1. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Wir, die EURO Kartensysteme GmbH, nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Wenn Sie diese webbasierte Anwendung benutzen, werden verschiedene personenbezogene Daten erhoben. Personenbezogene Daten sind Daten, mit denen Sie persönlich identifiziert werden können. Die vorliegende Datenschutzerklärung erläutert, welche Daten wir erheben und wofür wir sie nutzen. Sie erläutert auch, wie und zu welchem Zweck das geschieht.

Wir weisen darauf hin, dass die Datenübertragung im Internet (z.B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.

Wofür nutzen wir Ihre Daten?

Personenbezogene Daten werden auf dieser Webseite nur im technisch notwendigen Umfang erhoben. In keinem Fall werden die erhobenen Daten verkauft oder aus anderen Gründen an Dritte weitergegeben, ausgenommen hiervon sind zur Abwicklung beauftragte Dienstleistungspartner. In diesen Fällen beschränkt sich der Umfang der übermittelten Daten auf das erforderliche Minimum.

Hinweis zur verantwortlichen Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser webbasierten Anwendung ist:

EURO Kartensysteme GmbH
Geschäftsführung: Oliver Hommel (Vorsitzender), Andreas Krüger
Solmsstraße 6
D-60486 Frankfurt a.M.
GERMANY

Telefon: +49 (0) 69 97945-0
E-Mail: kontakt@kartensicherheit.de

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z.B. Namen, E-Mail-Adressen o. Ä.) entscheidet.

Gesetzlich vorgeschriebener Datenschutzbeauftragter

Wir haben für unser Unternehmen einen Datenschutzbeauftragten bestellt.

RA Per Kristian Stöcker
c/o LLR Data Security and Consulting GmbH
Mevissenstraße 15
50668 Köln

der

EURO Kartensysteme GmbH

Solmsstraße 6
60486 Frankfurt a. M.
Deutschland

Präambel

Zwischen dem beauftragenden Institut ("Auftraggeber") und der Deutschen Kreditwirtschaft besteht die Vereinbarung über das "Deutsche Geldautomaten-System" (nachfolgend "GA-Vereinbarung") und die Vereinbarung über "ein institutsübergreifendes System zur bargeldlosen Zahlung an automatisierten Kassen (girocard-System)" (nachfolgend "girocard-Vereinbarung"). Nach Ziff. 10 der girocard-Vereinbarung und Ziff. 14 der GA-Vereinbarung ist der Auftraggeber verpflichtet, gegenüber der von der Kreditwirtschaft beauftragten Stelle die Angaben zu machen, die erforderlich sind, um die Meldepflichten des girocard-Systems gegenüber dem Eurosystem zu erfüllen. Zur "beauftragten Stelle" wurde die EURO Kartensysteme GmbH ("EKS") ernannt. Auf Grundlage von Ziff. 13 der girocard-Vereinbarung und Ziff. 9 der GA-Vereinbarung wurde die EURO Kartensysteme zudem mit der Erhebung, Abwicklung und Verwaltung von Schäden aus Verfügungen mit ge- oder verfälschten Debitkarten und diversen hiermit verbundenen Gemeinschaftsaufgaben für das girocard-System beauftragt (nachfolgend "Auftrag"). Zur Erfüllung der vorgenannten Aufgaben setzt die EKS das onlinegestützte System "EKS-Net" ein, über das die Institute die Schadenstransaktionen mit girocards und Co-Badges erfassen können. EKS erhebt, verarbeitet und nutzt in Erfüllung dieses Auftrages alle Daten im Zusammenhang mit den betroffenen Zahlungskarten, einschließlich Karteninhaberdaten, sowie die für die Erstattung von Schäden und die für die Identifikation der Schadensursache erforderlichen Daten.

Die nachstehenden Regelungen gelten für die Bereitstellung des Produktes "EKS-Net", in deren Rahmen die EKS personenbezogene Daten auf Weisung des Auftraggebers verarbeitet ("Auftragsverarbeitung"). Diese Reglungen konkretisieren die wechselseitigen datenschutzrechtlichen Verpflichtungen, die sich aus dem gem. Art. 28 DSGVO erforderlichen Mindestinhalt von Vereinbarungen über die Auftragsdatenverarbeitung ergeben. Sie findet Anwendung auch auf sämtliche Tätigkeiten, bei denen durch EKS beauftragte und vom Auftraggeber genehmigte Unterauftragnehmer (Subunternehmer) personenbezogene Daten des Auftraggebers verarbeiten oder mit diesen in Berührung kommen könnten.

