Planen Unternehmen Online-Befragungen, wie Mitarbeiter- oder Kundenumfragen, bei denen personenbezogene Daten durch einen externen Dienstleister oder mit Hilfe eines Online-Umfrage-Tools erhoben oder verarbeitet werden, muss ein Vertrag zur Auftragsdatenverarbeitung abgeschlossen werden. Für mehr Sicherheit und Datenschutz bietet LamaPoll daher seinen Kunden ein ADV-Vertragsmuster zum Downloaden an. Der kommentierte Mustervertrag hilft, erste Fragen beim Ausfüllen zu beantworten. (ADV-Vertrag downloaden: https://www.lamapoll.de/cms/files/files/ADV%20Vertrag%20-%20LamaPoll%202016.pdf)

1. ADV-Vertrag
Mehr Sicherheit für Ihre
Online-Befragungen
Kommentierter Mustervertrag
Wie Sie Ihren ADV-Vertrag richtig ausfüllen.

2. ADV-VERTRAG
Das Deckblatt
• Geben Sie hier Ihre Firmen-Kontakt-
daten sowie den Unternehmensnamen
an.
Vertrag zur
Auftragsdatenverarbeitung
gemäß § 11 BDSG
zwischen
LamaPoll
Langner Maibaum Notev GbR
Prenzlauer Allee 36 G , 10405 Berlin
www.lamapoll.de
- nachstehend Auftragnehmer genannt -
und dem / der
………………………………………………………………………………………………………………………………………………
………………………………………………………………………………………………………………………………………………
………………………………………………………………………………………………………………………………………………
- nachstehend Auftraggeber genannt -
1

3. ADV-VERTRAG
Erster Teil
Regelt Umfang, Zweck, Pflichten und Rechte
• Geben Sie an, welche Art von Auftrag Sie
durchführen wollen.
• Da es sich bei LamaPoll um ein Online-Be-
fragungstool handelt, umreißen Sie hier die Art
der Befragung sowie die Dauer des Auftrages.
1. Gegenstand und Dauer des Auftrags
Gegenstand des Auftrags
Gegenstand des Auftrags zum Datenumgang ist die Durchführung folgender Aufgaben
(Beispiel: Durchführung von online Umfragen): (Bitte ausfüllen)
………………………………………………………………………………………………………………………………………………………..
………………………………………………………………………………………………………………………………………………………..
Dauer des Auftrags
Der Auftrag ist unbefristet erteilt und kann von beiden Parteien mit einer Frist von 3 Tagen zum Ende
der aktuellen Tarifeinheit (je nach Monats- oder Jahrestarif) gekündigt werden. Die Möglichkeit zur
fristlosen Kündigung bleibt hiervon unberührt.
2. Konkretisierung des Auftragsinhalts
Umfang, Art und Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von
Daten
Die Verarbeitung und Nutzung der Daten findet ausschließlich im Gebiet der Bundesrepublik
Deutschland statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des
Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der §§ 4b, 4c BDSG erfüllt
sind.
Art der Daten
1. Auftragnehmer
Grundsätzlich sind alle Umfragen bei LamaPoll anonym. Es werden seitens LamaPoll keine
personenbezogenen Daten erhoben oder verarbeitet, es sei denn der Auftraggeber erfragt
personenbezogene Daten im Fragebogen oder lädt personenbezogene Daten in das Adressbuch
der Umfragen hoch.
2. Auftraggeber
Umfang, Art und Zweck der vorgesehenen Erhebung, sowie Verarbeitung und Nutzung von
personenbezogenen Daten durch den Auftraggeber: (Bitte ankreuzen oder ergänzen)
o Kontakt- & Adressdaten (Name, E-Mail-Adresse, Anschrift, etc.)
o Personalstammdaten
o Besondere Arten personenbezogener Daten i. S. d. § 3 (9) BDSG
o ……………………………………………………………..
o ……………………………………………………………..
o ……………………………………………………………..
2

4. ADV-VERTRAG
Erster Teil
• Tragen Sie ein, welcher Personenkreis
von den personenbezogenen Daten be-
troffen ist.
