Struktur

Diese AVV ist wie folgt gegliedert:

Abschnitt A – Schlüsselbegriffe

Die in Abschnitt A definierten Variablen dienen als Definitionen in Abschnitt B und Abschnitt C.

Abschnitt B – Allgemeine Bedingungen

1. Zweck und Geltungsbereich

Zweck dieser Vereinbarung zur Auftragsverarbeitung (die „AVV“) ist es, die Einhaltung von Artikel 28 Absatz 3 und 4 der EU-Datenschutz-Grundverordnung („DSGVO“) und Artikel 9 das Schweizerische Bundesgesetz über den Datenschutz („DSG“) sicherzustellen, in Bezug auf das jeweilige Recht nur, wenn und soweit es auf die jeweilige Verarbeitungstätigkeit anwendbar ist.

Diese AVV gilt für die Verarbeitung personenbezogener Daten wie in Abschnitt A spezifiziert.

2. Auslegung

Soweit in dieser AVV Begriffe verwendet werden, die in der DSGVO oder dem DSG definiert sind, haben diese Begriffe die gleiche Bedeutung wie in diesem Gesetz.

Diese AVV ist im Lichte der Bestimmungen der DSGVO und des DSG, sofern anwendbar, zu lesen und auszulegen.

Diese Klauseln dürfen nicht so ausgelegt werden, dass sie im Widerspruch zu Rechten und Pflichten aus der DSGVO oder dem DSG stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beeinträchtigen.

3. Beschreibung der Verarbeitungsvorgänge

Die Einzelheiten der Verarbeitungsvorgänge und insbesondere die Kategorien personenbezogener Daten und die Verarbeitungszwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Abschnitt A angegeben.

4. Pflichten der Parteien

   
   

   1. Allgemeines

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Union, der Mitgliedstaaten oder der Schweiz, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet. Diese Weisungen sind in Abschnitt A festgelegt. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten auch nachträglich Weisungen erteilen. Solche Weisungen sind stets zu dokumentieren.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine vom Verantwortlichen erteilte Weisung nach Ansicht des Auftragsverarbeiters gegen geltende Datenschutzbestimmungen der Union, der Mitgliedstaaten oder der Schweiz verstößt.

2. Zweckbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für die in Abschnitt A festgelegten spezifischen Zwecke der Verarbeitung.

3. Löschung oder Rückgabe von Daten

Die Verarbeitung durch den Auftragsverarbeiter erfolgt nur für die in Abschnitt A angegebene Dauer.

Nach Beendigung der Erbringung der Dienstleistungen im Zusammenhang mit der Verarbeitung personenbezogener Daten oder nach Kündigung gemäß Klausel 7 löscht der Auftragsverarbeiter alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten und bestätigt dem Verantwortlichen, dass dies geschehen ist, und löscht bestehende Kopien, es sei denn, das Recht der Union, der Mitgliedstaaten oder der Schweiz schreibt die Aufbewahrung der personenbezogenen Daten vor.

4. Sicherheit der Verarbeitung

Der Auftragsverarbeiter setzt die in Abschnitt C aufgeführten technischen und organisatorischen Maßnahmen um, um die Sicherheit der personenbezogenen Daten zu gewährleisten, einschließlich des Schutzes vor unbeabsichtigter oder unrechtmäßiger Zerstörung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff auf diese Daten (Verletzung des Schutzes personenbezogener Daten), gemäß Artikel 5, Artikel 28 Absatz 3 Buchstabe c und Artikel 32 DSGVO sowie Artikel 8 DSG. Bei der Beurteilung des angemessenen Sicherheitsniveaus tragen sie insbesondere den mit der Verarbeitung verbundenen Risiken, der Art der personenbezogenen Daten sowie der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung gebührend Rechnung.

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die vom Auftragsverarbeiter verarbeitete Daten betrifft, benachrichtigt er den Verantwortlichen unverzüglich, spätestens jedoch 48 Stunden, nachdem ihm die Verletzung bekannt geworden ist. Diese Benachrichtigung muss die Angaben zu einer Kontaktstelle enthalten, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können, eine Beschreibung der Art des Vorfalls (einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze), die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Abmilderung möglicher nachteiliger Auswirkungen. Wenn und soweit es nicht möglich ist, alle Informationen gleichzeitig bereitzustellen, enthält die erste Benachrichtigung die zu diesem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden unverzüglich bereitgestellt, sobald sie verfügbar sind.

