Anlage AV Vereinbarung nach _ 80 SGB X Art 28 - Final.pdf

[Anlage zum Hauptvertrag] Stand: 27. Oktober 2025

Vereinbarung nach § 80 SGB X, Art. 28

Datenschutz-Grundverordnung (DS-GVO)

zwischen dem/der

– Verantwortlicher –

[ggf.: Vertreter gemäß Art. 27 DS-GVO:]

nachstehend auch Auftraggeber genannt

und dem/der

– Auftragsverarbeiter –

nachstehend auch Auftragnehmer genannt

Präambel

Die Vertragsparteien haben mit Zuschlag vom ____________ (Vergabe-Nummer:

CXP4YMTMXM2) einen Vertrag über Callcenter-Dienstleistungen im Bereich der gesetz-

lichen Kranken- und Pflegeversicherung geschlossen.

Diese Vereinbarung regelt die Maßnahmen zum Schutz des Sozialgeheimnisses und der

Sozialdaten im Sinne des § 35 SGB I oder anderer personenbezogener Daten bei der

Datenverarbeitung im Auftrag unter Berücksichtigung des § 80 SGB X, soweit Sozialdaten

verarbeitet werden, sowie des Art. 28 DS-GVO.

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand

Der Gegenstand des Auftrags ergibt sich aus dem Hauptvertrag vom _____________,

auf den hier verwiesen wird (im Folgenden auch Leistungsvereinbarung).

(2) Dauer

Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit des Hauptvertrages bis

zur vollständigen Erfüllung und Abwicklung der vereinbarten Leistungen aus der

Leistungsbeschreibung. Die Geheimhaltungspflicht gilt darüber hinaus unbe-

grenzt.

Der Auftraggeber kann den Hauptvertrag jederzeit ohne Einhaltung einer Frist kün-

digen, wenn

a) ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvor-

schriften oder die Bestimmungen des Vertrages vorliegt oder

b) der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann

oder will oder

c) der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert

oder

d) die Grundlage der Vertragserfüllung wesentlich verändert wird oder ganz ent-

fällt aufgrund einer Änderung der Rechts- oder Gesetzeslage oder wegen auf-

sichtsrechtlicher Maßnahmen oder

e) Daten vertragswidrig durch den Auftragnehmer an Staaten übermittelt werden,

die kein Mitgliedsstaat der Europäischen Union, kein anderer Vertragsstaat des

Abkommens über den Europäischen Wirtschaftsraum oder die Schweiz sind

oder für die kein Angemessenheitsbeschluss nach Art. 45 DS-GVO vorliegt.

Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art.

28 DSGVO abgeleiteten Pflichten stellt einen schweren Verstoß dar.

2

§ 2 Konkretisierung des Auftragsinhalts

(1) Art und Zweck der vorgesehenen Verarbeitung von Daten

Art und Zweck der Verarbeitung personenbezogener Daten / Sozialdaten

durch den Auftragnehmer für den Auftraggeber sind konkret beschrieben in

der Leistungsvereinbarung vom ______________

Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließ-

lich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Ver-

tragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Sofern

Sozialdaten verarbeitet werden, darf die Datenverarbeitung zusätzlich neben den

vorgenannten Staaten auch in der Schweiz erfolgen. Jede Verlagerung in ein Dritt-

land bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen,

wenn

a) die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, sofern per-

sonenbezogenen Daten Verarbeitet werden, die keine Sozialdaten sind (es gilt

ausschließlich Art. 28 DSGVO) oder

b) sofern Sozialdaten verarbeitet werden, ein Angemessenheitsbeschluss nach Art.

45 DSGVO vorliegt (Art. 28 DSGVO i.V.m. § 80 SGB X).

Ein Zugriff auf personenbezogene Daten durch Staaten, für die kein solcher Ange-

messenheitsbeschluss vorliegt, ist dem Auftragnehmer unverzüglich mitzuteilen.

In Anhang 2 sind die Standorte, bei denen Sozialdaten / personenbezogene Daten

des Auftraggebers verarbeitet werden, einzutragen und ggf. Feststellungen zum

angemessenen Schutzniveau in den betreffenden Drittländern zu treffen. Eine Ver-

änderung der Standorte oder Räumlichkeiten, in denen Daten des Auftraggebers

verarbeitet werden, oder ein Verlagern der Auftragsdurchführung an eine andere

Örtlichkeit als die mit dem Auftraggeber vereinbarte, bedarf der vorherigen schrift-

lichen Zustimmung des Auftraggebers. Soweit der Auftraggeber eine Daten-über-

mittlung an Dritte in ein Drittland anweist, ist er für die Einhaltung von Kapitel V

der DSGVO verantwortlich.

