Checkliste des Landesbeauftragten für den Datenschutz Baden-Württemberg zur Fernwartung: Unterschied zwischen den Versionen

Aktuelle Version vom 9. Juli 2020, 22:55 Uhr

Checkliste des Landesbeauftragten für den Datenschutz Baden-Württemberg zur Fernwartung

1 Maßnahmen zur Zugangskontrolle

1.1 Bei der Fernwartung muß der Verbindungsaufbau stets durch den Auftraggeber erfolgen, so daß Fernwartungsarbeiten nur mit seinem Wissen und Willen beginnen können. Die Anschlußnummer der Fernwartungszentrale ist im EDV-System des Auftraggebers fest zu hinterlegen, so daß das Anwählen einer unzulässigen Nummer unmöglich wird.

1.2 Nach Abschluß der Fernwartungsarbeiten ist die Fernwartungsverbindung unverzüglich abzubauen.

1.3 Der Auftraggeber muß die Fernwartungsarbeiten jederzeit abbrechen können.

2 Organisation der Datenträgerkontrolle

2.1 Der Auftragnehmer darf personenbezogene Daten im Wege eines Filetransfers oder Downloads für Zwecke der Fehleranalyse und -behebung nur dann vom EDV-System des Auftraggebers abziehen und auf sein eigenes kopieren, wenn er dafür zuvor die schriftliche Erlaubnis des Auftraggebers eingeholt hat. Der Auftraggeber darf die Erlaubnis dazu nicht erteilen, wenn der Übertragung besondere Geheimhaltungsregelungen (z.B. ärztliche Schweigepflicht) entgegenstehen.

2.2 Alle Fernwartungsaktivitäten müssen an einem Kontrollbildschirm des Auftraggebers zum Mitlesen sichtbar gemacht werden.

3 Maßnahmen zur Speicherkontrolle

3.1 Das Fernwartungspersonal muß sich einer Anmeldeprozedur unterziehen. Diese muß aus einer Identifikation (Benutzerkennung) und einer Authentifikation (Paßwort) bestehen. Die Fernbetreuung von Anwenderprogrammen ist unter einer Kennung vorzunehmen, die keine Systemverwalterprivilegien einschließt.

3.2 Der Auftraggeber muß alle ablauffähigen Programme auf seiner EDV-Anlage durch geeignete Zugriffsschutzmechanismen schützen, damit das Fernwartungspersonal nicht unkontrolliert auf Dateien zugreifen kann.

3.3 Der Auftraggeber räumt dem Fernwartungspersonal nur solche Zugriffsmöglichkeiten ein, die für die Durchführung der Fernwartungsarbeiten unbedingt erforderlich sind. Dabei verhindert der Auftraggeber grundsätzlich den Zugriff auf personenbezogene Daten.

4 Maßnahmen zur Zugriffskontrolle

4.1 Die dem Auftragnehmer zur Durchführung der Fernwartungsarbeiten offenbarten Paßwörter muß der Auftraggeber nach Abschluß der Fernwartungsarbeiten unverzüglich ändern.

4.2 Der Auftraggeber protokolliert die Fernwartungsaktivitäten automatisch, überprüft die Protokolle und bewahrt sie für Kontrollzwecke ein Jahr auf. Die Verpflichtung des Auftraggebers, die Fernwartungsarbeiten am Bildschirm zu verfolgen und gegebenenfalls zu unterbrechen, bleibt davon unberührt.

5 Maßnahmen der Transportkontrolle

Zur Sicherung von Vertraulichkeit, Integrität und Authentizität der übertragenen Daten können eine Verschlüsselung und Signierung der Daten auf dem Übertragungsweg zwischen EDV-System des Auftraggebers und Fernwartungszentrale erforderlich sein.

6 Maßnahmen zur Organisationskontrolle

6.1 Der Auftragnehmer teilt dem Auftraggeber die für die Durchführung von Fernwartungsarbeiten autorisierten Mitarbeiter mit.

6.2 Der Auftragnehmer läßt die Fernwartung nur von solchen Personen durchführen, die auf das Datengeheimnis (§ 5 des Bundesdatenschutzgesetzes bzw. § 6 des Landesdatenschutzgesetzes) verpflichtet sind.

6.3 Der Auftragnehmer verpflichtet sich, bei Fernwartung in sensiblen Bereichen, beispielsweise bei Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen, nur festangestellte Mitarbeiter für Fernwartungsarbeiten einzusetzen, die nach dem Verpflichtungsgesetz verpflichtet sind.

6.4 Personenbezogene Daten, die dem Auftragnehmer im Rahmen der Erfüllung dieses Vertrags bekannt werden, darf der Auftragnehmer nur für Zwecke der Fernwartung verwenden. Eine Weitergabe dieser Daten an Dritte ist dem Auftragnehmer untersagt.

6.5 Der Auftragnehmer muß personenbezogene Daten, die er bei der Fernwartung erhalten hat, unverzüglich löschen oder dem Auftraggeber zurückgeben, wenn sie für die Durchführung der Fernwartungsarbeiten nicht mehr erforderlich sind.

6.6 Die Systemverantwortlichen beim Auftraggeber sind regelmäßig über den Ablauf der Fernwartung und die dabei zu treffenden Sicherheitsmaßnahmen zu schulen.