Kreis der Betroffenen
Der Kreis der durch den Umgang ihrer personenbezogenen Daten im Rahmen dieses Auftrags
Betroffenen ist: (Bitte ankreuzen oder ergänzen)
o Kunden
o Beschäftigte i. S. d. § 3 Abs. 11 BDSG
o Geschäftspartner
o …………………………..
o …………………………..
3. Technisch-organisatorische Maßnahmen
Der Auftragnehmer hat die im Vorfeld der Auftragsvergabe dargelegten technischen und
organisatorischen umgesetzten Maßnahmen vor Beginn der Verarbeitung zu dokumentieren und dem
Auftraggeber zur Prüfung zu übergeben. Bei Akzeptanz durch den Auftraggeber werden die
dokumentierten Maßnahmen Grundlage des Auftrags. Soweit die Prüfung/ein Audit des Auftraggebers
einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.
Bei den Maßnahmen handelt es sich einerseits um nicht auftragsspezifische Maßnahmen hinsichtlich
der Zutrittskontrollen, Zugangskontrollen, Zugriffskontrollen, Weitergabekontrollen,
Eingabekontrollen, Auftragskontrollen, Verfügbarkeitskontrollen sowie des Trennungsgebots, die in
der Anlage zu diesem Dokument dokumentiert sind, sowie andererseits um auftragsspezifische
Maßnahmen insbesondere im Hinblick auf die Art des Datenaustauschs/Bereitstellung von Daten,
Art/Umstände der Verarbeitung/Datenhaltung sowie Art/Umstände des Umgangs beim
Output/Datenversand, die – wenn sie sich nicht aus dem zugrundeliegenden Vertrag ergeben –
gesondert beschrieben werden wie folgt:
Siehe Anlage 1: Darstellung der technischen und organisatorischen Sicherheitsmaßnahmen gemäß
§§ 11, 9 BDSG (System und Software LamaPoll)
und
Siehe Anlage 2: Darstellung der technischen und organisatorischen Sicherheitsmaßnahmen gemäß
§§ 11, 9 BDSG Version 1.1, Stand: Sept. 2011 (Serverhosting durch Drittanbieter Strato AG)
Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der
Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen
umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten
werden. Wesentliche Änderungen sind zu dokumentieren. Der Auftragnehmer hat auf Anforderung
die Angaben nach § 4g Abs. 2, S.1 BDSG dem Auftraggeber zur Verfügung zu stellen.
4. Berichtigung, Sperrung und Löschung von Daten
Der Auftragnehmer hat nur nach Weisung des Auftraggebers die Daten, die im Auftrag verarbeitet
werden, zu berichtigen, zu löschen oder zu sperren. Soweit ein Betroffener sich unmittelbar an den
Auftragnehmer zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird der
Auftragnehmer diesen Antrag unverzüglich an den Auftraggeber weitergeben.
3

5. ADV-VERTRAG
Erster Teil
• Hier informiert Sie der Auftragnehmer zu
weiteren Rechten und Pflichten.
5. Kontrollen und sonstige Pflichten des Auftragnehmers
Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen eines Auftrags nach § 11 Abs. 4
BDSG folgende Pflichten:
a) Schriftliche Bestellung - soweit gesetzlich vorgeschrieben - eines Datenschutzbeauftragten,
der seine Tätigkeit gemäß §§ 4f, 4g BDSG ausüben kann. Dessen Kontaktdaten werden dem
Auftraggeber mitgeteilt zum Zweck der direkten Kontaktaufnahme.
b) Die Wahrung des Datengeheimnisses entsprechend § 5 BDSG. Alle Personen, die
auftragsgemäß auf personenbezogene Daten des Auftraggebers zugreifen können, müssen auf
das Datengeheimnis verpflichtet und über die sich aus diesem Auftrag ergebenden
besonderen Datenschutzpflichten sowie die bestehende Weisungs- bzw. Zweckbindung
belehrt werden.
c) Die Umsetzung und Einhaltung aller für einen Auftrag notwendigen technischen und
organisatorischen Maßnahmen entsprechend § 9 BDSG und der Anlage zu § 9 BDSG.
d) Die Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen durch den
Auftragnehmer im Hinblick auf die Vertragsausführung bzw. -erfüllung, insbesondere
Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur
Durchführung des Auftrags.
e) Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber
dem Auftraggeber. Hierzu kann der Auftragnehmer auch Testate, Berichte oder
Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, IT-
Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) vorlegen.
