03_10_DVB-Kh Datenschutz und Wahrung von Geschäftsgeheimnissen.pdf

[Seite 1]

DVB-Kh Zusätzliche Vertragsbedingungen zur Einhaltung des Datenschutzes und Wahrung von Geschäftsgeheimnissen Vertragsanlage

Zum Verbleib beim Auftragnehmer/Bieter bestimmt.

Zusätzliche Vertragsbedingungen zur Einhaltung des Datenschutzes und Wahrung von Geschäftsgeheimnissen am Klinikum Nürnberg (DVB-Kh) -Bewerbungs- und Vertrags-Bedingungen - Ausgabe April 2025 -

die unter Berufsgeheimnisse von beim Auftraggeber

1. Rechtsgrundlagen und Vertragsbestandteile tätigen Personen fallen, Stillschweigen zu bewahren, Diese Vertragsbedingungen finden Anwendung auf nicht unbefugt zu offenbaren, diese Daten nicht für an- Verträge zwischen dem Klinikum Nürnberg und den mit dere als vertraglich festgelegte Zwecke zu verwenden diesem verbundenen Unternehmen - im folgenden oder unbeteiligten Dritten weiterzugeben. Auftraggeber genannt - und Unternehmen, Einzelkauf- Als vertrauliche Informationen gelten insbesondere: leuten, freiberuflich tätigen Selbständigen, etc. - im fol- Geschäftsgeheimnisse, Produkte, Herstellungspro- genden Auftragnehmer genannt-, die im Auftrag des zesse, Know-how, Erfindungen, geschäftliche Bezie- Klinikums Nürnberg bzw. den mit diesen verbundenen hungen, Geschäftsstrategien/Strategiepapiere, Busi- Unternehmen freiberufliche Dienst- und Werkvertrags- nesspläne, Finanzplanung, Personalangelegenheiten, leistungen, Leistungen nach der Verordnung über die digital verkörperte Informationen (Daten); Sowie alle Vergabe öffentlicher Aufträge (VgV), Bauleistungen Unterlagen und Informationen des Inhabers, die Ge- nach der Vergabe- und Vertragsordnung für Bauleis- genstand technischer und organisatorischer Geheim- tungen (VOB), oder andere Leistungen oder Lieferun- haltungsmaßnahmen sind und als vertraulich gekenn- gen nach BGB und HGB sowie Vertragsverhandlungen zeichnet oder nach der Art der Information oder den nach der Vergabe- und Vertragsordnung für Leistungen Umständen der Übermittlung als vertraulich anzuse- (VOL) oder Leistungen und Lieferungen nach der Unter- schwellenvergabeordnung (UVgO) erbringen bzw. füh- hen sind; ren. Die Vertragsbedingungen gelten auch für Subun- Der Auftraggeber weist den Auftragnehmer ausdrück- ternehmer und Unternehmen, die im Auftrag des Auf- lich auf die mögliche Strafbarkeit nach §§ 203 Abs. 4, tragnehmers tätig werden. Umfasst der Auftrag Liefe- 204 StGB hin. rung, Wartung, Miete, Leihe Reparatur oder anderwei- Diese Verpflichtung besteht auch über das Ende des tige Betreuung von informationsverarbeitenden Syste- Auftrags fort. men oder med.-techn. Geräten des Auftraggebers, so 2.2 Der Auftragnehmer verpflichtet sich, seine Mitarbeiter, gelten zusätzlich zu Punkt 2 die Ausführungen unter Erfüllungsgehilfen und Unternehmen, die für ihn im Punkt 3. (Datenschutz und -sicherheit bei Wartung und Auftrag tätig sind, auf die Einhaltung der unter Punkt Fernwartung), 4 (Mitwirkungspflichten) und 5 (Leih- 2.1 genannten Pflichten in Textform zu verpflichten. /Mietgeräte). Der Auftragnehmer stellt sicher, dass alle mit der Ver- Rechtsgrundlagen sind: arbeitung von dem Berufsgeheimnis unterliegenden  Die DSGVO, das BayDG, und das Bundesdaten- Daten des Auftraggebers befassten Mitarbeiter und an- schutzgesetz (BDSG) dere für den Auftragnehmer tätigen Personen (z.B.  Artikel 27 des Bayerischen Krankenhausgesetzes Subunternehmer), die damit befasst sind, sich in Text-  weitere einschlägige Bestimmungen aus dem Bür- form dazu verpflichtet haben, die ihnen bei der Aus- gerlichen Gesetzbuch, dem Straf- und dem Urhe- übung oder bei Gelegenheit ihrer Tätigkeit bekannt ge- berrecht wordenen Berufsgeheimnisse nicht unbefugt zu offen- baren und sie über die mögliche Strafbarkeit nach § 203 Abs. 4 StGB belehrt wurden. Der Auftraggeber
2. Verpflichtung zur Verschwiegenheit weist den Auftragnehmer darauf hin, dass sich eine 2.1 Der Auftragnehmer verpflichtet, sich über alle im Rah- mitwirkende Person nach § 203 Abs. 4 S. 2 StGB straf- men seiner Tätigkeit oder bei Gelegenheit der Auf- bar macht, sollte sie sich einer weiteren mitwirkenden tragserfüllung erlangten Kenntnisse von personenbe- Person bedienen, die ihrerseits unbefugt ein fremdes, zogenen Daten des Auftraggebers oder von vertrauli- ihr bei der Ausübung oder bei Gelegenheit ihrer Tätig- chen Informationen des Auftraggebers oder von Daten keit bekannt gewordenes Geheimnis offenbart, und die

