DVB-Kh Datenschutz und Wahrung von Geschäftsgeheimnissen.pdf

[Seite 1]

DVB-Kh Zusätzliche Vertragsbedingungen zur Einhaltung des Datenschutzes und Wahrung von Geschäftsgeheimnissen Vertragsanlage

Zum Verbleib beim Auftragnehmer/Bieter bestimmt.

Zusätzliche Vertragsbedingungen zur Einhaltung des Datenschutzes und Wahrung von Geschäftsgeheimnissen am Klinikum Nürnberg (DVB-Kh)

• Bewerbungs- und Vertrags-Bedingungen - Ausgabe August 2023 -

tätigen Personen fallen, Stillschweigen zu bewahren,

1. Rechtsgrundlagen und Vertragsbestandteile nicht unbefugt zu offenbaren, diese Daten nicht für an- Diese Vertragsbedingungen finden Anwendung auf dere als vertraglich festgelegte Zwecke zu verwenden Verträge zwischen dem Klinikum Nürnberg und den mit oder unbeteiligten Dritten weiterzugeben. diesem verbundenen Unternehmen - im folgenden Als vertrauliche Informationen gelten insbesondere: Auftraggeber genannt - und Unternehmen, Einzelkauf- Geschäftsgeheimnisse, Produkte, Herstellungspro- leuten, freiberuflich tätigen Selbständigen, etc. - im fol- zesse, Know-how, Erfindungen, geschäftliche Bezie- genden Auftragnehmer genannt-, die im Auftrag des hungen, Geschäftsstrategien/Strategiepapiere, Busi- Klinikums Nürnberg bzw. den mit diesen verbundenen nesspläne, Finanzplanung, Personalangelegenheiten, Unternehmen freiberufliche Dienst- und Werkvertrags- digital verkörperte Informationen (Daten); Sowie alle leistungen, Leistungen nach der Verordnung über die Unterlagen und Informationen des Inhabers, die Ge- Vergabe öffentlicher Aufträge (VgV), Bauleistungen genstand technischer und organisatorischer Geheim- nach der Vergabe- und Vertragsordnung für Bauleis- haltungsmaßnahmen sind und als vertraulich gekenn- tungen (VOB), oder andere Leistungen oder Lieferun- zeichnet oder nach der Art der Information oder den gen nach BGB und HGB sowie Vertragsverhandlungen Umständen der Übermittlung als vertraulich anzuse- nach der Vergabe- und Vertragsordnung für Leistungen hen sind; (VOL) oder Leistungen und Lieferungen nach der Unter- schwellenvergabeordnung (UVgO) erbringen bzw. füh- Der Auftraggeber weist den Auftragnehmer ausdrück- ren. Die Vertragsbedingungen gelten auch für Subun- lich auf die mögliche Strafbarkeit nach §§ 203 Abs. 4, ternehmer und Unternehmen, die im Auftrag des Auf- 204 StGB hin. tragnehmers tätig werden. Umfasst der Auftrag Liefe- Diese Verpflichtung besteht auch über das Ende des rung, Wartung, Miete, Leihe Reparatur oder anderwei- Auftrags fort. tige Betreuung von informationsverarbeitenden Syste- 2.2 Der Auftragnehmer verpflichtet sich, seine Mitarbeiter, men oder med.-techn. Geräten des Auftraggebers, so Erfüllungsgehilfen und Unternehmen, die für ihn im gelten zusätzlich zu Punkt 2 die Ausführungen unter Auftrag tätig sind, auf Einhaltung der unter Punkt 2.1 Punkt 3. (Datenschutz und -sicherheit bei Wartung und genannten Pflichten in Textform zu verpflichten. Der Fernwartung), 4 (Mitwirkungspflichten) und 5 (Leih- Auftragnehmer stellt sicher, dass alle mit der Verarbei- /Mietgeräte). tung von dem Berufsgeheimnis unterliegenden Daten Rechtsgrundlagen sind: des Auftraggebers befassten Mitarbeiter und andere  Die DSGVO, das BayDG, und das Bundesdaten- für den Auftragnehmer tätigen Personen (z.B. Subun- schutzgesetz (BDSG) ternehmer), die damit befasst sind, sich in Textform  Artikel 27 des Bayerischen Krankenhausgesetzes dazu verpflichtet haben, die ihnen bei der Ausübung o-  weitere einschlägige Bestimmungen aus dem Bür- der bei Gelegenheit ihrer Tätigkeit bekannt geworde- gerlichen Gesetzbuch, dem Straf- und dem Urhe- nen Berufsgeheimnisse nicht unbefugt zu offenbaren berrecht und sie über die mögliche Strafbarkeit nach § 203 Abs. 4 StGB belehrt wurden. Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich eine mitwirkende
2. Verpflichtung zur Verschwiegenheit Person nach § 203 Abs. 4 S. 2 StGB strafbar macht, 2.1 Der Auftragnehmer verpflichtet, sich über alle im Rah- sollte sie sich einer weiteren mitwirkenden Person be- men seiner Tätigkeit oder bei Gelegenheit der Auf- dienen, die ihrerseits unbefugt ein fremdes, ihr bei der tragserfüllung erlangten Kenntnisse von personenbe- Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt zogenen Daten des Auftraggebers oder von vertrauli- gewordenes Geheimnis offenbart, und die mitwir- chen Informationen des Auftraggebers oder von Daten kende Person nicht dafür Sorge getragen hat, dass die die unter Berufsgeheimnisse von beim Auftraggeber

