[Seite 1]
Datenschutz
Der Auftragnehmer hat bei der Leistungserbringung die Bestimmungen der
Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes
(BDSG), des Datenschutzgesetzes Nordrhein-Westfalen (DSG NRW), des
Sicherheitsüberprüfungsgesetzes Nordrhein-Westfalen (SÜG NRW) sowie der für
den Auftraggeber geltenden Vorschriften zum Geheimschutz und zur
Informationssicherheit in der jeweils geltenden Fassung einzuhalten.
Der Auftragnehmer hat die Anforderungen während der gesamten Vertragslaufzeit
in der jeweils geltenden Fassung einzuhalten. Der Auftragnehmer muss bei der
Erbringung der vertraglichen Leistungen die Grundsätze des Art. 5 DS-GVO
einhalten, soweit er personenbezogene Daten verarbeitet. Dies umfasst
insbesondere die Grundsätze der Rechtmäßigkeit, der Zweckbindung, der
Datenminimierung, der Richtigkeit, der Speicherbegrenzung sowie der Integrität
und Vertraulichkeit.
Soweit der Auftragnehmer personenbezogene Daten für die Zwecke und nach den
Vorgaben des Auftraggebers verarbeitet, liegt eine Verarbeitung im Auftrag vor. In
diesem Fall darf die Verarbeitung erst nach Abschluss einer gesonderten
Vereinbarung zur Auftragsverarbeitung aufgenommen werden. Der
Auftragnehmer darf personenbezogene Daten ausschließlich auf dokumentierte
Weisung des Auftraggebers verarbeiten. Ist der Auftragnehmer der Auffassung,
dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den
Auftraggeber unverzüglich darauf hinzuweisen. Er darf die betreffende Weisung
bis zur Bestätigung oder Änderung durch den Auftraggeber aussetzen. Eine
gesetzliche Verpflichtung des Auftragnehmers zur Verarbeitung bleibt unberührt.
Der Auftragnehmer hat den Auftraggeber vor einer solchen Verarbeitung über die
gesetzliche Verpflichtung zu informieren, soweit ihm dies rechtlich nicht untersagt
ist.
Der Auftragnehmer darf personenbezogene Daten und sonstige Informationen des
Auftraggebers nicht für eigene Zwecke verarbeiten.
Unzulässig sind insbesondere:
a) die Verwendung zur Entwicklung oder Verbesserung eigener Produkte und
Dienstleistungen,
b) die Verwendung für eigene Auswertungen oder Statistiken,
[Seite 2]
c) die Verwendung für Werbe- oder Vertriebszwecke,
d) die Verwendung zur Entwicklung, zum Training, zur Bewertung oder zur
Verbesserung von Systemen künstlicher Intelligenz,
e) die Weitergabe an Dritte zu eigenen Zwecken,
f) die Verwendung als Referenz-, Demonstrations- oder Schulungsmaterial.
Eine Verarbeitung zu eigenen Zwecken ist nur zulässig, wenn hierfür eine
ausdrückliche vertragliche Regelung und eine eigenständige
datenschutzrechtliche Rechtsgrundlage bestehen.
Der Auftragnehmer muss sämtliche Tätigkeiten, bei denen ein Zugriff auf Daten,
Dokumente, Anwendungen oder sonstige Informationen des Auftraggebers erfolgt
oder erfolgen kann, ausschließlich unter Verwendung der vom Auftraggeber
bereitgestellten, administrierten und freigegebenen IT-Infrastruktur durchführen.
Die Verwendung eigener Endgeräte oder eigener IT-Systeme des Auftragnehmers
ist für diese Tätigkeiten nicht zulässig. Ausnahmen bedürfen der vorherigen
dokumentierten Freigabe des Auftraggebers.
Der Auftragnehmer darf Daten oder Informationen des Auftraggebers nicht auf
eigene Systeme oder Systeme Dritter übertragen, dort speichern oder anderweitig
verarbeiten.