Seite 1 / 3

Vorsitzender des Verwaltungsrats: Oberbürgermeister Marcus König | Vorstand: Prof. Dr. Achim Jockwig (Vorsitzender), Tobias Ludwig, Sabine Beßler Kommunalunternehmen – Anstalt des öffentlichen Rechts | Sitz: Nürnberg | Registergericht: Nürnberg, HRA 14190 | Bankverbindung: Sparkasse Nürnberg IBAN: DE18 7605 0101 0001 0009 44, BIC: SSKNDE77XXX

[Seite 2]

DVB-Kh Zusätzliche Vertragsbedingungen zur Einhaltung des Datenschutzes und Wahrung von Geschäftsgeheimnissen Vertragsanlage

mitwirkende Person nicht dafür Sorge getragen hat, senheit im Streitfall von dem zuständigen Gericht über- dass die weitere mitwirkende Person zur Geheimhal- prüft werden kann. Darüber hinaus sehen das Bundes- tung verpflichtet wurde. datenschutzgesetz, das StGB und andere einschlägige Rechtsvorschriften Geld- oder Freiheitsstrafen für die- Der Auftragnehmer hat seine Mitarbeiter, auch für die sen Fall vor. Zeit nach Beendigung dieses Auftrages oder nach Be- endigung der Mitarbeit zu verpflichten. 3.1.7 Der Auftragnehmer hat bei Verdacht eines Daten- schutz-Verstoßes durch einen seiner Mitarbeiter im 3. Datenschutz und -sicherheit bei Wartung und Fern- Rahmen vertraglicher Arbeiten den Auftraggeber un- wartung informationsverarbeitender Systeme, ein- verzüglich zu informieren. schließlich medizinisch-technischer Systeme 3.1.8 Protokollierung 3.1 Wartung Jeder Wartungsvorgang muss schriftlich protokolliert 3.1.1 Der Auftragnehmer verpflichtet sich, im Rahmen von werden und ein Duplikat dieser Aufzeichnungen dem Wartungsarbeiten, den Zugang zu Netzwerken, Com- Auftraggeber ausgehändigt werden. putern, Programmsystemen und zu medizinisch-tech- nischen Geräten ausschließlich zu dem vertraglich fest- Das Protokoll muss enthalten: gelegten Zweck zu verwenden.  Beschreibung der durchgeführten Arbeiten 3.1.2 Der Auftragnehmer muss nachweisen können, wann  Beginn und Ende der Wartungsarbeit (Tag und Uhr- welche seiner Mitarbeiter zur Wartung an Systemen zeit) des Auftraggebers eingesetzt wurden. Soweit das War-  Namentliche Nennung des Wartungspersonals tungspersonal dem Auftraggeber nicht bekannt ist,  Nennung evtl. veränderter Dateien und Programme muss es sich als solches ausweisen können.  