11_Anlage_7_Muster_Auftragsverarbeitungsvertrag_final.pdf

Vertrag

über die Verarbeitung von Daten im Auftrag

zwischen

• Auftraggeber -

und

• Auftragnehmer -

1

1. Allgemeines

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers i. S. d. Art. 4 Nr. 8 und Art. 28 der Verordnung (EU) 2016/679 – Datenschutz- Grundverordnung (DSGVO). Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung von personenbezogenen Daten.

(2) Sofern in diesem Vertrag nicht anders angegeben, haben alle verwendeten Begriffe, die auf geltende Datenschutzgesetze Bezug nehmen, dieselbe Bedeutung wie die in der DSGVO bestimmten Begriffe.

2. Gegenstand des Auftrags

Der Gegenstand der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sind in den Anlagen … zu diesem Vertrag festgelegt.

3. Rechte und Pflichten des Auftraggebers

(1) Der Auftraggeber ist Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO für die Verarbeitung von Daten im Auftrag durch den Auftragnehmer.

(2) Der Auftraggeber hat das Recht, jederzeit ergänzende Weisungen hinsichtlich der Festlegungen in Anlage … dieses Vertrags gegenüber dem Auftragnehmer zu erteilen. Der Auftragnehmer ist verpflichtet, auf Verlangen des Auftraggebers Änderungen der Festlegungen in Anlage … dieses Vertrags zuzustimmen, soweit er keinen sachlichen Grund zur Verweigerung dieser Zustimmung hat. Weisungen müssen mindestens in Textform (z. B. per E-Mail) erfolgen.

(3) Regelungen über eine etwaige Vergütung von Mehraufwänden, die durch ergänzende Weisungen des Auftraggebers beim Auftragnehmer entstehen, bleiben unberührt.

(4) Der Auftraggeber kann weisungsberechtigte Personen benennen, die im Regelfall die Weisungen gegenüber dem Auftragnehmer erteilen. Sofern weisungsberechtigte Personen benannt werden sollen, werden diese in der Anlage … dieses Vertrags benannt. Für den Fall, dass sich die weisungsberechtigten Personen beim Auftraggeber ändern, wird der Auftraggeber dies dem Auftragnehmer in Textform (z. B. per E-Mail) mitteilen.

(5) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragnehmer feststellt.

(6) Der Auftragnehmer erwirbt an den Auftraggeber-Daten keine Rechte und ist auf Verlangen des Auftraggebers jederzeit auf erstes Anfordern zur Herausgabe der Auftraggeber-Daten in einer für den Auftraggeber lesbaren und weiterverarbeitbaren Form verpflichtet.

4. Allgemeine Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten nur zu den vertraglich vorgesehenen Zwecken. Ausgenommen von der Bindung der Datenverarbeitung an die vertraglichen Zwecke sind Regelungen des EU-Rechts und der EU-Mitgliedstaaten, die den Auftragnehmer ggf. zu einer anderweitigen Verarbeitung verpflichten. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche 1

Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Eine hiervon abweichende Verarbeitung von personenbezogenen Daten ist dem Auftragnehmer untersagt, es sei denn, dass der Auftraggeber dieser schriftlich zugestimmt hat.

(2) Der Auftragnehmer verpflichtet sich, die Datenverarbeitung im Rahmen dieses Vertrags nur in Mitgliedsstaaten der Europäischen Union (EU) oder dem Europäischen Wirtschaftsraum (EWR) durchzuführen. Eine Datenverarbeitung in einem Drittland ist unzulässig.

(3) Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn eine vom Auftraggeber erteilte Weisung nach seiner Auffassung gegen gesetzliche Regelungen verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird.

(4) Der Auftragnehmer wird die Daten, die er im Auftrag für den Auftraggeber verarbeitet, getrennt von anderen Daten verarbeiten. Eine physische Trennung ist nicht zwingend erforderlich.

