Source: https://marktkaffeeklatsch.de/index.php/datenschutzerklaerung-2/
Timestamp: 2019-08-23 04:36:21
Document Index: 192951725

Matched Legal Cases: ['Art. 4', 'Art. 28', 'Art. 44', 'Art. 32', 'Art.28', 'Art. 28', 'Art. 5', 'Art. 32', 'Art. 28', 'Art. 28', 'Art. 28', 'Art. 28', 'Art. 40', 'Art.\n42']

Arten der betroffenen Daten:
Bestandsdaten (Namen usw.)
Kontakdaten (Namen, e-mail, usw.)
Inhaltsangaben (Texte, Fotos, Videos usw.)
Nutzungsdaten (interesse an Inhalten usw.)
Kommunikationsdaten (z.B. IP-Adressen usw.)
Nutzer des Onlineinhaltes.
Innerhalb des Onlineangebotes können Funktionen und Inhalte des Dienstes Twitter eingebunden, angeboten durch die Twitter Inc., 1355 Market Street, Suite 900, San Francisco, CA 94103, USA. Hierzu können z.B. Inhalte wie Bilder, Videos oder Texte und Schaltflächen gehören, mit denen Nutzer ihr Gefallen betreffend die Inhalte kundtun, den Verfassern der Inhalte oder unsere Beiträge abonnieren können. Sofern die Nutzer Mitglieder der Plattform Twitter sind, kann Twitter den Aufruf der o.g. Inhalte und Funktionen den dortigen Profilen der Nutzer zuordnen. Twitter ist unter dem Privacy-Shield-Abkommen zertifiziert und bietet hierdurch eine Garantie, das europäische Datenschutzrecht einzuhalten (https://www.privacyshield.gov/participant?id=a2zt0000000TORzAAO&status=Active). Datenschutzerklärung: https://twitter.com/de/privacy, Opt-Out: https://twitter.com/personalization.
[webmaster@marktkaffeeklatech.de]
ADV Vertrag (Original liegt vor, hier eine Textkopie zur Einsicht)
TracPlex GmbH
schließen den folgenden Vertrag:
1 Gegenstand und Dauer des Auftrags Gegenstand und Dauer des Auftrags bestimmen sich vollumfänglich nach den unter der oben genannten Kundennummer im jeweiligen Vertragsverhaltnis gemachten Angaben.
Diese Vereinbarung ist abhangig vom Bestand eines der folgenden Hauptvertragsverhaltnisse:
 Webhosting-Dienstleistung (Shared Hosting u. Managed Hosting)
 E-Mail-Dienstleistungen
 Cloud-VPS
Der Auftragnehmer verarbeitet dabei personenbezogene Daten fur den Auftraggeber im
Sinne des Art. 4 Nr.2 und Art. 28 DS-GVO auf Grundlage dieses Auftrags.
Die Kundigung oder anderweitige Beendigung des Hauptvertragsverhaltnisses beendet
gleichzeitig diese Vereinbarung.
Das Recht zur isolierten, auerordentlichen Kundigung dieser Vereinbarung sowie die
Ausubung gesetzlicher Rucktrittsrechte konkret fur die Vereinbarung bleiben hierdurch
unberuhrt.
Dieser Vertrag bezieht sich nur auf das unter der oben genannten Kundennummer gefuhrte
Kundenkonto. Sofern der Auftraggeber beim Auftragnehmer mehrere Kundenkonten
unterhalt, ist dieser Vertrag fur jedes Kundenkonto gesondert abzuschließen.
2 Umfang, Art und Zweck der Erhebung, Verarbeitung oder
Der Umfang, die Art und der Zweck einer etwaigen Erhebung, Verarbeitung oder Nutzung personenbezogener Daten, die Art der Daten und der Kreis der Betroenen werden dem Auftragnehmer durch den Auftraggeber gema der vom Auftraggeber ausgefullten Anlage I und II beschrieben, soweit sich das nicht aus dem Vertragsinhalt der in Ziffer 1 beschriebenen Vertragsverhaltnisse ergibt.
