[Seite 1]
AGB-IT-BR – 06/2020
Besondere Bestimmungen zu Vertraulichkeit, Datenschutz und IT-Sicherheit im BR
Nachfolgende besondere Bestimmungen gelten ergänzend zu den AGB-BR Weiterhin verpflichtet sich der AN dazu, für alle juristischen und natürlichen Personen einschließlich deren Erfüllungsgehilfen (nachfolgend: Auftragnehmer - AN -), die der BR einen aktiven und aktuellen Schutz vor Schadsoftware (Maleware, Viren (nachfolgend: Auftraggeber - AG -) im Rahmen einer vertraglichen etc.) verwenden. Vereinbarung mit der Erbringung von Leistungen betraut. Der AN wird eigene den Betrieb von AN-eigenen Geräten am BR-Netzwerk vorab dem AG Arbeitnehmer und sonstige Erfüllungsgehilfen in geeigneter Weise zur rechtzeitig anzuzeigen und von der/dem IT-Sicherheitsbeauftragten eine Einhaltung dieser Bestimmungen verpflichten und dies dem AG auf Verlangen Betriebsgenehmigung einzuholen. nachweisen. Er haftet für alle Schäden in vollem Umfang, die dem AG durch Verletzung dieser Bestimmungen entstehen. Der AG kann geeignete Der/die Datenschutzbeauftragte und/oder der/die IT-Sicherheitsbeauftragte Maßnahmen treffen, um die Einhaltung dieser Bestimmungen zu überwachen. des BR und ggf. andere Beauftragte des AG sind berechtigt, zu den üblichen Geschäftszeiten unangemeldet den AN aufzusuchen, um sich über die I. Vertraulichkeit Einhaltung der in diesem Vertrag festgelegten Verarbeitungsregelungen zu informieren und zu prüfen, ob den Belangen des Datenschutzes und/oder der
-
Der AN wird die einschlägigen EU-rechtlichen, bundes- und IT-Sicherheit in ausreichendem Maße Rechnung getragen wird. landesrechtlichen Bestimmungen über den Datenschutz beachten. Er wird, soweit nicht vertraglich anderes verabredet ist, Vorsätzlich oder grob fahrlässig verursachte Verstöße gegen die Nutzungsbestimmungen und die Bestimmungen über den Datenschutz und die aus dem Bereich des AG erlangten Informationen über die Datensicherheit können den sofortigen Entzug aller Berechtigungen, die Geschäftsvorgänge vertraulich behandeln, nicht an Dritte Kündigung des Auftrages aus wichtigem Grund und eine Strafanzeige zur weitergeben oder sonst verwerten und verwenden. Folge haben. Aufzeichnungen von Informationen über Geschäftsvorgänge des Soweit dem AG durch derartige Verstöße Schäden verursacht werden, stehen AG unterlassen. die erbrachten Leistungen und sonstigen ihm insoweit auch die gesetzlichen Schadensersatzansprüche zu. Arbeitsergebnisse weder ganz noch teilweise in einer nicht oder nur unwesentlich veränderten Form weitergeben. 2. Besondere Pflichten bei Zugriffen auf das Datennetz des BR über alle Kenntnisse darüber, dass und in welcher Weise die externe Kommunikationsmittel Leistungen und sonstigen Arbeitsergebnisse durch den AG genutzt werden, vertraulich behandeln. Ist zur Leistungserbringung der Einsatz externer Kommunikationsmittel (Hard- und Softwarelösungen zur Verbindungsaufnahme, wie z. B. Modems, ISDN-
-
Die Pflicht zur Vertraulichkeit dauert auch nach Beendigung der Adapter, ISDN-Router, DSL-Anschlüsse o. ä.) im Datennetz des BR Zusammenarbeit an. vereinbart, so gelten nachfolgende Vorgaben:
-
Der AN wird auf Verlangen des AG alle an ihn oder seine Eine Verbindung über externe Kommunikationsmittel darf Erfüllungsgehilfen ausgehändigten Arbeitsunterlagen und Datenträger nur zur Erfüllung einer vertraglichen Vereinbarung sowie sämtliche davon angefertigten Kopien zurückgeben bzw. hergestellt werden. nachweisbar vernichten. Zur Herstellung von Verbindungen dürfen innerhalb des BR nur Kommunikationswege und -mittel eingesetzt werden, die II. IT-Sicherheit vor der Auftragsvergabe vom AG geprüft und genehmigt worden sind. Zur Gewährleistung der informationstechnischen Sicherheit in den Externe Kommunikationswege und -mittel müssen Daten Datennetzen des AG sind, soweit vertraglich nichts anderes vereinbart ist, verschlüsselt übertragen und die eindeutige Autorisierung vom AN die nachfolgenden Regelungen einzuhalten. der Absenderadresse, in der Regel des externen Telekommunikationssystems, mit sich führen.
