AV 04 - Informationssicherheit Datenschutz Nachweise (PDF).pdf

[Seite 1]

ANLAGE AV 04 INFORMATIONSSICHERHEIT, DATENSCHUTZ UND NACHWEISE zum Vertrag über Cloudleistungen – 2026-eGo-MV-15 adaptives digitales Lernsystem für den Mathematikunterricht Version: 1.1 Stand: 2026

1. GELTUNGSBEREICH UND VORRANG 1.1 Geltungsbereich Diese Anlage gilt für sämtliche vom Auftragnehmer im Rahmen des Vertrages erbrachten Leistungen einschließlich aller hierfür eingesetzten technischen, organisatorischen, personellen und infrastrukturellen Komponenten. Sie erfasst insbesondere die Anwendung, die Betriebs- und Hostingumgebung, Datenbanken, Backups, Protokollierungs- und Monitoring-Systeme, Administrationswerkzeuge, Support- und Ticketsysteme, Schnittstellen, E-Mail- und Benachrichtigungsdienste sowie sämtliche Unterauftragnehmer, soweit diese bei der Leistungserbringung Daten des Auftraggebers verarbeiten oder Zugriff darauf erhalten können.

1.2 Verhältnis zu den EVB-IT Cloud-AGB Die Parteien vereinbaren abweichend von Ziffer 1.2 Satz 1 der EVB-IT Cloud-AGB, dass der Auftragnehmer weder die Vorlage eines C5-Testats noch eine Erklärung über die vollständige Erfüllung der C5-Basiskriterien zwingend schuldet. Der Auftragnehmer hat jedoch sämtliche für die vertragliche Leistung vorhandenen einschlägigen C5-Testate oder vergleichbaren unabhängigen Sicherheitsnachweise, bezüglich der eingesetzten Cloud-, Hosting- und Infrastrukturprovider nach Maßgabe dieser Anlage als Sicherheitsnachweise heranzuziehen. Die in dieser Anlage festgelegten Sicherheits-, Datenschutz-, Nachweis- und Kontrollpflichten treten insoweit an die Stelle derjenigen Anforderungen der EVB-IT Cloud-AGB, die ausdrücklich auf C5- Kriterien, C5-Berichte, C5-Testate oder korrespondierende Kriterien für Kunden Bezug nehmen. Im Übrigen bleiben die EVB-IT Cloud-AGB uneingeschränkt anwendbar.

Bei Widersprüchen zwischen dieser Anlage und sonstigen Vertragsbestandteilen geht diese Anlage vor, soweit sie Anforderungen an Informationssicherheit, Nachweise, Kontrollrechte, Unterauftragnehmer, Sicherheitsvorfälle, Verfügbarkeit, Datenherausgabe, Löschung oder Vertragsende betrifft.

Für datenschutzrechtliche Regelungen, insbesondere zu Weisungsbindung, Gegenstand und Umfang der Verarbeitung, Datenarten, Kategorien betroffener Personen, technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sowie den Rechten und Pflichten nach Art. 28 DSGVO, geht die Auftragsverarbeitungsvereinbarung einschließlich ihrer Anlagen vor.

Soweit sich Regelungen ergänzen, gelten sie nebeneinander; der Auftragnehmer hat jeweils die strengere Anforderung einzuhalten.

Geschäftsstelle: Kontakt: Bankverbindung: Eckdrift 103 Telefon (0385) 77 33 47-0 IBAN DE27 1203 0000 1001 1855 35 19061 Schwerin Fax (0385) 77 33 47-28 BIC BYLADEM1001 Deutsche Kreditbank Berlin Amtsgericht Schwerin E-Mail info@ego-mv.de Steuer-Nr. 090/144/00882 HRA 3949 Web www.ego-mv.de USt.-IdNr. DE279621892 Seite 1 von 9

[Seite 2]

1.3 Keine Einschränkung gesetzlicher Pflichten Gesetzliche Anforderungen, insbesondere aus der Datenschutz-Grundverordnung, dem Bundesdatenschutzgesetz, den einschlägigen schul- und datenschutzrechtlichen Vorschriften, sowie den Vorgaben zur Informationssicherheit des Landes Mecklenburg-Vorpommern und die sonstigen anwendbaren Rechtsvorschriften, bleiben unberührt. Soweit eine gesetzliche Regelung einen höheren Schutz verlangt als diese Anlage, gilt die gesetzliche Regelung. Es wird bereits jetzt auf das Informationssicherheitsgesetz M-V hingewiesen, welches während der Vertragslaufzeit aufkommende Anforderungen mit sich bringen kann.

