[vc_row height=“medium“ color_scheme=““ us_bg_color=““ us_text_color=““ us_bg_image=““ us_bg_video=“0″][vc_column][vc_column_text]

Auftragsdatenverarbeitung i.S.d. § 11 Abs. 2 BDSG zwischen
der Soloplan GmbH – im Folgenden „Auftraggeber“ genannt
– und dem Datenverarbeitungsunternehmen
– im Folgenden „Auftragnehmer“ genannt –

Geltungsbereich – Vertragsgegenstand

Definitionen

AVB: Allgemeine Vertragsbedingungen
Auftraggeber i.S.d. Anlage: Soloplan
Auftragnehmer: Unternehmen, das die Daten des Betroffenen im Auftrag des Auftraggebers speichert
Benutzer/Betroffener: Unternehmen oder Person, das CarLo exCHANGE nutzt
Daten: Alle Daten der betroffenen Person, die der Auftraggeber an den Auftragnehmer übermittelt
Personenbezogen Daten: Personenbezogene Daten sind alle Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten
oder bestimmbaren natürlichen Person.
Software: CarLo exCHANGE = cloudbasierte Kommunikationsplattform des Auftraggebers

Präambel

Diese Anlage regelt und konkretisiert die Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten, die der Auftraggeber bzw. deren Benutzer im Rahmen der Verwendung der Software des Auftraggebers eingibt; die mit der Nutzung der Software entstehen oder sonst erhoben werden und die der Auftraggeber im Zusammenhang mit der Durchführung des Hauptvertrages (AVB) dem Auftragnehmer in sonstiger Weise überlässt.

1. Gegenstand, Dauer und Spezifizierung der Auftragsdatenverarbeitung

1.1. Aus den AVB des Auftraggebers ergeben sich Gegenstand und Dauer des Auftrags sowie Umfang und Art der Datenerhebung, -verarbeitung oder -nutzung.
1.2. Die Laufzeit dieser Anlage richtet sich nach der Laufzeit der AVB, sofern sich aus den Bestimmungen dieser Anlage nicht darüber hinausgehende Verpflichtungen ergeben.

2. Anwendungsbereich und Verantwortlichkeit

2.1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Dies umfasst Tätigkeiten, die in den AVB und der darin enthaltenen Leistungsbeschreibung konkretisiert sind. Der Auftraggeber ist im Rahmen der AVB für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung verantwortlich und hier als „verantwortliche Stelle“ im Sinne des § 3 Abs. 7 BDSG“ anzusehen.
2.2. Die Weisungen werden anfänglich durch die AVB festgelegt und können von Auftraggeber im Anschluss als Einzelanweisung in schriftlicher Form oder in Textform durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung).

3. Pflichten des Auftragnehmers

3.1. Der Auftragnehmer darf Daten von Betroffenen nur im Rahmen des Auftrages und der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen.
3.2. Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er wird technische und organisatorische Maßnahmen zum angemessenen Schutz der vom Auftraggeber übermittelten Daten treffen, die den Anforderungen der Anlage zu § 9 BDSGB des Bundesdatenschutzgesetzes genügen und im Anhang zu dieser Anlage aufgeführt sind.
3.3. Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt dem Auftragnehmer vorbehalten, wobei jedoch sichergestellt sein muss, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.
3.4. Der Auftragnehmer stellt auf Anforderung des Aufraggebers die für die Übersicht nach § 4g Abs. 2 S. 1 BDSG notwendigen Informationen zur Verfügung, sofern der Auftraggeber sie sich nicht selbst beschaffen kann.
3.5. Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Mitarbeitern und anderen für den Auftragnehmer tätigen Personen per Verpflichtung untersagt ist, die Daten entgegen der Bestimmungen des § 5 BDSG unbefugt zu erheben, zu verarbeiten oder zu nutzen.
3.6. Das Datengeheimnis besteht auch nach Beendigung des Auftrages fort.
3.7. Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich bei schwerwiegenden Verstößen des Auftragnehmers oder der bei ihm im Rahmen des Auftrags beschäftigten Personen gegen Vorschriften zum Schutz des Auftraggebers übermittelten, personenbezogener Daten oder die im Vertrag und den AVB getroffenen Festlegungen. Er trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen und spricht sich hierzu unverzüglich mit dem Auftraggeber ab. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Informationspflichten nach § 42a BDSG.
3.8. Der Auftragnehmer nennt dem Auftraggeber den Ansprechpartner für im Rahmen des Vertrages anfallende Datenschutzfragen.
3.9. Der Auftragnehmer gewährleistet, seinen Pflichten nach §§ 4f, 4g BDSG nachzukommen (§ 11 Abs. 2 Nr. 5 i.V.m. § 11 Abs. 4 BDSG), wie z.B. seiner Pflicht, einen Datenschutzbeauftragen zu bestellen, soweit vom Gesetz vorgeschrieben.
3.10. Der Auftragnehmer verwendet die überlassenen Daten für keine anderen Zwecke als die der Vertragserfüllung.
3.11. Der Auftragnehmer berichtigt, löscht oder sperrt die vertragsgegenständlichen Daten, wenn der Auftraggeber dies anweist. Die datenschutzkonforme Vernichtung von Datenträgern und sonstigen Materialien übernimmt der Auftragnehmer auf Grund einer Einzelbeauftragung durch den Auftraggeber, sofern nicht im Vertrag bereits vereinbart. In besonderen, vom Auftraggeber zu bestimmenden Fällen, erfolgt eine Aufbewahrung bzw. Übergabe.
3.12. Daten, Datenträger sowie sämtliche sonstige Materialien sind nach Auftragsende auf Verlangen des Auftraggebers entweder herauszugeben oder zu löschen.