(5) Der Auftragnehmer kann dem Auftraggeber die Person(en) benennen, die zum Empfang von Weisungen des Auftraggebers berechtigt sind. Sofern weisungsempfangsberechtigte Personen benannt werden sollen, werden diese in der Anlage … benannt. Für den Fall, dass sich die weisungsempfangsberechtigten Personen beim Auftragnehmer ändern, wird der Auftragnehmer dies dem Auftraggeber in Textform mitteilen.

5. Datenschutzbeauftragter des Auftragnehmers

Der Auftragnehmer bestätigt, dass er einen Datenschutzbeauftragten nach Art. 37 DSGVO benannt hat. Der Auftragnehmer trägt Sorge dafür, dass der Datenschutzbeauftragte über die erforderliche Zuverlässigkeit und Fachkunde verfügt. Der Auftragnehmer wird dem Auftraggeber den Namen und die Kontaktdaten seines Datenschutzbeauftragten gesondert in Textform (z. B. per E-Mail) mitteilen.

6. Meldepflichten des Auftragnehmers

(1) Der Auftragnehmer meldet dem Auftraggeber unverzüglich nachdem ihm eine solche bekannt geworden ist, jede potenzielle Verletzung des Schutzes von Auftraggeber- Daten, insbesondere Vorkommnisse, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu Auftraggeber-Daten führen können („Datensicherheitsvorfall“).

Die Meldung enthält mindestens eine Beschreibung:

− der Art der Verletzung des Schutzes der Auftraggeber-Daten mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze; − der möglichen Folgen der Verletzung des Schutzes der Auftraggeber-Daten; − der von dem Auftragnehmer ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes der Auftraggeber-Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

2

(2) Ferner wird der Auftragnehmer den Auftraggeber unverzüglich darüber informieren, wenn eine Aufsichtsbehörde nach Art. 58 DSGVO gegenüber dem Auftragnehmer tätig wird und dies auch eine Kontrolle der Verarbeitung, die der Auftragnehmer im Auftrag des Auftraggebers erbringt, betreffen kann. Auf Verlangen des Auftraggebers wird der Auftragnehmer den Auftraggeber im Rahmen von behördlichen Aufsichtsverfahren nach Kräften unterstützen, wenn und soweit die vertragsgegenständliche Verarbeitung von Auftraggeber-Daten Gegenstand des Aufsichtsverfahrens ist.

(3) Der Auftragnehmer ist verpflichtet, den Auftraggeber im Falle eines Datensicherheitsvorfalls bei seinen diesbezüglichen Aufklärungs-, Abhilfe- und Informationsmaßnahmen, einschließlich aller Handlungen zur Erfüllung gesetzlicher Verpflichtungen (etwa nach Art. 33 oder 34 DSGVO) auf erstes Anfordern im Rahmen des Zumutbaren zu unterstützen. Der Auftragnehmer wird insbesondere unverzüglich sämtliche zumutbaren Maßnahmen ergreifen, um die entstandenen Gefährdungen für die Integrität oder Vertraulichkeit der Auftraggeber-Daten zu minimieren und zu beseitigen, die Auftraggeber-Daten zu sichern und mögliche nachteilige Folgen für Betroffene zu verhindern oder in ihren Auswirkungen so weit wie möglich zu begrenzen

7. Mitwirkungspflichten des Auftragnehmers

(1) Der Auftragnehmer stellt dem Auftraggeber die zur Erstellung seines Verarbeitungsverzeichnisses jeweils erforderlichen Angaben in geeigneter Weise zur Verfügung.

(2) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 -36 DSGVO genannten Pflichten.

8. „Home-Office“-Regelung

(1) Der Auftragnehmer darf seinen Beschäftigten, die mit der Verarbeitung von Auftraggeber Daten befasst sind, die Verarbeitung von personenbezogenen Daten in Privatwohnungen („Home-Office“) erlauben.

