Teilen
IMPRESSUM
Datenschutz
Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.
Die Nutzung unserer Webseite ist in der Regel ohne Angabe personenbezogener Daten möglich. Soweit auf unseren Seiten personenbezogene Daten (beispielsweise Name, Anschrift oder E-Mail-Adressen) erhoben werden, erfolgt dies, soweit möglich, stets auf freiwilliger Basis. Diese Daten wie beispielsweise E-Mail, Anschrift oder Namen werden ohne Ihre ausdrückliche Zustimmung nicht an Dritte weitergegeben.
Wir weisen darauf hin, dass die Datenübertragung im Internet (z.B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.
Der Verantwortliche gem. Art. 4 Abs. 7 EU-Datenschutz-Grundverordnung "DSGVO"
Detektei Cosmopol
Pietro Vincenzo Montirosso
Hasselweg 25 34131 Kassel
3.
PFLICHTEN DES AUFTRA
GNEHMERS
(1)
Der
Auftragnehmer
verpflichtet sich, Daten und Verarbeitungsergebnisse ausschließlich
im
Rahmen der
schriftlichen
Aufträge des Auftraggebers zu
verarbeiten.
Erhält der
Auftragnehmer
einen behördlichen
Auftrag, Daten des Auftraggebers herauszugeben,
so
hat er
-
sofern gesetzlich zulässig
-
den
Auftraggeber unverzüg
lich
darüber zu
informieren und
die
Behörde an diesen zu verweisen.
Desgleichen bedarf eine
Verarbeitung
der
Daten für eigene Zwecke des
Auft
ragnehmers
eines
schriftlichen
Auftrages.
(2)
Der
Auftragnehmer
erklärt rechtsverbindlich, dass er alle mit der Datenverarbeitung
beauftragten Personen vor Aufnahme der Tätigkeit
zur
Vertraulichkeit
verpflichtet hat
oder
diese einer angemessenen gesetzlichen Verschwiegenheitsverpflichtung
unterliegen
.
Insbesondere ble
ibt
die Verschwiegenheitsverpflichtung der mit de
r
Daten
verarbeitung
beauftragten Personen auch nach Beendigung ihrer Tätigkeit und
Ausscheiden beim
Auftragnehmer
aufrecht.
(3)
Der
Auftragnehmer erklärt rechtsverbindlich, dass er alle erforderlichen Maßnahmen
zur
Gewährleistung der Sicherheit der Verarbeitung nach Art 32 DSGVO ergriffen hat
(Einzelheiten sind der Anlage ./1 zu entnehmen).
(4)
Der
Auftragnehmer
ergreift
die
technischen und organisatorischen
Maßnahmen
,
damit
der
Auftraggeber
die
Rechte der betroffen
en
Person nach Kapitel III der DSGVO
(Information, Auskunft, Berichtigung und Löschung, Datenübertragbarkeit,
Widerspruch, sowie automatisierte Entscheidungsfindung im Einzelfall)
innerhalb der
gesetzlichen Fristen jederzeit erfüllen kann und überlässt dem
Auftraggeber alle dafür
notwendigen Informationen.
W
ird
ein
entsprechender Antrag
an
den
Auftragnehmer
gerichtet und lässt diese
r
erkennen, dass der
Antragsteller
ihn
irrtümlich für den
Auftraggeber der von ihm betriebenen Datenanwendung hält, hat der
Auf
tragnehmer
den
Antrag
unverzüglich an den Auftraggeber weite
rzuleiten und dies dem
Antragsteller mitzuteilen.
(5)
Der
Auftragnehmer
unterstützt den
Auftraggeber
bei
der Einhaltung der in den Art 32
bis
36 DSGVO genannten Pflichten (Datensicherheitsmaßnahmen, M
eldungen von
Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde,
Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten
betroffenen Person, Datenschutz
-
Folgeabschätzung, vorherige Konsultation).
