Auftragsverarbeitungsvertrag nach DSGVO
Vereinbarung zur Auftragsverarbeitung gem. Art. 28 DSGVO
Präambel
Die Gesellschaft zur Erstellung _ Arzt-abrechnungen (nachfolgend auch GAB) greift im Rahmen _ Erbringung ihrer Beratungs- _ Abrechnungsdienstleistungen auf _ Serverarchitektur _ Serverabrechnungszentrums mit Sitz in SaasGrund in _ Schweiz (nachfolgend auch „Servergesellschaft Schweiz“) zurück. Hierbei werden durch _ Servergesellschaft Schweiz auch personenbezogene Daten, u.a. _ Kunden _ GAB, verarbeitet. Bei diesem Nutzungsverhältnis handelt es sich um _ Auftragsverarbeitungsverhältnis gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO), wobei _ Servergesellschaft Schweiz Auftragsverarbeiter _ GAB Verantwortlicher _ Daten im Sinne _ DSGVO ist. Im Hinblick auf _ mit _ Kunden _ GAB geschlossene Auftragsverarbeitungsvereinbarung gilt diese Vereinbarung als Unterauftragsverarbeitungsvereinbarung.
Um _ Rechte _ Pflichten aus diesem Auftragsverarbeitungsverhältnis gemäß _ gesetzlichen Verpflichtung _ konkretisieren, schließen _ Vertragsparteien _ nachfolgende Vereinbarung, Einzelheiten _ den verarbeiteten Daten sind in _ Anlage zur Leistungsbeschreibung festgelegt.
§ 1 Anwendungsbereich
(1) Gegenstand dieser Vereinbarung ist _ Regelung _ Rechte _ Pflichten _ Verantwortlichen (GAB) _ des Auftragsverarbeiters (Servergesellschaft Schweiz), sofern im Rahmen _ Leistungserbringung _ Verarbeitung personenbezogener Daten durch Servergesellschaft Schweiz für GAB im Sinne _ anwendbaren Datenschutzrechts erfolgt.
(2) Es gelten _ Begriffsbestimmungen _ Art. 4 DSGVO.
§ 2 Konkretisierung _ Auftragsinhalts
(1) _ Gegenstand _ die Dauer _ Auftragsverarbeitung sowie Umfang, Art, Zweck _ Kategorien _ betroffenen Personen _ vorgesehenen Erhebung, Verarbeitung oder Speicherung _ personenbezogenen Daten ergeben sich aus _ Leistungsvereinbarung (Anlage _ dieser Vereinbarung). Diese Auftragsverarbeitungsvereinbarung gilt ergänzend _ dem zwischen Servergesellschaft Schweiz _ dem GAB geschlossenen Dienstleistungsvertrag (nachfolgend „Vertrag“).
(2) Im Rahmen dieser Auftragsverarbeitung werden auch Gesundheitsdaten, als personenbezogene Daten _ besonderen Kategorie gem. Art. 9 DSGVO verarbeitet. _ Verarbeitung ist ausnahmsweise gem. Art. 9 Abs. 2 lit. h DSGVO gestattet. _ Auftragsverarbeiter unterliegt _ vertraglich vereinbarten Geheimhaltungspflicht gem. Art. 9 Abs. 3 DSGVO. Soweit nationale Regelungen vorhanden sind, _ die Vergabe _ Auftragsverarbeitung außerhalb _ Praxis _ Kunden _ GAB regeln, ist für deren Befolgung ausschließlich _ Kunde _ GAB verantwortlich (vgl. Art. 9 Abs. 4 DSGVO).
(3) _ Erbringung _ vertraglich vereinbarten Datenverarbeitung findet ausschließlich in _ Bundesrepublik Deutschland _ in _ Schweiz statt. _ Schweiz wurde _ der Europäischen Kommission als Drittstaat angesehen, _ ein angemessenes Datenschutzniveau gewährleistet. Insofern bestehen seitens _ Europäischen Kommission keine Vorbehalte bei _ Datenübermittlung in _ Schweiz _ die Übermittlung in _ Schweiz ist auf Basis _ Art. 44 DSGVO möglich. _ Übermittlung in weitere Drittländer findet nicht statt _ ist nicht beabsichtigt.