Seite 1 / 3

Vorsitzender des Verwaltungsrats: Oberbürgermeister Marcus König | Vorstand: Prof. Dr. Achim Jockwig (Vorsitzender), Dr. Andreas Becke, Sabine Beßler Kommunalunternehmen – Anstalt des öffentlichen Rechts | Sitz: Nürnberg | Registergericht: Nürnberg, HRA 14190 | Bankverbindung: Sparkasse Nürnberg IBAN: DE18 7605 0101 0001 0009 44, BIC: SSKNDE77XXX

[Seite 2]

DVB-Kh Zusätzliche Vertragsbedingungen zur Einhaltung des Datenschutzes und Wahrung von Geschäftsgeheimnissen Vertragsanlage

weitere mitwirkende Person zur Geheimhaltung ver- Rechtsvorschriften Geld- oder Freiheitsstrafen für die- pflichtet wurde. sen Fall vor. Der Auftragnehmer hat seine Mitarbeiter, auch für die 3.1.7 Der Auftragnehmer hat bei Verdacht eines Daten- Zeit nach Beendigung dieses Auftrages oder nach Be- schutz-Verstoßes durch einen seiner Mitarbeiter im endigung der Mitarbeit zu verpflichten. Rahmen vertraglicher Arbeiten den Auftraggeber un- 3. Datenschutz und -sicherheit bei Wartung und Fern- verzüglich zu informieren. wartung informationsverarbeitender Systeme, ein- schließlich medizinisch-technischer Systeme 3.1 Wartung 3.1.8 Protokollierung 3.1.1 Der Auftragnehmer verpflichtet sich, im Rahmen von Jeder Wartungsvorgang muss schriftlich protokolliert Wartungsarbeiten, den Zugang zu Netzwerken, Com- werden und ein Duplikat dieser Aufzeichnungen dem putern, Programmsystemen und zu medizinisch-tech- Auftraggeber ausgehändigt werden. nischen Geräten ausschließlich zu dem vertraglich fest- Das Protokoll muss enthalten: gelegten Zweck zu verwenden.  Beschreibung der durchgeführten Arbeiten 3.1.2 Der Auftragnehmer muss nachweisen können, wann  Beginn und Ende der Wartungsarbeit (Tag und Uhr- welche seiner Mitarbeiter zur Wartung an Systemen zeit) des Auftraggebers eingesetzt wurden. Soweit das War-  Namentliche Nennung des Wartungspersonals tungspersonal dem Auftraggeber nicht bekannt ist,  Nennung evtl. veränderter Dateien und Programme muss es sich als solches ausweisen können.  Angabe einer Rufnummer, unter der man den Auf- 3.1.3 Der Zugang zu Rechnersystemen des Auftraggebers tragnehmer bei Schwierigkeiten aufgrund der Ände- darf nur unter den Sicherheitsvorkehrungen und -be- rung jederzeit erreichen kann. dingungen des Auftraggebers erfolgen. Insbesondere werden notwendige Benutzerberechtigungen, Pass- 3.1.9 Datensicherheit: worte und Zugriffsrechte ausschließlich vom Auftrag- Der Auftragnehmer hat dafür zu sorgen, dass bei der geber erteilt. Ausführung der ihm