6. Unterauftragsverhältnisse
Der Auftragnehmer bedient sich zur Vertragserfüllung dem folgenden Unterauftragnehmer:
STRATO AG ∙ Pascalstraße 10 ∙ 10587 Berlin
Soweit mit der Verarbeitung oder Nutzung personenbezogener Daten des Auftraggebers weitere
Unterauftragnehmer einbezogen werden, wird dies grundsätzlich nur unter folgenden
Voraussetzungen genehmigt:
a) Der Auftragnehmer benennt die Unterauftragnehmer.
b) Die Einschaltung weiterer Unterauftragnehmer ist nur mit schriftlicher Zustimmung des
Auftraggebers gestattet.
c) Der Auftragnehmer hat die vertraglichen Vereinbarungen mit dem/den
Unterauftragnehmer/n so zu gestalten, dass sie den Datenschutzbestimmungen im
Vertragsverhältnis zwischen Auftraggeber und Auftragnehmer entsprechen.
d) Bei der Unterbeauftragung sind dem Auftraggeber Kontroll- und Überprüfungsrechte
entsprechend dieser Vereinbarung und des § 11 BDSG i.V. mit Nr. 6 der Anlage zu § 9 BDSG
beim Unterauftragnehmer einzuräumen. Dies umfasst auch das Recht des Auftraggebers, auf
schriftliche Anforderung vom Auftragnehmer Auskunft über den wesentlichen Vertragsinhalt
und die Umsetzung der datenschutzrelevanten Verpflichtungen im Unterauftragsverhältnis,
erforderlichenfalls durch Einsicht in die relevanten Vertragsunterlagen, zu erhalten.
Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu
verstehen, die der Auftragnehmer durch Dritte als Nebenleistung zur Unterstützung bei der
4

6. ADV-VERTRAG
Erster Teil
• Hier informiert Sie der Auftragnehmer zu
weiteren Rechten und Pflichten.
Auftragsdurchführung in Anspruch nimmt. Dazu zählen z.B. Telekommunikationsleistungen oder
Reinigungskräfte. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes
und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen
angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu
ergreifen.
7. Kontrollrechte des Auftraggebers
Der Auftraggeber hat das Recht, die in Nr. 6 der Anlage zu § 9 BDSG vorgesehene Auftragskontrolle im
Benehmen mit dem Auftragnehmer durchzuführen oder durch im Einzelfall zu benennende Prüfer
durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig
anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen
Geschäftsbetrieb zu überzeugen. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf
Anforderung die zur Wahrung seiner bei der Verarbeitung personenbezogener Daten bestehende
Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und Nachweise zu führen.
Im Hinblick auf die Kontrollverpflichtungen des Auftraggebers nach § 11 Abs. 2 S. 4 BDSG vor Beginn
der Datenverarbeitung und während der Laufzeit des Auftrags stellt der Auftragnehmer sicher, dass
sich der Auftraggeber von der Einhaltung der getroffenen technischen und organisatorischen
Maßnahmen überzeugen kann. Hierzu weist der Auftragnehmer dem Auftraggeber auf Anfrage die
Umsetzung der technischen und organisatorischen Maßnahmen gemäß § 9 BDSG und der Anlage nach.
Dabei kann der Nachweis für die Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag
betreffen, auch durch Vorlage eines aktuellen Testats von unabhängiger Stelle, z.B. von
Wirtschaftsprüfern, Revision oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder
Datenschutzaudit (z. B. nach BSI-Grundschutz) erbracht werden.
8. Mitteilung bei Verstößen des Auftragnehmers
Der Auftragnehmer erstattet in allen Fällen dem Auftraggeber eine Meldung, wenn durch ihn oder die
bei ihm beschäftigten Personen Verstöße gegen Vorschriften zum Schutz personenbezogener Daten
des Auftraggebers oder gegen die im Auftrag getroffenen Festlegungen vorgefallen sind. Es ist
bekannt, dass nach § 42a BDSG Informationspflichten im Falle des Abhandenkommens oder der
unrechtmäßigen Übermittlung oder Kenntniserlangung von personenbezogenen Daten bestehen
können. Deshalb sind solche Vorfälle ohne Ansehen auf die Verursachung unverzüglich dem
Auftraggeber mitzuteilen. Dies gilt auch bei schwerwiegenden Störungen des Betriebsablaufs, beim
Verdacht auf sonstige Verletzungen gegen Vorschriften zum Schutz personenbezogener Daten oder
anderen Unregelmäßigkeiten beim Umgang mit personenbezogenen Daten des Auftraggebers. Der
Auftragnehmer hat im Benehmen mit dem Auftraggeber angemessene Maßnahmen zur Sicherung der
Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen. Soweit den
Auftraggeber Pflichten nach § 42a BDSG treffen, hat der Auftragnehmer ihn hierbei zu unterstützen.
