Source: https://www.exclusive-networks.com/de/bedingungen-der-auftragsverarbeitung/
Timestamp: 2020-05-26 19:40:44+00:00

Document:
Bedingungen der Auftragsverarbeitung - Exclusive Networks - Germany
Bedingungen der Auftragsverarbeitung
Diese Auftragsverarbeitungsvereinbarung konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz. Sie findet Anwendung auf alle Tätigkeiten, die mit dem Vertrag in Zusammenhang stehen und bei denen Beschäftigte des Auftragnehmers oder durch den Auftragnehmer Beauftragte personenbezogene Daten (»Daten«) des Auftraggebers verarbeiten oder wenigstens Zugriffsmöglichkeit haben.
Diese Bedingungen gelten in Bezug auf den Umgang mit personenbezogenen Daten vorrangig gegenüber anderen Regelungen der Vertragspartner. Etwaige Haftungsbeschränkungen insbesondere in Hauptverträgen gelten nicht.
Gegenstand, Dauer, Spezifizierung der Auftragsverarbeitung
Die zwischen den Vertragspartnern bestehenden vertraglichen Vereinbarungen regeln auch den Gegenstand dieser Auftragsverarbeitungsvereinbarung. Die Laufzeit der Auftragsverarbeitung richtet sich nach der Dauer der Zusammenarbeit der Vertragspartner insgesamt.
Art und Zweck der vorgesehenen Verarbeitung von Daten sind IT-Dienstleistungen, bei denen ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.
Art der personenbezogenen Daten sind Personenstammdaten wie Geschlecht, Vorname, Nachname, Adresse; Kommunikationsdaten (Telefon, E-Mail), Vertragsdaten, Vertragsabrechnungs- und Zahlungsdaten, Kundenhistorie, Planungs- und Steuerungsdaten, ebenso Ein- und ausgehende E-Mails und sonstige Daten, IT-Nutzungsdaten (UserId, Passwörter), die im Zusammenhang mit der Erbringung der IT-Dienstleistung eingesehen werden können.
Kategorien betroffener Personen sind Mitarbeiter, Kunden, Interessenten, Dienstleister, Lieferanten oder Ansprechpartner des Auftraggebers.
Der Auftragnehmer verwendet die zur Kenntnis gelangten personenbezogenen Daten für keine anderen als den festgelegten Vertragszweck. Der Auftragnehmer darf die Daten anonymisieren und in anonymisierter Form für eigene Zwecke verarbeiten und nutzen.
Die vertraglich vereinbarte Dienstleistung wird in einem Mitgliedsstaat der Europäischen Union, in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum oder in den mit dem Auftragnehmer verbundenen konzernangehörigen Unternehmen erbracht. Mit den verbundenen Unternehmen sind Vereinbarungen zur Gewährleistung angemessenen Datenschutzniveaus über konzernweite Datenschutzvereinbarungen getroffen und Standardvertragsklauseln der EU vereinbart und können vom Auftraggeber jederzeit zur Kenntnis angefordert werden.
Weisungsbefugnisse des Auftraggebers
Weisungsberechtigt auf Seiten des Aufraggebers ist der Auftraggeber selbst oder die von ihm beauftragten Personen. Werden Weisungen durch andere Personen erteilt, müssen diese von den berechtigten Personen bestätigt werden. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich per E-Mail.
Der Auftragnehmer hat den Auftraggeber möglichst zeitnah darauf hinweisen, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
Der Auftragnehmer verwendet die Daten ausschließlich in Übereinstimmung mit den Weisungen des Auftraggebers, wie sie abschließend in den Bestimmungen dieses Vertrags Ausdruck finden. Einzelweisungen, die von den Festlegungen dieses Vertrags abweichen oder zusätzliche Anforderungen aufstellen, bedürfen einer vorherigen Zustimmung des Auftragnehmers.
Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung der Daten sowie für die Wahrung der Rechte der Betroffenen verantwortlich. Sollten Dritte gegen den Auftragnehmer aufgrund der Verarbeitung von Daten Ansprüche geltend machen, wird der Auftraggeber den Auftragnehmer von allen solchen Ansprüchen auf erstes Anfordern freistellen, wenn der Auftragnehmer dem Auftraggeber nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.