1. Begriffe

Die nachfolgend in alphabetischer Reihenfolge gelisteten Begriffe gelten für die BAV EKS-Net:

Anwendbares Datenschutzrecht bezeichnet die Rechtsvorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere ihres Rechts auf Privatsphäre in Bezug auf die Verarbeitung personenbezogener Daten, die auf den Verantwortlichen anwendbar sind, insbesondere die DSGVO;

Auftragsverarbeiter:in bezeichnet gemäß Art. 4 Nr. 8 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet; im Rahmen der BAV EKS-Net ist EKS Auftragsverarbeiterin;

Bestehende Hauptvereinbarungen meint die zwischen den Parteien anwendbaren Vereinbarungen der Deutschen Kreditwirtschaft wie die "GA-Vereinbarung" und "girocard-Vereinbarung", aus denen sich die Rechte und Pflichten zur Bereitstellung und Nutzung des Systems "EKS-Net" ergeben, in ihrer jeweils aktuellen und gültigen Fassung. Die EKS wird im Rahmen dieser Vereinbarungen durch die Deutsche Kreditwirtschaft beauftragt, das System "EKS-Net" für das Institut bereitzustellen.

Dritter bezeichnet gemäß Art. 4 Nr. 10 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, der Auftragsverarbeiterin und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder der Auftragsverarbeiterin befugt sind, die personenbezogenen Daten zu verarbeiten;

Drittland bezeichnet jedes Land, das nicht Teil der Europäischen Union oder des Europäischen Wirtschaftsraums ist;

DSGVO bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG;

Daten bezeichnet alle personenbezogenen Daten, die von der Auftragsverarbeiterin oder einer Subauftragsverarbeiter:in im Auftrag und in Weisung des Auftraggebers gemäß oder in Verbindung mit dem Hauptvertrag verarbeitet werden. Dies umfasst auch alle Daten von verbundenen Unternehmen von Kund:innen, die EKS auf Weisung des Auftraggebers verarbeitet;

Internationaler Datentransfer bezeichnet jede Übermittlung von Auftragsdaten in ein Drittland sowie jeden Zugriff auf Kundendaten aus einem Drittland;

Nebendienstleistungen sind Dienstleistungen, die unabhängig vom Gegenstand der Beauftragung erbracht werden, wie etwa Telekommunikationsdienste, die Entsorgung von Datenträgern oder anderweitige unterstützende IT-Dienstleistungen oder sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hardware und Software von Datenverarbeitungsanlagen durch Dritte;

Personenbezogene Daten bezeichnet gemäß Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

Unterauftragsverarbeiter:in bezeichnet die Vertragspartner:in der Auftragsverarbeiter:in, die von diesem mit der Durchführung bestimmter Verarbeitungsaktivitäten für den Verantwortlichen beauftragt wird;

Verantwortlicher bezeichnet gemäß Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; im Rahmen dieser BAV EKS-Net ist der Auftraggeber der Verantwortliche;

Verarbeitung bezeichnet gemäß Art. 4 Nr. 2 DSGVO jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

Verbundene Unternehmen sind alle Unternehmen, die mit einer Partei gemäß §§ 15 ff. AktG verbunden sind.

2. Gegenstand und Dauer der Verarbeitung

2.1

Der Gegenstand des Auftrags ergibt sich aus den bestehenden Hauptvereinbarungen.

2.2

Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit der bestehenden Hauptvereinbarungen.

3. Art und Zweck der Datenverarbeitung

3.1

Die Art der Verarbeitung umfasst alle Arten von Verarbeitung im Sinne der DSGVO zur Erfüllung der bestehenden Hauptvereinbarungen.

3.2

Die Zwecke der Verarbeitung ergeben sich aus den bestehenden Hauptvereinbarungen.

