[Seite 1]
Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO
Auftraggeber (Verantwortlicher):
Stadt Königs Wusterhausen
Schlossstraße 3
15711 Königs Wusterhausen
vertreten durch die Bürgermeisterin
Michaela Wiezorek
Auftragnehmer (Auftragsverarbeiter):
Der im Vergabeverfahren 2026-065-Ö bezuschlagte Bieter
(Einführung eines Lernmanagementsystems für die Mitarbeitenden der Stadt Königs Wusterhausen)
Rechtsform:
Anschrift:
- Gegenstand und Dauer der Vereinbarung
(1) Gegenstand der Vereinbarung
Der Auftrag umfasst die Einführung, Bereitstellung, den Betrieb sowie die technische Betreuung einer digitalen Lernplattform für die Beschäftigten der Stadt Königs Wusterhausen.
Die fachliche Administration der Lernplattform, insbesondere die Zuordnung von Beschäftigten zu Schulungen, die Festlegung von Schulungsanforderungen und Fristen sowie die Überwachung und Do- kumentation des Schulungsstatus, erfolgt durch hierzu berechtigte Beschäftigte der Stadt Königs Wusterhausen.
Hierzu zählen insbesondere:
• die Einrichtung und Bereitstellung der Lernplattform einschließlich der erforderlichen Benut- zerkonten und Zugriffsberechtigungen,
• die Einrichtung von Administrations- und Verwaltungszugängen für hierzu berechtigte Be- schäftigte der Stadt Königs Wusterhausen,
[Seite 2]
2
• die technische Verwaltung der Benutzerkonten und Berechtigungen im Rahmen der verein- barten Leistungen,
• die Bereitstellung und Verwaltung von digitalen Schulungen, Kursen, Lerninhalten, Tests und sonstigen Lernangeboten,
• die technische Unterstützung der durch die Stadt Königs Wusterhausen vorgenommenen Zu- ordnung von Beschäftigten zu Schulungen sowie der Verwaltung von Schulungsstatus und Be- arbeitungsständen,
• die Speicherung und Bereitstellung der im Rahmen der Nutzung der Lernplattform anfallenden Daten zu Anmeldungen, Teilnahmen, Bearbeitungsständen, Lernfortschritten und gegebenen- falls Lernergebnissen,
• der Betrieb, die Wartung, Pflege und technische Administration der hierfür eingesetzten IT- Systeme und der Lernplattform,
• die Durchführung von Datensicherungen, Updates, Fehlerbehebungen und sonstigen techni- schen Maßnahmen zum sicheren und ordnungsgemäßen Betrieb der Lernplattform sowie
• die Erbringung von Support-, Service- und technischen Verwaltungsleistungen, soweit diese eine Verarbeitung personenbezogener Daten erfordern.
Die Einzelheiten der Leistungserbringung, insbesondere Art, Umfang und technische Ausgestaltung der Dienstleistungen, ergeben sich aus dem Leistungsverzeichnis zum Vergabeverfahren 2026-065-Ö, das Bestandteil dieser Vereinbarung ist.
Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zum Zweck der vertragsgemäßen Bereitstellung, des Betriebs und der technischen Betreuung der Lernplattform sowie zur Unterstützung der Stadt Königs Wusterhausen bei der Organisation, Durchführung und Dokumentation von Schu- lungs- und Weiterbildungsmaßnahmen.
Der Auftragnehmer verarbeitet dabei personenbezogene Daten ausschließlich im Auftrag des Auftrag- gebers im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO auf Grundlage dieses Vertrages. Eine Verarbeitung zu eigenen Zwecken oder eine eigenständige Entscheidung über Zwecke oder Mittel der Verarbeitung ist ausgeschlossen.
Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedsstaat der Europäi- schen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzun- gen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standardda- tenschutzklauseln, genehmigte Verhaltensregeln).
