Source: https://myvikingshop.de/adv/
Timestamp: 2020-08-07 20:58:38
Document Index: 358546775

Matched Legal Cases: ['Art 28', 'Art. 28', 'Art. 58', 'Art. 83', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32']

ADV - Viking
betreffend die VereinbarungNutzung der E-Commerce Plattform Viking Shop by Wirecard(„Hauptvertrag“)zwischenDer Betreiber des Onlineshops der E-Commerce Plattform Viking Shop by Wirecard(„Auftraggeber“)und derWirecard Technologies GmbH Einsteinring 35 85609 Aschheim („Auftragnehmer“ oder “Wirecard“).
1) Die vorliegende Vereinbarung zur Auftragsverarbeitung konkretisiert die gesetzlichen Rechte und Pflichten, die sich für den Auftragnehmer und den Auftraggeber aus dem anwendbaren Datenschutzrecht und insbesondere aus der Datenschutzgrundverordnung (VO (EU) 2016/679, nachfolgend auch „DS-GVO“) sowie aus den anwendbaren nationalen Umsetzungsgesetze ergeben, sofern und soweit der Auftragnehmer für den Auftraggeber im Rahmen des Hauptvertrages personenbezogene Daten verarbeitet.
2) Gegenstand und Zweck der Auftragsverarbeitung für den Auftraggeber ist das Betreiben eines Webshops („VIKING Shop“) über die E-Commerce Plattform VIKING („VIKING“).
Mit VIKING können Verkäufer, Dienstleistungsanbieter oder sonstige Unternehmer einen eigenen Onlineshop erstellen, anpassen und verwalten. Zudem bietet VIKING die technische Möglichkeit, Leistungen von ausgewählten Dritten mit dem jeweiligen VIKING Onlineshop technisch zu verknüpfen und so zu nutzen.
die Erfüllung der Pflichten des Auftragnehmers aus dem Hauptvertrag zur Nutzung von VIKING
1) Für die ordnungsgemäße Umsetzung der in vorbezeichneter Vereinbarung zwischen den Parteien geregelten Auftragsverarbeitung durch den Auftragnehmer hat dieser geeignete technische und organisatorische Maßnahmen zur Datensicherung im Sinne von Art 28, 32 DS-GVO getroffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Eine Übersicht der zum Zeitpunkt der Auftragsvergabe getroffenen Maßnahmen wird dem Auftraggeber mit dieser Vereinbarung als Anlage 1 zur Verfügung gestellt.
Für Fragen zur Verarbeitung der persönlichen Daten oder zum Datenschutz bei Wirecard steht folgendes Formular zur Verfügung: https://www.wirecard.de/datenschutzbestimmungen/formular.
1) Der Auftragnehmer wird die personenbezogenen Daten nur auf Weisung, also die auf einen bestimmten datenschutzmäßigen Umgang (z.B. Anonymisierung, Sperrung, Löschung, Herausgabe) des Auftragnehmers mit Daten gerichtete dokumentierte Anordnung des Auftraggebers, verarbeiten (einschließlich der Übermittlung), es sei denn, er ist zur Verarbeitung gesetzlich verpflichtet; in diesem Fall wird er dem Auftraggeber diese gesetzliche Anforderung vorab mitteilen, es sei denn, eine solche Mitteilung ist aufgrund eines wichtigen öffentlichen Interesses untersagt.
2) Der Auftragnehmer gewährleistet, dass die bei der Datenverarbeitung eingesetzten Mitarbeiter des Auftragnehmers schriftlich zur Vertraulichkeit gemäß Art. 28 Abs. 3 b) DS-GVO verpflichtet worden sind oder einer angemessenen gesetzlichen Schweigepflicht unterliegen. Soweit der Auftraggeber weiteren Geheimhaltungspflichten, etwa nach berufsrechtlichen, strafrechtlichen oder prozessrechtlichen Vorschriften, unterliegt, klärt er den Auftragnehmer hierüber auf und unterweist ihn und seine Mitarbeiter auf Verlangen in der Anwendung der Geheimhaltungspflichten.