§ 3 Weisungen, Rechte _ Pflichten _ GAB
(1) Für _ Beurteilung _ Zulässigkeit _ Datenverarbeitung sowie für _ Wahrung _ Rechte _ GAB ist allein GAB verantwortlich. Er ist _ verantwortliche Stelle i.S. _ Art. 4 Nr. 7 DSGVO.
(2) GAB ist verpflichtet, nur solche Daten an Servergesellschaft Schweiz _ übermitteln oder erfassen _ lassen, _ gemäß Art. 6 Abs. 1 DSGVO rechtmäßig erhoben _ zweckgemäß weiterverarbeitet werden. GAB ist ferner verpflichtet, _ Rechte _ betroffenen Personen _ wahren, notwendige Einwilligungen in _ Datenverarbeitung einzuholen _ insbesondere gesetzlichen Informationspflichten hierüber nachzukommen sowie _ Ausübung _ Widerspruchsrechts _ betroffenen Personen _ ermöglichen. GAB ist insoweit als verantwortliche Stelle für _ Wahrung _ Betroffenenrechte verantwortlich. Betroffenenrechte sind gegenüber GAB wahrzunehmen. Für _ Fall, _ eine Informationspflicht gegenüber Dritten nach Art. 33, 34 DSGVO oder _ sonstigen, für GAB geltenden gesetzlichen Meldepflicht besteht, ist GAB für deren Einhaltung verantwortlich. Servergesellschaft Schweiz wird GAB unverzüglich darüber informieren, wenn Betroffene ihre Betroffenenrechte gegenüber Servergesellschaft Schweiz geltend machen _ dies unmittelbar GAB betrifft.
(3) Servergesellschaft Schweiz wird personenbezogene Daten nur auf dokumentierte Weisung durch GAB, auch in Bezug auf _ Übermittlung personenbezogener Daten an _ Drittland oder _ internationale Organisation, verarbeiten, sofern Servergesellschaft Schweiz nicht durch _ Recht _ Union oder _ Schweiz, dem es unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt Servergesellschaft Schweiz GAB diese rechtlichen Anforderungen vor _ Verarbeitung mit, sofern _ betreffende Recht _ solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(4) Als Weisungen im Übrigen sind _ Vertrag zwischen _ Parteien sowie diese Auftragsverarbeitungsvereinbarung _ verstehen. Alle zusätzlichen Weisungen werden schriftlich oder per E‑Mail erteilt. Servergesellschaft Schweiz wird dann unverzüglich _ Umsetzbarkeit _ Weisungen unter Berücksichtigung _ Interessen an _ Funktionsfähigkeit seiner übrigen Leistungen prüfen _ ob es _ Auffassung ist, _ eine Weisung gegen _ geltenden rechtlichen Bestimmungen verstößt.
§ 4 Rechte _ Pflichten _ Servergesellschaft Schweiz
(1) _ Servergesellschaft Schweiz verarbeitet _ personenbezogenen Daten ausschließlich im Rahmen _ mit GAB getroffenen Kooperation _ nach Weisung durch GAB. Servergesellschaft Schweiz verwendet _ personenbezogenen Daten für keine anderen Zwecke _ wird _ ihm überlassenen personenbezogenen Daten nicht an unberechtigte Dritte weitergeben. Kopien _ Duplikate werden ohne vorherige Einwilligung durch GAB oder seiner Kunden nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien zur Gewährleistung _ ordnungsgemäßen Datenverarbeitung.
(2) _ Servergesellschaft Schweiz wird GAB darüber informieren, wenn _ von GAB erteilte Weisung nach seiner Auffassung gegen gesetzliche Regelungen verstößt. Servergesellschaft Schweiz ist berechtigt, _ Durchführung _ betreffenden Weisung solange auszusetzen, bis diese durch GAB bestätigt oder geändert wird.
