Common use of Datenschutz und Informationssicherheit Clause in Contracts

Datenschutz und Informationssicherheit. Soweit der AN bei der Erbringung der VERTRAGSLEISTUNGEN PERSONENBEZOGENE DATEN verarbeitet, wird er die geltenden Datenschutzvorschriften jederzeit einhalten und die hierzu erforderlichen Handlungen vornehmen. Der AN wird PERSONENBEZOGENE DATEN ausschließlich zum Zwecke der Erbringung der VERTRAGSLEISTUNGEN verarbeiten und sicherstellen, dass seine Mitarbeiter nur soweit hierfür erforderlich Zugriff auf die PERSONENBEZOGENEN DATEN erhalten. Sofern bei der Erbringung der Vertragsleistungen durch den AN PERSONENBEZOGENE DATEN in ein Drittland (au- ßerhalb der EU/EWR) übermittelt werden, ist durch den AN ein angemessenes Datenschutzniveau (ggf. durch den Abschluss von Standardvertragsklauseln zur Drittlandübermittlung) zu gewährleisten. Sofern der AN seinen Sitz in einem unsicheren Drittland (Land außerhalb der EU/EWR oder ohne gültigen und anwendbaren Angemessenheitsbeschluss der Kommission im Sinne des Art. 45 Abs. 3 DSGVO) hat, ist er auf Anfrage des AG zum Abschluss von Standardvertragsklauseln zur Drittlandübermittlung mit dem AG verpflichtet. Im Falle der VERARBEITUNG PERSONENBEZOGENER DATEN durch den AN im Auftrag des AG ist – spätestens vor Beginn der VERARBEITUNG der PERSONENBEZOGENEN DATEN – eine Auftragsverarbeitungsvereinbarung (AVV) abzuschlie- ßen, deren Muster der AG hierfür zur Verfügung stellt. Für den Fall, dass zwischen den PARTEIEN eine gemeinsame Verantwortlichkeit besteht, verpflichtet sich der AN mit dem AG eine entsprechende Vereinbarung abzuschließen, deren Muster der AG hierfür zur Verfügung stellt (Joint Controllership Agreement). VERTRAGSLEISTUNGEN müssen die jeweils geltenden datenschutzrechtlichen Vorgaben erfüllen. Sie müssen ins- besondere nach den Grundsätzen von Privacy by Design und Privacy by Default konzipiert, hergestellt und konfigu- riert sein. Der AN dokumentiert dies und stellt dem AG die entsprechende Dokumentation zur Verfügung. Diese hat insbes. Angaben zu den Grundsätzen des Datenschutzes und deren Umsetzung, zu Löschmöglichkeiten sowie zu der Umsetzung von Betroffenenrechten zu enthalten. Ziel ist insbesondere, dem AG in Bezug auf die VERTRAGSLEIS- TUNGEN, die zur Erfüllung seiner Rechenschaftspflicht notwendigen Informationen zur Verfügung zu stellen. VER- TRAGSLEISTUNGEN dürfen insbesondere keine Funktionen enthalten, die eine VERARBEITUNG von PERSONENBEZOGENEN DATEN durch den AN oder durch Dritte ermöglichen (einschließlich sogenannter Calling-Home-Funktionen), es sei denn, dies ist ausdrücklich im VERTRAG vereinbart. VERTRAGSLEISTUNGEN müssen so konzipiert und konfiguriert sein, dass der AG bei deren Verwendung seinen datenschutzrechtlichen Pflichten vollumfänglich nachkommen kann. Soweit die VERTRAGSLEISTUNGEN konfigurierbar sind, hat der AN dem AG auch hierfür eine entsprechende Dokumentation zur Verfügung zu stellen; Satz 1 bleibt hiervon unberührt. VERTRAGSLEISTUNGEN müssen über ein mindestens dem Stand der Technik entsprechendes IT-Sicherheitsni- veau verfügen. Der AN wird SECURITY-TESTMAßNAHMEN vor und – bei DAUERSCHULDVERHÄXXXXXXXX – während der Er- bringungen der VERTRAGSLEISTUNGEN regelmäßig durchführen und die Ergebnisse dokumentieren. Sobald dem AN Gefährdungen der Informationssicherheit bekannt werden, wird er den AG unverzüglich hierüber in TEXTFORM un- terrichten und – in enger Abstimmung mit dem AG und auf eigene Kosten – unverzüglich wirksame Gegenmaßnah- men einleiten, welche die Erbringung der VERTRAGSLEISTUNGEN nicht einschränken. Der AN wird den AG vor einer öffentlichen Bekanntgabe von Sicherheitsvorfällen, insbesondere bei Cybersi- cherheitsvorfällen, sowie von IT-Sicherheitsmängeln, die Produkte, Infrastruktur, Services und/oder DIGITALE PRO- DUKTE des AG betreffen können, unverzüglich informieren. Bei der Sicherung von VW DATEN sind sämtliche Vorkehrungen und Maßnahmen nach dem jeweils aktuellen Stand der Technik zu beachten, um jederzeit Datenbestände verlust- und rechtssicher archivieren und wiederher- stellen zu können.

