Zusatzvereinbarung_Fernwartung.pdf

[Seite 1]

Zusatzvereinbarung

Fernwartung

Version 1.2 Stand Juni 2021

zwischen

Deutsche Rentenversicherung Nord Ost West Informationstechnik GmbH (NOW IT GmbH)

(im Folgenden Verantwortlicher genannt),

und

vertreten durch

(im Folgenden Auftragsverarbeiter genannt)

Allgemeines: Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen in Form einer Fernwartung von IT-Systemen. Er verarbeitet dabei personenbezogene Daten für den Verantwortlichen im Sinne des Art. 4 Nr. 8 und Art. 28 DSGVO. Die Dauer der Vereinbarung (Laufzeit) entspricht der Laufzeit des Fernwartungsvertrages.

I. Gegenstand und Dauer der Vereinbarung, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien personenbezogener Daten

Diese Vereinbarung umfasst folgende, vom Auftragsverarbeiter durchzuführende Fernwartungs- arbeiten:

1. Hardware-Diagnose: für folgende(s) Hardwareprodukt(e):

2. Software-Wartung: für folgende(s) Softwareprodukt(e):

(z. B. in Form von Fehleranalysen oder Supportarbeiten.)

ZV Fernwartung Seite - 1 - von 6

[Seite 2]

Zusatzvereinbarung Fernwartung

Vertragsnummer/Kennung Verantwortlicher Vertragsnummer/Kennung Auftragsverarbeiter

Zweck der Verarbeitung (Art. 4 Nr. 2 DSGVO):

(z. B. Software-Wartung: Behebung von Fehlerzuständen in der Anwendung "xyz")

• Art der personenbezogenen Daten:

Damit verbunden sind folgende Zugriffe:

Es dürfen nur die Zugriffsrechte eingeräumt werden, die für die Durchführung der Fernwartungs- arbeiten benötigt werden.

Die damit verbundenen Zugriffe auf Sozialdaten und Gesundheitsdaten sind gesondert zu be- schreiben.

• Kategorien betroffener Personen

Beschäftigte, Versicherte, Dritte,

• Erbringung der Fernwartung/Standort

Die Fernwartung wird ausschließlich von einem Standort eines Mitgliedstaats der Europäischen Union oder einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum aus erbracht. Jede Verlagerung (auch von Teilleistungen) bedarf der vorherigen Zustimmung des Ver- antwortlichen.

• Beendigungsmöglichkeit (optional)

Der Verantwortliche kann die Vereinbarung jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen Datenschutzvorschriften oder Best- immungen dieser Vereinbarung vorliegt, der Auftragsverarbeiter eine Weisung des Verantwortli- chen nicht ausführen kann oder will oder der Auftragsverarbeiter Kontrollrechte des Verantwortli- chen entgegen dieser Vereinbarung verweigert.

II. Rechte und Pflichten sowie Weisungsbefugnisse des Verantwortlichen

1. Für die Beurteilung der Zulässigkeit der Verarbeitung im Rahmen der Fernwartung sowie für die Wahrung der Rechte der Betroffenen (Art. 12 bis 22 DSGVO) ist der Verantwortliche verantwortlich. Der Auftragsverarbeiter ist verpflichtet, Anfragen zu den Betroffenenrechten an den Verantwortlichen weiterzuleiten.

2. Der Verantwortliche hat das Recht, Weisungen über Art, Umfang und Ablauf der Fernwartung zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.

Weisungsberechtigte Personen des Verantwortlichen sind:

(Name, Organisationseinheit, Funktion, Telefon)

Beauftragte Personen (Weisungsempfänger) des Auftragsverarbeiters sind:

ZV Fernwartung Seite - 2 - von 6

[Seite 3]

Zusatzvereinbarung Fernwartung

Vertragsnummer/Kennung Verantwortlicher Vertragsnummer/Kennung Auftragsverarbeiter

(Name, Organisationseinheit, Funktion, Telefon)

Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner wird dem Vertragspartner unverzüglich schriftlich der Nachfolger bzw. der Vertreter mitgeteilt.

3. Im System des Verantwortlichen werden alle Zugriffe, die für Wartungsarbeiten erfolgen, protokolliert. Die Protokollierung muss so erfolgen, dass sie in einer Revision nachvollzogen werden kann. Die Protokollierung darf vom Auftragsverarbeiter nicht abgeschaltet werden.

4. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt, die bei der Fernwartung aufgetreten sind oder die einen Zugriff durch Unbefugte möglich machen.

5. Der Verantwortliche ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragsverarbeiters geheim zu halten und in keinem Fall Dritten zur Kenntnis zu bringen.

III. Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter führt die Fernwartung ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Verantwortlichen durch, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z.B. Ermittlungen von Strafverfolgungsbehörden); in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung (Weiterleitung) mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

2. Der Auftragsverarbeiter verwendet Daten, die ihm im Rahmen der Erfüllung dieses Vertrags bekannt geworden sind, nur für Zwecke der Fernwartung. Kopien oder Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt. Soweit möglich und sachgerecht, erfolgt die Fernwartung am Bildschirm ohne gleichzeitige Speicherung im System des Auftragsverarbeiters.

