[Seite 1]
Verpflichtung auf die Vertraulichkeit
Herr/Frau/Firma Klicken Sie hier, um Text einzugeben.
Name, Vorname / Firmenname
wird hiermit auf die Wahrung der Vertraulichkeit verpflichtet.
Verarbeitung personenbezogener Daten Die einschlägigen gesetzlichen Vorschriften verlangen, dass personenbezogene Daten so verarbeitet werden, dass die Rechte der durch die Verarbeitung betroffenen Personen auf Vertraulichkeit und Integrität ihrer Daten gewährleistet werden. Daher ist es Ihnen auch nur gestattet, personenbezogene Daten in dem Umfang und in der Weise zu verarbeiten, wie es zur Erfüllung der Ihnen übertragenen Aufgaben erforderlich ist.
Nach diesen Vorschriften ist es untersagt, personenbezogene Daten unbefugt oder unrechtmäßig zu verarbeiten oder absichtlich oder unabsichtlich die Sicherheit der Verarbeitung in einer Weise zu verletzen, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugter Offenlegung oder unbefugtem Zugang führt.
Die Verpflichtung umfasst insbesondere folgende Punkte:
• Alle Daten, Programme und andere Informationen dürfen nur auf die Weise erhoben, verwahrt, verarbeitet oder ausgegeben werden, wie es von den Stadtwerken Speyer GmbH angeordnet wird. • Daten, Programme und andere Informationen dürfen nicht zu einem anderen als dem geschäftlichen Zweck vervielfältigt werden. • Es ist untersagt, Daten oder Programme zu verfälschen, unechte Daten oder Programme herzustellen sowie vorsätzlich unechte oder verfälschte Daten und Programme zu gebrauchen. • Es dürfen nur die für die konkrete Aufgabenerfüllung notwendigen Daten abgerufen werden. • Eine Weitergabe personenbezogener Daten an Dritte - auch an verbundene Unternehmen - ist nur zulässig, wenn dem Empfänger ein Recht auf Kenntnisnahme auf Grund einer Rechtsvorschrift zusteht oder der Betroffene hierzu eingewilligt hat. • Unterlagen mit personenbezogenen Daten sind sicher vor dem Zugriff Dritter aufzubewahren.
Bestehende Vorschriften über den Umgang bzw. die Sicherung personenbezogener Daten, z. B. im Hinblick auf den Kennwortschutz (Passwortschutz), sind zu beachten. Zum Schutz personenbezogener Daten ist im Rahmen der zugewiesenen Aufgabe die notwendige Sorgfalt anzuwenden; festgestellte Mängel sind zu melden.
Verstöße gegen die Datenschutzvorschriften können ggf. mit Geldbuße, Geldstrafe oder Freiheitsstrafe geahndet werden. Entsteht der betroffenen Person durch die unzulässige Verarbeitung ihrer personenbezogenen Daten ein materieller oder immaterieller Schaden, kann ein Schadenersatzanspruch entstehen.
Diese Verpflichtung besteht auch nach der Beendigung des Vertragsverhältnisses fort.
Zur Weitergabe an Dritte Version 1 vom 13.07.2021 Veröffentlicht Seite 1 von 5
[Seite 2]
Verpflichtung auf die Vertraulichkeit
Verpflichtung auf Vertraulichkeit Im Rahmen der Zusammenarbeit zwischen den Stadtwerken Speyer GmbH (nachfolgend SWS genannt) und der (nachfolgend Auftragnehmer genannt) erhält der/die Verpflichtete Zugang und Zugriff zu Systemen und Informationen der SWS. Zur Sicherstellung des ordnungsmäßigen Betriebs und Wahrung der Vertraulichkeit vereinbaren die SWS und der/die Verpflichtete folgende Grundsätze:
(1) Der/Die Verpflichtete sichert zu, die jeweils von den SWS erhaltenen Informationen vertraulich zu behandeln. Der Begriff "vertrauliche Informationen" bezieht sich dabei vor allem auf wirtschaftlich sensible oder vorteilhafte Informationen. Der Begriff ist grundsätzlich weit zu fassen und umfasst hierbei sowohl jegliches Anschauungsmaterial wie Unterlagen, Schriftstücke, Notizen, Dokumente, digitale Aufzeichnungen etc. als auch mündliche Mitteilungen.