(6)
Der
Auftragneh
mer
wird darauf hingewiesen, dass er für die vorliegende
Auftragsverarbeitung ein
Verarbeitungs
verzeichnis nach Art 30 DSGVO zu errichten
hat.
(7)
Dem
Auftraggeber wird hinsichtlich der Verarbeitung der von ihm überlassenen Daten
das
Recht jederzeitiger Einsic
htnahme und Kontrolle
, sei
es auch durch ihn
beauftragte Dritte,
der
Datenverarbeitungseinrichtungen eingeräumt. Der
Auftragnehmer
verpflichtet sich, dem Auftraggeber jene Informationen zur Verfügung
zu
stellen, die zur Kontrolle der Einhaltung der in dies
er
Vereinbarung genannten
Verpflichtungen notwendig sind
.
(8)
Der
Auftragnehmer ist nach Beendigung dieser Vereinbarung verpflichtet, alle
Verarbeitungsergebnisse und Unterlagen, die Daten enthalten, in dessen Auftrag zu
vernichten. Wenn der Auftragnehmer die
Daten
in einem speziellen technischen
Format verarbeitet, ist er verpflichtet, die Daten nach Beendigung dieser
Vereinbarung entweder in diesem Format oder nach Wunsch des Auftraggebers in dem
Format, in dem er die Daten vom Auftraggeber erhalten hat oder
in
einem anderen,
gängigen Format herauszugeben.
(9)
Der
Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, falls er der
Ansicht ist, eine Weisung des Auftraggebers verstößt gegen Datenschutzbestimmungen
der
Union oder der
Mitgliedstaaten.
4.
ORT
DER DURCHFÜHRUNG
DER
DATENVERARBEITU
NG
Alle
Datenverarbeitungstätigkeiten werden ausschließlich innerhalb der EU bzw des EWR
durchgeführt.
5.
SUB
-
AUFTRAGSVERARBEI
TER
Der
Auftragnehmer ist nicht berechtigt, einen
Sub
-
Auftragsverarbeiter heranzuziehen.
[
Ort
]
,
am
[
Datum
]
[
Ort
]
,
am
[
Datum
]
Für
den
Auftraggeber
:
Für
den
Auftragnehmer
:
....................................................
....................................................
[
Name
samt Funktion
]
[
Name
samt Funktion
]
ANLAGE ./1
–
TECHNIS
CH
-
ORGANISATORISCHE
MA
SS
NAHMEN
1
VERTRAULICHKEIT
•
Zutrittskontrolle:
Schutz vor unbefugtem Zutritt zu Datenverarbeitungsanlagen, z.B.:
Schlüssel,
Magnet
-
oder
Chipkarten, elektrische Türöffner, Portier, Sicherheitspersonal,
Alarmanlagen, Videoanlagen;
•
Zugangskontrolle
:
Schutz vor unbefugter Systembenutzung, z.B.: Kennwörter
(einschließlich entsprechender Policy), automatische Sperrmechanismen, Zwei
-
Faktor
-
Authentifizierung, Verschlüsselung von Datenträgern;
•
Zugriffskontrolle
: Kein
unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb
des
Systems, z.B.: Standard
-
Berechtigungsprofile auf „need to know
-
Basis“,
Standardprozess für Berechtigungsv
ergabe,
Protokollierung von Zugriffen, periodische
Überprüfung der vergebenen Berechtigungen, insb von administrativen Benutzerkonten;
•
Pseudonymisierung
: Sofern
für die jeweilige Datenverarbeitung möglich, werden die
primären
Identifikationsmerkmale der pe
rsonenbezogenen Daten in der jeweiligen
Datenanwendung entfernt, und gesondert aufbewahrt.
•
Klassifikationsschema für Daten:
Aufgrund gesetzlicher Verpflichtungen oder
Selbsteinschätzung (geheim/vertraulich/intern/öffentlich).
