Source: https://www.informationssystemtechnik.de/datenschutz.html
Timestamp: 2020-02-19 22:15:36+00:00

Document:
Funk - DSL
Vodafone UMTS / GPRS / LTE
Telekom DSL / LTE
PC-Technik & Service
Elektroinstallation & KNX
Seit 2005 erfolgreich für unsere Kunden im Einsatz und auch in den nächsten Jahren sind wir für Sie da.
Montag - Freitag: 8.00 Uhr - 16.00 Uhr
03 73 20 / 80928-0
Auftragsverarbeitung nach Art.28 Abs.3 DSGVO
Inh. Philipp Lissel
Fernwartung zur Fehlerbehebung auf dem System des Auftraggebers sowie damit verbundener Systeme
Technischer Vor-Ort-Einsatz beim Auftraggeber
Softwareinstallation und – Einrichtung, Konfiguration und Inbetriebnahme vor Ort vom Auftragnehmer gelieferte Produkte, oder vorhandenen Produkten des Auftraggebers sowie damit verbundener Systeme
Bereitstellung und Rücknahme von Mietgeräten zur Instandhaltungs- und Instandsetzungsüberbrückung
Instandhaltung, Instandsetzung sowie Prüfung von Kundengeräten in den Geschäftsräumen des Auftragnehmers
Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44ff.DS-GVOerfülltsind(z.B.AngemessenheitsbeschlussderKommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).
Die Dauer dieses Auftrags (Laufzeit) richtet sich nach der Dauer der Erbringung von Dienstleistungen des Auftragnehmers gegenüber dem Auftraggeber. Der Auftrag endet, wenn der Auftraggeber keine DienstleistungendesAuftragnehmers,entsprechendden Leistungsvereinbarungen/Angeboten/ServiceverträgendereinzelnenAuftragsbestätigungendes Auftragnehmers, mehr in Anspruch nimmt.
Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist beenden, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kannoderwilloderder Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art.28DSGVOabgeleiteten Pflichte stellt einen schweren Verstoß dar.
2. Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen
a) Umfang, Art und Zweck der Zugriffsmöglichkeit des Auftragsnehmers auf Daten des Auftraggebers ergeben sich aus den Leistungsbeschreibungen der einzelnen Auftragsbestätigungen des Auftragsnehmers für die Dienstleistungen. Es entsteht die Zugriffsmöglichkeit:
bei der technischen Administration der Server-Systeme
bei sonstigen Support-Tätigkeiten für sämtliche Server-Systeme (z.B. im Rahmen des proaktiven Monitorings)
im Rahmen der Betreuung, der von dem AG betriebenen Firewall (Log-Files)
Zum Zwecke der Vertragserfüllung kann ein Zugriff des Auftragnehmers, auf die unter b) aufgeführten Daten, nicht ausgeschlossen werden.
b) Die von der Auftragstätigkeit betroffenen Datenkategorien der personenbezogenen Daten der Kunden und Geschäftspartnern des Auftraggebers lauten wie folgt:
Als Adressdaten sind Gegenstand der Verarbeitung: die Firma, Name, Vorname, Geburtsdatum, Straße, Ort, Postleitzahl, Land, E-Mail-Adresse, Telefonnummer, Telefaxnummer
Weitere Daten sind regelmäßig Gegenstand der Verarbeitung: Kundenhistorie, Abrechnungs- und Zahlungsdaten, Planungs- und Steuerungsdaten, Daten von dritten, z.B. Kundenanfragen
Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art.6Abs.1DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach Art.12bis22DSGVO ist allein der Auftraggeber verantwortlich. Gleichwohl ist der Auftragnehmer verpflichtet, alle solche Anfragen, sofern sie erkennbar ausschließlich an den Auftraggeber gerichtet sind, unverzüglich an diesen weiterzuleiten.
Der Auftraggeber ist berechtigt, sich wie unter Nr.5 festgelegt vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragnehmer getroffenen technischen und angemessener Weise von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen.
Philipp Lissel
Telefon 037320/809280 Fax 037320/8092820
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Auftraggebers, sofern er nicht zu einer anderen Vereinbarung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftrags Verarbeiter unterliegt, hierzu verpflichtet ist (z.B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftrags Verarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit .a DSGVO).
Der Auftragnehmer sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten, die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die für den Auftraggeber verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.
Die Datenträger, die vom Auftraggeber stammen bzw. für den Auftraggeber genutzt werden, werden besonders gekennzeichnet. Eingang und Ausgang sowie die laufende Verwendung werden dokumentiert.
Bei Erfüllung der Rechte der betroffenen Personen nach Art.12bis22DSGVOdurch den Auftraggeber, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Datenschutz-Folgeabschätzungen des Auftraggebers hat der Auftragnehmer im notwendigem Umfang mitzuwirken und den Auftraggeber soweit möglich angemessen zu unterstützen (Art.28Abs.3Satz2lit e und fDSGVO).
Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art.28Abs.3Satz3DSGVO).Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber nach Überprüfung bestätigt oder geändert wird.
Die Verarbeitung von Daten in Privatwohnungen (Tele- bzw. Heimarbeit von Beschäftigten des Auftragnehmers) ist nur mit Zustimmung des Auftraggebers gestattet. Soweit die Daten in einer Privatwohnung verarbeitet werden, ist vorher der Zugang zur Wohnung des Beschäftigten für Kontrollzwecke des Arbeitgebers vertraglich sicherzu stellen. Die Maßnahmen nach Art.32DSGVO sind auch in diesem Fall sicher zu stellen.
Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO bekannt sind. Er verpflichtet sich, auch folgende für diesen Auftrag relevanten Geheimnisschutzregeln zu beachten, die dem Auftraggeber obliegen: wie Bankgeheimnis, Fernmeldegeheimnis, Sozialgeheimnis, Berufsgeheimnis nach § 203 StGB etc.
Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art.28Abs.3Satz2lit.Bund Art.29DS-GVO).Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb.
Der Auftragnehmer verpflichtet sich, den Auftraggeber über den Ausschluss von genehmigten Verhaltensregeln nach Art.41Abs.4DSGVO und den Widerruf einer Zertifizierung nach Art.42Abs.7DSGVO unverzüglich zu informieren.
6. Mitteilungspflichten des Auftragnehmers bei Störung der Verarbeitung undbei Verletzungen des Schutzes personenbezogener Daten
Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Person sowie gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art.33und Art.34DSGVO. Der Auftragnehmer sichert zu, den Auftraggeber erforderlichenfalls bei seinen Pflichten Meldungen nach Art.33 und Art.34 DSGVO für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung ger. Ziff.4 dieses Vertrages durchführen.
7. Unterauftragsverhältnisse mit Subunternehmen ( Art.28Abs.3Satz2lit.DS-GVO)
Die Beauftragung von Subunternehmern zur Verarbeitung von Daten des Auftraggebers ist dem Auftragnehmer nur mit Genehmigung des Auftraggebers gestattet, Art.28 Abs.2 DS-GVO, welche auf einem der o.g. Kommunikationswege (Ziff.4) mit Ausnahme der mündlichen Gestattung erfolgen muss. Die Zustimmung kann nur erteilt werden, wenn der Auftragnehmer dem Auftraggeber Name und Anschrift sowie die vorgesehene Tätigkeit des Subunternehmers mitteilt. Außerdem muss der Auftragnehmer dafür Sorge tragen, dass den Subunternehmer unter besonderer Berücksichtigung der Eignung der von diesen getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art.32DS-GVO sorgfältig auswählt. Die relevanten Prüfunterlagen dazu sind dem Auftraggeber auf Anfrage zur Verfügung zu stellen. Eine Beauftragung von Subunternehmern in Drittstaaten darf nur erfolgen, wenn die besonderen Voraussetzungen der Art.44ff.DSGVO erfüllt sind (z.B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln). Der Auftragnehmer hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwischen Auftraggeber und Auftragnehmer auch gegenüber Subunternehmern gelten. In dem Vertrag mit dem Subunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftragnehmers und des Subunternehmers deutlich voneinander abgegrenzt werden. Werden mehrere Subunternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Subunternehmern. Insbesondere muss der Auftraggeber berechtigt sein, im Bedarfsfall angemessene Überprüfungen und Inspektionen, auch vor Ort, bei Subunternehmern durchzuführen oder durch von ihm beauftragt Dritte durchführen zu lassen.
Der Vertrag mit dem Subunternehmer muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann (Art.28 Abs.4 und Abs.9DSGVO).Die Weiterleitung von Daten an den Subunternehmer ist erst zulässig, wenn der Subunternehmer die Verpflichtungen nach Art.29 und Art.4DS-GVO bezüglich seiner Beschäftigten erfüllt hat.Der Auftragnehmer haftet gegenüber dem Auftraggeber dafür, dass der Subunternehmer den Datenschutzpflichten nachkommt, die ihm durch den Auftragnehmer im Einklang mit dem vorliegenden Vertragsabschnitt vertraglich auferlegt wurden.Der Auftrags Verarbeiter informiert den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung neuer oder die Ersetzung bisheriger Subunternehmer, wodurch der Auftraggeber die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben (§28 Abs.2 Satz2 DS-GVO).
8. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Art. 28 Abs. 3 Satz 2 lit. cDSGVO)
Es wird für die konkrete Auftragsverarbeitung ein, dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Dazu werden die Schutzziele von Art.32 Abs.1 DS-GVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang Umstände und Zweck der Verarbeitung derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.
Wesentliche Änderungen muss der Auftragnehmer mit dem Auftraggeber in dokumentierter Form (schriftlich, elektronisch) abstimmen. Solche Abstimmungen sind für die Dauer des Vertrages aufzubewahren.
9. Verpflichtungen des Auftragnehmers nach Beendigung des Auftrags, Art.28 Abs.3 Satz2 lit. g DSGVO
Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer sämtliche in seinen Besitz sowie an Subunternehmen gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen.
Auf Art.82 DSCVO wird verwiesen.
Die Einrede des Zurückhaltungsrechts im Sinne von §273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
Telefon: 03 73 20 / 80928-0
Fax: 03 73 20 / 80928-20
E-Mail: office@informationssystemtechnik.de
Besucher Insgesamt: 7040

References: Art.28
 Art. 44
 Art.28
 Art.6
 Art.12
 Art.12
 Art.32
 § 203
 Art.29
 Art.41
 Art.42
 Art.33
 Art.34
 Art.33
 Art.34
 Art.28
 Art.28
 Art.32
 Art.44
 Art.29
 Art.4
 Art. 32
 Art.32
 Art.28
 Art.82
 §273