1. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Wir, die EURO Kartensysteme GmbH, nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Wenn Sie diese webbasierte Anwendung benutzen, werden verschiedene personenbezogene Daten erhoben. Personenbezogene Daten sind Daten, mit denen Sie persönlich identifiziert werden können. Die vorliegende Datenschutzerklärung erläutert, welche Daten wir erheben und wofür wir sie nutzen. Sie erläutert auch, wie und zu welchem Zweck das geschieht.

Wir weisen darauf hin, dass die Datenübertragung im Internet (z.B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.

Wofür nutzen wir Ihre Daten?

Personenbezogene Daten werden auf dieser Webseite nur im technisch notwendigen Umfang erhoben. In keinem Fall werden die erhobenen Daten verkauft oder aus anderen Gründen an Dritte weitergegeben, ausgenommen hiervon sind zur Abwicklung beauftragte Dienstleistungspartner. In diesen Fällen beschränkt sich der Umfang der übermittelten Daten auf das erforderliche Minimum.

Hinweis zur verantwortlichen Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser webbasierten Anwendung ist:

EURO Kartensysteme GmbH
Geschäftsführung: Oliver Hommel (Vorsitzender), Susanne Raupbach
Solmsstraße 6
60486 Frankfurt a.M.

Alle Vertreter der Verbände der Deutschen Kreditwirtschaft (DK) sowie die EKS teilen die Ansicht, dass keine IKT-Dienstleistung von der EKS, durch den Betrieb des EKS-Net, erbracht wird. Als maßgebliche Argumente sind anzuführen, dass es sich (1) nicht um einen digitalen Dienst und/oder Datendienst handelt und (2) dass die Dienstleistung nicht über IKT-Systeme bereitgestellt wird. Diese Einschätzung beruht überwiegend auf dem Erwägungsgrund 35 DORA. Danach ist der Begriff der IKT-Dienstleistungen zwar weit auszulegen und nimmt faktisch nur analoge Telefondienste davon aus. Da hier die Meldeplattform EKS-Net "nur" als ein Hilfsinstrument zur Erleichterung und Vereinfachung der Schadensmeldungen des girocard-Systems herangezogen wird und die Meldungen ebenfalls per Fax von den Instituten an EKS gemeldet und an die Aufsichtsbehörden, nach Konsolidierung durch EKS ebenfalls auf analogem Wege zur Verfügung gestellt werden könnten, liegt hier keine IKT-Dienstleistung vor. Es fehlt hierfür an dem Vorhandensein eines digitalen Dienstes. Aufgrund des zuvor Dargestellten lässt sich folglich die Frage nach dem Vorliegen eines digitalen Dienstes oder Datendienstes verneinen, denn nur allein die Tatsache, dass Daten über ein IKT-System zur Verfügung gestellt oder gemeldet werden, hat keine "infizierende" Wirkung auf die Funktion dergestalt, dass diese automatisch auch ein digitaler Dienst oder Datendienst im Sinne von DORA darstellt. In diesen Fällen spielt die vermeintliche IKT-Dienstleistung "nur" eine untergeordnete Rolle, weil sie als Hilfsmittel (gegenüber der analogen Übermittlung) zur Dienstleistung dient.

Folglich handelt es sich bei EKS-Net nicht um einen digitalen Dienst und die Bereitstellung erfolgt nicht über ein IKT-System. Wir bitten daher von weiteren Anfragen und Auskunftsersuchen bezüglich DORA und EKS-Net als IKT-Dienstleistung abzusehen.