Untersagt sind insbesondere:
a) der Versand an eigene, private oder externe E-Mail-Konten,
b) die Speicherung in eigenen oder nicht freigegebenen Cloud- und Filesharing-
Diensten,
c) die Verwendung privater Messenger- oder Kommunikationsdienste,
d) die Speicherung auf USB-Datenträgern oder sonstigen externen
Speichermedien,
e) die Synchronisierung mit Systemen des Auftragnehmers,
f) das Anfertigen von Fotografien oder Videoaufnahmen von Bildschirminhalten mit
externen Geräten,
g) die Verwendung nicht freigegebener Übersetzungs-, Analyse-, Transkriptions-,
Cloud- oder KI-Dienste,
h) der Ausdruck personenbezogener oder vertraulicher Informationen ohne
vorherige Freigabe.
Zugriffe dürfen ausschließlich über personenbezogene und eindeutig zuordenbare
Benutzerkonten erfolgen. Der Auftragnehmer darf Zugangsdaten nicht
[Seite 3]
weitergeben und keine anderen Personen unter seinem Benutzerkonto arbeiten
lassen. Gemeinsam genutzte Benutzerkonten sind grundsätzlich unzulässig.
Zugriffsberechtigungen sind auf die für die jeweilige Tätigkeit erforderlichen
Systeme, Daten und Zeiträume zu beschränken. Nicht mehr erforderliche
Zugriffsberechtigungen sind unverzüglich zu entziehen.
Fernzugriffe auf die IT-Infrastruktur des Auftraggebers sind nur zulässig, soweit
sie vom Auftraggeber freigegeben wurden und über die vom Auftraggeber
vorgesehenen sicheren Zugangswege erfolgen. Bei einer Nutzung der
bereitgestellten IT-Infrastruktur außerhalb der Diensträume des Auftraggebers
muss der Auftragnehmer insbesondere sicherstellen, dass:
a) das Endgerät jederzeit vor Verlust, Diebstahl und unbefugter Verwendung
geschützt wird,
b) keine unbefugten Personen Bildschirminhalte einsehen können,
c) Gespräche und sonstige Informationen nicht von unbefugten Personen
wahrgenommen werden können,
d) das Endgerät nicht von anderen Personen verwendet wird,
e) keine lokalen Ausdrucke erstellt werden,
f) ausschließlich die vom Auftraggeber freigegebenen Netzwerkverbindungen
verwendet werden.
Personenbezogene Daten dürfen nur verarbeitet werden, soweit dies für die
konkrete Leistung erforderlich ist. Entwicklungs-, Schulungs-, Demonstrations-,
Prüf-, Zertifizierungs- und Testleistungen sind grundsätzlich ohne
personenbezogene Echtdaten durchzuführen.
Vorrangig sind:
a) synthetische Daten,
b) wirksam anonymisierte Daten oder
c) speziell für die jeweilige Tätigkeit bereitgestellte Testdaten
zu verwenden.
Personenbezogene Echt-, Produktiv-, Protokoll- oder Diagnosedaten dürfen nur
verarbeitet werden, wenn:
a) deren Verwendung für die konkrete Tätigkeit nachweislich erforderlich ist,
b) die Verwendung zuvor durch den Auftraggeber freigegeben wurde,
c) Umfang, Zweck und Dauer der Verarbeitung dokumentiert wurden,
d) die erforderlichen technischen und organisatorischen Schutzmaßnahmen
[Seite 4]
umgesetzt wurden.
Pseudonymisierte Daten gelten weiterhin als personenbezogene Daten.
Soweit Angaben über Behinderungen, gesundheitliche Einschränkungen,
benötigte Hilfsmittel oder sonstige besondere Kategorien personenbezogener
Daten verarbeitet werden, ist die Verarbeitung auf das zwingend erforderliche
Mindestmaß zu beschränken.
Soweit möglich, sind dem Auftragnehmer lediglich die für die technische oder
organisatorische Leistung erforderlichen funktionalen Anforderungen mitzuteilen.
Diagnosen, ärztliche Unterlagen, Schwerbehindertenausweise oder detaillierte
medizinische Angaben dürfen dem Auftragnehmer nur zur Verfügung gestellt
werden, wenn:
a) die konkrete Leistung ohne diese Angaben nicht erbracht werden kann,
b) die Erforderlichkeit dokumentiert wurde und
c) der Auftraggeber die Verarbeitung zuvor freigegeben hat.
