[Seite 1]
Anlage 3
Datenschutz und Informationssicherheit
zum Rahmenvertrag vom TT.MM.JJJ
zwischen
Landesbank Hessen-Thüringen Girozentrale
Neue Mainzer Straße 52 -58
60311 Frankfurt
- nachfolgend Helaba oder Auftraggeber genannt -
und
[Adresszeile 1: Vollständige Firmierung des Auftragnehmers]
[Adresszeile 2: Straße des Auftragnehmers]
[Adresszeile 3: PLZ und Stadt des Auftragnehmers]
- nachfolgend [Kürzel des Auftragnehmers] oder Auftragnehmer
genannt -
– zusammen auch „Vertragspartner“, „Vertragsparteien“ oder
„Parteien“ genannt –
Version 0.9
[Seite 2]
Anlage 3 – Datenschutz und Informationssicherheit
INHALTSVERZEICHNIS
1 Datenschutz, Geheimhaltung und Datengeheimnis ................................. 3
2 Sicherheitsanforderungen .......................................................................... 4
3 Schlussbestimmungen ................................................................................ 4
4 Anhänge ....................................................................................................... 5
Seite 2 von 5
[Seite 3]
Anlage 3 – Datenschutz und Informationssicherheit
1 Datenschutz, Geheimhaltung und Datengeheimnis
1.1 Der Auftragnehmer ist verpflichtet, sämtliche ihm im Zusammenhang mit diesem Vertrag zugänglich werdenden Informationen unbefristet geheim zu halten, insbesondere soweit diese dem Bankgeheimnis oder dem Datengeheimnis nach den geltenden Vorschriften über den Datenschutz unterfallen oder interne Geschäftsabläufe der Helaba betreffen.
Der Auftragnehmer wird seine Mitarbeitenden und Dritte, durch die er ggf. Aufträge ausführen lässt, vor Aufnahme der Tätigkeit schriftlich zur Geheimhaltung und zur Wahrung des Datengeheimnisses (Verpflichtung zur Einhaltung der datenschutzrectlichen Anforderungen nach Art. 28 Abs. 3 S. 2 lit. b) DSGVO analog und Art. 5 DSGVO) nach den geltenden Vorschriften über den Datenschutz sowie des Bankgeheimnisses verpflichten unter Verwendung der Vertraulichkeitsvereinbarung (Anhang 1 Vertraulichkeitsvereinbarung für Externe) und auf Aufforderung der Helaba nachweisen. Beauftragte Dritte sind zu verpflichten, ihrerseits ihre Mitarbeitenden durch geeignete Vereinbarungen entsprechend zu verpflichten.
1.2 Insbesondere wird der Auftragnehmer alle in seinen Besitz gelangten Informationen, Dateien und Unterlagen der Helaba sorgfältig verwahren und vor Einsichtnahme Unbefugter schützen sowie alle erforderlichen organisatorischen Maßnahmen treffen, die Daten der Helaba vor unbefugtem Zugang zu schützen. Er wird die Unterlagen, die Informationen im Sinne des 1.1 enthalten, sowie Vervielfältigungen irgendwelcher Art hiervon an die Helaba herausgeben, sobald er diese zur Erfüllung seiner vertraglichen Pflichten nicht mehr benötigt. Ein Zurückbehaltungsrecht, gleich aus welchem Rechtsgrund, kann insoweit nicht geltend gemacht werden.
1.3 Der Auftragnehmer hat durch besondere technische, personelle und organisatorische Maßnahmen sicherzustellen, dass im Fall der Erbringung von Leistungen für mehrere Auftraggeber die Vertraulichkeit der Daten zwischen den verschiedenen Auftraggebern gewahrt bleibt.
1.4 Der Standort, an dem die Leistung vom Auftragnehmer erbracht und/ oder kritische Daten gespeichert und verarbeitet werden, entspricht dem im Rubrum angegebenen Sitz des Auftragnehmers, es sei denn, im Vertrag sind andere Standorte spezifiziert.
Wenn Standorte des Auftragnehmers, einzelne Leistungen oder die gesamte Leistung, welche durch den Auftragnehmer erbracht werden, außerhalb der EU und/oder des EWR verlagert werden sollen, erfordert dies die schriftliche Zustimmung der Helaba.
1.5 Für die Durchführung der vertraglichen Leistungen wird der Auftragnehmer unter anderem die datenschutzrechtlichen Vorgaben beachten, insbesondere die Bestimmungen der Datenschutz-Grundverordnung, des Bundesdatenschutzgesetzes und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes und Daten der Helaba ausschließlich nach Maßgabe der gesetzlichen Regelungen zum Datenschutz und in dem zur Erfüllung der vertraglichen Leistungen nötigen Umfangs offenlegen („Need-to-Know“-Prinzip).