Herzlichen Dank!

der

EURO Kartensysteme GmbH

Solmsstraße 6
60486 Frankfurt a. M.
Deutschland

Präambel

Zwischen dem beauftragenden Institut ("Auftraggeber") und der Deutschen Kreditwirtschaft besteht die Vereinbarung über das "Deutsche Geldautomaten-System" (nachfolgend "GA-Vereinbarung") und die Vereinbarung über "ein institutsübergreifendes System zur bargeldlosen Zahlung an automatisierten Kassen (girocard-System)" (nachfolgend "girocard-Vereinbarung"). Nach Ziff. 10 der girocard-Vereinbarung und Ziff. 14 der GA-Vereinbarung ist der Auftraggeber verpflichtet, gegenüber der von der Kreditwirtschaft beauftragten Stelle die Angaben zu machen, die erforderlich sind, um die Meldepflichten des girocard-Systems gegenüber dem Eurosystem zu erfüllen. Zur "beauftragten Stelle" wurde die EURO Kartensysteme GmbH (nachfolgend "EKS") ernannt. Auf Grundlage von Ziff. 13 der girocard-Vereinbarung und Ziff. 9 der GA-Vereinbarung wurde die EKS zudem mit der Erhebung, Abwicklung und Verwaltung von Schäden aus Verfügungen mit ge- oder verfälschten Debitkarten und diversen hiermit verbundenen Gemeinschaftsaufgaben für das girocard-System beauftragt (nachfolgend "Auftrag"). Zur Erfüllung der vorgenannten Aufgaben setzt die EKS das onlinegestützte System "EKS-Net" ein, über das die Institute die Schadenstransaktionen mit girocards und Co-Badges erfassen können. EKS erhebt, verarbeitet und nutzt in Erfüllung dieses Auftrages alle Daten im Zusammenhang mit den betroffenen Zahlungskarten, einschließlich Karteninhaberdaten, sowie die für die Erstattung von Schäden und die für die Identifikation der Schadensursache erforderlichen Daten.

Die nachstehenden Regelungen gelten für die Bereitstellung des Produktes "EKS-Net", in deren Rahmen die EKS personenbezogene Daten auf Weisung des Auftraggebers verarbeitet ("Auftragsverarbeitung"). Diese Reglungen konkretisieren die wechselseitigen datenschutzrechtlichen Verpflichtungen, die sich aus dem gem. Art. 28 DSGVO erforderlichen Mindestinhalt von Vereinbarungen über die Auftragsdatenverarbeitung ergeben. Sie findet Anwendung auch auf sämtliche Tätigkeiten, bei denen durch EKS beauftragte und vom Auftraggeber genehmigte Unterauftragnehmer personenbezogene Daten des Auftraggebers verarbeiten oder mit diesen in Berührung kommen könnten.

1. Begriffe

Die nachfolgend in alphabetischer Reihenfolge gelisteten Begriffe gelten für die BAV EKS-Net:

Anwendbares Datenschutzrecht bezeichnet die Rechtsvorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere ihres Rechts auf Privatsphäre in Bezug auf die Verarbeitung personenbezogener Daten, die auf den Verantwortlichen anwendbar sind, insbesondere die DSGVO;

Auftragsverarbeiter bezeichnet gemäß Art. 4 Nr. 8 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet; im Rahmen der BAV EKS-Net ist EKS Auftragsverarbeiter;

Bestehende Hauptvereinbarungen meint die zwischen den Parteien anwendbaren Vereinbarungen der Deutschen Kreditwirtschaft wie die "GA-Vereinbarung" und "girocard-Vereinbarung", aus denen sich die Rechte und Pflichten zur Bereitstellung und Nutzung des Systems "EKS-Net" ergeben, in ihrer jeweils aktuellen und gültigen Fassung. Die EKS wird im Rahmen dieser Vereinbarungen durch die Deutsche Kreditwirtschaft beauftragt, das System "EKS-Net" für das Institut bereitzustellen;

Dritter bezeichnet gemäß Art. 4 Nr. 10 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;

Drittland bezeichnet jedes Land, das nicht Teil der Europäischen Union oder des Europäischen Wirtschaftsraums ist;

DSGVO bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG;

Daten bezeichnet alle personenbezogenen Daten, die von dem Auftragsverarbeiter oder einem Unterauftragsverarbeiter im Auftrag und in Weisung des Auftraggebers gemäß oder in Verbindung mit dem Hauptvertrag verarbeitet werden. Dies umfasst auch alle Daten von verbundenen Unternehmen von Kunden, die EKS auf Weisung des Auftraggebers verarbeitet;