(2) Dauer der Vereinbarung
Diese Vereinbarung beginnt mit Inkrafttreten des zwischen den Parteien geschlossenen Hauptvertra- ges und gilt für dessen gesamte Laufzeit.
Sie endet automatisch mit Beendigung des Hauptvertrages, ohne dass es einer gesonderten Kündigung dieser Vereinbarung bedarf.
[Seite 3]
3
Das Recht des Auftraggebers, diese Vereinbarung jederzeit fristlos zu kündigen, bleibt unberührt, ins- besondere wenn der Auftragnehmer gegen datenschutzrechtliche Vorschriften oder gegen Bestim- mungen dieser Vereinbarung schwerwiegend verstößt, der Auftragnehmer eine rechtmäßige Weisung des Auftraggebers nicht ausführen kann oder will, oder der Auftragnehmer Kontroll- oder Prüfungs- rechte des Auftraggebers vertragswidrig verweigert.
Ein schwerwiegender Verstoß liegt insbesondere vor, wenn der Auftragnehmer die in dieser Vereinba- rung festgelegten Pflichten oder die sich aus Art. 28 DSGVO ergebenden Verpflichtungen nicht einhält.
- Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien be- troffener Personen:
(1) Art und Zweck der Verarbeitung
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Auftrag der Stadt Königs Wusterhausen und nach deren Weisung im Zusammenhang mit der Einführung und dem Betrieb des Lernmanagementsystems.
Zweck der Verarbeitung ist die Unterstützung der Stadt Königs Wusterhausen bei der Organisation, Durchführung, Verwaltung und Dokumentation von Schulungs- und Weiterbildungsmaßnahmen für ihre Beschäftigten.
Die Verarbeitung umfasst insbesondere die Erfassung, Speicherung, Zuordnung, Nutzung, Übermitt- lung und sonstige Verarbeitung personenbezogener Daten, soweit dies zur Durchführung und Verwal- tung der Schulungsmaßnahmen erforderlich ist. Hierzu können insbesondere Daten zur Identifikation und Zuordnung von Beschäftigten, zu Schulungszuweisungen, Anmeldungen und Teilnahmen, Bear- beitungsständen, Lernfortschritten, Lernergebnissen sowie zum Abschluss von Schulungen verarbeitet werden.
Die Verarbeitung dient insbesondere dazu, den hierzu berechtigten Beschäftigten der Stadt Königs Wusterhausen die fachliche Administration der Schulungsmaßnahmen zu ermöglichen und den jewei- ligen Schulungs- und Bearbeitungsstatus zu verwalten und zu überwachen.
Die Einzelheiten zu Art, Umfang und Ablauf der Verarbeitung ergeben sich aus dem Leistungsverzeich- nis zum Vergabeverfahren 2026-065-Ö, das Bestandteil dieser Vereinbarung ist.
Soweit sich aus dem Leistungsverzeichnis Auslegungs- oder Abgrenzungsfragen ergeben, erfolgt die Verarbeitung ausschließlich nach Weisung des Auftraggebers.
(2) Art der Verarbeitung
Die Verarbeitung umfasst insbesondere folgende Vorgänge im Sinne des Art. 4 Nr. 2 DSGVO:
• Erheben und Erfassen personenbezogener Daten,
• Organisieren und Ordnen von Benutzer-, Schulungs- und Teilnahmedaten,
• Speichern und Bereithalten personenbezogener Daten innerhalb des Lernmanagementsys- tems,
• Anpassen oder Verändern personenbezogener Daten, insbesondere von Benutzer- und Stammdaten sowie schulungsbezogenen Angaben und Bearbeitungsständen,
[Seite 4]
4
• Auslesen und Verwenden personenbezogener Daten im Rahmen der Nutzung und Administ- ration des Lernmanagementsystems,
• Zuordnen von Beschäftigten zu Schulungen sowie Verarbeiten von Anmeldungs-, Teilnahme-, Bearbeitungs- und Abschlussdaten,
• Verarbeiten und Bereitstellen von Daten zu Lernfortschritten, Lernergebnissen und Schulungs- status, soweit dies für die vereinbarten Schulungsmaßnahmen erforderlich ist,
• Übermitteln personenbezogener Daten im Rahmen der vertraglich geschuldeten Leistungen,
• Einschränken der Verarbeitung sowie
• Löschen personenbezogener Daten nach Maßgabe der vertraglichen und gesetzlichen Vorga- ben.
