[Seite 1]

Vertrag über die Verarbeitung von personenbezogenen Daten im Auftrag

im Sinne der Datenschutzvorschriften für die Polizei NRW

zwischen

dem Land Nordrhein-Westfalen, vertreten durch das Ministerium des Innern des Landes NRW, dieses vertreten durch das Landesamt für Zentrale Polizeiliche Dienste NRW, dieses vertreten durch die Behördenleitung, Schifferstraße 10, 47059 Duisburg

Auftraggeber -

und

XXX

Auftragnehmer -

[Seite 2]

Inhaltsverzeichnis

Präambel 3

Begriffsbestimmungen 4
Gegenstand des Auftrags 5
Rechte und Pflichten des Auftraggebers 6
Allgemeine Pflichten des Auftragnehmers / Auftragsverarbeiters 7
Datenschutzbeauftragter des Auftragnehmers 8
Meldepflichten des Auftragnehmers 8
Mitwirkungspflichten des Auftragnehmers (Auftragsverarbeiters) 10
Kontrollbefugnisse 11
Unterauftragsverhältnisse 12
Geheimhaltungspflichten und Vertraulichkeitsverpflichtung 13
Wahrung von Betroffenenrechten 16
Haftung 16
Technische und organisatorische Maßnahmen zur Datensicherheit 16
Dauer des Auftrages 17
Beendigung 18
Zurückbehaltungsrecht 18
Schlussbestimmungen 19 Anlage 1: Auftragsverarbeitung und Kontaktpersonen 20 Anlage 2: Unterauftragnehmer 22 Anlage 3: Technische und organisatorische Maßnahmen des Auftragnehmers 23 Anlage 4: Verzeichnis von Verarbeitungstätigkeiten (VVT) des Auftragsnehmers 26

[Seite 3]

Präambel

Der Auftraggeber möchte den Auftragnehmer mit den in Ziffer 2 genannten Leistungen beauf- tragen. Teil der Vertragsdurchführung ist die Verarbeitung von personenbezogenen Daten. Die Datenschutzvorschriften stellen bestimmte Anforderungen an eine solche Auftragsverarbei- tung. Zur Wahrung dieser Anforderungen schließen die Parteien die nachfolgende Vereinba- rung, deren Erfüllung nicht gesondert vergütet wird, sofern dies nicht ausdrücklich vereinbart ist.

Das Datenschutzrecht unterscheidet bei der Verarbeitung personenbezogener Daten durch Behörden nach der Zweckrichtung von Tätigkeiten. Bei reinem Verwaltungshandeln der Polizei Nordrhein-Westfalen findet die Datenschutz-Grundverordnung (DS-GVO) unter Berücksichti- gung der Vorschriften des Teils 1 - 2 des Datenschutzgesetzes Nordrhein-Westfalen (DSG NRW) unmittelbar Anwendung, bei Tätigkeiten zur Gefahrenabwehr und Strafverfolgung ein- schließlich der Verfolgung und Ahndung von Ordnungswidrigkeiten finden die Vorschriften des Teils 3 des DSG NRW bzw. die Vorschriften des Teils 3 des Bundesdatenschutzgesetzes (BDSG) in Verbindung mit § 500 der Strafprozessordnung (StPO) Anwendung.

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen von dessen Verwaltungstätigkei- ten, seine Tätigkeit hat also keinen Bezug zur Gefahrenabwehr bzw. Strafverfolgung. Insofern sind vorliegend die Regelungen der DS-GVO unter Berücksichtigung der Vorschriften des Teils 1 - 2 des DSG NRW ausschlaggebend und bilden damit auch die Grundlage der nach- folgenden Bestimmungen.

Von den rund 56.000 Bediensteten der Polizei NRW sind rund 3.000 schwerbehindert oder gleichgestellt im Sinne des Neunten Buchs Sozialgesetzbuch (SGB IX). Weitere rund 2.000 Bedienstete, die trotz einer Behinderung nicht gleichgestellt sind, haben eine Behinderung. Um dem umfassenden Aufgabenvolumen und den gestiegenen Anforderungen an Barriere- freiheit vor allem im IT-Bereich gerecht zu werden, wird für den Betrieb des Kompetenzzent- rums für Barrierefreiheit des Auftraggebers sowie für dessen weiteren Ausbau Beratungs- und Prüfdienstleistungen zur Erstellung eines Test- und Prüfkonzepts für die Prüfung und Zertifi- zierung von IT-Anwendungen sowie die Durchführung von Tests für polizeiliche IT-Anwendun- gen benötigt.

Der Auftragnehmer führt die Akzeptanz- und Barrierefreiheitstests ausschließlich auf der Hard- ware und den IT-Systemen des Auftraggebers durch. Er hat keinen eigenen Zugriff auf externe Systeme und verarbeitet die personenbezogenen Daten der Testpersonen ausschließlich in- nerhalb der technischen Infrastruktur des Auftraggebers.

Diese Konstellation ändert nichts an der rechtlichen Einordnung als Auftragsverarbeitung im Sinne von Art. 28 DS-GVO. Maßgeblich ist nicht, auf wessen Hardware die Verarbeitung statt- findet, sondern dass der Auftragnehmer weisungsgebunden personenbezogene Daten für den Auftraggeber verarbeitet. Ein Auftragsverarbeitungsvertrag (AVV) ist daher weiterhin zwin- gend erforderlich.

[Seite 4]

Begriffsbestimmungen

(1) „Auftraggeber / Verantwortlicher“ ist gem. Art. 4 Nr. 7 DS-GVO die Stelle, die allein oder gemeinsam mit anderen Auftraggebern / Verantwortlichen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

(2) „Auftragnehmer / Auftragsverarbeiter“ ist (gem. Art. 4 Nr. 8 DS-GVO) eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Auftraggebers / Verantwortlichen verarbeitet.

(3) „Personenbezogene Daten“ sind (gem. Art. 4 Nr. 1 DS-GVO) alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Per- son“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psy- chischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

(4) „Besonders schutzbedürftige personenbezogene Daten“ sind insbesondere die beson- deren Kategorien personenbezogener Daten gem. Art. 9 DS-GVO, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeu- gungen oder die Gewerkschaftszugehörigkeit von Betroffenen hervorgehen, personenbe- zogene Daten gem. Art. 10 DS-GVO über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln sowie genetische Daten gem. Art. 4 Nr. 13 DS-GVO, biometrischen Daten gem. Art. 4 Nr. 14 DS-GVO, Gesundheitsdaten gem. Art. 4 Nr. 15 DS-GVO sowie Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.

(5) „Verarbeitung“ ist (gem. Art. 4 Nr. 2 DS-GVO) jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Ver- wendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Be- reitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

(6) „Anonymisierung“ ist das Verändern personenbezogener Daten derart, dass die Einzel- angaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem un- verhältnismäßig großen Aufwand an Zeit, Kosten, Arbeitskraft einer bestimmten oder be- stimmbaren natürlichen Person zugeordnet werden können.

(7) „Aufsichtsbehörde“ ist die oder der Landesbeauftragte für Datenschutz und Informati- onsfreiheit Nordrhein-Westfalen gemäß § 60 DSG NRW i. V. m. Art. 51 - 57 DS-GVO, § 500 StPO.

(8) „Stand der Technik" im Sinne dieses Vertrages bezeichnet den auf einschlägigen wis- senschaftlichen Erkenntnissen beruhenden Entwicklungsstand fortschrittlicher Verfahren, Einrichtungen und Betriebsweisen, der die praktische Eignung einer Maßnahme zur

[Seite 5]

sicheren Verarbeitung, Übertragung und Speicherung von Informationen gesichert erschei- nen lässt. Maßgeblich ist dabei die marktverfügbare Bestleistung, d.h. jene Verfahren und Technologien, die zum jeweils relevanten Zeitpunkt in der Praxis verfügbar sind und deren Wirksamkeit durch anerkannte Fachkreise bestätigt wurde. Die Bestimmung des Stands der Technik erfolgt nach einer objektiven, methodischen Analyse, die den Markt der ver- fügbaren Sicherheitsmaßnahmen fortlaufend erfasst und anhand nachvollziehbarer Krite- rien bewertet. Einmalige Bewertungen oder isolierte Einzelmaßnahmen begründen keine Konformität. Die Analyse ist systematisch zu wiederholen und zu dokumentieren. Als ver- bindliche Referenzmaßstäbe für die Bestimmung des Stands der Technik gelten kumulativ: • Art. 25, Art. 32 sowie Art. 5 Abs. 2 der Verordnung (EU) 2016/679 (DS-GVO) sowie § 58 DSG NRW und 64 BDSG i. V. m. § 500 StPO in der jeweils geltenden Fassung; • die TeleTrusT-Handreichung „Stand der Technik in der IT-Sicherheit" in ihrer jeweils aktuellen Fassung, die als konsentierter Branchenstandard zur Ausle- gung des unbestimmten Rechtsbegriffs herangezogen wird; • der BSI IT-Grundschutz in der jeweils geltenden Fassung; • ISO/IEC 27001 sowie die zugehörigen Implementierungsleitlinien (ISO/IEC 27002) in ihrer jeweils aktuellen Fassung; • die aktuelle Rechtsprechung des BGH, des EuGH sowie der Oberlandesge- richte zur Auslegung des Stands der Technik im Bereich DS-GVO und IT-Si- cherheit, soweit diese als anerkannte Interpretationsquellen des unbestimmten Rechtsbegriffs herangezogen werden können; • einschlägige Technische Richtlinien des BSI (BSI-TR) sowie ENISA-Leitlinien in ihrer jeweils geltenden Fassung; • sonstige von Aufsichtsbehörden, dem Europäischen Datenschutzausschuss (EDSA) oder gleichwertigen nationalen Behörden veröffentlichte verbindliche oder empfehlende Leitlinien.

