01a_Vereinbarung_zur_Auftragsverarbeitung.pdf

[Seite 1]

Anhang A Vereinbarung zur Auftragsverarbeitung, Version: 3.0, Datum: 12.02.2025

BA075-26

Vereinbarung zur Auftragsverarbeitung1

Der Abschluss der Vereinbarung erfolgt als Anlage zum Vertrag / zur Leistungsbeschreibung mit

Zuschlag vom [Datum]

• nachfolgend „Leistungsvereinbarung“ -

zwischen der

Bundesrepublik Deutschland vertreten durch das Bundesministerium für Gesundheit, vertreten

durch das Bundesinstitut für Öffentliche Gesundheit, Maarweg 149-161, 50825 Köln

• nachfolgend „Verantwortlicher“ -

und

[Vertragspartner]

• nachfolgend „Auftragsverarbeiter“ -

• beide nachfolgend gemeinsam „Vertragsparteien“ - wird die folgende Vereinbarung zur Auftragsverarbeitung geschlossen:

Inhalt Präambel ......................................................................................................................................... 2 § 1 Anwendungsbereich .................................................................................................................. 2 § 2 Konkretisierung des Auftragsinhalts ......................................................................................... 2 § 3 Verantwortlichkeit und Weisungsbefugnis ............................................................................... 3 § 4 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverarbeiter ........................ 4 § 5 Technisch-organisatorische Maßnahmen und deren Kontrolle................................................ 5 § 6 Mitteilung bei Verstößen durch den Auftragsverarbeiter ........................................................ 6 § 7 Löschung und Rückgabe von Daten .......................................................................................... 6 § 8 Subunternehmen ....................................................................................................................... 7 § 9 Datenschutzkontrolle ................................................................................................................ 8 § 10 Schlussbestimmungen ............................................................................................................. 8 Anhang „Technisch-organisatorische Maßnahmen“ .................................................................... 10 § 1 Technische und organisatorische Sicherheitsmaßnahmen..................................................... 10 § 2 Innerbehördliche oder innerbetriebliche Organisation des Auftragsverarbeiters ................. 10 § 3 Konkretisierung der Einzelmaßnahmen .................................................................................. 10

1 1Hinweis: Diese Vereinbarung zur Auftragsverarbeitung ist Teil der Vergabeunterlagen. Im Zuge einer etwaigen Zuschlagserteilung wird sie unter Bezeichnung des Auftragnehmers als verbindliches Vertragsdokument vom Auftraggeber an den Auftragnehmer übersandt. Dabei wird das Zuschlagsdatum als Datum der Leistungsbeschreibung eingetragen. Eine Einreichung durch den Bieter bereits mit dem Angebot ist nicht erforderlich! Vereinbarung zur Auftragsverarbeitung

[Seite 2]

Seite 2 | 13

Präambel

Die Vertragsparteien sind mit der Leistungsvereinbarung ein Auftragsverarbeitungsverhältnis ein-

gegangen. Um die sich hieraus ergebenden Rechte und Pflichten gemäß den Vorgaben der euro-

päischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parla-

ments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung

personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG -

DSGVO), und des Bundesdatenschutzgesetzes (BDSG) zu konkretisieren, schließen die Vertrags-

parteien die nachfolgende Vereinbarung.

§ 1 Anwendungsbereich

Die Vereinbarung findet Anwendung auf die Erhebung, Verarbeitung und Löschung (im Folgen-

den: Verarbeitung) aller personenbezogener Daten (im Folgenden: Daten), die Gegenstand der

Leistungsvereinbarung sind oder im Rahmen von deren Durchführung anfallen oder dem Auf-

tragsverarbeiter bekannt werden. Nicht unter den Anwendungsbereich fallen Daten von Mitar-

beitern des Auftragsverarbeiters, soweit sie ausschließlich das Beschäftigungsverhältnis mit dem

Auftragsverarbeiter betreffen.

§ 2 Konkretisierung des Auftragsinhalts

(1) Gegenstand und Dauer der Auftragsverarbeitung sowie Umfang, Art und Zweck der vorgese-

henen Verarbeitung von Daten bestimmen sich nach der Leistungsvereinbarung.