4. Kategorien personenbezogener Daten und betroffener Personen

4.1

Gegenstand der Verarbeitung personenbezogener Daten sind je nach Einzelfall folgende Datenarten/-kategorien:

(1) Name und Kontaktdaten (z. B. Telefon, E-Mail)
(2) Geburtsdaten
(3) Bankverbindungsdaten (z. B. BLZ, Kontonummer, IBAN, BIC)
(4) Zugewiesene Schadens-ID und Inhaltsdaten der Schadensmeldung (z. B. Schadenshöhe, Transaktionsdaten)

4.2

Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen:

(1) Karteninhaber:in/Kund:innen des Auftraggebers
(2) Nutzer:innen des Systems (in der Regel Beschäftigte des Auftraggebers)

5. Technisch-organisatorische Maßnahmen

5.1

Die technischen und organisatorischen Maßnahmen zum Datenschutz sind in Anlage 1 dargelegt und in ihrer jeweils aktuellen Fassung Bestandteil der BAV EKS-Net.

5.2

EKS wird die Umsetzung der im Vorfeld der Auftragsvergabe und in Anlage 1 dargelegten und erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung, dokumentieren und dem Auftraggeber auf Anforderung zur Prüfung vorzulegen.

5.3

EKS gewährleistet die Sicherheit der Verarbeitung im gesetzlich gebotenen Umfang. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen. Die Maßnahmen werden im Einzelnen in Anlage 1 dargestellt.

5.4

Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es EKS gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. EKS verpflichtet sich die Wirksamkeit der getroffenen Maßnahmen regelmäßig, zumindest aber jährlich, zu prüfen, zu bewerten und gegebenenfalls anzupassen.

6. Umgang mit Betroffenenrechten und behördlichen Anfragen

EKS wird als Auftragsverarbeiterin keine Auskünfte über die Datenverarbeitung an Dritte oder eine betroffene Person erteilen, soweit EKS nicht selbst dazu rechtswirksam verpflichtet ist oder wird. Soweit eine betroffene Person sich diesbezüglich unmittelbar an EKS wendet, wird EKS dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

7. Pflichten der Auftragnehmer:in

7.1

EKS verarbeitet personenbezogene Daten ausschließlich wie durch die BAV EKS-Net vereinbart oder wie vom Auftraggeber separat und mindestens in Textform angewiesen, es sei denn, EKS ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen für EKS bestehen, teilt EKS diese dem Auftraggeber mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten.

7.2

EKS bestätigt, dass die einschlägigen, allgemeinen datenschutzrechtlichen Vorschriften bekannt sind. EKS beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.

7.3

EKS verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren und nur Personen mit der Datenverarbeitung zu betrauen, die schriftlich zur Vertraulichkeit und zur Wahrung des Datengeheimnisses verpflichtet wurden, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen. Die Auftragnehmer:in sichert zu, dass die bei ihm zur Verarbeitung eingesetzten Personen mit den relevanten Bestimmungen des Datenschutzes vertraut gemacht wurden.

7.4

EKS wird, soweit erforderlich, im Zusammenhang mit der beauftragten Verarbeitung den Auftraggeber bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten sowie bei Durchführung der Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO angemessen unterstützen. EKS ist in diesem Falle berechtigte, für solche Unterstützungsleistungen eine angemessene und übliche gesonderte Vergütung zu fordern.

7.5

EKS wird dem Auftraggeber jedwede Verletzung des Schutzes personenbezogener Daten, die EKS für den Auftraggeber verarbeitet, unverzüglich anzeigen.

7.6

EKS wird ohne die vorherige schriftliche Zustimmung des Auftraggebers keine Einreichungen, Mitteilungen, Meldungen, Pressemitteilungen oder Berichte zu irgendeinem Datenschutzvorfall freigeben oder veröffentlichen, sofern EKS hierzu nach geltendem Recht nicht verpflichtet ist. Im letztgenannten Fall wird die Auftragnehmer:in den Verantwortlichen innerhalb einer angemessenen Frist schriftlich hierüber in Kenntnis setzen.

7.7

EKS hat einen betrieblichen Datenschutzbeauftragten bestellt, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt. Dessen jeweils aktuelle Kontaktdaten sind auf der Homepage der Auftragnehmer:in leicht zugänglich hinterlegt.

7.8

Der Auftraggeber und EKS arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

8. Unterauftragsverhältnisse

8.1

Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebendienstleistungen, also ausgelagerte Tätigkeiten, die im eigentlichen Kern nicht die Verarbeitung von personenbezogenen Daten betreffen, wie zum Beispiel Telekommunikationsdienste, Dienste der IT-Sicherheit, oder Postdienstleistungen.