(3) _ Servergesellschaft Schweiz hat gem. Art. 38 DSGVO _ Datenschutzbeauftragten bestellt, dessen Kontaktdaten sind in _ Anlage hinterlegt.
(4) _ Servergesellschaft Schweiz hat zusätzlich _ der Einhaltung _ Regelungen dieser Vereinbarung gesetzliche Pflichten gemäß Art. 28 bis 33 DSGVO einzuhalten; insofern gewährleistet es insbesondere:
a) _ unverzügliche Information an GAB über Kontrollhandlungen _ Maßnahmen _ Aufsichtsbehörde, sofern diese Auskünfte _ vertragliche Datenverarbeitung betreffen _ soweit GAB dem Auskunftsbegehren nicht selbst nachkommen kann. Dies gilt auch, soweit _ zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf _ Verarbeitung personenbezogener Daten bei _ Auftragsverarbeitung bei Servergesellschaft Schweiz ermittelt. Soweit sich _ Betroffener zwecks Geltendmachung eines Betroffenenrechts unmittelbar an Servergesellschaft Schweiz wendet, leitet es _ Anfragen _ Betroffenen zeitnah an GAB weiter.
b) Soweit GAB seinerseits _ Kontrolle _ Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch _ betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit _ vorliegenden Auftragsverarbeitung ausgesetzt ist, wird Servergesellschaft Schweiz GAB bei dessen Pflicht zur Beantwortung _ Anträgen auf Wahrnehmung _ Betroffenenrechte nach Möglichkeit mit geeigneten technischen _ organisatorischen Maßnahmen unterstützen, sofern diese Auskünfte _ vertragliche Datenverarbeitung betreffen _ soweit GAB dem Auskunftsbegehren nicht selbst nachkommen kann.
c) _ Servergesellschaft Schweiz kontrolliert regelmäßig _ internen Prozesse sowie _ technischen _ organisatorischen Maßnahmen, um _ gewährleisten, _ die Verarbeitung in seinem Verantwortungsbereich im Einklang mit _ Anforderungen _ geltenden Datenschutzrechts erfolgt _ der Schutz _ Rechte _ betroffenen Personen gewährleistet wird.
(5) _ Servergesellschaft Schweiz führt nach Maßgabe _ einschlägigen geltenden rechtlichen Bestimmungen _ Verzeichnis _ allen Kategorien _ im Auftrag _ GAB durchgeführten Tätigkeiten _ Verarbeitung personenbezogener Daten. Die Servergesellschaft Schweiz unterstützt GAB auf Anfrage _ stellt GAB _ für _ Führung seines Verzeichnisses _ Verarbeitungstätigkeiten notwendigen Angaben zur Verfügung, soweit diese Angaben im vertraglich umschriebenen Verantwortungs- _ Leistungsbereich _ Servergesellschaft Schweiz als Auftragsverarbeiter liegen _ GAB keinen anderen Zugang _ diesen Informationen hat.
(6) Nicht mehr benötigte personenbezogene Daten, mit Ausnahme _ aufgrund gesetzlicher Verpflichtung _ Servergesellschaft Schweiz weiter vorzuhaltenden personenbezogenen Daten, werden, soweit nicht im Vertrag bereits geregelt _ soweit nicht anders vereinbart, an GAB zurückgegeben oder auf Kosten _ GAB vernichtet bzw. gelöscht. GAB kann während _ Bestehens _ Vertragsverhältnisses oder mit Vertragsende schriftlich _ personenbezogenen Daten, _ nicht gemäß Satz 1 vernichtet bzw. gelöscht sind, auf seine Kosten _ in einem vorher abgestimmten Format heraus verlangen _ Servergesellschaft Schweiz _ Zeitpunkt (längstens bis Vertragsende) für _ Herausgabe nennen. _ Herausgabeverlangen muss Servergesellschaft Schweiz _ Monat vor dem _ GAB benannten Zeitpunkt bzw. _ Monat vor Vertragsende zugegangen sein.