Eine weitergehende Verarbeitung personenbezogener Daten, insbesondere zu eigenen Zwecken des Auftragnehmers, findet nicht statt. Der Auftragnehmer verarbeitet die personenbezogenen Daten aus- schließlich im Auftrag und nach Weisung des Auftraggebers.
(3) Art der personenbezogenen Daten
Im Rahmen des Auftrags werden insbesondere folgende Kategorien personenbezogener Daten verar- beitet, vgl. Art. 4 Nr. 1, 13–15 DSGVO:
• Stammdaten der Beschäftigten (z. B. Name, Vorname),
• dienstliche Kontaktdaten (z. B. dienstliche E-Mail-Adresse),
• dienstliche Organisations- und Zuordnungsdaten (z. B. Organisationseinheit, Funktion oder vergleichbare Angaben), soweit diese für die Zuordnung und Verwaltung von Schulungen er- forderlich sind,
• Benutzer- und Identifikationsdaten der Beschäftigten (z. B. Benutzername, Nutzerkennung oder vergleichbare Kennungen),
• Daten zur Zuordnung und Anmeldung zu Schulungen und Kursen,
• Teilnahme- und Bearbeitungsdaten (z. B. Teilnahme, Bearbeitungsstand, Abschlussstatus und Abschlussdatum),
• Daten zum Lernfortschritt und gegebenenfalls zu Lernergebnissen, insbesondere Ergebnisse von Tests oder Lernkontrollen, soweit diese Bestandteil der jeweiligen Schulungsmaßnahme sind,
• Daten zu ausgestellten Teilnahmebestätigungen oder Zertifikaten sowie
• technische Protokoll- und Nutzungsdaten, soweit diese für den sicheren und ordnungsgemä- ßen Betrieb des Lernmanagementsystems erforderlich sind.
Eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO ist nicht Gegenstand dieser Vereinbarung. Soweit im Rahmen einzelner Schulungsinhalte oder durch Ein- gaben der Nutzer besondere Kategorien personenbezogener Daten verarbeitet werden könnten, ist dies nicht Gegenstand der vereinbarten Verarbeitung durch den Auftragnehmer und durch geeignete organisatorische und technische Maßnahmen möglichst zu vermeiden.
[Seite 5]
5
(4) Kategorien betroffener Personen
Von der Verarbeitung betroffen sind nach Art. 4 Nr. 1 DSGVO:
• Beschäftigte der Stadt Königs Wusterhausen.
- Rechte und Pflichten sowie Weisungsbefugnisse des Auftraggebers
Für die Beurteilung der Zulässigkeit der Verarbeitung personenbezogener Daten gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DSGVO ist allein der Auftraggeber verantwortlich.
Der Auftragnehmer ist verpflichtet, Anfragen betroffener Personen, sofern sie erkennbar den Auftrag- geber betreffen, unverzüglich an diesen weiterzuleiten und den Auftraggeber bei der Wahrnehmung seiner Pflichten gegenüber betroffenen Personen ohne schuldhaftes Zögern zu unterstützen, damit dieser die nach der DSGVO geltenden Fristen einhalten kann.
Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam zwischen Auftraggeber und Auftragnehmer abzustimmen und schriftlich oder in einem dokumentierten elektro- nischen Format festzulegen.
Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in ei- nem dokumentierten elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.