Der Auftragsverarbeiter arbeitet nach Treu und Glauben mit dem Verantwortlichen zusammen und unterstützt diesen in jeder erforderlichen Weise, um es dem Verantwortlichen zu ermöglichen, die Verletzung gegebenenfalls der zuständigen Datenschutzbehörde und den betroffenen Personen zu melden, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

Der Auftragsverarbeiter gewährt den Mitgliedern seines Personals nur in dem Maße Zugang zu den Daten, wie dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Wenn die Verarbeitung personenbezogene Daten umfasst, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische oder biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten (besondere Kategorien von Daten), wendet der Auftragsverarbeiter spezifische Einschränkungen und/oder zusätzliche Garantien an, wie sie vom Verantwortlichen vernünftigerweise verlangt werden.

5. Dokumentation und Compliance

Die Parteien müssen in der Lage sein, die Einhaltung dieser AVV nachzuweisen.

Der Auftragsverarbeiter beantwortet alle angemessenen Anfragen des Verantwortlichen, die sich auf die Verarbeitung im Rahmen dieser AVV beziehen, umgehend und ordnungsgemäß.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in dieser AVV festgelegten Pflichten, die sich direkt aus der DSGVO oder dem DSG ergeben, erforderlich sind, und ermöglicht und unterstützt auf Verlangen des Verantwortlichen Überprüfungen von Datendateien und Dokumentationen oder Audits der von diesen Klauseln erfassten Verarbeitungstätigkeiten, insbesondere wenn Anhaltspunkte für eine Nichteinhaltung vorliegen. 

Der Verantwortliche kann das Audit selbst durchführen, auf eigene Kosten einen unabhängigen Auditor beauftragen oder sich auf ein vom Auftragsverarbeiter beauftragtes unabhängiges Audit verlassen. Wenn der Auftragsverarbeiter ein Audit beauftragt, trägt er die Kosten des unabhängigen Auditors. Die Audit-, Zugangs- und Inspektionsrechte des Verantwortlichen unter dieser Klausel beschränken sich ausschließlich auf die Unterlagen des Auftragsverarbeiters (einschließlich unter anderem der Register der Verarbeitungstätigkeiten personenbezogener Daten und der Register der Empfänger personenbezogener Daten) und gelten nicht für die physischen Räumlichkeiten des Auftragsverarbeiters. Jedes Audit und jedes Auskunftsersuchen beschränkt sich auf Informationen, die für die Zwecke dieser AVV erforderlich sind, und berücksichtigt angemessen die Verschwiegenheitspflichten des Auftragsverarbeiters und sein berechtigtes Interesse am Schutz von Geschäftsgeheimnissen.

Der Auftragsverarbeiter und der Verantwortliche stellen der zuständigen Aufsichtsbehörde die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Audits, auf Verlangen zur Verfügung, wenn und soweit dies nach der DSGVO oder dem DSG, sofern anwendbar, erforderlich ist.

6. Inanspruchnahme von Unterauftragsverarbeitern

Der Auftragsverarbeiter verfügt über die allgemeine Genehmigung des Verantwortlichen zur Einbindung von Unterauftragsverarbeitern. Die Liste der Unterauftragsverarbeiter des Auftragsverarbeiters ist in Abschnitt A zu finden. Der Auftragsverarbeiter informiert den Verantwortlichen in Textform über alle beabsichtigten Änderungen dieser Liste durch Hinzufügung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage im Voraus, wodurch dem Verantwortlichen die Möglichkeit gegeben wird, solchen Änderungen vor der Einbindung der betroffenen Unterauftragsverarbeiter zu widersprechen. Ein solcher Widerspruch darf nicht unbegründet erhoben werden. Die Parteien halten die Liste auf dem neuesten Stand.

Wenn der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) beauftragt, geschieht dies auf der Grundlage eines Vertrags, der dem Unterauftragsverarbeiter dieselben Pflichten auferlegt, die für den Auftragsverarbeiter im Rahmen dieser AVV gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten einhält, denen der Auftragsverarbeiter gemäß dieser AVV, Artikel 28 Absatz 2 bis 4 DSGVO und Artikel 9 Absatz 3 DSG unterliegt.

Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Vereinbarung mit dem Unterauftragsverarbeiter sowie nachfolgender Änderungen zur Verfügung.

Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen uneingeschränkt für die Erfüllung der Pflichten des Unterauftragsverarbeiters aus dessen Vertrag mit dem Auftragsverarbeiter verantwortlich. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen über jede Nichterfüllung der vertraglichen Pflichten durch den Unterauftragsverarbeiter.

7. Internationale Übermittlungen

Jede Übermittlung von Daten in ein Land außerhalb der EU/des EWR und der Schweiz (ein „Drittland“) oder an eine internationale Organisation durch den Auftragsverarbeiter darf nur erfolgen, wenn sie gemäß Abschnitt A genehmigt wurde, und muss unter Einhaltung von Kapitel V der DSGVO und der Artikel 16 bis 18 des DSG, sofern anwendbar, erfolgen.

Der Verantwortliche stimmt zu, dass der Auftragsverarbeiter und der Unterauftragsverarbeiter Standardvertragsklauseln der Kommission auf der Grundlage von Artikel 46 Absatz 2 DSGVO verwenden können, um den Anforderungen von Kapitel V der DSGVO zu genügen, sofern der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 4.6 mit der Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag des Verantwortlichen in einem Drittland beauftragt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne der DSGVO oder des DSG beinhalten, vorausgesetzt, die Bedingungen für die Verwendung dieser Klauseln sind erfüllt und eine interne Prüfung hat ergeben, dass eine solche Übermittlung dem Datenschutzniveau der DSGVO und des DSG entspricht.

5. Rechte der betroffenen Person

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich über alle direkt von der betroffenen Person erhaltenen Anträge. Er antwortet auf diesen Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner gesetzlichen Pflichten zur Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte gemäß Kapitel III der DSGVO und Kapitel 4 des DSG, namentlich:

• das Recht auf Information bei der Erhebung von personenbezogenen Daten bei der betroffenen Person;

• das Recht auf Information, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden;

• das Recht auf Auskunft der betroffenen Person;

• das Recht auf Berichtigung;

• das Recht auf Löschung („Recht auf Vergessenwerden“);

• das Recht auf Einschränkung der Verarbeitung;

• die Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung;

• das Recht auf Datenübertragbarkeit;

• das Widerspruchsrecht;

• das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden; und

• das Recht auf Widerruf der Einwilligung.

Der Auftragsverarbeiter unterstützt den Verantwortlichen, falls eine betroffene Person eine Beschwerde bei der zuständigen Aufsichtsbehörde eingereicht hat, die auf der Grundlage dieser AVV verarbeitete Daten betrifft.

Zusätzlich zur Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 5 zu unterstützen, unterstützt der Auftragsverarbeiter den Verantwortlichen ferner bei der Gewährleistung der Einhaltung der folgenden Pflichten unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen:

• die Pflicht zur Meldung einer Verletzung des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde unverzüglich, nachdem ihm die Verletzung bekannt geworden ist (es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen), gemäß Artikel 33 DSGVO und Artikel 24 Absätze 1 bis 3 DSG;

• die Pflicht zur unverzüglichen Benachrichtigung der betroffenen Person von der Verletzung des Schutzes personenbezogener Daten, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat, gemäß Artikel 34 DSGVO und Artikel 24 Absatz 4 DSG;

• die Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (eine „Datenschutz-Folgenabschätzung“), wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, gemäß Artikel 35 DSGVO und Artikel 22 DSG;

• die Pflicht zur Konsultation der zuständigen Aufsichtsbehörde vor der Verarbeitung, wenn eine Datenschutz-Folgenabschätzung aufzeigt, dass die Verarbeitung ohne vom Verantwortlichen getroffene Abhilfemaßnahmen zu einem hohen Risiko führen würde, gemäß Artikel 36 DSGVO und Artikel 23 DSG.

Die Parteien legen in Abschnitt C die geeigneten technischen und organisatorischen Maßnahmen fest, mit denen der Auftragsverarbeiter den Verantwortlichen bei der Anwendung dieser Klausel unterstützen muss, sowie den Umfang und das Ausmaß der erforderlichen Unterstützung.

6. Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter nach Treu und Glauben mit dem Verantwortlichen zusammen und unterstützt diesen in jeder erforderlichen Weise, damit der Verantwortliche seine Pflichten gemäß den Artikeln 33 und 34 der DSGVO und Artikel 24 des DSG, sofern anwendbar, erfüllen kann, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen gegebenenfalls bei der Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde. Der Auftragsverarbeiter ist verpflichtet, insbesondere bei der Beschaffung der folgenden Informationen mitzuwirken, die gemäß Artikel 33 Absatz 3 DSGVO oder Artikel 24 Absatz 2 DSG, sofern anwendbar, in der Meldung des Verantwortlichen anzugeben sind:

• die Art der personenbezogenen Daten, einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen sowie der Kategorien und der ungefähren Anzahl der betroffenen personenbezogenen Datensätze;

• die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;

• die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

7. Beendigung

Unbeschadet etwaiger Bestimmungen der DSGVO oder des DSG kann der Verantwortliche im Falle eines Verstoßes des Auftragsverarbeiters gegen seine Pflichten aus dieser AVV den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten vorübergehend auszusetzen, bis dieser diese AVV einhält oder der Vertrag beendet wird. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, falls er aus welchen Gründen auch immer nicht in der Lage ist, diese AVV einzuhalten.

Der Verantwortliche kann diese AVV kündigen, wenn:

• die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter vom Verantwortlichen gemäß Buchstabe (a) vorübergehend ausgesetzt wurde, der Verstoß des Auftragsverarbeiters wesentlich ist und die Einhaltung dieser AVV nicht innerhalb einer angemessenen Frist, in jedem Fall aber innerhalb eines Monats, wiederhergestellt wird;

• der Auftragsverarbeiter erheblich oder anhaltend gegen diese AVV oder seine Pflichten aus der DSGVO oder dem DSG verstößt und eine Behebung dieses Verstoßes vernünftigerweise nicht zu erwarten ist;

• der Auftragsverarbeiter einer rechtskräftigen Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde bezüglich seiner Pflichten aus dieser AVV oder aus der DSGVO oder dem DSG nicht nachkommt.

Diese AVV bleibt so lange in Kraft, wie die Hauptvereinbarung in Kraft bleibt. Bestimmungen dieser AVV, die ausdrücklich oder stillschweigend bei oder nach Beendigung der Hauptvereinbarung in Kraft treten oder in Kraft bleiben sollten, um personenbezogene Daten zu schützen, bleiben in vollem Umfang in Kraft.

8. Verschiedenes

Vertraulichkeit: Die Parteien vereinbaren, die Bedingungen und das Bestehen dieser Vereinbarung sowie alle im Rahmen dieser Vereinbarung ausgetauschten Informationen vertraulich zu behandeln, sofern die Parteien nichts anderes vereinbaren.

Vollständigkeit der Vereinbarung: Diese AVV stellt die gesamte Vereinbarung dar und ersetzt alle vorherigen Vereinbarungen zwischen den Parteien bezüglich des Geltungsbereichs dieser AVV. 

Änderungen: Alle Änderungen und Ergänzungen dieser AVV müssen schriftlich erfolgen (einschliesslich nicht qualifizierter elektronischer Signaturlösungen). 

Mitteilungen: Jede Mitteilung „in Schriftform“ muss per physischer Post zugestellt werden. Jede Mitteilung „in Textform“ umfasst jede elektronische Nachricht, jeweils an die zuletzt mitgeteilte oder verfügbare Adresse. Ist die Form nicht angegeben, genügt die Textform. 

Keine Abtretung: Keine der Parteien darf ihre Rechte, Pflichten oder Ansprüche aus dieser Vereinbarung abtreten, es sei denn, es wurde etwas anderes vereinbart.

Salvatorische Klausel: Sollte eine Bestimmung dieser AVV (ganz oder teilweise) rechtswidrig, ungültig oder anderweitig nicht durchsetzbar sein, bleiben die übrigen Bestimmungen mutatis mutandis in vollem Umfang in Kraft.

Anwendbares Recht & Gerichtsstand: Gemäß Hauptvereinbarung. 