(2) Vertrauliche Informationen können solche Informationen sein, die in irgendeiner Weise als vertraulich oder gesetzlich geschützt erkennbar bezeichnet werden oder deren vertraulicher Inhalt ersichtlich ist.
(3) Der/Die Verpflichtete wird die unbefugte Benutzung, Bekanntgabe, Veröffentlichung oder Verbreitung dieser Informationen unterlassen sowie gängige Standards zum Schutz dieser Informationen beachten. Er/Sie verpflichtet sich, diese Informationen gegenüber Dritten weder selbst noch durch andere Personen zu vervielfältigen, zu verbreiten, bekanntzugeben oder diese für andere Zwecke zu nutzen; es sei denn, es wird die vorherige schriftliche Einwilligung der SWS eingeholt.
(4) Die Verwendung der vertraulichen Informationen ist nur im Rahmen und zum Zwecke der zwischen den SWS und dem Auftragnehmer vertraglich vereinbarten Tätigkeiten zulässig.
(5) Die SWS sind dazu berechtigt, die Einhaltung der Vorschriften aus dieser Vereinbarung im erforderlichen Umfang zu kontrollieren oder kontrollieren zu lassen. Der/Die Verpflichtete gewährt dazu nach Absprache ungehinderten Zugang und Zugriff zu informationsverarbeitenden Systemen, Dateien und Informationen, die mit der Durchführung der Tätigkeiten in Verbindung stehen. Den SWS sind durch den/die Verpflichtete alle Auskünfte zu erteilen, die zur Erfüllung der Kontrollfunktion benötigt werden.
(6) Diese Vereinbarung legt darüber hinaus die grundlegenden Vorgaben zum Umgang mit Systemen der SWS fest. Diese Vorgaben sind im Umgang mit Systemen der SWS einzuhalten, um die Vertraulichkeitsvereinbarung technisch und organisatorisch sicherzustellen sowie unautorisierter Informationsweitergabe vorzubeugen. Dies betrifft alle im Rahmen der Auftragserfüllung zugänglichen Informationen der SWS.
(7) Der/Die Verpflichtete führt ausschließlich die Tätigkeiten durch, welche zur Erfüllung der vereinbarten Leistungen erforderlich sind. Der/Die Verpflichtete führt die Tätigkeiten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen der SWS durch.
(8) Für den/die Verpflichtete gelten allgemeine Standards sowie die Richtlinien und Verfahren der SWS zum Schutz und Umgang mit informationsverarbeitenden Systemen und Informationssicherheit. Bei der Umsetzung dieser Vorgaben können die SWS den Auftragnehmer (nach gesonderter Dienstleistungsbeauftragung) entsprechend unterstützen.
Zur Weitergabe an Dritte Version 2 vom 13.07.2021 Veröffentlicht Seite 2 von 5
[Seite 3]
Verpflichtung auf die Vertraulichkeit
(9) Der/Die Verpflichtete informiert die SWS unverzüglich, wenn er/sie Fehler oder Unregelmäßigkeiten feststellen, die beim Zugriff aufgetreten sind oder die einen Zugriff durch Unbefugte möglich machen bzw. wenn sie Sachverhalte oder Unregelmäßigkeiten feststellen, die in diesem Rahmen gegen die DS-GVO, das BDSG oder andere Gesetze und Vorschriften über den Datenschutz verstoßen.
(10) Der/Die Verpflichtete stellt sicher, dass durch ihn/sie die Infrastruktur der SWS im Rahmen seiner Tätigkeiten nicht negativ beeinflusst wird und ausschließlich durch SWS freigegebene Hard- und Software verwendet wird.
(11) Die SWS wird dem/der Verpflichteten nur die für die Durchführung der vereinbarten Tätigkeiten benötigten Zugriffsrechte bereitstellen, deren Aktualität regelmäßig überprüfen und gegebenenfalls Korrekturen vornehmen. Der/Die Verpflichtete darf von den ihm eingeräumten Zugriffsrechten nur in dem für die Durchführung der Tätigkeiten unerlässlich notwendigen Umfang Gebrauch machen.