übertragenen Aufgaben die erfor- 3.1.4 Der Auftragnehmer verpflichtet sich, ausschließlich derliche Datensicherheit gewährleistet ist. Unter Da- Personal mit der Wartung zu betrauen, dass gemäß den tensicherheit versteht man alle technischen und orga- Vorgaben in Ziffer 2 verpflichtet wurde. nisatorischen Maßnahmen zum Schutz von Daten vor unbefugter Kenntnisnahme, Verfälschung, Zerstörung Diese Verpflichtung auf das Datengeheimnis besteht und unzulässiger Weitergabe. auch nach Beendigung des Auftragsverhältnisses oder dem Ausscheiden des Mitarbeiters beim Auftragneh- 3.1.9.1 Datensicherung vor der Wartung: mer fort. Der Auftragnehmer hat das zuständige Personal des 3.1.5 Sofern aufgrund des Gegenstandes der Wartungsarbei- Klinikums darauf hinzuweisen, vor Beginn der War- ten die Kenntnis und Verarbeitung von personenbezo- tungsarbeiten eine Datensicherung durchzuführen, genen Daten unvermeidbar ist (z.B. durch Zugriff auf wenn dies notwendig ist. DV- Systeme, medizintechnische Geräte mit gespei- 3.1.9.2 Virenprüfung: cherten Patientendaten) ist vor Durchführung der War- Vom Auftragnehmer mitgebrachte Datenträger müs- tungsarbeiten ein Auftragsverarbeitungsvertrag gem. sen frei von Schadsoftware sein, d.h. sie sind vor ihrem Art 28 DSG-VO abzuschließen. Einsatz beim Auftraggeber mit einem Virenschutzpro- 3.1.6 Bei groben Verstößen gegen das Datengeheimnis gramm aktuellen Stands auf Schadsoftwarefreiheit zu und/oder die Datensicherheit wird eine verschuldens- prüfen. Ebenso sind Daten und Programme zu prüfen, unabhängige Vertragsstrafe durch den Auftraggeber an bevor sie auf dem Fernleitungsweg zum Auftraggeber den Auftragnehmer in angemessener Höhe festgesetzt, übertragen werden. wobei der Auftraggeber die Höhe nach billigem Ermes- 3.1.9.3 Softwaretest: sen i.S.v. § 315 BGB bestimmen wird, und die Angemes- senheit im Streitfall von dem zuständigen Gericht über- prüft werden kann. Darüber hinaus sehen das Bundes- datenschutzgesetz, das StGB und andere einschlägige

Seite 2 / 3

Vorsitzender des Verwaltungsrats: Oberbürgermeister Marcus König | Vorstand: Prof. Dr. Achim Jockwig (Vorsitzender), Dr. Andreas Becke, Sabine Beßler Kommunalunternehmen – Anstalt des öffentlichen Rechts | Sitz: Nürnberg | Registergericht: Nürnberg, HRA 14190 | Bankverbindung: Sparkasse Nürnberg IBAN: DE18 7605 0101 0001 0009 44, BIC: SSKNDE77XXX

[Seite 3]

DVB-Kh Zusätzliche Vertragsbedingungen zur Einhaltung des Datenschutzes und Wahrung von Geschäftsgeheimnissen Vertragsanlage