Abschnitt C – TOMs

Beschreibung der vom Auftragsverarbeiter implementierten technischen und organisatorischen Sicherheitsmaßnahmen:

1. Organisatorische Sicherheitsmaßnahmen

   1. Sicherheitsmanagement

Sicherheitsrichtlinie und -verfahren: Der Auftragsverarbeiter verfügt über eine dokumentierte Sicherheitsrichtlinie in Bezug auf die Verarbeitung personenbezogener Daten.

Rollen und Verantwortlichkeiten:

• Rollen und Verantwortlichkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten sind gemäß der Sicherheitsrichtlinie klar definiert und zugewiesen.

• Bei internen Reorganisationen, Kündigungen oder Stellenwechseln ist der Entzug von Rechten und Pflichten mit entsprechenden Übergabeverfahren klar geregelt.

Zugriffskontrollrichtlinie: Spezifische Zugriffsrechte werden jeder Rolle zugewiesen, die an der Verarbeitung personenbezogener Daten beteiligt ist, nach dem Need-to-know-Prinzip.

Ressourcen-/Asset-Management: Der Auftragsverarbeiter führt ein Register der für die Verarbeitung personenbezogener Daten genutzten IT-Ressourcen (Hardware, Software und Netzwerk). Mit der Pflege und Aktualisierung des Registers ist eine bestimmte Person betraut (z. B. IT-Beauftragter).

Änderungsmanagement: Der Auftragsverarbeiter sorgt dafür, dass alle Änderungen am IT-System von einer bestimmten Person (z. B. IT- oder Sicherheitsbeauftragter) registriert und überwacht werden. Eine regelmäßige Überwachung dieses Prozesses findet statt.

2. Reaktion auf Vorfälle und Business Continuity

Umgang mit Vorfällen / Verletzungen des Schutzes personenbezogener Daten:

• Es ist ein Vorfallreaktionsplan mit detaillierten Verfahren definiert, um eine wirksame und geordnete Reaktion auf Vorfälle im Zusammenhang mit personenbezogenen Daten zu gewährleisten.

• Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich jeden Sicherheitsvorfall, der zu einem Verlust, Missbrauch oder unbefugten Erwerb von personenbezogenen Daten geführt hat.

Business Continuity: Der Auftragsverarbeiter hat die wichtigsten Verfahren und Kontrollen festgelegt, die zu befolgen sind, um das erforderliche Maß an Kontinuität und Verfügbarkeit des IT-Systems zur Verarbeitung personenbezogener Daten (im Falle eines Vorfalls/einer Datenschutzverletzung) zu gewährleisten.

3. Personalwesen

Vertraulichkeit des Personals: Der Auftragsverarbeiter stellt sicher, dass alle Mitarbeiter ihre Verantwortlichkeiten und Pflichten im Zusammenhang mit der Verarbeitung personenbezogener Daten verstehen. Rollen und Verantwortlichkeiten werden bereits vor der Einstellung und/oder während des Einführungsprozesses klar kommuniziert.

Schulung: Der Auftragsverarbeiter stellt sicher, dass alle Mitarbeiter ausreichend über die Sicherheitskontrollen des IT-Systems informiert sind, die ihre tägliche Arbeit betreffen. Mitarbeiter, die an der Verarbeitung personenbezogener Daten beteiligt sind, werden zudem durch regelmäßige Sensibilisierungskampagnen angemessen über relevante Datenschutzanforderungen und gesetzliche Pflichten informiert.

2. Technische Sicherheitsmaßnahmen

   1. Zugriffskontrolle und Authentifizierung

Es ist ein Zugriffskontrollsystem implementiert, das für alle Benutzer gilt, die auf das IT-System zugreifen. Das System ermöglicht das Erstellen, Genehmigen, Überprüfen und Löschen von Benutzerkonten.

Die Verwendung gemeinsamer Benutzerkonten wird vermieden. In Fällen, in denen dies erforderlich ist, wird sichergestellt, dass alle Benutzer des gemeinsamen Kontos dieselben Rollen und Verantwortlichkeiten haben.

Bei der Gewährung von Zugriff oder der Zuweisung von Benutzerrollen ist das Prinzip der Erforderlichkeit („Need-to-know-Prinzip“) zu beachten, um die Anzahl der Benutzer mit Zugriff auf personenbezogene Daten auf diejenigen zu beschränken, die diesen zur Erfüllung der Verarbeitungszwecke des Auftragsverarbeiters benötigen.

