Auftragsverarbeitungsvereinbarung (AVV)

Diese AVV ist wie folgt aufgebaut:

Die in Abschnitt A festgelegten Variablen dienen als Begriffsbestimmungen für Abschnitt B und Abschnitt C.

1. Zweck und Anwendungsbereich

Zweck dieser Vereinbarung über die Auftragsverarbeitung (die "AVV") ist es, die Einhaltung von Artikel 28 Absätze 3 und 4 der Datenschutz-Grundverordnung ("DSGVO") im Hinblick auf die jeweilige Verarbeitungstätigkeit sicherzustellen.

Diese AVV gilt für die Verarbeitung personenbezogener Daten, wie sie in Abschnitt A festgelegt ist.

2. Interpretation

Soweit diese AVV die in der DSGVO definierten Begriffe verwendet, haben diese dieselbe Bedeutung wie in der DSGVO.

Diese AVV ist im Sinne der Bestimmungen der DSGVO zu lesen und auszulegen.

Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die im Widerspruch zu den in der DSGVO vorgesehenen Rechten und Pflichten steht oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beeinträchtigt.

3. Beschreibung der Verarbeitungstätigkeiten

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten sowie die Zwecke der Verarbeitung, zu denen die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Abschnitt A festgelegt.

4. Pflichten der Parteien

4.1 Allgemeines

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisungen des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, zu einer Verarbeitung verpflichtet. Solche Weisungen sind in Abschnitt A festgelegt. In diesem Fall informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtliche Verpflichtung, sofern das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. Weitere Weisungen können vom Verantwortlichen während der gesamten Dauer der Verarbeitung personenbezogener Daten erteilt werden. Sämtliche Weisungen sind stets zu dokumentieren.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung des Verantwortlichen gegen geltende datenschutzrechtliche Vorschriften der Union oder der Mitgliedstaaten verstößt.

4.2 Zweckbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich zu den spezifischen Zwecken der Verarbeitung, wie sie in Abschnitt A festgelegt sind.

4.3 Löschung oder Rückgabe von Daten

Die Verarbeitung durch den Auftragsverarbeiter erfolgt ausschließlich für die in Abschnitt A festgelegte Dauer.

Nach Beendigung der Erbringung der Verarbeitungsleistungen oder nach einer Kündigung gemäß Abschnitt 7 löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten oder gibt sie an den Verantwortlichen zurück und bestätigt dem Verantwortlichen die Löschung; bestehende Kopien werden gelöscht, sofern nicht das Recht der Union oder der Mitgliedstaaten die Speicherung der personenbezogenen Daten vorschreibt.

4.4 Sicherheit der Verarbeitung

Der Auftragsverarbeiter setzt die in Abschnitt C festgelegten technischen und organisatorischen Maßnahmen um, um die Sicherheit der personenbezogenen Daten zu gewährleisten, einschließlich des Schutzes vor unbeabsichtigter oder unrechtmäßiger Zerstörung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang zu diesen Daten (Verletzung des Schutzes personenbezogener Daten), im Einklang mit Artikel 5, Artikel 28 Absatz 3 Buchstabe c sowie Artikel 32 DSGVO. Bei der Beurteilung des angemessenen Sicherheitsniveaus berücksichtigen die Parteien insbesondere die mit der Verarbeitung verbundenen Risiken, die Art der personenbezogenen Daten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung.

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die Daten betrifft, welche durch den Auftragsverarbeiter verarbeitet werden, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem ihm die Verletzung bekannt geworden ist. Die Meldung enthält die Angabe einer Kontaktstelle, bei der weitere Informationen zu der Verletzung eingeholt werden können, eine Beschreibung der Art der Verletzung (einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze), ihrer voraussichtlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen zur Abmilderung möglicher nachteiliger Auswirkungen. Soweit und sobald nicht alle Informationen gleichzeitig bereitgestellt werden können, enthält die erste Meldung die zu diesem Zeitpunkt verfügbaren Informationen; weitere Informationen werden unverzüglich nachgereicht, sobald sie verfügbar sind.

