlaufend gegen diesen AVV oder seine Pflichten aus der DSGVO oder dem DSG verstößt und vernünftigerweise nicht mit einer Behebung dieses Verstoßes gerechnet werden kann;

• der Auftragsverarbeiter einer rechtskräftigen Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde bezüglich seiner Pflichten aus diesem AVV oder aus der DSGVO oder dem DSG nicht nachkommt.

Dieser AVV bleibt so lange in Kraft, wie die Hauptvereinbarung in Kraft bleibt. Bestimmungen dieses AVV, die ausdrücklich oder stillschweigend bei oder nach Beendigung der Hauptvereinbarung in Kraft treten oder in Kraft bleiben sollten, um personenbezogene Daten zu schützen, bleiben in vollem Umfang in Kraft.

8. Verschiedenes

Vertraulichkeit: Die Parteien vereinbaren, die Bedingungen und das Bestehen dieser Vereinbarung sowie alle im Rahmen dieser Vereinbarung ausgetauschten Informationen vertraulich zu behandeln, sofern zwischen den Parteien nichts anderes vereinbart wurde.

Vollständige Vereinbarung: Dieser AVV stellt die vollständige Vereinbarung dar und ersetzt alle vorherigen Vereinbarungen zwischen den Parteien bezüglich des Geltungsbereichs dieses AVV. 

Änderungen: Alle Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform (einschließlich einfacher elektronischer Signaturlösungen). 

Mitteilungen: Jede Mitteilung „in Schriftform“ muss per physischer Post zugestellt werden, jede Mitteilung „in Textform“ umfasst jede elektronische Nachricht, jeweils an die zuletzt mitgeteilte oder verfügbare Adresse. Wenn die Form nicht angegeben ist, genügt die Textform. 

Keine Abtretung: Keine der Parteien darf ihre Rechte, Pflichten oder Ansprüche aus dieser Vereinbarung abtreten, sofern nichts anderes vereinbart ist.

Salvatorische Klausel: Sollte eine Bestimmung dieses AVV (ganz oder teilweise) rechtswidrig, ungültig oder anderweitig nicht durchsetzbar sein, bleiben die übrigen Bestimmungen mutatis mutandis in vollem Umfang in Kraft.

Anwendbares Recht & Gerichtsstand: Gemäß der Hauptvereinbarung. 

Abschnitt C – TOMs

Beschreibung der vom/von den Auftragsverarbeiter(n) umgesetzten technischen und organisatorischen Sicherheitsmaßnahmen:

1. Organisatorische Sicherheitsmaßnahmen

   1. Sicherheitsmanagement

Sicherheitsrichtlinien und -verfahren: Der Auftragsverarbeiter verfügt über eine dokumentierte Sicherheitsrichtlinie in Bezug auf die Verarbeitung personenbezogener Daten.

Rollen und Verantwortlichkeiten:

• Rollen und Verantwortlichkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten sind klar definiert und gemäß der Sicherheitsrichtlinie zugewiesen.

• Bei internen Reorganisationen oder Kündigungen und Stellenwechseln ist der Entzug von Rechten und Pflichten mit entsprechenden Übergabeverfahren klar definiert.

Zugriffskontrollrichtlinie: Jeder an der Verarbeitung personenbezogener Daten beteiligten Rolle werden spezifische Zugriffskontrollrechte zugewiesen, die dem Need-to-know-Prinzip folgen.

Ressourcen-/Asset-Management: Der Auftragsverarbeiter führt ein Register der für die Verarbeitung personenbezogener Daten genutzten IT-Ressourcen (Hardware, Software und Netzwerk). Eine bestimmte Person ist mit der Pflege und Aktualisierung des Registers beauftragt (z. B. der IT-Beauftragte).

Änderungsmanagement: Der Auftragsverarbeiter stellt sicher, dass alle Änderungen am IT-System von einer bestimmten Person (z. B. dem IT- oder Sicherheitsbeauftragten) registriert und überwacht werden. Eine regelmäßige Überwachung dieses Prozesses findet statt.

2. Reaktion auf Vorfälle und Business Continuity

Umgang mit Vorfällen / Verletzungen des Schutzes personenbezogener Daten:

• Ein Vorfallreaktionsplan mit detaillierten Verfahren ist definiert, um eine effektive und ordnungsgemäße Reaktion auf Vorfälle im Zusammenhang mit personenbezogenen Daten zu gewährleisten.

• Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich jeden Sicherheitsvorfall, der zum Verlust, Missbrauch oder zur unbefugten Erfassung personenbezogener Daten geführt hat.

Business Continuity: Der Auftragsverarbeiter hat die wichtigsten Verfahren und Kontrollen festgelegt, die zu befolgen sind, um das erforderliche Maß an Kontinuität und Verfügbarkeit des IT-Systems, das personenbezogene Daten verarbeitet, zu gewährleisten (im Falle eines Vorfalls/einer Verletzung des Schutzes personenbezogener Daten).

3. Personalwesen

Vertraulichkeit des Personals: Der Auftragsverarbeiter stellt sicher, dass alle Mitarbeiter ihre Pflichten und Aufgaben im Zusammenhang mit der Verarbeitung personenbezogener Daten verstehen. Rollen und Verantwortlichkeiten werden während des Einstellungs- und/oder Einführungsprozesses klar kommuniziert.