4. Pflichten des Auftraggebers

4.1. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.
4.2. Die Pflicht zur Führung des öffentlichen Verfahrensverzeichnisses (Jedermannverzeichnis) gem. § 4g Abs. 2 S. 2 BDSG liegt beim Auftraggeber

5. Anfragen Betroffener

5.1. Ist der Auftraggeber auf Grund geltender Datenschutzgesetze gegenüber einer Einzelperson verpflichtet, Auskünfte zur Erhebung, Verarbeitung oder Nutzung von Daten dieser Person zu erteilen, wird der Auftragnehmer den Auftraggeber dabei unterstützen, diese Informationen bereit zu stellen. Dies setzt voraus, dass der Auftraggeber den Auftragnehmer hierzu schriftlich oder in Textform aufgefordert hat und der Auftraggeber dem Auftragnehmer die durch diese Unterstützung entstandenen Kosten erstattet. Der Auftragnehmer wird keine Auskunftsverlangen beantworten und den Betroffenen insoweit an den Auftraggeber verweisen.
5.2. Wendet sich ein Betroffener mit Forderungen zur Berichtigung, Löschung oder Sperrung an den Auftragnehmer, wird der Auftragnehmer den Betroffenen an den Auftraggeber verweisen.

6. Kontrollpflichten

6.1. Der Auftraggeber überzeugt sich vor der Aufnahme der Datenverarbeitung und sodann regelmäßig von den technischen und organisatorischen Maßnahmen des Auftragnehmers und dokumentiert das Ergebnis. Hierfür kann er z. B. Auskünfte des Auftragnehmers einholen, sich ein ggf. vorhandenes Testat eines Sachverständigen vorlegen lassen oder nach rechtzeitiger Abstimmung zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs persönlich prüfen oder durch einen sachkundigen Dritten prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht.
6.2. Der Auftragnehmer verpflichtet sich den Auftraggeber auf schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte und Nachweise zur Verfügung zu stellen, die zur Durchführung einer Kontrolle erforderlich sind.

7. Subunternehmer

7.1. Der Auftragnehmer ist zur Erfüllung seiner vertraglich vereinbarten Leistungen berechtigt, verbundene Unternehmen des Auftragnehmers zur Leistungserfüllung heranzuziehen bzw. Unternehmen mit den aufgeführten Leistungen unter zu beauftragen.
7.2. Erteilt der Auftragnehmer Aufträge an Subunternehmer, so obliegt es dem Auftragnehmer, seine Pflichten aus diesem Vertrag dem Subunternehmer zu übertragen. Satz 1 gilt insbesondere für Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit der sich aus den AVB ergebenen Bestimmungen. Eine etwaige Prüfung durch den Auftraggeber beim Subunternehmer erfolgt nur in Abstimmung mit dem Auftragnehmer. Durch schriftliche Aufforderung ist der Auftraggeber berechtigt, vom Auftragnehmer Auskunft über die datenschutzrelevanten Verpflichtungen des Subunternehmers zu erhalten, erforderlichenfalls auch durch Einsicht in die relevanten Vertragsunterlagen.
7.3. Ein zustimmungspflichtiges Subunternehmerverhältnis liegt nicht vor, wenn der Auftragnehmer Dritte im Rahmen einer Nebenleistung zur Hauptleistung beauftragt, wie beispielsweise bei externem Personal, Post- und Versanddienstleistungen oder Wartung.