Datenschutz und Informationssicherheit. 25.1. Soweit der AN bei der Erbringung der VERTRAGSLEISTUNGEN PERSONENBEZOGENE DATEN verarbeitet, wird er die geltenden Datenschutzvorschriften jederzeit einhalten und die hierzu erforderlichen Handlungen vornehmenvorneh- men. Der AN wird PERSONENBEZOGENE DATEN ausschließlich zum Zwecke der Erbringung der VERTRAGSLEISTUNGEN VERTRAGSLEISTUN- GEN verarbeiten und sicherstellen, dass seine Mitarbeiter nur soweit hierfür erforderlich Zugriff auf die PERSONENBEZOGENEN PER- SONENBEZOGENEN DATEN erhalten. 25.2. Sofern bei der Erbringung der Vertragsleistungen durch den AN PERSONENBEZOGENE DATEN in ein Drittland (au- ßerhalb der EU/EWR) übermittelt werden, ist durch den AN ein angemessenes Datenschutzniveau (ggf. durch den Abschluss von Standardvertragsklauseln zur Drittlandübermittlung) zu gewährleisten. 25.3. Sofern der AN seinen Sitz in einem unsicheren Drittland (Land außerhalb der EU/EWR oder ohne gültigen und anwendbaren Angemessenheitsbeschluss der Kommission im Sinne des Art. 45 Abs. 3 DSGVO) hat, ist er auf Anfrage des AG zum Abschluss von Standardvertragsklauseln zur Drittlandübermittlung mit dem AG verpflichtetver- pflichtet. 25.4. Im Falle der VERARBEITUNG PERSONENBEZOGENER DATEN durch den AN im Auftrag des AG ist – spätestens vor Beginn der VERARBEITUNG Verarbeitung der PERSONENBEZOGENEN DATEN DATEN– eine Auftragsverarbeitungsvereinbarung (AVV) abzuschlie- ßenab- zuschließen, deren Muster der AG hierfür zur Verfügung stellt. Für den Fall, dass zwischen den PARTEIEN eine gemeinsame Verantwortlichkeit besteht, verpflichtet sich der AN mit dem AG eine entsprechende Vereinbarung Vereinba- rung abzuschließen, deren Muster der AG hierfür zur Verfügung stellt (Joint Controllership Agreement). 25.5. VERTRAGSLEISTUNGEN müssen die jeweils geltenden datenschutzrechtlichen Vorgaben erfüllen. Sie müssen ins- besondere nach den Grundsätzen von Privacy by Design und Privacy by Default konzipiert, hergestellt und konfigu- riert konfiguriert sein. Der AN dokumentiert dies und stellt dem AG die entsprechende Dokumentation zur VerfügungVerfü- gung. Diese hat insbes. Angaben zu den Grundsätzen des Datenschutzes und deren Umsetzung, zu Löschmöglichkeiten Löschmög- lichkeiten sowie zu der Umsetzung von Betroffenenrechten zu enthalten. Ziel ist insbesondere, dem AG in Bezug auf die VERTRAGSLEIS- TUNGENVERTRAGSLEISTUNGEN, die zur Erfüllung seiner Rechenschaftspflicht notwendigen Informationen zur Verfügung zu stellen. VER- TRAGSLEISTUNGEN VERTRAGSLEISTUNGEN dürfen insbesondere keine Funktionen enthalten, die eine VERARBEITUNG VER- ARBEITUNG von PERSONENBEZOGENEN DATEN durch den AN oder durch Dritte ermöglichen (einschließlich sogenannter soge- nannter Calling-Home-Funktionen), es sei denn, dies ist ausdrücklich im VERTRAG vereinbart. 25.6. VERTRAGSLEISTUNGEN müssen so konzipiert und konfiguriert sein, dass der AG bei deren Verwendung seinen datenschutzrechtlichen Pflichten vollumfänglich nachkommen kann. Soweit die VERTRAGSLEISTUNGEN konfigurierbar konfigu- rierbar sind, hat der AN dem AG auch hierfür eine entsprechende Dokumentation zur Verfügung zu stellen; Satz 1 bleibt hiervon unberührt. 25.7. VERTRAGSLEISTUNGEN müssen über ein mindestens dem Stand der Technik entsprechendes IT-Sicherheitsni- veau verfügen. Der AN wird SECURITY-TESTMAßNAHMEN vor und – bei DAUERSCHULDVERHÄXXXXXXXX – während der Er- bringungen Erbringungen der VERTRAGSLEISTUNGEN regelmäßig durchführen und die Ergebnisse dokumentieren. Sobald dem AN Gefährdungen der Informationssicherheit bekannt werden, wird er den AG unverzüglich hierüber in TEXTFORM un- terrichten unterrichten und – in enger Abstimmung mit dem AG und auf eigene Kosten – unverzüglich wirksame Gegenmaßnah- men wirk- same Gegenmaßnahmen einleiten, welche die Erbringung der VERTRAGSLEISTUNGEN nicht einschränken. 25.8. Der AN wird den AG vor einer öffentlichen Bekanntgabe von Sicherheitsvorfällen, insbesondere bei Cybersi- cherheitsvorfällen, sowie von IT-Sicherheitsmängeln, die Produkte, Infrastruktur, Services und/oder DIGITALE PRO- DUKTE Dienst- leistungen des AG betreffen können, unverzüglich informieren. 25.9. Bei der Sicherung von VW DATEN sind sämtliche Vorkehrungen und Maßnahmen nach dem jeweils aktuellen Stand der Technik zu beachten, um jederzeit Datenbestände verlust- und rechtssicher archivieren und wiederher- stellen wie- derherstellen zu können.