Der Auftraggeber ist Eigentümer der Daten und Inhaber aller etwaigen Rechte, die die Daten betreffen.
Dem Auftraggeber obliegt es, dem Auftragnehmer die Daten rechtzeitig zur Leistungserbringung nach dem Hauptvertrag zur Verfügung zu stellen und er ist verantwortlich für die Richtigkeit der Daten. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er bei der Prüfung der Auftragsergebnisse des Auftragnehmers Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen oder seinen Weisungen feststellt.
Qualitätssicherung und sonstige Pflichten des Auftragnehmers
Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Artt. 28 bis 33 DS-GVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:
Schriftliche Bestellung eines Datenschutzbeauftragten, der seine Tätigkeit gemäß Artt. 38 und 39 DS-GVO ausübt. Dessen jeweils aktuelle Kontaktdaten sind auf der Homepage des Auftragnehmers leicht zugänglich hinterlegt.
Die Wahrung der Vertraulichkeit gemäß Artt. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DS-GVO. Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Auftraggebers verarbeiten einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.
Die Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen technischen und organisatorischen Maßnahmen gemäß Artt. 28 Abs. 3 S. 2 lit. c, 32 DS-GVO [Einzelheiten in Anlage 1].
Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer zu unterstützen.
Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Auftraggeber im Rahmen seiner Kontrollbefugnisse dieses Vertrages.
Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung zu dokumentieren und dem Auftraggeber auf Anforderung zur Prüfung zu übergeben. Bis zum Widerspruch durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage des Auftrages. Soweit die Prüfung/ein Audit des Auftraggebers ein Defizit in den dokumentierten technischen-organisatorischen Maßnahmen ergibt, das die Sicherheit der Verarbeitung nicht gewährleistet, werden nach Darlegung der Abweichung durch den Auftraggeber diese Maßnahmen einvernehmlich umgesetzt. Der Auftragnehmer kann die Kosten für die Umsetzung ersetzt verlangen, wenn er Maßnahmen umsetzt, welche über die üblichen Maßnahmen hinausgehen.
Der Auftragnehmer hat die Sicherheit gem. Artt. 28 Abs. 3 lit. c, 32 DS-GVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DS-GVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen [Einzelheiten in Anlage 1].
Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden.
Prüfung/Wartung eines Systems oder anderer Dienstleistungen; auch über Fernzugriff
Für die Durchführung von Zugriffen bei der Installation, Prüfung und/oder Wartung von Software oder von Datenverarbeitungsanlagen oder bei Zugriffen für andere Dienstleistungen gelten ergänzend folgende Rechte/Pflichten des Auftraggebers/Auftragnehmers:
Zugriffe im Rahmen von Installations-, Prüfungs- und/oder Wartungsarbeiten werden ausschließlich nach Freigabe durch den jeweiligen Berechtigten / zuständigen Mitarbeiter des Auftraggebers durchgeführt.
Fernzugriffe im Rahmen von Installations-, Prüfungs- und/oder Wartungsarbeiten werden, sofern hierbei ein Zugriff auf personenbezogene Daten nicht sicher ausgeschlossen werden kann, ausschließlich mit Zustimmung des Auftraggebers ausgeführt.
Die Mitarbeiter des Auftragnehmers verwenden angemessene Identifizierungs- und Verschlüsselungsverfahren.
Fernzugriffe im Rahmen von Installations-, Prüfungs- und/oder Wartungsarbeiten werden dokumentiert und gegebenenfalls beim Auftraggeber protokolliert. Der Auftraggeber ist berechtigt, Prüfungs- und Wartungsarbeiten vor, bei und nach Durchführung zu kontrollieren. Bei Fernzugriffen ist der Auftraggeber – soweit technisch möglich – berechtigt, diese von einem Kontrollbildschirm zu verfolgen und jederzeit abzubrechen.
Der Auftragnehmer wird von den ihm eingeräumten Zugriffsrechten nur in dem Umfang – auch in zeitlicher Hinsicht – Gebrauch machen, wie dies für die ordnungsgemäße Durchführung der beauftragten Arbeiten notwendig ist.