9. Weisungsbefugnis des Auftraggebers
Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und
nach Weisung des Auftraggebers (s. a. § 11 Abs. 3 Satz 1 BDSG). Der Auftraggeber behält sich im
Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein umfassendes
Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, das er durch
5

7. ADV-VERTRAG
Erster Teil
• Hier informiert Sie der Auftragnehmer zu
weiteren Rechten und Pflichten.
Einzelweisungen konkretisieren kann. Änderungen des Verarbeitungsgegen-standes und
Verfahrensänderungen sind gemeinsam abzustimmen.
Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger schriftlicher
Zustimmung durch den Auftraggeber erteilen.
Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder per Email bestätigen. Der
Auftragnehmer verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt,
sie an Dritte weiterzugeben. Kopien und Duplikate werden ohne Wissen des Auftraggebers nicht
erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer
ordnungsgemäßen Datenverarbeitung erforderlich sind sowie Daten, die im Hinblick auf die Einhaltung
gesetzlicher Aufbewahrungspflichten erforderlich sind.
Der Auftragnehmer hat den Auftraggeber unverzüglich entsprechend § 11 Abs. 3 Satz 2 BDSG zu
informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche
Vorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung
solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert
wird.
10. Löschung von Daten und Rückgabe von Datenträgern
Siehe auch Punkt 4. Berichtigung, Sperrung und Löschung von Daten: „Der Auftragnehmer hat nur nach
Weisung des Auftraggebers die Daten, die im Auftrag verarbeitet werden, zu berichtigen, zu löschen
oder zu sperren.“
Die Dienstleistung des Auftragnehmers kann pausiert und zu einem späteren Zeitpunkt wiederholt
oder wideraufgenommen werden. Somit erfolgt keine automatische Löschung der Kundendaten
(Kundendaten sind sämtliche in den Besitz des Auftragnehmers gelangten Unterlagen, erstellten
Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem
Auftragsverhältnis stehen) seitens des Auftragnehmers bei Beendigung der Leistungsvereinbarung, es
sei denn, dies ist ausdrücklich Teil der Vereinbarung. Der Auftraggeber hat jedoch stets die
Möglichkeit, alle Kundendaten (vor allem projektbezogene Daten wie Umfrageergebnisse und
Teilnehmerdaten) online einzusehen und zu löschen, sowie alle offline vorhandene Daten (vor allem
Vertragsunterlagen, Testdaten) anzufordern oder zur Löschung freizugeben. Online, im
Auftraggeberaccount durch den Auftraggeber selbst gelöschte Daten verbleiben bis zur Löschung noch
7 Tage in verschlüsselte Backupdateien auf gesicherten Server des Auftragnehmers.
Das Protokoll der Löschung ist auf Anforderung vorzulegen. Dokumentationen, die dem Nachweis der
ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der
jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner
Entlastung bei Vertragsende dem Auftraggeber übergeben.
11. Nutzungsrechte
Durch diesen Vertrag werden keine Nutzungsrechte an den Betriebsdaten, die über die mit dem
Auftrag definierten Zwecke hinausgehen, gewährt.
6

8. ADV-VERTRAG
Erster Teil
• Fügen Sie den Gerichtsstand Ihres Unter-
nehmens ein.
• Unterschreiben Sie Ihren ADV-Vertrag
und senden Sie diesen an LamaPoll zu-
rück. Sie erhalten ein zweite Exemplar zu
Ihrer Dokumentation.
