[Seite 1]
Anlage Datenschutz- und Sicherheitskonzept
(1) Um die technisch-organisatorischen Maßnahmen (TOM’s) gem. Art. 32 Abs. 1 i.V.m. Art. 28 DSGVO bestimmen zu können, erfolgte eine Risikoanalyse: Bei den in Frage kommenden personenbezogenen daten handelt es sich weit überwiegend um Sozialdaten gem. § 35 Abs. 1 SGB I, personenbezogene daten nach dem 3. Teil BDSG sowie um Beschäftigtendaten. Hierbei werden regelmäßig im Rahmen der Poststellenarbeit Namen, Vornamen, Adressen sowie Kunden- und/oder Bedarfsgemeinschaftsnummern durch die Beschäftigten des Auftragsverarbeiters verarbeitet.
(2) Als Nachweis für die Erfüllung der Anforderungen aus Art. 32 Abs. 1 DSGVO werden die folgenden technischen-organisatorischen Maßnahmen bestimmt:
| I. Vertraulichkeit (Art. 32 Abs. 1 lit. b) DSGVO) | |||||
|---|---|---|---|---|---|
| lfd. | Maßnahme | Umsetzung der Maßnahme | |||
| Nr. | |||||
| 1 | Sicherstellung der Vertraulichkeit | Die in § 13 des Vertrages niedergeschriebenen zwingenden Verpflichtungen sind einzuhalten: • datenschutzrechtlichen Bestimmungen, insbesondere die Vorschriften zum Sozialdatenschutz, das Datengeheimnis nach § 53 BDSG sowie die datenschutzrechtlichen Regelungen des Postgesetzes (PostG) und der Postdienste- Datenschutzverordnung (PDSV) • ergänzenden Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO und § 62 BDSG hingewiesen. Jede Verwendung von Daten zu anderen, insbesondere gewerblichen Zwecken oder die Übermittlung an Dritte ist unzulässig. Für die Einhaltung dieser Vorschriften haftet der AN auch für seine Mitarbeiter und Beauftragten (u. a. § 78 SGB X). • Der AN verpflichtet sich, sämtliche durch die ausgeführten Dienstleistungen zur Kenntnis gelangten internen Angelegenheiten, Unterlagen und Informationen sowie sonstige Betriebs- und Geschäftsangelegenheiten des AG auch nach Beendigung des Vertrages vertraulich zu behandeln. Der AN hat geeignete Vorkehrungen zu treffen und steht dafür ein, dass solche Kenntnisse Dritten weder zugänglich gemacht noch sonst wie bekannt werden können. Der AN hat seine Mitarbeiter gemäß Artikel 28 Abs.3 UAbs. 1 Satz 2 b) DSGVO und § 62 Abs 5 S. 2 Nr. 2 BDSG im gleichen Umfang, insbesondere zur Wahrung des Datenschutzes nach der DSGVO, der Wahrung des Sozialgeheimnisses nach § 35 SGB I i.V.m. § 67 Abs. 2 Satz 1 SGB X und § 78 SGB X sowie das Datengeheimnis nach § 53 BDSG zu verpflichten und dies für jeden einzelnen beim AG eingesetzten Mitarbeiter schriftlich dem AG nachzuweisen. Die Verpflichtungserklärung ist mit dem AG abzustimmen. • Es ist dem AN und den von ihm eingesetzten Personen untersagt, Einblick in Schriftstücke, Akten usw. zu nehmen, sofern es nicht zur Ermittlung der Adressaten dient, sowie Kommunikations- und sonstige technische Geräte (z. B. Telefon, Kopiergeräte) zu nutzen, sofern es über den dienstlichen Zweck hinausgeht. |
[Seite 2]
| • Nicht mit der Durchführung der vereinbarten Dienstleistung beauftragte Personen (auch Kinder) dürfen das Dienstgebäude nicht betreten. Das Mitbringen von Tieren ist untersagt. • Der AG, der Bundesbeauftragte und der Landesbeauftragte für den Datenschutz sind berechtigt, die Einhaltung der datenschutzrechtlichen Vorschriften durch den AN zu überwachen. Zu diesem Zweck räumt der AN dem AG gem. Art. 28 Abs. 3 UAbs. 1 lit. c) DSGVO und § 62 Abs. 5 S. 2 Nr. 6 BDSG sowie dem Bundesbeauftragten / Landesbeauftragten für den Datenschutz mit der Unterzeichnung des Angebots das Recht ein, Auskünfte einzuholen, während der Betriebs- oder Geschäftszeiten seine Grundstücke oder Geschäftsräume zu betreten und dort Besichtigungen und Prüfungen vorzunehmen sowie die gespeicherten Daten und Datenverarbeitungsprogramme einzusehen. Gegebenenfalls entstehende Kosten trägt der AN. • Ferner sind Mitarbeiterschulungen der Beschäftigten des Auftragsverarbeiters im Datenschutz vorzusehen, durch den Auftragsverarbeiter, sowie Regelung für Passwort- und Berechtigungsvergabe | ||