(2) Folgende Datenarten oder -kategorien sind Gegenstand der Verarbeitung durch den Auf-

tragsverarbeiter: Personen- und Kontaktdaten (Name, Adressen, E-Mail-Adressen).

(3): Der Kreis der durch den Umgang mit ihren Daten betroffenen Personen umfasst:

• Beschäftigte bzw. Mitarbeiter, die beim Auftraggeber angestellt sind.

• Personen, die in der Redaktion oder der Technikagentur arbeiten.

• Weitere Personen, die dem Auftragnehmer im Rahmen der Fremdkosten-Beauftragung

zuarbeiten.

Vereinbarung zur Auftragsverarbeitung

[Seite 3]

Seite 3 | 13

§ 3 Verantwortlichkeit und Weisungsbefugnis

(1) Die Vertragsparteien sind für die Einhaltung der datenschutzrechtlichen Bestimmungen ver-

antwortlich. Der Verantwortliche kann jederzeit die Herausgabe, Berichtigung, Anpassung, Lö-

schung und Einschränkung der Verarbeitung der Daten verlangen.

(2) Zur Gewährleistung des Schutzes der Rechte der betroffenen Personen unterstützt der Auf-

tragsverarbeiter den Verantwortlichen angemessen, insbesondere durch die Gewährleistung ge-

eigneter technischer und organisatorischer Maßnahmen.

(3) Soweit sich eine betroffene Person zwecks Geltendmachung eines Betroffenenrechts unmit-

telbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unver-

züglich an den Verantwortlichen weiterleiten.

(4) Der Auftragsverarbeiter darf Daten ausschließlich im Rahmen der Weisungen des Verant-

wortlichen verarbeiten, sofern er nicht zu einer anderen Verarbeitung durch das Recht der

Union oder des Mitgliedstaates, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist

(z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt

der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verar-

beitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen

öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Eine Weisung ist die auf ei-

nen bestimmten Umgang des Auftragsverarbeiters mit Daten gerichtete schriftliche, elektroni-

sche oder mündliche Anordnung des Verantwortlichen. Die Anordnungen sind zu dokumentie-

ren. Die Weisungen werden zunächst durch die Leistungsvereinbarung definiert und können von

dem Verantwortlichen danach in dokumentierter Form durch eine einzelne Weisung geändert,

ergänzt oder ersetzt werden.

(5) Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der

Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragsver-

arbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis

sie von Seiten des Verantwortlichen bestätigt oder geändert wird.

(6) Änderungen des Verarbeitungsgegenstandes mit Verfahrensänderungen sind gemeinsam ab-

zustimmen und zu dokumentieren. Auskünfte an Dritte oder die betroffene Person darf der Auf-

tragsverarbeiter nur nach vorheriger ausdrücklicher schriftlicher Zustimmung durch den Verant-

wortlichen erteilen. Der Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke und

ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate werden

ohne Wissen des Verantwortlichen nicht erstellt.

Vereinbarung zur Auftragsverarbeitung

[Seite 4]

Seite 4 | 13

(7) Der Verantwortliche führt das Verzeichnis von Verarbeitungstätigkeiten i. S. d. Art. 30 Abs. 1

DSGVO. Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Wunsch Informationen

zur Aufnahme in das Verzeichnis zur Verfügung. Der Auftragsverarbeiter führt entsprechend den

Vorgaben des Art. 30 Abs. 2 DSGVO ein Verzeichnis zu allen Kategorien von im Auftrag des Ver-

antwortlichen durchgeführten Tätigkeiten der Verarbeitung.

(8) Die Verarbeitung der Daten im Auftrag des Verantwortlichen findet ausschließlich im Gel-

tungsbereich der DSGVO statt. Eine Verarbeitung in einem Staat außerhalb des in Satz 1 genann-

ten Territoriums ist nur zulässig wenn sichergestellt ist, dass unter Berücksichtigung der Voraus-

setzungen des Kapitels V der DSGVO das durch die DSGVO gewährleistete Schutzniveau nicht

unterlaufen wird und bedarf der vorherigen ausdrücklichen schriftlichen Zustimmung des Ver-

antwortlichen. Die grundlegenden Voraussetzungen für die Rechtmäßigkeit der Verarbeitung

bleiben unberührt.