2. VERARBEITUNG UND ZWECKBINDUNG 2.1 Zulässige Datenarten Der Auftragnehmer darf nur die für die Bereitstellung und den Betrieb des adaptiven digitalen Lernsystems erforderlichen Daten verarbeiten. Dies können insbesondere sein: • Stammdaten von Nutzerinnen und Nutzern, insbesondere Name, Vorname, schulische Zuordnung, Rolle, Nutzerkennung und dienstliche Kontaktangaben; • Klassen-, Kurs- und Gruppeninformationen; • Zuordnungen zwischen Lehrkräften, Lernenden, Klassen, Kursen und Aufgaben; • Lern-, Bearbeitungs-, Ergebnis- und Fortschrittsdaten einschließlich Auswertungen, soweit sie für die Nutzung des Systems erforderlich sind; • technisch erforderliche Protokoll-, Fehler-, Sicherheits- und Supportdaten; • Daten aus Anfragen an den Support, soweit deren Verarbeitung erforderlich ist. Die im Einzelfall verarbeiteten Datenarten, Kategorien betroffener Personen, Zwecke, Weisungsrechte, Löschfristen und technischen und organisatorischen Maßnahmen werden zusätzlich und verbindlich in der Auftragsverarbeitungsvereinbarung einschließlich ihrer Anlagen festgelegt.

2.2 Ausschließliche Weisungs- und Zweckbindung Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers und ausschließlich zur Erfüllung des Vertrages sowie der Auftragsverarbeitungsvereinbarung. Eine Verarbeitung für eigene Zwecke des Auftragnehmers oder Dritter ist ausgeschlossen, soweit sie nicht durch zwingendes Recht der Europäischen Union oder eines Mitgliedstaates vorgeschrieben ist. Insbesondere darf der Auftragnehmer die Daten des Auftraggebers nicht verwenden: • für Werbung, Marketing oder Vertriebsansprache; • zur Erstellung von Nutzer- oder Leistungsprofilen für eigene oder fremde Zwecke; • zur Weitergabe, Vermietung oder Veräußerung von Daten; • zum Training, zur Entwicklung oder zur Verbesserung allgemeiner Modelle, Algorithmen oder Produkte außerhalb der konkret beauftragten Leistung; • zur Zusammenführung mit Daten anderer Kunden, soweit dies nicht für eine rechtmäßig vereinbarte, strikt mandantengetrennte technische Betriebsfunktion erforderlich ist. Soweit einzelne Funktionen des Systems eine automatisierte Auswertung von Lern- oder Leistungsdaten durchführen, dürfen diese ausschließlich innerhalb des vereinbarten Systems und ausschließlich zur Bereitstellung der vertraglich beschriebenen pädagogischen Funktion genutzt werden.

2.3 Datenminimierung und Testdaten Der Auftragnehmer unterstützt den Auftraggeber bei einer datensparsamen Konfiguration des Dienstes. Soweit für Tests, Schulungen, Fehleranalysen oder Demonstrationen Daten benötigt werden, sind vorrangig anonymisierte oder synthetische Daten einzusetzen. Personenbezogene Daten des Auftraggebers dürfen hierfür nur verwendet werden, soweit dies im Einzelfall erforderlich ist und die Verarbeitung vertraglich sowie datenschutzrechtlich zulässig ist.

Seite 2 von 9

[Seite 3]

3. DATENSTANDORTE UND DRITTLANDTRANSFERS 3.1 Verarbeitung im EU/EWR-Raum Die Speicherung und sonstige Verarbeitung der Daten des Auftraggebers erfolgt ausschließlich innerhalb der Europäischen Union und des Europäischen Wirtschaftsraums. Dies gilt insbesondere für Produktivdaten, Datenbanken, Backups, Protokolldaten, Monitoring, Administrationszugriffe, Fehleranalyse, Support, Ticketing, E-Mail- und Benachrichtigungsdienste sowie sonstige Metadaten, soweit diese personenbezogene Daten enthalten oder einen Bezug zu den Daten des Auftraggebers ermöglichen.