4) Soweit keine Verfahrenserwägungen entgegenstehen, wird der Auftragnehmer den Auftraggeber über aufsichtsrechtliche Maßnahmen der zuständigen Aufsichtsbehörde nach Art. 58 DS-GVO sowie über gerichtliche Entscheidungen im Zusammenhang mit den Art. 83, 84 DS-GVO informieren.
6. Unterstützung nach Art. 32 bis 36 DS-GVO
7.	Begründung von Unterauftragsverhältnissen
Firma Unterauftrag-nehmer
Freshworks Inc. 1250 Bayhill Drive Suite 315 San Bruno, CA 94066 USA Helpdesk-SaaS / CRM-System
billwerk GmbH Mainzer Landstraße 51 60329 Frankfurt am Main Faktura- und Forderungsmanagement Programm
Amazon Web Services, Inc. 410 Terry Avenue North Seattle WA 98109 United States Hosting Wirecard Infrastruktur / Failover-System / Mailversand systemseitiger E-Mails. Ausschließlich auf Servern in der Region Europa/Frankfurt
3) Der Auftragnehmer schließt im Rahmen der Unterauftragsverhältnisse die datenschutzrechtlich erforderlichen Verträge. Dem Auftragnehmer ist es gestattet, die Daten unter Einhaltung der Bestimmungen dieses Vertrags auch außerhalb des EWR zu verarbeiten oder durch Unterauftragnehmer verarbeiten zu lassen, wenn er den Auftraggeber vorab über den Ort der Datenverarbeitung informiert und ihm die Einhaltung der technischen und organisatorischen Maßnahmen auf Verlangen nachweist. Auf etwaige Unterauftragnehmer ist diese Ziffer 7 vollumfänglich anwendbar. Der Auftraggeber bevollmächtigt den Auftragnehmer hiermit, in Vertretung des Auftraggebers mit Unterauftragnehmern Verträge – etwa (Unter-)
9.	Mitteilung bei Verstößen des Auftragnehmers
10.	Verantwortlichkeit und Weisungsbefugnis des Auftraggebers
6) Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen die DS-GVO, das Bundesdatenschutzgesetz oder andere Vorschriften über den Datenschutz verstößt, darf er die Ausführung der Weisung verweigern, bis der Auftraggeber die Weisung bestätigt oder in eine datenschutzkonforme Weisung geändert hat.
11.	Löschung von Daten und Rückgabe von Datenträgern
Nach Beendigung des Auftragsverhältnisses ist der Auftragnehmer verpflichtet, die ihm in Zusammenhang mit dem Hauptvertrag übergebenen und noch nicht gelöschten personenbezogenen Daten nach Wahl des Auftraggebers zu löschen, zu sperren oder an den Auftraggeber zurückzugeben. Gesetzliche, behördliche, satzungsgemäße, vertragliche und andere Aufbewahrungspflichten bleiben unberührt.
der VIKING-Händler selbst, sofern nichts Gegenteiliges bekannt gegeben wurde.
Technische und organisatorische Maßnahmen der Wirecard-Gruppe
Pseudonymisierung (Art. 32 (1) a) DSGVO)
Wirecard pseudonymisiert in der Regel in Form von Verschlüsselung, wo dies notwendig und relevant ist.
Verschlüsselung (Art. 32 (1) a) DSGVO) Der Austausch und die Übermittlung personenbezogener Daten erfolgt grundsätzlich nur in verschlüsselter Form. Beim Austausch personenbezogener Daten ist die Verschlüsselung zentrales Thema der allgemeinen Datenschutzschulungen, die für jeden Mitarbeiter verpflichtend sind. Sämtliche Schnittstellen zu externen Stellen, die personenbezogene Daten in automatisierter Form übermitteln, sind nach neuesten Standards gesichert, z. B. durch TLS-Verschlüsselung. • Mobile Computer (Laptops) sind mit Festplattenverschlüsselung ausgestattet.
• Je nach Art der Datenübertragung werden verschlüsselte Übertragungsprotokolle über HTTPS, TLS v1.1 oder v1.2 und SFTP, SSH v2 verwendet.