8.2

Werden Unterauftragsverarbeiter:innen durch EKS eingeschaltet, sind die vertraglichen Vereinbarungen so zu gestalten, dass sie den Anforderungen zu Vertraulichkeit, Datenschutz und Datensicherheit nach diesen BAV EKS-Net einschließlich der technischen und organisatorischen Maßnahmen im Sinne von Anlage 1 entsprechen.

8.3

EKS darf Unterauftragsverarbeiter:innen nur nach vorheriger Zustimmung des Auftraggebers beauftragen.

8.5

Der Auftraggeber stimmt der Beauftragung der in Anlage 2 zu diesen BAV gelisteten Unterauftragnehmer zu unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2 bis 4 DSGVO zu. Die Zustimmung gilt im Falle eines Unterauftragsnehmerwechsels auch für neue Unterauftragsverarbeiter:innen, soweit diese adäquate technische und organisatorische Maßnahmen zum Datenschutz gewährleisten und die Unterauftragsverarbeitung innerhalb der EU oder EWR erfolgt.

8.7

Eine weitere Auslagerung durch den Unterauftragnehmer bedarf der ausdrücklichen Zustimmung seitens EKS (mind. Textform) sämtliche vertraglichen Regelungen in der Vertragskette sind auch dem weiteren Unterauftragnehmer aufzuerlegen.

8.8

Grundsätzlich werden alle Unterauftragsverarbeitungen innerhalb der EU/des EWR erbracht. Erbringt ein für die geschuldeten Leistungen unverzichtbarer Unterauftragnehmer seine vereinbarten Leistungen oder Teile dieser Leistungen außerhalb der EU/des EWR, stellt EKS die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen nach Art. 44 ff. DSGVO sicher, welche insbesondere die Anforderungen der einschlägigen Rechtsprechung des Europäischen Gerichtshofs ("Schrems II") erfüllen.

9. Kontrollrechte des Auftraggebers

9.1

EKS stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten der Auftragnehmer:in nach Art. 28 DSGVO überzeugen kann. EKS verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen.

9.2

Der Auftraggeber hat das Recht, unter Abstimmung mit EKS, Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer, die nicht im Wettbewerb mit EKS stehen und zur Wahrung der Vertraulichkeit nachweisbar schriftlich verpflichtet sind, durchführen zu lassen. Grundsätzlich kann und soll die Überprüfung auf Dokumentenbasis, die EKS bereitstellt, erfolgen. Der Auftraggeber hat davon unbenommen das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch EKS in ihrem Geschäftsbetrieb zu überzeugen.

9.3

Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, erfolgt in der Regel durch Vorlage der nachfolgenden Dokumente:

(1) Aktuelle Dokumentation der technischen und organisatorischen Maßnahmen zum Datenschutz gem. Art. 32 DSGVO analog Anlage 1
(2) Aktuelle Zertifikate (ISO 27001, TÜV, Schwachstellenscan, ggf. PEN-Test)
(3) Testat des betrieblichen Datenschutzbeauftragten über die Überwachung der Einhaltung der sicherzustellenden Maßnahmen

9.4

Für die Ermöglichung von Kontrollen durch den Auftraggeber und in diesem Zusammenhang erfolgende Unterstützungsleistungen kann die Auftragnehmer:in einen Vergütungsanspruch geltend machen, soweit dieser der Höhe nach angemessen und üblich ist. Der tatsächlich anfallende Aufwand einer Kontrolle ist für die Auftragnehmer:in grundsätzlich auf einen Tag pro Kalenderjahr begrenzt, wenn der Inspektion kein konkreter Anlass zugrunde liegt, den die Auftragsverarbeiterin nicht von vornherein ausgeschlossen zu vertreten hat.

10. Weisungsbefugnis des Auftraggebers

10.1

Der Auftraggeber ist im Rahmen dieser Vereinbarung für die Einhaltung der gesetzlichen Bestimmungen des Datenschutzes, insbesondere für die Rechtmäßigkeit der Datenweitergabe an die Auftragnehmer:in sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich. Hinsichtlich der dieser Vereinbarung zugrundeliegenden Auftragsdatenverarbeitung ist dieser gegenüber EKS weisungsbefugt und -verpflichtet.

10.2

Weisungen sollen grundsätzlich in Textform (§ 126 BGB) erteilt werden. Ausnahmsweise erteilte mündliche Weisungen bestätigt der Auftraggeber unverzüglich mindestens in Textform.