3.2 Drittlandtransfers Eine Übermittlung personenbezogener Daten oder ein Zugriff aus einem Drittland außerhalb EU/EWR ist nur nach vorheriger schriftlicher Zustimmung des Auftraggebers zulässig. Die Zustimmung setzt voraus, dass der Auftragnehmer den konkreten Datenfluss, den Empfänger, das Drittland, den Zweck, die Datenkategorien, die Rechtsgrundlage und die getroffenen zusätzlichen Schutzmaßnahmen vollständig dokumentiert. Nicht als Zustimmung gilt eine allgemeine Klausel in den Allgemeinen Geschäftsbedingungen, Datenschutzhinweisen oder einer Unterauftragnehmerliste des Auftragnehmers.

3.3 Datenflussübersicht Der Auftragnehmer stellt dem Auftraggeber spätestens mit Beginn der Leistungserbringung eine aktuelle Datenfluss- und Architekturübersicht zur Verfügung. Diese enthält mindestens die wesentlichen Systeme, Verarbeitungsorte, Datenkategorien, Zugriffsberechtigten, Unterauftragnehmer, Schnittstellen, Backup- und Monitoring-Komponenten sowie etwaige Drittlandbezüge. Änderungen sind vor ihrer Wirksamkeit nach Maßgabe von Ziffer 7 dieser Anlage mitzuteilen.

4. INFORMATIONSSICHERHEIT 4.1 Sicherheitsmanagement Der Auftragnehmer unterhält während der gesamten Vertragslaufzeit ein dokumentiertes und wirksam implementiertes Informationssicherheitsmanagementsystem, das dem Umfang, der Art, den Umständen und den Zwecken der Verarbeitung sowie dem Risiko für die Rechte und Freiheiten natürlicher Personen angemessen ist. Der Auftragnehmer benennt einen fachkundigen Ansprechpartner für Informationssicherheit. Dieser ist dem Auftraggeber mit Funktionsbezeichnung und Kontaktmöglichkeit mitzuteilen. Der Auftragnehmer überprüft sein Sicherheitskonzept regelmäßig, mindestens jährlich sowie anlassbezogen nach wesentlichen Änderungen oder Sicherheitsvorfällen.

4.2 Zugang, Berechtigung und Administration Der Auftragnehmer stellt sicher, dass Zugänge zu Systemen und Daten nach dem Need-to-know- und Least-Privilege-Prinzip vergeben werden. Administrative Zugänge sind personengebunden, nachvollziehbar und gegen unbefugte Nutzung zu schützen. Für administrative Zugänge zu produktiven Systemen ist eine Mehrfaktor-Authentisierung einzusetzen, soweit technisch möglich und angemessen. Berechtigungen sind regelmäßig, mindestens jährlich sowie bei Rollen- oder Aufgabenwechsel, zu überprüfen. Nicht mehr benötigte Zugänge sind unverzüglich zu deaktivieren oder zu löschen.

4.3 Verschlüsselung und Mandantentrennung Der Auftragnehmer schützt Daten des Auftraggebers durch dem Stand der Technik entsprechende Verschlüsselung bei der Übertragung über öffentliche Netze. Daten des Auftraggebers sind im

Seite 3 von 9

[Seite 4]

Speicherbereich durch geeignete technische und organisatorische Maßnahmen gegen unbefugten Zugriff zu schützen. Der Auftragnehmer gewährleistet eine wirksame logische Trennung der Daten des Auftraggebers von Daten anderer Kunden und Mandanten. Test-, Entwicklungs- und Produktivumgebungen sind angemessen voneinander zu trennen.

4.4 Protokollierung und Monitoring Sicherheitsrelevante Ereignisse, insbesondere administrative Zugriffe, fehlgeschlagene Anmeldeversuche, Berechtigungsänderungen, sicherheitsrelevante Systemänderungen und erkannte Angriffe, sind angemessen zu protokollieren und auszuwerten. Die Protokolle sind vor unbefugter Veränderung und Einsichtnahme zu schützen. Der Auftragnehmer betreibt ein angemessenes Monitoring zur Erkennung von Störungen, Kapazitätsengpässen, fehlgeschlagenen Sicherungen, sicherheitsrelevanten Konfigurationsabweichungen und bekannten Schwachstellen.

