Anlage_F_Teledienstvereinbarung.docx

Vereinbarung über die Verarbeitung von personenbezogenen und anderen Daten bei Wartung bzw. Fernwartung

Vereinbarung

zwischen dem

dem Direktor des Landschaftsverbandes Rheinland, vertreten durch Herrn Thomas Coenen, LVR-InfoKom, Hermann-Pünder-Str. 1, 50679 Köln

(im Folgenden Auftraggeber genannt),

• nachstehend Auftraggeber genannt –

und

**(**wird vor Zuschlagserteilung ergänzt)

• nachstehend Auftragnehmer genannt –

[Klicken Sie hier, um Text einzugeben.]

§ 1 – Vertragsgegenstand

Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener und anderer Daten im Rahmen der

[ ] Wartung vor Ort

[ ] Fernwartung

für wird vor Zuschlagserteilung ergänzt

§ 2 – Bereitstellung von Daten

(1) Der Auftraggeber stellt nachfolgende Daten (*Bezeichnung der Daten)

[ ] über Datenleitung (Fernwartung) bzw.

[ ] im Gebäude, vor Ort, d. h. in Dienstgebäuden des Auftraggebers

zum Zwecke der Wartung/Fernwartung zur Verfügung:

wird vor Zuschlagserteilung ergänzt

(2) Änderungen des Verarbeitungsgegenstandes und des Verfahrens sind schriftlich zu vereinbaren.

§ 3 - Datenschutzbestimmungen

Der Auftragnehmer unterwirft sich bei der Verarbeitung von Daten im Zusammenhang mit der Wartung denselben Anforderungen, die für den Auftraggeber gelten. Er hat insbesondere die einschlägigen Vorschriften der EU-DSGVO, des Bundesdatenschutzgesetzes (BDSG), des Datenschutzgesetzes des Landes Nordrhein-Westfalen (DSG NRW), des Gesundheitsdatenschutzgesetzes NRW (GDSG NRW) und des Sozialgesetzbuches (Erstes und Zehntes Buch, SGB I, X) zu beachten.

§ 4 – Rechte und Pflichten des Auftraggebers

1. Für die Beurteilung der Zulässigkeit der Wartung sowie für die Wahrung der

Rechte der Betroffenen bleibt der Auftraggeber verantwortlich. Die Initiierung einer Fernwartung muss stets durch den Auftraggeber erfolgen, sodass Fernwartungsarbeiten nur mit seinem Wissen und Willen beginnen können.

1. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen. Der Auftraggeber ist jederzeit berechtigt, im Rahmen der Beauftragung Einzelweisungen zum Schutz personenbezogener und anderer Daten zu erteilen und die Einhaltung der Vorschriften über den Datenschutz und der von ihm getroffenen Weisungen zu überprüfen. Er darf ungeachtet der Anwendbarkeit dieser Vorschrift die Rechte nach § 80 Abs. 2 Sozialgesetzbuch X (SGB X) wahrnehmen.

Weisungsberechtigte Personen des Auftraggebers sind:

wird vor Zuschlagserteilung ergänzt

Beauftragte Personen des Auftragnehmers sind

wird vor Zuschlagserteilung ergänzt

Bei einem Wechsel oder einer längerfristigen Verhinderung des Ansprechpartners wird dem Vertragspartner unverzüglich schriftlich der Nachfolger bzw. der Vertreter mitgeteilt.

Bei der Eskalation von Wartungsfällen ist wird vor Zuschlagserteilung ergänzt einzuschalten.