Der Auftragsverarbeiter arbeitet nach Treu und Glauben mit dem Verantwortlichen zusammen und unterstützt ihn in jeder erforderlichen Weise dabei, gegebenenfalls die zuständige Aufsichtsbehörde sowie die betroffenen Personen zu benachrichtigen, wobei die Art der Verarbeitung und die dem Auftragsverarbeiter zur Verfügung stehenden Informationen zu berücksichtigen sind.

Der Auftragsverarbeiter gewährt Mitgliedern seines Personals Zugriff auf die Daten nur insoweit, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.

Umfasst die Verarbeitung personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, genetische oder biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit oder das Sexualleben oder die sexuelle Orientierung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten (besondere Kategorien personenbezogener Daten), setzt der Auftragsverarbeiter die vom Verantwortlichen in angemessenem Umfang verlangten besonderen Beschränkungen und/oder zusätzlichen Schutzmaßnahmen um.

4.5 Dokumentation und Nachweis der Einhaltung

Die Parteien müssen in der Lage sein, die Einhaltung dieser AVV nachzuweisen.

Der Auftragsverarbeiter bearbeitet alle angemessenen Anfragen des Verantwortlichen, die sich auf die Verarbeitung nach dieser AVV beziehen, unverzüglich und ordnungsgemäß.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in dieser AVV festgelegten Pflichten nachzuweisen und die sich unmittelbar aus der DSGVO ergeben, und ermöglicht auf Verlangen des Verantwortlichen Überprüfungen von Datenbeständen und Unterlagen oder Audits der von diesen Klauseln erfassten Verarbeitungstätigkeiten und wirkt daran mit, insbesondere wenn Anhaltspunkte für eine Nichteinhaltung bestehen.

Der Verantwortliche kann das Audit selbst durchführen oder auf eigene Kosten einen unabhängigen Prüfer beauftragen oder sich auf ein von der zuständigen Aufsichtsbehörde angeordnetes unabhängiges Audit stützen. Die Audit-, Zugangs- und Kontrollrechte des Verantwortlichen nach dieser Klausel beschränken sich ausschließlich auf die Unterlagen des Auftragsverarbeiters und erstrecken sich nicht auf die physischen Räumlichkeiten des Auftragsverarbeiters. Jegliche Audits und Auskunftsersuchen sind auf die für die Zwecke dieser AVV erforderlichen Informationen zu beschränken und haben die Vertraulichkeitspflichten des Auftragsverarbeiters sowie dessen berechtigtes Interesse am Schutz von Geschäftsgeheimnissen angemessen zu berücksichtigen.

Der Auftragsverarbeiter und der Verantwortliche stellen die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse etwaiger Audits, der zuständigen Aufsichtsbehörde auf deren Anfrage zur Verfügung, sofern und soweit dies nach der DSGVO erforderlich ist.

4.6 Einsatz von Unterauftragsverarbeitern

Der Auftragsverarbeiter verfügt über die allgemeine Genehmigung des Verantwortlichen zum Einsatz von Unterauftragsverarbeitern. Die Liste der Unterauftragsverarbeiter des Auftragsverarbeiters ist in Abschnitt A aufgeführt. Der Auftragsverarbeiter informiert den Verantwortlichen in Textform über beabsichtigte Änderungen dieser Liste durch Hinzufügung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage im Voraus und gibt dem Verantwortlichen damit die Möglichkeit, solchen Änderungen vor dem Einsatz des betreffenden Unterauftragsverarbeiters zu widersprechen. Ein solcher Widerspruch darf nicht unbillig erfolgen. Die Parteien halten die Liste aktuell.

Setzt der Auftragsverarbeiter einen Unterauftragsverarbeiter für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) ein, geschieht dies auf Grundlage eines Vertrags, der dem Unterauftragsverarbeiter dieselben Pflichten auferlegt, die dem Auftragsverarbeiter nach dieser AVV obliegen. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten einhält, denen der Auftragsverarbeiter nach dieser AVV bzw. nach Artikel 28 Absätze 2 bis 4 DSGVO unterliegt.

Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie eines solchen Unterauftragsverarbeiter-Vertrags sowie nachfolgender Änderungen zur Verfügung.

Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters aus dessen Vertrag mit dem Auftragsverarbeiter in vollem Umfang verantwortlich. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine Pflichten aus diesem Vertrag nicht erfüllt.

4.7 Internationale Datenübermittlungen

Jegliche Übermittlung von Daten durch den Auftragsverarbeiter an ein Land außerhalb der EU/des EWR (ein "Drittland") oder an eine internationale Organisation erfolgt nur, sofern sie gemäß Abschnitt A genehmigt ist, und ausschließlich unter Einhaltung der Vorgaben des Kapitels V der DSGVO.

Der Verantwortliche erklärt sich damit einverstanden, dass der Auftragsverarbeiter und der Unterauftragsverarbeiter, sofern der Auftragsverarbeiter gemäß Abschnitt 4.6 einen Unterauftragsverarbeiter in einem Drittland mit der Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag des Verantwortlichen beauftragt und diese Tätigkeiten eine Übermittlung personenbezogener Daten im Sinne der DSGVO beinhalten, die von der Europäischen Kommission gemäß Artikel 46 Absatz 2 DSGVO erlassenen Standardvertragsklauseln verwenden dürfen, um die Anforderungen des Kapitels V der DSGVO zu erfüllen, sofern die Voraussetzungen für deren Anwendung erfüllt sind und eine interne Bewertung zu dem Ergebnis gelangt ist, dass die Übermittlung ein der DSGVO entsprechendes Datenschutzniveau gewährleistet.

5. Rechte der betroffenen Personen

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich über jeden unmittelbar von einer betroffenen Person eingegangenen Antrag. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen hierzu ermächtigt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte gemäß Kapitel III der DSGVO, namentlich:

• das Recht auf Information bei Erhebung personenbezogener Daten bei der betroffenen Person;
• das Recht auf Information, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden;
• das Auskunftsrecht der betroffenen Person;
• das Recht auf Berichtigung;
• das Recht auf Löschung ("Recht auf Vergessenwerden");
• das Recht auf Einschränkung der Verarbeitung;
• die Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung;
• das Recht auf Datenübertragbarkeit;
• das Widerspruchsrecht;
• das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden; und
• das Recht auf Widerruf einer Einwilligung.

Der Auftragsverarbeiter unterstützt den Verantwortlichen, falls eine betroffene Person bei der zuständigen Aufsichtsbehörde eine Beschwerde einlegt, die auf Grundlage dieser AVV verarbeitete Daten betrifft.

Zusätzlich zu seiner Unterstützungspflicht nach diesem Abschnitt unterstützt der Auftragsverarbeiter den Verantwortlichen ferner bei der Einhaltung der folgenden Pflichten, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen:

• die Pflicht, eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden (es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen), gemäß Artikel 33 DSGVO;
• die Pflicht, die Verletzung des Schutzes personenbezogener Daten der betroffenen Person unverzüglich mitzuteilen, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt, gemäß Artikel 34 DSGVO;
• die Pflicht, eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchzuführen (Datenschutz-Folgenabschätzung), wenn eine Form der Verarbeitung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt, gemäß Artikel 35 DSGVO;
• die Pflicht, die zuständige Aufsichtsbehörde vor der Verarbeitung zu konsultieren, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ohne Maßnahmen des Verantwortlichen zur Eindämmung des Risikos ein hohes Risiko zur Folge hätte, gemäß Artikel 36 DSGVO.

Die Parteien legen in Abschnitt C die geeigneten technischen und organisatorischen Maßnahmen fest, mit denen der Auftragsverarbeiter den Verantwortlichen bei der Anwendung dieses Abschnitts zu unterstützen hat, sowie den Umfang und das Ausmaß der erforderlichen Unterstützung.

6. Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter nach Treu und Glauben mit dem Verantwortlichen zusammen und unterstützt ihn in jeder erforderlichen Weise, damit der Verantwortliche seinen Verpflichtungen nach den Artikeln 33 und 34 DSGVO nachkommen kann, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung der Verletzung an die zuständige Aufsichtsbehörde. Hierbei wird insbesondere bei der Erhebung folgender Informationen geholfen, die gemäß Artikel 33 Absatz 3 DSGVO in der Meldung des Verantwortlichen enthalten sein müssen:

• die Art der personenbezogenen Daten, einschließlich — soweit möglich — der Kategorien und ungefähren Anzahl der betroffenen Personen sowie der Kategorien und ungefähren Anzahl der betroffenen Datensätze;
• die voraussichtlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
• die vom Verantwortlichen getroffenen oder geplanten Maßnahmen zur Behebung der Verletzung, einschließlich, falls zutreffend, Maßnahmen zur Abmilderung möglicher nachteiliger Auswirkungen.

7. Beendigung

Unbeschadet der einschlägigen Bestimmungen der DSGVO kann der Verantwortliche im Falle einer Verletzung der Pflichten des Auftragsverarbeiters aus dieser AVV den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten vorübergehend auszusetzen, bis der Auftragsverarbeiter diese AVV einhält oder der Vertrag beendet wird. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, falls er aus irgendeinem Grund nicht in der Lage ist, diese AVV einzuhalten.

Der Verantwortliche kann diese AVV kündigen, wenn:

• die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter gemäß Punkt (a) vorübergehend ausgesetzt wurde, der Verstoß des Auftragsverarbeiters wesentlich ist und die Einhaltung dieser AVV nicht innerhalb einer angemessenen Frist, spätestens jedoch innerhalb eines Monats, wiederhergestellt wird;
• der Auftragsverarbeiter diese AVV oder seine Verpflichtungen aus der DSGVO wesentlich oder fortdauernd verletzt und eine Behebung nicht vernünftigerweise zu erwarten ist;
• der Auftragsverarbeiter einer verbindlichen Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde in Bezug auf seine Verpflichtungen aus dieser AVV oder der DSGVO nicht nachkommt.

Diese AVV bleibt in vollem Umfang in Kraft, solange der Basisvertrag in Kraft ist. Bestimmungen dieser AVV, die zum Schutz personenbezogener Daten ausdrücklich oder sinngemäß bei oder nach Beendigung des Basisvertrags in Kraft treten oder in Kraft bleiben sollen, bleiben in vollem Umfang in Kraft.

8. Haftung und Freistellung

Die Haftung jeder Partei aus oder im Zusammenhang mit dieser AVV unterliegt den im Basisvertrag geregelten Haftungsbeschränkungen und -ausschlüssen.

9. Sonstiges

Vertraulichkeit: Die Parteien vereinbaren, die Bedingungen und das Bestehen dieser Vereinbarung sowie alle im Rahmen dieser Vereinbarung ausgetauschten Informationen vertraulich zu behandeln, sofern nicht anderweitig zwischen den Parteien vereinbart.

Gesamtvereinbarung: Diese AVV stellt die vollständige Vereinbarung dar und ersetzt alle vorherigen Vereinbarungen zwischen den Parteien im Hinblick auf den Anwendungsbereich dieser AVV.

Änderungen: Alle Änderungen und Ergänzungen dieser AVV bedürfen der Schriftform (einschließlich nicht-qualifizierter elektronischer Signaturlösungen).

Mitteilungen: Jede Mitteilung "schriftlich" muss per Post erfolgen; jede Mitteilung "in Textform" umfasst jede elektronische Nachricht, jeweils an die zuletzt mitgeteilte oder bekannte Adresse. Sofern die Form nicht angegeben ist, genügt Textform.

Abtretung: Keine Partei darf Rechte, Pflichten oder Ansprüche aus dieser Vereinbarung abtreten, sofern nicht anderweitig vereinbart.

Salvatorische Klausel: Sollte eine Bestimmung dieser AVV ganz oder teilweise rechtswidrig, ungültig oder anderweitig nicht durchsetzbar sein, bleiben die übrigen Bestimmungen in vollem Umfang in Kraft.

Anwendbares Recht & Gerichtsstand: Gemäß dem Basisvertrag.

Beschreibung der vom Auftragsverarbeiter umgesetzten technischen und organisatorischen Sicherheitsmaßnahmen:

10. Organisatorische Sicherheitsmaßnahmen

10.1 Sicherheitsmanagement

Sicherheitsrichtlinie und Verfahren: Der Auftragsverarbeiter verfügt über eine dokumentierte Sicherheitsrichtlinie in Bezug auf die Verarbeitung personenbezogener Daten.