Gegenstand des Vertrags ist nicht die originare Nutzung oder Verarbeitung von personenbezogenen Daten durch den Auftragnehmer. Bei der Administration der Serversysteme kann ein Zugriauf sowie die Erhebung, Nutzung und Verarbeitung von personenbezogene Daten jedoch nicht ausgeschlossen werden. Dies beinhaltet unter anderem:
Aufzeichnen und Prufen von Zugriffen und deren IP-Adressen zu Sicherheitszwecken
(Firewall-Protokolle, fehlgeschlagene Login-Versuche, etc.)
 Fehlerbehebung im Kundenauftrag
 Systemuberwachung und Monitoring
Die Erbringung der vertraglich vereinbarten Datenverarbeitung ndet ausschlielich in einem Mitgliedsstaat der Europaischen Union oder in einem anderen Vertragsstaat des Abkommens uber den Europaischen Wirtschaftsraum statt.
Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 . DS-GVO erfullt sind.
3 Technisch-organisatorische Manahmen nach Art. 32 DS-GVO
(Art.28 Abs.3 Satz 2 lit.c DS-GVO)
Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Manahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchfuhrung zu dokumentieren und dem Auftraggeber zur Prufung zu ubergeben (siehe Anlage III). Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Manahmen Grundlage des Auftrags.
Der Auftragnehmer hat die Sicherheit gem. Art. 28 Abs.3 Satz 2 lit.c, 32 DS-GVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DS-GVO herzustellen. Insgesamt handelt es sich bei den zu treenden Manahmen um Manahmen der Datensicherheit und zur Gewahrleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integritat, der Verfugbarkeit sowie der Belastbarkeit der Systeme.
Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos fur die Rechte und Freiheiten naturlicher Personen im Sinne von
Art. 32 Abs. 1 DS-GVO zu berucksichtigen.
Die technischen und organisatorischen Manahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adaquate Manahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Manahmen nicht unterschritten werden. Wesentliche Anderungen sind zu dokumentieren.
4 Berichtigung, Sperrung und Loschung von Daten
Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmachtig loschen oder deren Verarbeitung einschranken. Soweit eine betroene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzuglich an den Auftraggeber weiterleiten.
Soweit vom Leistungsumfang umfasst, sind Loschkonzept, Recht auf Vergessenwerden, Berichtigung, Datenportabilitat und Auskunft nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.
Soweit der Auftraggeber Unterstutzung nach Zier 4 fur die Beantwortung von Anfragen Betroffener benotigt, hat er die hierdurch entstehenden Kosten zu erstatten.
5 Qualitatssicherung und sonstige Pflichten des Auftragnehmers
Der Auftragnehmer hat zusatzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gema Art. 28 bis 33 DS-GVO; insofern gewahrleistet er insbesondere die Einhaltung folgender Vorgaben:
Die Bestellung eines Datenschutzbeauftragten, sobald dies gesetzlich erforderlich ist. Eine Bestellung sowie ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzuglich mitzuteilen. Ist ein Datenschutzbeauftragter bestellt, sind dessen Kontaktdaten auf der Homepage des Auftragnehmers leicht zuganglich hinterlegt.
 Die Wahrung der Vertraulichkeit gema Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DS-GVO.
Der Auftragnehmer setzt bei der Durchfuhrung der Arbeiten nur Beschaftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den fur sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die Zugang zu personenbezogenen Daten hat, durfen diese Daten ausschließlich entsprechend der Weisung des Auftraggebers verarbeiten einschlielich der in diesem Vertrag eingeraumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.
 Die Umsetzung und Einhaltung aller fur diesen Auftrag notwendigen technischen und organisatorischen Manahmen entsprechen Art. 28 Abs. 3 Satz 2 lit. c, 32 DS-GVO und Anlage III. Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehorde bei der Erfullung ihrer Aufgaben zusammen.
 Die unverzugliche Information des Auftraggebers uber Kontrollhandlungen und Manahmen der Aufsichtsbehorde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zustandige Behorde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.
 Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehorde, einem Ordnungswidrigkeits oder Strafverfahren, dem Haftungsanspruch einer betroenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer nach besten Kraften zu unterstutzen.