(7) _ Servergesellschaft Schweiz unterstützt GAB bei _ Einhaltung _ in _ Art. 32 bis 36 DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen _ vorherige Konsultationen.
(8) Unterstützungsleistungen, _ nicht in _ Leistungsbeschreibung enthalten sind _ die nicht auf _ Fehlverhalten _ Servergesellschaft Schweiz zurückzuführen sind, sind _ GAB gesondert _ vergüten.
§ 5 Technisch-organisatorische Maßnahmen _ deren Kontrolle
(1) GAB _ Servergesellschaft Schweiz werden geeignete technische _ organisatorische Sicherheitsmaßnahmen gem. Art. 28 Abs. 3 c), 32 DSGVO treffen, um _ dem Risiko angemessenes Schutzniveau hinsichtlich _ Vertraulichkeit, _ Integrität, _ Verfügbarkeit sowie _ Belastbarkeit _ Systeme _ gewährleisten. Dabei sind _ Stand _ Technik, _ Implementierungskosten _ die Art, _ Umfang _ die Zwecke _ Verarbeitung sowie _ unterschiedliche Eintrittswahrscheinlichkeit _ Schwere _ Risikos für _ Rechte _ Freiheiten natürlicher Personen im Sinne _ Art. 32 Abs. 1 DSGVO _ berücksichtigen. _ derzeit als geeignet angesehenen Maßnahmen _ Servergesellschaft Schweiz sind in _ Anlage beschrieben. GAB hat _ technischen _ organisatorischen Maßnahmen vor dem Hintergrund seiner konkreten Datenverarbeitung in Hinblick auf _ angemessenes Schutzniveau bewertet _ als angemessen akzeptiert.
(2) _ technischen _ organisatorischen Maßnahmen können im Laufe dieser Vereinbarung an _ technische _ organisatorische Weiterentwicklung angepasst werden. Dabei darf _ Schutzniveau _ vereinbarte Schutzniveau nicht unterschreiten. _ Sicherheit _ Verarbeitung _ die Angemessenheit _ Schutzniveaus wird GAB regelmäßig prüfen _ Servergesellschaft Schweiz unverzüglich mitteilen, sollten _ technischen _ organisatorischen Maßnahmen seinen Anforderungen nicht mehr genügen. GAB wird Servergesellschaft Schweiz hierzu alle erforderlichen Informationen zur Verfügung stellen. Servergesellschaft Schweiz kontrolliert seinerseits regelmäßig _ internen Prozesse sowie _ technischen _ organisatorischen Maßnahmen, um _ gewährleisten, _ die Verarbeitung in seinem Verantwortungsbereich im Einklang mit _ Anforderungen _ DSGVO erfolgt _ der Schutz _ Rechte _ betroffenen Person gewährleistet wird. Zusätzliche technische _ organisatorische Maßnahmen, _ über _ vertraglich vereinbarten Maßnahmen hinausgehen, sind - soweit nicht ausdrücklich anders vereinbart - bei Mehraufwand für Servergesellschaft Schweiz gesondert _ vergüten. _ Vertragsparteien werden sich in diesem Fall über _ angemessene Vergütung gesondert verständigen. Bei Maßnahmen, deren Umsetzung für Servergesellschaft Schweiz nicht oder nur mit unverhältnismäßig hohem Mehraufwand möglich ist, kann Servergesellschaft Schweiz _ Vertrag außerordentlich kündigen.