(9) Der Auftragsverarbeiter stellt sicher, dass ihm unterstellte natürliche Personen, die Zugang zu

Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten. Eine Verarbeitung von

Daten außerhalb der Betriebsräume des Auftragsverarbeiters (z.B. Telearbeit, Heimarbeit, Home

Office, mobiles Arbeiten) bedarf der vorherigen ausdrücklichen schriftlichen Zustimmung des

Verantwortlichen, die erst nach Festlegung angemessener technischer und organisatorischer

Maßnahmen für die Verarbeitungssituation erteilt werden kann.

§ 4 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverarbeiter

(1) Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der Daten befugten Per-

sonen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwie-

genheitspflicht unterliegen und weist dies dem Verantwortlichen auf Wunsch nach. Dies umfasst

auch die Belehrung über die in diesem Auftragsverarbeitungsverhältnis bestehende Weisungs-

und Zweckbindung.

(2) Die Vertragsparteien unterstützen sich gegenseitig beim Nachweis und der Dokumentation

der ihnen obliegenden Rechenschaftspflicht im Hinblick auf die Grundsätze ordnungsgemäßer

Datenverarbeitung einschließlich der Umsetzung der notwendigen technischen und organisato-

rischen Maßnahmen (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Der Auftragsverarbeiter stellt dem

Verantwortlichen hierzu bei Bedarf entsprechende Informationen zur Verfügung.

(3) Der Auftragsverarbeiter hat eine/n Datenschutzbeauftragte/n zu benennen, die/der

ihre/seine Tätigkeit entsprechend den gesetzlichen Vorschriften ausübt, sofern die Benennung

Vereinbarung zur Auftragsverarbeitung

[Seite 5]

Seite 5 | 13

eines Datenschutzbeauftragten nach Maßgabe des § 38 Abs. 1 BDSG verpflichtend ist. Die Kon-

taktdaten der/des Datenschutzbeauftragten sind dem Verantwortlichen zum Zwecke der direk-

ten Kontaktaufnahme mitzuteilen.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen und

Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde im Rahmen ihrer Zu-

ständigkeit bei dem Auftragsverarbeiter anfragt, ermittelt oder sonstige Erkundigungen einzieht.

§ 5 Technisch-organisatorische Maßnahmen und deren Kontrolle

(1) Die Vertragsparteien vereinbaren die in dem Anhang „Technisch-organisatorische Maßnah-

men“ zu dieser Vereinbarung niedergelegten konkreten technischen und organisatorischen Si-

cherheitsmaßnahmen. Der Anhang ist Gegenstand dieser Vereinbarung.

(2) Technische und organisatorische Maßnahmen unterliegen dem technischen Fortschritt. Inso-

weit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen.

Dabei darf das Sicherheitsniveau der in dem Anhang „Technisch-organisatorische Maßnahmen“

festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu doku-

mentieren.

(3) Der Auftragsverarbeiter wird dem Verantwortlichen alle erforderlichen Informationen zur

Verfügung stellen, die zum Nachweis der Einhaltung der in dieser Vereinbarung getroffenen und

der gesetzlichen Vorgaben erforderlich sind. Er wird insbesondere Überprüfungen/Inspektionen,

die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt

werden, ermöglichen und deren Durchführung unterstützen. Der Nachweis der Umsetzung sol-

cher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann dabei auch durch Vor-

lage eines aktuellen Testats, von Berichten hinreichend qualifizierter und unabhängiger Instan-

zen (z.B. Wirtschaftsprüfer, unabhängige Datenschutzauditoren), durch die Einhaltung geneh-

migter Verhaltensregeln nach Art. 40 DSGVO, einer Zertifizierung nach Art. 42 DSGVO oder einer

geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grund-

schutz) erbracht werden. Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen über

den Ausschluss von genehmigten Verhaltensregeln gemäß Art. 41 Abs. 4 DSGVO, den Widerruf

einer Zertifizierung gemäß Art. 42 Abs. 7 und jede andere Form der Aufhebung oder wesentli-

chen Änderung der vorgenannten Nachweise unverzüglich zu unterrichten.