Rollen und Verantwortlichkeiten:

• Rollen und Verantwortlichkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten sind in Übereinstimmung mit der Sicherheitsrichtlinie klar definiert und zugewiesen.
• Bei internen Reorganisationen, Beendigungen oder Wechseln des Beschäftigungsverhältnisses sind der Entzug von Rechten und Verantwortlichkeiten sowie die jeweiligen Übergabeverfahren klar definiert.

Zugriffskontroll-Richtlinie: Spezifische Zugriffsrechte werden jeder an der Verarbeitung personenbezogener Daten beteiligten Rolle nach dem Need-to-know-Prinzip zugewiesen.

Ressourcen-/Asset-Management: Der Auftragsverarbeiter führt ein Register der für die Verarbeitung personenbezogener Daten verwendeten IT-Ressourcen (Hardware, Software, Netzwerk). Eine bestimmte Person ist mit der Pflege und Aktualisierung des Registers beauftragt (z. B. IT-Officer).

Change-Management: Der Auftragsverarbeiter stellt sicher, dass alle Änderungen am IT-System von einer bestimmten Person (z. B. IT- oder Sicherheitsbeauftragter) registriert und überwacht werden. Dieser Prozess wird regelmäßig überwacht.

10.2 Reaktion auf Vorfälle und Geschäftskontinuität

Behandlung von Vorfällen / Verletzungen des Schutzes personenbezogener Daten:

• Es ist ein Vorfallreaktionsplan mit detaillierten Verfahren definiert, um eine effektive und geordnete Reaktion auf Vorfälle in Bezug auf personenbezogene Daten zu gewährleisten.
• Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich jeden Sicherheitsvorfall, der zu einem Verlust, Missbrauch oder unbefugten Erwerb personenbezogener Daten geführt hat.

Geschäftskontinuität: Der Auftragsverarbeiter hat die wesentlichen Verfahren und Kontrollen festgelegt, die einzuhalten sind, um die erforderliche Kontinuität und Verfügbarkeit des IT-Systems zur Verarbeitung personenbezogener Daten zu gewährleisten (im Falle eines Vorfalls / einer Verletzung des Schutzes personenbezogener Daten).

10.3 Personalwesen

Vertraulichkeit des Personals: Der Auftragsverarbeiter stellt sicher, dass alle Mitarbeiter ihre Verantwortlichkeiten und Pflichten im Zusammenhang mit der Verarbeitung personenbezogener Daten verstehen. Rollen und Verantwortlichkeiten werden während des Einstellungs- und/oder Onboarding-Prozesses klar kommuniziert.

Schulung: Der Auftragsverarbeiter stellt sicher, dass alle Mitarbeiter angemessen über die Sicherheitskontrollen des IT-Systems informiert sind, die ihre tägliche Arbeit betreffen. Mitarbeiter, die an der Verarbeitung personenbezogener Daten beteiligt sind, werden ferner durch regelmäßige Awareness Kampagnen ordnungsgemäß über relevante datenschutzrechtliche Anforderungen und gesetzliche Pflichten informiert.

11. Technische Sicherheitsmaßnahmen

11.1 Zugriffskontrolle und Authentifizierung

Es ist ein Zugriffskontrollsystem für alle Benutzer, die auf das IT-System zugreifen, implementiert. Das System erlaubt das Anlegen, Genehmigen, Überprüfen und Löschen von Benutzerkonten.

Die Verwendung gemeinsamer Benutzerkonten wird vermieden. In Fällen, in denen dies notwendig ist, wird sichergestellt, dass alle Benutzer des gemeinsamen Kontos dieselben Rollen und Verantwortlichkeiten haben.

Bei der Vergabe von Zugriffsrechten oder der Zuweisung von Benutzerrollen wird das Need-to-know-Prinzip beachtet, um die Anzahl der Benutzer mit Zugriff auf personenbezogene Daten auf diejenigen zu beschränken, die ihn zur Erfüllung der Verarbeitungszwecke des Auftragsverarbeiters benötigen.