(2) Der Auftragnehmer hat sicherzustellen, dass die Einhaltung der vertraglich vereinbarten technischen und organisatorischen Maßnahmen auch im „Home-Office“ der Beschäftigten des Auftragnehmers gewährleistet ist. Abweichungen von einzelnen vertraglich vereinbarten technischen und organisatorischen Maßnahmen sind vorab mit dem Auftraggeber abzustimmen und von diesem in Textform (z. B. per E-Mail) zu genehmigen.

(3) Der Auftragnehmer trägt insbesondere Sorge dafür, dass bei einer Verarbeitung von Auftraggeber-Daten im „Home-Office“ die Speicherorte so konfiguriert werden, dass eine lokale Speicherung von Daten auf IT-Systemen, die im „Home-Office“ verwendet werden, ausgeschlossen ist. Sollte dies nicht möglich sein, hat der Auftragnehmer Sorge dafür zu tragen, dass die lokale Speicherung ausschließlich verschlüsselt erfolgt und andere im Haushalt befindliche Personen keinen Zugriff auf diese Daten erhalten.

(4) Der Auftragnehmer ist verpflichtet, Sorge dafür zu tragen, dass eine wirksame Kontrolle der Verarbeitung von Auftraggeber-Daten im Auftrag im „Home-Office“ durch den Auftraggeber möglich ist. Dabei sind die Persönlichkeitsrechte der Beschäftigten sowie der weiteren im jeweiligen Haushalt lebenden Personen angemessen zu berücksichtigen.

(5) Sofern auch bei weiteren Auftragsverarbeitern des Auftragnehmers Beschäftigte im „Home-Office“ eingesetzt werden sollen, gelten die Regelungen der Absätze 1 bis 4 entsprechend. 3

9. Kontrollbefugnisse

(1) Der Auftragnehmer hat sicherzustellen, dass die Verarbeitung der Auftraggeber-Daten mit diesem Vertrag sowie den Weisungen des Auftraggebers in Einklang steht.

(2) Der Auftragnehmer wird die Umsetzung der Pflichten nach diesem Vertrag in geeigneter Weise dokumentieren und dem Auftraggeber entsprechende Nachweise auf dessen Verlangen vorlegen.

(3) Der Auftraggeber ist berechtigt, den Auftragnehmer regelmäßig während der Verarbeitung von Auftraggeber-Daten bezüglich der Einhaltung der Regelungen dieses Vertrages, insbesondere der Umsetzung der technischen und organisatorischen Maßnahmen gemäß Anlage …, zu überprüfen, einschließlich durch Vor-Ort-Kontrollen.

(4) Zur Durchführung von Kontrollen nach Absatz 3 ist der Auftraggeber berechtigt, jederzeit sämtliche Geschäftsräume des Auftragnehmers zu betreten und dort Vor-Ort- Kontrollen durchzuführen. Soweit möglich, wird der Auftraggeber dem Auftragnehmer solche Vor-Ort-Kontrollen rechtzeitig vorher ankündigen. Der Auftragnehmer gewährt dem Auftraggeber sämtliche für die Durchführung der Kontrolle benötigten Zugangs-, Auskunfts- und Einsichtsrechte. Der Auftragnehmer verpflichtet sich insbesondere, dem Auftraggeber Zugang zu den Datenverarbeitungseinrichtungen, Dateien und anderen Dokumenten zu gewähren, um die Kontrolle und Überprüfung der relevanten Datenverarbeitungseinrichtungen, Dateien und anderer Dokumentationen zu ermöglichen, die mit der Verarbeitung von Auftraggeber-Daten im Zusammenhang stehen.

Der Auftraggeber nimmt hierbei angemessene Rücksicht auf die Betriebsabläufe und berechtigte Geheimhaltungsinteressen des Auftragnehmers.

(5) Der Auftragnehmer ermöglicht solche Überprüfungen und trägt durch alle zweckmäßigen und zumutbaren Maßnahmen zu solchen Überprüfungen bei, unter anderem durch die Bereitstellung aller notwendigen Informationen einschließlich aller Zertifikate, Auditberichte und sonstigen Ergebnisse von Überprüfungen im Hinblick auf die Verarbeitung von Auftraggeber-Daten.

