DIESES DOKUMENT BESTEHT AUS FOLGENDEN ANHÄNGEN:
ANHANG A – INFORMATIONEN ZUR DATENVERARBEITUNG
ANHANG B – BEDINGUNGEN FÜR DEN EINSATZ VON UNTERAUFTRAGNEHMERN DURCH DEN DATENVERARBEITER
ANHANG C – ANWEISUNGEN ZUR VERARBEITUNG PERSONENBEZOGENER DATEN
ANHANG D – ÄNDERUNGEN AM STANDARDTEXT DES DATENVERARBEITUNGSVERTRAGS UND ÄNDERUNGEN NACH VERTRAGSABSCHLUSS
A. INFORMATIONEN ZUR BEHANDLUNG
A.1 Der Rahmenvertrag und der Zweck der Verarbeitung personenbezogener Daten
Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen steht im Zusammenhang mit der Erbringung der im Rahmenvertrag beschriebenen Dienstleistungen.
Unter „Med Hovedavtalen“ sind die folgenden zwischen den Parteien geschlossenen Vereinbarungen zu verstehen:
Der Vertrag betrifft SSA-L für die Bereitstellung und den Betrieb des Identitäts- und Zugriffsmanagements – eADM – und wurde zwischen Identum AS und (Kunde/Datum) geschlossen.
Die Behandlung hat folgende Ziele:
Bereitstellung von eADM für den Betrieb und die Wartung eines ganzheitlichen Benutzerkontenmanagements und einer Zugriffskontrolle (IAM) für alle Mitarbeiter bei (Kunde)
A.2 Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen
Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen umfasst (Art der Verarbeitung):
Die in eADM erfassten und gespeicherten Daten sollen sicherstellen, dass Mitarbeiter die richtigen Anmeldedaten und Zugriffsrechte erhalten, und verhindern, dass personenbezogene Daten in die falschen Hände geraten.
● Folgende Arten von Informationen werden in eADM gespeichert:
o Name
o Adresse
o Geburts- und Personalnummer
o Wohnortgemeinde
o Staatsangehörigkeit
o Geschlecht
o E-Mail-Adresse (beruflich und privat)
o Telefonnummer(beruflich und privat )
o Beschäftigungsgrad
o Stellenkategorie
o Dienstort
o Stellenbezeichnung
o Beschäftigungszeitraum (von–bis)
o Informationen zur Stelle (von–bis)
o Stellenbezeichnung
o Stellenart
o Öffentlicher Code
o Buchungskontierung/Zuständigkeitsbereich/Dienstort/Code
o Berufscode
o Dienstort PAI
o Organisationsrolle (Rechte in der Organisationsstruktur)
o Beurlaubung -> Art der Beurlaubung, Start- und Enddatum, pro Stelle.
o Identifikation in Verbindung mit Person und Konto: Benutzername, Benutzer-ID
o Welche Dienste der Endnutzer in den angeschlossenen Fachsystemen genutzt hat
o Rechte in Verbindung mit der Rolle als Administrator
o Daten zu Aktivität und Nutzung: Wer sich bei der Lösung angemeldet hat, wer das Passwort geändert hat und wann das Passwort geändert wurde.
A.3 Art der personenbezogenen Daten
Die Verarbeitung umfasst folgende Arten von personenbezogenen Daten der betroffenen Personen (Mehrfachauswahl möglich):
☐ Særlige kategorier av personopplysninger i henhold til GDPR artikkel 9 (1):
<Angi type, f.eks. helseopplysninger, rasemessig eller etnisk opprinnelse eller fagforeningstilhørighet>
☒ Andre opplysninger med særlig behov for beskyttelse:
<Angi type, f.eks. fødselsnummer, opplysninger om økonomi, prestasjonsvurderinger i ansettelsesforhold osv.>
☒ Andre personopplysninger:
<Angi type, f.eks. navn og kontaktinformasjon, utdanning, kommunikasjonspreferanser osv.>
A.4 Kategorien von betroffenen Personen
Die Verarbeitung betrifft die folgenden Kategorien von betroffenen Personen:
Die Verarbeitung betrifft alle Mitarbeiter der Gemeinde.
A.5 Dauer der Verarbeitung
Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen des Rahmenvertrags kann beginnen, sobald der Auftragsverarbeitungsvertrag in Kraft getreten ist. Die Verarbeitung hat folgende Dauer (bitte wählen Sie eine Option aus):
☒ Behandlingen er ikke tidsbegrenset, og varer frem til opphør av Hovedavtalen.
☐ Behandlingen er tidsbegrenset, og gjelder frem til <angi dato eller kriterium for avslutning, eksempelvis avslutningen av et prosjekt. Merk at behandlingen normalt ikke kan avslutte før Hovedavtalen utløper>.
