(Stand: Dezember 2022)
Präambel
1. Gegenstand und Dauer der Verarbeitung
Der Gegenstand der Verarbeitung ist im Leistungsvertrag beschrieben. Die Dauer der Verarbeitung entspricht der Laufzeit des Leistungsvertrags.
2. Art und Zweck der Verarbeitung
2.1 Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber sind beschrieben im Leistungsvertrag.
2.2 Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein sonstiges Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.
3. Art der personenbezogenen Daten
3.1 Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten/-kategorien:
- Kontakt- und Kommunikationsdaten (z.B. Telefon, E-Mail)
- Vertragsstammdaten (Vertragsbeziehung, Produkt- bzw. Vertragsinteresse)
- Abrechnungs- und Zahlungsdaten (z.B. Bankverbindung)
- Auskunftsangaben (von Dritten, z.B. Auskunfteien, oder aus öffentlichen Verzeichnissen)
- Informationen, die Dritte über mögliche Rechtsverstöße melden.
4. Kategorien betroffener Personen
4.1 Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen:
- Kunden
- Interessenten
- Beschäftigte inkl. Bewerber
- Lieferanten/Dienstleister
- Sonstige Ansprechpartner
- Hinweisgeber
5. Sicherheit der Verarbeitung
5.1 Der Auftragnehmer hat in seinem Verantwortungsbereich die in Anlage 1 näher beschriebenen technischen und organisatorischen Maßnahmen getroffen, um ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DS-GVO zu gewährleisten.
5.2 Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragnehmer ist berechtigt, alternative adäquate Maßnahmen umzusetzen, soweit das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird.
6. Pflichten des Auftragnehmers
6.1 Der Auftragnehmer wird personenbezogene Daten nur auf Grundlage der dokumentierten Weisungen des Auftraggebers verarbeiten, es sei denn, es liegt ein Ausnahmefall im Sinne des Art. 28 Abs. 3 lit. a) DS-GVO vor. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbares Recht verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird. Die Weisungen können in schriftlicher oder elektronischer Form (Textform) erteilt, geändert, ergänzt oder ersetzt werden. Mündliche Weisungen sind anschließend vom Verantwortlichen in dem vorgenannten Format zu dokumentieren.
6.2 Der Auftragnehmer wird nur Personen zur Verarbeitung der personenbezogenen Daten einsetzen, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
6.3 Der Auftragnehmer wird auf Aufforderung des Auftraggebers nach Maßgabe des Art. 28 Abs. 3 lit. f DS-GVO bei der Erstellung einer Datenschutz-Folgenabschätzung und gegebenenfalls bei der vorherigen Konsultation der Aufsichtsbehörden mitwirken. Der Auftragnehmer wird auf Aufforderung des Auftraggebers an der Erstellung und der Aktualisierung des Verzeichnisses von Verarbeitungstätigkeiten des Auftraggebers mitwirken, soweit es die Dokumentation der technischen und organisatorischen Maßnahmen betrifft.
6.4 Der Auftragnehmer hat keinen Beauftragten für den Datenschutz bestellt. Die aktuell für den Datenschutz verantwortliche Person ist in Anlage 1 aufgeführt.
Jeder Wechsel des Verantwortlichen für den Datenschutz sowie des Ansprechpartners für Informationssicherheitsfragen des Auftragnehmers sind dem Auftraggeber unverzüglich schriftlich mitzuteilen.
6.5 Der Auftragnehmer kontrolliert laufend seine Datenverarbeitungsprozesse und Systeme in Bezug auf die Einhaltung der datenschutzrechtlichen Vorgaben und dokumentiert die Kontrolle. Auf Aufforderung stellt der Auftragnehmer dem Auftraggeber die Dokumentation als Nachweis der hinreichenden Garantien zur Verfügung.
6.6 Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DS-GVO genannten Rechte der betroffenen Person. Soweit eine betroffene Person sich im Zusammenhang mit der Wahrnehmung der in Kapitel III der DS-GVO genannten Rechte unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dies dem Auftraggeber unverzüglich mitteilen.
6.7 Der Auftragnehmer unterrichtet den Auftraggeber bei Verdacht auf eine Verletzung des Schutzes personenbezogener Daten sowie über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde. Dem Auftragnehmer ist bekannt, dass der Auftraggeber verpflichtet ist, umfassend alle Verletzungen des Schutzes personenbezogener Daten zu dokumentieren und gegebenenfalls den Aufsichtsbehörden bzw. der betroffenen Person binnen 72 Stunden zu melden. In diesem Falle wird der Auftragnehmer den Auftraggeber bei der Einhaltung seiner Meldepflichten unterstützen und insbesondere die in Art. 33 Abs. 3 DS-GVO genannten Informationen mitteilen.
