[Seite 1]
Bestimmungen zum Datenschutz und zur Datensicherheit zur Wartung automatisierter Verfahren oder Datenverarbeitungsanlagen (§ 80 Abs. 5 SGB X i. V. m. Art. 28 EU-DSGVO)
– Datenschutzbestimmungen –
§1
Gegenstand der Datenschutzbestimmungen
Diese Datenschutzbestimmungen sind Bestandteil der vereinbarten Leistungen ent- sprechend
2026-084-AE | Commvault Wartungsverlängerung
- im Folgenden Hauptvertrag genannt.
§2
Grundsätze
(1) Geschäftsgrundlage des Rechtsverhältnisses zwischen Auftragnehmer und Auf- traggeber ist, dass der Datenschutz beim Auftragnehmer nach der Art der zu ver- arbeitenden Daten den Anforderungen genügt, die für den Auftraggeber gelten.
(2) Der Auftraggeber, die für ihn zuständigen Aufsichtsbehörden oder von ihm beauf- tragte externe Prüfeinrichtungen sind berechtigt, sich vor Beginn der Auftragsver- arbeitung und anschließend regelmäßig von der Einhaltung der beim Auftragneh- mer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen, vgl. § 8 (Kontrollrechte des Auftraggebers).
§3
Allgemeine Pflichten des Auftragnehmers
(1) Der Auftragnehmer führt die (Fern)Wartung ausschließlich im Rahmen der im Ver- tragsgegenstand getroffenen Vereinbarungen und nach Weisungen des Auftrag- gebers durch. Er verwendet Daten, die ihm im Rahmen der Erfüllung dieses Vertra- ges bekannt geworden sind, nur für Zwecke der (Fern)Wartung. Wartungsaktivitä- ten dürfen nur mit Einverständnis des Auftraggebers und im Einzelfall erfolgen.
(2) Dem Auftragnehmer ist die Verarbeitung von Daten (Fern)Wartung nur nach den datenschutzrechtlichen Vorschriften unter Beachtung der technischen und organi- satorischen Maßnahmen gem. § 4 dieser Bestimmungen gestattet. Er verpflichtet sich, keine Kopien oder Duplikate der Datenbestände bzw. Datenbanken ohne Wissen des Auftraggebers zu erstellen oder die Daten für andere Zwecke zu nut- zen.
Version 2.01 Seite 1 von 6
[Seite 2]
(3) Der vom Auftragsverarbeiter bestellte Datenschutzbeauftragte (vgl. Art. 37 Abs. 4 EU-DSGVO i. V. m. § 81 Abs. 4 SGB X) wird zum Zweck der direkten Kontaktauf- nahme in Anhang A mit Anschrift und telefonischer und elektronischer Erreichbar- keit mitgeteilt. Ein Wechsel des Datenschutzbeauftragten wird dem Verantwortli- chen unverzüglich mitgeteilt. (Optional: wenn ADV außerhalb der EU erfolgen soll, benennt er einen Verantwortlichen nach Art. 27 EU-DSGVO in der Union)
(4) Die Erbringung der vertraglich vereinbarten Leistung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Bei der Verarbeitung zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679 stehen die Vertrags- staaten des Abkommens über den Europäischen Wirtschaftsraum, die Schweiz und Länder mit einem Angemessenheitsbeschluss der EU-Kommission den Mit- gliedstaaten der Europäischen Union gleich.
(5) Der Auftragnehmer ist verpflichtet, den Auftraggeber zu informieren, wenn Auf- sichtsbehörden nach Art. 51 EU-DSGVO i. V. m. § 40 BDSG tätig werden oder eine zuständige Behörde beim Auftragnehmer oder seinen Unterauftragnehmern ermit- telt. Die unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag bezie- hen gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrig- keits- oder Strafverfahrens gemäß § 41 ff. BDSG in Bezug auf die Verarbeitung per- sonenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermit- telt.
§ 4
Technische und organisatorische Maßnahmen
(1) Der Auftraggeber verarbeitet in der Regel nur Daten, die einem hohen bis sehr ho- hem Schutzbedarf nach den Klassifikationen der IT-Grundschutz-Kataloge des Bundesamtes für Sicherheit in der Informationstechnik (BSI) unterliegen. Der Auf- traggeber bleibt für die Beurteilung der Zulässigkeit der (Fern)Wartung sowie für die Wahrung der Rechte der Betroffenen verantwortlich.
(2) Der Auftragnehmer trägt daher die Gewähr dafür, dass die hierzu erforderlichen technischen und organisatorischen Maßnahmen zum Datenschutz und zur Daten- sicherheit getroffen sind und eingehalten werden.
(3) Für die Sicherheit erhebliche Entscheidungen zur Durchführung der beauftragten Leistung sind mit dem Auftraggeber abzustimmen.
(4) Es werden folgende technische und organisatorische Maßnahmen festgelegt:
z. B. Maßnahmen zur innerbetrieblichen Organisation: • Vergabe eingeschränkter und zeitlich beschränkter Zugriffsrechte (keine Ad- ministratorrechte) • Protokollierung der Aktivitäten
(Nur bei Fernwartung:)
Der Fernwartungszugang ist besonders abzusichern und zu überwachen.