12. Haftung und Schadensersatz
Im Falle von Ansprüchen Betroffener gegen den Auftraggeber wegen der Verletzung von
Datenschutzbestimmungen übernimmt der Auftragnehmer die Beweislast dafür, dass der Schaden
nicht Folge eines von ihm zu vertretenen Umstandes ist, soweit personenbezogene Daten des
Betroffenen vom Auftragnehmer im Auftrag des Auftraggebers verarbeitet werden. Für sonstige
Haftungs- und Schadensersatzansprüche gelten die gesetzlichen Bestimmungen, es sei denn, es
werden gesondert vertragliche Vereinbarungen hierzu getroffen.
13. Sonstiges
Ergänzungen und Änderungen dieses Vertrags bedürfen der Schriftform.
Sollte Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter, etwa durch
Pfändung, durch ein Konkurs- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet
werden, so hat der Auftragnehmer den Auftraggeber unverzüglich und vor Eintritt dieser Maßnahmen
zu verständigen.
Erweist sich eine Bestimmung dieses Vertrages als unwirksam, so berührt dies die Wirksamkeit der
übrigen Bestimmungen des Vertrags nicht. Beide Vertragsparteien sind in diesem Falle verpflichtet,
unverzüglich in eine nachträgliche Zusatzbestimmung einzuwilligen, die nach Sinn und Zweck der
unwirksamen Bestimmung am nächsten kommt.
Alleiniger Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit dieser Vereinbarung ist,
vorbehaltlich eines etwaigen ausschließlich gesetzlichen Gerichtsstandes, ............................ (Ort des
Sitzes des Auftraggebers). Beide Seiten bleiben jedoch zur Erhebung der Klage oder der Einleitung
sonstiger gerichtlicher Verfahren am allgemeinen Gerichtsstand bzw. Sitz der jeweiligen Gesellschaft
berechtigt.
14. Anlagenverzeichnis
Anlage 1: Darstellung der technischen und organisatorischen Sicherheitsmaßnahmen gemäß §§ 11, 9
BDSG (System und Software LamaPoll)
Anlage 2: Darstellung der technischen und organisatorischen Sicherheitsmaßnahmen gemäß §§ 11, 9
BDSG Version 1.1, Stand: Sept. 2011 (Serverhosting durch Drittanbieter Strato AG)
Ort / Datum
Auftraggeber
Unterschrift
Berlin, den
Auftragnehmer
Unterschrift
Langner Maibaum Notev GbR
LamaPoll
Prenzlauer Allee 36 G
10405 Berlin
7

9. ADV-VERTRAG
Technisch u. Organisatorischen Maß-
nahmen (TOMs)
• Hier erfahren Sie, welche technischen
und organisatorischen Maßnahmen der
Auftragnehmer (LamaPoll)
gewährleistet.
Zweiter Teil (Anlage 1)
Anlage 1
Technische und Organisatorische Maßnahmen
gemäß §9 BDSG
(Stand Januar 2016)
1. Vorwort
Das System LamaPoll ermöglicht die Erhebung, Verarbeitung und Nutzung personenbezogener Daten.
Die „Verarbeitung personenbezogener Daten“ findet durch LamaPoll lediglich in Form einer
Zwischenspeicherung statt. Die Erhebung und Nutzung findet durch den Auftraggeber statt. Die
verantwortliche Stelle für die personenbezogenen Daten bleibt in jedem Fall beim Auftraggeber.
Personenbezogene Daten wie Teilnehmer-E-Mail-Adressen oder Ergebnisse werden nicht auf lokalen
Arbeitsplätzen oder in den Büroräumen von LamaPoll gespeichert, sondern verbleiben auf unseren
Datenservern. Unsere Datenserver sind bei der Strato-AG gehostet und verfügen über die BS-7799-
TÜV-Zertifizierung sowie über die unabhängige TÜV-Zertifizierung nach DIN ISO 27001. Genauere
Informationen zu den Technischen und Organisatorischen Maßnahmen unseres Hosters können der
Anlage 2 entnommen werden.
Falls zum Zwecke der Fehlerbehebung, Wartung oder Weiterentwicklung der Software LamaPoll eine
lokale Kopie erforderlich ist, werden diese ausschließlich auf verschlüsselten Festplatten / Partitionen
hinterlegt, sodass der Zugriff nur durch befugte, autorisierte Mitarbeiter möglich ist. Detaillierte
Informationen zum Umgang mit Daten durch unsere Mitarbeiter können unserer Sicherheitsrichtlinie
entnommen werden.