Gegenstand des Auftrags

(1) Der Auftragnehmer erbringt für den Auftraggeber Beratungs- und Prüfdienstleistungen zur Erstellung eines Test- und Prüfkonzepts für die Prüfung und Zertifizierung von IT-An- wendungen sowie die Durchführung von Tests für polizeiliche IT-Anwendungen insbeson- dere Akzeptanz- und Barrierefreiheitstests ausschließlich auf der Hardware und den IT- Systemen des Auftraggebers auf Grundlage des Vertrags (…) vom XX.XX.XXXX („Haupt- vertrag“). Dabei erhält der Auftragnehmer im Einzelfall, falls erforderlich, Zugriff auf perso- nenbezogene Daten und verarbeitet diese ausschließlich im Auftrag und nach Weisung des Auftraggebers. Umfang und Zweck der Datenverarbeitung durch den Auftragnehmer erge- ben sich aus dem Hauptvertrag (und der dazugehörigen Leistungsbeschreibung). Dem Auf- traggeber obliegt die Beurteilung der Zulässigkeit der Datenverarbeitung.

Zwischen den Parteien besteht Einigkeit, dass Support- und Wartungsarbeiten an dem IT- System grundsätzlich mit Hilfe von Hardware zu erfolgen hat, welche vom Auftraggeber / zur Verfügung gestellt wird. Ausschließlich in Ausnahmefällen und nach vorheriger

[Seite 6]

Zustimmung des Auftraggebers ist es möglich, dass ein Zugriff auf das System über die Hardware des Auftragnehmers erfolgt.

(2) Im Rahmen der Durchführung des Hauptvertrags erhält der Auftragnehmer / Auf- tragsverarbeiter Zugriff auf die in Anlage 1 näher spezifizierten Kategorien personenbezo- gener Daten. Diese Daten umfassen keine die in Anlage 1 aufgeführten und als solche zusätzlich gekennzeichneten besonderen Kategorien personenbezogener Daten. Der Kreis der von der Datenverarbeitung Betroffenen ist in Anlage 1 dargestellt.

(3) Zur Konkretisierung der beiderseitigen datenschutzrechtlichen Rechte und Pflichten schließen die Parteien die vorliegende Vereinbarung. Die Regelungen der vorliegenden Vereinbarung gehen in Bezug auf personenbezogene Daten den Regelungen des Haupt- vertrags vor.

(4) Die Bestimmungen dieses Vertrages finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei der der Auftragnehmer und seine Beschäf- tigten oder durch den Auftragnehmer Beauftragte mit personenbezogenen Daten in Berüh- rung kommen, die vom Auftraggeber stammen oder für den Auftraggeber erhoben wurden.

In diesem Zusammenhang wird ausdrücklich auf die im Rahmen des Vergabeverfahrens eingegangenen Verpflichtungen zur Einhaltung des Geheimschutzes und zur Sicherheits- überprüfung durch den Auftragnehmer, einschließlich etwaiger Subauftragnehmer und aller im Rahmen des Projekts eingesetzten Mitarbeiter, verwiesen.

(5) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrages, sofern sich aus den nachfolgenden Bestimmungen nicht darüberhinausgehende Verpflichtungen oder Kündigungsrechte ergeben.

Rechte und Pflichten des Auftraggebers

(1) Der Auftraggeber ist Verantwortlicher im Sinne der Art. 4 Nr. 7 28, 29 DS-GVO für die Verarbeitung von Daten im Auftrag durch den Auftragnehmer. Dem Auftragnehmer steht nach Ziff. 4 Abs. 5 das Recht zu, den Auftraggeber darauf hinzuweisen, wenn eine seiner Meinung nach rechtlich unzulässige Datenverarbeitung Gegenstand des Auftrags und/oder einer Weisung ist. Die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen obliegt allein dem Auftraggeber.

(2) Der Auftraggeber ist als Verantwortlicher für die Wahrung der Betroffenenrechte verant- wortlich. Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn Betroffene ihre Betroffenenrechte gegenüber dem Auftragnehmer geltend machen.

(3) Der Auftraggeber hat das Recht, jederzeit ergänzende Weisungen über Art, Umfang und Verfahren der Datenverarbeitung gegenüber dem Auftragnehmer zu erteilen. Weisungen müssen unverzüglich in Textform (z. B. verschlüsselte E-Mail) bestätigt werden.

(4) Regelungen über eine etwaige Vergütung von Mehraufwänden, die durch ergänzende Weisungen des Auftraggebers beim Auftragnehmer entstehen, bleiben unberührt.

[Seite 7]

(5) Der Auftraggeber kann weisungsberechtigte Personen benennen. Sofern weisungsbe- rechtigte Personen benannt werden sollen, werden diese in der Anlage 1 benannt. Für den Fall, dass sich die weisungsberechtigten Personen beim Auftraggeber ändern, wird der Auftraggeber dies dem Auftragnehmer in Textform mitteilen.

(6) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Un- regelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragnehmer feststellt.

(7) Für den Fall, dass eine Informationspflicht gegenüber Dritten nach Art. 33 DS-GVO oder einer sonstigen, für den Auftraggeber geltenden gesetzlichen Meldepflicht (z. B. Gesetz über die Freiheit des Zugangs zu Informationen für das Land Nordrhein-Westfalen (Infor- mationsfreiheitsgesetz Nordrhein-Westfalen - IFG NRW)) besteht, ist der Auftraggeber für deren Einhaltung verantwortlich. Der Auftraggeber ist verpflichtet, alle im Rahmen des Ver- einbarungsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensi- cherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieser Vereinbarung bestehen.

Allgemeine Pflichten des Auftragnehmers / Auftragsverarbeiters

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und/oder unter Einhaltung der ggf. vom Auftraggeber erteilten ergänzenden Weisungen. Ausgenommen hiervon sind gesetzliche Regelungen, die den Auftragnehmer ggf. zu einer anderweitigen Verarbeitung verpflichten. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verar- beitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichti- gen öffentlichen Interesses verbietet. Zweck, Art und Umfang der Datenverarbeitung rich- ten sich ansonsten ausschließlich nach diesem Vertrag und/oder den Weisungen des Auf- traggebers. Eine hiervon abweichende Verarbeitung von Daten ist dem Auftragnehmer un- tersagt, es sei denn, dass der Auftraggeber dieser schriftlich zugestimmt hat.

(2) Der Auftragnehmer verpflichtet sich, die Datenverarbeitung im Auftrag ausschließlich innerhalb eines Mitgliedsstaates der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum oder eines Landes, für das ein An- gemessenheitsbeschluss gem. Art. 45 DS-GVO vorliegt, oder unter Einhaltung der Anfor- derungen der DS-GVO zur Verarbeitung von personenbezogenen Daten im Drittland (Art. 45 ff. DS-GVO) durchzuführen.

(3) Der Auftragnehmer sichert im Bereich der auftragsgemäßen Verarbeitung von perso- nenbezogenen Daten die vertragsmäßige Abwicklung aller vereinbarten Maßnahmen zu. Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb.

(4) Der Auftragnehmer ist verpflichtet, sein Unternehmen und seine Betriebsabläufe so zu gestalten, dass die Daten, die er im Auftrag des Auftraggebers verarbeitet, im jeweils erfor- derlichen Maß gesichert und vor der unbefugten Kenntnisnahme Dritter geschützt sind. Der Auftragnehmer wird Änderungen in der Organisation der Datenverarbeitung im Auftrag, die für die Sicherheit der Daten erheblich sind und die die dedizierte Infrastrukturumgebung,

[Seite 8]

die der Auftraggeber erhält, betrifft, vorab mit dem Auftraggeber / Verantwortlichen abstim- men. Die Art. 25 und 32 DS-GVO, sind zu berücksichtigen (vgl. § 7 Abs. 5 dieser Verein- barung).