(6) Der Auftraggeber ist berechtigt, von dem Datenschutzbeauftragten des Auftragnehmers Auskunft über sämtliche Aspekte der Verarbeitung von Auftraggeber-Daten, einschließlich der getroffenen technisch-organisatorischen Maßnahmen, zu erhalten und von ihm regelmäßig eine Bestätigung der Einhaltung der technischen und organisatorischen Maßnahmen gemäß Anlage … zu verlangen. Der Auftragnehmer wird unter Beachtung von dessen Weisungsfreiheit dafür sorgen, dass der Datenschutzbeauftragte auf Verlangen des Auftraggebers Auskünfte und Bestätigungen zeitnah erteilt.

(7) Der Auftraggeber ist berechtigt, die Kontrollhandlungen nach Absatz 3 selbst oder durch einen zur Geheimhaltung verpflichteten Bevollmächtigten vorzunehmen. Der Auftragnehmer ist verpflichtet, die Kontrollhandlungen eines solchen Bevollmächtigten in derselben Weise zu dulden und zu unterstützen wie Kontrollen durch den Auftraggeber.

4

10. Inanspruchnahme weiterer Auftragsverarbeiter

(1) Die Beauftragung von weiteren Auftragsverarbeitern ("Unterauftragsverarbeiter") durch den Auftragnehmer ist nur nach vorheriger Zustimmung des Auftraggebers in Textform (z. B. per E-Mail) zulässig. Ein Anspruch auf Erteilung der Zustimmung durch den Auftraggeber besteht nicht.

Zur Prüfung einer solchen Zustimmung hat der Auftragnehmer auf Anforderung des Auftraggebers den Entwurf des Unterauftragsverarbeitungsvertrags zwischen ihm und dem Unterauftragsverarbeiter ungekürzt in Kopie zur Verfügung zu stellen.

(2) Der Auftragnehmer wird alle bereits zum Vertragsschluss bestehenden Auftragsverarbeitungsverhältnisse in der Anlage … zu diesem Vertrag angeben.

(3) Der Auftragnehmer hat den Unterauftragsverarbeiter sorgfältig auszuwählen und vor der Beauftragung zu prüfen, dass der Unterauftragsverarbeiter in dem Unterauftragsverarbeitungsvertrag schriftlich ebenso verpflichtet ist, wie auch der Auftragnehmer aufgrund dieses Vertrags gegenüber dem Auftraggeber verpflichtet ist. Der Auftragnehmer hat insbesondere vorab und regelmäßig während der Vertragsdauer zu kontrollieren, dass der weitere Auftragsverarbeiter die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten getroffen hat. Das Ergebnis der Kontrolle ist vom Auftragnehmer zu dokumentieren und auf Anfrage dem Auftraggeber zu übermitteln.

(4) Der Auftragnehmer ist verpflichtet, sich vom Unterauftragnehmer bestätigen zu lassen, dass dieser einen Datenschutzbeauftragten gemäß Art. 37 DSGVO benannt hat. Für den Fall, dass kein Datenschutzbeauftragter beim Unterauftragnehmer benannt worden ist, hat der Auftragnehmer den Auftraggeber hierauf hinzuweisen und Informationen dazu beizubringen, aus denen sich ergibt, dass der Unterauftragnehmer gesetzlich nicht verpflichtet ist, einen Datenschutzbeauftragten zu benennen.

(5) Der Auftragnehmer ist insbesondere verpflichtet, durch vertragliche Regelungen sicherzustellen, dass die Kontrollbefugnisse (Ziffer 9 dieses Vertrages) des Auftraggebers und von Aufsichtsbehörden auch gegenüber dem Unterauftragnehmer gelten und entsprechende Kontrollrechte von Auftraggeber und Aufsichtsbehörden vereinbart werden. Es ist zudem vertraglich zu regeln, dass der Unterauftragnehmer diese Kontrollmaßnahmen und etwaige Vor-Ort-Kontrollen zu dulden hat.

