3 Los 1 und 3 Datenschutzvereinbarung.pdf

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge oder Obdachlose

Datenschutzvereinbarung

zur Datenverarbeitung im Auftrag

zwischen

der

Landeshauptstadt Hannover

Fachbereich Gesellschaftliche Teilhabe

Leinstraße 14

30159 Hannover

nachstehend Auftraggeberin / Auftraggeber genannt,

und

_____________________________,

nachstehend Auftragnehmerin / Auftragnehmer genannt.

1

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge oder Obdachlose

Inhaltsverzeichnis

Präambel ............................................................................................................................... 3 § 1 Gegenstand der Vereinbarung ........................................................................................ 3 § 2 Pflichten der Auftraggeberin / des Auftraggebers ............................................................ 4 § 3 Pflichten der Auftragnehmerin / des Auftragnehmers ....................................................... 5 § 4 Kontrollrecht .................................................................................................................... 9 § 5 Subunternehmer .............................................................................................................. 9 § 6 Haftung ...........................................................................................................................10 § 7 Sonstiges .......................................................................................................................10 § 8 Salvatorische Klausel………………………………………………………………………… 11 Anlage 1 zur Datenschutzvereinbarung ................................................................................13 Betroffene Daten ..............................................................................................................13 Anlage 2 zur Datenschutzvereinbarung ................................................................................14 Datensicherheitsmaßnahmen gem. Art. 28 und Art. 32 DSGVO .......................................14

1. Zutrittskontrolle .........................................................................................................14
2. Zugangskontrolle ......................................................................................................14
3. Zugriffskontrolle ........................................................................................................15
4. Weitergabekontrolle ..................................................................................................15
5. Eingabekontrolle .......................................................................................................16
6. Auftragskontrolle .......................................................................................................16
7. Verfügbarkeitskontrolle .............................................................................................17
8. Trennungsgebot........................................................................................................17

2

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose

Präambel

Diese Datenschutzvereinbarung dient der Gewährleistung der Einhaltung der Regeln der Da-

tenschutz-Grundverordnung – im Folgenden DSGVO (Verordnung (EU) 2016/679 des Euro-

päischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei

der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der

Richtlinie 95/46/EG).

Verantwortliche i. S. d. DSGVO dieser Datenschutzvereinbarung ist die Auftraggeberin / der

Auftraggeber, Auftragsverarbeiter ist die Auftragnehmerin / der Auftragnehmer.

Die Vereinbarung findet Anwendung auf alle Tätigkeiten der Auftragnehmerin / des Auftrag-

nehmers im Rahmen des zwischen den Parteien geschlossenen Vertrages sowie die auf des-

sen Grundlage abgeschlossenen Einzelaufträge, bei denen die Auftragnehmerin / der Auftrag-

nehmer bzw. seine Mitarbeiter*innen und / oder Erfüllungsgehilfen mit personenbezogenen

Daten der Auftraggeberin / des Auftraggebers i. S. d. DSGVO in Berührung kommen, so dass

regelmäßig der Tatbestand der Auftragsdatenverarbeitung gemäß Art. 4 Nr. 1 und 2 DSGVO

erfüllt ist.

Die nachfolgende Vereinbarung konkretisiert die sich aus dem Auftragsdatenverarbeitungs-

verhältnis ergebenden datenschutzrechtlichen Pflichten der Auftragnehmerin / des Auftrag-

nehmers.

§ 1 Gegenstand der Vereinbarung

(1) Die Auftraggeberin / der Auftraggeber verarbeitet Daten, soweit dies zur Erfüllung ihrer /

seiner Aufgaben erforderlich ist.

(2) Die Auftragnehmerin / der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag

der Auftraggeberin / des Auftraggebers. Dies umfasst Tätigkeiten, die in dem zwischen den

Parteien geschlossenen Vertrages konkretisiert sind. Die Übersicht der von der Datenverar-

beitung betroffenen Personengruppen, der zugehörigen Datenkategorien und der Datenarten

befindet sich in Anlage 1 dieser Vereinbarung.

