[Seite 1]
Anhang „Technisch-organisatorische Maßnahmen“ zur Vereinbarung über die Auf-
tragsverarbeitung (AVV)
zwischen Deutsche Energie-Agentur GmbH (dena), Chausseestraße 128a, 10115 Berlin
und Dienstleister, Adresse (nachfolgend Auftragsverarbeiter)
§ 1 Technische und organisatorische Sicherheitsmaßnahmen
Die Vertragspartner sind verpflichtet, geeignete technische und organisatorische Maßnahmen so durchzuführen, dass die Verarbeitung der Daten im Einklang mit den gesetzlichen Anforderungen er- folgt und der Schutz der Rechte der betroffenen Person in angemessener Form gewährleistet ist.
§ 2 Innerbetriebliche Organisation des Auftragsverarbeiters
Der Auftragsverarbeiter wird seine innerbehördliche oder innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes nach der DSGVO und dem BDSG gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden Daten oder Datenkategorien geeignet sind.
§ 3 Konkretisierung der Einzelmaßnahmen
(1) Im Einzelnen werden folgende Maßnahmen bestimmt, die der Umsetzung der Vorgaben des Art. 32 DSGVO dienen:
| Nr. | Maßnahme | Umsetzung der Maßnahme | ||||||
|---|---|---|---|---|---|---|---|---|
| 1. | Zutrittskontrolle Unbefugten ist der Zutritt zu Datenverarbei- tungsanlagen, mit denen personenbezogene Daten verarbeitet werden, zu verwehren. | [Ergänzen] z.B. Zutrittskontrollsystem, Ausweisleser, Magnetkarte, Chipkarte, Schlüssel, Schlüssel- vergabe, Werkschutz, Pförtner, Überwachungsein- richtung, Alarmanlage, Türsicherung, | ||||||
| 2. | Zugangskontrolle Es ist zu verhindern, dass Datenverarbei- tungssysteme von Unbefugten genutzt wer- den können. | [Ergänzen] z.B. Technische (Kennwort) und organisa- torische (Benutzerstammsatz) Maßnahmen hin- sichtlich der Benutzeridentifikation und Authentifi- zierung, Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren (Bei- spiele: Kennwortverfahren, Automatisches Sperren, Einrichtung eines Benutzerstammsatzes pro User, Verschlüsselung von Datenträgern) |
1 / 3
[Seite 2]
| 3. | Zugriffskontrolle Es ist zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtig- ten ausschließlich auf die ihrer Zugriffsbe- rechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden kön- nen. | [Ergänzen] z.B. Bedarfsorientierte Aus¬gestaltung des Berechtigungskonzepts und der Zugriffsrechte sowie deren Über¬wachung und Protokollierung, Verwen¬dung von dem Stand der Technik ent- spre¬chenden Verschlüsselungsverfah¬ren (Bei- spiele: differenzierte Berechtigungen wie Profile, Rollen etc. Auswertungen, Kenntnisnahme, Verände- rung, Löschung) |
|---|---|---|
| 4. | Weitergabekontrolle Es ist zu gewährleisten, dass personenbezo- gene Daten bei der elektronischen Übertra- gung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt wer- den können, und dass überprüft und festge- stellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. | [Ergänzung] z.B. Maßnahmen bei Transport, Übertra- gung und Übermittlung oder Speicherung auf Da- tenträger (manuell oder elektronisch) sowie bei der nachträglichen Überprüfung, Verwendung von dem Stand der Technik entsprechenden Verschlüsse- lungsverfahren, elektronische Signatur |
| 5. | Eingabekontrolle Es ist zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Da- tenverarbeitungssysteme eingegeben, verän- dert oder entfernt worden sind. | [Ergänzen] z.B. Nachvollziehbarkeit bzw. Dokumenta- tion der Datenverwaltung gewährleisten, etwa durch Protokollierungs- und Auswertungssysteme |
| 6. | Auftragskontrolle Es ist zu gewährleisten, dass personenbezo- gene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Ver- antwortlichen verarbeitet werden können. | [Ergänzen] Abgrenzen der Kompetenz zwischen Ver- antwortlichem und Auftragsverarbeiter (Beispiel: eindeutige Vertragsgestaltung, Kriterien zur Auswahl des Auftragsverarbeiters, Kontrolle der Vertragsaus- führung) |
| 7. | Verfügbarkeitskontrolle Es ist zu gewährleisten, dass personenbezo- gene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. | [Ergänzen] z.B. Die Daten sind gegen zufällige Zer- störung oder Verlust zu schützen, Maßnahmen zur Datensicherung (Beispiel: Backup-Verfahren, Spie- geln von Festplatten, unterbrechungsfreie Strom- versorgung, Firewall, Notfallplan) |
| 8. | Trennungskontrolle Es ist zu gewährleisten, dass zu unterschiedli- chen Zwecken erhobene Daten getrennt ver- arbeitet werden können. | [Ergänzen] z.B. Daten, die zu unterschiedlichen Zwe- cken erhoben wurden, sind auch getrennt zu verar- beiten, Mandantenfähigkeit, Funktionstrennung zwi- schen Produktion / Test |
2 / 3
[Seite 3]
(2) Es ist ein Verfahren zu etablieren, das eine regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der zum Einsatz kommenden technischen und organisatorischen Maßnahmen durch die Vertragsparteien ermöglicht.
3 / 3