Der Auftragnehmer wird mit diesem Dritten im erforderlichen Umfang Vereinbarungen treffen, um einen angemessenen Datenschutz zu gewährleisten.

8. Informationspflichten, Schriftformklausel, Rechtswahl

8.1. Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als »verantwortlicher Stelle« im Sinne des Bundesdatenschutzgesetzes liegen.
8.2. Änderungen und Ergänzungen dieser Anlage und aller ihrer Bestandteile – einschließlich etwaiger Zusicherungen des Auftragnehmers – bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
8.3. Bei etwaigen Widersprüchen gehen Regelungen dieser Anlage zum Datenschutz den Regelungen des Vertrages vor. Sollten einzelne Teile dieser Anlage unwirksam sein, so berührt dies die Wirksamkeit der Anlage im Übrigen nicht.
8.4. Auf diesen Vertrag findet ausschließlich deutsches Recht unter Ausschluss des UN Kaufrechts Anwendung.
8.5. Ist der Betroffene Kaufmann, eine juristische Person des öffentlichen Rechts oder ein öffentlichrechtliches Sondervermögen, so ist ausschließlicher
Gerichtsstand Kempten.

Anhang – technische und organisatorische Maßnahmen
des Auftragnehmers nach § 9 BDSG

Organisation der Informationssicherheit

Verantwortung für die Sicherheit
Der Auftragnehmer hat einen oder mehrere Sicherheitsbeauftragte bestimmt, die für die Koordination und Überwachung der Sicherheitsvorschriften und -verfahren verantwortlich sind.

Funktionen und Verantwortlichkeiten in Bezug auf Sicherheit
Mitarbeiter des Auftragnehmers mit Zugriff auf Kundendaten unterliegen Vertraulichkeitsverpflichtungen.

Risikomanagementprogramm
Der Auftragnehmer hat vor der Verarbeitung der Kundendaten oder der Einführung des Service für Onlinedienste eine Risikobewertung vorgenommen.
Der Auftragnehmer bewahrt seine Sicherheitsdokumente in Übereinstimmung mit den Aufbewahrungsanforderungen auf, nachdem diese nicht mehr wirksam sind.

Inventarverwaltung

Anlagenbestand
Der Auftragnehmer pflegt einen Bestand aller Medien, auf denen Kundendaten gespeichert sind. Der Zugriff auf die Bestände dieser Medien ist Mitarbeitern
des Auftragnehmers vorbehalten, die schriftlich zu diesem Zugriff ermächtigt wurden.

Handhabung von Beständen

• Der Auftragnehmer teilt Kundendaten in Kategorien ein, um die Identifizierung zu erleichtern und eine angemessene Beschränkung des Zugriffs auf Kundendaten
  zu ermöglichen.
• Der Auftragnehmer ordnet Beschränkungen für das Drucken von Kundendaten an und verfügt über Verfahren für die Entsorgung von gedruckten Materialien,
  die Kundendaten enthalten.
• Mitarbeiter des Auftragnehmers müssen die Genehmigung des Auftragnehmers erhalten, bevor sie Kundendaten auf tragbaren Geräten speichern,
  remote auf Kundendaten zugreifen oder Kundendaten außerhalb der Einrichtungen des Auftragnehmers verarbeiten.

Sicherheit im Personalwesen

Sicherheitsschulungen
Der Auftragnehmer informiert seine Mitarbeiter über relevante Sicherheitsverfahren und ihre jeweiligen Aufgaben. Außerdem informiert der Auftragnehmer seine Mitarbeiter über mögliche Konsequenzen beim Verstoß gegen die Sicherheitsvorschriften und -verfahren. Der Auftragnehmer verwendet in Schulungen ausschließlich anonyme Daten.