(12)Notwendige Datenübertragungen zu Zwecken des Zugriffs müssen in hinreichend verschlüsselter Form erfolgen; Ausnahmen sind besonders zu begründen.
(13)Die SWS ist dazu berechtigt Protokolldaten innerhalb seiner Infrastruktur bei begründetem Verdacht auszuwerten. Dies kann auch Protokolldaten des/der Verpflichteten betreffen.
(14)Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform.
Die voranstehenden Verhaltensgrundsätze beziehen sich ausschließlich auf Systeme und Informationen der SWS im Rahmen der zwischen SWS und dem Auftragnehmer vereinbarten Tätigkeiten.
Einen Abdruck dieser Verpflichtungserklärung und Vertraulichkeitsvereinbarung und eine Informationsunterlage zum Bundesdatenschutzgesetz hat der/die Verpflichtete erhalten.
Der Empfang und die Kenntnisnahme dieser Verpflichtungserklärung und Vertraulichkeitsvereinbarung werden durch Rückgabe des unterschriebenen Exemplars bestätigt. Eine Kopie des übergebenen Exemplars wird den Auftragsunterlagen beigefügt.
, den Ort, Datum Unterschrift des/der Verpflichteten
Zur Weitergabe an Dritte Version 2 vom 13.07.2021 Veröffentlicht Seite 3 von 5
[Seite 4]
Verpflichtung auf die Vertraulichkeit
Anlage zur Verpflichtung auf die Vertraulichkeit Die vorliegende Auswahl gesetzlicher Vorschriften soll Ihnen einen Überblick über das datenschutzrechtliche Regelwerk verschaffen. Die Darstellung erfolgt exemplarisch und ist keineswegs vollständig. Weitere Informationen zu datenschutzrechtlichen Fragestellungen erhalten Sie beim betrieblichen Datenschutzbeauftragten.
Begrifflichkeiten
Art. 4 Nr. 1 DS-GVO: „Personenbezogene Daten“ [sind] alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
Art. 4 Nr. 2 DS-GVO: „Verarbeitung“ [meint] jeden mit oder ohne Hilfe automatisierter Verfahren aus- geführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
Grundsätze der Verarbeitung
Art. 5 Abs. 1 lit. a DS-GVO: Personenbezogene Daten müssen [...] auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“).
Art. 5 Abs. 1 lit. f DS-GVO: Personenbezogene Daten müssen [...] in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).
Art. 29 DS-GVO: Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.
Zur Weitergabe an Dritte Version 2 vom 13.07.2021 Veröffentlicht Seite 4 von 5
[Seite 5]
Verpflichtung auf die Vertraulichkeit
Art. 32 Abs. 2 DS-GVO: Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung insbesondere durch Vernichtung, Verlust oder Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden – verbunden sind.
Art. 33 Abs. 1 Satz 1 DS-GVO: Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der [...] zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Haftung
Art. 82 Abs. 1 DS-GVO: Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
Art. 83 Abs. 1 DS-GVO: Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen
gemäß diesem Artikel für Verstöße gegen diese Verordnung [...] in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
Strafvorschriften des § 42 BDSG-neu
(1) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen, ohne hierzu berechtigt zu sein,
- einem Dritten übermittelt oder
- auf andere Art und Weise zugänglich macht und hierbei gewerbsmäßig handelt.
(2) Mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe wird bestraft, wer personenbezogene Daten, die nicht allgemein zugänglich sind, 3. ohne hierzu berechtigt zu sein, verarbeitet oder 4. durch unrichtige Angaben erschleicht und hierbei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen.
(3) Die Tat wird nur auf Antrag verfolgt. Antragsberechtigt sind die betroffene Person, der Verantwortliche, die oder der Bundesbeauftragte und die Aufsichtsbehörde.
Zur Weitergabe an Dritte Version 2 vom 13.07.2021 Veröffentlicht Seite 5 von 5