Der Auftragnehmer darf besondere Kategorien personenbezogener Daten nicht in
eigenen Beratungs-, Kunden- oder Kontaktsystemen speichern.
Bei der Prüfung, Wartung, Konfiguration oder Unterstützung automatisierter
Verfahren muss der Auftragnehmer den Zugriff auf personenbezogene Daten auf
das unvermeidbare Maß beschränken.
Der Auftragnehmer darf personenbezogene Daten nur zur Kenntnis nehmen,
soweit dies für die konkrete Tätigkeit unvermeidbar ist.
Unbeabsichtigt zur Kenntnis genommene personenbezogene Daten dürfen nicht:
a) kopiert,
b) dokumentiert,
c) weitergegeben,
d) für andere Tätigkeiten verwendet oder
e) außerhalb der Systeme des Auftraggebers gespeichert
werden.
Der Auftragnehmer hat personenbezogene Daten und Arbeitskopien, die ihm im
Rahmen einer Prüfungs- oder Wartungstätigkeit zugänglich gemacht wurden,
nach Abschluss der Tätigkeit unverzüglich zu löschen, soweit keine Weisung des
Auftraggebers zur weiteren Aufbewahrung besteht.
Prüfberichte, Fehlerbeschreibungen, Konzepte, Handreichungen,
Schulungsunterlagen und sonstige Dokumentationen dürfen grundsätzlich keine
[Seite 5]
personenbezogenen Echt- oder Produktivdaten enthalten.
Screenshots sind grundsätzlich mit synthetischen oder anonymisierten Testdaten
zu erstellen.
Sind auf einem Screenshot personenbezogene Daten erkennbar, müssen diese
vor der Aufnahme in den Prüfbericht vollständig und dauerhaft entfernt,
unkenntlich gemacht oder durch freigegebene Testdaten ersetzt werden.
Die Aufnahme nicht anonymisierter personenbezogener Daten in einen
Prüfbericht ist nur nach vorheriger dokumentierter Freigabe des Auftraggebers
zulässig.
Prüfberichte dürfen keine Informationen enthalten, deren unbefugte Offenlegung:
a) betroffene Personen gefährden,
b) polizeiliche Maßnahmen beeinträchtigen,
c) Sicherheitsmaßnahmen offenlegen oder
d) die Sicherheit von IT-Systemen gefährden
könnte.
Prüfberichte und sonstige Dokumentationen dürfen ausschließlich an den vom
Auftraggeber bestimmten Speicherorten abgelegt werden.
Personenbezogene Daten, vertrauliche Informationen, interne Dokumente,
Screenshots, Quelltexte, Prüfberichte, Verschlusssachen oder Informationen über
die IT-Infrastruktur des Auftraggebers dürfen nicht in nicht ausdrücklich
freigegebene externe Dienste eingegeben werden.
Dies gilt insbesondere für:
a) Systeme künstlicher Intelligenz,
b) Übersetzungsdienste,
c) Transkriptionsdienste,
d) Analyse- und Auswertungssysteme,
e) öffentliche Cloudspeicher,
f) externe Kollaborationsplattformen,
g) öffentlich zugängliche Chatbots.
Der Einsatz eines externen Dienstes bedarf der vorherigen dokumentierten
Freigabe des Auftraggebers.
Der Auftragnehmer muss vor der Freigabe mindestens folgende Angaben zur
Bewertung vorlegen:
a) Anbieter und Bezeichnung des Dienstes,
[Seite 6]
b) konkreter Einsatzzweck,
c) Kategorien der verarbeiteten Daten,
d) Speicher- und Verarbeitungsstandorte,
e) eingesetzte Unterauftragnehmer,
f) Löschfristen,
g) technische und organisatorische Maßnahmen,
h) mögliche Zugriffe aus Drittländern,
i) Informationen darüber, ob Eingaben oder Ausgaben für Trainings-, Analyse-
oder Verbesserungszwecke verwendet werden.