Physische und Umgebungssicherheit

Physischer Zugang zu Einrichtungen
Der Auftragnehmer beschränkt den Zugang zu Einrichtungen, in denen sich Informationssysteme, die Kundendaten verarbeiten, befinden, auf benannte autorisierte Personen.

Physischer Zugang zu Komponenten
Der Auftragnehmer führt Unterlagen über die eingehenden und ausgehenden Medien, die Kundendaten enthalten, einschließlich Art des Mediums, autorisierte(r) Absender/Empfänger, Datum und Uhrzeit, Anzahl der Medien und Arten von Kundendaten, die sie enthalten.

Schutz vor Störungen
Der Auftragnehmer verwendet unterschiedliche Systeme nach Branchenstandard, um den Verlust von Daten aufgrund von Stromversorgungsausfällen oder Leitungsstörungen zu verhindern.

Entsorgung von Komponenten
Der Auftragnehmer verwendet Verfahren nach Branchenstandard, um Kundendaten zu löschen, wenn sie nicht mehr benötigt werden.

Kommunikations- und Betriebsmanagement

Betriebsrichtlinie
Der Aufragnehmer führt Sicherheitsdokumente, in denen die Sicherheitsmaßnahmen und die relevanten Verfahren und Verantwortlichkeiten seiner Mitarbeiter,
die Zugriff auf Kundendaten haben, beschrieben sind.

Verfahren zur Datenwiederherstellung

• Der Auftragnehmer verfügt fortlaufend, jedoch keinesfalls seltener als einmal pro Woche (es sei denn, es wurden in dem Zeitraum keine Kundendaten aktualisiert)
  über mehrere Kopien von Kundendaten, von denen Kundendaten wiederhergestellt werden können.
• Der Auftragnehmer bewahrt Kopien von Kundendaten und Datenwiederherstellungsverfahren an einem anderen Ort auf als an dem Ort, an dem sich die primären
  Computergeräte, die die Kundendaten verarbeiten, befinden.
• Der Auftragnehmer verfügt über bestimmte Verfahren, die den Zugriff auf Kopien von Kundendaten regeln.
• Der Auftragnehmer prüft die Datenwiederherstellungsverfahren mindestens alle sechs Monate.
• Der Auftragnehmer protokolliert Datenwiederherstellungsmaßnahmen, einschließlich der verantwortlichen Person, die Beschreibung der wiederhergestellten Daten,
  gegebenenfalls die verantwortliche Person sowie welche Daten (gegebenenfalls) beim Datenwiederherstellungsverfahren manuell eingegeben werden mussten.

Malware
Der Auftragnehmer verfügt über Antimalwarekontrollen, um zu verhindern, dass Malware unbefugten Zugriff auf Kundendaten erhält, einschließlich Malware aus öffentlichen Netzwerken.

Grenzüberschreitende Daten

• Der Auftragnehmer verschlüsselt oder versetzt den Kunden in die Lage, Kundendaten zu verschlüsseln, die über öffentliche Netzwerke übertragen werden.
• Der Auftragnehmer beschränkt den Zugriff auf Kundendaten in Medien, die ihre Einrichtungen verlassen (z.B. durch Verschlüsselung).

Event-Logging
Der Auftragnehmer zeichnet den Zugriff und die Nutzung von Informationssystemen auf, die Kundendaten enthalten, indem die Zugriffs-ID, Zugriffszeit, gewährte oder verweigerte Autorisierung und entsprechende Aktivität registriert wird, oder versetzt den Kunden dazu in die Lage.

Zugriffskontrolle

Zugriffsrichtlinie
Der Auftragnehmer führt Unterlagen über Sicherheitsberechtigungen einzelner Personen, die auf Kundendaten zugreifen.

Zugriffsautorisierung

• Der Auftragnehmer führt und aktualisiert Unterlagen zu den Mitarbeitern, die für den Zugriff auf Microsoft-Systeme, die Kundendaten enthalten, autorisiert sind.
• Der Auftragnehmer deaktiviert Anmeldedaten, die über einen Zeitraum, der sechs Monate nicht überschreiten darf, nicht verwendet wurden.
• Der Auftragnehmer benennt diejenigen Mitarbeiter, die berechtigt sind, den autorisierten Zugriff auf Daten und Ressourcen zu gewähren, zu ändern oder zu widerrufen.
• Wenn mehrere Personen Zugriff auf die Systeme haben, auf denen Kundendaten enthalten sind, stellt der Auftragnehmer sicher, dass diese Personen über separate Kennungen/Anmeldedaten verfügen.

