Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Unter diesen Punkt fällt neben der Datenverarbeitung im Auftrag auch die Durchführung von Wartung und Systembetreuungsarbeiten sowohl vor Ort als auch per Fernwartung. Sofern der Auftragnehmer Dienstleister im Sinne einer Auftragsverarbeitung einsetzt, sind die folgenden Punkte stets mit diesen zu regeln.

Organisatorische Maßnahmen

  • Vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmaßnahmen und deren Dokumentation
  • Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (gerade in Bezug auf Datenschutz und Datensicherheit)
  • Abschluss der notwendigen Vereinbarung zur Auftragsverarbeitung bzw. EU Standard-Vertragsklauseln
  • Schriftliche Weisungen an den Auftragnehmer
  • Verpflichtung der Mitarbeiter des Auftragnehmers auf Datengeheimnis
  • Verpflichtung zur Benennung eines Datenschutzbeauftragten durch den Auftragnehmer bei Vorliegen Benennpflicht
  • Vereinbarung wirksamer Kontrollrechte gegenüber dem Auftragnehmer
  • Regelung zum Einsatz weiterer Subunternehmer
  • Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags
  • Bei längerer Zusammenarbeit: Laufende Überprüfung des Auftragnehmers und seines Schutzniveaus