Bei Beendigung (des Vertrags oder einer Verarbeitung) sind personenbezogene Daten gemäß Punkt 12 des Auftragsverarbeitungsvertrags und den Anweisungen in Anhang C zurückzugeben und zu löschen.
die Inanspruchnahme von Unterauftragsverarbeitern durch den Auftragsverarbeiter.
B. BEDINGUNGEN FÜR DIE NUTZUNG UND ÄNDERUNG ETWAIGER UNTERAUFTRAGNEHMER DURCH DEN DATENVERARBEITER
B.1 Zustimmung des Verantwortlichen zur Beauftragung von Unterauftragsverarbeitern
Mit dem Abschluss des Auftragsverarbeitungsvertrags genehmigt der Verantwortliche den Einsatz der in Punkt B.2 aufgeführten Unterauftragsverarbeiter. Bitte beachten Sie, dass auch Mutter-, Schwester- und Tochtergesellschaften des Auftragsverarbeiters als Unterauftragsverarbeiter gelten, sofern sie an der Erbringung der Dienstleistung mitwirken und personenbezogene Daten verarbeiten.
Für Änderungen hinsichtlich des Einsatzes von Unterauftragsverarbeitern wurde darüber hinaus Folgendes vereinbart:
☒ Der Auftragsverarbeiter kann Unterauftragsverarbeiter einsetzen, die derselben Unternehmensgruppe (Mutter-, Schwester- oder Tochtergesellschaft) angehören und in einem Land innerhalb des EWR ansässig sind. Der Auftragsverarbeiter muss den Verantwortlichen vorab über den Einsatz solcher Unterauftragsverarbeiter informieren. (Diese Option kann mit einer der anderen Optionen kombiniert werden.)
☒ Der Auftragsverarbeiter kann Änderungen bei der Beauftragung von Unterauftragsverarbeitern vornehmen, sofern der Verantwortliche darüber informiert wird und die Möglichkeit erhält, den Änderungen zu widersprechen. Eine solche Benachrichtigung muss spätestens einen Monat vor Inkrafttreten der Änderung beim Verantwortlichen eingegangen sein, sofern zwischen den Parteien nichts anderes schriftlich vereinbart wurde. Bitte beachten Sie, dass Änderungen, die eine Übermittlung personenbezogener Daten in Länder außerhalb des EWR-Raums (Drittstaaten) zur Folge haben, in jedem Fall einer schriftlichen Genehmigung gemäß Ziffer 10 des Auftragsverarbeitungsvertrags bedürfen.
Wenn der Verantwortliche der Änderung widerspricht, ist der Auftragsverarbeiter so schnell wie möglich zu benachrichtigen. Der Verantwortliche darf der Änderung nicht ohne triftigen Grund widersprechen.
☐ Der Auftragsverarbeiter darf Änderungen hinsichtlich des Einsatzes von Unterauftragsverarbeitern nur nach ausdrücklicher und vorheriger schriftlicher Zustimmung des Verantwortlichen vornehmen. Der Unterauftragsverarbeiter darf personenbezogene Daten im Rahmen des Rahmenvertrags erst nach Erteilung dieser Zustimmung verarbeiten. Die Zustimmung darf nicht ohne triftigen Grund verweigert werden.
B.2 Zugelassene Unterauftragsverarbeiter
Der für die Datenverarbeitung Verantwortliche hat die Beauftragung der folgenden Unterauftragsverarbeiter genehmigt:
Name Org.-Nr. Adresse Beschreibung der Verarbeitung Ort der Verarbeitung Kontaktdaten Besondere Kategorien personenbezogener Daten
Microsoft Norge AS 957 485 030 Dronning Eufemias gate 71, 0194 Oslo Betrieb des Servers über das Microsoft Azure-Portal Alle Daten werden in Norwegen gespeichert.
Der Datenverarbeiter darf den jeweiligen Unterauftragsverarbeiter nicht für eine andere als die vereinbarte Verarbeitung einsetzen oder einen anderen Unterauftragsverarbeiter mit der Durchführung der beschriebenen Verarbeitung beauftragen, es sei denn, dies ergibt sich aus Anhang B, Punkt B.1 über den Wechsel des Unterauftragsverarbeiters.
C. HINWEISE ZUR VERARBEITUNG VON PERSONENBEZOGENEN DATEN
C.1 Umfang und Zweck der Verarbeitung
Die personenbezogenen Daten dürfen ausschließlich in dem Umfang und zu den Zwecken verarbeitet werden, die in folgenden Dokumenten beschrieben sind:
● Der Rahmenvertrag
● Der Auftragsverarbeitungsvertrag mit Anhängen
Der Auftragsverarbeiter hat keine Verfügungsgewalt über die personenbezogenen Daten, die über das zur Erfüllung seiner Pflichten gemäß dem Auftragsverarbeitungsvertrag erforderliche Maß hinausgeht, und darf diese nicht für eigene Zwecke verarbeiten.