INTEGRITÄT
2
•
Weitergabekontro
lle
: Kein
unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei
elektronischer Übertragung oder Transport, z.B.: Verschlüsselung, Virtual Private
Networks (VPN), elektronische Signatur;
•
Eingabekontrolle
:
Feststellung, ob und von wem personenbezogene Dat
en
in
Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, z.B.:
Protokollierung, Dokumentenmanagement;
VERFÜGBARKEIT UND BE
LASTBARKEIT
•
Verfügbarkeitskontrolle
:
Schutz gegen zufällige oder mutwillige Zerstörung bzw.
Verlust, z.B.: B
ackup
-
Strategie (online/offline; on
-
site/off
-
site), unterbrechungsfreie
Stromversorgung (USV, Dieselaggregat), Virenschutz, Firewall, Meldewege und
Notfallpläne; Security Checks auf Infrastruktur
-
und
Applikationsebene,
Mehrstufiges
Sicherungskonzept mit v
erschlüsselter Auslagerung der Sicherungen in ein
Ausweichrechenzentrum
,
Standardprozesse bei Wechsel/Ausscheiden von Mitarbeitern;
•
Rasche
Wiederherstellbarkeit
;
•
Löschungsfristen
:
Sowohl für Daten selbst als auch Metadaten wie Logfiles, udgl.
VERFAHREN ZUR REGELM
ÄßIGEN ÜBERPRÜFUNG,
BEWERTUNG UND EVALUI
ERUNG
•
Datenschutz
-
Management, einschließlich regelmäßiger Mitarbeiter
-
Schulungen;
•
Incident
-
Response
-
Management;
•
Datenschutzfreundliche Voreinstellungen;
•
Auftragskontrolle
:
Keine
Auftragsdatenverarbeitung im Sinne von Art 28 DS
-
GVO
ohne
entsprechende Weisung des Auftraggebers, z.B.: eindeutige Vertragsgestaltung,
formalisiertes Auftragsmanagement, strenge Auswahl des Auftragsverarbeiters (ISO
-
Zertifizierung, ISMS), Vorabüberzeugung
spflicht, Nachkontrollen.
1
Entsprechend den Realitäten anpassen!
2
Verhinderung von (unbeabsichtigter) Zerstörung/Vernichtung, (unbeabsichtigter) Schädigung,
(unbeabsichtigtem) Verlust, (unbeabsichtigter) Veränderung von personenbezogenen Daten.
Seite 4 von 5
3.
PFLICHTEN DES AUFTRA
GNEHMERS
(1)
Der
Auftragnehmer
verpflichtet sich, Daten und Verarbeitungsergebnisse ausschließlich
im
Rahmen der
schriftlichen
Aufträge des Auftraggebers zu
verarbeiten.
Erhält der
Auftragnehmer
einen behördlichen
Auftrag, Daten des Auftraggebers herauszugeben,
so
hat er
-
sofern gesetzlich zulässig
-
den
Auftraggeber unverzüg
lich
darüber zu
informieren und
die
Behörde an diesen zu verweisen.
Desgleichen bedarf eine
Verarbeitung
der
Daten für eigene Zwecke des
Auft
ragnehmers
eines
schriftlichen
Auftrages.
(2)
Der
Auftragnehmer
erklärt rechtsverbindlich, dass er alle mit der Datenverarbeitung
beauftragten Personen vor Aufnahme der Tätigkeit
zur
Vertraulichkeit
verpflichtet hat
oder
diese einer angemessenen gesetzlichen Verschwiegenheitsverpflichtung
unterliegen
.
Insbesondere ble
ibt
die Verschwiegenheitsverpflichtung der mit de
r
Daten
verarbeitung
beauftragten Personen auch nach Beendigung ihrer Tätigkeit und
Ausscheiden beim
Auftragnehmer
aufrecht.