Angabe einer Rufnummer, unter der man den Auf- 3.1.3 Der Zugang zu Rechnersystemen des Auftraggebers tragnehmer bei Schwierigkeiten aufgrund der Ände- darf nur unter den Sicherheitsvorkehrungen und -be- rung jederzeit erreichen kann. dingungen des Auftraggebers erfolgen. Insbesondere 3.1.9 Datensicherheit: werden notwendige Benutzerberechtigungen, Pass- Der Auftragnehmer hat dafür zu sorgen, dass bei der worte und Zugriffsrechte ausschließlich vom Auftrag- Ausführung der ihm übertragenen Aufgaben die erfor- geber erteilt. derliche Datensicherheit gewährleistet ist. Unter Da- 3.1.4 Der Auftragnehmer verpflichtet sich, ausschließlich tensicherheit versteht man alle technischen und orga- Personal mit der Wartung zu betrauen, dass gemäß den nisatorischen Maßnahmen zum Schutz von Daten vor Vorgaben in Ziffer 2 verpflichtet wurde. unbefugter Kenntnisnahme, Verfälschung, Zerstörung Diese Verpflichtung auf das Datengeheimnis besteht und unzulässiger Weitergabe. auch nach Beendigung des Auftragsverhältnisses oder 3.1.9.1 Datensicherung vor der Wartung: dem Ausscheiden des Mitarbeiters beim Auftragneh- Der Auftragnehmer hat das zuständige Personal des mer fort. Klinikums darauf hinzuweisen, vor Beginn der War- 3.1.5 Sofern aufgrund des Gegenstandes der Wartungsarbei- tungsarbeiten eine Datensicherung durchzuführen, ten die Kenntnis und Verarbeitung von personenbezo- wenn dies notwendig ist. genen Daten unvermeidbar ist (z.B. durch Zugriff auf 3.1.9.2 Virenprüfung: DV- Systeme, medizintechnische Geräte mit gespei- cherten Patientendaten) ist vor Durchführung der War- Vom Auftragnehmer mitgebrachte Datenträger müs- tungsarbeiten ein Auftragsverarbeitungsvertrag gem. sen frei von Schadsoftware sein, d.h. sie sind vor ihrem Art 28 DSG-VO abzuschließen. Einsatz beim Auftraggeber mit einem Virenschutzpro- gramm aktuellen Stands auf Schadsoftwarefreiheit zu 3.1.6 Bei groben Verstößen gegen das Datengeheimnis prüfen. Ebenso sind Daten und Programme zu prüfen, und/oder die Datensicherheit wird eine verschuldens- bevor sie auf dem Fernleitungsweg zum Auftraggeber unabhängige Vertragsstrafe durch den Auftraggeber an übertragen werden. den Auftragnehmer in angemessener Höhe festgesetzt, wobei der Auftraggeber die Höhe nach billigem Ermes- 3.1.9.3 Softwaretest: sen i.S.v. § 315 BGB bestimmen wird, und die Angemes-

Seite 2 / 3

Vorsitzender des Verwaltungsrats: Oberbürgermeister Marcus König | Vorstand: Prof. Dr. Achim Jockwig (Vorsitzender), Tobias Ludwig, Sabine Beßler Kommunalunternehmen – Anstalt des öffentlichen Rechts | Sitz: Nürnberg | Registergericht: Nürnberg, HRA 14190 | Bankverbindung: Sparkasse Nürnberg IBAN: DE18 7605 0101 0001 0009 44, BIC: SSKNDE77XXX

[Seite 3]

DVB-Kh Zusätzliche Vertragsbedingungen zur Einhaltung des Datenschutzes und Wahrung von Geschäftsgeheimnissen Vertragsanlage