3

(2) Art der Daten

Die Art der verwendeten personenbezogenen Daten / Sozialdaten ist in der

Leistungsvereinbarung konkret beschrieben unter: ________________________

Gegenstand der Verarbeitung sind folgende Datenarten/-kategorien: Mitglie-

derbestandsführung, z.B. Stammdaten, eGK Aufträge, Versicherungszeiten,

etc.)

(3) Kategorien betroffener Personen

Die Kategorien der durch den Umgang mit ihren personenbezogenen

(Sozial-)Daten im Rahmen dieses Auftrags Betroffenen sind im Hauptvertrag

konkret beschrieben unter: ____________________________

Die Kategorien der durch die Verarbeitung betroffener Personen umfassen:

Versicherte, Mitglieder

§ 3 Technisch-organisatorische Maßnahmen

(1) Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe darge-

legten und erforderlichen technischen und organisatorischen Maßnahmen vor Be-

ginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchfüh-

rung schriftlich oder in Textform zu dokumentieren und dem Auftraggeber zur

Prüfung zu übergeben. Bei Akzeptanz durch den Auftraggeber werden die doku-

mentierten Maßnahmen Grundlage des Auftrags. Soweit die Prüfung/ein Audit des

Auftraggebers einen Anpassungsbedarf ergibt, ist dieser umzusetzen.

(2) Der Auftragnehmer hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DS-GVO insbe-

sondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DS-GVO herzustellen. Insgesamt

handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensi-

cherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus

hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belast-

barkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskos-

4

ten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unter-

schiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und

Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berück-

sichtigen (Einzelheiten in Anhang 1).

(3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen

Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestat-

tet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsni-

veau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Ände-

rungen sind revisionssicher zu dokumentieren.

(4) Sämtliche Dokumentationen zu den technischen und organisatorischen Maßnah-

men, Dokumentationen von Regelungen zum Datenschutz und zur Informations-

sicherheit und Audit- bzw. Prüfberichte müssen in deutscher Sprache verfasst bzw.

in deutscher Übersetzung bereitgehalten werden.

§ 4 IT-Sicherheit gemäß § 392 SGB V

(1) Der Dienstleister verpflichtet sich, bei der Erbringung der vereinbarten Leistungen

alle angemessenen technischen und organisatorischen Maßnahmen gemäß dem

aktuellen Stand der Technik zu ergreifen, um Störungen der Verfügbarkeit, Integ-

rität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und

Prozesse zu vermeiden, soweit deren Beeinträchtigung die Funktionsfähigkeit der

Krankenkasse oder die Sicherheit der verarbeiteten Versicherteninformationen

beeinträchtigen kann.

(2) Der Dienstleister gewährleistet die Einhaltung des branchenspezifischen Sicher-

heitsstandards (B3S) für die informationstechnische Sicherheit der gesetzlichen

Krankenkassen in der jeweils gültigen Fassung, soweit er auf ihn anwendbar ist.

(3) Der Dienstleister verpflichtet sich insbesondere zur Umsetzung folgender Anfor-

derungen:

a) Maßnahmen zur Erhöhung der Cybersecurity-Awareness seiner Mitarbeitenden,

insbesondere durch regelmäßige Schulungen und Sensibilisierungen.

5

b) Einsatz geeigneter Systeme zur Angriffserkennung, die kontinuierlich und au-

tomatisiert relevante Betriebsparameter und Sicherheitsmerkmale erfassen, aus-

werten und fortwährend Bedrohungen identifizieren sowie geeignete Maßnahmen

zur Störungsbeseitigung vorsehen (Betriebskontinuität).

c) Erfüllung aller weiteren sicherheitsrelevanten Anforderungen, die sich aus dem

B3S oder spezifischen Vorgaben der Krankenkassen ergeben, einschließlich etwa-

iger Zertifizierungen oder Audits.

(4) Der Dienstleister ist verpflichtet, die Einhaltung der vorgenannten Anforderungen

auf Verlangen der Krankenkasse nachzuweisen, z. B. durch Vorlage von Zertifika-

ten, Auditberichten oder technischen Nachweisen.

(5) Der Dienstleister hat bei der Erfüllung seiner Leistungen alle einschlägigen ge-

setzlichen Vorgaben, insbesondere § 392 SGB V, zu beachten und sich an ent-

sprechenden Weiterentwicklungen zu orientieren. Änderungen der gesetzlichen

Anforderungen sind vom Dienstleister unverzüglich zu berücksichtigen.