 Der Auftragnehmer kontrolliert regelmaig die internen Prozesse sowie die technischen und organisatorischen Manahmen, um zu gewahrleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroenen Person gewahrleistet wird.
 Dokumentation der getroenen technischen und organisatorischen Manahmen gegenuber dem Auftraggeber laut Anlage III.
6 Unterauftragsverhaltnisse
Als Unterauftragsverhaltnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehoren Nebenleistungen, die der Auftragnehmer z.B. als Telekommunikationsleistungen,
Post-/Transportdienstleistungen, Wartung und Benutzerservice sowie sonstige
Manahmen zur Sicherstellung der Vertraulichkeit, Verfugbarkeit, Integritat und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewahrleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmanahmen zu ergreifen.
Im Rahmen der Vertragserfullung wird der Auftragnehmer Subunternehmer beauftragen.
Der Auftragnehmer wird ein Verzeichnis von Subunternehmern, die an der Auftragserfüllung beteiligt sind, veroentlichen und aktuell halten: https://www.lima-city.de/
usercp/data_processing_contracts/contractors.pdf
7 Kontrollrechte des Auftraggebers
Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Uberprufungen durchzufuhren oder durch im Einzelfall zu benennende Prufer durchfuhren zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschaftsbetrieb zu uberzeugen.
D er Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DS-GVO uberzeugen kann. Der Auftragnehmer verp
ichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskunfte zu erteilen
und insbesondere die Umsetzung der technischen und organisatorischen Manahmen
Der Nachweis solcher Manahmen, die nicht nur den konkreten Auftrag betreen, kann
wahlweise erfolgen durch die Einhaltung genehmigter Verhaltensregeln gema Art. 40
DS-GVO, die Zertizierung nach einem genehmigten Zertizierungsverfahren gema Art.
42 DS-GVO, aktuelle Testate, Berichte oder Berichtsauszuge unabhangiger Instanzen
(z.B. Wirtschaftsprufer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren,
Qualitatsauditoren) und/oder eine geeignete Zertizierung durch ITSicherheits-
oder Datenschutzaudit (z.B. nach BSI-Grundschutz).
Fur die Ermöglichung von Kontrollen durch den Auftraggeber kann der Auftragnehmer einen Vergütungsanspruch geltend machen und Ersatz der ihm entstehenden Kosten und Aufwande verlangen.
Soweit der Auftraggeber nach Zier 7 Kontrollrechte ausuben wird, orientiert sich die vorab zu vereinbarende Höhe des Entgelts an einem festzulegenden Stundensatz des fur die Betreuung vom Auftragnehmer abgestellten Mitarbeiters.
8 Mitteilung bei Verstoen des Auftragnehmers
Der Auftragnehmer unterstutzt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 36 der DS-GVO genannten P
ichten zur Sicherheit personenbezogener Daten,
Meldepflichten bei Datenpannen, Datenschutz-Folgeabschatzungen und vorherige Konsultationen.
Hierzu gehoren u.a.:
 die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Manahmen, die die Umstande und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer moglichen Rechtsverletzung durch Sicherheitslücken berucksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermoglichen
 die Verpflichtung, Verletzungen personenbezogener Daten unverzuglich an den Auftraggeber zu melden die Verppfichtung, dem Auftraggeber im Rahmen seiner Informationspflicht gegenüber dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang samtliche relevante Informationen unverzuglich zur Verfugung zu stellen die Unterstutzung des Auftraggebers fur dessen Datenschutz-Folgenabschatzung die Unterstutzung des Auftraggebers im Rahmen vorheriger Konsultationen mit der Aufsichtsbehorde
Fur Unterstutzungsleistungen, die nicht in der Leistungsbeschreibung enthalten oder
nicht auf ein Fehlverhalten des Auftragnehmers zuruckzufuhren sind, kann der Auftragnehmer
eine Vergutung beanspruchen.
Mundliche Weisungen bestatigt der Auftraggeber unverzuglich (mind. Textform). Eine nicht bestatigte bzw. nicht dokumentierte Weisung gilt als nicht erteilt.