Sofern Authentifizierungsmechanismen auf Passwörtern basieren, verlangt der Auftragsverarbeiter, dass das Passwort mindestens acht Zeichen lang ist und sehr starken Passwortkontrollparametern entspricht, einschließlich Länge, Zeichenkomplexität und Nicht-Wiederholbarkeit.

Authentifizierungs-Credentials (z. B. Benutzer-ID und Passwort) werden niemals ungeschützt über das Netzwerk übertragen.

11.2 Protokollierung und Überwachung

Logfiles sind für jedes System bzw. jede Anwendung aktiviert, die zur Verarbeitung personenbezogener Daten genutzt wird. Sie umfassen alle Arten des Zugriffs auf Daten (Anzeige, Änderung, Löschung).

11.3 Sicherheit ruhender Daten

Server-/Datenbanksicherheit:

• Datenbank- und Anwendungsserver sind so konfiguriert, dass sie unter einem separaten Konto mit minimalen OS-Rechten ausgeführt werden, um korrekt zu funktionieren.
• Datenbank- und Anwendungsserver verarbeiten nur die personenbezogenen Daten, deren Verarbeitung tatsächlich erforderlich ist, um die Verarbeitungszwecke zu erreichen.

Workstation-Sicherheit:

• Benutzer können Sicherheitseinstellungen nicht deaktivieren oder umgehen.
• Antivirenanwendungen und Erkennungssignaturen sind regelmäßig konfiguriert.
• Benutzer haben keine Berechtigung, unautorisierte Softwareanwendungen zu installieren oder zu deaktivieren.
• Das System verfügt über Sitzungs-Timeouts, wenn der Benutzer für einen bestimmten Zeitraum nicht aktiv war.
• Kritische Sicherheitsupdates, die vom Betriebssystementwickler veröffentlicht werden, werden regelmäßig installiert.

11.4 Netzwerk-/Kommunikationssicherheit

Soweit der Zugriff über das Internet erfolgt, wird die Kommunikation durch kryptografische Protokolle verschlüsselt.

Der Datenverkehr zum und vom IT-System wird durch Firewalls und Intrusion-Detection-Systeme überwacht und kontrolliert.

11.5 Backups

Backup- und Wiederherstellungsverfahren sind definiert, dokumentiert und klar mit Rollen und Verantwortlichkeiten verknüpft.

Backups erhalten ein angemessenes Maß an physischem und umweltbezogenem Schutz, das mit den für die ursprünglichen Daten geltenden Standards übereinstimmt.

Die Durchführung von Backups wird überwacht, um Vollständigkeit zu gewährleisten.

11.6 Mobile/Tragbare Geräte

Verfahren für das Management mobiler und tragbarer Geräte sind definiert und dokumentiert; sie legen klare Regeln für deren ordnungsgemäße Verwendung fest.

Mobile Geräte, die auf das Informationssystem zugreifen dürfen, sind vorab registriert und vorab autorisiert.

11.7 Anwendungs-Lebenszyklus-Sicherheit

Während des Entwicklungslebenszyklus werden Best Practices, Stand der Technik und allgemein anerkannte sichere Entwicklungspraktiken bzw. Standards befolgt.

11.8 Datenlöschung/-entsorgung

Vor der Entsorgung von Datenträgern wird ein softwarebasiertes Überschreiben durchgeführt. In Fällen, in denen dies nicht möglich ist (CDs, DVDs etc.), erfolgt eine physische Zerstörung.

Papier und tragbare Medien, die zur Speicherung personenbezogener Daten verwendet werden, werden geschreddert.

11.9 Physische Sicherheit

Der physische Perimeter der IT-Systeminfrastruktur ist für unbefugtes Personal nicht zugänglich. Geeignete technische Maßnahmen (z. B. Intrusion-Detection-System, chipkartenbetätigte Drehkreuze, Einzelpersonen-Sicherheitseingangssystem, Schließsystem) oder organisatorische Maßnahmen (z. B. Sicherheitsdienst) sind eingerichtet, um Sicherheitsbereiche und deren Zugangspunkte vor dem Zutritt durch Unbefugte zu schützen.