4.5 Patch- und Schwachstellenmanagement Der Auftragnehmer unterhält ein dokumentiertes Verfahren zur Erkennung, Bewertung, Priorisierung und Behebung von Schwachstellen. Sicherheitsupdates und Patches sind risikoorientiert und innerhalb angemessener Fristen einzuspielen. Kritische Schwachstellen, die die Vertraulichkeit, Integrität oder Verfügbarkeit der Daten des Auftraggebers erheblich gefährden können, sind unverzüglich zu bewerten, durch geeignete Maßnahmen abzusichern und innerhalb einer dem Risiko angemessenen Frist zu beheben. Soweit eine unverzügliche Behebung nicht möglich ist, informiert der Auftragnehmer den Auftraggeber über Risiko, geplante Zwischenmaßnahmen und voraussichtlichen Behebungszeitpunkt, sofern die Schwachstelle die Daten oder die vertragliche Leistung erheblich betreffen kann.

4.6 Entwicklung und Änderungen Der Auftragnehmer stellt sicher, dass Änderungen an der Anwendung und Betriebsumgebung kontrolliert geplant, getestet, freigegeben und dokumentiert werden. Sicherheitsrelevante Änderungen sind vor der Produktivsetzung risikoorientiert zu prüfen. Änderungen dürfen nicht zu einer wesentlichen Verringerung der vertraglich geschuldeten Sicherheits-, Datenschutz- oder Leistungsanforderungen führen.

4.7 Datensicherung und Notfallmanagement Der Auftragnehmer erstellt regelmäßige, dem Schutzbedarf angemessene Datensicherungen der zur Wiederherstellung erforderlichen Daten und Systemkonfigurationen. Backups sind gegen unbefugten Zugriff und Verlust zu schützen und regelmäßig auf Wiederherstellbarkeit zu prüfen. Der Auftragnehmer unterhält ein Notfall- und Wiederanlaufkonzept. Dieses umfasst mindestens Zuständigkeiten, Kommunikationswege, Wiederherstellungsverfahren, Backup-Management und die Behandlung erheblicher Betriebsunterbrechungen. Das Konzept ist regelmäßig, mindestens jährlich, auf Angemessenheit zu überprüfen und anlassbezogen fortzuschreiben.

4.8 Unabhängige Sicherheitsprüfung Der Auftragnehmer lässt die Sicherheit der vertraglich erbrachten Leistung regelmäßig, mindestens jährlich, durch geeignete interne oder externe Prüfungen bewerten. Dazu gehören mindestens Schwachstellenanalysen; für internetexponierte Komponenten ist zusätzlich in angemessenen Abständen, mindestens alle 24 Monate sowie nach wesentlichen sicherheitsrelevanten Änderungen, ein Penetrationstest durch qualifiziertes Personal durchzuführen oder durchführen zu lassen. Der Auftragnehmer legt dem Auftraggeber auf Anforderung eine Managementzusammenfassung der wesentlichen Ergebnisse, der identifizierten kritischen oder hohen Risiken sowie der dazu

Seite 4 von 9

[Seite 5]

beschlossenen oder bereits umgesetzten Abhilfemaßnahmen vor. Schutzwürdige Informationen anderer Kunden, Betriebs- und Geschäftsgeheimnisse sowie Informationen, deren Offenlegung die Sicherheit beeinträchtigen würde, dürfen angemessen geschwärzt werden, soweit die Nachweisfähigkeit nicht wesentlich beeinträchtigt wird.

5. DATENSCHUTZ UND AUFTRAGSVERARBEITUNG 5.1 Auftragsverarbeitungsvereinbarung Vor Beginn jeder Verarbeitung personenbezogener Daten schließen die Parteien eine Auftragsverarbeitungsvereinbarung nach Artikel 28 DSGVO einschließlich einer Anlage zu den technischen und organisatorischen Maßnahmen. Die Auftragsverarbeitungsvereinbarung ist Vertragsbestandteil. 5.2 Technische und organisatorische Maßnahmen Der Auftragnehmer setzt mindestens die in dieser Anlage und in der Auftragsverarbeitungsvereinbarung vereinbarten technischen und organisatorischen Maßnahmen um. Änderungen an diesen Maßnahmen, die das Schutzniveau wesentlich senken könnten, bedürfen der vorherigen Zustimmung des Auftraggebers.