Der Auftraggeber ist berechtigt, sich anlassbezogen oder im Rahmen der vertraglich vereinbarten Kon- trollrechte von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatori- schen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen.
Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkei- ten bei der Prüfung der Auftragsergebnisse feststellt.
Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behan- deln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.
- Weisungsberechtigte des Auftraggebers, Weisungsempfänger des Auftragnehmers
Weisungsberechtigte Personen des Auftraggebers sind:
• Velizara Großhennig, Datenschutzbeauftragte, 03375 273-511
• Sowie ergänzend: dienstliche E-Mail-Adresse und Telefonnummer des fachlich zuständigen Sachgebiets (Vorname, Name, Organisationseinheit, Telefon)
Weisungsempfänger beim Auftragnehmer sind:
• Vom im Vergabeverfahren 2026-065-Öbezuschlagten Bieter auszufüllen (Vorname, Name, Organisationseinheit, Telefon)
[Seite 6]
6
Weisungen werden durch den Auftraggeber über folgende Kommunikationskanäle erteilt:
• E-Mail: datenschutz@stadt-kw.de
• Sowie ergänzend: dienstliche E-Mail-Adresse und Telefonnummer des fachlich zuständigen Sachgebiets
Der Auftragnehmer stellt sicher, dass die benannten Weisungsempfänger sowie die vom Auftragneh- mer mitgeteilten oder allgemein für den Auftrag vorgesehenen Kontaktadressen dauerhaft erreichbar sind und eingehende Weisungen unverzüglich intern weitergeleitet werden.
Das Risiko des fehlenden, verspäteten oder nicht ordnungsgemäßen Zugangs einer Weisung aufgrund organisationsinterner Umstände des Auftragnehmers trägt der Auftragnehmer.
Weisungen gelten als zugegangen, wenn sie an einen benannten Weisungsempfänger oder an eine vom Auftragnehmer mitgeteilte Kontaktadresse übermittelt wurden.
Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertrags- partner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen. Die Weisungen sind für ihre Geltungsdauer und anschließend noch für drei volle Kalen- derjahre aufzubewahren.
- Pflichten des Auftragnehmers
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers, sofern er nicht zu einer anderen Verarbei- tung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).
Der Auftragnehmer verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Auftraggebers nicht erstellt.
Der Auftragnehmer sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die für den Auftraggeber verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.
Soweit physische Datenträger eingesetzt werden, werden diese entsprechend gekennzeichnet. Ein- gang und Ausgang sowie die laufende Verwendung werden dokumentiert.
Der Auftragnehmer hat über die gesamte Abwicklung der Dienstleistung für den Auftraggeber insbe- sondere folgende Überprüfungen in seinem Bereich durchzuführen:
Die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO werden durch den Auftragnehmer in Anlage 1 beschrieben. Die Anlage ist vom Auftragnehmer vor Beginn der Verarbeitung vollständig auszufüllen und dem Auftraggeber vorzulegen.
[Seite 7]
7
Das Ergebnis der Kontrollen ist zu dokumentieren. Die Einzelheiten der technischen und organisatori- schen Maßnahmen ergeben sich aus 8. dieser Vereinbarung.
Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DSGVO durch den Auftrag- geber, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Da- tenschutz-Folgenabschätzungen des Auftraggebers hat der Auftragnehmer im notwendigen Umfang mitzuwirken und den Auftraggeber soweit möglich angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit e und f DSGVO). Er hat die dazu erforderlichen Angaben dem Auftraggeber unverzüglich an folgende Stelle weiterzuleiten: Datenschutzbeauftragte der Stadt Königs Wusterhausen (datenschutz@stadt- kw.de)
Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Wei- sung so lange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber nach Überprüfung bestätigt oder geändert wird.
Der Auftragnehmer hat personenbezogene Daten aus dem Auftragsverhältnis zu berichtigen, zu lö- schen oder deren Verarbeitung einzuschränken, wenn der Auftraggeber dies mittels einer Weisung verlangt und berechtigte Interessen des Auftragnehmers dem nicht entgegenstehen.