6.8 Überlassene Datenträger sowie hiervon gefertigte Kopien oder Reproduktionen verbleiben im Eigentum des Auftraggebers. Der Auftragnehmer wird diese sorgfältig verwahren. Nach Beendigung dieses Auftrags wird der Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers entweder löschen oder zurückgeben, sofern nicht nach dem anwendbaren Recht eine Verpflichtung zur Aufbewahrung der personenbezogenen Daten besteht. Soweit gesetzliche Aufbewahrungspflichten bestehen, hat die Löschung/Rückgabe der Daten erst nach deren Ablauf zu erfolgen.
6.9 Der Auftragnehmer wird dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DS-GVO genannten Pflichten zur Verfügung stellen und Überprüfungen – einschließlich Inspektionen, die vom Auftraggeber oder einem anderen, von diesem beauftragten Prüfer durchgeführt werden, ermöglichen und dazu beitragen.
7. Subunternehmer
7.1 Der Auftragnehmer wird Aufträge an Subunternehmer nur mit vorheriger schriftlicher Zustimmung des Auftraggebers vergeben. Der Auftraggeber genehmigt bereits jetzt das Unterauftragsverhältnis zwischen dem Auftragnehmer und den in der Anlage 2 näher bezeichneten Subunternehmern.
7.2 Aufträge an Subunternehmer wird der Auftragnehmer so gestalten, dass sie den Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit nach Maßgabe dieses Auftrags sowie der Art. 28 Abs. 2 bis 4 DS-GVO entsprechen.
7.3 Der Auftraggeber ist berechtigt, auf schriftliche Anforderung von dem Auftragnehmer Auskunft über den wesentlichen Inhalt des Unterauftrags und die Umsetzung der datenschutzrelevanten Verpflichtungen des Subunternehmers zu erhalten.
7.4 Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Subunternehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen der vorgenannten Voraussetzungen gestattet.
8. Kontrollrechte des Auftraggebers
8.1 Der Auftraggeber hat das Recht, in Absprache mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen.
8.2 Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DS-GVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.
8.3 Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch
- die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO;
- die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DS-GVO;
- aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren);
- eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz).
8.4 Für die Ermöglichung von Kontrollen durch den Auftraggeber kann der Auftragnehmer einen Vergütungsanspruch geltend machen.
9. Haftung
Auftraggeber und Auftragnehmer haften im Außenverhältnis nach Art. 82 Abs. 1 DS-GVO für materielle und immaterielle Schäden, die eine Person wegen eines Verstoßes gegen die DS-GVO erleidet. Sind sowohl der Auftraggeber als auch der Auftragnehmer für einen solchen Schaden gemäß Art. 82 Abs. 2 DS-GVO verantwortlich, haften die Parteien im Innenverhältnis für diesen Schaden entsprechend ihres Anteils an der Verantwortung. Nimmt eine Person in einem solchen Fall eine Partei ganz oder überwiegend auf Schadenersatz in Anspruch, so kann diese von der jeweils anderen Partei Freistellung oder Schadloshaltung verlangen, soweit dies ihrem Anteil an der Verantwortung entspricht.
10. Schlussbestimmungen; Schriftformerfordernis; Rechtswahl; Gerichtsstand
10.1 Dieser Auftrag beinhaltet sämtliche Vereinbarungen der Parteien im Hinblick auf den Vertragsgegenstand. Mündliche oder schriftliche Vereinbarungen außerhalb dieses Auftrags bestehen nicht. Dieser Auftrag ersetzt und hebt mit Vertragsbeginn alle etwaigen früheren mündlichen und schriftlichen Vereinbarungen der Parteien im Hinblick auf den Vertragsgegenstand auf.
10.2 Nebenabreden oder Änderungen dieses Auftrags – einschließlich dieser Schriftformklausel – bedürfen der Schriftform.
10.3 Bezugnahmen auf Gesetze, Vorschriften, Dokumente und Anlagen gelten, soweit nicht ausdrücklich etwas anderes bestimmt ist, für die Gesetze, Vorschriften, Dokumente und Anlagen in ihrer jeweils geltenden Fassung, also einschließlich etwaiger Änderungen nach dem Vertragsdatum.