Datenschutz und Informationssicherheit. 25.1. Soweit der AN bei der Erbringung der VERTRAGSLEISTUNGEN PERSONENBEZOGENE DATEN personenbezogene Daten verarbeitet, wird er die geltenden Datenschutzvorschriften jederzeit einhalten und die hierzu erforderlichen Handlungen vornehmenbeachten. Der AN wird PERSONENBEZOGENE DATEN personenbezogene Daten ausschließlich zum Zwecke der Erbringung der VERTRAGSLEISTUNGEN verarbeiten und sicherstellen, dass seine Mitarbeiter nur soweit so- weit hierfür erforderlich Zugriff auf die PERSONENBEZOGENEN DATEN personenbezogenen Daten erhalten. Sofern bei der Erbringung der Vertragsleistungen durch den AN PERSONENBEZOGENE DATEN in ein Drittland (au- ßerhalb der EU/EWR) übermittelt werden, ist durch den AN ein angemessenes Datenschutzniveau (ggf. durch den Abschluss von Standardvertragsklauseln zur Drittlandübermittlung) zu gewährleisten. Sofern der AN seinen Sitz in einem unsicheren Drittland (Land außerhalb der EU/EWR oder ohne gültigen und anwendbaren Angemessenheitsbeschluss der Kommission im Sinne des Art. 45 Abs. 3 DSGVO) hat, ist er auf Anfrage des AG zum Abschluss von Standardvertragsklauseln zur Drittlandübermittlung mit dem AG verpflichtet. 25.2. Im Falle der VERARBEITUNG PERSONENBEZOGENER DATEN personenbezogener Daten durch den AN im Auftrag des AG ist – spätestens vor Beginn bevor die Verar- beitung der VERARBEITUNG der PERSONENBEZOGENEN DATEN personenbezogenen Daten beginnt – eine Auftragsverarbeitungsvereinbarung (AVV) abzuschlie- ßen, deren Muster der AG hierfür zur Verfügung stellt. Für den Fall, dass zwischen den PARTEIEN Vertragsparteien eine gemeinsame Verantwortlichkeit besteht, verpflichtet sich der AN mit dem AG eine entsprechende Vereinbarung abzuschließenabzuschlie- ßen, deren Muster der AG hierfür zur Verfügung stellt (Joint Controllership Agreement). 25.3. VERTRAGSLEISTUNGEN müssen die jeweils geltenden datenschutzrechtlichen Vorgaben erfüllen. Sie müssen ins- besondere nach den Grundsätzen von Privacy by Design und Privacy by Default konzipiert, hergestellt konzipiert und konfigu- riert konfiguriert sein. Der AN dokumentiert dies und stellt dem AG die entsprechende Dokumentation zur Verfügung. Diese hat insbes. Angaben zu den Grundsätzen des Datenschutzes und deren Umsetzung, zu Löschmöglichkeiten sowie zu der Umsetzung von Betroffenenrechten zu enthalten. Ziel ist insbesondere, dem AG in Bezug auf die VERTRAGSLEIS- TUNGEN, die zur Erfüllung seiner Rechenschaftspflicht notwendigen Informationen zur Verfügung zu stellen. VER- TRAGSLEISTUNGEN VERTRAGSLEISTUNGEN dürfen insbesondere keine Funktionen enthalten, die eine VERARBEITUNG VERAR- BEITUNG von PERSONENBEZOGENEN DATEN personenbezogenen Daten durch den AN oder durch Dritte ermöglichen (einschließlich sogenannter soge- nannter Calling-Home-Funktionen), es sei denn, dies ist ausdrücklich im VERTRAG vereinbart. 25.4. VERTRAGSLEISTUNGEN müssen so konzipiert und konfiguriert sein, dass der AG bei deren Verwendung seinen datenschutzrechtlichen Pflichten vollumfänglich nachkommen kann. Soweit die VERTRAGSLEISTUNGEN konfigurierbar sind, hat der AN dem AG auch hierfür eine entsprechende Dokumentation zur Verfügung zu stellen; Satz 1 bleibt hiervon unberührt. 25.5. VERTRAGSLEISTUNGEN müssen über ein mindestens dem Stand der Technik entsprechendes IT-Sicherheitsni- veau verfügen. Der AN wird SECURITY-TESTMAßNAHMEN vor und – bei DAUERSCHULDVERHÄXXXXXXXX – während der Er- bringungen Erbringungen der VERTRAGSLEISTUNGEN regelmäßig durchführen und die Ergebnisse dokumentieren. Sobald dem AN Gefährdungen der Informationssicherheit bekannt werden, wird er den AG unverzüglich hierüber in TEXTFORM un- terrichten unterrichten und – in enger Abstimmung mit dem AG und auf eigene Kosten – unverzüglich wirksame Gegenmaßnah- men wirk- same Gegenmaßnahmen einleiten, welche die Erbringung der VERTRAGSLEISTUNGEN nicht einschränken. 25.6. Der AN wird den AG sich vor einer öffentlichen Bekanntgabe von Sicherheitsvorfällen, insbesondere bei Cybersi- cherheitsvorfällen, sowie von IT-Sicherheitsmängeln, die Produkte, Infrastruktur, Services Produkte und/oder DIGITALE PRO- DUKTE Dienstleistungen des AG betreffen können, unverzüglich informierenmit dem AG abstimmen. 25.7. Bei der Sicherung von VW DATEN sind sämtliche Vorkehrungen und Maßnahmen nach dem jeweils aktuellen Stand der Technik zu beachten, um jederzeit Datenbestände verlust- und rechtssicher archivieren und wiederher- stellen wie- derherstellen zu können.