Softwaretests dürfen nur mit Testdaten durchgeführt  Die Mitarbeiter sind entsprechend der in Ziffer 2 ge- werden. Programmänderungen dürfen nur nach gründ- nannten Vorgaben zur Verschwiegenheit zu ver- lichem Test in nichtoperativer Umgebung zum Einsatz pflichten. kommen. Werden Softwaretests nicht beim Auftraggeber selbst 4. Mitwirkungspflichten zur Wahrung und Erfüllung von durchgeführt, sondern auf Anlagen des Auftragneh- Betroffenenrechten nach Art. 12- 23 DSGVO mers, so dürfen keinesfalls Testdaten aus personenbe- Der Auftragnehmer ist verpflichtet, den Auftraggeber zogenen Echtdaten, sondern nur anonyme Beispiel- durch geeignete technische und organisatorische Maß- Testdaten verwendet werden. nahmen dabei zu unterstützen, Anträgen von Betroffe- 3.2 Besondere Anforderungen bei Fernwartung: nen nach Art 12- 23 DSGVO Fernwartung sollte nur dann eingesetzt werden, wenn  auf Auskunft eine Wartung vor Ort aus wirtschaftlichen Gründen  auf Löschen nicht vertretbar ist oder aus anderen zwingenden  auf Information Gründen notwendig ist. Bei der Fernwartung von infor-  auf Sperren mationsverarbeitenden Systemen oder medizinisch-  auf Herausgabe technischen Geräten sind folgende Punkte einzuhalten:  auf Ausübung des Widerspruchsrechts  Sofern aufgrund des Gegenstandes der Fernwar- nachzukommen. tungsarbeiten die Kenntnis und Verarbeitung von personenbezogenen Daten unvermeidbar ist (z.B. durch Zugriff auf DV- Systeme, medizintechnische 5. Leih-/ Mietgeräte Geräte mit gespeicherten Patientendaten) ist vor Vor Rückgabe eines zeitweise überlassenen Geräts an Durchführung der Fernwartung ein Auftragsdaten- den Auftragnehmer sind personenbezogene Daten da- verarbeitungsvertrag gem. Art. 28 DSGVO abzu- tenschutzkonform durch den Auftraggeber zu löschen. schließen. Der Auftragnehmer überprüft unverzüglich, ob eine  Die Fernwartung darf ausschließlich über den offizi- solche Löschung erfolgt ist. Sollte sie unterblieben sein, ellen, gesicherten Fernwartungszugang des Auftrag- verpflichtet sich der Auftragnehmer, die evtl. auf die- gebers erfolgen. Der Zugang wird über die Abteilung sen Geräten gespeicherten personenbezogenen Daten für Informationsverarbeitung oder der Abteilung für unverzüglich und unwiderruflich zu löschen, keine Ko- Technik des Klinikums Nürnberg eingerichtet. pien anzufertigen und dies dem Auftraggeber unaufge-  Der Auftragnehmer hat Maßnahmen gegen eine fordert schriftlich zu bestätigen. missbräuchliche Benutzung der Fernwartungsver- bindung zu treffen.  Die Fernwartungsverbindung muss vom Auftragge- ber jederzeit - in Absprache mit dem Auftragnehmer -unterbrochen werden können.  Die Wartungsvorgänge müssen vom Personal des Auftraggebers synchron mitverfolgt werden kön- nen; wo dies nicht möglich ist, sind alle Wartungs- aktivitäten elektronisch zu protokollieren und dem Auftraggeber zugänglich zu machen, so dass für Zwecke der Datenschutzkontrolle erkennbar ist, auf welche Datensätze zugegriffen wurde.  Der Fernwartungszugang zum freigeschalteten Ziel- rechner darf vom Auftragnehmer nicht dazu be- nutzt werden, unbefugt andere DV-Systeme des Auftraggebers anzusteuern.

Seite 3 / 3

Vorsitzender des Verwaltungsrats: Oberbürgermeister Marcus König | Vorstand: Prof. Dr. Achim Jockwig (Vorsitzender), Tobias Ludwig, Sabine Beßler Kommunalunternehmen – Anstalt des öffentlichen Rechts | Sitz: Nürnberg | Registergericht: Nürnberg, HRA 14190 | Bankverbindung: Sparkasse Nürnberg IBAN: DE18 7605 0101 0001 0009 44, BIC: SSKNDE77XXX