(4) Der Verantwortliche kann sich jederzeit zu Prüfzwecken in den Betriebsstätten des Auf-

tragsverarbeiters zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs von der

Vereinbarung zur Auftragsverarbeitung

[Seite 6]

Seite 6 | 13

Angemessenheit der Maßnahmen zur Einhaltung der gesetzlichen Vorgaben oder der zur Durch-

führung dieses Vertrages erforderlichen technischen und organisatorischen Erfordernisse über-

zeugen.

(5) Der Auftragsverarbeiter stellt dem Verantwortlichen darüber hinaus alle erforderlichen Infor-

mationen zur Verfügung, die er für die Prüfungen nach Absatz 4 sowie für eine Abschätzung der

Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz der Daten (Datenschutz-Folgen-

abschätzung i. S. d. Art. 35 DSGVO) benötigt.

(6) Der Auftragsverarbeiter hat im Benehmen mit dem Verantwortlichen alle erforderlichen

Maßnahmen zur Sicherung der Daten bzw. der Sicherheit der Verarbeitung, insbesondere auch

unter Berücksichtigung des Stands der Technik, sowie zur Minderung möglicher nachteiliger Fol-

gen für Betroffene zu ergreifen.

§ 6 Mitteilung bei Verstößen durch den Auftragsverarbeiter

Der Auftragsverarbeiter unterrichtet den Verantwortlichen umgehend bei schwerwiegenden

Störungen seines Betriebsablaufes, bei Verdacht auf Verstöße gegen diese Vereinbarung sowie

gesetzliche Datenschutzbestimmungen, bei Verstößen gegen solche Bestimmungen oder ande-

ren Unregelmäßigkeiten bei der Verarbeitung der Daten des Verantwortlichen. Dies gilt insbe-

sondere im Hinblick auf die Meldepflicht nach Art. 33 Abs. 2 DSGVO sowie auf korrespondie-

rende Pflichten des Verantwortlichen nach Art. 33 und Art. 34 DSGVO. Der Auftragsverarbeiter

sichert zu, den Verantwortlichen erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34

DSGVO angemessen zu unterstützen. Meldungen nach Art. 33 oder 34 DSGVO für den Verant-

wortlichen darf der Auftragsverarbeiter nur nach vorheriger Weisung gem. § 3 dieses Vertrages

durchführen.

§ 7 Löschung und Rückgabe von Daten

(1) Überlassene Datenträger und Datensätze verbleiben im Eigentum des Verantwortlichen.

(2) Nach Abschluss der vertraglich vereinbarten Leistungen oder früher nach Aufforderung

durch den Verantwortlichen, jedoch spätestens mit Beendigung der Leistungsvereinbarung, hat

der Auftragsverarbeiter sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs-

und Nutzungsergebnisse sowie Datenbestände (wie auch hiervon gefertigte Kopien oder Repro-

duktionen), die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verantwortlichen

auszuhändigen oder nach vorheriger Zustimmung des Verantwortlichen datenschutzgerecht zu

Vereinbarung zur Auftragsverarbeitung

[Seite 7]

Seite 7 | 13

vernichten. Gleiches gilt für Test- und Ausschussmaterial. Ein Löschungsprotokoll ist dem Verant-

wortlichen auf Anforderung vorzulegen.

(3) Der Auftragsverarbeiter kann Dokumentationen, die dem Nachweis der auftrags- und ord-

nungsgemäßen Datenverarbeitung dienen, entsprechend der jeweiligen Aufbewahrungsfristen

bis zu deren Ende auch über das Vertragsende hinaus aufbewahren. Alternativ kann er sie zu

seiner Entlastung bei Vertragsende dem Verantwortlichen übergeben. Für die nach Satz 1 aufbe-

wahrten Daten gelten nach Ende der Aufbewahrungsfrist die Pflichten nach Absatz 2.