3

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose (3) Die Dauer der Datenverarbeitung entspricht der Dauer des zwischen den Parteien ge-

schlossenen Vertrages.

§ 2 Pflichten der Auftraggeberin / des Auftraggebers

(1) Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der

Rechte der betroffenen Personengruppen ist allein die Auftraggeberin / der Auftraggeber ver-

antwortlich.

(2) Die Auftraggeberin / Der Auftraggeber erteilt alle Aufträge oder Teilaufträge schriftlich. Än-

derungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam ab-

zustimmen und schriftlich festzuhalten

(3) Die Auftraggeberin / Der Auftraggeber hat das Recht, in folgendem Umfang Weisungen

über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen:

• Der Umfang schließt alle mit der Erfassung und Verarbeitung von Bewohnerdaten zu-

sammenhängenden Maßnahmen ein.

Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.

Weisungsberechtigte Person der Auftraggeberin / des Auftraggebers sind:

• Landeshauptstadt Hannover, der Fachbereich Gesellschaftliche Teilhabe

Weisungsempfänger bei der Auftragnehmerin / dem Auftragnehmer sind:

• das von dem Betreiber in der Unterkunft eingesetzte Personal

(4) Die Auftraggeberin / Der Auftraggeber ist berechtigt, sich vor Beginn der Datenverarbeitung

und sodann regelmäßig bei der Auftragnehmerin / beim Auftragnehmer von der Einhaltung der

bei getroffenen technischen und organisatorischen Maßnahmen zu überzeugen (s. § 6 dieser

Vereinbarung). Die Auftraggeberin / Der Auftraggeber kann diese Kontrolle auch durch einen

Dritten durchführen lassen.

4

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose (5) Die Auftraggeberin / Der Auftraggeber informiert die Auftragnehmerin / den Auftragnehmer

unverzüglich, wenn Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse

festgestellt werden.

(6) Die Auftraggeberin / Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhält-

nisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen

der Auftragnehmerin / des Auftragnehmers vertraulich zu behandeln.

§ 3 Pflichten der Auftragnehmerin / des Auftragnehmers

(1) Die Auftragnehmerin / der Auftragnehmer verpflichtet sich, die für den Datenschutz und

die Datenverarbeitung geltenden Vorschriften zu beachten und alle erforderlichen Vorkeh-

rungen und Sicherheitsmaßnahmen zu treffen sowie die Einhaltung der datenschutzrechtli-

chen Bestimmungen laufend zu überwachen.

(2) Die Auftragnehmerin / der Auftragnehmer sichert zu, dass er die bei der Durchführung der

Arbeiten beschäftigten Mitarbeiter*innen vor Aufnahme der Tätigkeit mit den für sie maßge-

benden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie

auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwie-

genheit verpflichtet. Die Auftraggeberin / der Auftraggeber kann von der Auftragsnehmerin /

vom Auftragnehmer einen entsprechenden schriftlichen Nachweis verlangen.

(3) Die Auftragsnehmerin / der Auftragnehmer erkennt das Eigentumsrecht der Auftragsgebe-

rin / des Auftraggebers bzw. der Vertragspartner der Auftraggeberin / des Auftraggebers an

den Daten (Datenherrschaft) uneingeschränkt an und wird sich in keinem Fall auf ein Zurück-

behaltungsrecht an diesen Daten berufen.

(4) Eine Erhebung, Verarbeitung oder Nutzung der überlassenen Daten wird die Auftragneh-

merin / der Auftragnehmer ausschließlich im Rahmen des jeweils zwischen den Parteien ge-

schlossenen Vertrages und nach den Weisungen der Auftraggeberin / des Auftraggebers vor-

nehmen. Die Weisungen bedürfen der Schriftform. Eine Erhebung, Verarbeitung oder Nutzung

der Daten zu eigenen Zwecken oder für Zwecke Dritter ist nicht zulässig.