|---|---|---|
| 1 | Zutrittskontrolle Unbefugten ist der Zutritt zu Datenverarbeitungs- anlagen, mit denen sach- und personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren. | Nachfolgende Anforderungen zur Umsetzung werden erfüllt: • Verschlossene Türen und Fenster beim Verlassen der Poststelle • Ausweiskontrolle beim Zutritt zum Gebäude • Die Mitarbeiter*innen erhalten einen Büroraumschlüssel, der auch die Postzimmer der Dienstelle schließt. Diese Dienstschlüssel sind sorgfältig aufzubewahren. In den Liegenschaften Kapweg und Seydelstr. ist eine elektronische Schließanlage vorhanden - hier kann bei Verlust eines Schlüssels mittels Sperrung ein unbefugter Gebrauch verhindert werden. Bei Verlust des Dienst- oder Büroschlüssels ist der Auftraggeber unverzüglich zu unterrichten |
| 2 | Zugangskontrolle Es ist zu verhindern, dass Datenverarbeitungssyste- me von Unbefugten genutzt werden können. | Nachfolgende Anforderungen zur Umsetzung werden erfüllt: • Anmeldung besteht aus einer Identifizierung (Benutzerkennung) und einer Authentifizierung (Passwort) der berechtigten Mitarbeiterinnen (keine Systemverwalterprivilegien) • Protokollierung der Zugriffe auf IT-Systeme des Auftraggebers • Einsatz von Gateway- und Firewall-Rechnern durch den Auftraggeber • Durchführung einer Benutzerverwaltung einschließlich dezidierter Rechtezuweisung gem. Rollen- und Rechtekonzept des Auftraggebers. • Identifizierung und Authentifizierung der Mitarbeiterinnen des Auftragnehmers gegenüber der Dienststelle des Jobcenters erfolgt durch einen Lichtbildausweis/Dienstausweis. • Mitarbeiter*innen des Auftragnehmers und Auftragsverarbeiters (=externer Dienstleister) tragen im Dienstgebäude der Jobcenter ein Namensschild mit Firmennamen. |
| Erläuterungen des Auftragnehmers, wenn Maßnahme(n) anderweitig umgesetzt werden: | ||
| 3 | Zugriffskontrolle | Nachfolgende Anforderungen zur Umsetzung werden erfüllt: |
[Seite 3]
Es ist zu gewährleisten, • Die Login-Daten sind geheim zu halten und dürfen zu keiner Zeit an dass die zur Benutzung andere Personen weitergegeben werden eines Verarbeitungs- • Eine Nutzung der IT-Verfahren i.S.v. § 50 Abs. 3 SGB II des systems Berechtigten datenschutzrechtlich verantwortlichen Auftraggebers ist unzulässig. ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass sach- und personenbezogene Daten bei der Verarbeitung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.
| II. Integrität (Art. 32 Abs. 1 lit. b) DSGVO) | ||||
|---|---|---|---|---|
| lfd. | Maßnahme | Umsetzung der Maßnahme | ||
| Nr. | ||||
| 1 | Eingabekontrolle Es ist zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem sach- und personenbezogene Daten in Datenverarbeitungs- systeme eingegeben, verändert oder entfernt worden sind. | Nachfolgende Anforderungen zur Umsetzung werden erfüllt: • Daten dürfen weder verändert noch gespeichert werden. Dies gilt auch für private Geräte (z.B. Handys) des Auftragsverarbeiters und seiner Beschäftigten. | ||
| Erläuterungen des Auftragnehmers, wenn Maßnahme(n) anderweitig umgesetzt werden: |
| III. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b) DSGVO) | ||||
|---|---|---|---|---|
| lfd. | Maßnahme | Umsetzung der Maßnahme | ||
| Nr. | ||||
| 1 | Verfügbarkeitskontrolle Es ist zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. | Nachfolgende Anforderungen zur Umsetzung werden erfüllt: • Die Verfügbarkeitskontrolle wird durch den Auftraggeber gewährleistet |
Stand 24.06.2026