Seite 3 von 5
[Seite 4]
Anlage 3 – Datenschutz und Informationssicherheit
1.6 Sollte ein Auftragsverarbeitungsverhältnis vorliegen, schließen die Parteien einen Auftragsverarbeitungsvertrag ab (Anhang 2 Auftragsverarbeitungsvertrag, ff.). Sind beide Parteien gemeinsame Verantwortliche gemäß Art. 26 DSGVO, so schließen die Parteien zur Regelung des Leistungsverhältnisses in Entsprechung und in Erfüllung der gesetzlichen Verpflichtungen gemäß Art. 26 DSGVO eine Vereinbarung gemäß Art. 26 Abs. 1 S. 1 Datenschutz-Grundverordnung (DSGVO) ab.
2 Sicherheitsanforderungen
2.1 Der Auftragnehmer stellt durch eine geeignete Aufbau- und Ablauforganisation sicher, dass die Daten der Helaba gegen unbefugte oder zufällige Vernichtung, zufälligen Verlust, technische Fehler, Fälschung, Diebstahl, widerrechtliche Verwendung, unbefugtes Ändern, Kopieren, Zugreifen und andere unbefugte Bearbeitungen geschützt sind. Es stellt ferner entsprechend sicher, dass sicherheitsrelevante Vorfälle umgehend erkannt, bearbeitet und geeignete Gegenmaßnahmen getroffen werden können.
2.2 Der Auftragnehmer wird die Helaba unverzüglich über jeden sicherheitsrelevanten Vorfall unterrichten. Sicherheitsrelevanter Vorfall ist jeder eingetretene oder drohende Verstoß gegen vertragliche oder gesetzliche Sicherheitsanforderungen sowie alle Vorfälle, Ereignisse oder Umstände, die wesentliche Auswirkungen auf die Sicherheit, Integrität, oder Kontinuität der Leistungen und/oder die Sicherheit von Daten oder sonstiger Informationen hat oder haben könnte. Hierzu zählen beispielsweise ein Befall von IT-Systemen mit Schadsoftware, ein gezielter Angriff auf die IT des Auftragnehmers, eine Datenpanne oder Manipulationen an Informationen und/oder IT-Systemen zu Betrugszwecken.
2.3 Die Helaba ist berechtigt, die Einhaltung der Pflichten dieser Vorschrift zu prüfen. Dabei kann sie im Zusammenhang mit den vertraglichen Leistungen insbesondere Auskünfte anfordern, Einsicht in die Geschäftsunterlagen nehmen, Geschäftsräume betreten und sich Zugang zu Daten und Datenbanken verschaffen.
2.4 Weitergehende Anforderungen an die Informationssicherheit, werden in Anhang 3 Informationssicherheit vereinbart.
3 Schlussbestimmungen
3.1 Im Falle eines Widerspruchs zwischen den Regelungen dieser Anlage und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien bestehen oder später eingegangen oder geschlossen werden, haben diese Regelungen der Anlage nebst Anhängen Vorrang und bleiben insoweit gültig, bis diese durch gesonderte Vereinbarung unter ausdrücklicher Bezugnahme auf diese Anlage aufgehoben werden.
3.2 Die Anhänge sind Teil der Anlage. Bei etwaigen Widersprüchen gehen die Regelungen der Anhänge der allgemeineren Regelung in der Anlage vor. Wird im Folgenden oder in den Anhängen auf diese Anlage Bezug genommen, so ist diese Anlage mit allen ihren Teilen gemeint.
Seite 4 von 5
[Seite 5]
Anlage 3 – Datenschutz und Informationssicherheit
3.3 Mündliche Nebenabreden wurden nicht getroffen. Änderungen und Ergänzungen dieser Anlage bedürfen zu ihrer Wirksamkeit der Textform und der ausdrücklichen Bezugnahme auf die Anlage. Abweichende mündliche Abreden der Parteien sind unwirksam. Dies gilt auch für Änderungen dieser Klausel.
3.4 Sollte auch nur eine Bestimmung dieser Vereinbarung ganz oder teilweise rechtsunwirksam oder nichtig sein oder werden, bleibt diese Anlage im Übrigen gleichwohl aufrechterhalten und gültig. Anstelle der rechtsunwirksamen oder nichtigen Bestimmung gilt das Gesetz, sofern die hierdurch entstandene Lücke nicht durch ergänzende Vertragsauslegung gemäß §§ 133, 157 BGB geschlossen werden kann. Beide Parteien sind jedoch insoweit verpflichtet, unverzüglich eine rechtswirksame und datenschutzkonforme Vertragsergänzung abzustimmen und zu erstellen.
3.5 Es gilt deutsches Recht. Von dieser Anlage wurde eine unverbindliche Übersetzung ins Englische angefertigt. In Zweifelsfällen ist allein die deutsche verbindliche Fassung maßgebend.
4 Anhänge
Weitere Vertragsbestandteile sind:
• Anhang 1 Vertraulichkeitsvereinbarung für Externe • Anhang 2 Auftragsvereinbarungsvertrag AVV Anhang 2.1 AVA Formblatt Anhang 2.2 AVA Kommunikation Anhang 2.3 AVA TOM • Anhang 3 Informationssicherheit Anhang 3.1 Anforderungskatalog Anhang 3.2 Hinweise zum Ausfüllen des Anhangs 3.1
Seite 5 von 5