1. Im System des Auftraggebers werden die Zugriffe, die für Wartungsarbeiten erfolgen, dokumentiert und/oder - soweit technisch realisierbar - protokolliert. Die Protokollierung erfolgt so, dass sie in einer Revision nachvollzogen werden kann. Die Protokollierung darf vom Auftragnehmer nicht abgeschaltet oder in sonstiger Weise beeinflusst werden.
2. Der Auftraggeber verpflichtet sich, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherungsmaßnahmen des Auftragnehmers geheim zu halten und in keinem Fall Dritten zur Kenntnis bringen. Diese Pflicht besteht auch über das Ende dieses Vertragsverhältnisses hinaus.
3. Der Auftraggeber ist berechtigt, einmal jährlich oder in sachlich begründeten Fällen auch darüber hinaus die Datenverarbeitung beim Auftragnehmer im Hinblick auf die unter § 5 genannten Pflichten des Auftragnehmers zu überprüfen. Eine Überprüfung auf Wunsch des Auftragnehmers kann gegen Rechnung vorgenommen werden.
4. Die technische Realisierung des Zuganges für die Wartung bzw. Fernwartung richtet sich nach Vorgaben des Auftraggebers. Der Zugang erfolgt durch Anmeldung an einem Terminal-Server-Portal. Die Authentisierung erfolgt mit einer vom Auftraggeber eingerichteten Benutzerkennung, einem Passwort, einer individuellen PIN und einer Token-Karte für die Eingabe eines Zufallschlüssels. Die Beschaffung der Token-Karte erfolgt durch den Auftraggeber. Diese wird dem Auftragnehmer für die Dauer des Vertragsverhältnisses oder für die Dauer der Wartung zur Verfügung gestellt.
5. Ein Zugriff des Wartungspersonals auf personenbezogene Daten kann nur ausnahmsweise in Betracht kommen, wenn sich ohne Kenntnis der Daten der Fehler des IT-Systems nicht beheben lässt und – abgesehen von der Zustimmung des Betroffenen – eine ausreichende Offenbarungsbefugnis vorliegt (Stichwort Anonymisierung / Pseudonymisierung).

§ 5 – Pflichten des Auftragnehmers

1. Die Wartung ist grundsätzlich von dem Auftragnehmer selbst zu erbringen. Die Beauftragung Dritter bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers. Der Auftragnehmer führt die Wartung ausschließlich im Rahmen der getroffenen Vereinbarung und nach Weisung des Auftraggebers durch.

2. Der Auftragnehmer gewährleistet, dass das mit der Vertragserfüllung beauftragte Personal über die erforderlichen Qualifikationen und Erfahrungen für die Erbringung der von ihm geforderten Leistungen und die entsprechende Zuverlässigkeit verfügt.

3. Der Auftragnehmer sichert die datenschutzkonforme Abwicklung aller Maßnahmen zu. Er stellt sicher, dass die verarbeiteten Daten von sonstigen Datenbeständen getrennt werden.

4. Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber jederzeit berechtigt ist, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu kontrollieren, insbesondere durch die Einholung von Auskünften; im Einzelfall auch beim Auftragnehmer unmittelbar.

5. Der Auftragnehmer verwendet Daten, die ihm im Rahmen der Erfüllung dieses Vertrages bekannt geworden sind, nur für Zwecke der Wartung. Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Soweit möglich erfolgt die Wartung am Bildschirm ohne gleichzeitige Speicherung.

6. Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherungsmaßnahmen des Auftraggebers geheim zu halten und in keinem Fall Dritten zur Kenntnis zu geben. Diese Pflicht besteht auch über das Ende dieses Vertragsverhältnisses hinaus.

7. Der Beginn der Wartung ist anzukündigen, um den Beauftragten des Auftraggebers die Möglichkeit zu geben, die Maßnahmen der Wartung zu verfolgen und ggf. abbrechen zu können.

8. Bei der Datenverarbeitung insbesondere durch Fernwartung sind die technischen und organisatorischen Maßnahmen im Sinne des Art. 25 und 32 EU-DSGVO, §§ 15 und 58 DSG NRW sicherzustellen.

9. Die Fernwartung von Privatwohnungen aus ist grundsätzlich nicht gestattet. Soll im Einzelfall davon abgewichen werden, ist dies dem Auftraggeber anzuzeigen. Der Auftragnehmer ist in diesen Fällen dafür verantwortlich, das alle Sicherheitsanforderungen, die aus dieser Vereinbarung an die Arbeitsplätze im Unternehmen des Auftragnehmers gestellt werden, auch dort erfüllt sind.

10. Der Auftragnehmer erklärt sich damit einverstanden, dass die Wartung durch IT-Sachverständige des Auftraggebers beobachtet werden und ggf. auch abgebrochen werden kann.