Datenschutz und Informationssicherheit. Soweit 24.1 Der LIEFERANT verpflichtet sich, alle auf ihn anwendbaren datenschutzrechtlichen Bestimmungen, insbesondere die Bestimmungen der AN EU-DSGVO, sofern anwendbar, in der jeweils geltenden Fassung zu beachten und einzuhalten. 24.2 Der LIEFERANT hat alle Mitarbeiter und Unterlieferanten/Unterauftragnehmer nach den einschlägigen datenschutzrechtlichen Bestimmungen zu belehren und gegebenenfalls zur Einhaltung des Datengeheimnisses zu verpflichten. Der LIEFERANT verpflichtet sich, insbesondere auch Maßnahmen zur Gewährleistung des Datenschutzes durch Technik (Privacy by Design) und datenschutzfreundliche Voreinstellungen (Privacy by Default) zu ergreifen. 24.3 Der LIEFERANT verpflichtet sich, PANKL bei datenschutzrelevanten Vorfällen in Zusammenhang mit Lieferungen und/oder Leistungen unter Anwendung dieser Einkaufsbedingungen zu unterstützen. Sofern der Erbringung der VERTRAGSLEISTUNGEN PERSONENBEZOGENE DATEN LIEFERANT personenbezogene Daten von XXXXX als Auftragsverarbeiter verarbeitet, wird tut er die geltenden Datenschutzvorschriften jederzeit einhalten dies ausschließlich nach Maßgabe der Weisungen von PANKL und die hierzu erforderlichen Handlungen vornehmen. erklärt sich bereit, einen separaten Vertrag zur Auftragsdatenverarbeitung gemäß Art 28 Abs 3 EU-DSGVO abzuschließen. 24.4 Der AN wird PERSONENBEZOGENE DATEN ausschließlich zum Zwecke der Erbringung der VERTRAGSLEISTUNGEN verarbeiten und sicherstellenLIEFERANT versichert ausdrücklich, dass seine Mitarbeiter nur soweit hierfür erforderlich Zugriff auf er angemessene technische und organisatorische Maßnahmen und andere Schutzmaßnahmen für die PERSONENBEZOGENEN DATEN erhalten. Sofern bei der Erbringung der Vertragsleistungen durch den AN PERSONENBEZOGENE DATEN in ein Drittland ordnungsgemäße Sicherheit aller Informationen oder Daten von PANKL implementiert und unterhält (au- ßerhalb der EU/EWR) einschließlich, jedoch nicht beschränkt auf, keine vertraulichen Informationen, die dem LIEFERANTEN von PANKL übermittelt werden, ist durch den AN ein angemessenes Datenschutzniveau zu übertragen auf (ggf. durch den Abschluss von Standardvertragsklauseln zur Drittlandübermittlunga) zu gewährleisten. Sofern der AN seinen Sitz in einem unsicheren Drittland jegliche Laptop-Computer oder (Land außerhalb der EU/EWR oder ohne gültigen und anwendbaren Angemessenheitsbeschluss der Kommission im Sinne des Art. 45 Abs. 3 DSGVOb) hat, ist er auf Anfrage des AG zum Abschluss von Standardvertragsklauseln zur Drittlandübermittlung mit dem AG verpflichtet. Im Falle der VERARBEITUNG PERSONENBEZOGENER DATEN durch den AN im Auftrag des AG ist – spätestens vor Beginn der VERARBEITUNG der PERSONENBEZOGENEN DATEN – eine Auftragsverarbeitungsvereinbarung (AVV) abzuschlie- ßen, deren Muster der AG hierfür zur Verfügung stellt. Für den Fall, dass zwischen den PARTEIEN eine gemeinsame Verantwortlichkeit besteht, verpflichtet sich der AN mit dem AG eine entsprechende Vereinbarung abzuschließen, deren Muster der AG hierfür zur Verfügung stellt (Joint Controllership Agreement). VERTRAGSLEISTUNGEN müssen die jeweils geltenden datenschutzrechtlichen Vorgaben erfüllen. Sie müssen ins- besondere nach den Grundsätzen von Privacy by Design und Privacy by Default konzipiert, hergestellt und konfigu- riert sein. Der AN dokumentiert dies und stellt dem AG die entsprechende Dokumentation zur Verfügung. Diese hat insbes. Angaben zu den Grundsätzen des Datenschutzes und deren Umsetzung, zu Löschmöglichkeiten sowie zu der Umsetzung von Betroffenenrechten zu enthalten. Ziel ist insbesondere, dem AG in Bezug auf die VERTRAGSLEIS- TUNGENjegliche tragbaren Speichermedien, die zur Erfüllung seiner Rechenschaftspflicht notwendigen Informationen zur Verfügung zu stellen. VER- TRAGSLEISTUNGEN dürfen insbesondere keine Funktionen enthalten, die eine VERARBEITUNG von PERSONENBEZOGENEN DATEN durch aus den AN oder durch Dritte ermöglichen (einschließlich sogenannter Calling-Home-Funktionen)Räumlichkeiten des LIEFERANTEN entfernt werden können, es sei denn, dies ist ausdrücklich dass diese Daten verschlüsselt worden sind und diese Daten ausschließlich auf das tragbare Speichermedium geladen werden, um diese Daten außerhalb der Räumlichkeiten extern zu lagern. 