AGB Auftragsdatenverarbeitung (pdf) - badenIT

Allgemeine Geschäftsbedingungen zur Auftragsdatenverarbeitung
nach BDSG - Öffentliches Verfahrensverzeichnis -
(Version: 2.0 Dezember 2011)
Die AGB zur Auftragsdatenbearbeitung der badenIT (Auftragnehmer) regeln die Umsetzung der Bestimmungen des Bundesdatenschutzgesetzes
mit den Erweiterungen der BDSG-Novelle II mit Angaben und Festlegungen zu
- der verantwortlichen Stelle (§ 4e, Satz 1, Nr. 1-3)
- dem Verfahrensverzeichnis (§ 4e, Satz 1, Nr. 4-9)
- der Auftragsdatenverarbeitung (§ 11, §9)
- sonstigen Bestimmungen des BDSG (u. a. § 5, § 28, § 35)
für alle Vertragsverhältnisse der badenIT mit ihren Auftraggebern, die durch das Bundesdatenschutzgesetz tangiert sind. Ergänzende Vereinbarungen
werden in den Einzelverträgen abgeschlossen.
1. Verantwortliche Stelle (§ 4e, Satz 1, Nr. 1-3 BDSG)
badenIT GmbH, Tullastraße 70, D-79108 Freiburg Verantwortlicher Datenverarbeitung:
Sitz der Gesellschaft: Freiburg im Breisgau Ralf Held, Tullastraße 70, D-79108 Freiburg
Registergericht: Amtsgericht Freiburg Datenschutzbeauftragter:
Registernummer: HRB 5535 Stefan Beyer, Tullastraße 61, D-79108 Freiburg
Geschäftsführer: Peter Lais
2. Verfahrensverzeichnis der badenIT nach § 4e BDSG, Satz 1, Nr. 4-9
2.1 badenIT ist ein Dienstleister für Informationsdienste, Datenverarbeitung und Telekommunikationsdienste. Diese Dienste werden innerhalb der
badenova-Unternehmensgruppe beauftragt oder mit kommunalen Einrichtungen und mit privaten Unternehmen vertraglich vereinbart.
Zum Leistungsportfolio gehören der Rechenzentrumsbetrieb, SAP-Betriebsführungen, Serversysteme, backend-Systeme zur Datensicherung oder Archivierung,
Kommunikations- und E-Mail-Systeme, Internetdienstleistungen, der Betrieb von TK-Anlagen und gewerbliche Telekommunikationsdienste
für die Öffentlichkeit nach § 6 Telekommunikationsgesetz (TKG), Regist. Nr. 05/152, BNetzA.
2.2 Die Zweckbestimmung der Erhebung, Verarbeitung und Nutzung von Daten ergibt sich aus der Tätigkeit im Auftrag als Hauptzweck. Die konkrete
Ausprägung der Auftragsdatenverarbeitung ist in Serviceverträgen (SLA) mit den Kunden vereinbart. Im Rahmen der Kunden-, Lieferanten- und Personalverwaltung
werden für sonstige Zwecke personenbezogene Daten erhoben, verarbeitet oder genutzt.
2.3 Beschreibung der betroffenen Personengruppen, der Daten und Datenkategorien
Zu unterscheiden sind Daten, die im Auftrag bearbeitet werden und Daten, die für eigene Zwecke notwendig sind. Die betroffenen Personengruppen
ergeben sich aus der in 2.1 dargestellten Zweckbestimmung.
2.3.1 Auftragsdaten
Für die Daten, die im Auftrag (Auftragsdatenverarbeitung) verarbeitet werden, ist ausschließlich der Auftraggeber verantwortlich. Sie sind von der
Auskunftspflicht ausgenommen.