(5) Die Auftragnehmerin / der Auftragnehmer ist nicht berechtigt, Dritten – aber auch den Be-

troffenen selbst – Auskünfte im Hinblick auf personenbezogene Daten zu erteilen. Aus-

kunftsersuchen Betroffener wird die Auftragnehmerin /der Auftragnehmer unverzüglich an die

5

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose Auftraggeberin /den Auftraggeber bzw. die betriebliche Datenschutzbeauftragte / den betrieb-

lichen Datenschutzbeauftragten der Auftraggeberin / des Auftraggebers weiterleiten. Ist die

Auftraggeberin / der Auftraggeber aufgrund geltender Datenschutzgesetze gegenüber einer

Einzelperson verpflichtet, Auskünfte zur Erhebung, Verarbeitung oder Nutzung von Daten die-

ser Person zu geben, wird die Auftragnehmerin / der Auftragnehmer die Auftraggeberin / den

Auftraggeber dabei unterstützen, diese Informationen bereit zu stellen.

(6) Die Auftragnehmerin / der Auftragnehmer wird einen betrieblichen Datenschutzbeauftrag-

ten bestellen, soweit ein solcher noch nicht vorhanden ist und eine gesetzliche Verpflichtung

hierzu aus Art. 37 DSGVO besteht und der Auftraggeberin / dem Auftraggeber die entspre-

chenden Kontaktdaten mitteilen. Der betriebliche Datenschutzbeauftragte wird die in der

DSGVO vorgesehenen Aufgaben wahrnehmen.

(7) Die Auftragnehmerin / der Auftragnehmer unterrichtet die Auftraggeberin / den Auftragge-

ber umgehend bei Störungen des Betriebsablaufes bzw. Verarbeitungsablaufs, Verlust oder

Beschädigung von Datenträgern, bei Verdacht auf Datenschutzverletzungen und anderen Un-

regelmäßigkeiten bei der Verarbeitung und Nutzung der Daten. Ebenso informiert die Auftrag-

nehmerin / der Auftragnehmer die Auftraggeberin / den Auftraggeber unverzüglich, wenn er

der Ansicht ist, dass eine Weisung der Auftraggeberin / des Auftraggebers die DSGVO oder

andere datenschutzrechtliche Vorschriften verletzt.

(8) Die Auftragnehmerin / der Auftragnehmer sichert zu, der Auftraggeberin / dem Auftraggeber

erforderlichenfalls bei ihren Pflichten nach Art. 32 bis 36 DSGVO angemessen zu unterstützen.

Meldungen nach Art. 33 oder 34 DSGVO für die Auftraggeberin / den Auftraggeber darf die

Auftragnehmerin / der Auftragnehmer nur nach vorheriger Weisung durchführen. Des Weiteren

verpflichtet sich die Auftragnehmerin / der Auftragnehmer, die Auftraggeberin / dem Auftrag-

geber innerhalb angemessener Frist sämtliche Informationen im Zusammenhang mit den Vor-

schriften der Art. 28 - 36 DSGVO zukommen zu lassen.

(9) Die Auftragnehmerin / der Auftragnehmer sichert in seinem Verantwortungsbereich die Um-

setzung und Einhaltung der vereinbarten allgemeinen und technischen und organisatorischen

Maßnahmen entsprechend Art. 28 und Art. 32 DSGVO zu. Insbesondere wird die Auftragneh-

merin / der Auftragnehmer ihre / seine innerbetriebliche Organisation so gestalten, dass sie

den besonderen Anforderungen des Datenschutzes gerecht wird. Sie / Er wird technische und

organisatorische Maßnahmen zur angemessenen Sicherung der Daten der Auftraggeberin /

des Auftraggebers vor Missbrauch und Verlust treffen, die den Forderungen der DSGVO ent-

sprechen. Dies beinhaltet insbesondere:

6

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose

1. Mindestens die Schutzziele von Art. 32 Abs. 1 DSGVO wie Vertraulichkeit, Verfügbar-

keit und Integrität der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art,

Umfang, Umstände und Zweck der Verarbeitungen werden berücksichtigt. Dabei wer-

den Zweckbindung, Transparent und Intervenierbarkeit sichergestellt.