-
Allgemeine Pflichten Die Systemkonfiguration auf der AG-Seite erfolgt ausschließlich durch Administratoren des AG. Hard- und Software, Daten und Dienste des BR, sind nur für die mit dem Externe Zugriffe auf Systeme im BR-Netzwerk finden in der BR vereinbarten Tätigkeiten zu nutzen. Die Nutzung für andere, z.B. Regel WEB-basiert und verschlüsselt statt. Die private, Zwecke ist ausgeschlossen. Authentisierung am Zugangsportal erfolgt mittels vom AG Es sind ausschließlich die vom BR freigegebenen bereitgestellter RSA - Secure Token. Der Kommunikationswege und Systeme zu nutzen. Diese sind ggf. vor Systemadministrator des AG weist dem AN über diese Vertragsabschluss auf Eignung zu prüfen. Benutzeranmeldung definierte Zugriffsrechte zu. Passwörter Die Zugriffssicherungen, Passwörter und äquivalenten vertraulichen dürfen durch den AN nicht abgespeichert oder Daten und Lösungen sind geheim zu halten und nicht an Dritte weitergegeben werden. weiterzugeben. Es sind alle Versuche zu unterlassen, über den Vertragsgegenstand 3. Besondere Pflichten bei Einräumung administrativer Rechte hinausgehende Informationen über das Netzwerk sowie die Informationstechnik und die verwalteten Daten zu erhalten. Sofern zur Leistungserbringung die Einräumung von Administratoren-, Superuser- oder Root-Rechten notwendig sind, wird der AN zudem Schwachstellen und IT-Sicherheitsvorfälle sind unverzüglich den sicherstellen, dass zuständigen Stellen im BR anzuzeigen. Dies sind der/die Datenschutzbeauftragte und der/die IT- Sicherheitsbeauftragte oder dessen Vertreter, sowie die vertraglich benannten Ansprechpartner des diese Zugriffe zeitlich auf ein Minimum begrenzt und AG. ausschließlich im Rahmen und zum Zwecke der Leistungserbringung eingesetzt werden. Der AN ist verpflichtet, die datenschutzrechtlichen Grundsätze nach Art. 5 DS-GVO zu beachten und ihre Einhaltung nachzuweisen. nutzerbezogene Informationen (z.B. Protokolldaten) nur für Insbesondere trifft er angemessene technische und organisatorische betriebliche Zwecke im Rahmen der Leistungserbringung Maßnahmen auf dem Stand der Technik, um die Integrität, verwendet werden. Verfügbarkeit und Vertraulichkeit von Informationen und Änderungen an BR-Systemen nur nach Rücksprache mit personenbezogenen Daten sicherzustellen. den verantwortlichen Stellen beim BR vorgenommen werden. Der AN garantiert, dass die von ihm genutzten Systeme sowie alle Kommunikationsschnittstellen zum/vom BR, sicherheitstechnisch dem 4. Nutzerbezogene Protokolldaten der IT-Systeme dürfen aktuellen Stand der Technik entsprechen und nach diesem betrieben werden. ausschließlich an den/die Datenschutzbeauftragte/n sowie den/die Insbesondere sichert der AN zu, den Zugang zum BR-Netzwerk und den ITSicherheitsbeauftragte/n des BR und nur auf deren schriftliche Informationssystemen nur über Systeme herzustellen, die Anforderung herausgegeben werden. Für den Fall, dass der AN im keine Schaden stiftende Software enthalten und diesbezüglich geprüft Rahmen einer Auftragsdatenverarbeitung personenbezogene Daten sind. des BR verarbeitet, unterwirft er sich der Kontrolle des/der Datenschutzbeauftragten des BR einen aktuellen Sicherheitspatch-Stand entsprechend den Informationen der Anbieter der auf den Systemen verwendeten Softwareprodukte besitzen.