Unabhängig davon hat der Auftragnehmer personenbezogene Daten aus dem Auftragsverhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Weisung des Auftragge- bers ein berechtigter Anspruch des Betroffenen aus Art. 16, 17 und 18 DSGVO zugrunde liegt.
Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Weisung oder Zustimmung durch den Auftraggeber ertei- len.
Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber - grundsätzlich nach Ter- minvereinbarung - berechtigt ist, die Einhaltung der Vorschriften über Datenschutz und Datensicher- heit sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang selbst oder durch vom Auftraggeber beauftragte Dritte zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).
Gemäß Art. 28 Abs. 5 DSGVO kann die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO oder eines genehmigten Zertifizierungsverfahrens gemäß Art. 42 DSGVO durch einen Auftragnehmer als Faktor herangezogen werden, um hinreichende Garantien im Sinne des Art. 28 Abs. 1 und 4 DSGVO nachzuweisen. Der Auftragnehmer sichert zu, dass er, soweit erforderlich, bei diesen Kontrollen un- terstützend mitwirkt.
Die Verarbeitung personenbezogener Daten im Rahmen von Tele- oder Heimarbeit durch Beschäftigte des Auftragnehmers ist nur zulässig, wenn der Auftragnehmer vor Aufnahme der entsprechenden Tä- tigkeit geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO dokumentiert und gegenüber dem Auftraggeber nachgewiesen hat.
[Seite 8]
8
Der Auftragnehmer hat vor Freigabe der Verarbeitung im Homeoffice sicherzustellen und zu prüfen, dass bei seinen Beschäftigten eine unbefugte Kenntnisnahme personenbezogener Daten ausgeschlos- sen ist. Dies umfasst insbesondere die Prüfung und Sicherstellung geeigneter organisatorischer und technischer Rahmenbedingungen am jeweiligen Arbeitsplatz.
Der Auftragnehmer hat die Einhaltung dieser Anforderungen eigenverantwortlich zu überprüfen und zu dokumentieren. Die Verarbeitung personenbezogener Daten im Homeoffice darf erst erfolgen, wenn diese Voraussetzungen erfüllt sind. Der Auftraggeber ist berechtigt, sich die vorgenannten Nach- weise und Dokumentationen im Rahmen der vertraglich vereinbarten Kontrollrechte vorlegen zu las- sen.
Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutz- rechtlichen Vorschriften der DSGVO bekannt sind. Er verpflichtet sich, auch folgende für diesen Auftrag relevanten Geheimnisschutzregeln, wie das Bankgeheimnis zu beachten, die dem Auftraggeber oblie- gen.
Der Auftragnehmer verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten des Auftraggebers die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung des Ver- trages fort.
Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DSGVO). Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Be- trieb.
Beim Auftragnehmer ist als Beauftragte(r) für den Datenschutz Herr/Frau
Vom im Vergabeverfahren 2026-065-Öbezuschlagten Bieter auszufüllen
(Vorname, Name, Organisationseinheit, Telefon)
bestellt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen.
Der Auftragnehmer verpflichtet sich, den Auftraggeber über den Ausschluss von genehmigten Verhal- tensregeln nach Art. 41 Abs. 4 DSGVO und den Widerruf einer Zertifizierung nach Art. 42 Abs. 7 DSGVO unverzüglich zu informieren.
- Mitteilungspflichten des Auftragnehmers bei Störungen der Verarbeitung und bei Verlet- zungen des Schutzes personenbezogener Daten
Der Auftragnehmer teilt dem Auftraggeber unverzüglich nach Bekanntwerden, spätestens jedoch in- nerhalb von 24 Stunden, alle Störungen bei der Verarbeitung personenbezogener Daten, Verstöße ge- gen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie Ver- stöße durch den Auftragnehmer oder die bei ihm beschäftigten Personen mit. Dies gilt auch für den Verdacht auf Datenschutzverletzungen oder sonstige Unregelmäßigkeiten bei der Verarbeitung perso- nenbezogener Daten.