5.3 Unterstützung des Auftraggebers Der Auftragnehmer unterstützt den Auftraggeber im angemessenen und erforderlichen Umfang bei: • der Bearbeitung von Anträgen betroffener Personen; • der Erfüllung der Pflichten nach Artikeln 32 bis 36 DSGVO; • Datenschutz-Folgenabschätzungen und vorherigen Konsultationen; • der Aufklärung und Dokumentation von Datenschutzverletzungen; • behördlichen oder gerichtlichen Anfragen, soweit diese die Verarbeitung im Auftrag betreffen.

5.4 Vertraulichkeit Personen, die beim Auftragnehmer oder bei Unterauftragnehmern Daten des Auftraggebers verarbeiten oder darauf zugreifen können, sind vor Aufnahme ihrer Tätigkeit auf Vertraulichkeit und die Einhaltung der datenschutzrechtlichen Pflichten zu verpflichten, soweit eine gesetzliche Verpflichtung nicht bereits besteht.

6. SICHERHEITSVORFÄLLE UND DATENSCHUTZVERLETZUNGEN 6.1 Meldepflicht Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, über einen Sicherheitsvorfall oder eine Verletzung des Schutzes personenbezogener Daten, wenn dieser beziehungsweise diese die Daten des Auftraggebers, die Verfügbarkeit der Leistung oder die Vertraulichkeit und Integrität der vertraglich genutzten Systeme tatsächlich oder voraussichtlich erheblich beeinträchtigt. Die Meldung erfolgt an die vom Auftraggeber benannte Kontaktstelle. Ist eine vollständige Information innerhalb dieser Frist noch nicht möglich, enthält die Erstmeldung mindestens die zu diesem Zeitpunkt bekannten Informationen und wird fortlaufend ergänzt.

6.2 Mindestinhalt der Meldung Die Mitteilung enthält, soweit bekannt, mindestens: • Zeitpunkt der Kenntniserlangung und Zeitraum des Vorfalls; • Art, Ursache und Umfang des Vorfalls; • betroffene Systeme, Datenkategorien und Personengruppen; • mögliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit; • bereits ergriffene und geplante Abhilfemaßnahmen; • Ansprechpartner des Auftragnehmers für Rückfragen;

Seite 5 von 9

[Seite 6]

• Einschätzung, ob eine Meldung nach Artikel 33 DSGVO erforderlich sein könnte.

6.3 Zusammenarbeit und Ursachenanalyse Der Auftragnehmer trifft unverzüglich geeignete Maßnahmen zur Eindämmung, Untersuchung, Beseitigung und Dokumentation des Vorfalls. Er unterstützt den Auftraggeber bei dessen rechtlicher Bewertung, bei Meldungen an Aufsichtsbehörden oder Betroffene und bei der Kommunikation mit berechtigten Stellen. Nach Abschluss der Untersuchung stellt der Auftragnehmer dem Auftraggeber auf Anforderung eine angemessene Ursachenanalyse einschließlich der dauerhaft umgesetzten oder geplanten Abhilfemaßnahmen zur Verfügung.

7. UNTERAUFTRAGNEHMER UND ÄNDERUNGEN 7.1 Unterauftragnehmerliste Der Auftragnehmer übermittelt dem Auftraggeber vor Beginn der Leistungserbringung eine vollständige aktuelle Liste der Unterauftragnehmer, die Daten des Auftraggebers verarbeiten oder auf solche Daten zugreifen können. Die Liste enthält mindestens Firma, Sitz beziehungsweise Verarbeitungsort, Leistungsanteil, Zugriffsmöglichkeit, Datenkategorien und etwaige Drittlandbezüge.

7.2 Änderungen Der Auftragnehmer informiert den Auftraggeber mindestens 30 Kalendertage vor der beabsichtigten Beauftragung, Ersetzung oder wesentlichen Änderung eines Unterauftragnehmers in Textform. Die Information muss die Angaben nach Ziffer 7.1 sowie die Folgen für Datenschutz, Informationssicherheit und Datenstandorte enthalten. Der Auftraggeber kann der Änderung innerhalb von 30 Kalendertagen aus sachlichem Grund widersprechen. Ein sachlicher Grund liegt insbesondere vor, wenn die Änderung zu einem niedrigeren Sicherheits- oder Datenschutzniveau, einem nicht genehmigten Drittlandtransfer oder einer sonstigen erheblichen Beeinträchtigung der vertraglich vereinbarten Anforderungen führen kann. Können die Parteien innerhalb von 90 Kalendertagen nach Zugang des Widerspruchs keine einvernehmliche Lösung erzielen, ist der Auftraggeber berechtigt, die hiervon betroffenen Leistungen außerordentlich zu kündigen.