(3)
Der
Auftragnehmer erklärt rechtsverbindlich, dass er alle erforderlichen Maßnahmen
zur
Gewährleistung der Sicherheit der Verarbeitung nach Art 32 DSGVO ergriffen hat
(Einzelheiten sind der Anlage ./1 zu entnehmen).
(4)
Der
Auftragnehmer
ergreift
die
technischen und organisatorischen
Maßnahmen
,
damit
der
Auftraggeber
die
Rechte der betroffen
en
Person nach Kapitel III der DSGVO
(Information, Auskunft, Berichtigung und Löschung, Datenübertragbarkeit,
Widerspruch, sowie automatisierte Entscheidungsfindung im Einzelfall)
innerhalb der
gesetzlichen Fristen jederzeit erfüllen kann und überlässt dem
Auftraggeber alle dafür
notwendigen Informationen.
W
ird
ein
entsprechender Antrag
an
den
Auftragnehmer
gerichtet und lässt diese
r
erkennen, dass der
Antragsteller
ihn
irrtümlich für den
Auftraggeber der von ihm betriebenen Datenanwendung hält, hat der
Auf
tragnehmer
den
Antrag
unverzüglich an den Auftraggeber weite
rzuleiten und dies dem
Antragsteller mitzuteilen.
(5)
Der
Auftragnehmer
unterstützt den
Auftraggeber
bei
der Einhaltung der in den Art 32
bis
36 DSGVO genannten Pflichten (Datensicherheitsmaßnahmen, M
eldungen von
Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde,
Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten
betroffenen Person, Datenschutz
-
Folgeabschätzung, vorherige Konsultation).
(6)
Der
Auftragneh
mer
wird darauf hingewiesen, dass er für die vorliegende
Auftragsverarbeitung ein
Verarbeitungs
verzeichnis nach Art 30 DSGVO zu errichten
hat.
(7)
Dem
Auftraggeber wird hinsichtlich der Verarbeitung der von ihm überlassenen Daten
das
Recht jederzeitiger Einsic
htnahme und Kontrolle
, sei
es auch durch ihn
beauftragte Dritte,
der
Datenverarbeitungseinrichtungen eingeräumt. Der
Auftragnehmer
verpflichtet sich, dem Auftraggeber jene Informationen zur Verfügung
zu
stellen, die zur Kontrolle der Einhaltung der in dies
er
Vereinbarung genannten
Verpflichtungen notwendig sind
.
(8)
Der
Auftragnehmer ist nach Beendigung dieser Vereinbarung verpflichtet, alle
Verarbeitungsergebnisse und Unterlagen, die Daten enthalten, in dessen Auftrag zu
vernichten. Wenn der Auftragnehmer die
Daten
in einem speziellen technischen
Format verarbeitet, ist er verpflichtet, die Daten nach Beendigung dieser
Vereinbarung entweder in diesem Format oder nach Wunsch des Auftraggebers in dem
Format, in dem er die Daten vom Auftraggeber erhalten hat oder
in
einem anderen,
gängigen Format herauszugeben.
(9)
Der
Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, falls er der
Ansicht ist, eine Weisung des Auftraggebers verstößt gegen Datenschutzbestimmungen
der
Union oder der
Mitgliedstaaten.
4.
ORT
DER DURCHFÜHRUNG
DER
DATENVERARBEITU
NG
Alle
Datenverarbeitungstätigkeiten werden ausschließlich innerhalb der EU bzw des EWR
durchgeführt.
5.
SUB
-
AUFTRAGSVERARBEI
TER
Der
Auftragnehmer ist nicht berechtigt, einen
Sub
-
Auftragsverarbeiter heranzuziehen.
[
Ort
]
,
am
[
Datum
]
[
Ort
]
,
am
[
Datum
]
Für
den
Auftraggeber
:
Für
den
Auftragnehmer
:
....................................................
....................................................