(6) Nicht als Unterauftragsverhältnisse i. S. d. Absätze 1 bis 6 sind Dienstleistungen anzusehen, die der Auftragnehmer bei Dritten als reine Nebenleistung in Anspruch nimmt, um die geschäftliche Tätigkeit auszuüben. Dazu gehören beispielsweise Reinigungsleistungen, reine Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für den Autraggeber erbringt, Post- und Kurierdienste, Transportleistungen, Bewachungsdienste. Der Auftragnehmer ist gleichwohl verpflichtet, auch bei Nebenleistungen, die von Dritten erbracht werden, Sorge dafür zu tragen, dass angemessene Vorkehrungen und technische und organisatorische Maßnahmen getroffen wurden, um den Schutz der Auftraggeber- Daten zu gewährleisten.

Die Wartung und Pflege von IT-System oder Applikationen stellt eine zustimmungspflichtige Unterauftragsverarbeitung i. S. d. Art. 28 DSGVO dar, wenn die Wartung und Prüfung solche IT-Systeme betrifft, die auch im Zusammenhang mit der Erbringung von Leistungen für den Auftraggeber genutzt werden und bei der Wartung auf Auftraggeber-Daten zugegriffen werden kann.

5

11. Vertraulichkeitsverpflichtung

(1) Der Auftragnehmer ist bei der Verarbeitung von Auftraggeber-Daten zur Wahrung der Vertraulichkeit über Daten, die er im Zusammenhang mit dem Auftrag erhält bzw. zur Kenntnis erlangt, verpflichtet. Der Auftragnehmer verpflichtet sich, die gleichen Geheimnisschutzregeln zu beachten, wie sie dem Auftraggeber obliegen. Der Auftraggeber ist verpflichtet, dem Auftragnehmer etwaige besondere Geheimnisschutzregeln mitzuteilen.

(2) Der Auftragnehmer sichert zu, dass ihm die jeweils geltenden datenschutzrechtlichen Vorschriften bekannt sind und er mit der Anwendung dieser vertraut ist. Der Auftragnehmer sichert ferner zu, dass er seine Beschäftigten mit den für sie maßgeblichen Bestimmungen des Datenschutzes vertraut gemacht und sie schriftlich zur Vertraulichkeit verpflichtet hat oder sie einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Auftragnehmer stellt sicher, dass ihm unterstellte natürliche Personen, die Zugang zu Auftraggeber-Daten haben, diese nur auf seine Anweisung verarbeiten, es sei denn, sie sind nach dem Recht der Union oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet.

(3) Die Verpflichtung der Beschäftigten nach Absatz 2 sind dem Auftraggeber auf erstes Anfordern nachzuweisen.

12. Wahrung von Betroffenenrechten

(1) Der Auftragnehmer wird den Auftraggeber mit technischen und organisatorischen Maßnahmen dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der ihnen zustehenden Rechte betroffener Personen nachzukommen. Der Auftragnehmer wird dem Auftraggeber unverzüglich Informationen über die gespeicherten Auftraggeber-Daten (auch soweit sie sich auf den Speicherungszweck beziehen), die Empfänger von Auftraggeber-Daten, an die der Auftragnehmer sie auftragsgemäß weitergibt und den Zweck der Speicherung mitteilen, sofern dem Auftraggeber diese Informationen nicht selbst vorliegen.

(2) Der Auftragnehmer ist verpflichtet, Auftraggeber-Daten auf Weisung des Auftraggebers unverzüglich zu berichtigen, zu löschen oder ihre Verarbeitung einzuschränken. Der Auftragnehmer wird dem Auftraggeber die weisungsgemäße Berichtigung oder Löschung der Daten bzw. die Einschränkung von deren Verarbeitung jeweils auf Verlangen schriftlich bestätigen.

(3) Etwaige Mehraufwände, die dem Auftragnehmer durch Mitwirkungsleistungen im Zusammenhang mit der Geltendmachung von Betroffenenrechten gegenüber dem Auftraggeber entstehen, werden nicht vergütet.