Der Auftragnehmer hat den Auftraggeber unverzuglich zu informieren, wenn er der Meinung ist, eine Weisung verstoe gegen Datenschutzvorschriften. Der Auftragnehmer ist berechtigt, die Durchfuhrung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestatigt oder geandert wird.
10 Loschung und Ruckgabe von personenbezogenen Daten
Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt.
Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewahrleistung einer ordnungsgemaßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
Nach Abschluss der vertraglich vereinbarten Arbeiten oder fruher nach Auorderung
durch den Auftraggeber { spatestens mit Beendigung der Leistungsvereinbarung { hat der Auftragnehmer samtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs und Nutzungsergebnisse sowie Datenbestande, die im Zusammenhang mit dem Auftragsverhaltnis stehen, dem Auftraggeber auszuhandigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt fur Test- und Ausschussmaterial. Der
Auftragnehmer gibt dem Auftraggeber auf Anfrage hin Auskunft zur Natur und dem Zeitpunkt der Loschung.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemaen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen uber das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber ubergeben.
Erteilt der Auftraggeber dem Auftragnehmer Weisungen nach Zier 9, so hat er durch diese Weisung entstehende Kosten zu erstatten.
Die Parteien vereinbaren als Gerichtsstand den Sitz des fur Bremen zustandigen Gerichts.
Auftraggeber, Ort, Datum
Bremen, 24. Dezember 2018
Auftragnehmer, Ort, Datum
 Kommunikationsdaten
 Protokolldaten
Betroene
 Blogkommentatoren
Manahmen
Die folgenden technischen und organisatorischen Manahmen (kurz TOMs) werden vom Auftragnehmer
1 Vertraulichkeit: Zutrittskontrolle
Telehouse Frankfurt, Main (Rechenzentrum)
 elektronisches Zutrittskontrollsystem mit Protokollierung
 Hochsicherheitszaun um das Gelande
 durchgehend besetzter Leitstand
 Bewachung durch zertiziertes Werksschutzpersonal
 Videouberwachung insbesondere der Ein- und Ausgange
 organisatorisch getrennte Berechtigungsvergabe fur den Rechenzentrums-Zutritt
Bremen (Buro)
 durchgehende Besetzung des Empfangs durch Pfortner
 Manuelle Schlieanlage
2 Vertraulichkeit: Zugangskontrolle
Kundenmenu
 Das Passwort fur das Kundenmenu (
Verwaltung) wird vom Auftraggeber selbst vergeben.
Das Passwort muss der aktuellen Kennwortrichtlinie entsprechen.
 Die Login-Versuche zum Kundenmenu werden innerhalb eines Zeitfensters begrenzt (,,Rate
Leistung ,,Cloud-VPS\
 Standardmaige Deaktivierung von Server-Passwortern fur den Login, Zugang nur mit
kryptograschem Schlussel (
SSH-Keys). Fur die Inbetriebnahme wird eine einmalige
Berechtigungsvergabe von kryptograschen Schlusseln des Auftraggebers durchgefuhrt
 Der Auftraggeber kann aufWunsch fur die erstmalige Inbetriebnahme ein Server-Passwort vergeben, das verschlusselt gespeichert wird und dem Auftragnehmer nicht bekannt ist.
Der Auftraggeber wird ein eventuell gesetztes Server-Passwort bei der Inbetriebnahme
andern und die Vergabe und Dokumentation von Berechtigungen selbst verantworten.
 Fur die Zugangskontrolle fur auf dem Cloud-VPS installierter Software und Daten ist der
Leistung ,,Webhosting\
 Der Administrator-Zugang ist ausschlielich per kryptograschem Schlussel (
SSH-Keys)
durch berechtigte Mitarbeiter des Auftragsnehmers moglich.
 Der Kunden-Zugang (SSH) ist ausschlielich mit kryptograschem Schlussel (
„SSH-Keys) moglich. Berechtigungen fur kryptograsche Schlussel werden vom Auftraggeber vergeben und durch den Auftragnehmer protokolliert.
 Der Kunden-Zugang zu Datenbanken ist mit einem vom Auftragnehmer erzeugten Benutzernamen und vom Auftraggeber gewahlten Passwort moglich. Das Passwort muss
der aktuellen Kennwortrichtlinie entsprechen.