24.5 Der LIEFERANT unternimmt wirtschaftlich angemessene Anstrengungen, um Kennwortdiebstahl oder - Verlust oder unbefugten Zugriff oder unbefugte Nutzung von Daten oder Informationen von PANKL zu verhindern, und der LIEFERANT benachrichtigt PANKL unverzüglich über jede Art von Kennwortdiebstahl oder -Verlust oder unbefugten Zugriff oder unbefugte Nutzung von Daten oder Informationen von PANKL. Der LIEFERANT wird Sicherheitsmaßnahmen und physikalische Sicherheitsverfahren in Bezug auf den Zugang und die Geheimhaltung vertraulicher Informationen und Daten von PANKL durchführen, die (im VERTRAG vereinbart) mindestens den Industriestandards für solche Standorte entsprechen und (ii) die einen angemessenen technischen und organisatorischen Schutz gegen unbeabsichtigten oder rechtswidrigen, Verlust, Veränderung oder unbefugte Offenlegung oder Zugang zu vertraulichen Informationen oder Daten von PANKL gewährleisten. VERTRAGSLEISTUNGEN müssen so konzipiert und konfiguriert seinDer LIEFERANT versichert, dass er Prozesse und Sicherheitsverfahren hat, um sicherzustellen, dass seine Informationssysteme frei von Viren und ähnlichen Mängeln sind. 24.6 Der LIEFERANT verpflichtet sich, PANKL so schnell wie möglich über einen Cyber-Sicherheits-Vorfall, der AG bei deren Verwendung seinen datenschutzrechtlichen Pflichten vollumfänglich nachkommen kannden Zugang zu Daten oder Informationen von PANKL betrifft, zu informieren, in jedem Fall aber innerhalb von vierundzwanzig (24) Stunden, nachdem der LIEFERANT den Cyber-Sicherheits-Vorfall entdeckt hat. Soweit die VERTRAGSLEISTUNGEN konfigurierbar sind, hat der AN dem AG auch hierfür eine entsprechende Dokumentation Der LIEFERANT wird PANKL in diesem Zusammenhang alle relevanten Informationen zur Verfügung stellen und alle wirtschaftlich angemessenen Anstrengungen anstellen, um die Auswirkungen möglichst gering zu stellen; Satz 1 bleibt hiervon unberührt. VERTRAGSLEISTUNGEN müssen über ein mindestens dem Stand der Technik entsprechendes IThalten sowie das Risiko für den Eintritt zukünftiger Cyber-Sicherheitsni- veau verfügen. Sicherheits-Vorfälle so weit wie möglich zu minimieren. 24.7 Der AN wird SECURITY-TESTMAßNAHMEN vor und – bei DAUERSCHULDVERHÄXXXXXXXX – während der Er- bringungen der VERTRAGSLEISTUNGEN regelmäßig durchführen und die Ergebnisse dokumentieren. Sobald dem AN Gefährdungen der Informationssicherheit bekannt werdenLIEFERANT ist verpflichtet, wird er den AG unverzüglich hierüber PANKL in TEXTFORM un- terrichten und – in enger Abstimmung mit dem AG und Bezug auf eigene Kosten – unverzüglich wirksame Gegenmaßnah- men einleiten, welche die Erbringung der VERTRAGSLEISTUNGEN nicht einschränken. Der AN wird den AG vor einer öffentlichen Bekanntgabe von Sicherheitsvorfällenjegliche Haftungsfälle, insbesondere bei Cybersi- cherheitsvorfällenVerluste und Schäden, sowie aufgrund von ITInformations- oder Cyber-SicherheitsmängelnSicherheits-Vorfällen des Informationssystems des LIEFERANTEN, freizustellen und schadlos zu halten. Verspätete Zahlungen, die Produkte, Infrastruktur, Services durch einen Cyber- Sicherheits-Vorfall des Systems des LIEFERANTEN bedingt sind und Lieferungen und/oder DIGITALE PRO- DUKTE Leistungen des AG betreffen könnenLIEFERANTEN betreffen, unverzüglich informieren. Bei begründen keinen Zahlungsverzug. 24.8 PANKL hat das Recht, einen Nachweis über ein – je nach Art und Schutzbedarf der Sicherung von VW DATEN sind sämtliche Vorkehrungen Daten – angemessenes Informationssicherheitsniveau im Betrieb des LIEFERANTEN zu verlangen und Maßnahmen gegebenenfalls den LIEFERANTEN nach dem jeweils aktuellen Stand angemessener Vorankündigung vor Ort hinsichtlich der Technik Einhaltung des geforderten Sicherheitsniveaus zu beachten, um jederzeit Datenbestände verlust- und rechtssicher archivieren und wiederher- stellen zu könnenauditieren.

