Source: https://www.krollontrack.de/datenschutz-richtlinien/
Timestamp: 2018-04-22 10:15:21
Document Index: 302992725

Matched Legal Cases: ['§ 11', '§ 3', '§ 11', '§ 11', '§ 11', '§ 15', '§ 4', '§ 11', '§ 5', '§ 4', '§ 4', '§ 38', '§ 43', '§ 11', '§ 9', '§ 11', '§ 9', '§ 11', '§ 11', '§ 11', '§ 1', '§ 11']

﻿ Datenschutz-Richtlinien | Ontrack
Die Vertragsparteien sind mit der Leistungsvereinbarung ein Auftragsdatenverarbeitungsverhältnis gemäß § 11 Bundesdatenschutzgesetz (BDSG) eingegangen. Um die Rechte und Pflichten aus dem Auftragsdatenverarbeitungsverhältnis gemäß der gesetzlichen Verpflichtung zu konkretisieren, vereinbaren die Vertragsparteien ergänzend die nachfolgenden Regelungen:
(2) Die Art der verwendeten personenbezogenen Daten ist in der Leistungsbeschreibung konkret beschrieben.
(3) Der Kreis der durch den Umgang mit ihren personenbezogenen Daten Betroffenen ist in der Leistungsbeschreibung konkret beschrieben.
(1) Der Auftraggeber ist für die Einhaltung der datenschutzrechtlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung verantwortlich (§ 3 Abs. 7 BDSG). Er kann jederzeit die Herausgabe, Berichtigung, Löschung und Sperrung der Daten verlangen (§ 11 Abs. 2 S. 2 Nr. 4 und 10 BDSG). Soweit ein Betroffener sich zwecks Löschung oder Berichtigung seiner Daten unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
(2) Der Auftragnehmer darf Daten ausschließlich im Rahmen der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen. Eine Weisung ist die auf einen bestimmten Umgang des Auftragnehmers mit personenbezogenen Daten gerichtete schriftliche Anordnung des Auftraggebers. Die Weisungen werden zunächst durch die Leistungsvereinbarung definiert und können von dem Auftraggeber danach in schriftlicher Form durch eine einzelne Weisung geändert, ergänzt oder ersetzt werden (§ 11 Abs. 2 S. 2 Nr. 9
(3) Der Auftragnehmer hat den Auftraggeber unverzüglich entsprechend § 11 Abs. 3 Satz 2 BDSG zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird.
(4) Änderungen des Verarbeitungsgegenstandes mit Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen. Der Auftragnehmer verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate werden ohne Wissen des Auftraggebers nicht erstellt.
(6) Die Daten werden ausschließlich im Gebiet der Bundesrepublik Deutschland gespei-chert. Eine Verlagerung in einen Staat außerhalb der Bundesrepublik Deutschland bedarf der vorherigen Zustimmung des Auftraggebers. Die Verarbeitung und Nutzung der Daten im Auftrag des Auftraggebers findet ausschließlich durch Mitarbeiter der Kroll Ontrack GmbH oder mit ihr direkt oder indirekt i. S.d. § 15 AktG verbundenen Unternehmen (Konzern) innerhalb des europäischen Wirtschaftsraums (EWR) statt. Ein Zugriff auf die Daten von Mitarbeitern des Konzerns außerhalb des EWR ist nur zulässig, sofern eine konzernweite Datenschutzrichtlinie nach den europäischen Datenschutzstandards oder eine Selbstverpflichtungserklärung des jeweiligen Konzernunternehmens nach dem EU US Privacy Shield-Abkommen (erst ab dessen Inkrafttreten) vorliegt. Die besonderen Voraus-setzungen der §§ 4b, 4c BDSG bleiben unberührt.
(1) Neben den vertraglichen Regelungen dieser Vereinbarung und der Leistungsvereinbarung treffen den Auftragnehmer gemäß § 11 Abs. 4 BDSG die nachfolgenden gesetzlichen Pflichten.
(2) Der Auftragnehmer stellt sicher, dass die mit der Verarbeitung der Daten des Auftraggebers befassten Mitarbeiter gemäß § 5 BDSG (Datengeheimnis) verpflichtet und in die Schutzbestimmungen des Bundesdatenschutzgesetzes eingewiesen worden sind. Dies umfasst auch die Belehrung über die in diesem Auftragsdatenverarbeitungsverhältnis bestehende Weisungs- und Zweckbindung.
(3) Der Auftragnehmer hat nach Maßgabe des § 4f BDSG einen Datenschutzbeauftragten bestellt, der seine Tätigkeit gemäß §§ 4f und 4g BDSG ausübt. Die Kontaktdaten des Datenschutzbeauftragten sind dem Auftraggeber zum Zwecke der direkten Kontaktaufnahme mitzuteilen.
(4) Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden nach § 38 BDSG oder falls eine Aufsichtsbehörde nach §§ 43, 44 BDSG bei dem Auftragnehmer ermittelt.
(1) Die Vertragsparteien vereinbaren die in dem Anhang „Technisch-organisatorische Maßnahmen“ zu dieser Vereinbarung niedergelegten konkreten technischen und organisatorischen Sicherheitsmaßnahmen gemäß § 11 Abs. 2 S. 2 Nr. 3 BDSG in Verbindung mit § 9 BDSG. Er ist Gegenstand dieser Vereinbarung.
(2) Technische und organisatorische Maßnahmen unterliegen dem technischen Fortschritt. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der in dem Anhang „Technisch-organisatorische Maßnahmen“ festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.