Soweit bei der Leistungserbringung Tätigkeiten zur Fehleranalyse erforderlich sind, bei denen eine Kenntnisnahme (z.B. auch lesender Zugriff) oder ein Zugriff auf Produktions- und Echtdaten des Auftraggebers erfolgt, wird der Auftragnehmer die vorherige Einwilligung des Auftraggebers einholen
Tätigkeiten zur Fehleranalyse, bei denen ein Datenabzug der auf Produktions- und Echtdaten erfolgt, bedürfen der vorherigen Einwilligung des Auftraggebers. Bei Datenabzug der auf Produktions- und Echtdaten wird der Auftragnehmer diese Kopien, unabhängig von verwendeten Medium, nach Bereinigung des Fehlers löschen. auf Produktions- und Echtdaten dürfen nur zum Zweck der Fehleranalyse und ausschließlich auf dem bereitgestellten Equipment des Auftraggebers oder auf solchem des Arbeitnehmers verwendet werden, sofern die vorherige Einwilligung des Auftraggebers vorliegt. Produktions- und Echtdaten dürfen nicht ohne Zustimmung des Auftraggebers auf mobile Speichermedien (PDAs, USB-Speichersticks oder ähnliche Geräte) kopiert werden.
Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 36 der DS-GVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherige Konsultationen. Hierzu gehören u.a.
Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DS-GVO überzeugen kann, wenn der Auftraggeber konkret vorträgt, dass technisch-organisatorische Maßnahmen das Schutzniveau des Art. 32 DSGVO unterschreiten und insgesamt die Sicherheit der Verarbeitung nicht mehr gewährleistet wird. Der Auftraggeber hat dann das Recht, in Abstimmung mit dem Auftragnehmer, Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen.
Nach Wahl des Auftragnehmers kann der Nachweis der Einhaltung der technischen und organisatorischen Maßnahmen gemäß Anlage 1 anstatt einer Vor-Ort-Kontrolle auch durch die Vorlage eines geeigneten, aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren oder Qualitätsauditoren) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit – z.B. nach BSI-Grundschutz – („Prüfungsberichts“) erbracht werden, wenn der Prüfungsbericht es dem Auftraggeber in angemessener Weise ermöglicht, sich von der Einhaltung der technischen und organisatorischen Maßnahmen gemäß Anlage 1 zu diesem Vertrag zu überzeugen. Sofern der Kunde auf Basis tatsächlicher Anhaltspunkte berechtigte Zweifel daran geltend macht, dass diese Prüfberichte bzw. Zertifizierungen unzureichend oder unzutreffend sind, oder besondere Vorfälle im Sinne von Art. 33 Abs. 1 DS-GVO im Zusammenhang mit der Durchführung der Auftragsverarbeitung des Kunden dies rechtfertigen, kann er Vor-Ort-Kontrollen durchführen.
Der Auftragnehmer ist berechtigt, nach eigenem Ermessen unter Berücksichtigung der gesetzlichen Verpflichtungen des Auftraggebers, Informationen nicht zu offenbaren, die sensibel im Hinblick auf die Geschäfte des Auftragnehmers sind oder wenn der Auftragnehmer durch deren Offenbarung gegen gesetzliche oder andere vertragliche Regelungen verstoßen würde. Der Auftraggeber ist nicht berechtigt, Zugang zu Daten oder Informationen über andere Kunden des Auftragnehmers, zu Informationen hinsichtlich Kosten – es sei denn, dass diese die Basis des erstattungsfähigen oder durchlaufenden Aufwandes darstellen – zu Qualitätsprüfungs- und Vertrags-Managementberichten sowie zu sämtlichen anderen vertraulichen Daten des Auftragnehmers, die nicht unmittelbar relevant für die vereinbarten Kontrollzwecke sind, zu erhalten.
Der Auftraggeber hat den Auftragnehmer rechtzeitig (mindestens vier Wochen vorher) über alle mit der Durchführung der Kontrolle zusammenhängenden Umstände zu informieren. Der Auftraggeber darf in der Regel eine Kontrolle gemäß den Vorgaben dieser Ziffer 8 pro Kalenderjahr durchführen. Hiervon unbenommen ist das Recht des Auftraggebers, weitere Kontrollen im Fall von besonderen Vorkommnissen durchzuführen.
Der Auftragnehmer erhält vom Auftraggeber eine Aufwandsentschädigung, wenn die Art und Weise einer Kontrolle unverhältnismäßig den Auftragnehmer beeinträchtigt.