Datenschutz und Informationssicherheit. Soweit 24.1 Der LIEFERANT verpflichtet sich, alle auf ihn anwendbaren datenschutzrechtlichen Bestimmungen, insbesondere die Bestimmungen der AN EU-DSGVO, sofern anwendbar, in der jeweils geltenden Fassung zu beachten und einzuhalten. 24.2 Der LIEFERANT hat alle Mitarbeiter und Unterlieferanten/Unterauftragnehmer nach den einschlägigen datenschutzrechtlichen Bestimmungen zu belehren und gegebenenfalls zur Einhaltung des Datengeheimnisses zu verpflichten. Der LIEFERANT verpflichtet sich, insbesondere auch Maßnahmen zur Gewährleistung des Datenschutzes durch Technik (Privacy by Design) und datenschutzfreundliche Voreinstellungen (Privacy by Default) zu ergreifen. 24.3 Der LIEFERANT verpflichtet sich, ABATEC bei datenschutzrelevanten Vorfällen in Zusammenhang mit Lieferungen und/oder Leistungen unter Anwendung dieser Einkaufsbedingungen zu unterstützen. Sofern der Erbringung der VERTRAGSLEISTUNGEN PERSONENBEZOGENE DATEN LIEFERANT personenbezogene Daten von XXXXXX als Auftragsverarbeiter verarbeitet, wird tut er die geltenden Datenschutzvorschriften jederzeit einhalten dies ausschließlich nach Maßgabe der Weisungen von ABATEC und die hierzu erforderlichen Handlungen vornehmen. erklärt sich bereit, einen separaten Vertrag zur Auftragsdaten- verarbeitung gemäß Art 28 Abs 3 EU-DSGVO abzuschließen. 24.4 Der AN wird PERSONENBEZOGENE DATEN ausschließlich zum Zwecke der Erbringung der VERTRAGSLEISTUNGEN verarbeiten und sicherstellenLIEFERANT versichert ausdrücklich, dass seine Mitarbeiter nur soweit hierfür erforderlich Zugriff auf er angemessene technische und organisatorische Maßnahmen und andere Schutzmaßnahmen für die PERSONENBEZOGENEN DATEN erhalten. Sofern bei der Erbringung der Vertragsleistungen durch den AN PERSONENBEZOGENE DATEN in ein Drittland ordnungsgemäße Sicherheit aller Informationen oder Daten von ABATEC implementiert und unterhält (au- ßerhalb der EU/EWR) einschließlich, jedoch nicht beschränkt auf, keine vertraulichen Informationen, die dem LIEFERANTEN von ABATEC übermittelt werden, ist durch den AN ein angemessenes Datenschutzniveau zu übertragen auf (ggf. durch den Abschluss von Standardvertragsklauseln zur Drittlandübermittlunga) zu gewährleisten. Sofern der AN seinen Sitz in einem unsicheren Drittland jegliche Laptop- Computer oder (Land außerhalb der EU/EWR oder ohne gültigen und anwendbaren Angemessenheitsbeschluss der Kommission im Sinne des Art. 45 Abs. 3 DSGVOb) hat, ist er auf Anfrage des AG zum Abschluss von Standardvertragsklauseln zur Drittlandübermittlung mit dem AG verpflichtet. Im Falle der VERARBEITUNG PERSONENBEZOGENER DATEN durch den AN im Auftrag des AG ist – spätestens vor Beginn der VERARBEITUNG der PERSONENBEZOGENEN DATEN – eine Auftragsverarbeitungsvereinbarung (AVV) abzuschlie- ßen, deren Muster der AG hierfür zur Verfügung stellt. Für den Fall, dass zwischen den PARTEIEN eine gemeinsame Verantwortlichkeit besteht, verpflichtet sich der AN mit dem AG eine entsprechende Vereinbarung abzuschließen, deren Muster der AG hierfür zur Verfügung stellt (Joint Controllership Agreement). VERTRAGSLEISTUNGEN müssen die jeweils geltenden datenschutzrechtlichen Vorgaben erfüllen. Sie müssen ins- besondere nach den Grundsätzen von Privacy by Design und Privacy by Default konzipiert, hergestellt und konfigu- riert sein. Der AN dokumentiert dies und stellt dem AG die entsprechende Dokumentation zur Verfügung. Diese hat insbes. Angaben zu den Grundsätzen des Datenschutzes und deren Umsetzung, zu Löschmöglichkeiten sowie zu der Umsetzung von Betroffenenrechten zu enthalten. Ziel ist insbesondere, dem AG in Bezug auf die VERTRAGSLEIS- TUNGENjegliche tragbaren Speichermedien, die zur Erfüllung seiner Rechenschaftspflicht notwendigen Informationen zur Verfügung zu stellen. VER- TRAGSLEISTUNGEN dürfen insbesondere keine Funktionen enthalten, die eine VERARBEITUNG von PERSONENBEZOGENEN DATEN durch aus den AN oder durch Dritte ermöglichen (einschließlich sogenannter Calling-Home-Funktionen)Räumlichkeiten des LIEFERANTEN entfernt werden können, es sei denn, dies ist ausdrücklich dass diese Daten verschlüsselt worden sind und diese Daten ausschließlich auf das tragbare Speichermedium geladen werden, um diese Daten außerhalb der Räumlichkeiten extern zu lagern. 