[Seite 1]
Anlage 10
Hessisches Polizeipräsidium Einsatz
Sensible Informationen für sonstige
Beschaffungen und
Verpflichtungsgesetz
[Seite 2]
Anlage Datenschutz und Informationssicherheit
1 Inhalt
1 Vorbemerkung ............................................................................................................ 3
2 Datenschutz, Informationssicherheit ........................................................................... 4
3 Dienst- und Geschäftsgeheimnis, Verpflichtung .......................................................... 5
3.1 Dienst- und Geschäftsgeheimnis: ............................................................................... 5
3.2 Verpflichtung gemäß Verpflichtungsgesetz ................................................................. 6
3.3 Rückgabe von Unterlagen .......................................................................................... 7
4 Sicherheits- bzw. Zuverlässigkeitsüberprüfungen und deren Folgen ........................... 8
4.1 Sicherheitsüberprüfung (SÜ)....................................................................................... 8
5 Haftung, Vertragsauflösung aus Verstößen gegen Geheimhaltungsvorschriften ....... .9
2 von 10
[Seite 3]
Anlage sensible Informationen
1 Vorbemerkung
Dieses Dokument gilt für alle im Zusammenhang mit der fachtechnischen Beratung im Bereich Polizeihubschrauber mit Missionsaussstattung stehenden Beschaffungen des Hessisches Polizeipräsidiums Einsatz.
Bei der Auftragsausführung durch den Auftragnehmer sind die Vorschriften zum Datenschutz, der Informationssicherheit, des Dienst- und Geschäftsgeheimnisses sowie wo zutreffend des Geheimschutzes zu beachten. Insbesondere:
- Hessisches Sicherheitsüberprüfungs- und Verschlusssachengesetz (HSÜVG)
- Verschlusssachenanweisung des Landes Hessen (VSA)
- Strafgesetzbuch (StGB) ins. §§ 203, 353 b
- Geschäftsgeheimnisgesetz (GeschGehG)
Die in diesem Dokument verwendeten Begriffe werden vorrangig durch die gesetzli- chen Datenschutzvorschriften und den sich daraus ableitenden Rechtsfolgen be- stimmt.
Sofern im nachfolgenden Text die männliche Form einer personenbezogenen Be- zeichnung gewählt ist, bezieht diese selbstverständlich die weibliche Form mit ein. Auf die Verwendung beider Geschlechtsformen wird lediglich mit Blick auf die bes- sere Lesbarkeit des Textes verzichtet.
3 von 10
[Seite 4]
Anlage sensible Informationen
2 Datenschutz, Informationssicherheit
Der Auftragnehmer darf personenbezogene Daten von Beschäftigten des Auftragge- bers bzw. anderen vom Auftraggeber benannten Leistungsempfängern oder sonstige dem Datenschutz unterliegenden Daten des Auftraggebers nur zum Zwecke der Ver- tragserfüllung oder vorvertraglicher Maßnahmen, Erfüllung rechtlicher Verpflichtun- gen, zum Schutz lebenswichtiger Interessen oder der Wahrnehmung von Ansprü- chen verarbeiten. Eine Verarbeitung im Rahmen des berechtigten Interesses ist ausgeschlossen.
Der Auftragnehmer stimmt der Verarbeitung seiner sowie der personenbezogenen Daten seiner Beschäftigten bzw. Mitarbeitenden gemäß der Datenschutzinformation für Beschaffungen des Auftraggebers in ihrer jeweils aktuellen Fassung zu. Der Auf- tragnehmer versichert, diese Zustimmung auch bei seinen Beschäftigten bzw. Mitar- beitenden eingeholt zu haben.
Der Auftragnehmer hat die für seine Datenverarbeitungen gesetzlich notwendigen Dokumente, ergänzt um ein Benutzer- und Rechtekonzept sowie ein Löschkonzept zu erstellen.