§ 5 Cloud-Dienste und Verarbeitung von Gesundheits- und Sozialdaten gemäß § 393 SGB V

1. Zulässigkeit der Cloud-Nutzung

Der Dienstleister ist berechtigt, im Rahmen dieses Vertrages Gesundheits- und Sozialdaten im Wege des Cloud-Computing-Dienstes zu verarbeiten, sofern alle gesetzlichen Anforderungen gemäß § 393 SGB V in der jeweils geltenden Fas- sung vollständig eingehalten werden.

2. Geografische Beschränkung und Niederlassungspflicht

Die Verarbeitung darf ausschließlich

a) im Inland,

b) in einem Mitgliedstaat der Europäischen Union,

c) in einem gleichgestellten Staat gemäß § 35 Abs. 7 SGB I oder d) in einem Drittstaat mit gültigem Angemessenheitsbeschluss gemäß Art. 45 DSGVO erfolgen. Die datenverarbeitende Stelle muss über eine Niederlassung im Inland ver- fügen.

6

3. Sicherheitsanforderungen und Nachweise

Der Dienstleister verpflichtet sich,

a) angemessene technische und organisatorische Maßnahmen nach dem Stand der

Technik zur Informationssicherheit umzusetzen,

b) ein aktuelles C5-Testat gemäß dem Anforderungskatalog C5 (Cloud Computing

Compliance Criteria Catalogue) des BSI vorzulegen:

o bis zum 30. Juni 2025: mindestens C5 Typ 1,

o ab dem 1. Juli 2025: C5 Typ 2,

o alternativ: ein gleichwertiger Sicherheitsnachweis gemäß § 1 der Verordnung über gleichwertige Sicherheitsnachweise zum C5-Standard für Cloud-Com-

puting-Dienste im Gesundheitswesen (C5-Gleichwertigkeitsverordnung -

C5GleichwV), etwa nach ISO/IEC 27001, ISO 27001 auf Basis IT-Grundschutz

oder Cloud Controls Matrix v4.0, sofern zusätzlich ein Maßnahmenplan gemäß § 1 Abs. 2 C5GleichwV vorgelegt

wird,

c) die korrespondierenden Kundenkriterien aus dem jeweiligen C5-Testat bzw. dem alternativen Sicherheitsnachweis umzusetzen und dies nachzuweisen.

4. Branchenspezifische Sicherheitsanforderungen

Für gesetzliche Krankenkassen gelten die Anforderungen des branchenspezifischen Sicherheitsstandards für gesetzliche Kranken- und Pflegeversicherer (B3S-GKV/PV) als Maßstab für die Angemessenheit der Sicherheitsmaßnahmen. Der Dienstleister verpflichtet sich, die darin enthaltenen Anforderungen vollständig umzusetzen.

5. Transparenzpflichten und Veröffentlichung

Auf Verlangen stellt der Dienstleister der Krankenkasse vollständige Informationen zu den eingesetzten, testierten Cloud-Systemen sowie eine Kontrollliste der umge- setzten Kundenkriterien zur Verfügung.

6. Datenschutz

Die Vorschriften des Zehnten Buches Sozialgesetzbuch sowie des Bundesdaten-

schutzgesetzes bleiben unberührt und sind vom Dienstleister uneingeschränkt zu

beachten.

7

§ 6 Qualitätssicherung und sonstige Pflichten des Auftragnehmers

Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags

gesetzliche Pflichten gemäß Art. 28 bis 33 DS-GVO; insofern gewährleistet er insbeson-

dere die Einhaltung folgender Vorgaben:

a) Die schriftliche Bestellung eines Datenschutzbeauftragten, der seine Tätigkeit ge-

mäß Art. 38 und 39 DS-GVO ausübt. Dessen Kontaktdaten werden dem Auftrag-

geber zum Zweck der direkten Kontaktaufnahme in Anhang 4 mitgeteilt. Ein Wech-

sel des Datenschutzbeauftragten wird dem Auftraggeber unverzüglich mitgeteilt.

b) Die Wahrung der Vertraulichkeit und des Daten- sowie Sozialgeheimnisses (sofern

Sozialdaten verarbeitet werden) gemäß Art. 28 Abs. 3 Satz 2 lit. b, 29, 32 Abs. 4