(5) Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn eine vom Auftraggeber erteilte Weisung nach seiner Auffassung gegen gesetzliche Regelungen verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird. So- fern der Auftragnehmer darlegen kann, dass eine Verarbeitung nach Weisung des Auftrag- gebers zu einer Haftung des Auftragnehmers nach Art. 82 DS-GVO, führen kann, steht dem Auftragnehmer das Recht zu, die weitere Verarbeitung insoweit bis zu einer Klärung der Haftung zwischen den Parteien auszusetzen.

(6) Die Verarbeitung von Daten im Auftrag des Auftraggebers außerhalb von Betriebsstät- ten des Auftragnehmers oder Subunternehmern ist nur mit vorheriger Zustimmung des Auf- traggebers in Schriftform oder Textform zulässig. In Ausnahmefällen ist eine fernmündliche Abstimmung zulässig; diese ist unverzüglich in Schrift- oder Textform zu bestätigen.

(7) Der Auftragnehmer wird die – ihm im Einzelfall ggf. zur Verfügung gestellten – Daten, die er im Auftrag für den Auftraggeber verarbeitet, getrennt von anderen Daten verarbeiten. Der Auftraggeber wird die Anforderungen an diese Trennung beschreiben, diese sind vom Auftragnehmer umzusetzen und entsprechend nachzuweisen. Diese Umsetzung kann vom Auftraggeber kontrolliert werden

(8) Der Auftragnehmer wird dem Auftraggeber die Person(en) benennen, die zum Empfang von Weisungen des Auftraggebers berechtigt sind. Diese werden in der Anlage 1 benannt. Für den Fall, dass sich die weisungsempfangsberechtigten Personen beim Auftragnehmer ändern, wird der Auftragnehmer dies dem Auftraggeber in Textform mitteilen.

Datenschutzbeauftragter des Auftragnehmers

Der Auftragnehmer bestätigt, dass er einen Datenschutzbeauftragten nach Art. 37 DS-GVO benannt hat. Der Auftragnehmer trägt Sorge dafür, dass der Datenschutzbeauftragte über die erforderliche Qualifikation und das erforderliche Fachwissen sowie über die notwendi- gen Ressourcen verfügt. Der Auftragnehmer wird dem Auftraggeber den Namen und die Kontaktdaten seines Datenschutzbeauftragten gesondert in Textform mitteilen.

Meldepflichten des Auftragnehmers

(1) Der Auftragnehmer ist verpflichtet, dem Auftraggebers jeden Verstoß gegen daten- schutzrechtliche Vorschriften oder gegen die getroffenen vertraglichen Vereinbarungen und/oder die erteilten Weisungen des Auftraggebers, der im Zuge der Verarbeitung von Daten durch ihn oder andere mit der Verarbeitung beschäftigten Personen erfolgt ist, un- verzüglich mitzuteilen.

Gleiches gilt für jede Verletzung des Schutzes personenbezogener Daten, die der Auftrag- nehmer im Auftrag des Auftraggebers verarbeitet.

[Seite 9]

Im Falle eines Informationssicherheitsvorfalles1 ist wie folgt vorzugehen:

a. Ein Informationssicherheitsvorfall liegt vor, wenn mindestens eines der folgenden Kri- terien beim Auftragnehmer oder Subunternehmer erfüllt ist:

i. Unberechtigter Zutritt zu Räumlichkeiten ii. Unberechtigter Zugang zu IT-Systemen iii. Unberechtigte Nutzung von IT-Systemen iv. Unberechtigte Administration von IT-Systemen v. Unberechtigter Zugriff auf Informationen vi. Unberechtigte Übertragung von Informationen vii. Ausführen von nicht freigegebener Software viii. Einsatz nicht freigegebener Hardware ix. Umgehung von Informationssicherheitsmaßnahmen x. Verlust (schließt Diebstahl mit ein) oder unsachgemäße Entsorgung von IT-Syste- men mit nicht flüchtigen Informationen (inklusive Speichermedien) oder Papierdoku- menten mit vertraulichem Inhalt xi. Nicht-Verfügbarkeit von Informationen oder Diensten

b. Die Meldung eines Informationssicherheitsvorfalls durch den Auftragnehmer muss unverzüglich in geeigneter Form durch die Auftragnehmerin an die Auftraggeberin erfol- gen:

Name: Landesamt für Zentrale Polizeiliche Dienste NRW Organisationseinheit: SG 22.1 IT-Leitstelle Postanschrift: Schifferstraße 10, 47059 Duisburg Telefon: 0203 4175-22222 E-Mail: IT-Leitstelle.LZPD@polizei.nrw.de

Bei der Meldung eines Informationssicherheitsvorfalls gilt die Maxime „Schnelligkeit vor Gründlichkeit“. Im Anschluss an die Meldung eines Informationssicherheitsvorfalles hat der Auftragnehmer dem Auftraggeber schnellstmöglich einen Bericht mit weiterführen- den Inhalten, IT-Feststellungen sowie einer Risikobewertung und Darstellung der ge- troffenen und geplanten Maßnahmen zu übermitteln.

(2) Ferner wird der Auftragnehmer den Auftraggeber unverzüglich darüber informieren, wenn eine Aufsichtsbehörde nach Art. 58 DS-GVO gegenüber dem Auftragnehmer tätig wird und dies auch eine Kontrolle der Verarbeitung, die der Auftragnehmer im Auftrag des Auftraggebers erbringt, betreffen kann.

(3) Dem Auftragnehmer ist bekannt, dass für den Auftraggeber eine Meldepflicht nach Art. 33 DS-GVO bestehen kann, die eine Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden vorsieht. Der Auftragnehmer wird den Auftraggeber bei der Umset- zung der Meldepflichten unterstützen. Der Auftragnehmer wird dem Auftraggeber insbe- sondere jeden unbefugten Zugriff auf personenbezogene Daten, die im Auftrag des Auf- traggebers verarbeitet werden, unverzüglich ab Kenntnis des Zugriffs mitteilen. Die

1 In Anlegung an den Runderlass des Ministeriums des Innern - 412 - 60.23.02 -„Meldung wichtiger Ereignisse (WE-Meldung)“ in der jeweiliges gültigen Fassung

[Seite 10]

Meldung des Auftragnehmers an den Auftraggeber muss insbesondere folgende Informa- tionen beinhalten:

– eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mindestens mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffe- nen personenbezogenen Datensätze;

– eine Beschreibung der von dem Auftragnehmer ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswir- kungen.

(4) Erhält der Auftragnehmer von einer Behörde eines Drittstaates eine Anfrage, eine An- ordnung oder einen Beschluss, der die Herausgabe von Daten des Auftraggebers zum Ge- genstand hat, benachrichtigt er den Auftraggeber unverzüglich und in jedem Fall spätes- tens innerhalb von 48 Stunden nach Eingang der Anfrage schriftlich, sofern und soweit eine solche Benachrichtigung nach dem Recht des anfragenden Drittstaates nicht ausdrücklich und zwingend untersagt ist. Die Benachrichtigung enthält mindestens die Angabe der an- fragenden Behörde, den Gegenstand und den Umfang der Anfrage, die angegebene Rechtsgrundlage sowie den vom Auftragnehmer vorgesehenen weiteren Umgang mit der Anfrage. Ist der Auftragnehmer rechtlich gehindert, den Auftraggeber zu benachrichtigen, teilt er diesen Umstand dem Auftraggeber so bald wie möglich mit, sobald das rechtliche Hindernis entfallen ist.

Mitwirkungspflichten des Auftragnehmers (Auftragsverarbeiters)

(1) Der Auftragnehmer unterstützt den Auftraggeber bei seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten nach Kapitel 3 DS-GVO. Es gelten die Regelungen von Ziff. 11 dieses Vertrages.

(2) Der Auftragnehmer wirkt an der Erstellung der Verzeichnisse von Verarbeitungstätigkei- ten (VVT) durch den Auftraggeber mit. Er hat dem Auftraggeber die insoweit jeweils erfor- derlichen Angaben in geeigneter Weise mitzuteilen.

(3) Der Auftragnehmer führt ein eigenes Verzeichnis von Verarbeitungstätigkeiten für die Tätigkeiten im Rahmen der Auftragsverarbeitung im Sinne von Art. 30 DS-GVO.

(4) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Ver- arbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Kapitel 4 DS-GVO genannten Pflichten.

(5) Der Auftragnehmer berücksichtigt die Anforderungen an die Sicherheit der Verarbeitung seiner Tätigkeiten im Rahmen der Auftragsverarbeitung gemäß Art. 32 DS-GVO.