• E-Mails und Dateien können verschlüsselt sein (z. B. PGP-Verschlüsselung für den regelmäßigen, verschlüsselten Datenaustausch).
• Daten von Kreditkarten werden in den Systemen von Wirecard in verschlüsselter Form gespeichert.
• Wirecard verwendet starke Verschlüsselungsalgorithmen, die in den internationalen Sicherheitsstandards wie NIST und PCI DSS festgelegt sind.
• Verschlüsselungsschlüssel sind vor dem allgemeinen Zugriff geschützt. Nur zugelassene Custodians können auf die Verschlüsselungskomponenten zugreifen.
• Verschlüsselungsschlüssel, die mit bewährten starken kryptographischen Algorithmen zur Erzeugung von Zufalls- oder Pseudozufallszahlen generiert wurden, werden jederzeit in einer der folgenden Formen gespeichert:
o Verschlüsselt mit einem Key Encrypting Key (KEK), der mindestens so stark wie der Datenverschlüsselungsschlüssel ist;
o Mindestens zwei Schlüsselkomponenten in voller Länge (kein Schlüssel-Custodian kennt oder hat Zugriff auf alle Datenverschlüsselungsschlüssel);
o Innerhalb eines kryptographischen Hardware-Sicherheitsmoduls (HSM).
• Sämtliche Datenverschlüsselungsschlüssel werden nach Ablauf der Kryptoperiode geändert oder wenn besondere Umstände wie der Austritt des Schlüssel-Custodians eine Änderung zur Aufrechterhaltung der Schlüsselintegrität vorschreiben.
• Entwicklung/Testsysteme sind von den Produktionsumgebungen mit einer Zugriffskontrolle getrennt, um die Trennung durchzusetzen.
• Produktionsdaten (Live-PAN) werden nicht zu Testzwecken verwendet.
Vertraulichkeit (Art. 32 (1) b) DSGVO) Zugang zu Räumlichkeiten
• Alle Räumlichkeiten von Wirecard verfügen über ein Zutrittssystem mit Chipkarten. Es wird zwischen den Eingängen zu verschiedenen Bereichen innerhalb der Gebäude unterschieden. Alle Mitarbeiter erhalten Chipkarten mit den für ihre Arbeit erforderlichen Zutrittsrechten. Die von der Abteilung Facility Management gewährten Zutrittsrechte werden dokumentiert und von der IT-Sicherheit in regelmäßigen Abständen überprüft. Besucher dürfen sich durch die Büroräumlichkeiten nur in Begleitung bewegen und erhalten separate Ausweise.
• Alle Eingänge zu den Gebäuden von Wirecard werden mit Videokameras überwacht.
• Der Zutritt zu Rechenzentren unterliegt strengen Vorschriften. Jeder Zutritt zu den Rechenzentren erfordert eine separate Anmeldung. Dies gilt auch für Mitarbeiter von Wirecard. Die Anmeldungen erfolgen durch die Leiter der IT-Abteilung und sind fälschungssicher (authentifiziert).
• Dritte dürfen die Rechenzentren nur in Ausnahmefällen betreten und müssen von Mitarbeitern von Wirecard begleitet werden. Jeder Zutritt wird revisionssicher protokolliert. Die Zugriffsprotokolle werden von der IT-Sicherheit in regelmäßigen Abständen überprüft.
• Die Rechenzentren werden vor unbefugtem Zutritt durch Sicherheitspersonal, das rund um die Uhr vor Ort ist, sowie durch Videokameras und Alarmsysteme geschützt.
Kontrolle des Systemzugriffs
• Alle Systeme bei Wirecard sind mit Zugriffskontrollsystemen ausgestattet.
• Der Systemzugriff ist für jeden Mitarbeiter von Wirecard personalisiert. Der Zugriff ist durch persönliche Passwörter geschützt, die nur der jeweilige Mitarbeiter kennt. Die Passwortrichtlinie erfordert die Änderung von persönlichen Passwörtern in regelmäßigen Abständen (je nach System wurden Zeiträume von 90 Tagen oder weniger festgelegt) und stellt die Qualität und Komplexität des Passwortes durch speziell definierte Regeln sicher. Alle Regeln zur Vergabe und Änderung von Passwörtern wurden schriftlich festgelegt und entsprechen den verbindlichen PCI-DSS-Vorschriften.
