Source: https://georg.westermann.de/vertrag-zur-auftragsdatenverarbeitung-avv
Timestamp: 2020-07-10 06:34:11
Document Index: 255901958

Matched Legal Cases: ['Art. 28', 'Art. 28', 'Art. 28', 'Art. 28', 'Art. 30', 'Art. 28', 'Art. 32', 'Art. 32', 'Art. 25', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 25', 'Art. 25']

Vertrag zur Auftragsdatenverarbeitung (AVV) | GEORG - Das Portal für die berufliche Bildung
Vertrag zur Auftragsdatenverarbeitung (AVV)
Vereinbarung zur Auftragsverarbeitung gem. Art. 28 EU-DS-GVO
______________________________________________(Name der Firma)
______________________________________________(Str.)
______________________________________________(PLZ und Ort)
nachstehend „Auftraggeber“ genannt
wird folgender Vertrag über Auftragsverarbeitung nach Art. 28 Abs. 3 und den weiteren Bestimmungen der Verordnung 2016/79 EU (EU Datenschutz-Grundverordnung) [i.F.: „EU-DS-GVO“], sowie sonstiger anwendbarer datenschutzrechtlicher Bestimmungen geschlossen:
Der Gegenstand des Auftrags ergibt sich aus der in Anlage 1 beschriebenen Leistungsvereinbarung (im Folgenden „Leistungsvereinbarung“).
Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber sind in der Leistungsvereinbarung konkret beschrieben.
Die Kategorien der durch die Verarbeitung betroffenen Personen sind in der Leistungsvereinbarung konkret beschrieben.
Die Verarbeitung von Daten in Privatwohnungen ist gestattet. Auch dort werden die datenschutzrechtlichen Vorschriften eingehalten.
Ein Datenschutzbeauftragter ist beim Auftragnehmer bestellt worden. Er kann unter der E-Mail datenschutzbeauftragter@westermanngruppe.de kontaktiert werden.
Die Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 EU-DS-GVO wird gewahrt. Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Diese gelten auch nach Beendigung des Auftrags fort.
Die Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 S. 2 lit. c, 32 EU-DS-GVO [Einzelheiten in Anlage 2].
Der Auftragnehmer führt das Verzeichnis der Verarbeitungstätigkeit gem. Art. 30 Abs. 2 EU-DS-GVO und stellt dies auf Anfrage dem Auftraggeber zur Verfügung. Der Auftraggeber stellt dem Auftragnehmer die hierzu erforderlichen Informationen zur Verfügung.
Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Kopien, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungsfristen erforderlich sind.
Der Auftraggeber stimmt der Beauftragung der in Anlage 3 aufgeführten Unterauftragsverarbeiter zu unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2 bis 4, 9 EU-DS-GVO, welche sowohl schriftlich als auch in einem elektronischen Format erfolgen kann.
Vor Hinzuziehung weiterer oder Ersetzung aufgeführter Unterauftragsverarbeiter informiert der Auftragnehmer den Auftraggeber eine angemessene Zeit vorab schriftlich oder in Textform.
In Ausnahmefällen ist auch eine nachträgliche Einigung zwischen den Parteien möglich. Der Auftragnehmer hat den Auftraggeber in diesem Fall unverzüglich über den Einsatz eines Unterauftragsverarbeiters zu informieren.
Weisungsberechtigt beim Auftraggeber ist die Geschäftsleitung, die weitere Weisungsberechtigte benennen kann.
Weisungsempfänger beim Auftragnehmer sind die Mitarbeiterinnen und Mitarbeiter der Kundenbetreuung des Auftragnehmers.
Etwaige dem Auftragnehmer hierdurch entstehende Mehrkosten sind diesem durch den Auftraggeber zu erstatten.
Die in der Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen werden als verbindlich festgelegt.
Änderungen und Ergänzungen dieser Anlage und aller ihrer Bestandteile – einschließlich etwaiger Zusicherungen des Auftragnehmers – bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung
dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
Der Gerichtsstand für beide Parteien ist Braunschweig.
……………………………………………, den …………………………………
Anlage 1: Leistungsvereinbarung
Bereitstellung und Betrieb des Lernportals Georg durch den Auftragnehmer während der Dauer ihrer jeweiligen Lizenzierung durch den Auftraggeber.
Art und Zweck der vorgesehenen Verarbeitung:
Für die Auszubildenden wird in dem Lernportal ein Account eingerichtet, mit dem sie die dort definierten Themen/Aufgaben bearbeiten können. Der jeweilige Ausbilder hat Zugang auf Auswertungen.