(6) Der Auftragnehmer schöpft alle verfügbaren rechtlichen Mittel aus, um einer behördli- chen Datenanfrage aus einem Drittstaat zu widersprechen, bevor Daten des Auftraggebers tatsächlich herausgegeben werden. Dies umfasst die Erhebung von Einwendungen gegen die Rechtmäßigkeit der Anfrage vor zuständigen Gerichten oder Behörden sowie die

[Seite 11]

Inanspruchnahme einstweiligen Rechtsschutzes. Der Auftragnehmer handelt dabei in en- ger Abstimmung mit dem Auftraggeber und gibt diesem Gelegenheit, sich an Rechtsschutz- maßnahmen zu beteiligen. Der Auftragnehmer gibt Daten des Auftraggebers auf Grundlage einer drittstaatlichen Anfrage nur dann heraus, wenn er nach Ausschöpfung aller verfügba- ren Rechtsmittel rechtlich dazu verpflichtet ist und der Auftraggeber vorab informiert wurde oder eine Information aus rechtlichen Gründen nicht möglich war. Ist der Auftragnehmer nach Ausschöpfung aller Rechtsmittel zur Herausgabe verpflichtet, stellt er sicher, dass die Herausgabe auf das rechtlich unbedingt Erforderliche beschränkt bleibt. Der Auftragneh- mer dokumentiert den gesamten Vorgang lückenlos, einschließlich der behördlichen An- frage, der ergriffenen Rechtsmittel und des Umfangs der schließlich herausgegebenen Da- ten, und übermittelt diese Dokumentation unverzüglich an den Auftraggeber, soweit dies rechtlich zulässig ist.

Kontrollbefugnisse

(1) Der Auftraggeber hat das Recht, die Einhaltung der gesetzlichen Vorschriften zum Da- tenschutz und/oder die Einhaltung der zwischen den Parteien getroffenen vertraglichen Re- gelungen und/oder die Einhaltung der Weisungen des Auftraggebers durch den Auftrag- nehmer jederzeit mit einer Vorankündigung von 14 Tagen im erforderlichen Umfang selbst oder durch eine von ihm beauftragte Prüferin bzw. einen durch ihn beauftragten Prüfer zu kontrollieren. Der Auftragnehmer ermöglicht ebenfalls notwendige Überprüfungen durch die oder den Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfa- len. Der Auftragnehmer sichert zu, dass er, soweit erforderlich, bei diesen Kontrollen unter- stützend mitwirkt.

(2) Der Auftragnehmer ist dem Auftraggeber gegenüber zur Auskunftserteilung verpflichtet, soweit dies zur Durchführung der Kontrolle im Sinne des Absatzes 1 erforderlich ist.

(3) Der Auftraggeber kann eine Einsichtnahme in die vom Auftragnehmer für den Auftrag- geber verarbeiteten Daten sowie in die verwendeten Datenverarbeitungssysteme und -pro- gramme verlangen.

(4) Der Auftraggeber kann, nach vorheriger Abstimmung mit dem Auftragnehmer und recht- zeitiger Anmeldung von mindestens 14 Tagen (bei Verdacht für eine Datenschutzverlet- zung auch ohne Vorankündigung), die Kontrolle im Sinne des Absatzes 1 in der Betriebs- stätte des Auftragnehmers, vornehmen. Der Auftraggeber wird dabei Sorge dafür tragen, dass die Kontrollen nur im erforderlichen Umfang durchgeführt werden, um die Betriebsab- läufe des Auftragnehmers durch die Kontrollen nicht unverhältnismäßig zu stören. Der Auf- tragnehmer wird dem Auftraggeber zugestehen, selbst nach Vorankündigung mit einem Vorlauf von mindestens 8 Wochen eine Begutachtung / Besichtigung oder Auditierung, bei der kein technischer Zu-griff auf die Systeme des Auftragnehmers erfolgt, jährlich vorzu- nehmen. Penetrationstest dürfen ausschließlich nach vorheriger Abstimmung mit dem Auf- tragnehmer erfolgen.

(5) Der Auftragnehmer ist verpflichtet, im Falle von Maßnahmen der Aufsichtsbehörde ge- genüber dem Auftraggeber im Sinne des Art. 58 DS-GVO, insbesondere im Hinblick auf Auskunfts- und Kontrollpflichten die erforderlichen Auskünfte an den Auftraggeber zu ertei- len und der jeweils zuständigen Aufsichtsbehörde eine Vor-Ort-Kontrolle zu ermöglichen.

[Seite 12]

Der Auftraggeber ist über entsprechende geplante Maßnahmen vom Auftragnehmer zu in- formieren.

(6) Für den Fall, dass beim Auftraggeber eine datenschutzrechtliche Überprüfung durch eine Aufsichtsbehörde stattfindet und der Auftragnehmer im Einzelfall personenbezogene Daten des Auftraggebers verarbeitet, gestattet der Auftragnehmer eine Überprüfung der bei ihm stattfindenden Prozesse, vgl. Art. 58 DS-GVO.

Unterauftragsverhältnisse

(1) Die Beauftragung von Unterauftragnehmern durch den Auftragnehmer ist nur mit vorhe- riger Zustimmung des Auftraggebers in Textform zulässig. Der Auftragnehmer wird alle be- reits zum Vertragsschluss bestehenden Unterauftragsverhältnisse in der Anlage 2 zu die- sem Vertrag angeben.

(2) Der Auftragnehmer hat den Unterauftragnehmer sorgfältig auszuwählen und vor der Be- auftragung zu prüfen, dass dieser die zwischen Auftraggeber und Auftragnehmer getroffe- nen Vereinbarungen einhalten kann. Der Auftragnehmer hat insbesondere vorab und re- gelmäßig während der Vertragsdauer zu kontrollieren, dass der Unterauftragnehmer die nach Art. 32 DS-GVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten getroffen hat und ggf. die Protokollierungen im Sinne von § 76 BDSG berücksichtigt. Das Ergebnis der Kontrolle ist vom Auftragnehmer zu do- kumentieren und auf Anfrage dem Auftraggeber zu übermitteln.

(3) Der Auftragnehmer verpflichtet den Unterauftragnehmer vertraglich dazu, einen betrieb- lichen Datenschutzbeauftragten gemäß Art. 37 DS-GVO zu bestellen und dem Auftrag- nehmer dies in Textform zu bestätigen. Der Auftragnehmer stellt sicher, dass der Unterauf- tragnehmer ihm den Namen und die Kontaktdaten des bestellten Datenschutzbeauftragten mitteilt und jede Änderung hierzu unverzüglich und unaufgefordert in Textform an-zeigt. Der Auftragnehmer ist ferner verpflichtet, sich in Textform bestätigen zu lassen, dass der Da- tenschutzbeauftragte des Unterauftragnehmers über die erforderliche Qualifikation und das erforderliche Fachwissen sowie über die notwendigen Ressourcen zur ordnungsgemäßen Aufgabenerfüllung verfügt.

(4) Der Auftragnehmer hat sicherzustellen, dass die in diesem Vertrag vereinbarten Rege- lungen und ggf. ergänzende Weisungen des Auftraggebers auch gegenüber dem Unter- auftragnehmer gelten.

(5) Der Auftragnehmer hat mit dem Unterauftragnehmer einen Auftragsverarbeitungsver- trag zu schließen, der den Voraussetzungen des § 52 DSG NRW entspricht, sofern der Unterauftragnehmer personenbezogene Daten verarbeitet, die dem DSG NRW unterlie- gen. Andernfalls erfolgt der Vertragsschluss gem. Art. 28 DS-GVO. Darüber hinaus hat der Auftragnehmer dem Unterauftragnehmer dieselben Pflichten zum Schutz personenbezo- gener Daten aufzuerlegen, die zwischen Auftraggeber und Auftragnehmer festgelegt sind. Dem Auftraggeber ist der Auftragsdatenverarbeitungsvertrag auf Anfrage in Kopie zu über- mitteln.

(6) Der Auftragnehmer ist insbesondere verpflichtet, durch vertragliche Regelungen sicher- zustellen, dass die Kontrollbefugnisse (Ziff. 8 dieses Vertrages) des Auftraggebers und von

[Seite 13]

Aufsichtsbehörden auch gegenüber dem Unterauftragnehmer gelten und entsprechende Kontrollrechte von Auftraggeber und Aufsichtsbehörden vereinbart werden. Es ist zudem vertraglich zu regeln, dass der Unterauftragnehmer diese Kontrollmaßnahmen und etwaige Vor-Ort-Kontrollen zu dulden hat.

(7) Nicht als Unterauftragsverhältnisse im Sinne der Absätze 1 bis 6 sind Dienstleistungen anzusehen, die der Auftragnehmer bei Dritten als reine Nebenleistung in Anspruch nimmt, um die geschäftliche Tätigkeit auszuüben. Dazu gehören beispielsweise Reinigungsleis- tungen, reine Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für den Auftraggeber erbringt, Post- und Kurierdienste, Transportleistungen, Bewachungsdienste. Der Auftragnehmer ist gleichwohl verpflichtet, auch bei Nebenleistun- gen, die von Dritten erbracht werden, Sorge dafür zu tragen, dass angemessene Vorkeh- rungen und technische und organisatorische Maßnahmen getroffen wurden, um den Schutz personenbezogener Daten zu gewährleisten. Die Wartung und Pflege von IT-Sys- temen oder Applikationen stellt ein zustimmungspflichtiges Unterauftragsverhältnis und Auftragsverarbeitung im Sinne des Art. 28 DS-GVO dar, wenn die Wartung und Prüfung solche IT-Systeme betrifft, die auch im Zusammenhang mit der Erbringung von Leistungen für den Auftraggeber genutzt werden und bei der Wartung auf personenbezogene Daten zugegriffen werden kann, die im Auftrag des Auftraggebers verarbeitet werden (dedizierte Infrastrukturumgebung des Auftraggebers).