DS-GVO, § 35 SGB I. Der Auftragnehmer setzt bei der Durchführung der Arbeiten

nur Beschäftigte ein, die auf die Vertraulichkeit und zur Geheimhaltung unter Hin-

weis auf die rechtlichen Folgen einer Pflichtverletzung, insbesondere nach § 203

Abs. 4 StGB, nachweisbar verpflichtet und zuvor mit den für sie relevanten Bestim-

mungen zum Datenschutz vertraut gemacht wurden. Dies umfasst die Verpflich-

tung zur Geheimhaltung auch über das bestehende Dienst- oder Beschäftigungs-

verhältnis hinaus. Der Auftragnehmer und jede dem Auftragnehmer unterstellte

Person, die Zugang zu personenbezogenen Daten bzw. Sozialdaten hat, dürfen

diese Daten ausschließlich entsprechend der Weisung des Auftraggebers verarbei-

ten einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass

sie gesetzlich zur Verarbeitung verpflichtet sind.

c) Die Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen technischen

und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 Satz 2 lit. c, 32 DS-GVO

(Einzelheiten in Anhang 1).

d) Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichts-

behörde bei der Erfüllung ihrer Aufgaben zusammen.

e) Die unverzügliche Information des Auftraggebers über Kontrollhandlungen und

Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen.

Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrig-

keits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Da-

ten bzw. Sozialdaten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.

8

f) Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem

Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffe-

nen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang

mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auf-

tragnehmer nach besten Kräften zu unterstützen.

g) Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die tech-

nischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verar-

beitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des

geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen

Person gewährleistet wird. Die Kontrollen, die Ergebnisse und ggf. umgesetzte

Maßnahmen sind zu protokollieren und für mindestens 6 Jahre aufzubewahren.

h) Die Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnah-

men gegenüber dem Auftraggeber im Rahmen seiner Kontrollbefugnisse nach § 6

dieses Vertrages.

i) Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses er-

langten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen

des Auftraggebers vertraulich zu behandeln. Diese Verpflichtung besteht über das

Ende des Vertragsverhältnisses hinaus.

[Optional (die Gliederung ist ggf. anzupassen):

j) Personenbezogene Daten bzw. Sozialdaten des Auftraggebers dürfen nicht im öf-

fentlichen Raum (z.B. Flughafen, Bahn etc.) verarbeitet werden. Die Verarbeitung

der personenbezogenen Daten bzw. Sozialdaten des Auftraggebers außerhalb der

Geschäftsräume des Auftragnehmers ist nur im nichtöffentlichen Raum zulässig

und nur mit gesicherten firmeneigenen Geräten des Auftragnehmers. Es muss sich

dabei um verschlüsselte Festplatten, geschützte Verbindungen und fortschrittliche

Sicherheitsvorkehrungen (jeweils aktuell) wie z.B. Firewall handeln, sowie aktuelle

Signaturen von Viren- und Malwarescannern. Die Bestimmungen zu den technisch-

organisatorischen Maßnahmen nach § 3 sind zu beachten.]

[Optional (die Gliederung ist ggf. anzupassen):

k) Die Verwendung privater IT-Geräte wie PCs, Tablets, Notebooks, Smartphones

etc. bzw. die private Nutzung der firmeneigenen IT-Geräte ist grundsätzlich nicht

gestattet. Ausnahmen bedürfen der vorherigen ausdrücklichen Zustimmung

9

(schriftlich oder in Textform) des Auftraggebers und stehen unter dem Vorbehalt,

dass sich der Auftraggeber von einer hinreichenden Endgerätesicherheit des Auf-

tragnehmers überzeugen kann. Der Auftragnehmer hat dem Auftraggeber hierzu

geeignet nachzuweisen, dass er bei der Verwendung privater IT-Geräte dem

Schutzbedarf der Daten und dem jeweiligen Stand der Technik entsprechende Maß-

nahmen umgesetzt hat. Die Bestimmungen zu den technisch-organisatorischen

Maßnahmen nach § 3 sind zu beachten.]

l) Die Nutzung von Cloudcomputing durch den Auftragnehmer ist nur zulässig, wenn dieser mit dem jeweiligen Anbieter eine Vereinbarung nach Maßgabe des Art. 28 Abs. 2 bis 4 DS-GVO abschließt und – soweit Sozialdaten und / oder Ge- sundheitsdaten verarbeitet werden – die Vorgaben des § 393 Abs. 2 bis 4 SGB V und bei der Verarbeitung von Sozialdaten zusätzlich die Anforderungen des § 80 SGB X, insbesondere dessen Abs. 2, bezüglich der räumlichen Beschränkun- gen der Verarbeitung eingehalten werden.