[Seite 9]
9
Die Mitteilung hat unaufgefordert und vollständig zu erfolgen und muss dem Auftraggeber bereits bei der Erstmitteilung alle vorhandenen Informationen enthalten, die dieser zur Bewertung des Vorliegens einer meldepflichtigen Datenschutzverletzung nach Art. 33 oder Art. 34 DSGVO benötigt.
Hierzu gehören insbesondere:
• eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten,
• Angaben zu Ursache und zeitlichem Ablauf des Vorfalls,
• die Kategorien und – soweit möglich – die ungefähre Anzahl der betroffenen Personen,
• die betroffenen Kategorien personenbezogener Daten,
• eine Einschätzung der möglichen Folgen für die betroffenen Personen,
• Angaben zu den ergriffenen oder geplanten Maßnahmen zur Behebung des Vorfalls und zur Minderung möglicher nachteiliger Auswirkungen.
Die Angaben sind inhaltlich so aufzubereiten, dass sie eine unmittelbare Verwendung für eine etwaige Meldung nach Art. 33 DSGVO ermöglichen. Dabei hat sich der Auftragnehmer inhaltlich an den Anforderungen des jeweils aktuellen Meldeformu- lars für Datenschutzverletzungen der Landesbeauftragten für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (LDA Brandenburg) zu orientieren.
Die Mitteilung dient dem Auftraggeber zur eigenständigen Bewertung, ob eine meldepflichtige Daten- schutzverletzung im Sinne der Art. 33 oder Art. 34 DSGVO vorliegt.
Die Entscheidung über das Vorliegen einer meldepflichtigen Datenschutzverletzung sowie über etwa- ige Meldungen an die Aufsichtsbehörde oder Benachrichtigungen betroffener Personen obliegt aus- schließlich dem Auftraggeber.
Der Auftragnehmer ist nicht berechtigt, eigenständig Meldungen oder Benachrichtigungen nach Art. 33 oder Art. 34 DSGVO vorzunehmen.
Kommt der Auftragnehmer seinen Mitteilungspflichten nicht, nicht vollständig, nicht unverzüglich oder nicht in der erforderlichen Qualität nach und entstehen dem Auftraggeber hierdurch rechtliche Nach- teile, aufsichtsbehördliche Maßnahmen oder Sanktionen, stellt dies eine wesentliche Pflichtverletzung dar.
Unberührt bleiben weitergehende vertragliche oder gesetzliche Ansprüche des Auftraggebers.
- Unterauftragsverhältnisse mit Subunternehmern (Art. 28 Abs. 3 Satz 2 lit. d DSGVO)
Die Beauftragung von Subunternehmern zur Verarbeitung personenbezogener Daten des Auftragge- bers ist dem Auftragnehmer nur mit Erlaubnis des Auftraggebers gemäß Art. 28 Abs. 2 DSGVO gestat- tet.
Die Erlaubnis ist über einen der in Ziffer 4 dieser Vereinbarung genannten Kommunikationswege zu erteilen; eine mündliche Erlaubnis ist ausgeschlossen.
Die zum Zeitpunkt des Vertragsschlusses eingesetzten Subunternehmer ergeben sich aus An- lage 2 zu dieser Vereinbarung.
[Seite 10]
10
Die Anlage enthält jeweils Name, Anschrift sowie den konkreten Auftragsinhalt der Subunter- nehmer.
Mit der Unterzeichnung dieser Vereinbarung erteilt der Auftraggeber die Erlaubnis zur Beauf- tragung der in Anlage 2 benannten Subunternehmer.