Softwaretests dürfen nur mit Testdaten durchgeführt werden. Programmänderungen dürfen nur nach gründ- 4. Mitwirkungspflichten zur Wahrung und Erfüllung von lichem Test in nichtoperativer Umgebung zum Einsatz Betroffenenrechten nach Art. 12- 23 DSGVO kommen. Der Auftragnehmer ist verpflichtet, den Auftraggeber Werden Softwaretests nicht beim Auftraggeber selbst durch geeignete technische und organisatorische Maß- durchgeführt, sondern auf Anlagen des Auftragneh- nahmen dabei zu unterstützen, Anträge von Betroffe- mers, so dürfen keinesfalls Testdaten aus personenbe- nen nach Art 12- 23 DSGVO zogenen Echtdaten, sondern nur anonyme Beispiel-  auf Auskunft Testdaten verwendet werden.  auf Löschen 3.2 Besondere Anforderungen bei Fernwartung:  auf Information Fernwartung sollte nur dann eingesetzt werden, wenn  auf Sperren eine Wartung vor Ort aus wirtschaftlichen Gründen  auf Herausgabe nicht vertretbar ist oder aus anderen zwingenden  auf Ausübung des Widerspruchsrechts Gründen notwendig ist. Bei der Fernwartung von infor- nachzukommen. mationsverarbeitenden Systemen oder medizinisch- technischen Geräten sind folgende Punkte einzuhalten:  Sofern aufgrund des Gegenstandes der Fernwar- 5. Leih-/ Mietgeräte tungsarbeiten die Kenntnis und Verarbeitung von Vor Rückgabe eines zeitweise überlassenen Geräts an personenbezogenen Daten unvermeidbar ist (z.B. den Auftragnehmer sind personenbezogene Daten durch Zugriff auf DV- Systeme, medizintechnische durch den Auftraggeber zu löschen. Sollte ein Löschen Geräte mit gespeicherten Patientendaten) ist vor personenbezogener Daten vor Rückgabe des Geräts Durchführung der Fernwartung ein Auftragsdaten- durch den Auftraggeber nicht möglich sein, verpflichtet verarbeitungsvertrag gem. Art. 28 DSGVO abzu- sich der Auftragnehmer, die evtl. auf diesen Geräten schließen. gespeicherten personenbezogenen Daten unmittelbar  Die Fernwartung darf ausschließlich über den offizi- vor Rücknahme der Geräte unwiderruflich zu löschen, ellen, gesicherten Fernwartungszugang des Auftrag- keine Kopien anzufertigen und dies auf Anfrage dem gebers erfolgen. Der Zugang wird über die Abteilung Auftraggeber schriftlich zu bestätigen und nachzuwei- für Informationsverarbeitung oder der Abteilung für sen. Technik des Klinikums Nürnberg eingerichtet.  Der Auftragnehmer hat Maßnahmen gegen eine missbräuchliche Benutzung der Fernwartungsver- bindung zu treffen.  Die Fernwartungsverbindung muss vom Auftragge- ber jederzeit - in Absprache mit dem Auftragnehmer

• unterbrochen werden können.  Die Wartungsvorgänge müssen vom Personal des Auftraggebers synchron mitverfolgt werden kön- nen; wo dies nicht möglich ist, sind alle Wartungs- aktivitäten elektronisch zu protokollieren und dem Auftraggeber zugänglich zu machen, so dass für Zwecke der Datenschutzkontrolle erkennbar ist, auf welche Datensätze zugegriffen wurde.  Der Fernwartungszugang zum freigeschalteten Ziel- rechner darf vom Auftragnehmer nicht dazu be- nutzt werden, unbefugt andere DV-Systeme des Auftraggebers anzusteuern.  Die Mitarbeiter sind entsprechend der in Ziffer 2 ge- nannten Vorgaben zur Verschwiegenheit zu ver- pflichten.

Seite 3 / 3

Vorsitzender des Verwaltungsrats: Oberbürgermeister Marcus König | Vorstand: Prof. Dr. Achim Jockwig (Vorsitzender), Dr. Andreas Becke, Sabine Beßler Kommunalunternehmen – Anstalt des öffentlichen Rechts | Sitz: Nürnberg | Registergericht: Nürnberg, HRA 14190 | Bankverbindung: Sparkasse Nürnberg IBAN: DE18 7605 0101 0001 0009 44, BIC: SSKNDE77XXX