(4) Für den Fall, dass ein Betroffener seine Rechte nach den Art. 12 - 22 DSGVO beim Auftragnehmer geltend macht, obwohl dies eine Verarbeitung von Auftraggeber-Daten betrifft, ist der Auftragnehmer berechtigt, dem Betroffenen mitzuteilen, dass der Auftraggeber der Verantwortliche für die Datenverarbeitung ist. Der Auftragnehmer darf dem Betroffenen in diesem Zusammenhang die Kontaktdaten des Verantwortlichen mitteilen. Der Auftragnehmer wird den Auftraggeber unverzüglich über die Anfrage des Betroffenen informieren.

6

13. Geheimhaltungspflichten

(1) Beide Parteien verpflichten sich, alle Informationen, die sie im Zusammenhang mit der Durchführung dieses Vertrages erhalten, zeitlich unbegrenzt vertraulich zu behandeln und ausschließlich zur Durchführung des Vertrages zu verwenden. Keine Partei ist berechtigt, diese Informationen ganz oder teilweise zu anderen als den soeben genannten Zwecken zu nutzen oder diese Information Dritten zugänglich zu machen.

(2) Die vorstehende Verpflichtung gilt nicht für Informationen, die eine der Parteien nachweisbar von Dritten erhalten hat, ohne zur Geheimhaltung verpflichtet zu sein, oder die öffentlich bekannt sind.

14. Technische und organisatorische Maßnahmen zur Datensicherheit

(1) Der Auftragnehmer verpflichtet sich, alle geeigneten technischen und organisatorischen Maßnahmen zu ergreifen und während der Dauer der Verarbeitung von Auftraggeber- Daten aufrecht zu erhalten, die unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung der Auftraggeber-Daten sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen erforderlich sind, um ein dem Risiko angemessenes Schutzniveau für die Auftraggeber-Daten zu gewährleisten. Der Auftragnehmer garantiert, vor dem Beginn der Verarbeitung der Auftraggeber-Daten insbesondere die in Anlage … zu diesem Vertrag spezifizierten technischen und organisatorischen Maßnahmen zu ergreifen und sicherzustellen, dass die Verarbeitung von Auftraggeber-Daten im Einklang mit diesen Maßnahmen durchgeführt wird.

(2) Der zum Zeitpunkt des Vertragsschlusses bestehende Stand der technischen und organisatorischen Maßnahmen ist als Anlage … zu diesem Vertrag beigefügt. Die Parteien sind sich darüber einig, dass zur Anpassung an technische und rechtliche Gegebenheiten Änderungen der technischen und organisatorischen Maßnahmen erforderlich werden können. Dem Auftragnehmer ist es gestattet, nach vorheriger Abstimmung mit dem Auftraggeber, alternative adäquate technische und organisatorische Maßnahmen umzusetzen, sofern das Sicherheitsniveau der in Anlage … festgelegten technischen und organisatorischen Maßnahmen nicht unterschritten wird. Maßnahmen, die lediglich geringfügige technische oder organisatorische Änderungen mit sich bringen und die Integrität, Vertraulichkeit und Verfügbarkeit der Auftraggeber-Daten nicht negativ beeinträchtigen, können vom Auftragnehmer ohne Abstimmung mit dem Auftraggeber umgesetzt werden. Der Auftraggeber kann jederzeit eine aktuelle Fassung der vom Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen anfordern.

(3) Der Auftragnehmer wird die von ihm getroffenen technischen und organisatorischen Maßnahmen regelmäßig und auch anlassbezogen auf ihre Wirksamkeit kontrollieren. Für den Fall, dass es Optimierungs- und / oder Änderungsbedarf gibt, wird der Auftragnehmer den Auftraggeber informieren.

7

15. Dauer des Auftrags

(1) Dieser Vertrag gilt von … bis …

(2) Er ist mit einer Frist von drei Monaten zum Quartalsende kündbar.