Internationaler Datentransfer bezeichnet jede Übermittlung von Auftragsdaten in ein Drittland sowie jeden Zugriff auf Kundendaten aus einem Drittland;

Nebendienstleistungen sind Dienstleistungen, die unabhängig vom Gegenstand der Beauftragung erbracht werden, wie etwa Telekommunikationsdienste, die Entsorgung von Datenträgern oder anderweitige unterstützende IT-Dienstleistungen oder sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hardware und Software von Datenverarbeitungsanlagen durch Dritte;

Personenbezogene Daten bezeichnet gemäß Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

Unterauftragsverarbeiter bezeichnet die Vertragspartner des Auftragsverarbeiters, die von diesem mit der Durchführung bestimmter Verarbeitungsaktivitäten für den Verantwortlichen beauftragt wird;

Verantwortlicher bezeichnet gemäß Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; im Rahmen dieser BAV EKS-Net ist der Auftraggeber der Verantwortliche;

Verarbeitung bezeichnet gemäß Art. 4 Nr. 2 DSGVO jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

Verbundene Unternehmen sind alle Unternehmen, die mit einer Partei gemäß §§ 15 ff. AktG verbunden sind.

2. Gegenstand und Dauer der Verarbeitung

2.1

Der Gegenstand des Auftrags ergibt sich aus den bestehenden Hauptvereinbarungen.

2.2

Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit der bestehenden Hauptvereinbarungen.

3. Art und Zweck der Datenverarbeitung

3.1

Die Art der Verarbeitung umfasst alle Arten von Verarbeitung im Sinne der DSGVO zur Erfüllung der bestehenden Hauptvereinbarungen.

3.2

Die Zwecke der Verarbeitung ergeben sich aus den bestehenden Hauptvereinbarungen.

4. Kategorien personenbezogener Daten und betroffener Personen

4.1

Gegenstand der Verarbeitung personenbezogener Daten sind je nach Einzelfall folgende Datenarten/-kategorien:

(1) Name und Kontaktdaten (z. B. Telefon, E-Mail)
(2) Geburtsdaten
(3) Bankverbindungsdaten (z. B. BLZ, Kontonummer, IBAN, BIC)
(4) Zugewiesene Schadens-ID und Inhaltsdaten der Schadensmeldung (z. B. Schadenshöhe, Transaktionsdaten)

4.2

Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen:

(1) Karteninhaber/Kunden des Auftraggebers
(2) Nutzer des Systems (in der Regel Beschäftigte des Auftraggebers)

5. Technisch-organisatorische Maßnahmen

5.1

Die technischen und organisatorischen Maßnahmen zum Datenschutz sind in Anlage Technisch-organisatorische Maßnahmen dargelegt und in ihrer jeweils aktuellen Fassung Bestandteil der BAV EKS-Net.

5.2

EKS wird die Umsetzung der im Vorfeld der Auftragsvergabe und in der Anlage Technisch-organisatorische Maßnahmen dargelegten und erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung, dokumentieren und dem Auftraggeber auf Anforderung zur Prüfung vorzulegen.

5.3

EKS gewährleistet die Sicherheit der Verarbeitung im gesetzlich gebotenen Umfang. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen. Die Maßnahmen werden im Einzelnen in der Anlage Technisch-organisatorische Maßnahmen dargestellt.

5.4

Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es EKS gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. EKS verpflichtet sich die Wirksamkeit der getroffenen Maßnahmen regelmäßig, zumindest aber jährlich, zu prüfen, zu bewerten und gegebenenfalls anzupassen.