Eine Beauftragung von Subunternehmern in Drittstaaten ist nur zulässig, wenn die besonderen Vo- raussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss der Europäischen Kommission, Standarddatenschutzklauseln oder genehmigte Verhaltensregeln).
Der Auftragnehmer hat vertraglich sicherzustellen, dass die in dieser Vereinbarung festgelegten da- tenschutzrechtlichen Pflichten auch gegenüber den Subunternehmern in gleicher Weise gelten.
Der Vertrag mit dem Subunternehmer ist schriftlich oder in einem elektronischen Format abzuschlie- ßen und hat die Verantwortlichkeiten des Auftragnehmers und des Subunternehmers klar und nach- vollziehbar voneinander abzugrenzen. Werden mehrere Subunternehmer eingesetzt, gilt dies entspre- chend auch für die Abgrenzung der Verantwortlichkeiten zwischen diesen Subunternehmern.
Die Weiterleitung personenbezogener Daten an einen Subunternehmer ist erst zulässig, wenn dieser die Verpflichtungen nach Art. 29 DSGVO sowie Art. 32 Abs. 4 DSGVO hinsichtlich seiner Beschäftigten erfüllt hat.
Die Auswahl, Einbindung und Überwachung der Subunternehmer erfolgen eigenverantwortlich durch den Auftragnehmer.
Der Auftragnehmer überprüft die Einhaltung der datenschutzrechtlichen Pflichten der Subunterneh- mer risikoorientiert, insbesondere durch geeignete vertragliche Regelungen, Dokumentenprüfungen, Zertifizierungen oder Auditberichte. Das Ergebnis der Überprüfungen ist zu dokumentieren und dem Auftraggeber auf Verlangen zugänglich zu machen.
Der Auftragnehmer haftet gegenüber dem Auftraggeber dafür, dass die Subunternehmer, dass die Subunternehmer, die ihnen im Einklang mit dieser Vereinbarung vertraglich auferlegten Datenschutz- pflichten einhalten.
Der Auftragnehmer informiert den Auftraggeber vorab über jede beabsichtigte Hinzuziehung neuer oder die Ersetzung bisheriger Subunternehmer. Der Auftraggeber ist berechtigt, gegen die beabsich- tigte Beauftragung eines Subunternehmers Einspruch zu erheben.
Solange der Einspruch besteht, darf der betroffene Subunternehmer nicht beauftragt oder eingesetzt werden. Der Einspruch steht der Beauftragung nicht mehr entgegen, sobald der Auftraggeber die Gründe für den Einspruch als ausgeräumt ansieht.
- Technische und organisatorische Maßnahmen (insbesondere Art. 28 Abs. 3 Satz 2 lit. c und e DSGVO)
Der Auftragnehmer verpflichtet sich, geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu treffen und aufrechtzuerhalten, um ein dem Risiko für die Rechte und Freiheiten der betroffenen Personen angemessenes Schutzniveau für die Verarbeitung personenbezogener Daten si- cherzustellen.
[Seite 11]
11
Die vom Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen ergeben sich aus Anlage 1 zu dieser Vereinbarung. Die Anlage ist Bestandteil dieser Vereinbarung und wird vom Auftrag- nehmer bereitgestellt.
Die Auswahl, Umsetzung, Aufrechterhaltung und Weiterentwicklung der technischen und organisato- rischen Maßnahmen erfolgen eigenverantwortlich durch den Auftragnehmer.
Der Auftragnehmer stellt sicher, dass die technischen und organisatorischen Maßnahmen während der gesamten Dauer der Auftragsverarbeitung dem Stand der Technik, den gesetzlichen Anforderun- gen sowie den tatsächlichen Risiken der Verarbeitung entsprechen.
Änderungen der technischen und organisatorischen Maßnahmen sind zulässig, soweit hierdurch kein geringeres Schutzniveau erreicht wird.
Der Auftragnehmer informiert den Auftraggeber über wesentliche Änderungen der technischen und organisatorischen Maßnahmen.