Notwendige Datenübertragungen zu Zwecken der Fernwartung müssen in hinrei- chend verschlüsselter Form erfolgen, Ausnahmen sind gesondert schriftlich zu be- gründen.
Version 2.01 Seite 2 von 6
[Seite 3]
Der Auftragnehmer teilt dem Auftraggeber vor Beginn der Fernwartung mit, wel- che Mitarbeiter er dafür einsetzen wird und wie diese sich identifizieren werden. Dabei sind hinreichend sichere Identifizierungsverfahren zu verwenden.
Die Fernwartungsverbindung darf nur von der zu wartenden Stelle zeitlich befris- tet aktiviert werden. Die Aktivitäten des Wartungspersonals müssen grundsätz- lich auf einem Bildschirm beim Auftraggeber nachvollzogen werden können.
Der Beginn der Fernwartung ist telefonisch- anlassbezogen auch kurzfristig - an- zukündigen, um dem Auftraggeber die Möglichkeit zu geben, die Maßnahmen der Fernwartung zu verfolgen.
Der Auftraggeber hat das Recht, Weisungen über Art, Umfang und Ablauf der (Fern)Wartung zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
Im System des Auftraggebers werden alle Zugriffe, die für Wartungsarbeiten er- folgen, protokolliert. Die Protokollierung muss revisionssicher erfolgen. Die Proto- kollierung darf vom Auftragnehmer nicht abgeschaltet werden.
Der Auftraggeber hat das Recht, die Fernwartung zu unterbrechen, insbesondere, wenn unbefugt auf Dateien zugegriffen wird. Die Unterbrechung kann erfolgen, wenn eine Fernwartung mit nicht vereinbarten Hard- und Softwarekomponenten festgestellt wird.
(5) Der Auftragnehmer hat die ergriffenen technischen und organisatorischen Maß- nahmen zu dokumentieren und dem Auftraggeber auf Verlangen zur Prüfung zu übergeben. Der Nachweis technischer und organisatorischer Maßnahmen kann er- folgen durch • die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 EU-DSGVO • die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 EU-DSGVO • aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) • eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z. B. nach BSI Grundschutz)
(6) Soweit die Prüfung des Auftraggebers Feststellungen ergibt, dass die Anforderun- gen der technischen und organisatorischen Maßnahmen einer sicheren Datenver- arbeitung für diesen Vertrag nicht entspricht und sich daher ein Anpassungsbe- darf ergibt, so ist diese Anforderung zur Verbesserung des Datenschutzes und der Datensicherheit umzusetzen.
(7) Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die techni- schen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verar- beitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird. Die Kontrollen, die Ergebnisse und ggf. umgesetzte Maßnahmen sind zu protokollieren und für mindestens 6 Jahre aufzubewahren.
Version 2.01 Seite 3 von 6
[Seite 4]
§ 5
Qualitätssicherung und sonstige Pflichten des Auftragnehmers
Der Auftragnehmer hat zusätzlich zu der Einhaltung der vertraglichen Regelungen die Bestimmungen gemäß Art. 28 bis 33 EU-DSGVO sicherzustellen.
Insofern sind insbesondere folgende Anforderungen zu gewährleisten: • Ein Wechsel des Datenschutzbeauftragten/der verantwortlichen Person wird dem Auftraggeber unverzüglich mitgeteilt. • Der Auftragnehmer ist verpflichtet, zur Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2b, 29, 32 Abs. 4 EU-DSGVO für die Erfüllung der vertraglich vereinbar- ten Leistungen nur Personen einzusetzen, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut ge- macht wurden sowie regelmäßig informiert und angewiesen werden (Datenge- heimnis).
§ 6
Unterauftragnehmer
Sollen für die Wartungsarbeiten Unterauftragnehmer eingeschaltet werden, bedarf dies der gesonderten schriftlichen Zustimmung des Aufraggebers. Die vertraglichen Vereinbarungen zwischen Auftragnehmer und Unterauftragnehmer sind so zu gestal- ten, dass sie den Bestimmungen des Vertragsverhältnisses zwischen Auftraggeber und Auftragnehmer entsprechen.
§ 7
Abschluss des Vertrages und Löschung von Daten
Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer sämtliche in sei- nen Besitz gelangte Verarbeitungsergebnisse und Daten sowie erstellte Verarbei- tungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen. Sofern der Auftragnehmer über Datenträ- ger des Auftraggebers verfügt, sind diese auftragsgemäß entsprechend der DIN 66399 zu löschen. Dies gilt auch für Test- und Ausschussmaterial sowie erzeugte Zwi- schenergebnisse. Über die Löschung ist ein Protokoll zu fertigen und auf Verlangen dem Auftraggeber vorzulegen.