10.4 Die Anlagen sind integraler Bestandteil dieses Auftrags. Im Falle eines Widerspruchs zwischen den Bestimmungen des eigentlichen Vertragstextes und seiner Anlagen, gehen die Bestimmungen des Vertragstextes vor. Zwingende gesetzliche Vorschriften bleiben hiervon jedoch unberührt.
10.5 Auf diesen Vertrag findet das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG) Anwendung. Internationaler Gerichtsstand ist die Bundesrepublik Deutschland. Örtlicher Gerichtsstand ist der Sitz des Auftragnehmers.
10.6 Sollten einzelne Bestimmungen dieses Auftrags unwirksam oder undurchführbar sein oder werden, so wird dadurch die Wirksamkeit der übrigen Teile nicht berührt. Die Parteien verpflichten sich in einem solchen Falle, die unwirksame oder undurchführbare Bestimmung durch eine solche zu ersetzen, die dem angestrebten Zweck in rechtlich zulässiger Weise möglichst nahekommt. Gleiches gilt bei Regelungslücken.
Anlage 1 (Technische und organisatorische Maßnahmen gemäß Artikel 32 Abs. 1 DS-GVO)
| Technische und organisatorische Maßnahmen |
| Organisation Die Umsetzung des Datenschutzes (Wahrnehmung der Beratungs- und Kontrollfunktionen aus der DSGVO) ist durch unsere interne Datenschutzorganisation sichergestellt. Verantwortlicher für den Datenschutz ist: Dirk Libuda Das Schulungskonzept für die Mitarbeiter auf die Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen beinhaltet sowohl eine Datenschutzunterweisung bei Beginn der Tätigkeit als auch eine konstante Sensibilisierung. Im Rahmen des internen Verfahrensverzeichnisses sind die Datenströme dokumentiert und die Zulässigkeit der Verarbeitung und Nutzung nach DSGVO bzw. BDSG nachgewiesen. Eventuell notwendige Datenschutzfolgenabschätzung werden schon im Planungsstadium integriert. |
| Gewährleistung der Vertraulichkeit Die Gebäude, Räume bzw. Büros, in denen die Datenverarbeitung stattfindet, sind mit verschiedenen Maßnahmen und Überwachungen gesichert. Es existieren keine Datenverarbeitungsanlagen in den Büroräumlichkeiten des Auftragnehmers, in denen Daten des Auftraggebers verarbeitet werden. Die Zutrittskontrollen werden Im Rahmen der Kontrollen des Datenschutzkonzepts regelmäßig überprüft. Benutzerzugänge werden nur selektiv auf Basis Need-to-Know nach Genehmigung vergeben. Rechtevergabe und Änderung sind dokumentiert. Zugriffe sind durch Passwort geschützt. Die Anlage und Veränderung von Benutzerzugängen werden im firmeneigenen Netz dokumentiert. Die Entscheidungen zur Rechtevergabe halten sich streng an die entsprechenden Vorgaben, Datenvermeidung und Datensparsamkeit, weniger ist hier oft mehr. Die Gültigkeit von Benutzerzugängen wird durch regelmäßige Revision der vergebenen Rechte als Teil der Prüfungen der Maßnahmen überprüft und dokumentiert. Die Passwörter werden vom jeweiligen Mitarbeiter selbst vergeben. Die strengen Systemvoreinstellungen zwingen zu einer hohen Passwortkomplexität. Passwörter werden in einem geschützten Bereich gespeichert. Bei den Anforderungen an die Komplexität der Passwörter dienen die Vorgaben und Empfehlungen des BSI als Vorbild für die Systemeinstellungen. Als organisatorische Vorkehrungen zur Verhinderung von unberechtigten Zugriffen auf personenbezogene Daten am Arbeitsplatz werden Schulung und Sensibilisierung der Mitarbeiter sowie regelmäßige Schulungen zu den verwendeten Geräten getroffen. Die Dokumentation der Zugriffsberechtigungen erfolgt durch regelmäßige Reports aus den Berechtigungssystemen. Für die Auswertungen der Protokolle gibt es keine festgelegten Fristen, Zugriff hat allein die Geschäftsführung. Alle mit der Verarbeitung von personenbezogenen Daten betrauten Personen wurden zur gesetzeskonformen Datenverarbeitung einschließlich des Gebots der Pseudonymisierung und Anonymisierung verpflichtet. Ein Datenschutzkonzept wird im Unternehmen eingesetzt und ist allen Mitarbeitern bekannt gemacht. Das Schulungskonzept beinhaltet sowohl eine Datenschutzunterweisung bei Beginn der Tätigkeit als auch eine konstante Sensibilisierung. Personenbezogene Daten werden in der Anwendung so verarbeitet/aufbewahrt, sodass diese nicht den betroffenen Personen zugeordnet werden können, indem auf Sie ausschließlich vom Kunden zugegriffen werden kann. |