6.7 Der Auftraggeber überprüft regelmäßig die Einhaltung der getroffenen Sicherheitsmaßnahmen.

7 Schriftliche Regelungen

7.1 Der Auftraggeber muß für die Fernwartung ein Datenschutz- und Sicherheitskonzept erstellen.

7.1 In einem Fernwartungsvertrag sind insbesondere Art und Umfang der Fernwartungsarbeiten sowie die technischen und organisatorischen Sicherheitsmaßnahmen festzulegen.

8 Datenschutzrechtliche Musterklauseln für Fernwartungsverträge

1. Gegenstand des Vertrags

Dieser Vertrag umfaßt folgende, vom Auftragnehmer durchzuführende Fernwartungsarbeiten:

Hinweis: Hier sind Art und Umfang der durchzuführenden Fernwartungsarbeiten, die davon betroffenen EDV-Systeme und Daten genau zu beschreiben.

2. Allgemeine Pflichten des Auftragnehmers

(1) Der Auftragnehmer verpflichtet sich, Fernwartungsarbeiten nur auf Weisung des Auftraggebers von hierzu autorisierten Mitarbeitern ordnungsgemäß durchführen zu lassen. Diese autorisierten Mitarbeiter teilt der Auftragnehmer dem Auftraggeber mit.

(2) Der Auftragnehmer läßt Fernwartungsarbeiten nur von solchen Personen durchführen, die auf das Datengeheimnis (§ 5 Bundesdatenschutzgesetz bzw. § 6 Landesdatenschutzgesetz) verpflichtet sind.

(3) Der Auftragnehmer verpflichtet sich, bei Fernwartung in sensiblen Bereichen, beispielsweise bei Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen, nur festangestellte Mitarbeiter für Fernwartungsarbeiten einzusetzen, die nach dem Verpflichtungsgesetz verpflichtet sind.

3. Unterauftragsverhältnisse

Die Einschaltung eines Subunternehmers bedarf der vorherigen schriftlichen Genehmigung durch den Auftraggeber.

4. Zweckbindung

Personenbezogene Daten, die dem Auftragnehmer im Rahmen der Erfüllung dieses Vertrags bekannt werden, darf der Auftragnehmer nur für Zwecke der Fernwartung verwenden. Eine Weitergabe dieser Daten an Dritte ist dem Auftragnehmer untersagt.

5. Kontrollrecht des Auftraggebers

Der Auftragnehmer räumt dem Auftraggeber das Recht ein, die Ordnungsmäßigkeit der Fernwartungsarbeiten zu kontrollieren. Dazu gestattet der Auftragnehmer dem Auftraggeber insbesondere, alle für die Erfüllung dieses Vertrags relevanten Räume, DV-Anlagen und Betriebsabläufe während den betriebsüblichen Zeiten zu überprüfen. Der Auftraggeber kann sich hierzu Dritter bedienen.

6. Technische und organisatorische Sicherheitsmaßnahmen

(1) Der Aufbau der Fernwartungsverbindung darf nur durch den Auftraggeber erfolgen; Fernwartungsarbeiten dürfen nur mit seiner Zustimmung begonnen werden.

(2) Fernwartungsarbeiten dürfen nur begonnen werden, wenn sich das Fernwartungspersonal mit Benutzerkennung und Paßwort angemeldet hat.

(3) Der Auftraggeber protokolliert die Fernwartungsaktivitäten des Auftragnehmers mit Datum, Uhrzeit und Benutzerkennung automatisch, überprüft die Protokolle und bewahrt die Protokolle für ein Jahr auf.

(4) Der Auftraggeber räumt dem Auftragnehmer nur die Zugriffsrechte ein, die dieser zur Durchführung der Fernwartungsarbeiten tatsächlich benötigt. Er stellt sicher, daß der Auftragnehmer nur insoweit auf gespeicherte personenbezogene Daten zugreifen kann, als dies zur Durchführung der Fernwartungsarbeiten unerläßlich notwendig ist.

(5) Der Auftragnehmer darf von den ihm eingeräumten Zugriffsrechten nur in dem für die Durchführung der Fernwartungsarbeiten unerläßlich notwendigen Umfang Gebrauch machen.

(6) Der Auftragnehmer darf personenbezogene Daten im Wege eines Filetransfers oder Downloads für Zwecke der Fehleranalyse und -behebung nur dann vom DV-System des Auftraggebers abziehen und auf sein eigenes kopieren, wenn er dafür zuvor die schriftliche Erlaubnis des Auftraggebers eingeholt hat.

(7) Der Auftraggeber ist berechtigt, die Fernwartungsarbeiten von einem Kontrollbildschirm aus zu verfolgen und jederzeit abzubrechen. Soweit der Auftragnehmer daran mitwirken muß, gewährleistet er, daß dies möglich ist.

(8) Der Auftragnehmer muß personenbezogene Daten, die er bei der Fernwartung erhalten hat, unverzüglich löschen oder dem Auftraggeber zurückgeben, wenn sie für die Durchführung der Fernwartungsarbeiten nicht mehr erforderlich sind. Etwaige dem Auftragnehmer übergebene Papierausdrucke mit personenbezogenen Daten muß der Auftragnehmer nach Abschluß der Fernwartungsarbeiten unverzüglich zurückgeben.

7. Kündigung

Der Auftraggeber ist zu einer außerordentlichen Kündigung des Vertrags berechtigt, wenn der Auftragnehmer trotz schriftlicher Aufforderung seine Leistungen nach Nr. 1 nicht ordnungsgemäß erfüllt oder seine Pflichten nach Nrn. 2 bis 6 dieses Vertrags verletzt.