11. Der Auftragnehmer unterrichtet den Auftraggeber, sofern er im Zuge seiner Wartungsarbeiten davon Kenntnis erlangt, umgehend über technische und organisatorische Unzulänglichkeiten der Datensicherung.

12. Sollte der Schutz personenbezogener Daten durch Maßnahmen Dritter, etwa durch Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber sofort zu verständigen. Das Eigentum des Auftraggebers an den Daten (z. B. Datenträger, Arbeitskopien, Behältnisse) ist rechtzeitig zu kennzeichnen.

13. Sofern Daten zu Wartungszwecken auf Systeme des Auftragnehmers übertragen werden müssen, ist hierfür die vorherige Zustimmung des Auftraggebers erforderlich. Diese Daten dürfen nicht unbefugt verändert, übertragen oder gelöscht werden. Notwendige Datenübertragungen zu Zwecken der Wartung sind hinreichend zu verschlüsseln. Ausnahmen sind besonders zu begründen.

14. Bei der Authentisierung ist zusätzlich zum Passwort und einer PIN eine Token-Karte zu verwenden, die durch den Auftraggeber gestellt wird. Nach Beendigung des Vertragsverhältnisses ist die Token-Karte vollständig an den Auftraggeber zurückzugeben.

Bei Verlust hat der Auftragnehmer die Kosten der Ersatzbeschaffung zu tragen.

1. Sofern im Rahmen der Wartung vom Auftragnehmer zusätzliche Werkzeuge (z.B. zur Diagnose) installiert werden, so geschieht dies nur mit Genehmigung des Auftraggebers. Für die Lizenzierung dieser Komponenten ist der Auftragnehmer verantwortlich.

§ 6 – Verpflichtung zur Geheimhaltung

1. Der Auftragnehmer lässt die Wartung bzw. Fernwartung nur von Beschäftigten durchführen, die auf das Datengeheimnis (Art. 28 Abs.3 b) EU-DSGVO, § 53 BDSG bzw. § 41 DSG NRW) verpflichtet sind.
2. Der Auftragnehmer verpflichtet sich, bei Wartung bzw. Fernwartung in sensiblen Bereichen, soweit beispielsweise Daten, einem Berufs- oder besonderen Amtsgeheimnis unterliegen, nur Mitarbeiter einzusetzen, die nach dem Verpflichtungsgesetz des Landes verpflichtet sind.
3. Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind. Er überwacht die Einhaltung der datenschutzrechtlichen Vorschriften.

§ 7 – Zweckbindung

Der Auftragnehmer verpflichtet sich, die Daten ausschließlich zu dem in §§ 1 und 2 dieser Vereinbarung genannten Zwecke zu verwenden, sie insbesondere nicht zu anderen Zwecken zu verarbeiten oder an Dritte zu übermitteln.

§ 8 – Löschung von Daten

Der Auftragnehmer verpflichtet sich, spätestens nach Beendigung des Vertragsverhältnisses sämtliche erhaltene Daten auf Datenträgern zu löschen und alle etwa noch verbliebenen Arbeitskopien und Arbeitsergebnisse im eigenen Besitz, die mit diesen Daten verbunden sind, zu vernichten.

Dies ist dem Auftraggeber nach Beendigung der Arbeiten schriftlich zu bestätigen.

§ 9 – Kontrolle durch den Datenschutzbeauftragten vor Ort

Der Auftragnehmer unterwirft sich im Rahmen der Wartung der Kontrolle der Landesbeauftragten für Datenschutz und Informationsfreiheit NRW und des bzw. der Datenschutzbeauftragten des Auftraggebers.

§ 10 – Schadensersatz

Der Auftragnehmer stellt den Auftraggeber frei von Ansprüchen nach Maßgabe des Art. 82 EU-DSGVO,§ 83 BDSG, § 68 DSG NRW, § 82 SGB X, die ihm als Verantwortlicher in Durchführung dieses Vertrages durch den Auftragnehmer entstehen, soweit er diese zu vertreten hat.

§ 11 – Wirksamkeit der Vereinbarung

Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

Änderungen des Vertrages bedürfen der Schriftform. Dies gilt auch für das Schriftformerfordernis selbst.