6. Umgang mit Betroffenenrechten und behördlichen Anfragen

EKS wird als Auftragsverarbeiterin keine Auskünfte über die Datenverarbeitung an Dritte oder eine betroffene Person erteilen, soweit EKS nicht selbst dazu rechtswirksam verpflichtet ist oder wird. Soweit eine betroffene Person sich diesbezüglich unmittelbar an EKS wendet, wird EKS dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

7. Pflichten des Auftragnehmers

7.1

EKS verarbeitet personenbezogene Daten ausschließlich wie durch die BAV EKS-Net vereinbart oder wie vom Auftraggeber separat und mindestens in Textform angewiesen, es sei denn, EKS ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen für EKS bestehen, teilt EKS diese dem Auftraggeber mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten.

7.2

EKS bestätigt, dass die einschlägigen, allgemeinen datenschutzrechtlichen Vorschriften bekannt sind. EKS beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.

7.3

EKS verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren und nur Personen mit der Datenverarbeitung zu betrauen, die schriftlich zur Vertraulichkeit und zur Wahrung des Datengeheimnisses verpflichtet wurden, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen. Der Auftragnehmer sichert zu, dass die bei ihm zur Verarbeitung eingesetzten Personen mit den relevanten Bestimmungen des Datenschutzes vertraut gemacht wurden.

7.4

EKS wird, soweit erforderlich, im Zusammenhang mit der beauftragten Verarbeitung den Auftraggeber bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten sowie bei Durchführung der Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO angemessen unterstützen. EKS ist in diesem Falle berechtigte, für solche Unterstützungsleistungen eine angemessene und übliche gesonderte Vergütung zu fordern.

7.5

EKS wird dem Auftraggeber jedwede Verletzung des Schutzes personenbezogener Daten, die EKS für den Auftraggeber verarbeitet, unverzüglich anzeigen.

7.6

EKS wird ohne die vorherige schriftliche Zustimmung des Auftraggebers keine Einreichungen, Mitteilungen, Meldungen, Pressemitteilungen oder Berichte zu irgendeinem Datenschutzvorfall freigeben oder veröffentlichen, sofern EKS hierzu nach geltendem Recht nicht verpflichtet ist. Im letztgenannten Fall wird der Auftragnehmer den Verantwortlichen innerhalb einer angemessenen Frist schriftlich hierüber in Kenntnis setzen.

7.7

EKS hat einen betrieblichen Datenschutzbeauftragten bestellt, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt. Dessen jeweils aktuelle Kontaktdaten sind auf der Homepage des Auftragnehmers leicht zugänglich hinterlegt.

7.8

Der Auftraggeber und EKS arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

8. Unterauftragsverhältnisse

8.1

Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebendienstleistungen, also ausgelagerte Tätigkeiten, die im eigentlichen Kern nicht die Verarbeitung von personenbezogenen Daten betreffen, wie zum Beispiel Telekommunikationsdienste, Dienste der IT-Sicherheit, oder Postdienstleistungen.

8.2

Werden Unterauftragsverarbeiter durch EKS eingeschaltet, sind die vertraglichen Vereinbarungen so zu gestalten, dass sie den Anforderungen zu Vertraulichkeit, Datenschutz und Datensicherheit nach diesen BAV EKS-Net einschließlich der technischen und organisatorischen Maßnahmen im Sinne von Anlage Technisch-organisatorische Maßnahmen entsprechen.

8.3

EKS darf Unterauftragsverarbeiter nur nach vorheriger Zustimmung des Auftraggebers beauftragen.

8.4

Der Auftraggeber stimmt der Beauftragung der in Anlage Liste genehmigter Unterauftragsverarbeiter zu diesen BAV gelisteten Unterauftragnehmer zu unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2 bis 4 DSGVO zu. Die Zustimmung gilt im Falle eines Unterauftragsnehmerwechsels auch für neue Unterauftragsverarbeiter, soweit diese adäquate technische und organisatorische Maßnahmen zum Datenschutz gewährleisten und die Unterauftragsverarbeitung innerhalb der EU oder EWR erfolgt.

8.5

Eine weitere Auslagerung durch den Unterauftragnehmer bedarf der ausdrücklichen Zustimmung seitens EKS (mind. Textform) sämtliche vertraglichen Regelungen in der Vertragskette sind auch dem weiteren Unterauftragnehmer aufzuerlegen.