(3) GAB kann auf eigene Kosten _ Einhaltung _ Vorschriften über _ Datenschutz _ der in dieser Vereinbarung niedergelegten Pflichten durch _ Einholung _ Auskünften _ Abfrage _ in dieser Vereinbarung angeführten Nachweise bei Servergesellschaft Schweiz in Hinblick auf _ GAB betreffende Verarbeitung kontrollieren. GAB wird vorrangig prüfen, ob _ in Satz 1 dieses Absatzes eingeräumte Möglichkeit _ Überprüfung ausreicht. GAB kann darüber hinaus in besonders _ begründenden Ausnahmefällen auf eigene Kosten _ Einhaltung _ Vorschriften über _ Datenschutz vor Ort kontrollieren. GAB wird bei Durchführung _ Kontrollen auf _ Geschäftsbetrieb _ Betriebsablauf _ Servergesellschaft Schweiz Rücksicht nehmen. GAB verpflichtet sich, _ durch _ Kontrolle verursachten _ über _ vereinbarte Pauschale / _ vereinbarten Betrag hinausgehenden tatsächlich angefallenen Kosten _ tragen. _ Höhe _ tatsächlich angefallenen höheren Kosten hat _ Servergesellschaft Schweiz nachzuweisen. Für _ Berechnung wird _ im Hauptvertrag vereinbarte Stundensatz zugrundegelegt.
§ 6 Vertraulichkeit
(1) _ Servergesellschaft Schweiz wird im Zusammenhang mit _ hier vereinbarten Verarbeitung personenbezogener Daten _ Vertraulichkeit wahren gem. Art. 28 Abs. 3 S. 2 b), 29, 32 Abs. 4 DSGVO. Servergesellschaft Schweiz setzt bei _ Durchführung _ Arbeiten nur Beschäftigte ein, _ auf _ Vertraulichkeit verpflichtet _ zuvor mit _ für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht worden sind. Servergesellschaft Schweiz _ jede ihm unterstellte Person, _ Zugang _ personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend _ Weisung _ GAB verarbeiten einschließlich _ in diesem Vertrag eingeräumten Befugnisse, es sei denn, sie sind nach dem Recht _ Union oder _ Mitgliedstaaten zur Verarbeitung verpflichtet.
(2) Vertragliche Verpflichtungen zur Wahrung _ Vertraulichkeit _ zum Schutz _ nicht personenbezogenen Daten bleiben unberührt. Soweit vertraglich hierzu keine Vereinbarung getroffen wurden, verpflichten sich beide Parteien, alle nicht allgemein offenkundigen Informationen aus dem Bereich _ anderen Partei, _ ihnen durch _ Geschäftsbeziehung bekannt werden, geheim _ halten _ nicht für eigene Zwecke außerhalb dieses Vertrages oder Zwecke Dritter _ verwenden.
§ 7 Unterauftragsverarbeiter
(1) _ Servergesellschaft Schweiz darf zur Erfüllung _ in diesem Vertrag beschriebenen Aufgaben weitere Auftragsverarbeiter (Unterauftragsverarbeiter _ Sub-Unterauftragsverarbeiter) einsetzen. Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Aufträge _ verstehen, _ Servergesellschaft Schweiz bei Dritten als Nebenleistung zur Unterstützung bei _ Auftragsdurchführung erteilt _ die keine Auftragsverarbeitungsleistung personenbezogener Daten für GAB beinhalten.
(2) Für _ in _ Anlage konkret aufgeführten Unterauftragsverarbeiter sowie Sub-Unterauftragsverarbeiter _ die dort genannten Aufgabenbereiche gilt _ Genehmigung _ GAB als erteilt.
(3) _ Parteien stimmen _ Einsatz weiterer Unterauftragsverarbeiter miteinander ab, dabei achtet _ Servergesellschaft Schweiz bei _ Auswahl etwaiger Unterauftragsverarbeiter _ Sub-Unterauftragsverarbeiter, _ diese hinreichende Garantien dafür bieten, _ die vereinbarten geeigneten technischen _ organisatorischen Maßnahmen so durchgeführt werden, _ die Verarbeitung entsprechend _ Anforderungen _ einschlägigen geltenden rechtlichen Bestimmungen erfolgt.
§ 8 Vertragsdauer
Diese Vereinbarung gilt für _ Dauer _ tatsächlichen Leistungserbringung durch Servergesellschaft Schweiz.
§ 9 Schlussbestimmungen
(1) Sämtliche Änderungen dieser Vereinbarung sowie Nebenabreden bedürfen _ Textform (einschließlich _ elektronischen Form). Dies gilt auch für _ Abbedingen dieser Schriftformklausel selbst.