(3) Der Auftragnehmer wird dem Auftraggeber auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte geben und die entsprechenden Nachweise verfügbar machen. Aufgrund der Kontrollverpflichtung des Auftraggebers gemäß § 11 Abs. 2 Satz 4 BDSG vor Beginn der Datenverarbeitung und während der Laufzeit des Auftrags stellt der Auftragnehmer sicher, dass sich der Auftraggeber von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen überzeugen kann. Hierzu weist der Auftragnehmer dem Auftraggeber auf Anfrage die Umsetzung der technischen und organisatorischen Maßnahmen gemäß § 9 BDSG nach. Der Nachweis der Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann dabei auch durch Vorlage eines aktuellen Testats, von Berichten unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz) erbracht werden.
(4) Der Auftraggeber kann sich jederzeit zu Prüfzwecken in den Betriebsstätten des Auftragnehmers zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs von der Angemessenheit der Maßnahmen zur Einhaltung der technischen und organisatorischen Erfordernisse der für die Auftragsdatenverarbeitung einschlägigen Datenschutzgesetze überzeugen (§ 11 Abs. 2 S. 2 Nr. 7 BDSG).
(2) Der Auftragnehmer hat im Benehmen mit dem Auftraggeber angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen.
(2) Nach Abschluss der vertraglich vereinbarten Leistungen oder früher nach Aufforderung durch des Auftraggebers, jedoch spätestens mit Beendigung der Leistungsvereinbarung hat der Auftragnehmer sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände (wie auch hiervon gefertigten Kopien oder Reproduktionen), die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung des Auftraggebers datenschutzgerecht zu vernichten (§ 11 Abs. 2 S. 2 Nr. 10 BDSG). Gleiches gilt für Test- und Ausschussmaterial. Ein Löschungsprotokoll ist dem Auftraggeber auf Anforderung vorzulegen.
(1) Aufträge an Subunternehmer durch den Auftragnehmer dürfen nur mit vorheriger ausdrücklicher schriftlicher Genehmigung des Auftraggebers vergeben werden (§ 11 Abs.2 S. 2 Nr. 6 BDSG). Nicht als Leistungen von Subunternehmen im Sinne dieser Regelung gelten Dienstleistungen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung der Auftragsdurchführung in Anspruch nimmt, beispielsweise Telekommunikationsdienstleistungen und Wartungen. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Auftraggebers auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.
(2) Wenn Subunternehmer durch den Auftragnehmer eingeschaltet werden, hat der Auftragnehmer sicherzustellen, dass seine vertraglichen Vereinbarungen mit dem Subunternehmer so gestaltet sind, dass das Datenschutzniveau mindestens der Vereinbarung zwischen dem Auftraggeber und dem Auftragnehmer entspricht und alle gesetzlichen und vertraglichen Pflichten beachtet werden.
Die §§ 1 bis 8 gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann (§ 11 Abs. 5 BDSG).
(1) Änderungen und Ergänzungen dieser Anlage und aller ihrer Bestandteile - einschließlich etwaiger Zusicherungen des Auftragnehmers - bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
Der Auftragnehmer wird seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind.
Festlegung befugter Personen (Betriebsangehörige und Betriebsfremde)
Access-Chip Regelung
Regelung für Firmenfremde
Sicherung auch außerhalb der Arbeitszeit durch Alarmanlage
Türsicherung (elektrischer Türschließer, Ausweisleser)
Entsprechende Ausgestaltung der Maßnahmen zur Objektsicherung (z.B. Einbruchmeldesystem, Geländebewachung
Vergabe und Sicherung von Identifizierungsschlüsseln (User ID)
Regelung der Benutzerberechtigung
Differenzierte Zugriffsregelung (z. B. durch Segmentzugriffsperren)
Protokollierung und Auswertung der Dateibenutzung
3 Zugriffskontrolle
Es ist zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung entsprechenden Daten zugreifen können und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.
Regelung der Zugriffsberechtigung
Auswertung von Protokollen
Teilzugriffsmöglichkeiten auf Datenbestände und Funktionen
4 Weitergabekontrolle
Feststellung befugter Personen
Gesicherter RZ Eingang für An und Ablieferung
Ausgabe von Datenträgern nur an autoisierte Personen (z. B. Auftragsquittung, Begleitpapier)
Gesonderter Verschluss vertraulicher Datenträger
Kontrollierte Vernichtung von Datenträgern (z. B. Fehldrucke)
Regelung der Anfertigung von Kopien
Dokumentation der Abruf und Übermittlungsprogramme
Bestimmte autorisierte Benutzer
Verpackungs- und Versandvorschriften (Versandart z. B. in verschlossenen Behältnissen
Direktabholung, Kurierdienst, Transportbegleitung
Löschung von Datenresten vor Datenträgeraustausch
5 Eingabekontrolle
Nachweis der organisatorisch festgelegten Zuständigkeiten für die Eingabe
Protokollierung von Eingaben
Protokollierung der Dateibenutzung
Verfahrens-, Programm- und Arbeitsablauforganisation
6 Auftragskontrolle
Erfüllung von Datenverarbeitungsverträgen
Sicherer Daten-und Datenträgertransport (i.d.R. DHL)
Sichere Datenlöschung nach erfülltem Auftrag
Interne Prozesse zur Auftragserfüllung und Überwachung der Prozesse
Standard Change Management Prozess (nach ITIL)
7 Verfügbarkeitskontrolle
Maßnahmen zur Datensicherung (physikalisch / logisch)
Sicherungsverfahren und Archivierung
Wiederherstellung der Infrastruktur (Desaster Recovery)
Schutz gegen „malicious code“
8 Trennungskontrolle
Maßnahmen zur getrennten Verarbeitung (Speicherung, Veränderung, Löschung, Übermittlung) von Daten mit unterschiedlichen Zwecken.
Trennung von Test-und Produktivsystemen