Source: https://kaya-zehrlaut.de/datenschutz.php
Timestamp: 2019-02-19 18:16:14
Document Index: 299938750

Matched Legal Cases: ['§ 11', '§ 4', '§ 1', '§ 9', '§ 42', '§ 42', '§ 4', '§ 9']

Kaya Zehrlaut Datenschutz
Datenschutzerklärung Terminland
Zwischen Kaya Zehrlaut und Terminland sind folgendende Vereinbarungen zum Datenschutz getroffen worden:
Sehr geehrter Kunde, sehr geehrte Kundin (im Weiteren auch "Auftraggeber" oder "Kunde" genannt),
mit den Dienstleistungen des Portales Terminland können Sie Ihren Kunden eine Online-Terminbuchung zur Verfügung stellen. Mit der Online-Terminbuchung können Ihre Kunde mit Ihnen über das Internet einen Termin vereinbaren.
Weiterhin können Sie mit dem Online-Terminmanager von Terminland Ihre Kundentermine über das Internet verwalten. Optional haben Sie zusätzlich die Möglichkeit, sich kostenfrei in den Branchenführer des Terminland-Portals eintragen zu lassen.
1.1 Gesetzliche Grundlagen der Auftragsdatenverarbeitung
Die Erfordernis zur Formulierung dieses Vertrages ist im datenschutzrechtlichen Teil in dem mit Ihnen geschlossen Dienstleistungsvertrag gem. § 11 Bundesdatenschutzgesetz (BDSG) zu entnehmen.
Wenn Sie als Unternehmen personenbezogene Daten (z. B. Kontaktdaten Ihrer Kunden, etc.), die Ihrem Unternehmen zuzurechnen sind, durch ein fremdes Dienstleistungsunternehmen (Auftrag-nehmer) verarbeiten lassen wollen, so bleiben Sie datenschutzrechtlich dennoch weiterhin in der Verantwortung. Sie haben den Auftragnehmer sorgfältig auszuwählen und dabei besonderes Augen-merk auf seine Sicherheitsvorkehrungen zu legen. Der Auftrag ist schriftlich zu erteilen und muss insbesondere klare Aussagen über folgende Teilbereiche enthalten:
1. Spezifizierung der ausgelagerten Datenerhebung, Datenverarbeitung und Datennutzung
2. Darstellung der beim Auftragnehmer tatsächlich realisierten technisch und organisatorischen Maßnahmen zur Datensicherheit sowie
3. Festlegung etwaiger Unterauftragsverhältnisse (Subunternehmer) und
4. die Kontrollrechte
Der Auftragnehmer darf die Daten nur im Rahmen der sogenannten "Weisungen" des Auftraggebers verarbeiten bzw. nutzen, ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen Datenschutzvorschriften verstößt, so hat er den Auftraggeber unverzüglich darauf hinzuweisen.
Gegenstand dieses Vertrages ist die Durchführung folgender Aufgaben durch den Auftragnehmer:
Der Auftragnehmer ist mit der Bereitstellung und Einrichtung der Online-Terminbuchung beauftragt.
Die Verarbeitung und Nutzung der vertragsgegenständlichen Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verle-gung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und ist nur zulässig, wenn die besonderen Voraussetzungen der §§ 4b, 4c BDSG (angemessenes Schutzniveau) erfüllt sind.
Der Auftraggeber wird an den Auftragnehmer folgende Arten von personenbezogene Daten über folgenden Kreis an Betroffenen zur Verfügung stellen:
 Personenstammdaten: Vor- und Nachname, vollständige Anschrift
 Kommunikationsdaten: Telefonnummern, E-Mail-Adressen
 für den Termin zusätzlich notwendige Informationen (z. B. Kennzeichen, Gesundheitsdaten, etc.)
Der Kreis der Betroffenen umfasst Kunden/Interessierte der Auftraggeber die den Onlineterminplaner nutzen.
1.3 Rechte und Pflichten des Auftraggebers
1) Der Auftraggeber ist für die Wahrung der Rechte der Betroffenen und die Beurteilung der Zulässigkeit der Datenerhebung, -verarbeitung oder –nutzung alleine verantwortlich.
2) Der Auftraggeber erteilt alle vertragsgegenständlichen Aufträge schriftlich. Gleiches gilt für Änderungen des Vertragsgegenstandes.