Begründung der Verarbeitung
Identifier des Auszubildenden (Vorname, Name – es können auch Fantasienamen genutzt werden)
Identifizierung des jeweiligen Auszubildenden in Auswertungen für den Ausbilder
Benutzername / Kennwort (Account)
Steuerung des Zugriffs zum Lernportal
Erzeugung von Texten
Definition einer Organisationeinheit für die Auszubildenden im System
bearbeitete Fragen/Aufgaben mit automatischer Auswertung (richtig / falsch)
Basis der im System für den Ausbilder erzeugte Übersichten
Bearbeitungsdauer und -Zeitpunkt
anwendungsinterne Nachrichten der Auszubildenden an den Ausbilder x (Inhalt und Zeitpunkt Versand)
Rückfragen der Auszubildenden an den Ausbilder
Kommentare/Antworten durch den Ausbilder an die Auszubildenden
anwendungsinterne Lernkalender-Einträge der Auszubilder an die Auszubildenden x (Inhalt und Zeitpunkt Versand)
Unterstützung des Ausbilders bei Lernplan
Auszubildende der datenverarbeitenden Stelle, die in der Anwendung eingerichtet werden.
Anlage 2: Allgemeine technische und organisatorische Maßnahmen
Vertraulichkeit (Art. 32 Abs. 1 lit. b EU-DS-GVO)
Ein unbefugter Zutritt zu Datenverarbeitungsanlagen ist zu verhindern.
Die Server sind in einem Sicherheitsbereich untergebracht, der überwacht ist und zu dem nur befugte Personen Zugriff haben. Dabei wird die Anwesenheit aufgezeichnet. Die Zugangskontrolle erfolgt über eine gesondert freigeschaltete Codekarte. Besucher dürfen sich nur in Begleitung eines Mitarbeiters im Sicherheitsbereich aufhalten. Eine Einbruchsmeldeanlage wird eingesetzt.
Datensicherungen auf Datenträgern werden in einem vom Serverbetrieb getrennten gesicherten Bereich des Rechenzentrums vorgehalten. Zugang zu den Datenträger zur Sicherung hat nur hierfür befugtes Personal des Rechenzentrums.
Eine unbefugte Systemnutzung ist zu verhindern.
Der Netzwerkzugang zu den Anwendungen im Backend ist durch eine zweistufige Firewall Technologie geschützt. Zum einen über einen dedizierten Firewall Rechner für das über Internet erreichbare Teilnetz des Auftragnehmers und darüber hinaus über IP-Filter direkt auf dem jeweiligen Applikationsserver. Ein dediziertes System zur Intrusion Detection wird eingesetzt. Administrative Zugänge auf den Anwendungsserver, den Datenbankserver und weitere administrative Systeme (z.B. Lizenzverwaltung) haben nur die unmittelbar mit der Systempflege beschäftigten Mitarbeiter des Rechenzentrums sowie die Internet-Administratoren des Auftragnehmers. Der Zugriff auf Systemebene ist nur aus dem Intranet und dem Netz des Rechenzentrums möglich, sowie über eine zertifikatsbasierte, personalisierte VPN-Verbindung. Die Zertifikate haben eine Gültigkeit von 1 Jahr. Das Betriebssystem und die Softwarekomponenten der Anwendung werden regelmäßig und zeitnah unter besonderer Berücksichtigung von Sicherheitsaspekten aktualisiert. Die Administratoren authentifizieren sich lokal oder über einen zentralen Authentifizierungsserver. Ein Login auf den Servern selbst ist nur per SSH möglich. Die Passwörter für die Authentifizierung erfüllen die Voraussetzungen des BSI-Grundschutzes. Sie müssen regelmäßig geändert werden, der Änderungszeitraum ist softwaremäßig vorgegeben.
Zugriffskontrolle / Benutzerkontrolle
Es darf kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems möglich sein.
Der Zugriff auf Daten und Dienste der Anwendung wird über eine differenzierte Zugriffsregelung, basierend auf Gruppen geregelt.
Die Berechtigungsvergabe erfolgt im Rahmen eines protokollierten Workflow-Prozesses.
Die Authentifikation gegenüber der Anwendung erfolgt mit Benutzername / Passwort unter Verwendung von individualisierten Accounts.
Die Änderung von Daten wird protokolliert.
Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben werden.
Für das Testen der Anwendung stehen Testsysteme zur Verfügung, die vom Produktivsystem getrennt sind. Es werden keine personenbezogenen Daten von Nutzern in Testsystemen eingesetzt.
Support-Systeme sind vom Produktivsystem der Auftragsverarbeitung getrennt.
Berechtigungen werden auf Anwendungsebene vergeben.
Pseudonymisierung (Art. 32 Abs. 1 lit. a EU-DS-GVO, Art. 25 Abs. 1 EU-DS-GVO)
Die Verarbeitung personenbezogener Daten hat in einer Weise zu erfolgen, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen.