2. Die Auftragnehmerin / der Auftragnehmer trägt dafür Sorge, dass die Daten und Da-

tenträger außerhalb der Verarbeitung oder Nutzung bei der Lagerung und beim Trans-

port unter Verschluss gehalten und nach der Verarbeitung oder Nutzung restlos zu-

rückgegeben werden mit der Erklärung, dass sich keine weiteren Kopien bei ihm oder

ggf. bei einem Unterauftragnehmer befinden. Wickelt die Auftragnehmerin / der Auf-

tragnehmer zur gleichen Zeit Aufträge für mehrere Auftraggeber ab, ist er verpflichtet,

für eine ausreichende Trennung bei der Abarbeitung der Aufträge (räumlich, zeitlich,

personell) Sorge zu tragen. Test- und Ausschussmaterial ist datenschutzgerecht zu

vernichten.

3. Die Auftragnehmerin / der Auftragnehmer unterstützt die Auftraggeberin / den Auftrag-

geber mit geeigneten technischen und organisatorischen Maßnahmen dabei, ihrer

Pflicht zur Gewährleistung von Betroffenenrechten nach Kapitel III der DSGVO nach-

zukommen. Insbesondere gewährleistet der die Auftragnehmerin / der Auftragnehmer

Such-, Lösch-, Sperr- und Berichtigungsfunktionen.

4. Sofern Rechner aus den Beständen des Auftragnehmers zum Einsatz kommen, versi-

chert die Auftragnehmerin / der Auftragnehmer, dass diese Rechner mit aktueller Anti-

Virensoftware (einschließlich ständig gepflegter Signaturen) ausgestattet sind. Sind

diese Rechner in das Netzwerk der Auftraggeberin / des Auftraggebers oder in ein

Netzwerk seiner Vertragspartner eingebunden, wird die Auftragnehmerin / der Auftrag-

nehmer nur die von der Auftraggeberin / dem Auftraggeber für ihn freigegebenen Res-

sourcen (Hardware, Software, Server, Plattenbereiche, Daten etc.) benutzen. Die Auf-

tragnehmerin / Der Auftragnehmer wird auf diesen Rechnern auch keinerlei Software

vorhalten, die geeignet ist, das Netzwerk bzw. den Datenverkehr zu scannen.

5. Die Auftragnehmerin / Der Auftragnehmer sichert zu, dass die Verarbeitung personen-

bezogener Daten im Sinne dieser Vereinbarung grundsätzlich in gesicherten Räumen

erfolgt. Die Einbindung von Heimarbeitsplätzen ist nur mit schriftlicher Zustimmung der

Auftraggeberin / des Auftraggebers zulässig. In jedem Fall wird die Auftragnehmerin /

der Auftragnehmer zertifizierte Software zur Verschlüsselung der Daten einsetzen.

7

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose 6. Die der Auftragnehmerin / dem Auftragnehmer überlassenen Daten sind nach entspre-

chender Weisung der Auftraggeberin / des Auftraggebers unverzüglich zu löschen. Die

entsprechenden Datenträger sind an die Auftraggeberin / den Auftraggeber zurückzu-

geben.

7. Die bei der Verarbeitung ggf. entstandenen Zwischen- und Arbeitsdateien etc. wird die

Auftragnehmerin / der Auftragnehmer nach Beendigung des Arbeitsablaufes löschen.

Des Weiteren wird die Auftragnehmerin / der Auftragnehmer die für den Verarbeitungs-

zweck erstellten Programme nach Weisung der Auftraggeberin / des Auftraggebers aus

sämtlichen Programmbibliotheken löschen und sämtliche Unterlagen vernichten.

8. Nach Beendigung seiner Tätigkeit wird die Auftragnehmerin / der Auftragnehmer die

Daten der Auftraggeberin / des Auftraggebers unverzüglich löschen, übergebene Da-

tenträger zurückgeben und das Ergebnis der Datenverarbeitung bzw. deren vertrags-

gemäßen Löschung dem Auftraggeber schriftlich bestätigen.