3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er Sachverhalte oder Unregelmäßigkeiten feststellt, die gegen datenschutzrechtliche Vorschriften verstoßen, insbesondere solche, die einen Zugriff durch Unbefugte möglich machen.

4. Der Auftragsverarbeiter ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Verantwortlichen geheim zu halten und in keinem Fall Dritten zur Kenntnis zu bringen.

5. Der Auftragsverarbeiter sichert die vertragsmäßige Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die verarbeiteten Daten von sonstigen Datenbeständen getrennt werden.

6. Notwendige Datenübertragungen zu Zwecken der Fernwartung sind nach dem Stand der Technik zu verschlüsseln.

7. Der Auftragsverarbeiter teilt dem Verantwortlichen vor Beginn der Fernwartung mit, welche Mitarbeiter er dafür einsetzen wird und wie diese Mitarbeiter sich identifizieren werden. Die

ZV Fernwartung Seite - 3 - von 6

[Seite 4]

Zusatzvereinbarung Fernwartung

Vertragsnummer/Kennung Verantwortlicher Vertragsnummer/Kennung Auftragsverarbeiter

Mitarbeiter des Auftragsverarbeiters verwenden hinreichend sichere Identifizierungsverfahren.

8. Der Beginn der Fernwartung ist telefonisch anzukündigen, um den Beauftragten des Verantwortlichen die Möglichkeit zu geben, die Maßnahmen der Fernwartung zu verfolgen.

9. Fernwartungen dürfen nur von der Fernwartungszentrale aus vorgenommen werden, deren Sicherheitsmaßnahmen den vereinbarten Maßnahmen entsprechen. Soll im Einzelfall davon abgewichen werden, bedarf dies einer gesonderten schriftlichen Zustimmung des Verantwortlichen.

10. Der Auftragsverarbeiter erkennt an, dass der Verantwortliche jederzeit berechtigt ist, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu kontrollieren, insbesondere durch die Einholung von Auskünften. Ergeben sich Zweifel, so gestattet der Auftragsverarbeiter die Einsichtnahme in gespeicherte Daten und Datenverarbeitungsprogramme sowie Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

11. Nach Abschluss der vertraglichen Arbeiten hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, ◦ dem Verantwortlichen auszuhändigen oder ◦ datenschutzgerecht zu löschen bzw. zu vernichten/vernichten zu lassen (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Die Löschung bzw. Vernichtung ist dem Verantwortlichen mit Datumsangabe schriftlich zu bestätigen.

12. Für die Sicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren sind mit dem Verantwortlichen abzustimmen.

13. Der Verantwortliche hat das Recht, die Fernwartung zu unterbrechen, insbesondere wenn er den Eindruck gewinnt, dass unbefugt auf Dateien zugegriffen wird. Die Unterbrechung kann erfolgen, wenn eine Fernwartung mit nicht vereinbarten Hard- und Softwarekomponenten festgestellt wird.

14. Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen der Datenschutzaufsichtsbehörde zu informieren. Dies gilt auch, soweit eine zuständige Behörde wegen Bußgeld- oder Strafverfahren im Zusammenhang mit Datenschutzverstößen beim Auftragsverarbeiter ermittelt.

15. Der Auftragsverarbeiter hat im notwendigen Umfang mitzuwirken bei Erfüllung der Rechte der betroffenen Personen nach Art. 12 – 22 DSGVO durch den Verantwortlichen, an der Erstellung des Verzeichnisses der Verarbeitungstätigkeiten, sowie bei erforderlichen Datenschutz-Folgenabschätzungen des Verantwortlichen und hat den Verantwortlichen - soweit möglich- angemessen zu unterstützen (Art. 28 Abs. 3 S. 2 lit. e und f DSGVO).

16. Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Betroffenen darf der Auftragsverarbeiter nur nach vorheriger Weisung oder Zustimmung durch den Verantwortlichen erteilen.

17. Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich darauf aufmerksam machen, wenn eine vom Verantwortlichen erteilte Weisung seiner Meinung nach gegen die gesetzlichen Vorschriften verstößt (Art 28 Abs. 3 Satz 3 DSGVO).

18. Sollte der Schutz personenbezogener Daten durch Maßnahmen Dritter, etwa durch Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragsverarbeiter den Verantwortlichen sofort zu verständigen. Das Eigentum des

ZV Fernwartung Seite - 4 - von 6

[Seite 5]

Zusatzvereinbarung Fernwartung

Vertragsnummer/Kennung Verantwortlicher Vertragsnummer/Kennung Auftragsverarbeiter

Verantwortlichen an den Daten (z.B. Datenträger, Arbeitskopien) ist rechtzeitig zu kennzeichnen.