Für Informations- und Telekommunikations-Systeme bzw. Datenverarbeitungssys- teme mit normalem Schutzbedarf sind Sicherheitsmaßnahmen - ausgehend von den Grundschutz-Standards und Grundschutzkatalogen des BSI sowie von den internati- onalen Normen DIN ISO / IEC 27001ff - vorzusehen und umzusetzen.
Für Bereiche, in denen ein höherer Schutzbedarf festgestellt wird, müssen ergän- zende Sicherheitsmaßnahmen gemäß den genannten Vorschriften eingeführt und dokumentiert werden.
Entsprechende Dokumente zu allen o. g. Punkte sind dem Auftraggeber auf Verlan- gen vorzulegen.
4 von 10
[Seite 5]
Anlage sensible Informationen
3 Dienst- und Geschäftsgeheimnis, Verpflichtung
3.1 Dienst- und Geschäftsgeheimnis:
Der Auftragnehmer wird im Zusammenhang mit der Durchführung dieses Vertrages erlangte Kenntnisse sowie diesen Vertrag unbefristet als Dienst- bzw. Geschäftsge- heimnis behandeln, insbesondere nicht an unbefugte Dritte weitergeben, aufzeich- nen oder in sonstiger Weise verwenden, soweit dies nicht für die Erbringung der ver- tragsgegenständlichen Lieferungen und sonstigen Leistungen oder einer gesetzli- chen Verpflichtung erforderlich ist.
Dies betrifft neben den Voraussetzungen des § 353b Abs. 1 StGB Unterlagen, die sich als Geschäftsgeheimnisse gemäß § 2 GeschGehG qualifizieren, insbesondere Unterlagen zu Produkten, Herstellungsprozessen, Know-how, Erfindungen, geschäft- liche Beziehungen, Geschäftsstrategien, Businesspläne, Finanzplanung, Personalan- gelegenheiten, sowie jegliche Unterlagen und Informationen, die Gegenstand techni- scher und organisatorischer Geheimhaltungsmaßnahmen sind oder als vertraulich gekennzeichnet oder nach der Art der Information oder den Umständen der Übermitt- lung als vertraulich anzusehen sind.
Der Auftragnehmer verpflichtet sich, alle ihm seitens des Auftraggebers überlasse- nen Geschäfts- und Betriebsunterlagen o. ä. einschließlich Vervielfältigungen ord- nungsgemäß aufzubewahren, insbesondere sicherzustellen, dass Dritten keine Ein- sichtnahme möglich wird, soweit dem keine gesetzliche Verpflichtung entgegensteht, und nur zur Auftragsabwicklung zu verwenden.
Eine Weitergabe von Informationen, Unterlagen oder Materialien an Beschäftigte bzw. sonstige Mitarbeitende ist dem Auftragnehmer nur in dem Umfang gestattet, in dem dies zur Auftragsdurchführung unabdingbar ist, wobei er mit den Mitarbeitenden schriftlich die hier vereinbarten Verpflichtungen entsprechend durchzuführen und dies dem Auftraggeber unaufgefordert nachzuweisen hat.
Dar Auftragnehmer verpflichtet sich, ihm im Rahmen der Auftragsdurchführung zur Kenntnis gelangte Informationen Dritter, die dem Aufraggeber überlassen wurden, als Geschäftsgeheimnis des Dritten zu behandeln und nur mit Genehmigung des Dritten zu verwenden. Dies betrifft vor Allem Unterlagen die sich als Geschäftsgeheimnisse gemäß § 2 GeschGehG qualifizieren, insbesondere den in Abs. 2 genannten.
5 von 10
[Seite 6]
Anlage sensible Informationen
Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlang- ten Kenntnisse von Geschäftsgeheimnissen des Auftragnehmers als solche zu be- handeln soweit dem keine gesetzliche Verpflichtung entgegensteht. Im Übrigen bleibt der Erfahrungsaustausch zwischen den öffentlichen Auftraggebern unberührt.