9. Die Modalitäten des Transports der Datenträger (einschließlich Übergabe und Abho-

lung) oder ggf. einer Datenfernübertragung werden vor Beginn bzw. am Ende der Tä-

tigkeit der Auftragnehmerin / des Auftragnehmers mit der Auftraggeberin / dem Auftrag-

geber abgestimmt und protokolliert.

10. Dies gilt auch für Daten und Dokumentationen aus den Händen von Subunternehmen.

(10) Die Parteien haben die hiernach im Einzelnen zu treffenden Maßnahmen in der Anlage

2 (Datensicherheitsmaßnahmen gem. Art. 28 und Art. 32 DSGVO und Anlage) zu dieser Da-

tenschutzvereinbarung, die Vertragsbestandteil wird, gesondert festgeschrieben.

(11) Die Auftragnehmerin / der Auftragnehmer sichert der Auftraggeberin / dem Auftraggeber

Vertraulichkeit im Hinblick auf die vertragsgegenständlichen personenbezogenen Daten,

aber auch im Hinblick auf interne Abläufe, Verfahren und technische Einrichtungen der Auf-

traggeberin / des Auftraggebers zu. Diese Verpflichtung besteht nach Beendigung des Ver-

trages fort.

(12) Die Auftragnehmerin / der Auftragnehmer versichert, dass sie / er und gegebenenfalls

sämtliche weitere Auftragsverarbeiter, die an der Erbringung der Leistung mitwirken, ihren

Sitz ausschließlich innerhalb der Europäischen Union haben und sämtliche Datenverarbei-

tung innerhalb der Europäischen Union erfolgt.

8

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose

§ 4 Kontrollrecht

(1) Die Auftragnehmerin / Der Auftragnehmer gestattet der / dem betrieblichen Datenschutz-

beauftragten oder einer / einem anderen Beauftragten der Auftraggeberin / des Auftraggebers,

die Einhaltung und Ausführung der Bestimmungen der einschlägigen Datenschutzgesetze, der

Bestimmungen dieser Vereinbarung sowie die Datensicherungsmaßnahmen hinsichtlich der

Verarbeitung der Daten der Auftraggeberin / des Auftraggebers zu kontrollieren und hierzu

auch nach vorheriger Anmeldung und zu den üblichen Geschäftszeiten anlassunabhängige

Datenschutzkontrollen in den Geschäftsräumen der Auftragnehmerin / des Auftragnehmers

durchzuführen.

(2) Die Auftragnehmerin / Der Auftragnehmer verpflichtet sich, der Auftraggeberin / dem Auf-

traggeber auf Anforderung innerhalb einer angemessenen Frist alle Auskünfte zu geben, die

zur Durchführung einer umfassenden Auftragskontrolle erforderlich sind.

§ 5 Subunternehmer

(1) Die Einschaltung von Subunternehmern bzw. die Vergabe von Unteraufträgen ist nur mit

vorheriger schriftlicher Zustimmung des Auftraggebers zulässig. Die Auftragnehmerin / Der

Auftragnehmer hat in diesem Falle die Unterauftragnehmerin / den Unterauftragnehmer und

dessen Aufsichtsbehörde der Auftraggeberin / dem Auftraggeber zu benennen und vertraglich

sicher zu stellen, dass die Bestimmungen dieser Vereinbarung auch gegenüber diesem Sub-

unternehmer bzw. Unterauftragnehmer gelten und der Unterauftrag den Vorschriften der

DSGVO entspricht. Das Datenschutzniveau muss mindestens dem des vorliegenden Vertra-

ges entsprechen. Dies gilt auch für das Kontrollrecht der Auftragnehmerin / des Auftragneh-

mers und/oder der Auftraggeberin / des Auftraggebers im Hinblick auf die Einhaltung der da-

tenschutzrechtlichen Verpflichtungen durch den Subunternehmer bzw. Unterauftragnehmer.

(2) Die Auftragnehmerin / Der Auftragnehmer darf Zugriffsberechtigungen nur an eigene Mit-

arbeiter*innen in dem für ihre jeweilige Aufgabe erforderlichen Umfang vergeben. Ist die

Vergabe von Zugriffsberechtigungen an Mitarbeiter*innen von Subunternehmern bzw. Unter-

auftragnehmern erforderlich, bedarf es der vorherigen schriftlichen Zustimmung der Auftrags-

geberin / des Auftraggebers.