7.3 Verpflichtung der Unterauftragnehmer Der Auftragnehmer verpflichtet Unterauftragnehmer vor Beginn ihrer Tätigkeit schriftlich mindestens auf die für ihren Leistungsanteil einschlägigen Datenschutz-, Informationssicherheits-, Vertraulichkeits-, Kontroll- und Löschpflichten dieser Anlage sowie der Auftragsverarbeitungsvereinbarung. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Erfüllung sämtlicher Pflichten durch Unterauftragnehmer verantwortlich.

8. NACHWEISE UND PRÜFRECHTE 8.1 Regelmäßige Nachweise Der Auftragnehmer stellt dem Auftraggeber spätestens vor Beginn der produktiven Leistungserbringung und danach mindestens jährlich aktuelle Nachweise zur Verfügung, soweit sie für die vertragliche Leistung einschlägig sind. Dazu gehören mindestens: • eine aktuelle Beschreibung des Sicherheitskonzepts und des Informationssicherheitsmanagements in angemessener Detailtiefe; • gegebenenfalls vorhandene Zertifikate, Prüfberichte oder gleichwertige Nachweise, insbesondere zur Informationssicherheit und zu den eingesetzten Hosting- oder Infrastrukturleistungen; In Betracht kommen insb. ISO 27001-Zertifikat, BIS-Grundschutz-

Seite 6 von 9

[Seite 7]

Zertifikat, SOC-2-Type-II-Berichte und sonstige vergleichbare unabhängige Prüfberichte oder Zertifizierungen; Dabei sollte aus der jeweiligen Zertifizierung das Scope aus den Unterlagen hervorgehen.

• eine aktuelle Unterauftragnehmerliste gemäß Ziffer 7.1; • eine Datenfluss- und Architekturübersicht gemäß Ziffer 3.3; • eine Bestätigung über die Durchführung der nach Ziffer 4.8 geschuldeten Sicherheitsprüfungen einschließlich Managementzusammenfassung; • eine Übersicht über erhebliche Sicherheitsvorfälle, soweit sie die Leistung oder Daten des Auftraggebers betrafen; • eine Bestätigung über die Aktualität der technischen und organisatorischen Maßnahmen.

8.2 Auskünfte und Unterlagen Der Auftragnehmer beantwortet angemessene Rückfragen des Auftraggebers zu Informationssicherheit, Datenschutz, Datenstandorten, Unterauftragnehmern und der Einhaltung dieser Anlage innerhalb von 15 Werktagen. Soweit die Antwort mehr Zeit erfordert, informiert der Auftragnehmer innerhalb dieser Frist über die Gründe und den voraussichtlichen Antworttermin.

8.3 Prüfung Der Auftraggeber ist berechtigt, die Einhaltung dieser Anlage durch Prüfung der vorgelegten Nachweise, durch Fragebögen, durch Gespräche mit dem Auftragnehmer und – bei begründeten Zweifeln, erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen – durch eine weitergehende Prüfung zu kontrollieren. Die Vorlage eines Zertifikats, Testats oder Prüfberichts schließt weitergehende Prüfungen nicht aus, wenn begründete Zweifel an dessen Aktualität, Aussagekraft, Geltungsbereich oder Übertragbarkeit auf die konkret eingesetzte Leistung bestehen. Eine weitergehende Prüfung kann durch fachkundiges Personal des Auftraggebers oder eine vom Auftraggeber beauftragte, zur Vertraulichkeit verpflichtete unabhängige Prüfgesellschaft erfolgen. Sie ist mit angemessener Vorankündigung durchzuführen und hat die Sicherheitsinteressen, Betriebs- und Geschäftsgeheimnisse des Auftragnehmers sowie die Rechte anderer Kunden zu berücksichtigen. Der Auftragnehmer unterstützt die Prüfung in angemessenem Umfang und stellt die für den Prüfzweck erforderlichen Informationen zur Verfügung. Soweit eine Vor-Ort-Prüfung aus Sicherheitsgründen oder wegen einer gemeinsam genutzten Infrastruktur nicht sachgerecht ist, vereinbaren die Parteien eine gleichwertige Prüfungsform, insbesondere die Einsicht in geeignete Prüfberichte, eine Remote-Prüfung, eine Videokonferenz mit fachkundigen Verantwortlichen oder eine Prüfung durch eine unabhängige Prüfungsgesellschaft.