C.2 Sicherheit bei der Verarbeitung
C.2.1 Angabe der Sicherheitsstufe
Auf der Grundlage einer Bewertung des Umfangs der verarbeiteten personenbezogenen Daten, der Art der Daten und der Art der Verarbeitung wurde anhand einer konkreten Risikobewertung festgestellt, dass die Verarbeitung (bitte wählen Sie eine Option aus):
☒ Erfordert ein hohes Sicherheitsniveau. Begründung:
Die Verarbeitung umfasst eine umfangreiche Verarbeitung personenbezogener Daten.
☐ Erfordert kein hohes Sicherheitsniveau. Begründung:
C.2.2 Steuerungssystem für die Informationssicherheit
Der Auftragsverarbeiter muss über ein geeignetes Managementsystem für die Informationssicherheit verfügen. Der Auftragsverarbeiter muss angemessene Sicherheitsmaßnahmen einrichten und verwalten, um die Informationssicherheit bei der Verarbeitung personenbezogener Daten zu gewährleisten, darunter (Mehrfachauswahl möglich):
☐ Sikkerhetskrav som beskrevet i Hovedavtalen: Jf. pkt 7. i hovedavtalen
☒ Sikkerhetskrav som beskrevet nedenfor: <Sett inn beskrivelse av relevante sikkerhetskrav>
Forhindre uautorisert utlevering, modifisering, fjerning eller ødeleggelse av informasjon, herunder:
o Autentisering
o Tilgangsstyring fysisk og systemteknisk
o Logging og sporing
o Kryptering
o Fysisk sikring av områder og utstyr
o Sikkerhetskopi
● Fjernaksess og mobilt utstyr
● Sikkerhetsarkitektur, Nettverksarkitektur og sikker sone
● Overvåkning og avdekking av sikkerhetsbrudd og hendelser
● Rutiner og prosedyrer for å overholde krav til personvern og informasjonssikkerhet i organisasjonen
C.3 Dokumentation
Der Auftragsverarbeiter hat die Verfahren und Maßnahmen zu dokumentieren, die zur Erfüllung der Anforderungen der geltenden Datenschutzbestimmungen und des Auftragsverarbeitungsvertrags, einschließlich der Anforderungen an die Informationssicherheit, ergriffen wurden. Diese Dokumentation ist für die Dauer der Gültigkeit der Auftragsverarbeitungsvereinbarung aufzubewahren und auf dem neuesten Stand zu halten und dem Verantwortlichen oder den Aufsichtsbehörden auf Anfrage zur Verfügung zu stellen.
C.4 Übermittlung personenbezogener Daten – Ort der Verarbeitung und Zugriff
Die Verarbeitung der personenbezogenen Daten, die Gegenstand des Vertrags sind, darf ohne die vorherige schriftliche Zustimmung des für die Verarbeitung Verantwortlichen nicht an anderen Orten als den in Anhang B.2 genannten erfolgen oder von diesen aus zugänglich sein. Unter „Ort“ ist Folgendes zu verstehen:
• Ort, an dem der Zugriff auf die personenbezogenen Daten möglich ist (Zugriff)
• Ort, an dem die personenbezogenen Daten verarbeitet werden
• Ort, an dem die personenbezogenen Daten gespeichert werden
Die vorstehende Einschränkung gilt nicht für Mutter-, Schwester- und Tochtergesellschaften des Auftragsverarbeiters, die innerhalb des EWR-Raums ansässig sind. Der Auftragsverarbeiter hat jedoch auf Anfrage des Verantwortlichen darzulegen, wo die personenbezogenen Daten zu jedem Zeitpunkt verarbeitet werden.
C.5 Verfahren für die Prüfung und Aufsicht
Zur Überprüfung der Einhaltung der geltenden Datenschutzbestimmungen und der Auftragsverarbeitungsvereinbarung wurde Folgendes vereinbart (Mehrfachauswahl möglich):
☐ Der Verantwortliche hat das Recht, am Geschäftssitz des Auftragsverarbeiters eine Überprüfung durchzuführen, um sicherzustellen, dass der Auftragsverarbeiter seinen Verpflichtungen gemäß dieser Auftragsverarbeitungsvereinbarung oder den geltenden Datenschutzbestimmungen nachkommt.
Solche Überprüfungen müssen:
● Die Prüfung erfolgt nach angemessener Vorankündigung und höchstens einmal jährlich, es sei denn, Sicherheitsverletzungen beim Auftragsverarbeiter oder andere besondere Umstände rechtfertigen häufigere Prüfungen;
● Die Prüfung findet innerhalb der normalen Arbeitszeit statt und darf den Betrieb des Auftragsverarbeiters nicht unnötig stören;
● Sie werden von Mitarbeitern des Verantwortlichen oder von Dritten durchgeführt, die von den Parteien genehmigt wurden und der Schweigepflicht unterliegen.