• Die Bildschirme an allen Arbeitsplätzen und alle Dienste, die für die Verarbeitung und Speicherung von personenbezogenen Daten genutzt werden, werden nach 15 Minuten Inaktivität automatisch gesperrt. Eine Entsperrung ist nur mit dem persönlichen Passwort durch wiederholtes Einloggen möglich. Darüber hinaus wird jede Sperrung des Arbeitsplatzrechners bei Verlassen des Arbeitsplatzes durch eine interne Richtlinie verbindlich geregelt.
• Die Zugriffskontrolle basiert auf einem System von Rollen und Rechten, das zur Gewährleistung des Need-to-know-Prinzips bei jedem Datenzugriff angewendet wird. So hat jeder Mitarbeiter Zugriff auf genau die Daten, die er bzw. sie für seine bzw. ihre tägliche Arbeit benötigt.
• Rechte, die für die jeweilige Stelle des Mitarbeiters erforderlich sind, sind in Form von an den Mitarbeiter zugewiesenen Rollen definiert. Weitere Einzelberechtigungen müssen von der IT-Sicherheit freigegeben werden. Die Autorisierung erfolgt nach Rücksprache mit dem Informationseigner (in der Regel der Leiter der zuständigen Fachabteilung) und im Rahmen der datenschutzrechtlichen Vorgaben.
• Die Zuweisung von Rechten wird nachvollziehbar dokumentiert.
• Die Rollenbeschreibungen und zugewiesenen Rechte werden von den zuständigen Abteilungen dokumentiert und gepflegt sowie in regelmäßigen Abständen (mindestens einmal jährlich) von der IT-Sicherheit stichprobenartig überprüft.
• Administratorzugriffsrechte werden erst nach einer vorherigen internen Schulung erteilt. Jeder Administratorzugriff wird gemäß den PCI-DSS-Vorschriften revisionssicher protokolliert.
• Durch die regelmäßige und zeitnahe Installation von Sicherheitsupdates für alle verwendeten Drittanwendungen wird sichergestellt, dass Unbefugte keinen Zugriff auf die Daten erhalten; die IT-Betriebssysteme (OS) werden gemäß den PCI-DSS-Vorschriften mit monatlichen Sicherheitsupdates versorgt.
Integrität (Art. 32 (1) b) DSGVO) Der Austausch und die Übermittlung personenbezogener Daten erfolgt grundsätzlich nur in verschlüsselter Form. Je nach Art der Datenübertragung werden verschlüssel-te Übertragungsprotokolle über HTTPS, TLS v1.1 oder v1.2 und SFTP, SSH v2 verwen-det. E-Mails und Dateien können verschlüsselt sein (z. B. PGP-Verschlüsselung für den regelmäßigen, verschlüsselten Datenaustausch). Darüber hinaus wurde ein Sys-tem implementiert, das die sichere einmalige Übermittlung von personenbezogenen Daten gewährleistet (Datenraumprinzip).
• Beim Austausch personenbezogener Daten ist die Verschlüsselung zentrales Thema der allgemeinen Datenschutzschulungen, die für jeden Mitarbeiter ver-pflichtend sind. Sämtliche Schnittstellen zu externen Stellen, die personenbezo-gene Daten in automatisierter Form übermitteln, sind nach neuesten Standards gesichert, z. B. durch TLS-Verschlüsselung.
• Alle Schnittstellen sind dokumentiert. Die externen Dokumentationen der Schnittstellen sind verfügbar.
• Medienbestände und eine Clean-Desk-Policy verhindern eine unbefugte Ein-sichtnahme sowie den Diebstahl von Speichermedien und Dokumenten. In der Regel werden Speichermedien und Dokumente, die besondere personenbezoge-ne Daten enthalten, per Kurierdienst gesendet, wobei die Speichermedien ver-schlüsselt sind.