9

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose

§ 6 Haftung

(1) Die Auftragnehmerin / der Auftragnehmer haftet der Auftraggeberin / dem Auftraggeber für

Schäden, die die Auftragnehmerin / der Auftragnehmer, seine Mitarbeiter*innen bzw. die von

ihm mit der Vertragsdurchführung Beauftragten bei der Erbringung der vertraglichen Leistung

schuldhaft verursachen. Die Auftragnehmerin / Der Auftragnehmer stellt die Auftraggeberin /

den Auftraggeber von sämtlichen Kosten und Aufwendungen frei, die der Auftraggeberin / dem

Auftraggeber infolge der Verpflichtung zum Ersatz von Schäden, die ein Betroffener wegen

einer nach der DSGVO oder anderen Vorschriften für den Datenschutz unzulässigen oder un-

richtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, entstehen. Die

Haftung gegenüber den Betroffenen richtet sich nach Art. 82 DSGVO. In diesem Rahmen ver-

einbaren die Parteien, dass die Auftragnehmerin / der Auftragnehmer die Beweislast dafür

trägt, dass ein Schaden nicht Folge eines von ihm zu vertretenden Umstandes ist, soweit die

relevanten Daten von ihm nach den Regelungen dieser Vereinbarung verarbeitet wurden. So-

lange dieser Beweis nicht erbracht wurde, stellt die Auftragnehmerin / der Auftragnehmer die

Auftraggeberin / der Auftraggeber auf erste Anforderung von allen Ansprüchen frei, die im

Zusammenhang mit der Auftragsverarbeitung gegen die Auftraggeberin / den Auftraggeber

erhoben werden. Unter diesen Voraussetzungen ersetzt die Auftragnehmerin / der Auftragge-

ber der Auftraggeberin / dem Auftraggeber ebenfalls sämtliche entstandenen Kosten der

Rechtsverteidigung.

(2) Diese Freistellungsverpflichtung gilt gleichermaßen für materielle als auch immaterielle

Schäden wegen Verletzung des Persönlichkeitsrechts oder anderer Vorschriften für den Da-

tenschutz. Die Freistellungsverpflichtung besteht nicht, soweit der Schaden durch die vertrags-

gemäße Umsetzung der beauftragten Dienstleistung oder einer von der Auftraggeberin / dem

Auftraggeber erteilten Weisung entstanden ist.

§ 7 Sonstiges

(1) Sollten die Daten der Auftraggeberin / des Auftraggebers beim Auftragnehmer durch Pfän-

dung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sons-

tige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat die Auftragsnehmerin / der

Auftragnehmer die Auftraggeberin / den Auftraggeber unverzüglich darüber zu informieren.

10

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose Die Auftragnehmerin / der Auftragnehmer wird alle in diesem Zusammenhang Verantwortli-

chen unverzüglich darüber informieren, dass die Hoheit an den Daten bei der Auftraggeberin

/ beim Auftraggeber liegt.

(2) Diese Datenschutzvereinbarung ist Bestandteil des in der Präambel spezifizierten Vertra-

ges. Sollte diese Datenschutzvereinbarung gegen datenschutzrechtliche Bestimmungen aus

diesem Vertrag verstoßen bzw. den Bestimmungen des Vertrages widersprechen, gelten die

Bestimmungen dieser Datenschutzvereinbarung vorrangig.

(3) Änderungen und Ergänzungen dieser Vereinbarung einschließlich dieser Klausel bedürfen

der Schriftform.

(4) Zusätzlich zu den im Betreiber-/ Bewachungsvertrag geregelten Kündigungsmöglichkeiten

kann die Auftraggeberin / der Auftraggeber den Vertrag jederzeit ohne Einhaltung einer Frist

kündigen, wenn ein nicht nur unerheblicher Verstoß der Auftragnehmerin / dem Auftragnehmer

gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung trotz entspre-

chender Abmahnung nicht abgestellt wird. Ist der Verstoß schwerwiegend und der Auftragge-

berin / dem Auftraggeber das Festhalten an dem Vertrag nicht zumutbar, ist eine vorherige

Abmahnung entbehrlich.