19. Falls zutreffend: Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen über den Ausschluss von genehmigten Verhaltensregeln nach Art. 41 Abs. 4 DSGVO und den Widerruf einer Zertifizierung nach Art. 42 Abs. 7 DSGVO unverzüglich zu informieren.

IV. Datengeheimnis

1. Der Auftragsverarbeiter bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO sowie der allgemeinen Datenschutzgesetze (BDSG, Landesdatenschutzgesetze) bekannt sind. Er verpflichtet sich auch folgende, für diesen Auftrag relevanten Datenschutzregelungen, zu beachten, die dem Verantwortlichen obliegen:

§ 88 TKG – Fernmeldegeheimnis § 206 StGB – Verletzung des Post- oder Fernmeldegeheimnisses § 17 UWG – Verrat von Geschäfts- und Betriebsgeheimnissen

(z.B. Telekommunikationsgesetz, Sozialgesetzbuch, SGB I, X).

2. Sind von der Wartungstätigkeit möglicherweise Daten betroffen, die dem Arztgeheimnis unterliegen, wird jeder Mitarbeiter des Auftragsverarbeiters, der diese zur Kenntnis nehmen kann, vom Auftragsverarbeiter explizit auf das ärztliche Berufsgeheimnis und die besondere Schweigepflicht verpflichtet (§ 203 Abs. 4 StGB).

3. Der Auftragsverarbeiter sichert zu, die Fernwartung nur von Beschäftigten durchführen zu lassen, die vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut gemacht wurden und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet wurden (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DSGVO). Der Auftragsverarbeiter überwacht die Einhaltungen.

V. Unterauftragsverhältnisse mit Subunternehmern

Die Beauftragung von Subunternehmern zur Durchführung der Fernwartung ist dem Auftragsver- arbeiter nur mit ausdrücklicher und schriftlicher Genehmigung des Verantwortlichen gestattet (Art. 28 Abs. 2 DSGVO). Die Zustimmung kann nur erteilt werden, wenn der Auftragsverarbeiter dem Verantwortlichen Namen und Anschrift sowie die vorgesehene Tätigkeit des Subunterneh- mers mitteilt. Außerdem muss der Auftragsverarbeiter dafür Sorge tragen, dass er den Subunter- nehmer unter Berücksichtigung des Art. 32 DSGVO sorgfältig auswählt. Der Auftragsverarbeiter hat vertraglich sicher zu stellen, dass die vereinbarten Regelungen zwischen Verantwortlichem und Auftragsverarbeiter auch gegenüber Subunternehmern gelten. Der Vertrag mit dem Subunternehmer muss schriftlich abgefasst sein.

Zurzeit sind für den Auftragsverarbeiter die in Anlage mit Namen, Anschrift und Auftragsin- halt bezeichneten Subunternehmer mit der Fernwartung beschäftigt. Mit deren Beauftragung ist der Verantwortliche einverstanden.

ZV Fernwartung Seite - 5 - von 6

[Seite 6]

Zusatzvereinbarung Fernwartung

Vertragsnummer/Kennung Verantwortlicher Vertragsnummer/Kennung Auftragsverarbeiter

VI. Technisch-organisatorische Maßnahmen nach Art 32 DSGVO

Bei Durchführung der Fernwartung werden die Schutzziele des Art. 32 Abs. 1 DSGVO, wie Ver- traulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitung derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko der Fernwartung auf Dauer eingedämmt wird (Art. 28 Abs. 3 Satz 2 lit c DSGVO).

• Die Maßnahmen dienen dazu, die Übertagung der Daten abzusichern und unbefugte Zugriffe auf das IT-System des Verantwortlichen im Rahmen der Fernwartung zu verhindern. • Der Auftragsverarbeiter beachtet bei sich die Grundsätze der ordnungsgemäßen und sicheren Datenverarbeitung.

Das im Anhang (unter IX) aufgeführte(n) Dokument(e) stellt die Auswahl der technischen und or- ganisatorischen Maßnahmen passend zum ermittelten Risiko unter Berücksichtigung der Schutz- ziele nach dem Stand der Technik unter Berücksichtigung der eingesetzten IT-Systeme und Ver- arbeitungsprozesse beim Auftragsverarbeiter dar. Das dort beschriebene Konzept wird bezüglich der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der da- tenschutzkonformen Verarbeitung regelmäßig überprüft, bewertet und evaluiert.

Die Maßnahmen beim Auftragsverarbeiter können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dürfen aber die vereinbarten Standards nicht unterschreiten.

Folgende Möglichkeiten des Nachweises bestehen:

− Auditierung, Zertifizierung nach Art 42 DSGVO − Jährliche Überprüfung und Bewertung der Maßnahmen mit Auditierung − Zertifizierung gem. ISO 27001 −

VII. Haftung

Auf Art. 82 DSGVO wird verwiesen.

VIII. Wirksamkeit der Vereinbarung

Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

IX. Anhang

Dokument Inhalt

ZV Fernwartung Seite - 6 - von 6