2.3.2 Daten für eigene Zwecke der badenIT (interne Daten) - Typische Datenkategorien
- Debitorendaten: Zahlungs- und Steuerungsdaten, Vertragsabrechnungsdaten
- Kundendaten: z. B. Ansprechpartner, Adress-, Vertragsdaten
- Lieferantendaten/Kreditorendaten: Stammdaten zu Verträgen, Abrechnungsdaten, Informationen zu Dienstleistern
- Personaldaten: Vertragsstamm- und Abrechnungsdaten von Mitarbeitern, Rentnern, Anspruchsberechtigten und von Bewerbern oder Interessenten
- Sonstige personenbezogene Daten: Kooperationspartner, Öffentliche Verwaltungen, Kommunen, Banken, Geschäftspartner
2.3.3 Empfänger oder Kategorien von Empfängern, denen personenbezogene Daten (2.3.2) mitgeteilt werden können
- Öffentliche Stellen, sofern vorrangige Rechtsvorschriften dies erfordern
- Interne Stellen, soweit diese Daten im Rahmen ordnungsgemäßer Aufgabenerfüllung dort benötigt werden
- Dienstleister (§ 11 BDSG), die zur ordnungsgemäßen Geschäftsabwicklung beauftragt werden
- Externe Stellen zur ordnungsgemäßen Erfüllung der unter 2.1 genannten Zwecke
2.3.4 Regelfristen für die Löschung der Daten
Die Löschung der Daten erfolgt nach Ablauf der gesetzlichen oder vertraglich vereinbarten Aufbewahrungsfristen. Sofern Daten hiervon nicht betroffen
sind, werden sie gelöscht, wenn die unter 2.1 genannten Zwecke entfallen sind.
2.3.5 Geplante Datenübermittlung in Drittstaaten
Eine Datenübermittlung in Drittstaaten findet nicht statt. Die Verarbeitung und Nutzung der Daten findet ausschließlich im Gebiet der Bundesrepublik
Deutschland statt.
3. Datenschutzpflichten bei der Auftragsdatenverarbeitung nach § 11, § 9 und Anlage zu § 9 BDSG
3.1 Berichtigung, Sperrung und Löschung von Daten
Der Auftragnehmer hat nur nach Weisung des Auftraggebers die Daten, die im Auftrag verarbeitet werden, zu berichtigen, zu löschen oder zu sperren.
Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird der Auftragnehmer
dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
Spätestens mit Beendigung der Leistungsvereinbarung hat der Auftragnehmer sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs-
und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen
oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist
auf Anforderung vorzulegen. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den
Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung
bei Vertragsende dem Auftraggeber übergeben.
3.2 Beauftragung von Subunternehmern
Die Beauftragung von Subunternehmern ist nur mit Zustimmung des Auftraggebers zugelassen. Der Auftragnehmer hat in diesem Falle vertraglich
sicherzustellen, dass die vereinbarten Regelungen auch gegenüber Subunternehmern gelten. Subunternehmer können nur beauftragt werden, wenn
sie sich verpflichten, die in § 9 BDSG geforderten Maßnahmen zu erfüllen und ausschließlich Personal einsetzen, das nach § 5 BDSG auf das Datengeheimnis
verpflichtet ist. Er hat die Einhaltung dieser Pflichten regelmäßig zu überprüfen. Die Weiterleitung von Daten ist erst zulässig, wenn der Subunternehmer
die Verpflichtung nach § 11 BDSG erfüllt hat.
Seite 1 von 3

Allgemeine Geschäftsbedingungen zur Auftragsdatenverarbeitung
nach BDSG - Öffentliches Verfahrensverzeichnis -
(Version: 2.0 Dezember 2011)
3.3 Auftraggeber - Auftragskontrolle
Der Auftraggeber behält die Verantwortung für die Einhaltung aller Vorschriften zum Datenschutz. Der Auftragnehmer gewährleistet die weisungsgemäße
Auftragsdatenverarbeitung. Der Auftraggeber hat das Recht die Zuverlässigkeit und Eignung der vom Auftragnehmer getroffenen technischen
und organisatorischen Maßnahmen zu überprüfen. Das Recht der Prüfung erstreckt sich auch auf alle Maßnahmen, die in der Umsetzung des §
11 mit Verweis auf § 9 und der Anlage zu § 9, Satz 1 BDSG festgelegt wurden (siehe 4).
3.4 Besondere Vorkommnisse/Störungen
Der Auftragnehmer verpflichtet sich, Störungen bei der Auftragserledigung, Verletzungen des Datengeheimnisses beim Auftragnehmer durch ihn
oder durch bei ihm beschäftigte Personen dem Auftraggeber unverzüglich mitzuteilen.
4. Umsetzung der Maßnahmen zu § 9 und der Anlage zu § 9, Satz 1 BDSG bei badenIT
Allgemeine technische und organisatorische Maßnahmen
Für den Rechenzentrumsbetrieb und alle IT- oder Telekommunikationsdienste, die badenIT im Auftrag ausführt, sind IT-Servicemanagement-
Verfahren (ITSM) eingerichtet nach der Norm ISO20000. Die ITSM-Instanzen und -Prozesse, wie Securitymanager/-management oder Continuity-
/Availibility-manager/-management unterliegen jährlichen Audits (intern und extern).