24.5 Der LIEFERANT unternimmt wirtschaftlich angemessene Anstrengungen, um Kennwortdiebstahl oder -Verlust oder unbefugten Zugriff oder unbefugte Nutzung von Daten oder Informationen von ABATEC zu verhindern, und der LIEFERANT benachrichtigt ABATEC unverzüglich über jede Art von Kennwortdiebstahl oder -Verlust oder unbefugten Zugriff oder unbefugte Nutzung von Daten oder Informationen von ABATEC. Der LIEFERANT wird Sicherheitsmaßnahmen und physikalische Sicherheitsverfahren in Bezug auf den Zugang und die Geheimhaltung vertraulicher Informationen und Daten von ABATEC durchführen, die (im VERTRAG vereinbart) mindestens den Industriestandards für solche Standorte entsprechen und (ii) die einen angemessenen technischen und organisatorischen Schutz gegen unbeabsichtigten oder rechtswidrigen, Verlust, Veränderung oder unbefugte Offenlegung oder Zugang zu vertraulichen Informationen oder Daten von ABATEC gewährleisten. VERTRAGSLEISTUNGEN müssen so konzipiert und konfiguriert seinDer LIEFERANT versichert, dass er Prozesse und Sicherheitsverfahren hat, um sicherzustellen, dass seine Informationssysteme frei von Viren und ähnlichen Mängeln sind. 24.6 Der LIEFERANT verpflichtet sich, ABATEC so schnell wie möglich über einen Cyber-Sicherheits-Vorfall, der AG bei deren Verwendung seinen datenschutzrechtlichen Pflichten vollumfänglich nachkommen kannden Zugang zu Daten oder Informationen von ABATEC betrifft, zu informieren, in jedem Fall aber innerhalb von vierundzwanzig (24) Stunden, nachdem der LIEFERANT den Cyber-Sicherheits-Vorfall entdeckt hat. Soweit die VERTRAGSLEISTUNGEN konfigurierbar sind, hat der AN dem AG auch hierfür eine entsprechende Dokumentation Der LIEFERANT wird ABATEC in diesem Zusammenhang alle relevanten Informationen zur Verfügung stellen und alle wirtschaftlich angemessenen Anstrengungen anstellen, um die Auswirkungen möglichst gering zu stellen; Satz 1 bleibt hiervon unberührt. VERTRAGSLEISTUNGEN müssen über ein mindestens dem Stand der Technik entsprechendes IThalten sowie das Risiko für den Eintritt zukünftiger Cyber-Sicherheitsni- veau verfügen. Sicherheits-Vorfälle so weit wie möglich zu minimieren. 24.7 Der AN wird SECURITY-TESTMAßNAHMEN vor und – bei DAUERSCHULDVERHÄXXXXXXXX – während der Er- bringungen der VERTRAGSLEISTUNGEN regelmäßig durchführen und die Ergebnisse dokumentieren. Sobald dem AN Gefährdungen der Informationssicherheit bekannt werdenLIEFERANT ist verpflichtet, wird er den AG unverzüglich hierüber ABATEC in TEXTFORM un- terrichten und – in enger Abstimmung mit dem AG und Bezug auf eigene Kosten – unverzüglich wirksame Gegenmaßnah- men einleiten, welche die Erbringung der VERTRAGSLEISTUNGEN nicht einschränken. Der AN wird den AG vor einer öffentlichen Bekanntgabe von Sicherheitsvorfällenjegliche Haftungsfälle, insbesondere bei Cybersi- cherheitsvorfällenVerluste und Schäden, sowie aufgrund von ITInformations- oder Cyber-SicherheitsmängelnSicherheits-Vorfällen des Informationssystems des LIEFERANTEN, freizustellen und schadlos zu halten. Verspätete Zahlungen, die Produkte, Infrastruktur, Services durch einen Cyber- Sicherheits-Vorfall des Systems des LIEFERANTEN bedingt sind und Lieferungen und/oder DIGITALE PRO- DUKTE Leistungen des AG betreffen könnenLIEFERANTEN betreffen, unverzüglich informieren. Bei begründen keinen Zahlungsverzug. 24.8 ABATEC hat das Recht, einen Nachweis über ein – je nach Art und Schutzbedarf der Sicherung von VW DATEN sind sämtliche Vorkehrungen Daten – angemessenes Informations- sicherheitsniveau im Betrieb des LIEFERANTEN zu verlangen und Maßnahmen gegebenenfalls den LIEFERANTEN nach dem jeweils aktuellen Stand angemessener Vorankündigung vor Ort hinsichtlich der Technik Einhaltung des geforderten Sicherheitsniveaus zu beachten, um jederzeit Datenbestände verlust- und rechtssicher archivieren und wiederher- stellen zu könnenauditieren.

Datenschutz und Informationssicherheit. Soweit der AN bei der Erbringung der VERTRAGSLEISTUNGEN PERSONENBEZOGENE DATEN verarbeitet, wird er die geltenden Datenschutzvorschriften jederzeit einhalten Der Datenschutz und die hierzu erforderlichen Handlungen vornehmenInformationssicherheit nehmen bei den Unternehmen des KVV-Konzerns einen hohen Stellen- wert ein. Bei der Verarbeitung von Daten und Informationen ist stets die Vertraulichkeit, Integrität und Verfügbarkeit dieser Daten und Informationen sicherzustellen. Der AN wird PERSONENBEZOGENE DATEN ausschließlich zum Zwecke Auftragnehmer hält sämtliche für das jeweilige Vertragsverhältnis einschlägige datenschutzrechtliche Vorschriften (insbesondere solche aus der Erbringung europäischen Datenschutzgrundverordnung DSGVO und dem Bundesdatenschutzgesetz BDSG-neu) in der VERTRAGSLEISTUNGEN verarbeiten jeweils geltenden Fassung ein. Der Auftragnehmer belehrt alle Beschäftigten nach den einschlägigen datenschutzrechtlichen Bestimmungen und sicherstellengibt Informationen nur an solche Mitarbeiter weiter, dass seine Mitarbeiter nur soweit hierfür erforderlich Zugriff die die Informationen zur Erreichung des Vertragszwecks zwingend benötigen und entsprechend zur Geheimhaltung verpflichtet sind. Subunter- nehmer und Berater sowie sonstige Dritte des Auftragnehmers sind durch diesen entsprechend zu verpflichten. Der Auftragnehmer ist verpflichtet, unaufgefordert nach Vertragserfüllung oder Vertragsbeendigung bzw. jederzeit auf Anforderung des Auftraggebers alle Unterlagen einschließlich sämtlicher davon gefertigter Kopien, Abschriften, Aufzeich- nungen auf Datenträgern und sonstigen Vervielfältigungen nach Xxxx des Auftraggebers unverzüglich unmittelbar an