Geheimhaltungspflichten und Vertraulichkeitsverpflichtung

(1) Der Auftragnehmer ist bei der Verarbeitung von Daten für den Auftraggeber zur Wah- rung der Vertraulichkeit über Daten, die er im Zusammenhang mit dem Auftrag erhält bzw. zur Kenntnis erlangt, verpflichtet. Der Auftragnehmer verpflichtet sich, die gleichen Geheim- nisschutzregeln zu beachten, wie sie dem Auftraggeber obliegen. Der Auftraggeber ist ver- pflichtet, dem Auftragnehmer etwaige besondere Geheimnisschutzregeln mitzuteilen.

(2) Der Auftragnehmer verpflichtet sich, alle Informationen, die er im Zusammenhang mit der Durchführung dieser Vereinbarung und des Hauptvertrages erhält, zeitlich unbegrenzt vertraulich zu behandeln und nur zur Durchführung dieser Vereinbarung und des Haupt- vertrages zu verwenden. Keine Partei ist berechtigt, diese Informationen ganz oder teil- weise für andere als die vorgenannten Zwecke zu verwenden oder Dritten zugänglich zu machen. Insbesondere dürfen alle sicherheitsrelevanten Informationen der Polizei NRW (u.a. auch Standortinformationen, Server-/Domainnamen, Benutzernamen, IP-Adressen etc.) nicht nach außen gelangen. Als „vertraulich“ im Sinne dieses Absatzes gelten unab- hängig von ihrer Eigenschaft als Geschäftsgeheimnis im Sinne des § 2 Nr. 1 GeschGehG und unabhängig davon, ob sie als „vertraulich“ gekennzeichnet sind oder nicht, alle Infor- mationen und Daten in schriftlicher oder mündlicher Form, die nicht allgemein bekannt sind, wie z.B. alle finanziellen, technischen, wirtschaftlichen, rechtlichen, personalbezogenen und sonstigen Informationen, die die Polizei NRW betreffen und die dem Auftragnehmer ab dem Datum dieser Vereinbarung und des Hauptvertrages vom Auftraggeber direkt oder indirekt zugänglich gemacht werden oder ihm sonst bekannt werden. Als vertrauliche Infor- mationen gelten auch alle davon angefertigten Kopien und Zusammenfassungen. Dies gilt auch dann, wenn die vertraulichen Informationen von Dritten stammen und dem

[Seite 14]

Auftragnehmer vom Auftraggeber zur Verfügung gestellt werden. Unerheblich ist auch, ob Unterlagen oder sonstige Datenträger vom Auftraggeber oder vom Auftragnehmer oder von Dritten erstellt werden, soweit sie Vertrauliche Informationen enthalten, wiedergeben oder sich auf solche beziehen. Vertrauliche Informationen im Sinne dieser Klausel sind auch die Tatsache, dass dem Auftragnehmer Vertrauliche Informationen zur Kenntnis gebracht wur- den, sowie das Bestehen und der Inhalt dieser Vereinbarung und des Hauptvertrages. Eine Information gilt nicht als vertraulich, wenn sie zum Zeitpunkt der Kenntnisnahme durch den Auftragnehmer bereits öffentlich bekannt war oder danach öffentlich bekannt wird, ohne dass der Auftragnehmer gegen diese Vereinbarung verstoßen hat. Die Beweislast hierfür trägt der Auftragnehmer.

(3) Der Auftragnehmer verpflichtet sich, alle im Rahmen der Zusammenarbeit und Bespre- chungen direkt oder indirekt erlangten vertraulichen Informationen im Sinne von Ziffer 10 Abs. 2 dieser Vereinbarung geheim zu halten, d.h. weder direkt noch indirekt, ganz oder teilweise - auch in veränderter oder verarbeiteter Form - in irgendeiner Weise Dritten zu- gänglich zu machen, bzw. nur seinen Mitarbeitern bzw. Mitarbeitern seiner mit ihm im Sinne der §§ 15 ff. AktG verbundenen Unternehmen oder für den Auftragnehmer tätigen Beratern zugänglich zu machen, die diese für den vorgesehenen Zweck benötigen und die zu einer dieser Vereinbarung entsprechenden Geheimhaltung verpflichtet sind.

(4) Der Auftragnehmer sichert zu, dass ihm die jeweils geltenden datenschutzrechtlichen Bestimmungen bekannt sind und er mit deren Anwendung vertraut ist. Der Auftragnehmer sichert weiter zu, dass er bei der Durchführung der Arbeiten nur Mitarbeiterinnen und Mit- arbeiter einsetzt, die entsprechend den Anforderungen ihrer Tätigkeit nach dem SÜG si- cherheitsüberprüft sind und die er darüber hinaus vor Aufnahme ihrer Tätigkeit mit den für sie maßgeblichen Vorschriften des Datenschutzes vertraut gemacht und über die Weisun- gen des Auftraggebers unterrichtet hat. Darüber hinaus sind die Mitarbeiterinnen und Mit- arbeiter für die Dauer ihrer Tätigkeit sowie für die Zeit nach Beendigung des Arbeitsverhält- nisses in geeigneter Weise zur Verschwiegenheit zu verpflichten, soweit sie nicht bereits einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen. Der Auftragneh- mer sichert insbesondere zu, dass er auch seine Mitarbeiter mit den landesrechtlichen Bestimmungen (Nordrhein-Westfalen) zum Datenschutz vertraut gemacht und auf das Da- tengeheimnis verpflichtet hat. Die Verpflichtung der Mitarbeiter ist dem Auftraggeber auf Verlangen nachzuweisen.

(5) Der Auftragnehmer versichert, dass ihm die jeweils geltenden datenschutzrechtlichen Bestimmungen bekannt sind. Bevor der Auftragnehmer vertrauliche Informationen an ein verbundenes Unternehmen oder eine Beratungsgesellschaft weitergibt, stellt er sicher, dass auch mit dem verbundenen Unternehmen oder der Beratungsgesellschaft eine schrift- liche Vereinbarung besteht, die dieses zur Einhaltung der Bestimmungen dieser Vereinba- rung über vertrauliche Informationen verpflichtet. Der Auftraggeber ist berechtigt, sich diese Verpflichtungserklärung auf Verlangen vorlegen zu lassen. Die Parteien sind sich darüber einig, dass ein Verstoß eines eigenen Mitarbeiters, eines Mitarbeiters eines verbundenen Unternehmens, eines Beraters oder eines Beraters eines verbundenen Unternehmens ei- ner Vertragsverletzung des Auftragnehmers gleichsteht.

[Seite 15]

(6) Der Auftragnehmer verpflichtet sich, die erhaltenen Informationen ausschließlich zu dem vereinbarten Zweck zu verwenden. Eine darüberhinausgehende Verwendung oder Weitergabe an Dritte bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers.

(7) Die Parteien dieser Vereinbarung sind sich darüber einig, dass der Kreis der Empfänger so klein wie möglich zu halten ist (es gilt der datenschutzrechtliche Grundsatz der Daten- sparsamkeit: „Kenntnis nur, wenn nötig“) und keine bzw. so wenig Kopien wie möglich von den übermittelten Unterlagen angefertigt werden.