Der Datenverarbeiter ist verpflichtet, die Ressourcen zur Verfügung zu stellen, die zur Durchführung der Prüfung vernünftigerweise verlangt werden können.
Der Verantwortliche trägt die Kosten für etwaige Dritte, die zur Durchführung der Prüfung herangezogen werden. Im Übrigen tragen die Parteien ihre eigenen Kosten für die Durchführung der Prüfung. Sollte die Prüfung wesentliche Verstöße gegen die Verpflichtungen gemäß den geltenden Datenschutzbestimmungen oder dem Auftragsverarbeitungsvertrag aufdecken, hat der Auftragsverarbeiter dennoch die angemessenen Kosten des Verantwortlichen für die Prüfung zu tragen.
☒ Der Auftragsverarbeiter hat einen externen Prüfer hinzuzuziehen, um zu bestätigen, dass Sicherheitsmaßnahmen eingerichtet sind und wie vorgesehen funktionieren. Eine solche Prüfung muss:
i. einmal jährlich durchgeführt werden,
ii. gemäß anerkannten Prüfungsstandards, beispielsweise ISAE 3402, erfolgen.
iii. von einem unabhängigen Dritten mit ausreichenden Kenntnissen und Erfahrungen durchgeführt werden
Die Berichte sind dem Verantwortlichen auf Anfrage vorzulegen.
Databehandler skal i tillegg gi slik informasjon og bistand som er nødvendig for at Behandlingsansvarlig kan etterleve sine forpliktelser etter Gjeldende personvernregelverk.
☐ For standardiserte tredjepartstjenester som leveres av Underdatabehandler kan det fremlegges tredjepartsrevisjon forutsatt at revisjonen er gjennomført etter alminnelig anerkjente prinsipper og av sertifisert revisor.
☐ <Sett inn eventuelle andre avtalte rutiner for revisjon, herunder eventuelle særskilte eller avvikende rutiner for revisjon hos Underdatabehandlere>
C.6 Löschung und Rückgabe personenbezogener Daten bei Beendigung des Vertrags
Die Parteien haben Folgendes bezüglich der Löschung/Rückgabe personenbezogener Daten vereinbart (bitte wählen Sie eine Option aus):
☒ Alle personenbezogenen Daten, die im Rahmen dieser Auftragsverarbeitungsvereinbarung verarbeitet werden, sind unverzüglich, spätestens jedoch innerhalb von 90 Kalendertagen nach Beendigung des Hauptvertrags zu löschen. Gleiches gilt für sonstige relevante Informationen, die im Auftrag des Verantwortlichen verwaltet werden.
☐ Alle personenbezogenen Daten, die im Rahmen dieser Auftragsverarbeitungsvereinbarung verarbeitet werden, sowie etwaige sonstige relevante Informationen, die im Auftrag des Verantwortlichen verwaltet werden, sind bei Beendigung des Hauptvertrags zurückzugeben.
Nach erfolgter Rückgabe ist der Auftragsverarbeiter verpflichtet, alle personenbezogenen Daten und sonstigen relevanten Informationen, die im Auftrag des Verantwortlichen verwaltet werden, innerhalb von 30 Kalendertagen zu löschen.
Die Rückgabe muss wie folgt erfolgen:
<Angi hvordan og hvilket format som skal benyttes for tilbakelevering>
☐ <Sett inn eventuelle andre avtalte rutiner for sletting eller tilbakelevering>
C.7 Sektorspesifikke bestemmelser om behandling av personopplysninger
<Sett inn eventuelle sektorspesifikke bestemmelser om behandling av personopplysninger som skal omfattes av begrepet "Gjeldende personvernregler", se databehandleravtalen punkt 2.>
C.8 Kontaktdaten
Bei Anfragen im Rahmen dieser Vereinbarung, beispielsweise bei der Meldung von Verstößen gegen den Datenschutz oder bei Änderungen hinsichtlich des Einsatzes von Unterauftragsverarbeitern, sind folgende Kanäle zu nutzen:
An den Verantwortlichen für die Datenverarbeitung
Datenschutzverletzung:
Telefon: 924 38 853
E-Mail support@identum.no
Sonstige Anfragen:
Name: Name: Alf Aukan
Position: Position: Kundenbetreuer
Telefon: Telefon: 986 74 118
E-Mail: E-Mail: alf@identum.no
D. ÄNDERUNGEN AM STANDARDTEXT DES DATENVERARBEITERVERTRAGS UND ÄNDERUNGEN NACH VERTRAGSABSCHLUSS