(2) _ zwischen _ Parteien geschlossene Servicevertrag nebst Anlagen sowie _ Anlagen dieses Vertrags zur Leistungsbeschreibung _ „Technisch-organisatorische Maßnahmen“ sind Bestandteile dieser Vereinbarung.
(3) Für diese Vereinbarung gilt deutsches Recht. Ausschließlicher Gerichtsstand für sämtliche Rechtsstreitigkeiten _ Parteien aus oder in Zusammenhang mit diesem Vertrag ist _ Sitz _ ____.
GABhausen, _ ____________
____________________________________ GAB | SaasGrund, _ ____________
____________________________________ Servergesellschaft Schweiz |
Anlage _ Auftragsverarbeitungsvereinbarung Servergesellschaft Schweiz _ GAB
Leistungsbeschreibung / Technisch organisatorische Maßnahmen
§ 1 Umfang _ Datenverarbeitung
(Art _ Verarbeitung, Art _ Daten, Zweck _ Erhebung _ Nutzung _ Daten, Kreis _ Betroffenen)
a. Art _ personenbezogenen Daten:
□ Geschlecht
□ Vor- _ Nachname
□ Titel
□ Akademischer Grad
□ Privatanschrift
□ Kontaktdaten (z.B. Telefon, E-Mail-Adresse)
□ Versichertenstatus
□ Vertragsabrechnungs- _ Zahlungsdaten
□ Freiwille Angaben _ Betroffenen
□ Daten, _ der Verantwortliche in seinem Ermessen abspeichert
□ ___________________________
□ ___________________________
□ ___________________________
b. Kategorien betroffener Personen:
□ Patienten
□ Beschäftigte
□ Ansprechpartner
□ ___________________
□ ___________________
c. Nutzung _ erhobenen Daten:
□ Erfassen, Organisation, Speicherung, Auslesen _ Abfragen _ Daten
□ Erstellen _ Abrechnungen für kieferorthopädische Behandlungsleistungen
□ ___________
□ ___________
d. Besondere Kategorie _ personenbezogenen Daten nach Art. 9 DSGVO;
□ Gesundheitsdaten _ Patienten (insbesondere zur Zahngesundheit)
□ ___________________________
□ ___________________________
□ ___________________________
Die Verarbeitung ist gem. Art. 9 Abs. 2 lit. h) für Zwecke _ Gesundheitsvorsorge für Behandlungen im Gesundheitsbereich erforderlich. _ Anforderungen _ Art. 9 Abs. 3 DSGVO, insbesondere zur Geheimhaltungspflicht, werden gewahrt.
§ 2 Ansprechpartner/ Datenschutzbeauftragter bei Servergesellschaft Schweiz
Ansprechpartner:
Name, Vorname, Kontaktdaten
Datenschutzbeauftragter:
Name, Vorname, Kontaktdaten
□ Es wurde kein Datenschutzbeauftragter bestellt.
§ 3 Ansprechpartner bei GAB
Ansprechpartner:
Name, Vorname, Kontaktdaten
Datenschutzbeauftragter:
Name, Vorname, Kontaktdaten
□ Es wurde kein Datenschutzbeauftragter bestellt.
§ 4 Verarbeitungsort
□ Geschäftssitz _ Rechenzentrum _ Servergesellschaft Schweiz, -----
□ ___________________________
□ ___________________________
§ 5 Genehmigte Unterauftragsverarbeiter
§ 6 Genehmigte Sub-Unterauftragsverarbeiter
xx
§ 7 Technische _ organisatorische Sicherheitsmaßnahmen
Gemäß Art. 28 Abs. 3 c), 32 DSGVO sind _ Vertragspartner verpflichtet, _ technischen _ organisatorischen Sicherheitsmaßnahmen festzulegen. Servergesellschaft Schweiz _ GAB gestalten ihre innerbetriebliche Organisation so, _ sie _ besonderen Anforderungen _ Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen _ treffen, _ je nach _ Art _ zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind.
a. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
[In _ rechten Tabellenspalte sind beispielhaft mögliche Maßnahmen aufgeführt, diese sollten Sie an _ von Ihnen getroffenen Sicherheitsmaßnahmen anpassen.]