Der Auftragnehmer darf nur fachlich geeignete und zuverlässige Personen
einsetzen. Personen, die Zugang zu personenbezogenen Daten oder
vertraulichen Informationen erhalten können, müssen vor Beginn ihrer Tätigkeit:
a) auf Vertraulichkeit verpflichtet worden sein,
b) über die für ihre Tätigkeit maßgeblichen Datenschutzanforderungen unterrichtet
worden sein,
c) über die geltenden Informationssicherheits- und Geheimschutzanforderungen
unterrichtet worden sein,
d) auf die Folgen unzulässiger Verarbeitungen hingewiesen worden sein.
Die Verpflichtung besteht auch nach Beendigung der Tätigkeit über das Ende des
Vertragsverhältnisses fort.
Der Auftragnehmer muss die Verpflichtung und Unterweisung des eingesetzten
Personals dokumentieren und dem Auftraggeber nachweisen. Der Auftragnehmer
weist die Erfüllung dieser Anforderung durch eine Musterverpflichtungserklärung
sowie eine namentliche Liste der verpflichteten Personen nach. Der Nachweis ist
spätestens vor Leistungsbeginn vorzulegen. Bei Änderungen des eingesetzten
Personals ist der Nachweis unverzüglich zu aktualisieren.
Der Auftragnehmer muss geeignete technische und organisatorische Maßnahmen
treffen, die ein dem Risiko der jeweiligen Verarbeitung angemessenes
Schutzniveau gewährleisten.
Soweit die hierfür erforderlichen Maßnahmen durch die IT-Infrastruktur des
Auftraggebers bereitgestellt werden, hat der Auftragnehmer diese
bestimmungsgemäß zu nutzen und darf sie nicht deaktivieren, verändern oder
umgehen.
[Seite 7]
Der Auftragnehmer muss in seinem Verantwortungsbereich insbesondere
gewährleisten:
a) Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitung,
b) eine aufgabenbezogene und minimale Rechtevergabe,
c) den Schutz von Benutzerkonten und Authentisierungsmitteln,
d) die Nutzung der vorgegebenen Verschlüsselungsmechanismen,
e) den Schutz vor unbefugter Einsichtnahme,
f) die Trennung von Daten unterschiedlicher Auftraggeber, soweit eine solche
Verarbeitung ausnahmsweise zugelassen wird,
g) den Schutz vor Schadsoftware,
h) die sichere Handhabung temporärer Dateien und lokaler Arbeitskopien,
i) die Einhaltung der Sicherheitsvorgaben für Fernzugriffe,
j) die unverzügliche Meldung festgestellter Schwachstellen.
Der Auftragnehmer muss die Wirksamkeit der in seinem Verantwortungsbereich
liegenden Maßnahmen regelmäßig überprüfen.
Unterauftragnehmer, die personenbezogene Daten verarbeiten oder Zugriff auf
personenbezogene Daten oder Systeme des Auftraggebers erhalten können,
dürfen nur nach vorheriger Genehmigung des Auftraggebers eingesetzt werden.
Der Auftragnehmer muss dem Auftraggeber vor dem beabsichtigten Einsatz
mindestens mitteilen:
a) Name und Anschrift des Unterauftragnehmers,
b) Art und Umfang der vorgesehenen Leistungen,
c) Kategorien der betroffenen Daten,
d) vorgesehene Verarbeitungs-, Speicher-, Administrations- und
Supportstandorte,
e) mögliche Drittlandbezüge,
f) vorgesehene technische und organisatorische Maßnahmen.
Der Auftragnehmer muss dem Unterauftragnehmer mindestens dieselben
Datenschutz-, Vertraulichkeits-, Sicherheits-, Lösch-, Informations- und
Kontrollpflichten auferlegen, die für den Auftragnehmer gelten.
Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die
Leistungserbringung des Unterauftragnehmers verantwortlich.
Personenbezogene Daten dürfen grundsätzlich ausschließlich in Deutschland
verarbeitet werden. Eine andere Verarbeitung ist nur nach vorheriger
[Seite 8]
dokumentierter Freigabe des Auftraggebers und bei Vorliegen sämtlicher
gesetzlicher Voraussetzungen zulässig.