8.6

Grundsätzlich werden alle Unterauftragsverarbeitungen innerhalb der EU/des EWR erbracht. Erbringt ein für die geschuldeten Leistungen unverzichtbarer Unterauftragnehmer seine vereinbarten Leistungen oder Teile dieser Leistungen außerhalb der EU/des EWR, stellt EKS die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen nach Art. 44 ff. DSGVO sicher, welche insbesondere die Anforderungen der einschlägigen Rechtsprechung des Europäischen Gerichtshofs ("Schrems II") erfüllen.

9. Kontrollrechte des Auftraggebers

9.1

EKS stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmer nach Art. 28 DSGVO überzeugen kann. EKS verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen.

9.2

Der Auftraggeber hat das Recht, unter Abstimmung mit EKS, Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer, die nicht im Wettbewerb mit EKS stehen und zur Wahrung der Vertraulichkeit nachweisbar schriftlich verpflichtet sind, durchführen zu lassen. Grundsätzlich kann und soll die Überprüfung auf Dokumentenbasis, die EKS bereitstellt, erfolgen. Der Auftraggeber hat davon unbenommen das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch EKS in ihrem Geschäftsbetrieb zu überzeugen.

9.3

Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, erfolgt in der Regel durch Vorlage der nachfolgenden Dokumente:

(1) Testat des betrieblichen Datenschutzbeauftragten über die Überwachung der Einhaltung der sicherzustellenden Maßnahmen
(2) TÜV-Zertifikat über die Rechenzentren, in denen die Server stehen
(3) ISO-27001-Zertifikat über die Konzeption von Rechenzentrum und IT-Infrastruktur-Management, Bau und Betrieb von Serversystemen und Netzwerken
(4) Zertifikat über den durchgeführten PEN-Test bzw. Schwachstellenscan
(5) Aktuelle Dokumentation der technischen und organisatorischen Maßnahmen zum Datenschutz gem. Art. 32 DSGVO analog Anlage Technisch-organisatorische Maßnahmen

9.4

Für die Ermöglichung von Kontrollen durch den Auftraggeber und in diesem Zusammenhang erfolgende Unterstützungsleistungen kann der Auftragnehmer einen Auslagenersatz geltend machen. Der tatsächlich anfallende Aufwand einer Kontrolle ist für die Auftragnehmer:in grundsätzlich auf einen Tag pro Kalenderjahr begrenzt, wenn der Inspektion kein konkreter Anlass zugrunde liegt, den der Auftragsverarbeiter nicht von vornherein ausgeschlossen zu vertreten hat.

10. Weisungsbefugnis des Auftraggebers

10.1

Der Auftraggeber ist im Rahmen dieser Vereinbarung für die Einhaltung der gesetzlichen Bestimmungen des Datenschutzes, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich. Hinsichtlich der dieser Vereinbarung zugrundeliegenden Auftragsdatenverarbeitung ist dieser gegenüber EKS weisungsbefugt und -verpflichtet.

10.2

Weisungen sollen grundsätzlich in Textform (§ 126 BGB) erteilt werden. Ausnahmsweise erteilte mündliche Weisungen bestätigt der Auftraggeber unverzüglich mindestens in Textform.

10.3

EKS wird den Auftraggeber unverzüglich informieren, wenn EKS der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. EKS ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

11. Löschung und Rückgabe von personenbezogenen Daten

11.1

EKS löscht die auftragsweise verarbeiteten personenbezogenen Daten 10 Jahre nach Ablauf des Kalenderjahres, in dem die Daten erhoben wurden. Für diese Speicherdauer gilt die Weisung des Auftraggebers entsprechend erteilt; eine vorzeitige Löschung oder Verlängerung der Speicherdauer erfolgt nur, soweit der Auftraggeber dies separat und mindestens in Textform anweist. Dies gilt auch für die Einschränkung der Datenverarbeitung. Ist eine datenschutzkonforme Löschung oder eine entsprechende Einschränkung der Datenverarbeitung nicht möglich, übernimmt EKS die datenschutzkonforme Vernichtung von Datenträgern und sonstigen Materialien auf Grund einer Einzelbeauftragung durch den Auftraggeber oder gibt diese Datenträger an den Auftraggeber zurück, sofern das nicht in den bestehenden Hauptvereinbarungen bereits vereinbart ist.

