Anlage D — Datenschutz, Informationssicherheit und Cybersecurity

1. Diese Anlage D definiert Anforderungen an Datenschutz, Informationssicherheit und Cybersecurity für Auftragnehmer, die im Rahmen von Bestellungen, Projekten oder Leistungen Daten, Informationen, Systeme, Software, Schnittstellen, Fernzugänge oder Dokumente von oder für DubbeDynamics verarbeiten oder nutzen.

2. Sie gilt ergänzend zu Geheimhaltungsvereinbarungen, Datenschutzvereinbarungen, Auftragsverarbeitungsverträgen, technischen Spezifikationen, IT-Sicherheitsvorgaben und den Allgemeinen Einkaufsbedingungen von DubbeDynamics.

3. Der Auftragnehmer hat Sicherheitsmaßnahmen zu treffen, die Art, Umfang, Risiko und Schutzbedarf der verarbeiteten Informationen und Systeme angemessen berücksichtigen.

1. Der Auftragnehmer hat alle anwendbaren Datenschutzvorschriften einzuhalten, insbesondere die Datenschutz-Grundverordnung und das Bundesdatenschutzgesetz, soweit personenbezogene Daten verarbeitet werden.

2. Verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag von DubbeDynamics, ist vor Beginn der Verarbeitung eine erforderliche Vereinbarung zur Auftragsverarbeitung oder eine sonstige datenschutzrechtliche Vereinbarung abzuschließen.

3. Der Auftragnehmer darf personenbezogene Daten nur für den vertraglich vorgesehenen Zweck, nur im erforderlichen Umfang und nur nach dokumentierten Weisungen verarbeiten, sofern eine Auftragsverarbeitung vorliegt.

1. Der Auftragnehmer hat technische und organisatorische Maßnahmen zum Schutz vertraulicher Informationen, technischer Daten, Zeichnungen, Spezifikationen, Zugangsdaten, personenbezogener Daten, Software und Projektdokumentation umzusetzen.

2. Die Maßnahmen müssen insbesondere Schutz gegen unbefugten Zugriff, Verlust, Veränderung, Offenlegung, Manipulation, Malware, Phishing, Social Engineering, unsichere Fernzugänge und unkontrollierte Weitergabe gewährleisten.

3. Zugriffsrechte sind nach dem Need-to-know-Prinzip zu vergeben, regelmäßig zu überprüfen und bei Wegfall der Erforderlichkeit unverzüglich zu entziehen.

1. Fernzugriffe auf Systeme von DubbeDynamics oder deren Kunden sind nur mit vorheriger Zustimmung und nach den hierfür festgelegten Sicherheitsanforderungen zulässig.

2. Der Auftragnehmer hat sicherzustellen, dass eingesetzte Software, Skripte, Makros, Datenträger, Dateien und digitale Liefergegenstände frei von bekannter Malware sind und keine bewusst eingebauten Hintertüren, unzulässigen Telemetrie-, Kopier- oder Zugriffsfunktionen enthalten.

3. Standardpasswörter, unsichere Konten, nicht dokumentierte Administratorzugänge oder ungeschützte Schnittstellen sind vor Lieferung, Inbetriebnahme oder Übergabe zu beseitigen oder ausdrücklich offen zu legen, soweit eine Beseitigung technisch nicht möglich ist.

1. Der Auftragnehmer hat tatsächliche oder vermutete Sicherheitsvorfälle, Datenschutzverletzungen, unbefugte Zugriffe, Datenverluste, Malware-Infektionen, kompromittierte Zugangsdaten oder sonstige Ereignisse, die Daten, Systeme oder Projekte von DubbeDynamics betreffen können, unverzüglich zu melden.

2. Die Meldung hat alle verfügbaren Informationen zu Art, Umfang, betroffenen Daten, betroffenen Systemen, Zeitpunkt, Ursache, bereits ergriffenen Maßnahmen und weiteren Abhilfeschritten zu enthalten.

3. Der Auftragnehmer hat bei Untersuchung, Eindämmung, Wiederherstellung, Dokumentation, Mitteilung an Betroffene oder Behörden und Vermeidung weiterer Schäden angemessen mitzuwirken.

1. Vertrauliche Informationen und personenbezogene Daten von DubbeDynamics dürfen nur auf ausreichend geschützten Systemen verarbeitet und gespeichert werden. Eine Übermittlung in Drittstaaten darf nur erfolgen, wenn die datenschutz- und sicherheitsrechtlichen Voraussetzungen erfüllt sind.

2. Der Einsatz von Cloud-Diensten, externen Plattformen, KI-Systemen, Übersetzungsdiensten oder sonstigen Drittanwendungen für vertrauliche Informationen von DubbeDynamics bedarf einer angemessenen rechtlichen und sicherheitstechnischen Grundlage.

3. Unterauftragnehmer, die Zugriff auf Daten oder Systeme erhalten, sind in gleichem Umfang zur Vertraulichkeit, Datenschutz- und Informationssicherheit zu verpflichten.

1. DubbeDynamics kann angemessene Nachweise zu Datenschutz, Informationssicherheit und Cybersecurity verlangen, insbesondere Sicherheitskonzepte, Zertifizierungen, Richtlinien, technische Beschreibungen oder Bestätigungen des Auftragnehmers.

2. Bei erheblichen Sicherheitsmängeln oder Sicherheitsvorfällen ist DubbeDynamics berechtigt, Leistungen auszusetzen, zusätzliche Schutzmaßnahmen zu verlangen oder den Vertrag aus wichtigem Grund zu kündigen, soweit ein Festhalten am Vertrag unzumutbar ist.

3. Der Auftragnehmer haftet für Schäden, Kosten, Bußgelder und Ansprüche, die durch schuldhafte Verstöße gegen Datenschutz-, Informationssicherheits- oder Cybersecuritypflichten entstehen.

Zugriff: Need-to-know, starke Passwörter, MFA soweit angemessen. Projektkritische Zugänge besonders schützen.

Malware-Schutz: aktuelle Schutzmaßnahmen und Patchmanagement. Digitale Lieferobjekte prüfen.

Datenübermittlung: gesicherte Übertragung, keine unkontrollierten Freigaben. Cloud-/KI-Nutzung prüfen.

Vorfallmeldung: unverzügliche Meldung und Mitwirkung. Details nach Verfügbarkeit nachreichen.

Unterauftragnehmer: gleichwertige Verpflichtung. Zugriffe begrenzen.