Aus Sicherheitsgründen geben wir nur eine allgemeine Beschreibung, denn der beste Schutz Ihrer
Daten ist die Geheimhaltung der genauen Sicherheitsmaßnahmen.
Für die Verarbeitung in Form von Zwischenspeicherung der personenbezogenen Daten gelten folgend
beschriebene technischen und Organisatorischen Maßnahmen.
2. Zutrittskontrolle
Zutritt zu unseren Büroräumen ist nur über 2 abschließbare Türen möglich. Zutrittsbewilligung und
Schlüsselübergabe erfolgt durch ausschließlich durch die Geschäftsleitung und wird schriftlich
dokumentiert. Falls Betriebsfremde Zutritt zu den Büroräumen benötigen, werden diese ständig durch
einen LamaPoll-Mitarbeiter begleitet.
Für die Zutrittskontrolle der Serverräume siehe Anlage 2.
3. Zugangskontrolle
Der Zugang zu Systemen erfolgt mit Authentifizierung durch individuelle Benutzerkennung und
Passwort. Passwörter müssen unserer Passwortrichtlinie entsprechen. Zugangsberechtigungen
werden ausschließlich durch die Geschäftsführung gewährt und schriftlich dokumentiert. Unsere
Systeme sind vor unbefugtem Zugang durch Firewalls und Anti-Viren-Software geschützt. Alle
Arbeitsplätze (PC, Tablets, Testgeräte) werden bei Verlassen des Arbeitsplatzes passwortgeschützt.
Für die Zugangskontrolle der Serverräume siehe Anlage 2.
8

10. ADV-VERTRAG
Zweiter Teil (Anlage 1)
4. Zugriffskontrolle
Der Zugriff auf unsere Systeme sowie auf das Befragungstool erfolgt mit Authentifizierung durch
individuelle Benutzerkennung und Passwort. Passwörter müssen unserer Passwortrichtlinie
entsprechen. LamaPoll ist mit einem Schutz vor Brute-Force-Angriffen gesichert. Server sind mit
Firewall und Anti-Virensoftware gesichert. Zugriff auf Server ist nur durch autorisierte Mitarbeiter
mittels individuellen RSA-Schlüsseln möglich. Protokollierung von Benutzeraktionen sowohl LamaPoll-
als auch Serverseitig.
Personenbezogene Daten in Papierform (bspw. ADV Verträge) werden in einem verschließbarem
Tresor aufbewahrt.
Mitarbeiter unseres Hosters (Strato-AG) haben auf dedizierte Root-Server keinen Zugriff (Siehe Anlage
2).
5. Weitergabekontrolle
Keine Weitergabe, Übermittlung, Übertragung oder Transport von personenbezogenen Daten im
System vorgesehen. Alle Mitarbeiter werden auf das Datengeheimnis §5 BDSG verpflichtet,
unterliegen unserer Geheimhaltungsverpflichtung und werden regelmäßig im Umgang mit
vertraulichen und personenbezogenen Daten geschult. Im Rahmen des Kundensupports exportierte
Daten werden ausschließlich verschlüsselt (via SSL) übertragen, nicht gespeichert sondern nach
Betreuungsfall unwiederbringlich gelöscht. Der Export wird protokolliert. Übermittlung vertraulicher
Daten via E-Mail (zu Kunden oder intern) erfolgt verschlüsselt.
6. Eingabekontrolle
Alle Eingaben werden vom Auftraggeber selbst vorgenommen. Die Protokollierung der
Benutzeraktionen ermöglicht Überprüfung, wer, wann und wie personenbezogene Daten eingegeben,
verändert oder gelöscht hat.
7. Auftragskontrolle
Die Protokollierung der Benutzeraktionen garantiert die Verarbeitung gemäß Weisungen des
Auftraggebers. Der Vertrag zur Auftragsdatenverarbeitung gemäß BDSG §11 spezifiziert die Rechte
und Pflichten von Auftraggeber (Kunde) und Auftragnehmer (LamaPoll).
Ein Vertrag zur Auftragsdatenverarbeitung gemäß §11 BDSG mit unserem Server-Hoster (Strato-AG)
ist vorhanden. Es werden regelmäßige Kontrollen bei der Strato-AG durchgeführt.