§ 8 Subunternehmen

(1) Der Auftragsverarbeiter darf weitere Auftragsverarbeiter (Subunternehmen) nur mit vorheri-

ger ausdrücklicher schriftlicher Zustimmung des Verantwortlichen in Anspruch nehmen. [Die zur

Erfüllung dieses Vertrages hinzugezogenen Subunternehmen sind in der Anlage x im Einzelnen

bezeichnet. Mit deren Beauftragung erklärt sich der Verantwortliche einverstanden]. Sofern es

sich um eine allgemeine schriftliche Genehmigung handelt, informiert der Auftragsverarbeiter

den Verantwortlichen unverzüglich über jede beabsichtigte Änderung in Bezug auf die Hinzuzie-

hung oder die Ersetzung von Subunternehmen. Der Verantwortliche kann gegen derartige Ände-

rungen Einspruch erheben. Nicht als Leistungen von Subunternehmen im Sinne dieser Regelung

gelten Dienstleistungen, die der Auftragsverarbeiter bei Dritten als Nebenleistung zur Unterstüt-

zung der Auftragsdurchführung in Anspruch nimmt, beispielsweise Telekommunikationsdienst-

leistungen. Der Auftragsverarbeiter ist jedoch verpflichtet, zur Gewährleistung des Schutzes und

der Sicherheit der Daten des Verantwortlichen auch bei fremd vergebenen Nebenleistungen an-

gemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaß-

nahmen zu ergreifen.

(2) Wenn Subunternehmen durch den Auftragsverarbeiter eingeschaltet werden, hat der Auf-

tragsverarbeiter sicherzustellen, dass seine vertraglichen Vereinbarungen mit dem Subunter-

nehmen so gestaltet sind, dass das Datenschutzniveau mindestens der Vereinbarung zwischen

dem Verantwortlichen und dem Auftragsverarbeiter entspricht und alle vertraglichen und ge-

setzlichen Vorgaben beachtet werden; dies gilt insbesondere auch im Hinblick auf den Einsatz

geeigneter technischer und organisatorischer Maßnahmen zur Gewährleistung eines angemes-

senen Sicherheitsniveaus der Verarbeitung.

(3) Dem Verantwortlichen sind in der vertraglichen Vereinbarung mit dem Subunternehmen

Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung einzuräumen. Ebenso ist

Vereinbarung zur Auftragsverarbeitung

[Seite 8]

Seite 8 | 13

der Verantwortliche berechtigt, auf schriftliche Anforderung vom Auftragsverarbeiter Auskunft

über den Inhalt des mit dem Subunternehmen geschlossenen Vertrages und die darin enthal-

tene Umsetzung der datenschutzrelevanten Verpflichtungen des Subunternehmens zu erhalten.

(4) Kommt das Subunternehmen seinen datenschutzrechtlichen Verpflichtungen nicht nach, so

haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten

des Subunternehmens. Der Auftragsverarbeiter hat in diesem Falle auf Verlangen des Verant-

wortlichen die Beschäftigung des Subunternehmens ganz oder teilweise zu beenden oder das

Vertragsverhältnis mit dem Subunternehmen zu lösen, wenn und soweit dies nicht unverhältnis-

mäßig ist.

§ 9 Datenschutzkontrolle

Der Auftragsverarbeiter verpflichtet sich, der/dem Datenschutzbeauftragten des Verantwortli-

chen sowie der zuständigen Aufsichtsbehörde zur Erfüllung ihrer jeweiligen gesetzlichen zuge-

wiesenen Aufgaben im Zusammenhang mit diesem Auftrag jederzeit Zugang zu den üblichen

Geschäftszeiten zu gewähren. Der Auftragsverarbeiter unterwirft sich zusätzlich zu der für ihn

bestehenden gesetzlichen Datenschutzaufsicht der Kontrolle der für den Verantwortlichen be-

stehenden Datenschutzaufsicht (hier: die/der Bundesbeauftragte für den Datenschutz und die

Informationsfreiheit) und der Kontrolle durch die/den Datenschutzbeauftragten des Verantwort-

lichen mit Ausnahme der Bereiche, die keinerlei Bezug zur Auftragserfüllung haben. Er duldet

insbesondere Betretungs-, Einsichts- und Fragerechte der Genannten einschließlich der Einsicht

in durch Berufsgeheimnisse geschützte Unterlagen. Er wird seine Mitarbeiter anweisen, mit den

Genannten zu kooperieren, insbesondere deren Fragen wahrheitsgemäß und vollständig zu be-

antworten. Die nach Gesetz bestehenden Verschwiegenheitspflichten und Zeugnisverweige-

rungsrechte der Genannten bleiben davon unberührt.