Wenn Authentifizierungsmechanismen auf Passwörtern basieren, verlangt der Auftragsverarbeiter, dass das Passwort mindestens acht Zeichen lang ist und sehr starken Passwortkontrollparametern entspricht, einschließlich Länge, Zeichenkomplexität und Nicht-Wiederholbarkeit.

Die Authentifizierungsdaten (wie Benutzer-ID und Passwort) dürfen niemals ungeschützt über das Netzwerk übertragen werden.

2. Protokollierung und Überwachung

Protokolldateien sind für jedes System/jede Anwendung aktiviert, die für die Verarbeitung personenbezogener Daten verwendet wird. Sie umfassen alle Arten des Datenzugriffs (Ansehen, Ändern, Löschen).

3. Sicherheit von ruhenden Daten

Server-/Datenbanksicherheit:

• Datenbank- und Anwendungsserver sind so konfiguriert, dass sie unter einem separaten Konto mit minimalen Betriebssystemberechtigungen ausgeführt werden, die für eine ordnungsgemäße Funktion erforderlich sind.

• Datenbank- und Anwendungsserver verarbeiten nur die personenbezogenen Daten, die tatsächlich verarbeitet werden müssen, um die Verarbeitungszwecke zu erreichen.

Arbeitsplatzsicherheit:

• Benutzer sind nicht in der Lage, Sicherheitseinstellungen zu deaktivieren oder zu umgehen.

• Antiviren-Anwendungen und Erkennungssignaturen werden regelmäßig konfiguriert.

• Benutzer haben keine Berechtigungen zur Installation oder Deaktivierung nicht autorisierter Softwareanwendungen.

• Das System verfügt über Sitzungs-Timeouts, wenn der Benutzer für einen bestimmten Zeitraum nicht aktiv war.

• Kritische Sicherheitsupdates, die vom Betriebssystementwickler herausgegeben werden, werden regelmäßig installiert.

4. Netzwerk-/Kommunikationssicherheit

Wann immer der Zugriff über das Internet erfolgt, wird die Kommunikation durch kryptografische Protokolle verschlüsselt.

Der Datenverkehr zum und vom IT-System wird durch Firewalls und Intrusion-Detection-Systeme überwacht und kontrolliert.

5. Backups

Verfahren zur Datensicherung und -wiederherstellung sind definiert, dokumentiert und klar mit Rollen und Verantwortlichkeiten verknüpft.

Sicherungen erhalten einen angemessenen physischen und umweltbezogenen Schutz, der den für die Ursprungsdaten geltenden Standards entspricht.

Die Durchführung von Backups wird überwacht, um die Vollständigkeit sicherzustellen.

6. Mobile/Tragbare Geräte

Verfahren zur Verwaltung mobiler und tragbarer Geräte sind definiert und dokumentiert, um klare Regeln für deren ordnungsgemäße Verwendung aufzustellen.

Mobile Geräte, die auf das Informationssystem zugreifen dürfen, sind vorregistriert und vorautorisiert.

7. Sicherheit im Applikations-Lebenszyklus

Während des Entwicklungslebenszyklus werden bewährte, dem Stand der Technik entsprechende und allgemein anerkannte sichere Entwicklungspraktiken oder -standards befolgt.

8. Datenlöschung/-entsorgung

Vor der Entsorgung von Datenträgern wird ein softwarebasiertes Überschreiben durchgeführt. In Fällen, in denen dies nicht möglich ist (CDs, DVDs usw.), erfolgt eine physische Vernichtung.

Papier und tragbare Medien, die zur Speicherung personenbezogener Daten verwendet wurden, werden geschreddert.

9. Physische Sicherheit

Der physische Perimeter der IT-Systeminfrastruktur ist für unbefugtes Personal nicht zugänglich. Es sind geeignete technische Maßnahmen (z. B. Einbruchmeldeanlage, Chipkarten-Drehkreuz, Ein-Personen-Schleuse, Schließsystem) oder organisatorische Maßnahmen (z. B. Sicherheitsdienst) einzurichten, um Sicherheitsbereiche und deren Zugangspunkte vor dem Zutritt Unbefugter zu schützen.

*   *   *

(Unterschriftenseiten folgen)

Unterschriftenseiten

(Eine elektronische Signatur ist ausreichend)

Anhang – Liste der Unterauftragsverarbeiter