9. VERFÜGBARKEIT, WARTUNG UND SUPPORT 9.1 Verfügbarkeit Die Regelungen der EVB-IT Cloud-AGB zur Verfügbarkeit bleiben unberührt. Der Auftragnehmer stellt dem Auftraggeber die für die vertraglich vereinbarte Nutzung erforderlichen Informationen zur Verfügbarkeit mindestens monatlich in elektronischer Form zur Verfügung.

9.2 Geplante Wartung Geplante Wartungsarbeiten, die zu einer Einschränkung wesentlicher Funktionen führen können, sind dem Auftraggeber grundsätzlich mindestens fünf Werktage vor Beginn in Textform oder über ein vereinbartes Administrationsportal anzukündigen. Wartungsarbeiten sind nach Möglichkeit außerhalb üblicher Unterrichtszeiten durchzuführen. Unaufschiebbare Sicherheitsmaßnahmen bleiben zulässig. Der Auftragnehmer informiert den Auftraggeber darüber unverzüglich, soweit die Maßnahme zu einer wesentlichen Einschränkung der Leistung führt.

Seite 7 von 9

[Seite 8]

9.3 Support und Ticketsystem Der Auftragnehmer stellt ein Ticketsystem oder einen gleichwertigen Supportkanal zur Verfügung. Dieses ermöglicht die Meldung und Nachverfolgung von Störungen, Sicherheitsvorfällen, Datenschutzanfragen und sonstigen Anfragen. Der Auftragnehmer benennt Kontaktwege und Servicezeiten. Sicherheitsvorfälle im Sinne von Ziffer 6 dieser Anlage dürfen nicht ausschließlich über einen allgemeinen Supportkanal abgewickelt werden; hierfür ist ein geeigneter Eskalationsweg bereitzustellen.

10. DATENHERAUSGABE, LÖSCHUNG UND VERTRAGSENDE 10.1 Datenexport Der Auftragnehmer ermöglicht dem Auftraggeber während der Vertragslaufzeit und bis zur vollständigen Löschung der Daten einen vollständigen sowie selektiven Export der Daten des Auftraggebers in einem marktüblichen, maschinenlesbaren und dokumentierten Format. Der Export muss insbesondere, soweit im System vorhanden und rechtlich zulässig, umfassen: • Nutzer-, Rollen-, Klassen-, Kurs- und Gruppenzuordnungen; • Lernstände, Bearbeitungen, Ergebnisse, Auswertungen und Fortschrittsdaten; • vom Auftraggeber eingebrachte Inhalte und Konfigurationen; • für die Nachvollziehbarkeit erforderliche Metadaten und Datenstrukturen; • auf Anforderung relevante Support- und Protokolldaten, soweit deren Herausgabe zulässig und erforderlich ist. Der Auftragnehmer stellt eine verständliche Beschreibung der Exportformate und Datenfelder zur Verfügung. Der Export einzelner Schulen, Klassen, Kurse oder Personen muss möglich sein, soweit dies technisch und datenschutzrechtlich zulässig ist.

10.2 Unterstützung bei Migration Die Regelungen der EVB-IT Cloud-AGB zu Migrationsunterstützung und Fortführung der Leistung bleiben unberührt. Der Auftragnehmer unterstützt den Auftraggeber auf Anforderung im zumutbaren Umfang durch Erläuterung der Exportdaten, angemessene technische Unterstützung und Zusammenarbeit mit einem zur Vertraulichkeit verpflichteten Nachfolgeanbieter.

10.3 Löschung Nach Beendigung des Vertrages oder auf dokumentierte Weisung des Auftraggebers löscht der Auftragnehmer die personenbezogenen Daten und sonstigen Daten des Auftraggebers sicher und nicht rekonstruierbar, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung von Produktivdaten erfolgt grundsätzlich spätestens innerhalb von 30 Kalendertagen nach Ende der vertraglichen Bereitstellung beziehungsweise nach entsprechender Weisung. Daten in Backups sind spätestens innerhalb von 90 Kalendertagen nach Löschung der Produktivdaten durch Überschreibung, Ablauf der Backup-Retention oder gleichwertige sichere Verfahren zu löschen. Abweichende technisch zwingende Fristen sind dem Auftraggeber vor Vertragsschluss transparent mitzuteilen und in der Auftragsverarbeitungsvereinbarung zu dokumentieren.