 Der Kunden-Zugang per FTP-Protokoll ist mit einem vom Auftragnehmer erzeugten
Benutzernamen und vom Auftraggeber gewahlten Passwort moglich. Das Passwort muss
 Die Login-Versuche fur FTP-, MySQL- und SSH-Zugange werden innerhalb eines Zeitfensters begrenzt (,,Rate limiting).
 Fur die Zugangskontrolle fur auf dem Webspace installierter Software und Daten ist der
Leistung ,,E-Mail\
 Administrator-Zugang nur per kryptograschem Schlussel (
SSH-Keys) durch berechtigte Mitarbeiter des Auftragsnehmers
 Kunden-Zugang (E-Mail-Abruf und -Versand) durch ein vom Kunden zu vergebendes,
dem Auftragnehmer nicht bekanntes, Passwort. Das Passwort muss der aktuellen Kennwortrichtlinie entsprechen.
 Mit Zustimmung des Auftraggebers wird der Auftragnehmer fur bestimmte Operationen
(derzeit: E-Mail-Import) ein temporares, dem Auftragnehmer bekanntes, Passwort setzen.
Nach Abschluss der Operation wird das Passwort auf den ursprunglichen kryptograschen
Hash zuruckgesetzt.
 Die Login-Versuche fur E-Mail-Accounts werden innerhalb eines Zeitfensters begrenzt
(,,Rate limiting).
3 Vertraulichkeit: Zugriskontrolle Leistung ,,Cloud-VPS\ Die Zugriskontrolle liegt in der Verantwortung des Auftraggebers.
 Der Auftragnehmer wird durch zeitnahes Einspielen von Sicherheitsupdates die Zugriskontrolle sicherstellen
 Fur die ubertragenen Daten und installierte Software ist der Auftraggeber in Bezug auf
Zutrittskontrolle und Updates verantwortlich
Leistung ,,E-Mail\ Der Auftragnehmer wird durch zeitnahes Einspielen von Sicherheitsupdates die Zugriskontrolle sicherstellen
4 Vertraulichkeit: Datentragerkontrolle
Festplatten werden bei Auerbetriebnahme einzelner Festplatten oder gesamter Serversysteme mehrfach uberschrieben und damit sicher geloscht. Defekte Festplatten, die nicht sicher geloscht werden konnen, werden physikalisch unbrauchbar gemacht bzw. vernichtet.
5 Vertraulichkeit: Trennungskontrolle
 Fur interne Verwaltungs- und Administrationssysteme des Auftragnehmers werden Daten physisch oder logisch getrennt von anderen Daten gespeichert. Die Datensicherung erfolgt ebenfalls physisch oder logisch getrennt.
 Test- und Produktionssysteme sind logisch getrennt.
Cloud-VPS\ Die Trennungskontrolle ist vom Auftragnehmer zu verantworten.
Webhosting\ und
 Die Daten werden physisch oder logisch getrennt von anderen Daten gespeichert. Die
Datensicherung erfolgt ebenfalls physisch oder logisch getrennt.
6 Vertraulichkeit: Pseudonymisierung
Der Auftraggeber ist fur die Pseudonymisierung der Daten verantwortlich.
7 Integritat: Weitergabekontrolle
Der Auftragnehmer unterrichtet alle Mitarbeiter, die mit der Verarbeitung von personenbezogenen
Daten beauftragt sind, im datenschutzkonformen Umgang mit personenbezogenen Daten
ichtet diese zur Einhaltung der gesetzlichen Bestimmungen.
 Der Auftragnehmer wird die Daten nach Auftragsbeendigung datenschutzgerecht loschen.
Die Loschung von Daten aus Archiv- und Recovery-Systemen kann technisch bedingt
mit extremem Aufwand verbunden sein. Sofern eine vorzeitige Loschung von Daten in
Archiv- und Recovery-Systemen nicht zumutbar ist wird der Auftragnehmer die Daten
als geloscht markieren und fur den Zugrisperren, bis die Loschung durch den im Archivund
Recovery-System denierten Losch-Prozess stattndet.