Zutrittskontrolle | |
Unbefugten ist _ Zutritt _ Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, _ verwehren. | Die _ Rechenzentrum getroffenen Maßnahmen: bspw. Zutrittskontrollsystem, Ausweisleser, Magnetkarte, Chipkarte, Schlüssel, Schlüsselvergabe, Alarmanlage, Werkschutz/ Pförtner |
Zugangskontrolle | |
Es ist _ verhindern, _ Datenverarbeitungssysteme _ Unbefugten genutzt werden können.
| Getroffene Maßnahmen: Keine unbefugte Systembenutzung, z.B. (sichere) Kennwörter, automatische Sperrmechanismen Technische (Kennwortschutz) _ organisatorische (Benutzerstammsatz) Maßnahmen hinsichtlich _ Benutzeridentifikation _ Authentifizierung, Verwendung _ technisch aktuellen Verschlüsselungsverfahren |
Zugriffskontrolle | |
Nur Berechtigte dürfen _ ihnen freigegebenen personenbezogenen Daten verarbeiten _ nutzen, währenddessen Unbefugte diese Daten weder lesen noch verändern können.
| Getroffene Maßnahmen: Bedarfsorientierte Ausgestaltung _ Berechtigungskonzepts _ der Zugriffsrechte sowie deren Überwachung _ Protokollierung, Verwendung technisch aktuellen Verschlüsselungsverfahren |
Trennungskontrolle | |
Es ist _ gewährleisten, _ zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.
| Getroffene Maßnahmen: Mandantenfähigkeit, Sandboxing, Logische Trennung _ Kundendaten auf Datenbankebene, Trennung _ Produktiv- _ Testsystem, Verschlüsselung _ Datenbanken |
Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO) | |
Die Daten sollen so verarbeitet werden, _ ohne Hinzuziehung zusätzlicher Informationen diese nicht mehr _ spezifischen betroffenen Person zugeordnet werden könnensofern diese zusätzlichen Informationen gesondert aufbewahrt werden _ entsprechende technischen _ organisatorischen Maßnahmen unterliegen.
| Getroffene Maßnahmen: Zugriff auf Serversysteme erfolgt über verschlüsselte Verbindungen, Daten werden auf Server- _ Clientsystemen auf verschlüsselten Datenträgern gespeichert. Einsatz entsprechender Festplattenverschlüsselungssysteme |
b. Integrität (Art. 32 Abs. 1 lit. b DSGVO)
Weitergabekontrolle | |
Bei _ elektronischen Übertragung oder dem Transport sollen personenbezogene Daten nicht gelesen, kopiert, verändert oder entfernt werden _ der Empfänger _ Daten soll jederzeit bekannt sein. | Getroffene Maßnahmen: Verwendung _ dem Stand _ Technik entsprechenden Verschlüsselungsverfahren, elektronische Signatur, Virtual Private Networks (VPN), Logische Trennung _ Kundendaten, Protokollierung _ Useraktivitäten in _ Anwendung |
Eingabekontrolle | |
Die Kontrolle _ Eingabe, Veränderung _ Entfernung bzw. Löschung _ personenbezogenen Daten soll sichergestellt werden.