Die Geheimhaltungspflicht gilt nicht für die Informationen,
- die der Öffentlichkeit vor der Mitteilung oder Übergabe durch den Inhaber be- kannt oder allgemein zugänglich waren oder dies zu einem späteren Zeitpunkt ohne Verstoß gegen eine Geheimhaltungspflicht werden,
- die dem Empfänger bereits vor der Offenlegung durch den Inhaber und ohne Verstoß gegen eine Geheimhaltungspflicht nachweislich bekannt waren,
- die von dem Empfänger ohne Nutzung oder Bezugnahme auf vertrauliche In- formationen von dem Inhaber selber gewonnen wurden, oder
- die der Empfänger von einem berechtigten Dritten ohne Verstoß gegen eine Geheimhaltungspflicht übergeben oder zugänglich gemacht werden.
Die Nennung dieses Auftrags als Referenz des Auftragnehmers bedarf der vorheri- gen schriftlichen Zustimmung des Auftraggebers.
Der Auftragnehmer wird den Auftraggeber über geplante Veröffentlichungen, die die Vertragsgegenstände betreffen, rechtzeitig und umfassend informieren sowie um Ge- nehmigung ersuchen, um die Wahrung der rechtlichen Interessen zu gewährleisten. Eine Veröffentlichung durch den Auftragnehmer bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers.
Diese Regelungen bleiben auch nach Beendigung dieses Vertrages bestehen.
Darüber hinaus können auf Verlangen der Vertragsparteien gesonderte Sicherheits- vereinbarungen getroffen werden.
3.2 Verpflichtung gemäß Verpflichtungsgesetz
Die vom Auftragnehmer und von Unterauftragnehmern beim Auftraggeber eingesetz- ten Personen müssen durch den Auftraggeber gemäß dem Verpflichtungsgesetz vom 02.03.1974 (BGBl. I S. 547) in der jeweils aktuellen Fassung mit der Vorlage des Auftraggebers verpflichtet werden und eine entsprechende Erklärung unter- schreiben
6 von 10
[Seite 7]
Anlage sensible Informationen
Diese verpflichtet auf Erfüllung der Obliegenheiten gemäß den folgenden Vorschrif- ten des Strafgesetzbuches:
§ 133 Abs. 3 (Verwahrungsbruch) § 201 Abs. 3 (Verletzung der Vertraulichkeit des Wortes) § 203 Abs. 2, 2a, 4, 5 (Verletzung von Privatgeheimnissen) §§ 331, 332 (Vorteilsannahme und Bestechlichkeit) § 353b (Verletzung des Amtsgeheimnisses) § 358 (Nebenfolgen) § 97 Abs. 2 i.V.m. §§ 94 bis 97 (Verrat in irriger Annahme eines illegalen Geheim- nisses) § 120 Abs. 2 (Gefangenenbefreiung) § 355 (Verletzung des Steuergeheimnisses)
Die Verpflichtung ist Voraussetzung für die Aufnahme der Tätigkeit.
3.3 Rückgabe von Unterlagen
Die zur Verfügung gestellten Unterlagen einschließlich Vervielfältigungen sind wäh- rend der Dauer des Vertragsverhältnisses auf Anforderung des Auftraggebers und nach dessen Beendigung unverzüglich ohne Anforderung des Auftraggebers an die- sen zurückzugeben. Ausgenommen von der Rückgabepflicht sind solche Unterlagen, die der Auftragneh- mer nach gesetzlichen Aufbewahrungsbestimmungen vorzuhalten verpflichtet ist.
7 von 10
[Seite 8]
Anlage sensible Informationen
4 Sicherheits- bzw. Zuverlässigkeitsüberprüfungen und deren
Folgen
Eine mögliche Verschlusssacheneinstufung erfolgt durch den Auftraggeber grund- sätzlich vor Vertragsabschluss.