3) Der Auftraggeber kann dem Auftragnehmer Weisungen zum datenschutzgerechten Umgang mit den vertragsgegenständlichen Daten erteilen. Mündliche Weisungen hat er unverzüglich schriftlich zu bestätigen.
4) Weisungen nach Abs. 3, die den Vertragsgegenstand gem. § 1 Abs. 1 ändern, aufheben oder ergänzen, bedürfen der übereinstimmenden schriftlichen Vereinbarung der Parteien.
5) Der Auftraggeber ist berechtigt, sich vor Beginn der Verarbeitung der vertragsgegenständ-lichen Daten und sodann regelmäßig von der Einhaltung der beim Auftragnehmer nach § 9 BDSG getroffenen technisch und organisatorischen Maßnahmen zu überzeugen. Er kann hierzu Dritte beauftragen.
6) Stellt der Auftraggeber bei Überprüfungen nach Absatz 5 Unregelmäßigkeiten fest, so informiert er hierüber den Auftragnehmer unverzüglich schriftlich.
7) Der Auftraggeber ist zur vertraulichen Behandlung aller ihm im Rahmen des Vertragsver-hältnisses erlangten Kenntnisse über den Auftragnehmer, insbesondere von Geschäftsgeheimnissen, verpflichtet.
8) Der Auftraggeber ist verpflichtet, seine Mitarbeiter, soweit sie an der Zusammenarbeit mit dem Auftragnehmer beteiligt sind, auf die Einhaltung der einschlägigen datenschutzrecht-lichen Bestimmungen hinzuweisen und zu verpflichten.
1.4 Pflichten des Auftragnehmers
1) Der Auftragnehmer darf die vertragsgegenständlichen Daten nur im Rahmen der vorliegen-den Vereinbarungen und Weisungen des Auftraggebers und ausschließlich für die vertrags-gegenständlichen Zwecke verarbeiten.
2) Für die Berichtigung, Löschung oder Sperrung der vertragsgegenständlichen Daten gilt Absatz 1 entsprechend, Absatz 5 bleibt unberührt.
3) Der Auftragnehmer hält die vertragsgegenständlichen Daten strikt getrennt von sonstigen Datenbeständen.
4) Verstößt eine Weisung des Auftraggebers nach Auffassung des Auftragnehmers gegen gesetzliche Vorschriften, so wird er den Auftraggeber unverzüglich hierüber informieren.
Die Durchführung der betreffenden Weisung darf der Auftragnehmer so lange aussetzen, bis sie durch den Auftraggeber bestätigt oder gesetzeskonform geändert wird.
5) Dem Auftragnehmer ist bekannt, dass nach § 42a BDSG Informationspflichten im Falle des Abhandenkommens oder der unrechtmäßigen Übermittlung oder Kenntnisnahme von personenbezogenen Daten bestehen können. Deshalb sind solche Vorfälle ohne Ansehen der
Verursachung unverzüglich dem Auftraggeber mitzuteilen. Dies gilt auch bei schwerwiegen-den Störungen des Betriebsablaufs oder bei Verdacht auf sonstige Verletzungen gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers. Der Auftragnehmer hat im Benehmen mit dem Auftraggeber angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen. Soweit den Auftraggeber Pflichten nach § 42a BDSG treffen, hat der Auftragnehmer ihn hierbei zu unterstützen.
6) Bei Vertragsbeendigung wird der Auftragnehmer die vertragsgegenständlichen Daten des Auftraggebers innerhalb von drei Monaten löschen, soweit nicht gesetzliche Speicher-/Auf-bewahrungspflichten entgegenstehen.
1.5 Unterauftragsverhältnisse, Datenschutzbeauftragter
1) Der Auftragnehmer darf Unterauftragnehmer nur mit schriftlicher Zustimmung des Auftraggebers einschalten.
2) Der Auftragnehmer hat die vertraglichen Verhältnisse zu Unterauftragnehmern so zu gestalten, dass sie den Datenschutzbestimmungen der vorliegenden Vereinbarung entsprechen. Insbesondere sind dem Auftraggeber Kontroll- und Überprüfungsrechte gegenüber dem Unterauftragnehmer einzuräumen.
3) Der Auftragnehmer hat zurzeit die in Anlage 1 zu dieser Vereinbarung mit Namen, Anschrift und Tätigkeitsgegenstand bezeichneten Unterauftragnehmer beschäftigt. Mit deren Beauf-tragung erklärt sich der Auftraggeber einverstanden.