(8) Der Auftragnehmer verpflichtet sich zur Einhaltung der in Ziffer 10 Abs. 1 geregelten Verpflichtung, die neben den sonstigen Bestimmungen dieses Vertrages insbesondere um- fasst,

a) die Vertraulichen Informationen, soweit sie in elektronischer Form vorliegen, durch den Stand der Technik entsprechende elektronische Sicherheitsmaßnahmen (Firewalls, Passwortschutz, Verschlüsselung mobiler Datenträger etc.) vor unbefugtem Zugriff zu schützen;

b) die Vertraulichen Informationen, soweit sie in körperlicher Form vorliegen (Ausdrucke, Pläne, Skizzen, Besprechungsprotokolle, Darstellungen auf Flipcharts), jederzeit durch physische Maßnahmen (Verwendung von Tresoren, abschließbaren Aktenschränken oder Räumen etc.) vor unbefugtem Zugriff zu schützen;

c) die Verletzung von Geheimhaltungspflichten aus dieser Vereinbarung, einen festge- stellten Verlust oder unbefugten Abfluss von Vertraulichen Informationen an Unbefugte und/oder erfolgreiche externe Angriffe auf elektronische Datenverarbeitungssysteme, in denen Vertrauliche Informationen gespeichert sind, unverzüglich dem Verantwortlichen schriftlich mitzuteilen und diese Vorfälle mit allen zumutbaren Mitteln aufzuklären, diese Vorfälle mit allen zumutbaren Mitteln aufzuklären, den Aufenthaltsort der Vertraulichen Informationen bei Unbefugten ausfindig zu machen, rechtliche Schritte gegen diese un- befugten Inhaber der Vertraulichen Informationen unter Einschaltung spezialisierter An- wälte einzuleiten und den Verantwortlichen regelmäßig über den Fortgang dieser Maß- nahmen sowie über etwaige Erkenntnisse zur Identität der Unbefugten zu unterrichten;

d) alle sonstigen zumutbaren Maßnahmen zu ergreifen, um die Offenlegung der Ver- traulichen Informationen gegenüber unbefugten Dritten zu verhindern und das Geheim- haltungsinteresse der Polizei NRW zu wahren;

e) dass der Auftragnehmer die ihm zur Verfügung gestellten, zugänglich gemachten, übergebenen oder in sonstiger Weise überlassenen Vertraulichen Informationen aus- schließlich zu dem vorgesehenen Zweck verwenden und insbesondere nicht für eigene gewerbliche Zwecke oder für andere Auftraggeber verwenden wird, sofern und soweit nicht nachträglich schriftlich etwas anderes vereinbart wird.

[Seite 16]

Wahrung von Betroffenenrechten

(1) Der Auftraggeber ist für die Wahrung der Betroffenenrechte allein verantwortlich. Der Auftragnehmer ist verpflichtet, den Auftraggeber bei seiner Pflicht, Anträge von Betroffenen zu bearbeiten, zu unterstützten.

(2) Soweit eine Mitwirkung des Auftragnehmers für die Wahrung von Betroffenenrechten - insbesondere auf Auskunft, Berichtigung, Sperrung oder Löschung - durch den Auftragge- ber erforderlich ist, wird der Auftragnehmer die jeweils erforderlichen Maßnahmen nach Weisung des Auftraggebers treffen. Der Auftragnehmer wird den Auftraggeber nach Mög- lichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten nachzukommen.

(3) Regelungen über eine etwaige Vergütung von Mehraufwänden, die durch Mitwirkungs- leistungen im Zusammenhang mit Geltendmachung von Betroffenenrechten gegenüber dem Auftraggeber beim Auftragnehmer entstehen, bleiben unberührt.

Haftung

(1) Für den Ersatz von Schäden, die ein Betroffener wegen einer nach den Datenschutzge- setzen unzulässigen oder unrichtigen Datenverarbeitung oder Nutzung im Rahmen der Auf- tragsverarbeitung erleidet, ist gegenüber dem Betroffenen – im Innenverhältnis zum Auf- tragnehmer – alleine der Auftraggeber verantwortlich. Dies gilt jedoch nicht für den Fall, dass die Aufsichtsbehörde gegenüber dem Auftragnehmer einen Verstoß gegen daten- schutzrechtliche Bestimmungen sanktioniert. Hier ist ein Rückgriff auf den Auftraggeber ausgeschlossen. Der Auftragnehmer haftet für alle Schäden insbesondere Anbieterwech- sel, die dem Auftraggeber aus einer Verletzung der vereinbarten Sicherheitsstandards oder einer unzulässigen Datenverarbeitung entstehen, in voller Höhe.

(2) Die Parteien stellen sich jeweils von der Haftung frei, wenn eine Partei nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden bei einem Betroffenen eingetreten ist, verantwortlich ist.

(3) Für die Einhaltung sämtlicher Pflichten aus diesem Vertrag trägt der Auftragnehmer die volle Darlegungs- und Beweislast. Der Auftraggeber ist nicht verpflichtet, eine Pflichtverlet- zung im Einzelnen nachzuweisen; es genügt, dass er konkrete Anhaltspunkte für eine mög- liche Pflichtverletzung darlegt.

Technische und organisatorische Maßnahmen zur Datensicherheit

(1) Der Auftragnehmer verpflichtet sich gegenüber dem Auftraggeber zur Einhaltung der technischen und organisatorischen Maßnahmen, die zur Einhaltung der anzuwendenden Datenschutzvorschriften erforderlich sind. Dies beinhaltet insbesondere den Stand der Technik und die Empfehlungen, Richtlinien und Standards des BSI.

(2) Als Anlage 3 zu diesem Vertrag ist der zum Zeitpunkt des Vertragsschlusses beste- hende Stand der technischen und organisatorischen Maßnahmen beigefügt. Der Auftrag- nehmer trifft und erhält aufrecht – unbeschadet weitergehender gesetzlicher Pflichten – mindestens die in Anlage 3 zu diesem Vertrag abschließend aufgeführten technischen und

[Seite 17]

organisatorischen Maßnahmen. Diese Aufzählung definiert ein vertraglich geschuldetes Mindestschutzniveau. Ein Unterschreiten dieses Niveaus ist auch dann unzulässig, wenn der Auftragnehmer auf einzelne Maßnahmen verweist, die in ihrer Kombination das gleiche Schutzniveau formal abbilden sollen. Der Auftragnehmer ist verpflichtet, die eingesetzten technischen und organisatorischen Maßnahmen über die gesamte Vertragslaufzeit konti- nuierlich auf dem jeweils aktuellen Stand der Technik zu halten. Die Einhaltung des Stands der Technik ist eine Dauerverpflichtung. Eine einmalige Zertifizierung oder ein Nachweis begründen keine dauerhafte Erfüllungsfiktion. Wesentliche Änderungen, die die Integrität, Vertraulichkeit oder Verfügbarkeit der personenbezogenen Daten beeinträchtigen können, wird der Auftragnehmer im Voraus mit dem Auftraggeber abstimmen. Maßnahmen, die le- diglich geringfügige technische oder organisatorische Änderungen mit sich bringen und die Integrität, Vertraulichkeit und Verfügbarkeit der personenbezogenen Daten nicht negativ beeinträchtigen, kann der Auftragnehmer ohne Abstimmung mit dem Auftraggeber umset- zen. Der Auftraggeber kann jederzeit eine aktuelle Fassung der vom Auftragnehmer ge- troffenen technischen und organisatorischen Maßnahmen anfordern.

(3) Der Auftragnehmer wird die von ihm getroffenen technischen und organisatorischen Maßnahmen regelmäßig und auch anlassbezogen auf ihre Wirksamkeit kontrollieren und an datenschutzgerechte Neuerungen sowie ein ggf. gesteigertes Sicherheitsniveau anpas- sen. Der Auftragnehmer beobachtet laufend die technische Entwicklung sowie Verände- rungen der Bedrohungslage. Ergibt sich aus neuen Erkenntnissen, Normenänderungen, behördlichen Leitlinien oder Sicherheitsvorfällen ein Fortentwicklungsbedarf, ist der Auf- tragnehmer verpflichtet, die betroffenen Maßnahmen unverzüglich anzupassen. Für den Fall, dass Optimierungs- und/oder Änderungsbedarf besteht, wird der Auftragnehmer den Auftraggeber informieren. Maßnahmen, deren Wirksamkeit in der Fachwelt nicht mehr an- erkannt ist, sich am Ende ihres Produktlebenszyklus (End of Life) befinden oder vom Her- steller nicht mehr mit Sicherheits-Updates versorgt werden, entsprechen nicht dem Stand der Technik und dürfen nicht eingesetzt werden.

(4) Der Auftragnehmer dokumentiert die Methode, mit der er den Stand der Technik seiner eingesetzten Maßnahmen bewertet und mit am Markt verfügbaren Alternativen vergleicht. Diese Dokumentation ist dem Auftraggeber auf Anforderung unverzüglich vorzulegen.

Dauer des Auftrages

Die Laufzeit dieser Vereinbarung richtet sich grundsätzlich nach der Laufzeit des Hauptver- trages. Der Auftraggeber kann den Hauptvertrag und diese Vereinbarung jederzeit fristlos kündigen, wenn der Auftragnehmer oder Unterauftragnehmer erheblich gegen geltendes Datenschutzrecht oder gegen Pflichten aus dieser Vereinbarung verstößt, wenn der Auf- tragnehmer eine datenschutzrechtliche Weisung des Auftraggebers nicht ausführen kann oder will oder wenn der Auftragnehmer dem Auftraggeber oder der zuständigen Aufsichts- behörde vertragswidrig den Zutritt verweigert oder seine Mitwirkungspflichten verletzt.