Beauftragt der Auftraggeber einen Dritten mit der Durchführung der Kontrolle, hat der Auftraggeber den Dritten schriftlich ebenso zu verpflichten, wie auch der Auftraggeber aufgrund dieses Vertrags gegenüber dem Auftragnehmer verpflichtet ist. Zudem hat der Auftraggeber den Dritten auf Verschwiegenheit und Geheimhaltung zu verpflichten, es sei denn, dass der Dritte einer beruflichen Verschwiegenheitsverpflichtung unterliegt. Auf Verlangen des Auftragnehmers hat der Auftraggeber diesem die Verpflichtungsvereinbarungen mit dem Dritten unverzüglich vorzulegen. Der Auftraggeber darf keinen Konkurrenten des Auftragnehmers mit der Kontrolle beauftragen.
Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) außerhalb der konzernangehörigen Unternehmen nur dann beauftragen, soweit:
der Auftragnehmer eine solche Auslagerung auf Unterauftragnehmer dem Auftraggeber eine angemessene Zeit vorab schriftlich oder in Textform anzeigt und
eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DS-GVO zugrunde gelegt wird.
Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestattet. Die datenschutzrechtlichen Pflichten aus diesem Vertrag sind auf den weiteren Auftragsverarbeiter zu übertragen.
Die Rechte der durch die Datenverarbeitung betroffenen Personen sind gegenüber dem Auftraggeber geltend zu machen.
Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Auskunft, Berichtigung, Löschung oder Sperrung der ihn betreffenden Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen zeitnah an den Auftraggeber weiterleiten.
Für den Fall, dass eine betroffene Person ihre Rechte auf Berichtigung, Löschung oder Sperrung von Daten oder auf Auskunft über die gespeicherten Daten, den Zweck der Speicherung und die Personen und Orte, an die Daten regelmäßig übermittelt werden, geltend macht, hat der Auftragnehmer den Auftraggeber bei der Erfüllung dieser Ansprüche in angemessenem und für den Auftraggeber erforderlichen Umfang zu unterstützen, sofern der Auftraggeber die Ansprüche nicht ohne Mitwirkung des Auftragnehmers erfüllen kann. Der Auftragnehmer erhält vom Auftraggeber eine angemessene Entschädigung für seinen im Rahmen der Mitwirkung anfallenden Aufwand.
Der Auftragnehmer wird es dem Auftraggeber ermöglichen, Daten zu berichtigen, zu löschen oder zu sperren oder auf Verlangen des Auftraggebers die Berichtigung, Sperrung oder Löschung selbst vornehmen, wenn und soweit das dem Auftraggeber selbst unmöglich ist.
Etwaiges Löschkonzept, Gewährleistung Recht auf Vergessen werden, Berichtigung, Datenportabilität und Auskunft sind unmittelbar durch den Auftraggeber sicherzustellen.
Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers entweder alle personenbezogenen Daten oder gibt sie dem Auftraggeber zurück, sofern nicht nach dem Unionsrecht oder nach deutschem Recht eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht oder sich aus den Leistungsbeschreibungen und den jeweiligen vertraglichen Vereinbarungen etwas Anderes ergibt.
Verhältnis zum Hauptvertrag
(1) Soweit in diesem Vertrag keine Sonderregelungen enthalten sind, gelten die Bestimmungen des Hauptvertrags. Im Fall von Widersprüchen zwischen diesem Vertrag und Regelungen aus sonstigen Vereinbarungen, insbesondere aus dem Hauptvertrag, gehen die Regelungen aus diesem Vertrag vor.
(2) Bestand der Zusatzvereinbarung werden folgende Anlagen:
Anlage „Technische und organisatorische Maßnahmen“
Aufhebung bisheriger Vereinbarungen
Die Parteien vereinbaren, dass zeitgleich mit Beginn dieser Vereinbarung zur Auftragsverarbeitung die zwischen den Parteien bestehende Vereinbarung zur Auftragsdatenverarbeitung gemäß § 11 Bundesdatenschutzgesetz sowie etwaige weitere Vereinbarungen zur Auftragsdatenverarbeitung einvernehmlich aufgehoben und durch diese neue Vereinbarung zur Auftragsverarbeitung ersetzt werden.