4) Nicht als Unterauftragsverhältnis im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Hierzu zählen z. B. Telekommunikationsleis-tungen Wartung und Benutzerservice, Reinigungskräfte, Prüfer oder die Entsorgung von Datenträgern. Der Auftragnehmer ist jedoch verpflichtet, auch bei fremd vergebenen Neben-leistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen und erforderliche Kontrollmaßnahmen zu ergreifen, um den Schutz und die Sicherheit der Daten des Auftragnehmers zu gewährleisten.
5) Beim Auftragnehmer ist Herr Dipl.-Inf. Thomas Gutte von der Firma CDC Compliance & Datenschutz Consulting UG (haftungsbeschränkt), Wiesbaden als externer betrieblicher Beauftragter für den Datenschutz entsprechend den gesetzlichen Anforderungen nach §§ 4f, 4g BDSG bestellt. Der Datenschutzbeauftragte hat die Ausführung des BDSG sowie anderer fachspezifischer Vorschriften zum Datenschutz im Hinblick auf das Auftragsverhältnis beim Auftragnehmer sicherzustellen.
1.6 Datengeheimnis, Auskünfte, Kontrolle
1) Der Auftragnehmer verpflichtet sich zur Wahrung des Datengeheimnisses bei der Verarbei-tung der vertragsgegenständlichen Daten.
2) Der Auftragnehmer versichert, bei der Durchführung der vertragsgegenständlichen Arbeiten nur Mitarbeiter einzusetzen, die mit den einschlägigen Datenschutzbestimmungen vertraut und auf das Datengeheimnis schriftlich verpflichtet sind. Er überwacht die Einhaltung datenschutzrechtlicher Vorschriften.
3) Auskünfte an Betroffene oder Dritte erteilt der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung des Auftraggebers. Er unterrichtet diesen unverzüglich über diesbezügliche Anfragen.
4) Der Auftraggeber ist berechtigt, sich selbst oder durch beauftragte Dritte vor Beginn der Datenverarbeitung durch den Auftragnehmer und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.
Hierzu weist der Auftragnehmer auf Anforderung die Umsetzung der technischen und organi-satorischen Maßnahmen gem. § 9 BDSG und dessen Anlage in geeigneter Weise nach.
Der Auftraggeber wird dabei auf die betrieblichen Abläufe des Auftragnehmers Rücksicht nehmen und Kontrollen soweit möglich 72 Stunden vorher anmelden. Der Auftragnehmer ist verpflichtet, den Auftraggeber bei der Durchführung der Kontrollen nach besten Kräften zu unterstützen.
Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die zu Wahrung seiner bei der Verarbeitung personenbezogener Daten bestehende Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und Nachweise verfügbar zu machen.
1.7 Technisch und organisatorische Maßnahmen
1) Die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen legen die Parteien als verbindlich fest.
Die Terminland-Server befinden sich in einem Rechenzentrum der Firma Equinix. Der Zugang zu dem Rechenzentrum ist nur für autorisierte Mitarbeiter nach vorheriger Anmeldung möglich.
Jeder Mitarbeiter muss sich bei einem Besuch zunächst beim Pförtner anmelden und wird dort in eine Besucherliste eingetragen, in der alle Besuche dokumentiert werden.
Die Räumlichkeiten des Rechenzentrums sind mit einem Zutrittskontrollsystem mit Videoüberwachung ausgestattet.
Die Terminland-Server befinden sich in einem abgeschlossenen Serverschrank.
Terminland verfügt über eine Benutzerverwaltung mit Kennwortschutz. Bei mehr als 10 Falscheingaben des Kennworts wird der Benutzer gesperrt. Die Sperre kann nur durch einen Administrator aufgehoben werden.
Ein Benutzer kann mit einem Gültigkeitszeitraum versehen werden.
Des Weiteren verfügt Terminland über eine differenzierte Berechtigungs-verwaltung pro Benutzer. Lese- und Schreibrechte können getrennt pro Terminplan vergeben werden. Weiterhin können funktionale Rechte pro Benutzer festgelegt werden.
d) Weitergabekontrolle
Der Zugriff auf das Terminland-System durch den Auftraggeber erfolgt mit einem Internet-Browser über eine verschlüsselte SSL-Verbindung mit Benutzerauthentifizierung per Benutzername und Kennwort.
