Spezifische datenschutzrechtliche Anforderungen. Der mit dem SSLA vereinbarte IT-Grundschutzkonforme Betrieb behandelt die Grundwerte der Informa- tionssicherheit (Vertraulichkeit, Verfügbarkeit, Integrität). Der unter Kapitel 2 aufgeführte Leistungsum- fang ist grundsätzlich geeignet, die Sicherheitsanforderungen sowie ihren Umsetzungsstand in geeig- neter Form nachzuweisen und damit einen wesentlichen Beitrag zur Erfüllung datenschutzrechtlichen Anforderungen zu leisten. Der alleinige Abschluss des SSLAs ist jedoch nicht ausreichend, um alle da- tenschutzrechtlichen Verpflichtungen des Verantwortlichen (des Auftraggebers) zu erfüllen. Abde- ckungslücken können sich insbesondere aus spezifischen datenschutzrechtlichen Dokumentations- und Meldepflichten sowie der Gewährleistung der Grundsätze für die Verarbeitung personenbezogener Da- ten, wie z. B. der Datenminimierung und der Zweckbindung, ergeben. Die Umsetzungsverantwortung dafür liegt beim Verantwortlichen und geht im Zuge der Auftragsverar- beitung nicht auf den Auftragsverarbeiter (Auftragnehmer) über. Besondere Sicherheits- oder Doku- mentationsanforderungen, die sich aus solchen spezifisch datenschutzrechtlichen Anforderungen erge- ben, sind - soweit nicht an anderer Stelle im EVB-IT-Vertrag berücksichtigt - gesondert zu beauftragen.
Spezifische datenschutzrechtliche Anforderungen. Der mit dem SSLA vereinbarte IT-Grundschutzkonforme Betrieb für das Fachverfahren bzw. die Infra- struktur behandelt die Grundwerte der Informationssicherheit (Vertraulichkeit, Verfügbarkeit, Integrität). Der alleinige Abschluss des SSLAs ist nicht ausreichend, um alle datenschutzrechtlichen Verpflichtun- gen der datenverarbeitenden Stelle (Auftraggeber) zu erfüllen. Abdeckungslücken können sich insbe- sondere bei datenschutzrechtlichen Maßnahmen- und Kontrollzielen wie z. B. Transparenz, Nicht- Verkettbarkeit, Intervenierbarkeit7, Authentizität und Revisionsfähigkeit, bei datenschutzrechtlichen Dokumentations- und Meldepflichten8 sowie der Gewährleistung der Datenschutzgrundsätze wie der Datenvermeidung und Datensparsamkeit ergeben. Die datenschutzrechtliche Verantwortung für die benötigten technischen und organisatorischen Maß- nahmen liegt bei der datenverarbeitenden Stelle und geht im Zuge der Auftragsdatenverarbeitung nicht auf den Auftragnehmer über. Der unter Kapitel 2 aufgeführte Leistungsumfang ist geeignet, im Sinne einer Zuarbeit für das Datenschutzkonzept des Auftraggebers, einen wesentlichen Beitrag zur Erfüllung der datenschutzrechtlichen Anforderungen an Planung, Dokumentation und Umsetzung von techni- schen und organisatorischen Maßnahmen zur Daten- bzw. Informationssicherheit beim Auftraggeber zu leisten.9 Besondere Maßnahmen- oder Dokumentationsanforderungen, die sich aus spezifischen da- tenschutzrechtlichen Anforderungen ergeben, sind - soweit nicht an anderer Stelle im EVB-IT-Vertrag berücksichtigt10 - gesondert zu beauftragen.