11.2

Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien ("Backups"), soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

12. Haftung

12.1

Zwischen den Parteien in den bestehenden Hauptvereinbarungen vereinbarte Haftungsregelungen gelten auch für die Auftragsverarbeitung, soweit nicht ausdrücklich etwas anderes vereinbart ist.

12.2

Die Haftung nach Art. 82 ff. DSGVO bleibt unberührt.

13. Schlussbestimmungen

13.1

Sollte das Eigentum des Auftraggebers bei EKS durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu informieren. Der Auftragnehmer wird die Gläubiger über die Tatsache, dass es sich um Daten handelt, die im Auftrag verarbeitet werden, unverzüglich informieren.

13.2

Änderungen dieser BAV EKS-Net sowie Nebenabreden bedürfen der Textform (einschließlich der elektronischen Form). Dies gilt für das Abbedingen der Schriftformklausel entsprechend.

13.3

Die nachfolgenden Regelungen gelten ausschließlich und abschließend für Änderungen der BAV und sind gegenüber sonstigen getroffenen Regelungen zur Änderung von Leistungen, Preisen oder rechtlichen Bedingungen vorrangig.

Soweit EKS die vereinbarten Leistungen oder die Bedingungen der Auftragsverarbeitung zu ändern beabsichtigt (z. B. auf Grund von Behördenentscheidungen, Änderungen in Lieferantenbeziehungen, Gesetzesänderungen), wird EKS den Auftraggeber mindestens vier Wochen vor dem Wirksamwerden der Änderungen mindestens in Textform (einschließlich elektronischer Form) darüber in Kenntnis setzen. Die geänderten BAV werden Vertragsbestandteil im Falle von Änderungen zugunsten des Auftraggebers, bei lediglich unwesentlichen Änderungen oder bei zwingenden rechtlichen Änderungen. In diesen Fällen ist EKS zu einseitigen Änderungen der BAV berechtigt. Bei allen anderen Anlässen und Arten der Änderung ist der Auftraggeber berechtigt, die betroffenen Leistungen ohne Einhaltung einer Kündigungsfrist zum Zeitpunkt des Wirksamwerdens der Änderungen zu kündigen. Auf das Kündigungsrecht wird der Auftraggeber in der Information über die geplante Änderung ausdrücklich hingewiesen.

13.4

Sollten einzelne Teile dieser BAV unwirksam sein, so berührt dies die Wirksamkeit der übrigen Regelungen des Vertrages nicht.

Version: 1.1
Stand: 01.09.2024

Technische und organisatorische Maßnahmen zum Datenschutz

Nach Artt.32, 24, 25 DSGVO

Dokumentenhistorie

Inhaltsverzeichnis

EKS-Net ist das onlinegestützte System zur Erfassung, Verwaltung, Auswertung und Prävention von Schäden mit Zahlungskarten. EKS-Net ist webbasiert und wird von der Bank-Verlag GmbH betrieben. Daher unterscheiden wir bei den Maßnahmen unternehmensseitig zwischen dem Bank-Verlag und der EURO Kartensysteme sowie anwendungsbezogen auf EKS-Net.

1.

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen das verantwortliche Institut und die EURO Kartensysteme GmbH als Auftragsverarbeiterin geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein:

a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

2.

Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch - ob unbeabsichtigt oder unrechtmäßig - Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden.

3.

Das verantwortliche Institut und die EURO Kartensysteme GmbH unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.

Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren. Als Maßnahmen zur Zutrittskontrolle können zur Gebäude- und Raumsicherung unter anderem automatische Zutrittskontrollsysteme, Einsatz von Chipkarten und Transponder, Kontrolle des Zutritts durch Pförtnerdienste und Alarmanlagen eingesetzt werden.
Server, Telekommunikationsanlagen, Netzwerktechnik und ähnliche Anlagen sind in verschließbaren Serverschränken zu schützen. Darüber hinaus ist es sinnvoll, die Zutrittskontrolle auch durch organisatorische Maßnahmen (z.B. Dienstanweisung, die das Verschließen der Diensträume bei Abwesenheit vorsieht) zu stützen:

Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme (Computer) von Unbefugten genutzt werden können.

Mit Zugangskontrolle ist die unbefugte Verhinderung der Nutzung von Anlagen gemeint. Möglichkeiten sind beispielsweise Bootpasswort, Benutzerkennung mit Passwort für Betriebssysteme und eingesetzte Softwareprodukte, Bildschirmschoner mit Passwort, der Einsatz von Chipkarten zur Anmeldung wie auch der Einsatz von CallBack-Verfahren. Darüber hinaus können auch organisatorische Maßnahmen notwendig sein, um beispielsweise eine unbefugte Einsichtnahme zu verhindern (z.B. Vorgaben zur Aufstellung von Bildschirmen, Herausgabe von Orientierungshilfen für die Anwender zur Wahl eines "guten" Passworts):

Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Unter diesen Punkt fällt neben der Datenverarbeitung im Auftrag auch die Durchführung von Wartung und Systembetreuungsarbeiten sowohl vor Ort als auch per Fernwartung. Sofern der Auftragnehmer Dienstleister im Sinne einer Auftragsverarbeitung einsetzt, sind die folgenden Punkte stets mit diesen zu regeln:

Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Eingabekontrolle wird durch Protokollierungen erreicht, die auf verschiedenen Ebenen (z.B. Betriebssystem, Netzwerk, Firewall, Datenbank, Anwendung) stattfinden können. Dabei ist weiterhin zu klären, welche Daten protokolliert werden, wer Zugriff auf Protokolle hat, durch wen und bei welchem Anlass/Zeitpunkt diese kontrolliert werden, wie lange eine Aufbewahrung erforderlich ist und wann eine Löschung der Protokolle stattfindet.

Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Die Zugriffskontrolle kann unter anderem gewährleistet werden durch geeignete Berechtigungskonzepte, die eine differenzierte Steuerung des Zugriffs auf Daten ermöglichen. Dabei gilt, sowohl eine Differenzierung auf den Inhalt der Daten vorzunehmen als auch auf die möglichen Zugriffsfunktionen auf die Daten. Weiterhin sind geeignete Kontrollmechanismen und Verantwortlichkeiten zu definieren, um die Vergabe und den Entzug der Berechtigungen zu dokumentieren und auf einem aktuellen Stand zu halten (z.B. bei Einstellung, Wechsel des Arbeitsplatzes, Beendigung des Arbeitsverhältnisses). Besondere Aufmerksamkeit ist immer auch auf die Rolle und Möglichkeiten der Administratoren zu richten:

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Dieses kann beispielsweise durch logische und physikalische Trennung der Daten gewährleistet werden:

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Hier geht es um Themen wie eine unterbrechungsfreie Stromversorgung, Klimaanlagen, Brandschutz, Datensicherungen, sichere Aufbewahrung von Datenträgern, Virenschutz, Raidsysteme, Plattenspiegelungen etc.:

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. Zur Gewährleistung der Vertraulichkeit bei der elektronischen Datenübertragung können z.B. Verschlüsselungstechniken und Virtual Private Network eingesetzt werden. Maßnahmen beim Datenträgertransport bzw. Datenweitergabe sind Transportbehälter mit Schließvorrichtung und Regelungen für eine datenschutzgerechte Vernichtung von Datenträgern:

Version: 1.0
Stand: 17.03.2022

Liste genehmigter Unterauftragsverarbeiter

Der Auftraggeber stimmt der Beauftragung der nachfolgenden Unterauftragnehmer zu unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2 bis 4 DSGVO:

Version: 1.1
Stand: 06.08.2024