Der Zugriff auf das Terminland-System durch die Kunden des Auftraggebers erfolgt mit einem Internet-Browser über eine verschlüsselte SSL-Verbindung mit optionaler
Benutzerauthentifizierung wahlweise per Kennwort oder per Benutzername und Kennwort.
e) Eingabekontrolle
Die Erfassung und Änderung von Terminen wird protokolliert. Ebenso werden Änderungen an den Einstellungen des Systems protokolliert.
f) Verfügbarkeitskontrolle
Die Server von Terminland stehen in einem ISO 27001 und ISO 9001-2008 zertifizierten Rechenzentrum der Firma Equinix. Die Einhaltung der geforderten Sicherheitsstandards zur Gewährleistung der Verfügbarkeitskontrolle werden regelmäßig und nachweislich überprüft.
Die Serverhardware ist u. a. redundant ausgelegt. Festplatten und Netzteile sind mit einer n+1-Redundanz ausgelegt. Es erfolgt ein tägliches Backup der Daten. Die Aufbewahrung des Backups erfolgt räumlich getrennt.
Die Server sind durch Firewalls geschützt u.v.m..
g) Trennungskontrolle
Die Terminland-Software ist ein mandantenfähiges System. Jeder Terminland-Kunde wird als Mandant in der Terminland-Software abgebildet.
Produktiv-, Demo- und Testsysteme sind als solche gekennzeichnet.
2) Der Auftragnehmer gewährleistet die Grundsätze ordnungsgemäßer Datenverarbeitung und die Einhaltung der vereinbarten und gesetzlich vorgeschriebenen Datensicherheitsmaß-nahmen.
3) Der Auftragnehmer ist berechtigt, die technischen und organisatorischen Maßnahmen dem technischen Fortschritt anzupassen. Änderungen sind zu dokumentieren.
4) Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftrag-nehmers oder seiner Mitarbeiter gegen datenschutzrechtlichen Bestimmungen oder Vereinbarungen mit. Für Verdachtsfälle gilt vorstehende Regelung entsprechend.
1) Für Schadensersatz oder Ersatz vergeblicher Aufwendungen, gleich aus welchem Rechtsgrund einschließlich unerlaubter Handlung, gelten die folgenden Regelungen:
2) Der Auftragnehmer haftet bei Vorsatz, grober Fahrlässigkeit nach den gesetzlichen Vorschriften. Der Auftragnehmer haftet auch bei Verletzung von Leben, Körper oder der Gesundheit nach den gesetzlichen Vorschriften.
3) Der Auftragnehmer haftet für leichte Fahrlässigkeit nur, wenn er eine wesentliche Vertragspflicht verletzt. In diesen Fällen ist die Haftung des Auftragnehmers auf typische und vorhersehbare Schäden beschränkt.
4) In allen anderen Fällen einschließlich unerlaubter Handlung haftet der Auftragnehmer nicht für leichte Fahrlässigkeit.
5) Nachteile und Mehrkosten aus einer Verletzung der in diesem Vertrag geregelten Mitwir-kungspflichten des Auftraggebers gehen zu Lasten des Auftraggebers.
6) Der Auftragnehmer ist verpflichtet, eine ausführliche Dokumentation der Datenverarbeitung oder Nutzung zu führen, anhand derer der Auftraggeber den Nachweis über die ordnungsgemäße Durchführung der Datenverarbeitung oder Nutzung führen kann.
Sollte eine der vorstehenden Bestimmungen ganz oder teilweise unwirksam oder lückenhaft sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. Die Parteien verpflichten sich, die unwirksame oder lückenhafte Bestimmung durch eine solche wirksame zu ersetzen, die dem wirtschaftlichen Zweck und Willen der Parteien am nächsten kommt.
Ausschließlicher Gerichtsstand für Streitigkeiten aus oder im Zusammenhang mit diesem Vertragsverhältnis ist Wiesbaden.
Eventuell aufgeführte Anlagen sind Bestandteil dieser Regelung.
Anlage 1: Unterauftragnehmer
Postfach 101121 60011 Frankfurt am Main
Bei den Kämpen 10 21220 Seevetal-Ramelsloh
Zimmermannstr. 15 70182 Stuttgart
Radeberger Str. 26 01099 Dresden
Alle anderen Datenschutzerklärungen
Kaya Zehrlaut
Telefon: +49 (0) 152 33753250