(3) Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen die anzuwendenden Datenschutzvorschriften oder gegen Pflichten aus diesem Vertrag vorliegt. Ein schwerwiegender Verstoß ist insbesondere anzunehmen, wenn der Auftragnehmer eine Weisung des Auftraggebers ohne sachlichen Grund nicht ausführen will, der Auftragnehmer den Zutritt des Auftraggebers oder der zuständigen Aufsichtsbehörde vertragswidrig zu den Räumen des Auftragnehmers verweigert.

16. Beendigung

(1) Nach Beendigung des Vertrages hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, Auftraggeber-Daten und erstellten Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, nach Wahl des Auftraggebers an diesen zurückzugeben oder zu löschen. Hierzu treffen der Auftraggeber und der Auftragnehmer spätestens im/am … entsprechende Absprachen. Die Datenrückgabe erfolgt in einem gängigen, strukturierten, maschinenlesbaren und interoperablen Format (z. B. als CSV-, JSON- oder SQL Dump-Datei). Über einen verschlüsselten Übertragungsweg (z. B. SFTP oder abgesicherter Download-Link). Der Auftragnehmer stellt dabei auch sicher, dass die Migration auf ein Drittsystem vollständig ermöglicht wird (z. B. mit den dazugehörigen Metadaten). Die Löschung ist in geeigneter Weise zu dokumentieren. Etwaige gesetzliche Aufbewahrungspflichten oder sonstige Pflichten zur Speicherung der Daten bleiben unberührt. Für Datenträger gilt, dass diese im Falle einer vom Auftraggeber gewünschten Löschung zu vernichten sind, wobei mindestens die Sicherheitsstufe 3 der DIN 66399 einzuhalten ist; die Vernichtung ist dem Auftraggeber unter Hinweis auf die Sicherheitsstufe gemäß DIN 66399 nachzuweisen. Etwaige Kosten, die dem Auftragnehmer im Zusammenhang mit der Beendigung dieses Vertrages entstehen, werden nicht erstattet.

(2) Der Auftraggeber hat das Recht, die vollständige und vertragsgemäße Rückgabe und Löschung der Daten beim Auftragnehmer zu kontrollieren. Dies kann auch durch eine Inaugenscheinnahme der Datenverarbeitungsanlagen in der Betriebsstätte des Auftragnehmers erfolgen. Die Vor-Ort-Kontrolle soll mit angemessener Frist durch den Auftraggeber angekündigt werden.

(3) Sofern den Auftragnehmer hinsichtlich der Auftraggeber-Daten gesetzliche Aufbewahrungsfristen treffen, dürfen diese nur für Zwecke der Umsetzung der einschlägigen gesetzlichen Aufbewahrungspflichten verarbeitet werden. Nach Ablauf der Aufbewahrungspflicht sind die Daten unverzüglich zu löschen.

17. Zurückbehaltungsrecht

Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer i. S. d. § 273 BGB hinsichtlich der Auftraggeber-Daten und der zugehörigen Datenträger ausgeschlossen wird.

8

18. Schlussbestimmungen

(1) Sollte das Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu informieren. Der Auftragnehmer wird die Gläubiger über die Tatsache, dass es sich um Daten handelt, die im Auftrag verarbeitet werden, unverzüglich informieren.

(2) Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform, soweit nicht etwas Anderes bestimmt ist. Mündliche Nebenabreden bestehen nicht.

(3) Sollten einzelne Teile dieses Vertrages unwirksam sein, so berührt dies die Wirksamkeit der übrigen Regelungen des Vertrages nicht. Die Parteien verpflichten sich, anstelle der unwirksamen Regelung eine solche gesetzlich zulässige Regelung zu treffen, die dem Zweck der unwirksamen Regelung am nächsten kommt und den Anforderungen des Art. 28 DSGVO am besten gerecht wird.

Erfurt, den , den Ort, Datum Ort, Datum

• Auftraggeber - - Auftragnehmer -

9