Geringste Berechtigung

• Technischen Supportmitarbeitern ist nur der Zugriff auf Kundendaten erlaubt, wenn dies erforderlich ist.
• Der Auftragnehmer beschränkt den Zugriff auf Kundendaten nur auf die Personen, die diesen Zugriff benötigen, um ihre berufliche Tätigkeit auszuführen.

Authentifizierung

• Der Auftragnehmer verwendet Verfahren nach Branchenstandard, um Benutzer zu identifizieren und zu authentifizieren, die versuchen, auf Informationssysteme zuzugreifen.
• Wenn die Authentifizierungsverfahren auf Kennwörtern beruhen, schreibt der Auftragnehmer vor, dass die Kennwörter regelmäßig erneuert werden müssen.
• Wenn die Authentifizierungsverfahren auf Kennwörtern beruhen, schreibt der Auftragnehmer vor, dass das Kennwort mindestens acht Zeichen umfassen muss.
• Der Auftragnehmer stellt sicher, dass deaktivierte oder abgelaufene Kennungen keiner anderen Person gewährt werden.
• Der Auftragnehmer überwacht wiederholte Versuche, sich mit ungültigen Kennwörtern Zugriff auf Informationssysteme zu verschaffen, oder versetzt den Kunden dazu in die Lage.
• Der Auftragnehmer unterhält Verfahren nach Branchenstandard zur Deaktivierung von Kennwörtern, die beschädigt oder versehentlich offengelegt wurden.
• Der Auftragnehmer verwendet Verfahren nach Branchenstandard zum Schutz von Kennwörtern, einschließlich Verfahren, die die Vertraulichkeit und Integrität von Kennwörtern wahren sollen, wenn sie zugewiesen und verteilt werden sowie während der Speicherung.

Netzwerkdesign
Der Auftragnehmer verfügt über Kontrollen, um zu verhindern, dass Personen, die Zugriffsrechte, die ihnen nicht zugewiesen wurden, annehmen, um sich Zugriff auf Kundendaten zu verschaffen, ohne hierfür autorisiert zu sein.

Management von Informationssicherheitszwischenfällen

Verfahren für die Reaktion auf Zwischenfälle

• Der Auftragnehmer führt Unterlagen über Sicherheitsverletzungen unter Angabe einer Beschreibung der Verletzung, des Zeitraums, der Konsequenzen der Verletzung, des Namens der Person, die den Zwischenfall gemeldet hat, und der Person, der der Zwischenfall gemeldet wurde, sowie des Verfahrens zur Wiederherstellung von Daten.
• Bei jeder Sicherheitsverletzung, die als „Sicherheitsvorfall“ eingestuft wird, muss unverzüglich und in jedem Fall innerhalb von 30 Kalendertagen eine entsprechende Meldung (wie im obigen Abschnitt „Meldung von Sicherheitsvorfällen“) an den Auftragnehmer gemacht werden.
• Der Auftragnehmer untersucht Offenlegungen von Kundendaten, einschließlich der Fragen, welche Daten offengelegt wurden, gegenüber wem und zu welchem Zeitpunkt, oder versetzt den Kunden dazu in die Lage.

Dienstüberwachung
Die Sicherheitsmitarbeiter des Auftragnehmers prüfen mindestens alle sechs Monate Protokolle, um bei Bedarf Verbesserungsmaßnahmen vorzuschlagen.

Business Continuity-Management

• Der Auftragnehmer unterhält Notfall- und Alternativpläne für die Einrichtungen, in denen sich Informationssysteme des Auftragnehmers, die Kundendaten verarbeiten, befinden.
• Der redundante Speicher des Auftragnehmers sowie dessen Verfahren zur Wiederherstellung von Daten sind so konzipiert, dass versucht wird, Kundendaten in ihrem ursprünglichen oder ihrem zuletzt replizierten Zustand vor dem Zeitpunkt des Verlusts oder der Vernichtung zu rekonstruieren.

[/vc_column_text][/vc_column][/vc_row]