(5) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Hannover, wenn die

Auftragsgeberin / der Auftragnehmer Kauffrau / Kaufmann, juristische Person des öffentli-

chen Rechts oder ein öffentlich-rechtliches Sondervermögen ist.

§ 8 Salvatorische Klausel

Sollten Teile dieser Vereinbarung unwirksam sein oder werden, berührt dies die Wirksamkeit

dieser Vereinbarung im Übrigen oder die Wirksamkeit des zwischen den Parteien geschlos-

senen Vertrages nicht. Die Parteien verpflichten sich im Fall einer Unwirksamkeit dazu, eine

wirksame Regelung zu schließen, die dem Sinn und Zweck der beabsichtigten Regelung ent-

spricht. Dabei Berücksichtigen die Parteien den Geist der DSGVO.

11

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose

Hannover, den __________ ______________, den __________

Landeshauptstadt Hannover Auftragnehmerin / Auftragnehmer

Der Oberbürgermeister

In Vertretung

Firmenstempel und rechtsverbindliche Unterschrift Firmenstempel und rechtsverbindliche Unterschrift

12

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose

Anlage 1 zur Datenschutzvereinbarung

Betroffene Daten

13

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose

Anlage 2 zur Datenschutzvereinbarung

Datensicherheitsmaßnahmen gem. Art. 28 und Art. 32 DSGVO

1. Zutrittskontrolle

Die Auftragnehmerin / Der Auftragnehmer ergreift folgende Maßnahmen (bitte ankreuzen!),

damit Unbefugte keinen Zutritt zu den Datenverarbeitungsanlagen erhalten, mit denen perso-

nenbezogene Daten verarbeitet werden:

Gebäudesicherung (Eingangszone)

Einbruchssicherung (Alarmanlagen, Schranken)

Ausweis- oder Chipkartenleser

Berührungslose Kontrolleinrichtungen (RFID-Chips, Biometrie)

Videotechnik

Personenkontrolle durch Pförtner

Raumsicherung

Feuerfeste Türen

Sicherheitsschlösser

Codierungstastaturen

Ausweis- oder Chipkartenleser

Berührungslose Kontrolleinrichtungen (RFID-Chips, Biometrie)

Sonstiges: <…>

2. Zugangskontrolle

Die Auftragnehmerin / Der Auftragnehmer ergreift folgende Maßnahmen, damit Unbefugte an

der Benutzung der Datenverarbeitungsanlagen und Datenverarbeitungsverfahren gehindert

werden; gemeint ist hiermit im Gegensatz zur Zutrittskontrolle das Eindringen in das EDV-

System selbst seitens unbefugter Personen:

Zugang zum Desktop, Laptop

Benutzerkennung (Passwort)

Chipkarte (PIN oder Passwort)

RFID-Transponder (PIN oder Passwort)

Sicherung der Netze

Firewall

Elektronische Signatur

Virtual Private Network (VPN)

Sonstiges: <…>

14

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose

3. Zugriffskontrolle

Die Auftragnehmerin / Der Auftragnehmer ergreift folgende Maßnahmen, damit die zur Be-

nutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffs-

berechtigung unterliegenden Daten zugreifen können und dass personenbezogene Daten

bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert,

verändert oder entfernt werden können:

Festlegung der Zugriffsberechtigten durch selbsttätige Einrichtungen (z. B. Online-Termi-

nals, angeschlossene PCs)

Festlegung der Befugnis für die Eingabe, Kenntnisnahme, Veränderung und Löschung

von Daten

Legitimation der zugriffsberechtigten Personen (Passwörter, Zugangscodes) und Kon-

trolle des Zugriffs

Teilzugriffsmöglichkeit auf Datenbestände und Funktionen

Gesicherte Nutzung von USB-Schnittstellen

Sorgfältige Aufbewahrung der Datenträger

Datenschutzgerechtes Löschen der Daten

Sonstiges: <…>

4. Weitergabekontrolle

Die Auftragnehmerin / Der Auftragnehmer ergreift folgende Maßnahmen, die sicherstellen,

dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres

Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert

oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welchen

Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen der Datenübertra-

gung vorgesehen ist:

Sicherung der Vertraulichkeit bei der elektronischen Datenübertragung

Verschlüsselung der Daten

VPN

Firewall

ISDN-Wall

Content-Filter für (ein-) und ausgehende Daten

Ordnungsgemäße Fax-Übertragung

Sicherung der Vertraulichkeit beim Datenträgertransport

Verschließbare Transportbehälter

Datenträger- / Festplattenverschlüsselung

15

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose

Kennzeichnung der Datenträger (äußerlich; keine Rückschlüsse auf Inhalt)

Übermittlungskontrolle

Legitimation der Berechtigten (z. B. Datenträgerbegleitschein)

Festlegung der Wege und Verfahren des Transports/der Übermittlung

Erstellung von Übergabeprotokollen/Empfangsbestätigungen

Sicherung automatisierter Abrufverfahren (z.B. schriftliche Dokumentierung wa-

rum und zu welchem Zweck die Daten abrufbereit gehalten werden, etc.)

Sonstiges: <…>

5. Eingabekontrolle

Die Auftragnehmerin / Der Auftragnehmer ergreift folgende Maßnahmen, die gewährleisten,

dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezo-

gene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind:

Erfassungsprotokolle der Eingaben, Veränderungen und Löschungen von Daten

Protokollierung

bei (außergewöhnlichen) Aktivitäten der Betriebssysteme

bei Überwachungseinrichtungen im Internet (Firewall, IDS, Content-Filter)

Regelung der Zugriffsberechtigung

Verwendung von Protokollauswertungstools

Aufbewahrungsfristen für Revision und Nachweiszwecke

Sonstiges: <…>

6. Auftragskontrolle

Die Auftragnehmerin / Der Auftragnehmer ergreift folgende Maßnahmen, die sicherstellen,

dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den

Weisungen des Auftraggebers verarbeitet werden können:

Ordnungsgemäße Auswahl von Subunternehmern und schriftlicher Vertrag gem. Art. 28

DSGVO

Regelung und Überprüfung der technischen und organisatorischen Maßnahmen des Sub-

unternehmers

Sonstiges: <…>

16

Landeshauptstadt Hannover Europaweite Ausschreibung des Betriebs von städtischen Unterkünften für Flüchtlinge und Obdachlose

7. Verfügbarkeitskontrolle

Die Auftragnehmerin / Der Auftragnehmer ergreift folgende Maßnahmen, die gewährleisten,

dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind:

Objektsicherungsmaßnahmen / Katastrophen- oder Notfallplan (z. B. Wasser, Feuer, Ex-

plosion, etc.)

Schwachstellenanalyse (Geländeschutz, Gebäudeschutz, Eindringen in Rechner, Rech-

nernetze)

Sichere Versorgung (z.B. Überspannungsschutz / Unterbrechungsfreie Stromversorgung

(USV) etc.)

Bestandssicherung

regelmäßige Datensicherung, Backup / Restore

Hochverfügbarkeitslösungen (Speichernetzwerke – SAN)

Archivierung / Auslagern von Daten

Software- und Hardwareschutz

Schutz gegen Computerviren und Raubkopien

Aufbewahrung von Daten in Datensicherungsschränken, Tresoren

Sonstiges: <…>

8. Trennungsgebot

Die Auftragnehmerin / Der Auftragnehmer ergreift folgende Maßnahmen, die sicherstellen,

dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können:

Softwareseitiger Ausschluss (Mandantentrennung)

Kennzeichnung der Daten unterschiedlicher Auftraggeber

Dateiseparierung

Datenbankprinzip, Trennung über Zugriffsregelung

Trennung von Test- und Routineprogrammen / Test- und Routinedaten

Sonstiges: <…>

17