Für den Betrieb in den eigenen Einrichtungen (Rechenzentren) und für den Zugang bzw. Zugriff auf die (Kunden-) Systeme gelten folgende organisatorischen
und technischen Maßnahmen als Standard. In einzelnen Serviceverträgen können weitere Maßnahmen nach dem Stand der Technik vereinbart
werden.
4.1 Zutrittskontrolle
Der Zugang zum Rechenzentrum (RZ) der badenIT wird durch ein Zutrittskontrollsystem gesteuert: Kontrollierte Schlüsselvergabe an einen eng begrenzten
Personenkreis, Zugang mit Code-Karte (Ausweisleser) und Protokollierung des Zugangs, Videoüberwachung des Eingangsbereiches zum RZ.
Einrichtungen der Objektsicherung: Vorfeldsicherung durch abgesperrtes Betriebsgelände und Zugang über Pförtnerdienst, Einbruchmeldeanlagen
und Einsatz des Sicherheitsdienstes.
4.2 Zugangskontrolle zu den Anlagen
Der Zugang zu den Systemen ist reglementiert und begrenzt auf Administratoren. Berechtigungen werden beschränkt auf die Tätigkeit im Rahmen
ihres Administrationsauftrags vergeben. Die Identifikation und Authentifizierung erfolgt über persönliche Kennwortzugänge und verschlüsselte
Kommunikation. Die Kennwortverfahren sind reglementiert (Sonderzeichen, Mindestlänge, regelmäßiger Wechsel des Kennworts).
Bei Fehlversuchen erfolgt die automatische Sperrung, der Anmeldevorgang wird protokolliert. Die Verschlüsselungsverfahren entsprechen dem Stand
der Technik.
4.3 Zugriffskontrolle
Werden im Einzelfall eines Auftrages Daten einer DV-Anlage durch Mitarbeiter der badenIT bearbeitet - im Sinne der Benutzung des Datenverarbeitungsverfahren
– erfolgt die Benutzerverwaltung, Identifikation und Authentifizierung grundsätzlich nach den selben Prinzipien wie unter 4.2 mit der
notwendigen Eingrenzung der Zugriffsberechtigung nach Vorgaben des Auftraggebers (bedarfsgerechte Rechtevergabe). In Abhängigkeit des Datenverarbeitungsverfahrens
erfolgt die Vergabe differenzierter Berechtigungen über Benutzerprofile und/oder Rollen. Sofern nicht anders vereinbart,
übernimmt badenIT bei Online-Zugriffen des Auftraggebers die Verantwortung für Ausgabe und Verwaltung von Zugriffssicherungscodes und Verschlüsselungsmechanismen.
4.4 Weitergabekontrolle
Ein physischer Transport der Daten erfolgt nur zum Auftraggeber selbst, wenn dies im Auftrag vorgesehen ist. Der Transport wird nur durch Mitarbeiter
der badenIT ausgeführt - mit Übergabe direkt an die vereinbarte Dienststelle des Auftraggebers. Elektronische, automatisierte Übertragung von
Daten erfolgt grundsätzlich nur verschlüsselt (z. B. Protokoll SFTP) in einer geschlossenen Prozesskette. Elektronische, manuelle Datenübertragung erfolgt
ebenfalls verschlüsselt (HTTPS) nach Identifikation und Authentifizierung des Benutzers. Datenübertragungen über ISDN-Verbindungen fordern
zuerst eine Rückrufverbindung des Empfängers an. Verbindungen über das Internet werden nur über gesicherte VPN-Tunnel zugelassen.
Einrichtungen zum rechtsgültigen Signieren elektronischer Dokumente nach dem Signaturgesetz und der Signaturverordnung in Verbindung mit
Trustcenter-Dienstleistungen stehen bei Bedarf zur Verfügung.
4.5 Eingabekontrolle
Sofern der Auftrag die Pflege und Verwaltung von Benutzerdaten, Benutzerkonten und/oder Benutzerberechtigungen enthält, werden Änderungen
protokolliert. Darüber hinausgehende Datenverwaltung oder Datenpflege innerhalb eines Datenverarbeitungsverfahrens findet nicht statt, sofern es
der jeweilige Vertrag nicht explizit vorsieht und die Vorgaben definiert.