ihn herauszugeben oder zu vernichten bzw. zu löschen. Die Geltendmachung eines Zurückbehaltungsrechts an diesen Unter- lagen ist ausgeschlossen. Die Verpflichtung gilt nicht für routinemäßig angefertigte Sicherungskopien des elektronischen Datenverkehrs oder sofern und solange nach zwingendem Recht Aufbewahrungspflichten oder wenn sonstige rechtliche Erfordernisse bestehen. Der Auftragnehmer hat dem Auftraggeber nach Aufforderung die PERSONENBEZOGENEN DATEN erhaltenVernichtung oder Löschung schriftlich zu bestätigen. Sofern bei der Erbringung der Vertragsleistungen durch den AN PERSONENBEZOGENE DATEN in ein Drittland Soweit nicht ausdrücklich anders vereinbart bzw. nicht typischerweise vom Auftrag umfasst (au- ßerhalb der EU/EWR) übermittelt werdenz. B. Gutachten, Planun- gen u. ä.), ist durch Fotografieren und Filmen auf dem Gelände und in den AN ein angemessenes Datenschutzniveau (ggfObjekten des Auftraggebers sowie auf bzw. durch den Abschluss in von Standardvertragsklauseln zur Drittlandübermittlung) zu gewährleisten. Sofern der AN diesem eingerichteten Baustellen, Haltestellen oder Fahrzeugen sowie jegliche Veröffentlichung zum Vertrag und seinen Sitz in einem unsicheren Drittland (Land außerhalb der EU/EWR oder ohne gültigen und anwendbaren Angemessenheitsbeschluss der Kommission im Sinne des Art. 45 Abs. 3 DSGVO) hat, ist er auf Anfrage des AG zum Abschluss von Standardvertragsklauseln zur Drittlandübermittlung mit dem AG verpflichtet. Im Falle der VERARBEITUNG PERSONENBEZOGENER DATEN durch den AN im Auftrag des AG ist – spätestens vor Beginn der VERARBEITUNG der PERSONENBEZOGENEN DATEN – eine Auftragsverarbeitungsvereinbarung (AVV) abzuschlie- ßen, deren Muster der AG hierfür zur Verfügung stellt. Für den Fall, dass zwischen den PARTEIEN eine gemeinsame Verantwortlichkeit besteht, verpflichtet sich der AN mit dem AG eine entsprechende Vereinbarung abzuschließen, deren Muster der AG hierfür zur Verfügung stellt (Joint Controllership Agreement). VERTRAGSLEISTUNGEN müssen die jeweils geltenden datenschutzrechtlichen Vorgaben erfüllen. Sie müssen ins- besondere nach den Grundsätzen von Privacy by Design und Privacy by Default konzipiert, hergestellt und konfigu- riert seinInhalten untersagt. Der AN dokumentiert dies Auftragnehmer meldet unaufgefordert und stellt unverzüglich bekannt gewordene Datenschutz- und Informationssicher- heitsvorfälle, sicherheitsrelevante Ereignisse und Schwachstellen, welche Auswirkungen auf den Datenschutz oder die Informationssicherheit der Unternehmen des KVV-Konzerns haben oder haben könnten. Der Auftragnehmer gestattet dem AG die entsprechende Dokumentation zur Verfügung. Diese hat insbes. Angaben zu den Grundsätzen des Datenschutzes und deren Umsetzung, zu Löschmöglichkeiten sowie zu der Umsetzung von Betroffenenrechten zu enthalten. Ziel ist insbesondere, dem AG in Bezug auf die VERTRAGSLEIS- TUNGENAuftraggeber, die zur Erfüllung seiner Rechenschaftspflicht notwendigen Informationen zur Verfügung Einhaltung der Datenschutzvorgaben und der Informationssicherheit beim Auftragnehmer angemessen zu stellen. VER- TRAGSLEISTUNGEN dürfen insbesondere keine Funktionen enthalten, die eine VERARBEITUNG von PERSONENBEZOGENEN DATEN durch den AN prüfen oder durch geeignete Dritte ermöglichen (einschließlich sogenannter Calling-Home-Funktionen), es sei denn, dies ist ausdrücklich im VERTRAG vereinbartprüfen zu lassen. VERTRAGSLEISTUNGEN müssen so konzipiert und konfiguriert sein, dass der AG bei deren Verwendung seinen datenschutzrechtlichen Pflichten vollumfänglich nachkommen kann. Soweit die VERTRAGSLEISTUNGEN konfigurierbar sind, hat der AN dem AG auch hierfür eine entsprechende Dokumentation zur Verfügung zu stellen; Satz 1 bleibt hiervon unberührt. VERTRAGSLEISTUNGEN müssen über ein mindestens dem Stand der Technik entsprechendes IT-Sicherheitsni- veau verfügen. Der AN wird SECURITY-TESTMAßNAHMEN vor und – bei DAUERSCHULDVERHÄXXXXXXXX – während der Er- bringungen der VERTRAGSLEISTUNGEN regelmäßig durchführen und die Ergebnisse dokumentieren. Sobald dem AN Gefährdungen der Informationssicherheit bekannt werden, wird er den AG unverzüglich hierüber Die Überprüfung erfolgt in TEXTFORM un- terrichten und – in enger Abstimmung mit dem AG und auf eigene Kosten – unverzüglich wirksame Gegenmaßnah- men einleitenAuftragnehmer, welche der die Erbringung der VERTRAGSLEISTUNGEN nicht einschränken. Der AN wird den AG vor einer öffentlichen Bekanntgabe von Sicherheitsvorfällen, insbesondere bei Cybersi- cherheitsvorfällen, sowie von IT-Sicherheitsmängeln, die Produkte, Infrastruktur, Services und/oder DIGITALE PRO- DUKTE des AG betreffen können, unverzüglich informieren. Bei der Sicherung von VW DATEN sind sämtliche Vorkehrungen und Maßnahmen nach dem jeweils aktuellen Stand der Technik zu beachten, um jederzeit Datenbestände verlust- und rechtssicher archivieren und wiederher- stellen zu könnenerforderliche Hilfestellung gewährleistet.