200
Auftrag getroffenen Festlegungen dem Auftraggeber anzeigt werden
müssen.
Regelung über rechtlich zulässige und verpflichtende Information des
Auftragnehmers an den Auftraggeber, wenn Zugriffe durch
Strafverfolgungsbehörden und andere staatliche Stellen erfolgt sind.
Regelung von Kontrollrechten des Auftraggebers und/oder eines vom
Auftraggeber beauftragten Dritten vor Ort beim Auftragnehmer oder seinen
Unterauftragnehmern. Regelungen für (kumulativ oder alternativ zu
Kontrollen durch den Auftraggeber) regelmäßige Kontrollen/Audits und
Zertifizierungen, die den Datenschutz beim Auftragnehmer und die
Verpflichtungen gegenüber dem Auftraggeber kontrollieren und
zertifizieren. Regelung zur Mitwirkung des Auftragnehmers bei diesen
Aktivitäten und den damit verbundenen Kosten.
Regelung betreffend die IT‐Sicherheit
Folgende Punkte sollten im Vertrag berücksichtigt, bestätigt bzw. in
ausreichender Detaillierung angeführt werden:
Beschreibung der eingesetzten IT‐Sicherheitslösungen wie der Einsatz von
Firewallsystemen, Virenscannern zum Schutz vor Viren, Trojanern, Malware,
Schutz vor DoS etc.
Beschreibung von Security‐Checks bzw. Penetration‐Tests, die vom
Auftragnehmer durchgeführt werden.
Beschreibung der Verschlüsselungsmethoden und des Key‐Managements
für den Datenverkehr zwischen Auftraggeber und Auftragnehmer, der
Verschlüsselung auf den Speichermedien und einer End‐to‐End‐
Verschlüsselung, die einen Dateneinblick durch Personal des Anbieters
vollständig ausschließt.
Detaillierte Beschreibung der sicheren Authentifizierung zur Nutzung des
Services, der Auditierbarkeit von Login‐Vorgängen (vom Kunden einsehbar)
und der Möglichkeit, ein Kundensystem zur Authentifizierung zu integrieren.
Regelung betreffend die Datensicherung und Datenlöschung
Folgende Punkte sollten im Vertrag berücksichtigt, bestätigt bzw. in
ausreichender Detaillierung angeführt werden:
Ausreichend detaillierte Regelung betreffend die Spiegelung von
Anwendungsdaten und die Failover‐Verfahren, um Daten permanent
verfügbar zu halten.