[jeweils Optional (die Gliederung ist ggf. anzupassen); eine Regelung kann auch in

den TOMs erfolgen

m) Der Auftragnehmer darf ausschließlich solche Datenverarbeitungsvorgänge durch-

führen, die ihm innerhalb des Auftragsverhältnisses gemäß Art. 28 DS-GVO und -

sofern Sozialdaten verarbeitet werden - i.V.m. § 80 SGB X vorgegeben werden.

Insbesondere ist die Anonymisierung zu eigenen Zwecken, z.B. für eigene (Da-

ten-)Analysen ausgeschlossen.

n) Analysen des Nutzungsverhaltens und das Erfassen, Sammeln und Verarbeiten per-

sonenbezogener Telemetrie- und Diagnosedaten durch den Anbieter des einge-

setzten Dienstes zu eigenen Zwecken (z. B. zur Optimierung der eigenen Produkte,

Dienste und Geräte per Fernmessung) sind ausgeschlossen. Es dürfen nur die zur

Bereitstellung des Dienstes zwingend erforderlichen technischen und sonstigen In-

formationen verarbeitet werden, sofern dies durch eine gesetzliche Befugnis ge-

rechtfertigt ist.

o) Der Auftragnehmer verpflichtet sich, dass die Daten des Auftraggebers von Daten

anderer Auftraggeber streng getrennt werden. Kopien oder Duplikate der Daten

werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind

10

Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Daten-

verarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung ge-

setzlicher Aufbewahrungspflichten erforderlich sind.]

p) Sollte das Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen

Dritter (z.B. durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Ver-

gleichsverfahren) oder durch sonstige Ereignisse gefährdet werden, hat der Auf-

tragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftrag-

nehmer ist verpflichtet, alle in diesem Zusammenhang Verantwortlichen unverzüg-

lich darüber zu unterrichten, dass es sich um Daten des Auftraggebers handelt,

über die er keinerlei Verfügungs- oder sonstige Bestimmungsgewalt oder Eigen-

tumsrechte hat.

[Optional bei der Beauftragung von IT-Dienstleistungen

q) Zur Einhaltung der Vorgaben gemäß § 392 Abs. 6 SGB V und § 103a Abs. 6 SGB XI

verpflichtet sich der Auftragnehmer gegenüber dem Auftraggeber zur Einhaltung

des branchenspezifischen Sicherheitsstandards B3S-GKV/PV in der jeweils gültigen

Fassung. Ferner verpflichtet sich der Auftragnehmer gegenüber dem Auftraggeber

die durch ihn beauftragten Unterauftragnehmer ebenso zur Einhaltung des bran-

chenspezifischen Sicherheitsstandard B3S-GKV/PV in der jeweils gültigen Fassung,

zumindest für alle Dienstleistungen im Zusammenhang mit der beauftragten Leis-

tung zu verpflichten, soweit die beauftragten Unterauftragnehmer IT-Dienstleis-

tungen erbringen.

r) Technische Überprüfungen (z. B. Penetrationstests) sollen jährlich mit jeweils

wechselnden Schwerpunkten durchgeführt werden. Für den Fall, dass die techni-

sche Überprüfung bzw. der Penetrationstest-Bericht Sicherheitslücken und /oder

Einschränkungen aufführt, sind diese unverzüglich zu beheben.]

§ 7 Unterauftragsverhältnisse

(1) Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistun-

gen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung be-

ziehen, und bei denen ein Zugriff auf Sozialdaten bzw. personenbezogene Daten

nicht ausgeschlossen werden kann. Nicht hierzu gehören Nebenleistungen, die der

11

Auftragnehmer z.B. als Telekommunikationsdienstleister, dem Postgeheimnis un-

terliegende Post-/Transportdienstleistungen, Gebäudereinigung sowie sonstige

Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und

Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch

nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Daten-

schutzes und der Sicherheit der Daten des Auftraggebers auch bei ausgelagerten

Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarun-

gen sowie Kontrollmaßnahmen zu ergreifen.

(2) Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragnehmer) nur nach

vorheriger ausdrücklicher Zustimmung (mindestens Textform) des Auftraggebers

beauftragen und soweit der Auftragnehmer mit dem Unterauftragnehmer eine ver-

tragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2 bis 4 DS-GVO und - so-

fern Sozialdaten verarbeitet werden - i.V.m. § 80 SGB X, die zudem die in diesem

Vertrag vereinbarte Rechte und Pflichten berücksichtigt, geschlossen hat.