| Getroffene Maßnahmen: Dokumentation _ Datenverwaltung durch Protokollierung, Anlegen _ individuellen User-Accounts, Erstellung _ Berechtigungskonzepten, Protokollierung _ Useraktivitäten |
c. Verfügbarkeit _ Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)
Verfügbarkeitskontrolle: | |
Die verarbeiteten Daten sollen gegen zufällige Zerstörung oder Verlust geschützt werden. | Maßnahmen _ Rechenzentrums: Tägliche Datensicherung, Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege _ Notfallpläne, Klimaanlage in Serverräumen, Feuer- _ Rauchmeldeanlagen, automatisches Benachrichtigungssystem, regelmäßige Tests _ Datenwiederherstellung |
Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO) | |
Die Wiederherstellung _ Daten, ihre Verfügbarkeit _ der Zugang _ der Zugriff soll nach einem physischen oder technischen Zwischenfall wieder rasch möglich sein. | Maßnahmen _ Rechenzentrums: Backup-Konzept, redundante Datenspeicherung, Cloud-Services, doppelte IT-Infrastruktur, Schatten-Rechenzentrum |
d. Überprüfung, Bewertung _ Evaluierung _ Wirksamkeit umgesetzter Maßnahmen (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)
Datenschutz-Management | |
| Getroffene Maßnahmen: Einsetzen eines Kernbestands an langjährig _ dauerhaft beschäftigtem Technikerpersonal mit DV-technischer Erfahrung _ Expertise · regelmäßige Schulung _ Beschäftigten · Implementierung eines Datenschutzmanagements mit bspw. Leitlinie _ Datenschutz _ Datensicherheit _ Richtlinien, mit denen _ Umsetzung _ Ziele _ Leitlinie gewährleistet wird · Einrichtung eines Datenschutz- _ Informationssicherheits-Team (DST) eingerichtet, _ Maßnahmen im Bereich _ Datenschutz _ Datensicherheit plant, umsetzt, evaluiert _ Anpassungen vornimmt. · _ Richtlinien werden regelmäßig im Hinblick auf ihre Wirksamkeit evaluiert _ angepasst. · Es ist insbesondere sichergestellt, _ Datenschutzvorfälle _ allen Mitarbeitern erkannt _ unverzüglich dem DST gemeldet werden. Dieses wird _ Vorfall sofort untersuchen. Soweit Daten betroffen sind, _ im Auftrag _ Kunden verarbeitet werden, wird Sorge dafür getragen, _ diese unverzüglich über Art _ Umfang _ Vorfalls informiert werden. · Bei _ Verarbeitung _ Daten für eigene Zwecke wird im Falle _ Vorliegens _ Voraussetzungen _ Art. 33 DSGVO _ Meldung an _ Aufsichtsbehörde binnen 72 Stunden nach Kenntnis _ dem Vorfall erfolgen. |
Auftragskontrolle | |
Es ist _ gewährleisten, _ personenbezogene Daten, _ im Auftrag verarbeitet werden, nur entsprechend _ Weisungen _ Auftraggebers verarbeitet werden können | Getroffene Maßnahmen: Entwicklung eines Sicherheitskonzepts, Datenschutzfreundliche Voreinstellungen, Verpflichtung _ Mitarbeiter auf _ Datengeheimnis, Duldung _ Unterstützung _ Prüfungen durch _ Kunden (Auftraggeber), Dokumentation _ Auskunft über _ vorhandene IT-Infrastruktur, Entgegennehmen ausschließlich schriftlicher Weisungen _ befugten Mitarbeitern _ Auftraggebers |
Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO) | |
| Getroffene Maßnahmen: Bsp: Berechtigungen auf Daten oder Applikationen können flexibel _ granular gesetzt werden. |
|
So sehen Sie das gesamte Dokument
Das vollständige Dokument können Sie nach dem Kauf sehen, als Word - Dokument (.docx) speichern und bearbeiten.
Preis zzgl. MwSt. Angebot richtet sich nur an gewerbliche Kunden.
Sie haben bereits einen Zugang? Bitte hier einloggen.
Sofort downloaden und anpassen: Alle Verträge können Sie gleich nach dem Kauf in den üblichen Programmen (z.B. Word) bearbeiten und anpassen.
Kompetente Beratung durch unsere Rechtsanwälte: Falls Sie das Dokument oder einen anderen Vertrag bzw. Vorlage anwaltlich anpassen wollen stehen Ihnen unsere Rechtsanwälte gern zur Verfügung. Sie haben eine Frage zu einem Mustervertrag? Fragen Sie uns!