A04c_Vertrag-zur-Auftragsverarbeitung-Anlage3_AUSZUFÜLLEN.docx

1. Alle Informationen und Daten des Auftraggebers, auf die der Auftragnehmer Zugriff hat oder die durch den Auftragnehmer verarbeitet werden, müssen durch den Auftragnehmer stets mit geeigneten technischen und organisatorischen Maßnahmen nach dem jeweils aktuellen Stand der Technik gegen Kenntnisnahme durch unbefugte Personen, unbefugte Offenlegung, unerlaubte Übermittlung, Veränderung, Vervielfältigung, Vernichtung, Verlust sowie anderweitig unbefugte Verarbeitung oder unbefugten Zugriff und Zugang und sonstigen Gefährdungen der Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität wirksam gesichert sein.
2. Ein Zugriff auf informationstechnische Systeme, Komponenten, Anlagen oder Anwendungen des Auftraggebers darf nur mit Erlaubnis des Auftraggebers im erlaubten und für die Leistungserbringung erforderlichen Umfang – auch in zeitlicher Hinsicht – durch die dazu autorisierten Personen erfolgen. Der Auftragnehmer verpflichtet sich, die ihm zugewiesenen Zugriffsdaten gesichert zu verwahren und keinen unbefugten Personen bekannt zu geben. Sofern im Rahmen der Leistungserbringung ein Zugriff durch Unterauftragnehmer oder freien Mitarbeitenden auf informationstechnische Systeme, Komponenten, Anlagen oder Anwendungen des Auftraggebers erforderlich ist, so ist zuvor die schriftliche Zustimmung des Auftraggebers einzuholen.
3. Tätigkeiten zur Fehleranalyse, bei denen ein Datenabzug von informationstechnischen Systemen, Komponenten, Anlagen oder Anwendungen des Auftraggebers erforderlich ist, bedürfen der vorherigen schriftlichen Zustimmung des Auftraggebers. Die Verarbeitung dieser Daten erfolgt ausschließlich auf Equipment des Auftraggebers oder auf solchem des Auftragnehmers, sofern die vorherige Zustimmung des Auftraggebers vorliegt. Nach Bereinigung des Fehlers sind alle Kopien der Daten, unabhängig vom verwendeten Medium, datenschutzkonform durch den Auftragnehmer zu vernichten. Die Vernichtung ist dem Auftraggeber unverzüglich schriftlich zu bestätigen.
4. Fernzugriffe auf informationstechnische Systeme, Komponenten, Anlagen oder Anwendungen des Auftraggebers sowie sämtliche in diesem Zusammenhang erforderlichen Tätigkeiten erfolgen durch den Auftragnehmer ausschließlich über das vom Auftraggeber bereitgestellte Fernzugangssystem mit Mehrfachfaktorauthentifizierung. Es ist dem Auftragnehmer in keinem Fall gestattet, eigene oder fremde Fernzugangssysteme für den Fernzugriff auf informations-technische Systeme, Komponenten, Anlagen oder Anwendungen des Auftraggebers einzusetzen. Der Auftragnehmer verwendet für den Fernzugriff ausschließlich die vom Auftraggeber freigegebenen Programme Citrix Receiver oder Citrix Workspace App in der jeweils aktuellen Version.
5. Fernzugriffe werden durch den Auftraggeber mit einer Firewall gefiltert und terminieren in einem gesicherten Netzwerkbereich auf einem Sprungserver, über den weitere Verbindungen zu den Zielsystemen erfolgen und der alle Aktivitäten protokolliert und aufzeichnet. Der Auftraggeber ist berechtigt, Fernzugriffe bei und nach Durchführung zu kontrollieren sowie diese jederzeit zu verfolgen, jegliche Aktivitäten aufzuzeichnen und jederzeit abzubrechen. Die Authentifizierung des Fernzugangs basiert auf den Faktoren Benutzername, Passwort, Token-Nummer und Token-PIN. Der Auftraggeber stellt dem Auftragnehmer die Anzahl an Hardware-Token zur Verfügung, die dieser für eine ordnungsgemäße Durchführung von Fernzugriffen benötigt. Die nicht mehr benötigten Token sind durch den Auftragnehmer zu vernichten.
6. Ein Fernzugriff erfolgt ausschließlich über Endgeräte des Auftragnehmers. Der Einsatz privater oder öffentlicher Endgeräte (z.B. privates Tablet oder Endgeräte in Internetcafés, Hotels und Bibliotheken) ist untersagt. Alle für den Fernzugriff eingesetzten Endgeräte müssen durch den Auftragnehmer nach dem Stand der Technik gehärtet werden. Ergänzend sind die folgenden technischen und organisatorischen Sicherheitsmaßnahmen für die informationstechnische Infrastruktur des Auftragnehmers nach dem Stand der Technik verpflichtend umzusetzen:

1. Vor Nutzung des Fernzugangs erfolgt eine Abstimmung mit dem Auftraggeber hinsichtlich der geplanten Tätigkeiten und der Dauer des Fernzugriffs. Der Fernzugang wird vom Auftraggeber für den abgestimmten Zeitraum zur Durchführung der geplanten Tätigkeiten freigeschaltet. Sofern eine vorherige Abstimmung mit dem Auftraggeber nicht möglich ist, fordert der Auftragnehmer eine Freischaltung über den technischen Kontakt des Auftraggebers an. Fernaufschaltungen auf Arbeitsplatzsysteme des Auftraggebers werden erst nach Freigabe durch den jeweils betroffenen Mitarbeitenden durchgeführt. Hierfür ist das vom Auftraggeber bereitgestellte Programm „Windows-Remoteunterstützung“ zur verwenden.
2. Der Auftragnehmer verpflichtet sich, bei Kenntniserlangung von als auch bei begründetem Verdacht auf Vorfälle jeglicher Art, die geeignet sind, die Verfügbarkeit, Vertraulichkeit, Integrität oder Authentizität von Informationen, Daten, Systemen, Komponenten, Anlagen oder Anwendungen des Auftraggebers in wesentlichem Ausmaß zu gefährden oder gefährdet haben - nachfolgend bezeichnet als Informationssicherheitsvorfälle - unverzüglich dem Auftraggeber schriftlich mitzuteilen sowie sofort in Abstimmung mit dem Auftraggeber alle erforderlichen Schritte zur Aufklärung des Sachverhalts und zur Schadensbegrenzung einzuleiten.
3. Der Auftragnehmer benennt gegenüber dem Auftraggeber eine mit hinreichenden Befugnissen ausgestattete verantwortliche Person oder Organisationseinheit, die für sämtliche Themen der Informationssicherheit zur Verfügung steht; insbesondere zur Aufklärung von Informationssicherheitsvorfällen. Hinsichtlich der festgelegten Genehmigungs- und Informationspflichten wendet sich der Auftragnehmer ausschließlich an die Stabsstelle Informationssicherheit des Auftraggebers, sofern vorab keine andere Art der Kontaktaufnahme spezifisch genannt oder festgelegt wurde.

Informationssicherheit

Die Stabsstelle Informationssicherheit des Auftraggebers ist über die allgemeine Email-Adresse informationssicherheit@klinikum-karlsruhe.de erreichbar. Eine telefonische Kontaktaufnahme in dringenden Fällen ist über die Telefonnummer +49 721 974 4452 möglich. Sofern die telefonische Erreichbarkeit in dringenden Fällen nicht gegeben ist, muss durch den Auftragnehmer zwingend der technische Kontakt über die nachfolgend aufgeführten Kontaktmöglichkeiten in Anspruch genommen werden.

Technischer Kontakt

Die Erreichbarkeitszeiten der IT-Abteilung des Auftraggebers sind der untenstehenden Tabelle zu entnehmen. Eine telefonische Kontaktaufnahme ist ausschließlich in den grün markierten Zeiträumen möglich. Außerhalb der telefonischen Erreichbarkeitszeiten der IT-Abteilung kann die Kontaktaufnahme per Email an die Adresse it-servicedesk@klinikum-karlsruhe.de erfolgen, eine Bearbeitung erfolgt allerdings erst innerhalb der Erreichbarkeitszeiten. Der IT-Service ist unter der Telefonnummer +49 721 974 1199 und die IT-Rufbereitschaft (RB) unter der Telefonnummer +49 721 9740 erreichbar.