Der Auftraggeber stimmt der Beauftragung der in Anhang 3 aufgeführten Unter-

auftragnehmer zu, soweit jeweils eine vertragliche Vereinbarung nach Maßgabe von

Satz 1 geschlossen wurde.

(3) Sollen vom Auftragnehmer während der Vertragslaufzeit andere als in Anhang 3

benannte Unterauftragnehmer beauftragt oder Standorte von Unterauftragneh-

mern verlegt/erweitert werden, sind dem Auftraggeber rechtzeitig vor der geplan-

ten Veränderung geeignete Unterlagen mindestens in Textform zur Zustimmung

vorzulegen, insbesondere:

a) Beschreibung der Arbeiten, die der Unterauftragnehmer ausführen soll, b) Ort der Datenverarbeitung c) Bericht der letzten Prüfung (möglichst nicht älter als 12 Monate), d) Kopie der geplanten vertraglichen datenschutzrelevanten Regelungen (ein- schließlich der technischen und organisatorischen Maßnahmen zum Daten- schutz und zur Datensicherheit sowie ggf. nach § 393 SGB V) mit dem Un- terauftragnehmer. Die Änderung der vorlegten Unterlagen in dieser Hinsicht ist nur zulässig, wenn der

Auftraggeber dem ausdrücklich zustimmt. Der Auftraggeber wird die Unterlagen binnen

12

4 Wochen ab Zugang der Änderungsmitteilung und aller vollständigen Unterlagen prü-

fen. Er wird zustimmen, wenn der Änderung kein sachlicher Grund entgegensteht. Ein

sachlicher Grund im Sinne dieser Regelung liegt insbesondere vor, wenn der Unterauf-

tragnehmer bei der Verarbeitung von Sozialdaten seinen Sitz nicht in einem Land hat,

das Mitglied der EU/des EWR ist oder zu dem die Kommission einen Angemessenheits-

beschluss nach Art. 45 DSGVO erlassen hat oder der Unterauftragnehmereinsatz nicht

den Vorgaben des § 393 SGB V entsprechen würde.

(4) Erfordert abweichend von Absatz 3 ein unvorhergesehenes Ereignis, wie z. B. ein

IT-Sicherheitsvorfall, den Ersatz oder die Hinzuziehung neuer Unterauftragnehmer,

damit die vertraglich geschuldete Leistung noch erbracht werden kann, wird der

Auftraggeber unverzüglich über die Maßnahme in Textform informiert. Der Auf-

tragnehmer darf den Unterauftragnehmer erst beauftragen, wenn der Auftragneh-

mer mit dem Unterauftragnehmer eine vertragliche Vereinbarung nach Maßgabe

des Art. 28 Abs. 2 bis 4 DSGVO und - sofern Sozialdaten verarbeitet werden -

i.V.m. § 80 SGB X, die zudem die in diesem Vertrag vereinbarten Rechte und Pflich-

ten berücksichtigt, geschlossen hat. Die Unterlagen nach § 5 Abs. 3 von a) bis d)

dieser Vereinbarung werden vom Auftragnehmer unverzüglich zur Genehmigung

durch den Auftraggeber nachgereicht. Der Auftraggeber wird die Unterlagen bin-

nen 4 Wochen ab Zugang der Änderungsmitteilung und aller vollständigen Unter-

lagen prüfen. Er wird den Ersatz bzw. die Hinzuziehung des Unterauftragnehmers

genehmigen, wenn kein sachlicher Grund entsprechend Abs. 3 entgegensteht. Der

Auftragnehmer hat sicherzustellen, dass der neue bzw. hinzugezogene Unterauf-

tragnehmer noch von der Leistungserbringung ausgeschlossen werden kann, wenn

ein sachlicher Grund zur Versagung der Genehmigung besteht. In diesem Fall wer-

den die Parteien unter Beachtung der Aufrechterhaltung der Leistungserbringung

gemeinsam eine einvernehmliche Lösung finden.

(5) Die Weitergabe von personenbezogenen Daten und Sozialdaten des Auftraggebers

an den Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst mit Vor-

liegen aller gesetzlichen und vertraglich vereinbarten Voraussetzungen insbeson-

dere der vorliegenden schriftlichen (mindestens Textform) Zustimmung des Auf-

traggebers für eine Unterbeauftragung gestattet.

(6) Erbringt der Unterauftragnehmer die vereinbarte Leistung im Sinne von Abs. 1

Satz 2, stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch ent-

sprechende Maßnahmen sicher.