Der Auftragnehmer muss den Auftraggeber unverzüglich über behördliche oder
gerichtliche Herausgabe- oder Zugriffsersuchen informieren, soweit ihm dies
rechtlich gestattet ist.
Der Auftragnehmer muss den Auftraggeber unverzüglich, spätestens innerhalb
von zwölf Stunden nach Bekanntwerden, über tatsächliche oder hinreichend
konkret vermutete Datenschutz- oder Informationssicherheitsvorfälle informieren,
die Daten, Benutzerkonten, Endgeräte oder Systeme des Auftraggebers betreffen
können.
Hierzu gehören insbesondere:
a) Verlust oder Diebstahl eines Endgeräts,
b) Verlust oder Offenlegung von Zugangsdaten,
c) unbefugte Zugriffe,
d) Fehlversand oder unzulässige Offenlegung von Daten,
e) Schadsoftwarebefall,
f) unzulässige Speicherung oder Übertragung,
g) Nutzung eines nicht freigegebenen externen Dienstes,
h) Verlust, Veränderung oder Löschung personenbezogener Daten,
i) Sicherheitslücken, die Daten oder Systeme des Auftraggebers betreffen können.
Die erste Meldung muss, soweit zu diesem Zeitpunkt bekannt, mindestens
enthalten:
a) Zeitpunkt und Art des Vorfalls,
b) betroffene Systeme und Dienstleistungen,
c) betroffene Daten- und Personenkategorien,
d) ungefähre Anzahl betroffener Personen und Datensätze,
e) mögliche Auswirkungen,
f) bereits ergriffene oder geplante Eindämmungsmaßnahmen,
g) Kontaktdaten einer verantwortlichen Ansprechperson.
Noch nicht verfügbare Informationen sind unverzüglich nachzureichen.
Der Auftragnehmer muss:
a) alle erforderlichen Informationen, Beweise und Protokolle sichern,
b) den Auftraggeber bei der Bewertung des Vorfalls unterstützen,
c) den Auftraggeber bei gesetzlichen Melde- und Benachrichtigungspflichten
[Seite 9]
unterstützen,
d) Ursachen und Auswirkungen des Vorfalls untersuchen,
e) geeignete Abhilfe- und Präventionsmaßnahmen umsetzen,
f) einen Abschlussbericht vorlegen.
Meldungen an betroffene Personen, Aufsichtsbehörden, Medien oder sonstige
externe Stellen dürfen nur nach Abstimmung mit dem Auftraggeber erfolgen,
soweit keine zwingende gesetzliche Verpflichtung des Auftragnehmers
entgegensteht.
Personenbezogene Daten und sonstige Informationen des Auftraggebers dürfen
nur so lange verarbeitet werden, wie dies zur Erfüllung der konkreten Aufgabe
erforderlich ist.
Nach Abschluss der jeweiligen Tätigkeit muss der Auftragnehmer sämtliche nicht
mehr erforderlichen:
a) lokalen Arbeitskopien,
b) temporären Dateien,
c) Exporte,
d) Screenshots,
e) Testdaten,
f) Notizen,
g) Prüfunterlagen,
h) personenbezogenen Protokolle
nach Weisung des Auftraggebers löschen. Soweit personenbezogene Daten
ausschließlich auf der IT-Infrastruktur des Auftraggebers verarbeitet werden, darf
der Auftragnehmer die durch den Auftraggeber festgelegten Aufbewahrungs- und
Löschregelungen nicht eigenmächtig verändern.
Die Rückgabe bereitgestellter Endgeräte, Unterlagen, Authentisierungsmittel und
sonstiger Arbeitsmittel erfolgt spätestens mit Abschluss der Tätigkeit oder nach
Aufforderung des Auftraggebers.
Vor der Rückgabe darf der Auftragnehmer keine Daten, Protokolle,
Sicherheitseinstellungen oder installierte Software eigenmächtig löschen oder
verändern.