• Im Falle eines Administratorzugriffs werden sämtliche Änderungen, die an den personenbezogenen Daten in den Systemen von Wirecard vorgenommen werden, von der jeweiligen Softwareanwendung erfasst oder auf Basis entsprechender Verfahren dokumentiert, um zu gewährleisten, dass sämtliche Änderungen je-derzeit nachvollziehbar sind.
• Für die Dateneingabe und -änderung erhält jeder Mitarbeiter einen persönli-chen Benutzernamen für das jeweilige System, um sicherzustellen, dass alle Ein-gaben einer bestimmten Person zugeordnet werden können.
• Die Qualität der von Wirecard entwickelten Anwendungen wird vor der Imple-mentierung durch ein umfassendes Qualitätssicherungsverfahren sichergestellt.
Verfügbarkeit (Art. 32 (1) b) DSGVO) • Wirecard betreibt zwei Rechenzentren an verschiedenen Standorten, die gemäß den BSI-Anforderungen mindestens 5 km voneinander entfernt liegen, um ein hohes Maß an Betriebssicherheit zu gewährleisten. In jedem Rechenzentrum ist Redundanz für alle wichtigen Systemkomponenten eingebaut.
• Die Rechenzentren richten sich nach dem TIER 3-Standard des Uptime Institutes aus und sind nach ISO 27001 oder nach ISAE 3402 zertifiziert; dadurch werden geeignete Maßnahmen zu ihrem Schutz vor Ausfällen und die darauf abgestimm-ten Verfahren garantiert.
• Alle Daten werden in regelmäßigen Abständen (täglich) gesichert und durch strukturelle Maßnahmen getrennt an einem sicheren Ort unter Einhaltung der BSI-Anforderungen (auch in Bezug auf Sabotage) aufbewahrt.
• Alle Systeme werden rund um die Uhr überwacht, so dass bei Auftreten von Feh-lern sofort gehandelt werden kann.
• Als Dienstleister verarbeitet Wirecard für eine Vielzahl von Kunden Daten für die Zahlungsabwicklung im Rahmen der Auftragsdatenverarbeitung. Durch die sorgfältige Vergabe von Zutrittsrechten wird sichergestellt, dass sämtliche Daten nur entsprechend der Zweckbindung und den Anweisungen des Verantwortli-chen verarbeitet werden.
• Alle relevanten Daten werden in den Datenbanken von Wirecard mit einer ein-deutigen Kundenidentifikation gespeichert, so dass eine eindeutige Zuordnung jederzeit möglich ist. Gleichzeitig werden Testdaten klar von jeglichen Produkti-onsdaten getrennt.
• Darüber hinaus wird die strikte Zweckbindung und Trennung der Verarbeitung durch regelmäßige Schulungen der Mitarbeiter sowie durch regelmäßig durchge-führte Überprüfungen der IT-Sicherheit gewährleistet.
Belastbarkeit von Ver-arbeitungssystemen (Art. 32 (1) b) DSGVO) • Eine Sicherheitsbewertung der Netzwerkkonfiguration und des Firewall-Regelwerks erfolgt zweimal im Jahr, wobei Schwachstellenscans/-bewertungen alle 90 Tage und Penetrationstests mindestens einmal im Jahr durchgeführt und gemäß den PCI-DSS-Vorschriften auf Anwendungs- und Netzwerkebene imple-mentiert werden.
• Wirecard betreibt sowohl Intrusion Detection Systeme (IDS) als auch Intrusion Protection Systeme (IPS), wobei ein rund um die Uhr arbeitender Bereitschafts-dienst im Falle eines Ausfalls (Zwischenfalls) für zeitnahe Alarmierungen sorgt.
• Auf allen Arbeitsplatzrechnern sind Antivirenlösungen installiert, die automa-tisch und kontinuierlich aktualisiert werden. Mobile Computer (Laptops) sind mit Festplattenverschlüsselung ausgestattet.