[Seite 18]

Beendigung

(1) Nach Beendigung des Vertrages hat der Auftragnehmer sämtliche in seinen Besitz ge- langten Unterlagen, Daten und erstellten Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, nach Wahl des Auftraggebers an die- sen zurückzugeben oder zu löschen. Die Löschung ist in geeigneter Weise zu dokumentie- ren. Diese Dokumentationen sind dem Auftraggeber auf Anfrage vorzulegen und drei Jahre durch den Auftragnehmer aufzubewahren. Etwaige gesetzliche Aufbewahrungspflichten oder sonstige Pflichten zur Speicherung der Daten bleiben unberührt.

(2) Der Auftraggeber hat das Recht, die vollständige und vertragsgemäße Rückgabe und Löschung der Daten beim Auftragnehmer zu kontrollieren. Dies kann auch durch eine In- augenscheinnahme der Datenverarbeitungsanlagen in der Betriebsstätte des Auftragneh- mers erfolgen. Die Vor-Ort-Kontrolle soll mit angemessener Frist durch den Auftraggeber angekündigt werden.

(3) Im Falle des Verlustes, der Rücknahme oder der Nichtverlängerung eines der in Ziffer 4 Nr. 10 genannten Zertifikate ist der Auftraggeber berechtigt, eine angemessene Nachbes- serungsfrist zu setzen. Wird das Zertifikat innerhalb dieser Frist nicht wieder beschafft, ist der Auftraggeber berechtigt, den Hauptvertrag und diese Vereinbarung aus wichtigem Grund außerordentlich zu kündigen.

Zurückbehaltungsrecht

Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer im Sinne des § 273 BGB hinsichtlich der verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen wird.

[Seite 19]

Schlussbestimmungen

(1) Sollte das Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unver- züglich zu informieren. Der Auftragnehmer wird die Gläubiger über die Tatsache, dass es sich um Daten handelt, die im Auftrag verarbeitet werden, unverzüglich informieren.

(2) Für Nebenabreden ist die Schriftform erforderlich.

(3) Sollten einzelne Teile dieses Vertrages unwirksam sein, so berührt dies die Wirksamkeit der übrigen Regelungen des Vertrages nicht (salvatorische Klausel).

(4) Für diese Vereinbarung gilt das Recht der Bundesrepublik Deutschland. Ausschließli- cher Gerichtsstand für Streitigkeiten aus dieser Vereinbarung ist Duisburg.

____________, den ____________ ____________, den ____________

Auftraggeber / Verantwortliche Auftragnehmer / Auftragsverarbeiter

Anlagen

• Anlage 1: Auftragsverarbeitung und Kontaktpersonen • Anlage 2: Unterauftragnehmer • Anlage 3: Technische und organisatorische Maßnahmen des Auftragnehmers • Anlage 4: Verzeichnis von Verarbeitungstätigkeiten des Auftragnehmers

[Seite 20]

Anlage 1: Auftragsverarbeitung und Kontaktpersonen

Durchführung von Tests für polizeiliche IT-Anwendungen insbesondere Akzeptanz- und Barrierefreiheitstests ausschließlich auf der Hardware und den IT-Systemen des Auf- traggebers

(1) Art(en) der personenbezogenen Daten In Abhängigkeit der Nutzung durch den Auftraggeber können im Rahmen der Auftragsverar- beitung insbesondere folgende Kategorien von Auftragsdaten umfasst sein:

	Stammdaten, d.h. personenbezogene Daten, die erforder- lich sind, um die Auftragsverarbeitung durchzuführen und ggf. zu beenden (Na- men, Vorname, Vorgangs-, Mitarbeiter- oder Vertragsnummern, Informationen über Produkte, Behörden- oder Abteilungszuge- hörigkeit, Rechnungsinformationen, Infor- mationen über Kontakthistorie, etc.)		Verkehrsdaten (excl. Standortdaten), d.h. Informationen die bei der Initiie- rung, Aufrechterhaltung und Abwick- lung eines konkreten Kommunikations- vorgangs notwendigerweise anfallen, d.h. z.B. einem Kommunikationsvor- gang zuordenbare Anschlusskennun- gen (A- und B-rufnummer), IP-Adres- sen oder Gerätekennungen (MAC-Ad- resse, IMEI, etc.), Informationen zu Be- ginn und Ende von Kommunikations- vorgängen (etwa in CDRs oder Log-Da- teien)
	Kontaktinformationen, d.h. Postadressen, E-Mail-Adressen, Tele- fonnummer(n), Messenger-IDs, etc.		Endgerätedaten (excl. Standortdaten), d.h. aus Endgeräten, etwa über mobile Apps ausgelesene Informationen (Log- Files, Systemzustände, Nutzereinstel- lungen, etc., Browserinformationen)
	Finanzdaten, d.h. IBAN/BIC, Kreditkarteninformationen		Nutzungsdaten, d.h. Informationen über Art, Umfang, Dauer und Zeitpunkt der Nutzung eines web-basierten Multimedia-Angebots (Webseiten, Videoangebote, etc.)
	Kommunikationsinhalte, d.h. SMS- oder E-Mail-Inhalte, Voice-Mes- sages, Clickstreams, Mediendaten etc.		„User generated content“, Analysebezogene Daten z. B. Verhal- tens- und Bewegungsdaten, Kommuni- kationsdaten (Metadaten), Risikobe- wertungen / Scoring-Ergebnisse, Ver- knüpfte und abgeleitete Daten (Analy- seergebnisse)
	Standortdaten aus Netzwerkkommunika- tion, d.h. Cell-IDs aus Mobilfunkverbindun- gen, GPS-Koordinaten, IP-Lokalisierung, etc.		User-Account-Informationen, d.h. z.B. Benutzername, Passwort, Rechteprofil, etc.

[Seite 21]

Gesundheitsdaten, Biometrische Daten zur eindeutigen Identifizierung, Daten zu straf- rechtlichen Verurteilungen / Straftaten

(2) Kategorien betroffener Person In Abhängigkeit der Nutzung durch den Auftraggeber können im Rahmen der Auftragsverar- beitung insbesondere folgende Kategorien von Betroffenen umfasst sein:

	Bürgerinnen und Bürger (natürliche Perso- nen), deren Daten im Rahmen der Aufga- benerfüllung des Auftraggebers verarbeitet werden, Ggf. betroffene dritte Personen aus verknüpften Datensätzen		Bedienstete der Polizei Nordrhein-West- falen, Bewerber
	Lieferanten bzw. Ansprechpartner bei Liefe- ranten, sonstigen Dienstleistern und Ge- schäftspartnern, Freelancer,		Sonstige Betroffene, z.B. Interessenten (potenzielle Geschäftspartner), Bediens- tete anderer Behörden in Nordrhein- Westfalen, anderen Bundesländern oder des Bundes, sonstige Dritte

(3) Weisungsberechtigte Personen Auftraggebers

Abteilungsleitung 1 Nicole Kaul

Dezernatsleitung 11 Alexander Wawrzynowicz

Teildezernatleitung 11.5 Ramona Becker

(4) Weisungsempfangsberechtigte Personen des Auftragsnehmers

(5) Datenschutzbeauftragte des Auftraggebers

Kira Bastek

Dominik Ma-Tan

E-Mail: datenschutz.lzpd@polizei.nrw.de

(6) Datenschutzbeauftragter des Auftragsverarbeiters

[Seite 22]

Anlage 2: Unterauftragnehmer

Der Auftragnehmer nimmt für die Verarbeitung von Daten im Auftrag des Auftraggebers Leis- tungen von Dritten in Anspruch, die in seinem Auftrag Daten verarbeiten („Unterauftragneh- mer“).

Durchführung von Tests für polizeiliche IT-Anwendungen insbesondere Akzeptanz- und Barrierefreiheitstests ausschließlich auf der Hardware und den IT-Systemen des Auftraggebers

Firma Leistung

[Seite 23]

Anlage 3: Technische und organisatorische Maßnahmen des Auftragnehmers

Der Auftragnehmer trifft nachfolgende technische und organisatorische Maßnahmen zur Da- tensicherheit für den Fall, dass Daten außerhalb der Hardware und den IT-Systemen des Auftraggebers verarbeitet werden.

Informationssicherheitsmanagementsystem (ISMS) Der Auftragnehmer betreibt ein dokumentiertes und zertifiziertes Informationssicherheitsma- nagementsystem (ISMS) gemäß ISO/IEC 27001 oder BSI IT-Grundschutz (Basis- oder Stan- dardabsicherung). Das ISMS umfasst mindestens die folgenden Punkte: (a) eine Informationssicherheitsleitlinie, (b) eine Informationssicherheitsstrategie, (c) ein Inventar der Anwendungen, IT-Systeme und Informationen einschließlich Schutzbe- darfszuordnung, (d) ein Berechtigungsinventar und ein Inventar der Berechtigungssysteme sowie (e) eine aktuelle Standortübersicht des Informationsverbundes.