4.6 Auftragskontrolle
Siehe 3.3
4.7 Verfügbarkeitskontrolle
- Technische Einrichtungen im RZ:
Das Rechenzentrum der badenIT ist mit einer Brandmeldeanlage ausgestattet und es besteht eine direkte Brandmeldekette bis zur Freiburger Feuerwehr.
Löschanlage, Temperaturüberwachung, redundante USV-Anlage (Cluster), Notstromgenerator, Klimatisierung und Wassereinbruchsschutz sind
nach dem Stand der Technik eingerichtet. Zentrale Komponenten und Knoten sind in die Monitoring-Systeme einbezogen.
- Securitymanagement:
Nach den Normvorgaben der ISO20000 ist das Securitymanagement installiert und basiert auf den Vorgaben des Bundesamtes für Sicherheit in der
Informationstechnik (BSI) zur Kritikalitätskategorisierung. Mehrstufige zentrale Firewallsysteme verschiedener Hersteller sind in Betrieb. Alle Kundennetze
sind separat gesichert, Zugriffe erfolgen über Systeme in der DMZ des Kunden. Ein mehrstufiges Virenschutzkonzept (mindestens zwei
Scan-Instanzen) sichert die Systeme.
- Continuity-, Capacity- und Availabilitymanagement:
Die Umsetzung ist ebenfalls nach der Norm ISO20000 realisiert. Wiederanlaufpläne liegen vor, werden aktualisiert und sind getestet. Die Kapazitäten
auf den Kundensystemen können überwacht werden (Monitoring), abhängig von der Einstufung der Systeme.
Datensicherungverfahren werden nach Anforderungen in den vereinbarten SLAs eingerichtet. Standard ist ein tägliches Backup, Monatssicherungen
und Quartalssicherungen für Systeme, die ein Datenverarbeitungsverfahren bedienen. Zu sichernde Systeme und Backup-Systeme/Medien befinden
sich in getrennten RZ-Lokationen. Duplizierung der Bänder und zusätzliche Auslagerung in einen externen Tresor nach Servicevereinbarung.
Seite 2 von 3

Allgemeine Geschäftsbedingungen zur Auftragsdatenverarbeitung
nach BDSG - Öffentliches Verfahrensverzeichnis -
(Version: 2.0 Dezember 2011)
4.8 Trennungskontrolle
Der Auftraggeber verarbeitet nur Daten innerhalb ihrer Zweckbestimmung. In Abhängigkeit der Systemumgebung werden dedizierte Systeme eingesetzt
oder Einrichtungen der internen Mandantenfähigkeit genutzt. Die Systemgestaltung wird so realisiert, dass Daten für unterschiedliche Zwecke
getrennt verarbeitet werden. In der Anwendungsentwicklung erfolgt dazu die Funktionstrennung von Produktions- und Testumgebungen.
5 Qualitätssicherung der Schutzmaßnahmen - ISO20000-1: 2005
Die Schutzmaßnahmen werden regelmäßig überprüft. Dies wird wie folgt gewährleistet:
Softwareentwicklung:
- Verbindliches Vorgehen bei der Neu- und Weiterentwicklung von Software
- Dokumentationsrichtlinien und Freigabeverfahren
IT-Betrieb, interne Maßnahmen:
- Risikomanagement mit Eskalationsmechanismen nach Festlegungen im Servicemanagementplan (SMP)
- Richtlinien für alle IT-Serviceprozesse (ISO20000) und Qualitätssicherungsverfahren
- Interne Audits 2x/Jahr (IT-Revision) durch den verantwortlichen Servicemanager nach Vorgaben der ISO20000
IT-Betrieb, externe Prüfungen:
- Jährliches Überwachungsaudit (ISO/IEC20000-1: 2005) durch den TÜV-Süd, Informatikservice
- Rezertifizierung im Abstand von drei Jahren (ISO/IEC20000-1: 2005), zuletzt März 2010
- IT-Systemprüfungen der jeweils beauftragten Wirtschaftsprüfungsgesellschaften (jährlich)
- Bericht des Datenschutzbeauftragten der badenIT (jährlich)
Dem Auftraggeber wird das Recht eingeräumt, die Ergebnisse der Prüfungen einzusehen.
Seite 3 von 3