Verweise auf die DS-GVO
Alle in dieser Vereinbarung enthaltenen Verweise auf die DS-GVO gelten für die DS-GVO in ihrer jeweils aktuellen Fassung bzw. etwaige Nachfolgeregelungen.
Anlage – Technisch-organisatorische Maßnahmen
Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)
Technische Maßnahmen: Alarmanlage; manuelles Schließsystem; Sicherheitsschlösser; Türen mit Knauf auf der Außenseite; Klingelanlage mit Kamera
Organisatorische Maßnahmen: Schlüsselregelung / Liste; Empfang
Technische Maßnahmen: Login mit Benutzername & Passwort; Anti-Virus-Software Server; Anti-Virus-Software Clients; Firewall; Intrusion Detection Systeme; VPN bei Remote-Zugriffen; Verschlüsselung von Datenträgern; Verschlüsselung von Smartphones; BIOS Schutz (separates Passwort); automatische Desktopsperre; Verschlüsselung von Notebooks.
Organisatorische Maßnahmen: Verwalten von Benutzerberechtigungen; Erstellen von Benutzerprofilen; Richtlinie „sicheres Passwort“; Clean Desk Policy; Allg. Richtlinie Datenschutz und Sicherheit; Anleitung „manuelle Desktopsperre“; 2F-Authentifizierung
Technische Maßnahmen: Aktenschredder cross cut; externer Aktenvernichter (DIN 66399); Löschung von Datenträgern nach mil. Standard
Organisatorische Maßnahmen: Einsatz Berechtigungskonzepte; minimale Anzahl an Administratoren; Verwaltung Benutzerrechte durch Administratoren
Technische Maßnahmen: Trennung von Produktiv- und Testumgebung; physikalische Trennung (Systeme/Datenbanken/Datenträger)
Organisatorische Maßnahmen: Steuerung über Berechtigungskonzept; Festlegen von Datenbankrechten
Pseudonymisierung (Art. 32 Abs. 1 lit. a DS-GVO; Art. 25 Abs. 1 DS-GVO)
Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen;
Integrität (Art. 32 Abs. 1 lit. b DS-GVO)
Technische Maßnahmen: Email-Verschlüsselung; Einsatz von VPN; Protokollierung der Zugriffe und Abrufe; Nutzung von Signaturverfahren
Technische Maßnahmen: technische Protokollierung der Eingabe, Änderung und Löschung von Daten
Organisatorische Maßnahmen: Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen (nicht Benutzergruppen); Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts.
Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)
Technische Maßnahmen: Feuer- und Rauchmeldeanlagen; Feuerlöscher Serverraum; Serverraumüberwachung Temperatur und Feuchtigkeit; klimatisierter Serverraum; USV; Schutzsteckdosenleisten Serverraum; RAID-System
Organisatorische Maßnahmen: Backup & Recovery- Konzept; Kontrolle des Sicherungsvorgangs; regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse; keine sanitären Anschlüsse im oder oberhalb des Serverraums; getrennte Partitionen für Betriebssysteme und Daten
Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DS-GVO);
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)
Datenschutz-Management;
Organisatorische Maßnahmen: externer Datenschutzbeauftragter (Bernhard Bock; Projekt 29 GmbH & Co. KG; Ostengasse 14; 93047 Regensburg; dsgvo@exclusive-networks.de) Mitarbeiter werden regelmäsig geschult und sind auf Vertraulichkeit / Datengeheimnis verpflichtet.
Technische Maßnahmen: Einsatz von Firewall und regelmäßige Aktualisierung; Einsatz von Spamfilter und regelmäßige Aktualisierung; Einsatz von Virenscanner und regelmäßige Aktualisierung; Intrusion detection System (IDS); Intrusion Prevention system (IPS)
Keine Auftragsdatenverarbeitung im Sinne von Art. 28 DS-GVO ohne entsprechende Weisung des Auftraggebers, wie z.B.: eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl der Dienstleister, Vorabüberzeugungspflicht, Nachkontrollen.
PDF-Download: Bedingungen der Auftragsverarbeitung
Tel.: 030 – 325131 – 0
Fax: 030 – 325131 – 29100
info@exclusive-networks.de

References: Art. 5
 Art. 32
 Art. 28
 Art. 32
 Art. 33
 Art. 28
 § 11
 Art. 25
 Art. 25
 Art. 28