Das ISMS ist nach einem strukturierten, OSCAL-kompatiblen Modell aufgebaut, das Anforde- rungskataloge, angepasste Anforderungsprofile sowie deren Implementierung und interne wie externe Überprüfung umfasst. Externe Überprüfungen durch Auditoren und Zertifizierungsstel- len sind mindestens alle drei Jahre durchzuführen.

Systemhärtung und Konfigurationsmanagement Alle eingesetzten IT-Systeme und Anwendungen sind durch die konsequente Deaktivierung nicht benötigter Dienste, Ports, Protokolle und Schnittstellen sowie durch sichere Grundkonfi- gurationen und den Einsatz gehärteter Basis-Images zu betreiben. Konfigurationsabweichun- gen von freigegebenen Grundkonfigurationen sind technisch zu verhindern oder unverzüglich zu korrigieren. Der Auftragnehmer führt eine vollständige und lückenlose Konfigurationshisto- rie für alle IT-Systeme und Anwendungen. Aus dieser müssen Konfigurationsänderungen, Freigaben und die jeweils verantwortlichen Personen eindeutig hervorgehen. Die Systeme werden vor Inbetriebnahme und nach jeder Änderung anhand anerkannter Härtungsstandards (CIS Benchmarks, DISA STIGs oder gleichwertige BSI-Empfehlungen) überprüft. Abweichun- gen sind zu dokumentieren und unverzüglich zu beheben.

Verschlüsselung Sämtliche Daten sind bei der Übertragung ausschließlich mit TLS 1.3 oder einer höheren Ver- sion zu verschlüsseln. Ältere Protokollversionen sowie kompromittierte Cipher Suites (RC4, DES, 3DES, MD5, SHA-1 in Zertifikaten) sind ohne Ausnahme zu deaktivieren. Bei der Spei- cherung sind Daten mit mindestens AES-256 oder einem kryptographisch gleichwertigen Ver- fahren zu verschlüsseln. Die Schlüsselverwaltung und -rotation sind in einem Schlüsselver- waltungskonzept zu dokumentieren. Veraltete oder kompromittierte kryptographische Verfah- ren sind unverzüglich außer Betrieb zu nehmen.

[Seite 24]

Zugangs- und Identitätsmanagement Alle Systemzugänge sind durch eine Mehr-Faktor-Authentifizierung zu schützen. Ausnahmen sind technisch nicht vorgesehen. Berechtigungen werden ausschließlich nach dem Least-Pri- vilege- und Need-to-Know-Prinzip vergeben, dokumentiert und mindestens vierteljährlich durch den Auftragnehmer überprüft. Nicht genutzte Konten sind spätestens nach 30 Tagen Inaktivität automatisch zu deaktivieren. Privilegierte Konten (Admin-, Service- und Dienstkon- ten) sind von Standard-Nutzerkonten strikt zu trennen und unterliegen einem erhöhten Über- wachungsregime. Persistente privilegierte Zugänge sind technisch zu unterbinden. Privilegier- ter Zugriff erfolgt ausschließlich über gesicherte und protokollierte Sprungsysteme (Privileged Access Workstation/Bastion Host).

Protokollierung und Angriffserkennung Der Auftragnehmer betreibt ein Security Information and Event Management (SIEM) sowie Intrusion-Detection-Systeme (IDS) und/oder Intrusion-Prevention-Systeme (IPS). Protokollda- ten sind manipulationssicher, vollständig und für mindestens zwölf Monate aufzubewahren. Sicherheitsrelevante Ereignisse lösen automatisierte Alarmierungen aus. Die Protokollierung erstreckt sich mindestens auf:

Authentifizierungsereignisse,
Berechtigungsänderungen,
administrative Aktionen,
Systemstarts und -abstürze,
Datenzugriffe auf klassifizierte Bestände,
Netzwerkanomalien. Der Auftragnehmer hält ein Detektionskonzept vor, das die strategische und technische Vor- gehensweise zur Erkennung von Sicherheitsvorfällen und verdächtigen Ereignissen umfas- send festlegt und das regelmäßig aktualisiert wird.

Schwachstellen- und Patchmanagement Der Auftragnehmer betreibt ein strukturiertes Schwachstellenmanagementsystem. Dieses wertet kontinuierlich einschlägige Quellen (CVE, NVD, Hersteller-Advisories, CERT-Bund) aus, priorisiert Schwachstellen nach deren Kritikalität und erzwingt deren Behebung innerhalb definierter Fristen. Identifizierte Schwachstellen sind in einem zentralen Schwachstellenregis- ter zu erfassen und nach CVSS-Score zu priorisieren. Für die Behebung gelten folgende Ma- ximalfristen: (a) CVSS ≥ 9,0 (kritisch): Mitigationsmaßnahme binnen 24 Stunden, vollständige Behebung binnen 72 Stunden, (b) CVSS 7,0–8,9 (hoch): vollständige Behebung binnen 72 Stunden, (c) CVSS 4,0–6,9 (mittel): vollständige Behebung binnen 14 Kalendertagen, (d) CVSS < 4,0 (niedrig): vollständige Behebung binnen 30 Kalendertagen. Kann eine dieser Fris- ten nicht eingehalten werden, ist der Auftraggeber unverzüglich zu informieren und ein kom- pensatorischer Mitigationsplan vorzulegen. Das zentrale Schwachstellenverzeichnis umfasst Schwachstellen aus der Entwicklung, dem laufenden Betrieb sowie aus Penetrationstests. Es ist dem Auftraggeber auf Verlangen innerhalb von 48 Stunden vorzulegen.

[Seite 25]

Backup, Business Continuity und Disaster Recovery Der Auftragnehmer betreibt ein dokumentiertes Datensicherungskonzept mit definierten RTO (Recovery Time Objective) und RPO (Recovery Point Objective). Die Sicherungen sind zu verschlüsseln und georedundant zu speichern. Mindestens eine Sicherungskopie ist offline vorzuhalten. Wiederherstellungstests sind mindestens vierteljährlich vollständig durchzufüh- ren und zu protokollieren. Der Auftragnehmer hält ein Notfallhandbuch vor und weist dessen Aktualität durch einen dokumentierten Prüfplan nach. Notfallübungen sind mindestens einmal jährlich durchzuführen und die Ergebnisse sind dem Auftraggeber binnen 14 Tagen nach Durchführung zu übermitteln.

Netzwerksegmentierung Netze sind nach Schutzbedarfsstufen zu segmentieren und durch dedizierte Firewall-Systeme zu trennen. Verbindungen zwischen Netzwerksegmenten verschiedener Schutzstufen sind auf das betrieblich zwingend erforderliche Minimum zu beschränken und vollständig zu protokol- lieren. Für alle von außen erreichbaren Dienste sind demilitarisierte Zonen (DMZ) zwingend vorzusehen. Direkte Netzübergänge zwischen Systemen des Auftraggebers und dem Internet ohne dedizierte Filterung sind verboten.

Änderungs- und Freigabeverfahren Alle sicherheitsrelevanten Änderungen an Systemen, Konfigurationen oder Anwendungen müssen einem kontrollierten Änderungsverfahren (Change Management) unterzogen werden. Dieses umfasst Freigabepläne und Ergebnisprotokolle. Ungeplante Notfalländerungen müs- sen innerhalb von 24 Stunden nachträglich dokumentiert und genehmigt werden.

[Seite 26]

Anlage 4: Verzeichnis von Verarbeitungstätigkeiten (VVT) des Auftragsnehmers

Angaben zum Auftragnehmer

Angaben zum Vertreter des Auftragnehmers

Angaben zur Person der/des Datenschutzbeauftragten

Verantwortlicher (Auftraggeber) Landesamt für Zentrale Polizeiliche Dienste NRW Schifferstraße 10 47059 Duisburg

Kategorien von Verarbeitungen im Auftrag Durchführung von Tests für polizeiliche IT-Anwendungen insbesondere Akzeptanz- und Barri- erefreiheitstests ausschließlich auf der Hardware und den IT-Systemen des Auftraggebers

Übermittlungen an ein Drittland / eine internationale Organisation Datenübermittlung findet nicht statt und ist auch nicht geplant Datenübermittlung findet wie folgt statt:

Nennung der konkreten Datenempfänger

Dokumentation geeigneter Garantien: Abschluss der Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer der Europäischen Kommission sowie Durchführung eines Transfer Impact Asses- sments (TIA)

[Seite 27]

Technische und organisatorische Maßnahmen (TOM) Eine Auflistung der TOMs ist in Anlage 3 des Vertrags zu finden. Der Auftragnehmer trifft nachfolgende weitere TOMs zur Gewährleistung der Datensi- cherheit gemäß den Bestimmungen. Durchführung von Tests für polizeiliche IT-Anwendungen insbesondere Akzeptanz- und Barri- erefreiheitstests ausschließlich auf der Hardware und den IT-Systemen des Auftraggebers

………………………………………. ……………………… ……………………………………….

Auftragnehmer Datum Unterschrift

1002005885_Los 3_AVV Vertrag.pdf