[
Name
samt Funktion
]
[
Name
samt Funktion
]
ANLAGE ./1
–
TECHNIS
CH
-
ORGANISATORISCHE
MA
SS
NAHMEN
1
VERTRAULICHKEIT
•
Zutrittskontrolle:
Schutz vor unbefugtem Zutritt zu Datenverarbeitungsanlagen, z.B.:
Schlüssel,
Magnet
-
oder
Chipkarten, elektrische Türöffner, Portier, Sicherheitspersonal,
Alarmanlagen, Videoanlagen;
•
Zugangskontrolle
:
Schutz vor unbefugter Systembenutzung, z.B.: Kennwörter
(einschließlich entsprechender Policy), automatische Sperrmechanismen, Zwei
-
Faktor
-
Authentifizierung, Verschlüsselung von Datenträgern;
•
Zugriffskontrolle
: Kein
unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb
des
Systems, z.B.: Standard
-
Berechtigungsprofile auf „need to know
-
Basis“,
Standardprozess für Berechtigungsv
ergabe,
Protokollierung von Zugriffen, periodische
Überprüfung der vergebenen Berechtigungen, insb von administrativen Benutzerkonten;
•
Pseudonymisierung
: Sofern
für die jeweilige Datenverarbeit
Datenanwendung entfernt, und gesondert aufbewahrt.
•
Klassifikationsschema für Daten:
Aufgrund gesetzlicher Verpflichtungen oder
Selbsteinschätzung (geheim/vertraulich/intern/öffentlich).
INTEGRITÄT
2
•
Weitergabekontro
lle
: Kein
unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei
elektronischer Übertragung oder Transport, z.B.: Verschlüsselung, Virtual Private
Networks (VPN), elektronische Signatur;
•
Eingabekontrolle
:
Feststellung, ob und von wem personenbezogene Dat
en
in
Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, z.B.:
Protokollierung, Dokumentenmanagement;
VERFÜGBARKEIT UND BE
LASTBARKEIT
•
Verfügbarkeitskontrolle
:
Schutz gegen zufällige oder mutwillige Zerstörung bzw.
Verlust, z.B.: B
ackup
-
Strategie (online/offline; on
-
site/off
-
site), unterbrechungsfreie
Stromversorgung (USV, Dieselaggregat), Virenschutz, Firewall, Meldewege und
Notfallpläne; Security Checks auf Infrastruktur
-
und
Applikationsebene,
Mehrstufiges
Sicherungskonzept mit v
erschlüsselter Auslagerung der Sicherungen in ein
Ausweichrechenzentrum
,
Standardprozesse bei Wechsel/Ausscheiden von Mitarbeitern;
•
Rasche
Wiederherstellbarkeit
;
•
Löschungsfristen
:
Sowohl für Daten selbst als auch Metadaten wie Logfiles, udgl.
VERFAHREN ZUR REGELM
ÄßIGEN ÜBERPRÜFUNG,
BEWERTUNG UND EVALUI
ERUNG
•
Datenschutz
-
Management, einschließlich regelmäßiger Mitarbeiter
-
Schulungen;
•
Incident
-
Response
-
Management;
•
Datenschutzfreundliche Voreinstellungen;
•
Auftragskontrolle
:
Keine
Auftragsdatenverarbeitung im Sinne von Art 28 DS
-
GVO
ohne
entsprechende Weisung des Auftraggebers, z.B.: eindeutige Vertragsgestaltung,
formalisiertes Auftragsmanagement, strenge Auswahl des Auftragsverarbeiters (ISO
-
Zertifizierung, ISMS), Vorabüberzeugung
spflicht, Nachkontrollen.
1
Entsprechend den Realitäten anpassen!
2
Verhinderung von (unbeabsichtigter) Zerstörung/Vernichtung, (unbeabsichtigter) Schädigung,
(unbeabsichtigtem) Verlust, (unbeabsichtigter) Veränderung von personenbezogenen Daten.
Seite 4 von 5
Druckversion 