Verfahren zur Wieder-herstellung der Verfüg-barkeit und des Zugriffs auf personenbezogene Daten im Falle eines physischen oder techni-schen Zwischenfalls (Art. 32 (1) c) DSGVO) • Backup-Pläne, die den Anforderungen der bei Wirecard gehosteten Systeme entsprechen, wurden eingerichtet. Zur Automatisierung des Backup-Vorgangs wird eine Networker-Appliance verwendet.
• Standard-Clients werden täglich durch ein differenzielles/inkrementelles Ba-ckup gesichert und es werden wöchentlich komplette Backups durchgeführt.
• Die Datenbanken in den Hauptrechenzentren werden in das Nebenrechenzent-rum dupliziert. Daher ist für die in der Datenbank gespeicherten Informationen kein regelmäßiges externes Backup notwendig. Ein komplettes Backup der Da-ten erfolgt zweimal wöchentlich und es wird täglich ein differenzielles Backup durchgeführt.
• Die Dateisystemsicherung des Datenbankservers erfolgt einmal pro Woche und täglich (differentiell). Diese Sicherungen werden als lokales Backup auf Band durchgeführt.
• Alle Backups sind gemäß Anforderungen in Bezug auf Compliance, geschäftliche und gesetzliche Anforderungen aufbewahrungspflichtig.
• Alle Sicherungsbänder werden für einen festgelegten Zeitraum (Aufbewah-rungsdauer) gemäß den Unternehmensrichtlinien gespeichert.
• Appliances und Server, die VMWare verwenden, werden durch Snapshots des Systems gesichert.
• Alle sechs Monate werden Readiness Tests zur Datensicherung und -wiederherstellung durchgeführt. Darüber hinaus werden nach jeder Änderung der Backup-Infrastruktur und der Backup-Umgebung Tests durchgeführt.
• Wirecard plant das Business Continuity und das IT Disaster Management auf Basis des allgemeinen Risiko- und IT-Risikomanagementverfahrens sowie der zugrundeliegenden Business-Impact-Analyse. Das Gesamtkonzept des Infrastruk-turaufbaus und der Online-Verarbeitungssysteme folgt einem Aufbau mit hoher Verfügbarkeit und Belastbarkeit durch Clustering und Redundanzmechanismen sowohl auf Hardware- als auch auf Anwendungsebene.
Verfahren zur regelmä-ßigen Überprüfung, Be-wertung und Evaluie-rung der Wirksamkeit der technischen und organisatorischen Maß-nahmen (Art. 32 (1) d) DSGVO) • Einzelne Geschäftsbereiche der Wirecard werden mindestens einmal im Jahr durch die BaFin überprüft.
• Wirecard ist ein PCI DSS-konformes Unternehmen, das jedes Jahr von qualifi-zierten Sicherheitsgutachtern (Qualified Security Assessors, QSA) nach den An-forderungen des PCI DSS bewertet wird.
• Die Systeme von Wirecard werden mindestens vierteljährlich Schwachstellenana-lysen durch interne Sicherheitsanalytiker unterzogen. Die Scans werden an all unseren Produktionslösungen durchgeführt, um eine effiziente Überprüfung bekannter Risiken zu gewährleisten.
• Externe Schwachstellenbewertungen werden vierteljährlich von einem Approved Scanning Vendor (ASV) durchgeführt, um sicherzustellen, dass unsere externen Lösungen weiterhin den PCI-DSS-Anforderungen entsprechen; diese Scans wer-den von unserer PCI-Prüfungsgesellschaft durchgeführt.
• Penetrationstests auf Netzwerk- und Anwendungsebene werden auf den Syste-men von Wirecard mindestens jährlich oder bei wesentlichen Änderungen durchgeführt. Tests werden intern und extern durchgeführt.
• Zusätzlich zu den vorstehend genannten Tests werden mindestens vierteljährlich Scans nach nicht autorisierten Wireless Access Points durchgeführt. Dieses Ver-fahren muss von einer geschulten Person des IT-Sicherheitsteams durchgeführt werden. Der Scan wird an allen Standorten, einschließlich der Rechenzentren und Büroräumlichkeiten durchgeführt.