- Verpflichtungen des Auftragnehmers nach Beendigung des Auftrags, Art. 28 Abs. 3 Satz 2 lit. g DSGVO
Nach Beendigung des Hauptvertrages hat der Auftragnehmer sämtliche in seinem Besitz sowie im Be- sitz von Subunternehmern befindlichen personenbezogenen Daten, Unterlagen sowie erstellten Ver- arbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit der Auftragsverarbeitung stehen, datenschutzgerecht zu vernichten oder vernichten zu lassen, sofern keine gesetzliche Aufbewahrungs- pflicht besteht.
Die Vernichtung hat nach anerkannten technischen und datenschutzrechtlichen Standards zu erfolgen. Soweit sich der Auftragnehmer zur Vernichtung eines externen Dienstleisters bedient, ist sicherzustel- len, dass dieser fachkundig und zuverlässig ist und die Vernichtung nach einem anerkannten Verfahren zur sicheren Datenvernichtung erfolgt. Der Auftragnehmer bleibt auch in diesem Fall für die daten- schutzkonforme Vernichtung verantwortlich.
Die erfolgte Vernichtung ist dem Auftraggeber unter Angabe des Datums und des Umfangs der ver- nichteten Daten schriftlich oder in dokumentierter elektronischer Form zu bestätigen.
- Vergütung
Eine gesonderte Vergütung für die Leistungen nach dieser Vereinbarung wird nicht geschuldet. Die Vergütung des Auftragnehmers richtet sich ausschließlich nach den Regelungen des Hauptvertrages in der jeweils geltenden Fassung.
- Haftung
Auf Art. 82 DSGVO wird verwiesen.
Im Übrigen haften die Vertragsparteien einander im Innenverhältnis nach Maßgabe der jeweils verur- sachten Verantwortlichkeit.
[Seite 12]
12
Der Auftragnehmer stellt den Auftraggeber von sämtlichen Ansprüchen Dritter frei, soweit diese auf einer vom Auftragnehmer zu vertretende Verletzung datenschutzrechtlicher Pflichten im Rahmen die- ser Vereinbarung beruhen.
- Vertragsstrafe
Soweit der Hauptvertrag Regelungen zu Vertragsstrafen enthält, bleiben diese unberührt.
Eine nach dem Hauptvertrag vereinbarte Vertragsstrafe erfasst auch schuldhafte Verstöße des Auf- tragnehmers, einschließlich vorsätzlicher und grob fahrlässiger Verstöße, gegen datenschutzrechtliche Pflichten sowie gegen sonstige Pflichten aus dieser Vereinbarung.
- Sonstiges
Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungs- unterlagen (auch zu Subunternehmen) sind von beiden Vertragspartnern für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.
Für Nebenabreden ist grundsätzlich die Schriftform oder ein dokumentiertes elektronisches Format erforderlich.
Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam oder undurchführ- bar sein oder werden, so berührt dies die Wirksamkeit der übrigen Bestimmungen dieser Vereinbarung nicht.
Die Wirksamkeit dieser Vereinbarung bleibt hiervon sowie von der Unwirksamkeit einzelner Bestim- mungen des Hauptvertrages unberührt, soweit und solange die Vereinbarung zur Auftragsverarbei- tung nach den datenschutzrechtlichen Vorschriften, insbesondere der DSGVO, erforderlich ist.
Datum:
Unterschriften
Auftraggeber Auftragnehmer
Anlagen
Sind vom im Vergabeverfahren 2026-065-Ö beaufschlagten Bieter vor Beginn der Verarbeitung bereit- zustellen
• Technisch organisatorische Maßnahmen (TOMs) des Auftragnehmers, einschließlich Incident- Response • Liste der Subunternehmer, einschließlich Angaben zu Drittstaatenübermittlungen nach Art. 44 ff. DSGVO)