4.1 Sicherheitsüberprüfung (SÜ)
Derzeit ist keine Sicherheitsüberprüfung von zur Leistungserbringung vorgesehenen Personen erforderlich. Soweit dies während der Vertragslaufzeit erforderlich werden sollte, wird der Auftragnehmer hierüber informiert und die betroffenen Personen wer- den durch den Auftragnehmer – unabhängig davon, ob es sich um eigenes Personal des Auftragnehmers oder um solches von ihm eingesetzter Unterauftragnehmer, so- weit ein Unterauftragnehmereinsatz nach den übrigen Bestimmungen dieses Vertra- ges zulässig ist, handelt – einer Sicherheitsüberprüfung nach dem Hessischen Si- cherheitsüberprüfungs- und Verschlusssachengesetz (HSÜVG) unterzogen. Grund- sätzlich ist eine erweiterte Sicherheitsüberprüfung Ü2 nach § 8 HSÜVG durchzufüh- ren. Alternativ kann eine gültige Bescheinigung im nationalen Besuchskontrollverfah- ren (SiBe-Bescheinigung) über eine erfolgte Sicherheitsüberprüfung gleicher oder höherer Art für die betroffenen Personen vorgelegt werden.
Der Auftragnehmer teilt dem vertraglichen Ansprechpartner und dem Geheimschutz-beauftragten des Auftraggebers unverzüglich alle Änderungen im von der Überprüfung betroffenen Personalbestand mit. Hierzu zählt insbesondere, wenn neue Personen hinzukommen, wenn Personen für den Auftragnehmer keine Aufgaben mehr wahrnehmen, für die eine Überprüfung erforderlich ist, diese Personen nicht mehr für den Auftraggeber tätig sind oder bei Namensänderungen eingesetzter Personen.
8 von 10
[Seite 9]
Anlage sensible Informationen
5 Haftung, Vertragsauflösung aus Verstößen gegen Geheimhal-
tungsvorschriften, Vertragsstrafe
Der Auftragnehmer haftet uneingeschränkt für seine Verstöße und die seiner Erfül- lungsgehilfen gegen die Datenschutz-, Informationssicherheits- und sonstigen Ge- heimhaltungsvorschriften. Die Haftung richtet sich nach den gesetzlichen Vorgaben.
Der Auftragnehmer stellt den Auftraggeber von allen Ansprüchen Dritter frei, die diese gegen den Auftraggeber aufgrund einer Verletzung dieser Vereinbarung durch den Auftragnehmer oder einen Unterauftragnehmer geltend machen.
Darüber hinaus ist der Auftraggeber bei Nichterfüllung der genannten Pflichten be- rechtigt, eine angemessene Frist zur Nachbesserung zu setzen.
Der Auftraggeber kann den Vertrag fristlos kündigen, wenn der Auftragnehmer bzw. Unterauftragnehmer innerhalb der gesetzten angemessenen Frist nicht nachbessert oder von dem Auftragnehmer oder einem Unterauftragnehmer Datenschutz-, Sicher- heits- oder Geheimhaltungsvorschriften oder diesbezügliche Vereinbarungen vor- sätzlich oder grob fahrlässig verletzt werden.
Für jeden Fall eines schuldhaften Verstoßes gegen die Verpflichtungen aus den vor- stehenden Absätzen verpflichtet sich der Auftragnehmer zur Zahlung einer Vertrags- strafe in Höhe von 10.000,- EUR. Die Summe der Vertragsstrafen pro Jahr ist auf 10% des jährlichen Vertragswertes begrenzt.
Die Möglichkeit zur Geltendmachung eines weitergehenden Schadenersatzes bleibt unberührt. Gezahlte Vertragsstrafen werden auf den Schadenersatzanspruch ange- rechnet.
Der Auftragnehmer und seine Unterauftragnehmer haben Anspruch auf anteilige Ver- gütung der bis zum Rücktritt geleisteten nachgewiesenen und dem Auftraggeber zur Verfügung gestellten Lieferungen oder Leistungen, soweit der Auftraggeber für sie Verwendung hat. Nicht verwendbare Lieferungen oder Leistungen werden an den Auftragnehmer zu- rückgegeben. Schadensersatzansprüche des Auftraggebers bleiben hiervon unberührt.
9 von 10