§ 10 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Anlage und aller ihrer Bestandteile - einschließlich et-

waiger Zusicherungen des Auftragsverarbeiters - bedürfen einer beiderseitig unterzeichneten

Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Er-

gänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

Die Unterzeichnung kann entweder durch eigenhändige Unterschrift und Versand per Post oder

Austausch der eigenhändig unterschriebenen Vertragsdokumente als Mailanhang bzw. per Fax

Vereinbarung zur Auftragsverarbeitung

[Seite 9]

Seite 9 | 13

oder durch ein Einfügen einer eingescannten Unterschrift und Versand per Mail bzw. per Fax er-

folgen. Dies gilt auch für Abreden, die diese Bestimmung aufheben.

(2) Sollten einzelne Regelungen dieser Vereinbarung unwirksam oder undurchführbar sein, wird

davon die Wirksamkeit der übrigen Regelungen nicht berührt. An die Stelle der unwirksamen

oder undurchführbaren Regelung tritt diejenige wirksame und durchführbare Regelung, deren

Wirkungen der Zielsetzung am nächsten kommt, die die Vertragsparteien mit der unwirksamen

oder undurchführbaren Bestimmung verfolgt haben. Die vorstehenden Bestimmungen gelten

entsprechend für den Fall, dass sich die Vereinbarung als lückenhaft erweist.

Vereinbarung zur Auftragsverarbeitung

[Seite 10]

Seite 10 | 13

Betreuung und Weiterentwicklung der Medien Familienplanung (print und digital - www.familienplanung.de)

Anhang „Technisch-organisatorische Maßnahmen“

zur Vereinbarung zur Auftragsverarbeitung vom [Datum]

zwischen dem Bundesinstitut für Öffentliche Gesundheit

und [Vertragspartner]

§ 5 der Vereinbarung zur Auftragsverarbeitung verweist zur Konkretisierung der technisch-orga-

nisatorischen Maßnahmen auf diesen Anhang.

§ 1 Technische und organisatorische Sicherheitsmaßnahmen

Die Vertragspartner sind verpflichtet, geeignete technische und organisatorische Maßnahmen

so durchzuführen, dass die Verarbeitung der Daten im Einklang mit den gesetzlichen Anforde-

rungen erfolgt und der Schutz der Rechte der betroffenen Person in angemessener Form ge-

währleistet ist.

§ 2 Innerbehördliche oder innerbetriebliche Organisation des Auftragsverarbeiters

Der Auftragsverarbeiter wird seine innerbehördliche oder innerbetriebliche Organisation so ge-

stalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind ins-

besondere Maßnahmen zu treffen, die je nach der Art der zu schützenden Daten oder Datenka-

tegorien geeignet sind.

§ 3 Konkretisierung der Einzelmaßnahmen

(1) Im Einzelnen werden folgende Maßnahmen bestimmt, die der Umsetzung der Vorgaben des

Art. 32 DSGVO dienen:

2 Die Maßnahmen 1 – 8 sind entsprechend der Angaben des Bieters in der „Eigenerklärung Da-

tenschutz“ nach Zuschlagserteilung zu ergänzen

Vereinbarung zur Auftragsverarbeitung

[Seite 11]

Seite 11 | 13

Vereinbarung zur Auftragsverarbeitung

[Seite 12]

Seite 12 | 13

Vereinbarung zur Auftragsverarbeitung

[Seite 13]

Seite 13 | 13

(2) Es ist ein Verfahren zu etablieren, das eine regelmäßige Überprüfung, Bewertung und Evalu-

ierung der Wirksamkeit der zum Einsatz kommenden technischen und organisatorischen Maß-

nahmen durch die Vertragsparteien ermöglicht.

Vereinbarung zur Auftragsverarbeitung