Source: http://derdisplayprofi.de/?page_id=19698
Timestamp: 2019-02-21 20:33:55+00:00

Document:
Lieferanten Erklärung | Display Factory GmbH
Lieferanten Erklärung
- Verantwortlicher – nachstehend Auftraggeber genannt - und dem/der
Display Factory GmbH, Toyota Allee 27, 50858 Köln
- Auftragsverarbeiter – nachstehend Auftragnehmer genannt
(1) Gegenstand Der Gegenstand des Auftrages ergibt sich aus der Auftragsbestätigung und allen Folgeaufträgen.
(2) Dauer Die Dauer des Auftrags (Laufzeit) ergibt sich aus der Auftragsbestätigung und allen Folgeaufträgen.
(1) Art und Zweck der vorgesehenen Verarbeitung von Daten Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber sind in der Kommunikation konkret beschrieben. Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.
(2) Art der Daten Die Art der verwendeten personenbezogenen Daten wird während der Ausführung des Auftrags beschrieben.
(1) Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Maßnahmen von Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung, zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben. Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage des Auftrages. Soweit die Prüfung / ein Audit des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einver-nehmlich umzusetzen.
(2) Der Auftragnehmer hat die Sicherheit gem. Art. 28 Abs. 3 lit. C, 32 DS-GVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DS-GVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen Einzelheiten in Anlage 1.
Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrages gesetzliche Pflichten gemäß Art. 28 bis 33 DS-GVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:
a)	Schriftliche Bestellung eines Datenschutzbeauftragten, der seine Tätigkeit gem. Art. 38 und 39 DS-GVO ausübt. Dessen Kontaktdaten werden dem Auftraggeber zum Zweck der direkten Kontaktaufnahme mitgeteilt. Ein Wechsel des Datenschutzbeauftragten wird dem Auftraggeber unverzüglich mitgeteilt.
Als Datenschutzbeauftragte/r ist beim Auftragnehmer
E-Mail des Datenschutzbeauftragten *
bestellt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen. Dessen jeweils aktuelle Kontaktdaten sind auf der Homepage des Auftragnehmers leicht zugänglich hinterlegt.
b) Als Datenschutzbeauftragte/r ist beim Auftraggeber
Peter Libawski, +49-2234-93344-0, digital@display-factory.info
c) Da der Auftragnehmer seien Sitz außerhalb der Union hat, benennt er folgenden Vertreter nach Art. 27 Abs. 1 DS-GVO in der Union:
a) Die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. B, 29, 32 Abs. 4 DS-GVO. Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die Zugang zu personenbezogene Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Auftraggebers verarbeiten, einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.
b)	Die Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 S. 2 lit. C, 32 DS-GVO Einzelheiten in der Anlage 1.
c)	Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung Ihrer Aufgaben zusammen.
d)	Die unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag bezieht. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.
e)	Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer nach besten Kräften zu unterstützen.
f)	Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.
g)	Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Auftraggeber im Rahmen seiner Kontrollbefugnisse nach Ziffer 7 dieses Vertrages.
(2) Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher schriftlicher bzw. dokumentierter Zustimmung des Auftraggebers beauftragen. Die Auslagerung auf Unterauftragnehmer oder der Wechsel des bestehenden Unterauftragnehmers sind zulässig, soweit:
-	Der Auftragnehmer eine solche Auslagerung auf Unterauftragnehmer dem Auftraggeber eine angemessene Zeit vorab schriftlich oder Textform anzeigt und
-	Der Auftraggeber nicht bis zum Zeitpunkt der Übergabe der Daten gegenüber dem Auftragnehmer schriftlich oder in Textform Einspruch gegen die geplante Auslagerung erhebt und
-	Eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DS-GVO zugrunde gelegt wird.
(5) Eine weitere Auslagerung durch den Unterauftragnehmer bedarf der ausdrücklichen Zustimmung des Hauptauftraggebers (mind. Textform); sämtliche vertragliche Regelungen in der Vertragskette sind auf dem weiteren Unterauftragnehmer aufzuerlegen.
(1) Der Auftragnehmer hat das Recht, im Benehmen mit dem Auftragnehmer, Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen.
(3) Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragte/r, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren).
a)	Die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen.
b)	Die Verpflichtungen, Verletzungen personenbezogener Daten unverzüglich an den Auftraggeber zu melden.
c)	Die Verpflichtung, dem Auftraggeber im Rahmen seiner Informationspflicht gegenüber dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen.
d)	Die Unterstützung des Auftraggebers für dessen Datenschutz-Folgenabschätzung.
e)	Die Unterstützung des Auftraggebers im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde.
Zutrittskontrolle Die Räume mit informationsverarbeitenden Systemen sind vor unbefugtem Zutritt geschützt mit Einbruchmeldeanlagen, einbruchhemmenden Fenstern, Zugangskontrolle mit Sicherheitsschlüsseln, Empfangsbereich für Besucher.
Zugangskontrolle Die Benutzer müssen sich zwingend gegenüber den informationsverarbeitenden Systemen identifizieren. Verwendung von User in Verbindung mit sicheren Passwörtern, automatische Sperrmechanismen, Verschlüsselung von Datenträgern.
Zugriffskontrolle Die informationsverarbeitenden Systeme sind vor unbefugtem Lesen, Kopieren, Verändern oder Entfernen von Daten innerhalb des Systems geschützt über Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte mit einer Protokollierung von Zugriffen.
Trennungskontrolle Es erfolgt eine getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden.
Pseudonymisierung (Art. 32 Abs. 1 lit. A DS-GVO; Art. 25 Abs. 1 DS-GVO) Die Verarbeitung personenbezogener Daten erfolgt ggf. in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können. Diese zusätzlichen Informationen werden gesondert aufbewahrt und unterliegen entsprechenden technischen und organisatorischen Maßnahmen.
Weitergabekontrolle Die informationsverarbeitenden Systeme sind vor unbefugten Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport geschützt, Verschlüsselung, Virtual Private Networks (VPN).
Eingabekontrolle In den informationsverarbeitenden Systemen lässt sich feststellen, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingeben, verändert oder entfernt worden sind, z.B. über Protokollierung oder Dokumentenmanagement.
Verfügbarkeitskontrolle Die informationsverarbeitenden System sind geschützt gegen zufällige oder mutwillige Zerstörung bzw. Verlust, durch eine Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne.
Die rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. C DS-GVO) ist möglich.
Auftragskontrolle Keine Auftragsdatenverarbeitung im Sinne von Art. 28 DS-GVO ohne entsprechende Weisung des Auftraggebers, z.B.: Eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl des Dienstleisters, Vorabüberzeugungspflicht, Nachkontrollen

References: Art. 44
 Art. 28
 Art. 5
 Art. 32
 Art. 28
 Art. 38
 Art. 27
 Art. 28
 Art. 28
 Art. 28
 Art. 25
 Art. 28