10.4 Löschbestätigung Der Auftragnehmer bestätigt dem Auftraggeber auf Anforderung die erfolgte Löschung in Textform. Die Bestätigung enthält mindestens die gelöschten Datenkategorien, den Zeitpunkt beziehungsweise Zeitraum der Löschung, den Umgang mit Backups sowie gegebenenfalls bestehende gesetzliche Aufbewahrungspflichten.

Seite 8 von 9

[Seite 9]

11. ÄNDERUNGEN UND RECHTSFOLGEN 11.1 Änderungen des Dienstes Der Auftragnehmer informiert den Auftraggeber rechtzeitig vor wesentlichen Änderungen an der Leistung, der Datenverarbeitung, den Datenstandorten, den Sicherheitsmaßnahmen, der Architektur, den Schnittstellen, den Unterauftragnehmern oder den Exportmöglichkeiten. Die Information muss so rechtzeitig erfolgen, dass der Auftraggeber die Auswirkungen angemessen bewerten kann. Wesentliche Änderungen, die zu einer Verringerung des vereinbarten Sicherheits- oder Datenschutzniveaus oder zu einer Erweiterung der Verarbeitung personenbezogener Daten führen, sind nur nach vorheriger Zustimmung des Auftraggebers zulässig.

11.2 Abhilfe Stellt der Auftraggeber eine Abweichung von dieser Anlage fest, kann er den Auftragnehmer zur Abhilfe innerhalb einer angemessenen Frist auffordern. Der Auftragnehmer legt innerhalb von zehn Werktagen nach Zugang der Aufforderung einen Abhilfeplan vor, sofern die Abweichung nicht innerhalb dieser Frist vollständig behoben werden kann.

11.3 Kündigung und sonstige Rechte Die gesetzlichen und vertraglichen Rechte des Auftraggebers, insbesondere nach den EVB-IT Cloud- AGB und der Auftragsverarbeitungsvereinbarung, bleiben unberührt. Eine erhebliche oder wiederholte Verletzung wesentlicher Pflichten dieser Anlage kann einen wichtigen Grund zur außerordentlichen Kündigung darstellen, sofern die Voraussetzungen hierfür vorliegen.

12. ANSPRECHPARTNER Der Auftragnehmer benennt dem Auftraggeber spätestens zehn Werktage nach Zuschlag schriftlich: • einen fachkundigen Ansprechpartner für Informationssicherheit; • einen Ansprechpartner für Datenschutz; • einen Ansprechpartner für Sicherheitsvorfälle außerhalb des allgemeinen Supportkanals. Änderungen der Ansprechpartner sind dem Auftraggeber unverzüglich in Textform mitzuteilen.

13. NACHWEISÜBERSICHT BEI LEISTUNGSBEGINN Spätestens zehn Werktage vor Beginn der produktiven Verarbeitung stellt der Auftragnehmer dem Auftraggeber mindestens die folgenden Unterlagen zur Verfügung, soweit sie nicht bereits mit dem Angebot eingereicht wurden:

14. die unterzeichnete Auftragsverarbeitungsvereinbarung einschließlich TOM-Anlage;

15. die aktuelle Unterauftragnehmerliste nach Ziffer 7.1;

16. die Datenfluss- und Architekturübersicht nach Ziffer 3.3;

17. die Erklärung zu Datenstandorten und Drittlandtransfers;

18. eine Beschreibung des Sicherheitskonzepts in angemessener Detailtiefe;

19. gegebenenfalls vorhandene einschlägige Zertifikate oder gleichwertige Nachweise;

20. die Benennung der Ansprechpartner nach Ziffer 12;

21. die Beschreibung des Datenexports einschließlich Format- und Feldbeschreibung;

22. die Beschreibung des Lösch- und Backup-Konzepts;

23. die Kontakt- und Eskalationswege für Support, Sicherheitsvorfälle und Datenschutzanfragen.

Seite 9 von 9