Schulung: Der Auftragsverarbeiter stellt sicher, dass alle Mitarbeiter angemessen über die Sicherheitskontrollen des IT-Systems informiert sind, die ihre tägliche Arbeit betreffen. An der Verarbeitung personenbezogener Daten beteiligte Mitarbeiter werden zudem durch regelmäßige Sensibilisierungskampagnen über relevante Datenschutzanforderungen und gesetzliche Pflichten informiert.

2. Technische Sicherheitsmaßnahmen

   1. Zugriffskontrolle und Authentifizierung

Es ist ein Zugriffskontrollsystem implementiert, das für alle Benutzer gilt, die auf das IT-System zugreifen. Das System ermöglicht das Erstellen, Genehmigen, Überprüfen und Löschen von Benutzerkonten.

Die Nutzung gemeinsamer Benutzerkonten wird vermieden. In Fällen, in denen dies erforderlich ist, wird sichergestellt, dass alle Benutzer des gemeinsamen Kontos die gleichen Rollen und Verantwortlichkeiten haben.

Bei der Gewährung von Zugriffen oder der Zuweisung von Benutzerrollen ist das „Need-to-know-Prinzip“ zu beachten, um die Anzahl der Benutzer mit Zugriff auf personenbezogene Daten auf diejenigen zu beschränken, die diesen zur Erreichung der Verarbeitungszwecke des Auftragsverarbeiters benötigen.

Wenn Authentifizierungsmechanismen auf Passwörtern basieren, verlangt der Auftragsverarbeiter, dass das Passwort mindestens acht Zeichen lang ist und sehr strengen Passwortkontrollparametern entspricht, einschließlich Länge, Zeichenkomplexität und Nicht-Wiederholbarkeit.

Die Authentifizierungsdaten (wie Benutzer-ID und Passwort) dürfen niemals ungeschützt über das Netzwerk übertragen werden.

2. Protokollierung und Überwachung

Protokolldateien sind für jedes System/jede Anwendung aktiviert, die für die Verarbeitung personenbezogener Daten verwendet wird. Sie umfassen alle Arten von Datenzugriffen (Ansehen, Ändern, Löschen).

3. Sicherheit von ruhenden Daten

Server-/Datenbanksicherheit:

• Datenbank- und Anwendungsserver sind so konfiguriert, dass sie unter einem separaten Konto mit minimalen Betriebssystemberechtigungen laufen, um korrekt zu funktionieren.

• Datenbank- und Anwendungsserver verarbeiten nur die personenbezogenen Daten, die tatsächlich verarbeitet werden müssen, um ihre Verarbeitungszwecke zu erfüllen.

Arbeitsplatzsicherheit:

• Benutzer sind nicht in der Lage, Sicherheitseinstellungen zu deaktivieren oder zu umgehen.

• Virenschutzanwendungen und Erkennungssignaturen werden regelmäßig konfiguriert.

• Benutzer haben keine Berechtigungen, nicht autorisierte Softwareanwendungen zu installieren oder zu deaktivieren.

• Das System verfügt über Session-Timeouts, wenn der Benutzer für einen bestimmten Zeitraum nicht aktiv war.

• Vom Entwickler des Betriebssystems veröffentlichte kritische Sicherheitsupdates werden regelmäßig installiert.

4. Netzwerk-/Kommunikationssicherheit

Wann immer der Zugriff über das Internet erfolgt, wird die Kommunikation durch kryptografische Protokolle verschlüsselt.

Der Datenverkehr zum und vom IT-System wird durch Firewalls und Intrusion-Detection-Systeme überwacht und kontrolliert.

5. Backups

Backup- und Wiederherstellungsverfahren sind definiert, dokumentiert und klar mit Rollen und Verantwortlichkeiten verknüpft.

Backups erhalten ein angemessenes Maß an physischem und Umgebungsschutz, das den für die Originaldaten angewandten Standards entspricht.

Die Ausführung von Backups wird überwacht, um die Vollständigkeit sicherzustellen.

6. Mobile/tragbare Geräte

Verfahren zur Verwaltung mobiler und tragbarer Geräte sind definiert und dokumentiert und legen klare Regeln für deren ordnungsgemäße Verwendung fest.

Mobile Geräte, die auf das Informationssystem zugreifen dürfen, sind vorregistriert und vorautorisiert.

7. Sicherheit im Software-Lebenszyklus

Während des Entwicklungslebenszyklus werden bewährte, dem Stand der Technik entsprechende und anerkannte sichere Entwicklungspraktiken oder -standards befolgt.

8. Löschung/Entsorgung von Daten

Vor der Entsorgung von Datenträgern wird ein softwarebasiertes Überschreiben durchgeführt. In Fällen, in denen dies nicht möglich ist (CDs, DVDs usw.), erfolgt eine physische Vernichtung.

Das Schreddern von Papier und tragbaren Datenträgern, die zur Speicherung personenbezogener Daten verwendet werden, wird durchgeführt.

9. Physische Sicherheit

Der physische Bereich der IT-Systeminfrastruktur ist für unbefugtes Personal nicht zugänglich. Geeignete technische Maßnahmen (z. B. Einbruchmeldeanlage, chipkartengesteuertes Drehkreuz, Personenschleuse, Schließsystem) oder organisatorische Maßnahmen (z. B. Wachpersonal) sind einzurichten, um Sicherheitsbereiche und deren Zugangspunkte vor dem Zutritt Unbefugter zu schützen.

*   *   *

(Unterschriftenseiten folgen)

Unterschriftenseiten

(Elektronische Signatur ist ausreichend)

Anhang – Liste der Unterauftragsverarbeiter