§ 8
Kontrollrechte des Auftraggebers
(1) Der Auftragnehmer gewährt dem Auftraggeber bzw. den für den Auftraggeber zu- ständigen Aufsichtsbehörden oder von ihm beauftragte externe Prüfeinrichtungen in den Betriebsräumen des Auftragnehmers zu jeder geschäftsmäßigen Zeit nach vorheriger schriftlicher Ankündigung (ggf. per Telefax/E-Mail) ein Prüfrecht. Das Prüfrecht umfasst die Besichtigung von Grundstücken und Geschäftsräumen, Aus- künfte zur Vertragsausführung, Einsicht in Papierunterlagen als auch die Einsicht- nahme in die beim Auftragnehmer gespeicherten Sozialdaten des Auftraggebers, soweit dies im Rahmen des Auftrags zur Überwachung von Datenschutz und Da- tensicherheit erforderlich ist. Dies gilt insbesondere für den Nachweis der Umset- zung der technischen und organisatorischen Maßnahmen.
(2) Der Auftragnehmer sichert zu, dass er die notwendige personelle und sachliche Unterstützung bei den Prüfungen zur Verfügung stellt.
Version 2.01 Seite 4 von 6
[Seite 5]
(3) Die genannten Rechte des Auftraggebers können auch durch Mitarbeiter von da- mit beauftragten Fremdfirmen wahrgenommen werden. Sofern Mitarbeiter von Fremdfirmen mit den genannten Kontrollmaßnahmen beauftragt werden, sind diese vom Auftraggeber ausdrücklich auf die Geheimhaltung aller in diesem Zu- sammenhang erlangten Kenntnisse, Daten sowie Betriebs- und Geschäftsgeheim- nisse zu verpflichten.
§ 9
Mitteilungspflichten des Auftragnehmers
Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 der EU-DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten. Der Auftragnehmer unterrichtet den Auftraggeber gemäß Art. 33 Abs. 2 und 3 EU-DSGVO unverzüglich über den Verdacht auf Datenschutzverletzungen – auch sei- ner Mitarbeiter - oder andere Unregelmäßigkeiten bei der Datenerhebung, -verarbei- tung und -nutzung und bei Störungen des Verarbeitungsablaufs. In diesem Falle hat der Auftragnehmer seine Arbeiten sofort zu unterbrechen, erforderliche Maßnahmen zur Sicherung der Daten zu treffen und weitere Anweisungen durch den Auftraggeber abzuwarten.
§ 10
Haftung
Der Auftragnehmer haftet gegenüber dem Auftraggeber nach Maßgabe der gesetzli- chen Bestimmungen für Schäden, die infolge seines oder seiner Unterauftragnehmer (§ 6) schuldhaften Verhaltens gegen Datenschutzbestimmungen und/oder durch die schuldhafte Verletzung dieses Vertrages entstehen. Das Nähere ist im Hauptvertrag geregelt.
§ 11
Nebenabreden
Änderungen und Nebenabreden zu diesen Datenschutzbestimmungen bedürfen der Schriftform und sind von beiden Vertragsparteien zu unterschreiben.
§ 12
Laufzeit des Vertrages und Kündigung
(1) Beginn und Ende des Auftragsverhältnisses sind im Hauptvertrag geregelt.
(2) Unabhängig von Abs. 1 unterliegen der Auftragnehmer und dessen eingesetzte Mit- arbeiter auch nach dem im Hauptvertrag genannten Vertragsende hinaus hin- sichtlich der im Rahmen des Auftragsverhältnisses übermittelten Daten und be- kannt gewordenen Vertraulichkeiten der Geheimhaltungspflicht. Ebenso gelten die Regelungen zur Haftung nach § 10 über die Laufzeit des Vertrages hinaus.
(3) Die Verletzung von gesetzlichen oder vertraglichen Datenschutzbestimmungen durch den Auftragnehmer ist ein wichtiger Grund für den Auftraggeber, das im Hauptvertrag vorbehaltene Recht zur außerordentlichen Kündigung auszuüben.
§ 13
Salvatorische Klausel
(1) Sollten einzelne Bestimmungen dieser Datenschutzbestimmungen einschließlich dieser Regelung ganz oder teilweise unwirksam sein oder werden oder sollten die
Version 2.01 Seite 5 von 6
[Seite 6]
Datenschutzbestimmungen eine Regelungslücke enthalten, bleibt die Wirksamkeit der übrigen Bestimmungen oder Teile solcher Bestimmungen unberührt. Anstelle der unwirksamen oder fehlerhaften Bestimmungen treten die jeweiligen gesetzli- chen Regelungen. Unwirksam gewordene Vereinbarungen werden die Vertrags- partner durch wirksame Regelungen ersetzen, die dem ursprünglich verfolgten Zweck möglichst nahekommen. Diese sind bei nächster Gelegenheit als Ergänzung in diese Datenschutzbestimmungen aufzunehmen.
(2) Sollten sich gesetzliche Änderungen während der Vertragslaufzeit ergeben, die zu einer Vertragsanpassung führen müssen, verpflichten sich die Vertragspartner Vertragsverhandlungen mit dem Ziel der Einigung aufzunehmen.
Anhang
Anhang A Übersicht Ansprechpartner
Version 2.01 Seite 6 von 6