Soweit der Auftragnehmer als Auftragsverarbeiter tätig wird, muss er die für den
Auftraggeber durchgeführten Kategorien von Verarbeitungstätigkeiten in seinem
Verzeichnis nach Art. 30 Abs. 2 DS-GVO dokumentieren und ist bereit eine
[Seite 10]
Vereinbarung zur Auftragsverarbeitung mit dem Auftraggeber zu schließen.
Der Auftraggeber ist bei Verstößen gegen die vorstehenden Anforderungen
berechtigt, insbesondere:
a) die betreffende Tätigkeit vorläufig auszusetzen,
b) Zugriffsberechtigungen zu sperren,
c) die Rückgabe bereitgestellter Geräte zu verlangen,
d) die unverzügliche Löschung unzulässig gespeicherter Daten zu verlangen,
e) den Austausch eingesetzter Personen zu verlangen,
f) zusätzliche Nachweise oder Kontrollen zu verlangen,
g) angemessene Abhilfe- und Sicherungsmaßnahmen zu verlangen.
Schwerwiegende oder wiederholte Verstöße gegen Datenschutz-,
Vertraulichkeits-, Geheimschutz- oder Informationssicherheitsanforderungen
stellen eine wesentliche Vertragspflichtverletzung dar. Weitergehende vertragliche
und gesetzliche Rechte des Auftraggebers bleiben unberührt.
Die Leistungserbringung kann ebenfalls remote erbracht werden, sofern die
Vertragsparteien im Einzelabruf keine anderweitigen Regelungen treffen. Die zur
Leistungserbringung erforderlichen Remote-Zugänge stellt der Auftraggeber zur
Verfügung. Auf Nr. 3.1 und Nr. 4.1.3 des EVB-IT Dienstvertrags wird verwiesen. Das
Arbeitsumfeld besteht grundsätzlich in der Grundausstattung aus einem Polizei
Arbeitsplatz (Notebook/Desktop mit Windows 11, Monitor) und je nach Einsatzbereich
und Bedarf aus diverser weiterer Ausstattung (z. B. Rugged Tabletts,
Videokonferenzsystem, hochsichere Endgeräte). Die Grundausstattung ist mit
Bürokommunikationssoftware versehen (Outlook, Word, Excel, Powerpoint) und
hinzukommen die polizeilichen Anwendungen (z. B. für Datentransfer, verschlüsselte
Kommunikation). Dazu kommen die verfahrensspezifischen Anforderungen.
Grundsätzlich sind polizeiliche Kommunikationsmittel zu nutzen soweit dies nicht
abweichend vom Auftraggeber gewünscht wird.
Von Seiten des Auftragnehmers folgende technische Anforderungen grundsätzlich zu erfüllen:
• Die Mitarbeitenden müssen über geeignete Räumlichkeiten für ein entferntes
Arbeiten (Home Office) oder ein entsprechendes Firmenbüro verfügen. Hierbei
sind die Anforderungen an die Vertraulichkeit der Arbeit zu gewährleisten. Der
Arbeitsbereich darf u. a. nur für den Mitarbeitenden zugängig sein – ansonsten
sind die Geräte zu sperren. Soweit erforderlich sind Maßnahmen zu treffen die
[Seite 11]
ein Abhören oder Einsehen erschweren bzw. verhindern. Öffentliche oder
ungesicherte WLAN-Netze dürfen nicht genutzt werden. Die Nutzung anderer
Geräte oder Cloud-/Speicherdienste ist untersagt. Die Zugangsdaten sind
personenbezogen und dürfen nicht weitergegeben werden. Näheres regelt die
IT-Nutzungsrichtlinie des Auftraggebers. Die Mitarbeitenden sind verpflichtet,
die IT-Nutzungsrichtlinie einzuhalten.
• Es ist vor allem eine breitbandige Anbindung mit hoher Zuverlässigkeit an das
Internet erforderlich; minimal 50 Mbit/s Down- und 10 Mbit/s Upstream je
Mitarbeitenden.
• Die Mitarbeitenden müssen mit einem Gerät für eine mobile Erreichbarkeit
(Handy, Smartphone) ausgestattet sein.