Alle Mitarbeiter sind im Umgang mit personenbezogenen Daten geschult.
8. Verfügbarkeitskontrolle
Nahezu 100%-ige Verfügbarkeit durch autarke und redundante Stromversorgung, Kühlung und
Internetanbindung. Alle Daten sind in einem RAID-1-Array gespeichert. Das bedeutet, dass alle
Festplatten redundant und gespiegelt vorhanden sind. Bei Ausfall einer Festplatte springt automatisch
und ohne Unterbrechung unseres Dienstes eine Ersatzfestplatte ein. LamaPoll wird grundsätzlich ohne
Unterbrechung angeboten. Mehr zur Verfügbarkeitskontrolle der Server siehe Anlage 2.
Alle Daten werden täglich gesichert. Die Sicherung erfolgt verschlüsselt (AES-256) auf 3 physisch
getrennten Speichermedien. Somit ist ein optimaler Schutz vor Datenverlust gewährleistet.
9

11. ADV-VERTRAG
Zweiter Teil (Anlage 1)
Unsere Programmierer befolgen einen Katalog von Codierungsrichtlinien, welche eine sichere und
stabile Programmierung von LamaPoll gewährleisten und vor Datenmanipulation und -verlust
schützen.
Betriebssysteme und verwendete Anwendungen werden stets aktualisiert und verwenden immer die
neusten Patches.
9. Trennungsgebot
Die Speicherung erfolgt für jeden Mandanten getrennt. Auftragsdaten (Befragungsergebnisse) und
Vertragsdaten (Name, Anschrift usw. des Vertragspartners) sind ebenfalls getrennt voneinander
gespeichert. Die Trennung wird durch Mandanten ID umgesetzt.
10

12. ADV-VERTRAG
Dritter Teil (Anlage 2)
• Aus Gründen der Transparenz und des
Datenschutzes führt LamaPoll die techni-
schen und organisatorischen Sicherheits-
maßnahmen des Unterauftragnehmers
ebenfalls mit auf.
Anlage 2
Darstellung der technischen und organisatorischen
Sicherheitsmaßnahmen gemäß §§ 11, 9 BDSG Version 1.1, Stand:
Sept. 2011 (Serverhosting durch Drittanbieter STRATO AG)
In diesem Abschnitt beziehen sich alle Aussagen (wie „wir“ oder „unsere“) auf den
Unterauftragnehmer Strato-AG:
In diesem Dokument beschreiben wir die wesentlichen technischen und organisatorischen
Sicherheitsmaßnahmen, die wir zum Schutz Ihrer Daten ergreifen. Aus Sicherheitsgründen geben wir
nur eine allgemeine Beschreibung, denn der beste Schutz Ihrer Daten ist die Geheimhaltung der
genauen Sicherheitsmaßnahmen. Soweit erforderlich, sinnvoll und wirtschaftlich werden die
wesentlichen Systeme mit den beschriebenen Maßnahmen ganz oder teilweise ausgestattet. Die
Sicherheit und Verfügbarkeit der STRATO Rechenzentren wird vom TÜV Süd regelmäßig nach DIN ISO
27001 geprüft. Datenschutz und Datensicherheit sind für uns von zentraler Bedeutung. Die
Sicherheitsmaßnahmen werden kontinuierlich an den technischen Fortschritt und die aktuellen
Gefährdungsszenarien angepasst.
1. Zutrittskontrolle
Unsere Rechenzentrumsgebäude sind durch Sicherheitsschlösser, vergitterte Fenster und Rollos
gesichert. Der Zutritt über die vorgesehenen Zutrittswege ist nur autorisierten Personen mit
Magnetkarte und Schlüssel möglich. Darüber hinaus sind die Zutrittswege durch Wachschutz, Video-
und Alarmanlagen gesichert. Zutrittsberechtigte Mitarbeiter sind organisatorisch festgelegt,
Magnetkarten und Schlüssel werden nur entsprechend der Organisationsanweisung vergeben. Über
den Zutritt werden Anwesenheitslisten geführt, Regelungen für Fremdpersonal und Richtlinien zur
Begleitung von Gästen sind vorhanden.