| Gewährleistung der Integrität Es werden nur Daten an Auftragnehmer weitergegeben, die zur Erfüllung des geschäftlichen Zwecks benötigt werden. Eine andere Weitergabe erfolgt nicht. Sämtliche Übertragungswege sind entweder mit SSL verschlüsselt oder zumindest passwortgeschützt. Die Weitergabe von Daten wird protokolliert und aufgezeichnet. Der unberechtigte Abfluss von personenbezogenen Daten wird durch eine strikte Rechtevergabe gesichert Um nachvollziehen zu können, wer wann und wie lange auf Applikationen zugegriffen hat, wird in datenverarbeitenden Systemen die Anmeldung protokolliert. Mit dem Rechte-/Rollenkonzept ist nachvollziehbar, welche Aktivitäten auf den Anwendungen durchgeführt werden. Um sicher zu stellen, dass die Verarbeitung durch die Mitarbeiter nur gemäß den Weisungen des Auftraggebers erfolgt, ist die Zugangskontrolle anhand des Rollen-/Rechtskonzepts zur ordnungsgemäßen Datenverarbeitung und -speicherung implementiert. Die Löschung/Sperrung von personenbezogenen Daten am Ende der Aufbewahrungsfrist auch bei Unterauftragnehmern ist durch Vertragsbindung, bei Wegfall des Zwecks mit indizierter Löschung gesichert. |
| Gewährleistung der Verfügbarkeit und Belastbarkeit Die Datenträger sind vor elementaren Einflüssen (Feuer, Wasser, elektromagnetische Abstrahlung etc.) geschützt, indem die Daten in der Cloud gesichert sind. Als Schutzmaßnahmen zur Bekämpfung von Maleware, Viren, etc. sind ständig aktuelle Virenscanner, Firewall-Lösungen und Spamfilter im Einsatz. Die Systeme werden regelmäßig upgedatet. Nicht mehr benötigte bzw. defekte Datenträger werden ordnungsgemäß entsorgt, indem funktionsfähige Datenträger physisch gelöscht werden und bei defekten Datenträgern eine mechanische Zerstörung vor der Entsorgung erfolgt. Um auch im Schadensfall die Verfügbarkeit von Daten und Systemen schnellstmöglich zu gewährleisten (rasche Wiederherstellbarkeit nach Art. 32 Abs.1 lit. c DSGVO) ist ein 2-stufiges Backup-Verfahren eingerichtet, Datenstände der vergangenen Periode können nach Anforderung wiederhergestellt werden. |
| Verfahren regelmäßiger Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen Zur regelmäßigen Bewertung/Überprüfung der Sicherheit der Datenverarbeitung (Datenschutz- Management) überprüft die Geschäftsführung regelmäßig und teilweise auch unangekündigt die Einhaltung der technisch- organisatorischen Maßnahmen. Auf Anfragen bzw. Probleme (Incident-Response-Management) wird mit dem Einsatz eines Ticketsystems dreistufig (1st, 2nd und 3rd Level) reagiert; zusätzlich existiert eine Telefonhotline und es erfolgen unregelmäßige Prüfungen durch hierzu beauftragte Dienstleister. Hinsichtlich der datenschutzfreundlichen Voreinstellungen (Art. 25 Abs. 2 DSGVO) ist festzuhalten, dass keine Vorbelegung durch Haken erfolgt. Bei Anmeldung im System erfolgen keine Vorbelegungen. Der Benutzer muss die Anmeldeinformationen jeweils eintragen. Zur Weisung bzw. dem Umgang mit der Auftragsverarbeitung (Datenschutz- Management) gilt, dass das Vertragswerk entsprechend den neuen Richtlinien zur Auftragsverarbeitung gestaltet wurde. Die für den Datenschutz verantwortliche Person nimmt entsprechende Beratungs- und Kontrollpflichten wahr. |
Anlage 2 (Subunternehmen)
LegalTegrity GmbH, Platz der Einheit 2, 60327 Frankfurt
Cloudservices: Telekom Deutschland GmbH, Landgraben 151, 53227 Bonn
https://geschaeftskunden.telekom.de/hilfe-und-service/hilfe-themen/dsgvo/otc-deutsch