 Der Auftraggeber wird im Rahmen der technischenMoglichkeiten und der Verhaltnismaigkeit
fur alle Ubertragungswege personenbezogener Daten eine adaquate Verschlusselung
bereitstellen. Der Auftragnehmer wird Daten ausschlielich uber verschlusselte Verbindungen
ubertragen, sofern diese bereitstehen.
8 Integritat: Eingabekontrolle
 Personenbezogene Daten werden im Rahmen des Kundenmenus vom Kunden selbst eingegeben.
 Ubermittelt der Kunde auf anderem Wege Daten (u.a. mundlich, schriftlich) hat er die
Korrektheit der Daten selbststandig zu prufen und notwendige Anderungen unverzuglich
Cloud-VPS\, ,,Webhosting\, ,,E-Mail\ Die Eingabekontrolle obliegt dem Auftraggeber.
9 Verfugbarkeit und Belastbarkeit: Verfugbarkeitskontrolle
 Backup- und Recovery-Konzept mit mindestens taglicher Sicherung aller relevanten Daten
 Sachkundiger Einsatz von Sicherheitsmanahmen
 Einsatz von Festplattenspiegelung bei allen relevanten Servern
 Monitoring aller relevanten Systeme
 Einsatz unterbrechungsfreier Stromversorgung
 On-Demand-DDoS-Protection
 Die Datensicherung obliegt dem Auftraggeber
 Einsatz von Festplattenspiegelung
 Der Auftragnehmer stellt dem Auftraggeber, sofern vereinbart, eine Moglichkeit fur eine
physikalisch getrennte und verschlusselte Sicherung (
Snapshots) zur Verfugung. Der
Auftraggeber bleibt auch bei Nutzung dieser Moglichkeit weiterhin fur die Datensicherung
verantwortlich. Sofern vereinbart besorgt der Auftragnehmer fur den Auftraggeber die
tagliche Durchfuhrung von
 Ein Layer 3/4-DDoS-Schutz wird nach Vereinbarung bereitgestellt, der Layer-7-DDoSSchutz
obliegt dem Auftraggeber
 Backup- und Recovery-Konzept mit taglicher Sicherung der Daten, Aufbewahrungszeitraum
je nach Produktbeschreibung
 Einsatz von Netzersatzanlagen und unterbrechungsfreier Stromversorgung
 Einsatz von Softwarerewalls und Portbeschrankungen
 Dauerhaft aktiver Layer 3/4-DDoS-Schutz
 Dauerhaft aktiver Layer 7-DDoS-Schutz
 Backup- und Recovery-Konzept mit taglicher Sicherung der Daten
10 Verfugbarkeit und Belastbarkeit: Rasche Wiederherstellbarkeit
Kundenmenu Der Auftragnehmer halt interne Prozesse und/oder Systeme vor, welche die
rasche Wiederherstellbarkeit ermoglichen.
Leistung ,,Cloud-VPS\ Die Verantwortung fur die rasche Wiederherstellbarkeit obliegt dem
Auftraggeber. Sofern der Auftragnehmer dem Kunden die Moglichkeit
„Snapshots\ zu erstellen einraumt wird zusatzlich die Moglichkeit bereitgestellt, Snapshots uber das Kundenmenu selbst wiederherzustellen.
Leistung ,,Webhosting\ Der Auftragnehmer stellt dem Auftraggeber im Kundenmenu die
Moglichkeit zur Verfugung, Sicherungen von Datenbanken und Dateien selbst wiederherzustellen.
Leistung ,,E-Mail\ Der Auftragnehmer halt interne Prozesse und/oder Systeme vor, welche die rasche Wiederherstellbarkeit ermoglichen.
11 Verfahren zur regelmaigen Uberprufung, Bewertung und
 Die Mitarbeiter werden regelmaig im Datenschutz geschult, insbesondere im Hinblick
auf die Verarbeitung von personenbezogenen Daten im Auftrag.
 Datenschutzfreundliche Voreinstellungen werden bei der Softwareentwicklung berucksichtigt.
Bestehende Systeme werden laufend auf ihre Datenschutzfreundlichkeit evaluiert.