Die in der Anwendung verarbeiteten personenbezogenen Daten sind nach dem Prinzip der Datensparsamkeit auf das notwendige Minimum reduziert.
Sofern die Verarbeitung auch anonym erfolgen kann, wird auf den Personenbezug verzichtet.
Soweit technisch umsetzbar, wird zusätzlich eine Verschlüsselung für die Übermittlung und Speicherung eingesetzt
Integrität (Art. 32 Abs. 1 lit. b EU-DS-GVO)
Weitergabekontrolle / Übertragungskontrolle
Es darf kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport möglich sein.
Daten werden bei elektronischer Übertragung verschlüsselt übertragen. Übertragungen werden entsprechend protokolliert. Werden Daten auf Weisung des Aufraggebers an Dritte übermittelt, so hat die Aufforderung schriftlich zu erfolgen und wird in einer Übersicht erfasst.
Datenträger werden nur zu Backup Zwecken genutzt und nicht zum Transport von Daten. Datenträger sind im Rechenzentrum gegen unbefugtes Entfernen geschützt und regelmäßige Bestandskontrollen finden statt. Die Vernichtung von Datenträgern findet kontrolliert mit Protokollierung statt.
Eingabekontrolle / Datenträgerkontrolle / Speicherkontrolle
Die Anwendung loggt das Anlegen, Ändern und Löschen personenbezogener Daten mit.
Die entsprechenden Rechte werden auf Basis des Berechtigungskonzeptes aufgrund von Berechtigungsanfragen über einen Workflow-Prozess vergeben.
Verfügbarkeit und Belastbarkeit / Wiederherstellbarkeit (Art. 32 Abs. 1 lit. b EU-DS-GVO)
Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust.
Es werden unterbrechungsfreie Stromversorgung, Dieselgeneratoren und Klimaanlagen eingesetzt. Das Rechenzentrum verfügt über Schutzmaßnahmen im Brandfall.
Um die Gefahr des Datenverlustes zu minimieren werden RAID Systeme auf den Servern eingesetzt.
Eine tägliche Datensicherung der System- und Anwendungsdaten auf physischen Datenträgern wird vorgenommen (Sicherheits-Backup).
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d EU-DS-GVO, Art. 25 Abs. 1 EU-DS-GVO)
Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 EU-DS-GVO)
Der Datenschutzbeauftragte ist benannt. Verantwortliche für Datensicherheit, Auftragskontrolle und aktuelle Dokumentation der Verfahrensschritte sind definiert.
Die mit der Anwendung befassten Mitarbeiter/innen haben klar definierte Aufgaben und sind auf das Datengeheimnis verpflichtet.
Die interne Organisation ist so gestaltet, dass Weisungen des Auftraggebers schriftlich zu erfolgen haben und die zeitnahe und auftragskonforme Durchführung der Anweisung kontrolliert werden kann.
Datenschutz und Datensicherheit sind elementare Bestandteile von Softwareverträgen.
Jede Hardware und Software durchläuft im Rahmen der Investitionsplanung ein Genehmigungsverfahren. Software und Änderungen sind dokumentiert.
Für jede eingesetzte Software sind die Zugriffsrechte geregelt und dokumentiert.
Eingesetzte Software wird mit Updates aktuell gehalten.
Anlage 3: Unterauftragsverarbeiter des Auftragnehmers
Name und Adresse von Unterauftragsverarbeiter 1
Durchzuführende Tätigkeit(en)
Name: BMS Bildungsmedien Service GmbH
Geschäftsführer: Nicole Bornemann
Strasse / Postfach: Georg-Westermann-Allee 66
Die datenschutzrechtlichen Voraussetzungen dieser Vereinbarung werden entsprechend im Vertragsverhältnis mit dem Unterauftragsverarbeiter eingehalten.
Name und Adresse von Unterauftragsverarbeiter 2
Name: Westermann Digital GmbH
Geschäftsführer: Frank Müller-Scharfenberg
Technische Betreuung der Anwendung
Name und Adresse von Unterauftragsverarbeiter 3
Name: Gärtner Datensysteme GmbH & Co. KG
Geschäftsführer: Christine Müller, Martin Neitzel,
Ulrich Schwarz, Stefan Gärtner
Strasse / Postfach: Hamburger Straße 273 a
PLZ Ort: 38144 Braunschweig
Die Zustimmung zum Einsatz des/der oben genannten Unterauftragsverarbeiters/Unterauftragsverarbeiter
für die genannten durchzuführenden Tätigkeiten werden erteilt, sofern die datenschutzrechtlichen Voraussetzungen entsprechend dieser Vereinbarung auch in diesem Vertragsverhältnis (Unterauftragsverarbeiter-ADV) eingehalten werden.