10.3

EKS wird den Auftraggeber unverzüglich informieren, wenn EKS der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. EKS ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

11. Löschung und Rückgabe von personenbezogenen Daten

11.1

EKS löscht die auftragsweise verarbeiteten personenbezogenen Daten 10 Jahre nach Ablauf des Kalenderjahres, in dem die Daten erhoben wurden. Für diese Speicherdauer gilt die Weisung des Auftraggebers entsprechend erteilt; eine vorzeitige Löschung oder Verlängerung der Speicherdauer erfolgt nur, soweit der Auftraggeber dies separat und mindestens in Textform anweist. Dies gilt auch für die Einschränkung der Datenverarbeitung. Ist eine datenschutzkonforme Löschung oder eine entsprechende Einschränkung der Datenverarbeitung nicht möglich, übernimmt EKS die datenschutzkonforme Vernichtung von Datenträgern und sonstigen Materialien auf Grund einer Einzelbeauftragung durch den Auftraggeber oder gibt diese Datenträger an den Auftraggeber zurück, sofern das nicht in den bestehenden Hauptvereinbarungen bereits vereinbart ist.

11.2

Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien ("Backups"), soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

12. Haftung

12.1

Zwischen den Parteien in den bestehenden Hauptvereinbarungen vereinbarte Haftungsregelungen gelten auch für die Auftragsverarbeitung, soweit nicht ausdrücklich etwas anderes vereinbart ist.

12.2

Die Haftung nach Art. 82 ff. DSGVO bleibt unberührt.

13. Schlussbestimmungen

13.1

Sollte das Eigentum des Auftraggebers bei EKS durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat die Auftragnehmer:in den Auftraggeber unverzüglich zu informieren. Die Auftragnehmer:in wird die Gläubiger über die Tatsache, dass es sich um Daten handelt, die im Auftrag verarbeitet werden, unverzüglich informieren.

13.2

Änderungen dieser BAV EKS-Net sowie Nebenabreden bedürfen der Textform (einschließlich der elektronischen Form). Dies gilt für das Abbedingen der Schriftformklausel entsprechend.

13.3

Die nachfolgenden Regelungen gelten ausschließlich und abschließend für Änderungen der BAV und sind gegenüber sonstigen getroffenen Regelungen zur Änderung von Leistungen, Preisen oder rechtlichen Bedingungen vorrangig.

Soweit EKS die vereinbarten Leistungen oder die Bedingungen der Auftragsverarbeitung zu ändern beabsichtigt (z. B. auf Grund von Behördenentscheidungen, Änderungen in Lieferantenbeziehungen, Gesetzesänderungen), wird EKS den Auftraggeber mindestens vier Wochen vor dem Wirksamwerden der Änderungen mindestens in Textform (einschließlich elektronischer Form) darüber in Kenntnis setzen. Die geänderten BAV werden Vertragsbestandteil im Falle von Änderungen zugunsten des Auftraggebers, bei lediglich unwesentlichen Änderungen oder bei zwingenden rechtlichen Änderungen. In diesen Fällen ist EKS zu einseitigen Änderungen der BAV berechtigt. Bei allen anderen Anlässen und Arten der Änderung ist der Auftraggeber berechtigt, die betroffenen Leistungen ohne Einhaltung einer Kündigungsfrist zum Zeitpunkt des Wirksamwerdens der Änderungen zu kündigen. Auf das Kündigungsrecht wird der Auftraggeber in der Information über die geplante Änderung ausdrücklich hingewiesen.

13.4

Sollten einzelne Teile dieser BAV unwirksam sein, so berührt dies die Wirksamkeit der übrigen Regelungen des Vertrages nicht.

Version: 1.0
Stand: 15.10.2023

Technische und organisatorische Maßnahmen zum Datenschutz

Nach Artt.32, 24, 25 DSGVO

Dokumentenhistorie

Inhaltsverzeichnis

EKS-Net ist das onlinegestützte System zur Erfassung, Verwaltung, Auswertung und Prävention von Schäden mit Zahlungskarten. EKS-Net ist webbasiert und wird von der Bank-Verlag GmbH betrieben. Daher unterscheiden wir bei den Maßnahmen unternehmensseitig zwischen dem Bank-Verlag und der EURO Kartensysteme sowie anwendungsbezogen auf EKS-Net.

1.

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen das verantwortliche Institut und die EURO Kartensysteme GmbH als Auftragsverarbeiterin geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein:

a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

2.

Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch - ob unbeabsichtigt oder unrechtmäßig - Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden.

3.

Das verantwortliche Institut und die EURO Kartensysteme GmbH unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.

Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren. Als Maßnahmen zur Zutrittskontrolle können zur Gebäude- und Raumsicherung unter anderem automatische Zutrittskontrollsysteme, Einsatz von Chipkarten und Transponder, Kontrolle des Zutritts durch Pförtnerdienste und Alarmanlagen eingesetzt werden.
Server, Telekommunikationsanlagen, Netzwerktechnik und ähnliche Anlagen sind in verschließbaren Serverschränken zu schützen. Darüber hinaus ist es sinnvoll, die Zutrittskontrolle auch durch organisatorische Maßnahmen (z.B. Dienstanweisung, die das Verschließen der Diensträume bei Abwesenheit vorsieht) zu stützen:

Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme (Computer) von Unbefugten genutzt werden können.

Mit Zugangskontrolle ist die unbefugte Verhinderung der Nutzung von Anlagen gemeint. Möglichkeiten sind beispielsweise Bootpasswort, Benutzerkennung mit Passwort für Betriebssysteme und eingesetzte Softwareprodukte, Bildschirmschoner mit Passwort, der Einsatz von Chipkarten zur Anmeldung wie auch der Einsatz von CallBack-Verfahren. Darüber hinaus können auch organisatorische Maßnahmen notwendig sein, um beispielsweise eine unbefugte Einsichtnahme zu verhindern (z.B. Vorgaben zur Aufstellung von Bildschirmen, Herausgabe von Orientierungshilfen für die Anwender zur Wahl eines "guten" Passworts):

Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Unter diesen Punkt fällt neben der Datenverarbeitung im Auftrag auch die Durchführung von Wartung und Systembetreuungsarbeiten sowohl vor Ort als auch per Fernwartung. Sofern der Auftragnehmer Dienstleister im Sinne einer Auftragsverarbeitung einsetzt, sind die folgenden Punkte stets mit diesen zu regeln:

Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Eingabekontrolle wird durch Protokollierungen erreicht, die auf verschiedenen Ebenen (z.B. Betriebssystem, Netzwerk, Firewall, Datenbank, Anwendung) stattfinden können. Dabei ist weiterhin zu klären, welche Daten protokolliert werden, wer Zugriff auf Protokolle hat, durch wen und bei welchem Anlass/Zeitpunkt diese kontrolliert werden, wie lange eine Aufbewahrung erforderlich ist und wann eine Löschung der Protokolle stattfindet.

Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Die Zugriffskontrolle kann unter anderem gewährleistet werden durch geeignete Berechtigungskonzepte, die eine differenzierte Steuerung des Zugriffs auf Daten ermöglichen. Dabei gilt, sowohl eine Differenzierung auf den Inhalt der Daten vorzunehmen als auch auf die möglichen Zugriffsfunktionen auf die Daten. Weiterhin sind geeignete Kontrollmechanismen und Verantwortlichkeiten zu definieren, um die Vergabe und den Entzug der Berechtigungen zu dokumentieren und auf einem aktuellen Stand zu halten (z.B. bei Einstellung, Wechsel des Arbeitsplatzes, Beendigung des Arbeitsverhältnisses). Besondere Aufmerksamkeit ist immer auch auf die Rolle und Möglichkeiten der Administratoren zu richten:

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Dieses kann beispielsweise durch logische und physikalische Trennung der Daten gewährleistet werden:

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Hier geht es um Themen wie eine unterbrechungsfreie Stromversorgung, Klimaanlagen, Brandschutz, Datensicherungen, sichere Aufbewahrung von Datenträgern, Virenschutz, Raidsysteme, Plattenspiegelungen etc.:

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. Zur Gewährleistung der Vertraulichkeit bei der elektronischen Datenübertragung können z.B. Verschlüsselungstechniken und Virtual Private Network eingesetzt werden. Maßnahmen beim Datenträgertransport bzw. Datenweitergabe sind Transportbehälter mit Schließvorrichtung und Regelungen für eine datenschutzgerechte Vernichtung von Datenträgern:

Version: 2.0
Stand: August 2023

Der Auftraggeber stimmt der Beauftragung der nachfolgenden Unterauftragnehmer zu unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2 bis 4 DSGVO:

Version: 1.0
Stand: 31.08.2023