2. Zugangskontrolle
Der Zugang zu Systemen erfolgt mit Authentifizierung durch individuelle Benutzerkennung und
Passwort. Berechtigungen werden nach einem Zugangsberechtigungskonzept vergeben, die
Passwörter müssen den Sicherheitsanforderungen nach ISO 27001 genügen. Die Systeme sind gegen
unberechtigten Zugang z.B. durch eine Firewall gesichert.
Bei Root-Servern haben unsere Mitarbeiter keinerlei Zugang. Dementsprechend obliegt es dem
Kunden, das System zu sichern.
3. Zugriffskontrolle
Berechtigungen sind in den IT-Systemen festgelegt, differenzierte Zugriffe und differenzierte
Berechtigungen werden festgelegt. Berechtigungsbewilligung (organisatorisch) und
Berechtigungsvergabe (technisch) sind getrennt. Der Zugriff entsprechend Berechtigung wird auch bei
Verfahren zur Wiederherstellung von Daten aus Backups gewahrt. Test- und Produktionsumgebung
sind getrennt. Fernwartungen werden mit eindeutiger Benutzerkennung vorgenommen und
protokolliert.
Bei Root-Servern haben unsere Mitarbeiter keinerlei Zugriffsmöglichkeit.
11
Technisch u. Organisatorischen Maß-
nahmen (TOMs)

13. ADV-VERTRAG
Dritter Teil (Anlage 2)
4. Weitergabekontrolle
Alle unsere Mitarbeiter werden auf das Datengeheimnis nach § 5 BSDG verpflichtet. Soweit
erforderlich werden die Daten gegen Zugriffe auf Netzwerkebene geschützt, Daten verschlüsselt und
Schnittstellen gegen unbefugten Datenexport gesichert.
5. Eingabekontrolle
Die Daten werden vom Auftraggeber selbst eingegeben. Unsere Mitarbeiter dürfen grundsätzlich nicht
auf Ihre Daten zugreifen bzw. Daten eingeben, verändern oder löschen. Bei Root-Servern haben unsere
Mitarbeiter keinerlei Zugriffsmöglichkeit. Wir nehmen Sperrungen aus rechtlichen oder technischen
Gründen sowie im Falle des Zahlungsverzuges vor. Die Vornahme von Sperrungen wird protokolliert.
Die Protokolldaten werden aufbewahrt und enthalten die Mitarbeiterkennung. Die Löschung erfolgt
nach dem Vertragsende automatisiert und wird protokolliert.
6. Auftragskontrolle
Wir schließen auf Wunsch einen schriftlichen Vertrag, der den Datenverarbeitungszweck regelt und
ein Weisungsrecht enthält. Unsere Mitarbeiter kennen den Datenverarbeitungszweck. Sie erhalten
schriftliche Weisung zum Umgang mit personenbezogenen Daten.
Ein IT-Organisationshandbuch / IT-Sicherheitskonzept ist vorhanden. Unterauftragsverhältnisse
werden schriftlich beauftragt.
7. Verfügbarkeitskontrolle
Die Rechenzentren verfügen über eine unterbrechungsfreie Stromversorgung durch Batterien und
Dieselaggregate. Die Primärtechnik und die wesentliche Sekundärtechnik ist redundant aufgebaut.
Backup werden regelmäßig erstellt und die Daten auf getrennten Systemen gespiegelt, soweit dies
Leistungsbestandteil ist. Bei Root-Servern erfolgen Backup und Datensicherung nicht durch uns, weil
wir keinen Zugriff auf die Daten haben. Wiederherstellungsmöglichkeiten bei Datenverlust sind
vorgesehen. Brandmeldeanlagen, Löschanlagen mit Löschgas und ein Notfallplan für die
verschiedenen Gefährdungsszenarien sorgen für den physikalischen Schutz Ihrer Daten.
8. Trennungskontrolle
Je nach Paket werden Ihre Daten physikalisch oder logisch / virtuell von anderen Daten getrennt. Die
Datensicherung erfolgt auf physikalisch oder virtuell getrennten Einheiten.
12
• Aus Gründen der Transparenz und des
Datenschutzes führt LamaPoll die techni-
schen und organisatorischen Sicherheits-
maßnahmen des Unterauftragnehmers
ebenfalls mit auf.