13

(7) Eine weitere Auslagerung durch einen Unterauftragnehmer bedarf der ausdrückli-

chen Zustimmung des (Haupt-)Auftraggebers mindestens in Textform. Sämtliche

vertraglichen Regelungen in der Vertragskette sind auch dem weiteren Unterauf-

tragnehmer aufzuerlegen.

(8) Die vertraglichen Vereinbarungen zwischen Auftragnehmer und Unterauftragneh-

mer sind so zu gestalten, dass sie den Bestimmungen des Vertragsverhältnisses

zwischen Auftraggeber und Auftragnehmer entsprechen. Dies gilt insbesondere im

Hinblick auf die Zweckbindung und die Vertraulichkeit der Datenvereinbarung im

Sinne des § 4 dieses Vertrages. Die entsprechenden vertraglichen Vereinbarungen

sind durch den Auftragnehmer nachzuweisen und rechtzeitig vor Abschluss des

Vertrages vorzulegen.

(9) Der Auftragnehmer hat den Unterauftragnehmer bezüglich der Einhaltung der ver-

traglichen Pflichten regelmäßig zu prüfen. Das Ergebnis ist zu dokumentieren,

mindestens 6 Jahre aufzubewahren und auf Verlangen dem Auftraggeber vorzule-

gen.

(10) Der Auftragnehmer stellt die datenschutzrechtliche Zulässigkeit bei der Erbringung

von Leistungen durch Unterauftragnehmer durch entsprechende Maßnahmen si-

cher. Das Verhalten eines Unterauftragsnehmers ist dem Auftragnehmer wie eige-

nes Verhalten zuzurechnen.

(11) Wird beim Auftragnehmer die Prüfung oder Wartung automatisierter Verfahren

oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenom-

men und kann dabei der Zugriff auf Sozialdaten / personenbezogene Daten oder

deren Kenntnisnahme durch diese Stellen nicht ausgeschlossen werden, sind dem

Auftraggeber rechtzeitig vor der Auftragserteilung die Verträge über Wartungsar-

beiten einschließlich der damit Beauftragten mitzuteilen. Sind Störungen im Be-

triebsablauf zu erwarten oder bereits eingetreten, ist der Vorgang dem Auftragge-

ber unverzüglich mitzuteilen.]

(12) Umfasst der Leistungsgegenstand Transportdienstleistungen und wird durch den

Auftragnehmer für den Datentransport ein Transportunternehmen beauftragt, so

14

hat er vertraglich sicherzustellen und dem Auftraggeber auf Verlangen nachzuwei-

sen, dass der Transportunternehmer den Datenschutzbestimmungen Genüge tut.

Werden Unterlagen des Auftraggebers abgeholt, stattet der Auftragnehmer den

Transportunternehmer mit einem schriftlichen Berechtigungsausweis für die Ent-

gegennahme der Unterlagen aus.]

§ 8 Kontrollrechte des Auftraggebers und dessen Aufsichtsbehörden

(1) Der Auftraggeber, dessen zuständige Aufsichtsbehörden bzw. ein von ihm beauf-

tragter Sachverständiger und neutraler Dienstleister, der in keinem Wettbewerbs-

verhältnis zum Auftragnehmer stehen darf und zuvor schriftlich vom Auftraggeber

auf die Vertraulichkeit und Wahrung der Geschäftsgeheimnisse zu verpflichten ist,

haben das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzu-

führen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Sie

haben das Recht, sich durch Stichprobenkontrollen von der Einhaltung dieser Ver-

einbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen.

(2) Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der

Pflichten des Auftragnehmers nach Art. 28 DS-GVO überzeugen kann. Der Auf-

tragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen

Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und or-

ganisatorischen Maßnahmen nachzuweisen.

(3) Das Prüfrecht umfasst insbesondere die Besichtigung von Grundstücken und Ge-

schäftsräumen, Auskünfte zur Vertragsausführung, Einsicht in Papierunterlagen

und auch die Einsichtnahme in die beim Auftragnehmer gespeicherten personen-

bezogenen Daten / Sozialdaten des Auftraggebers, soweit dies im Rahmen des

Auftrags zur Überwachung von Datenschutz und Datensicherheit erforderlich ist.

Dies gilt insbesondere für den Nachweis der Umsetzung der technischen und or-

ganisatorischen Maßnahmen.

(4) Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen,

kann erfolgen durch

a) die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO oder

15

b) die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß

Art. 42 DS-GVO;

c) aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B.

Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabtei-

lung, Datenschutzauditoren, Qualitätsauditoren);

d) eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit

(z.B. nach ISO 27001 oder BSI-Standards).

(5) Der Auftragnehmer sichert zu, dass er die notwendige personelle und sachliche

Unterstützung bei den Prüfungen zur Verfügung stellt.

(6) Aufwände und Kosten, die beim Auftragnehmer im Zuge der Prüfung durch den

Auftraggeber entstehen, trägt allein der Auftragnehmer. Kosten, die dem Auftrag-

geber im Zuge der Prüfung entstehen, trägt dieser selbst. Eine Kostenverrechnung

und -weitergabe an den Auftraggeber oder an vom Auftraggeber zur Durchführung

der Prüfung beauftragte Dritte ist ausgeschlossen.

§ 9 Mitwirkungspflichten des Auftragnehmers

Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den § 83a bis

84 SGB X (soweit Sozialdaten verarbeitet werden) und den Artikeln 32 bis 36 der DS-

GVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei

Datenpannen, Datenschutz-Folgenabschätzungen und vorherige Konsultationen der

Aufsichtsbehörde. Hierzu gehören u.a.

a) die Sicherstellung eines angemessenen Schutzniveaus durch technische und orga-

nisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie

die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverlet-

zung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von

relevanten Verletzungsereignissen ermöglichen,

b) die Verpflichtung, Verletzungen des Schutzes personenbezogener Daten unver-

züglich an den Auftraggeber zu melden. In diesem Falle hat der Auftragnehmer

sofort alle erforderlichen Maßnahmen zur Sicherung der Sozialdaten zu treffen und

weitere Anweisungen durch den Auftraggeber abzuwarten.

16

c) die Verpflichtung, den Auftraggeber im Rahmen seiner Informationspflicht gegen-

über dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtli-

che relevante Informationen unverzüglich zur Verfügung zu stellen,

d) nach Möglichkeit die Unterstützung des Auftraggebers bei der Beantwortung und

Umsetzung von Betroffenenrechten mit geeigneten technischen und organisatori-

schen Maßnahmen (§ 3 und 9 bleiben hiervon unberührt),

e) die Unterstützung des Auftraggebers für dessen Datenschutz-Folgenabschätzung,

f) die Unterstützung des Auftraggebers im Rahmen vorheriger Konsultationen mit der

Aufsichtsbehörde.

§ 10 Weisungsbefugnis des Auftraggebers

(1) Der Auftraggeber hat das Recht, erforderlichenfalls Weisungen (mindestens Text-

form) im Rahmen der Art. 28, 32 DS-GVO zur Ergänzung der beim Auftragnehmer

vorhandenen technischen und organisatorischen Maßnahmen zum Datenschutz

und zur Datensicherheit zu erteilen.

(2) Mündliche Weisungen bestätigt der Auftraggeber unverzüglich (mind. in Textform).

(3) Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der

Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftrag-

nehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange

auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

§ 11 Berichtigung, Einschränkung, Löschung und Rückgabe der vertragsgegenständli-

chen Daten

(1) Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigen-

mächtig, sondern nur nach dokumentierter Weisung des Auftraggebers beauskunf-

ten, portieren, berichtigen, löschen oder deren Verarbeitung einschränken. Soweit

eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wen-

det, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber

weiterleiten.

17

(2) Soweit vom Leistungsumfang umfasst, ist das Löschkonzept, das Recht auf Ver-

gessenwerden, die Berichtigung von personenbezogenen Daten / Sozialdaten, die

Datenportabilität (soweit einschlägig) und Auskünfte nach Weisung (mindestens

Textform) des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustel-

len und revisionssicher zu dokumentieren.

(3) Sämtliche Daten und Unterlagen sowie Verarbeitungs- oder Nutzungsergebnisse,

die im Zusammenhang mit den im Hauptvertrag genannten Leistungen dieser Da-

tenschutzbestimmungen in die Verfügungsgewalt des Auftragnehmers gelangt

sind, hat dieser entsprechend der jeweiligen Vereinbarungen im Einzelfall bzw.

nach Abschluss der vertraglichen Arbeiten dem Auftraggeber auszuhändigen bzw.

zu übermitteln.

(4) Auf Verlangen des Auftraggebers hat der Auftragnehmer in seinem Besitz befind-

liche Daten bzw. Datenbestände (z.B. physische Datenträger, elektronische Dateien

oder Datenbanken in seinen Datenverarbeitungs-Systemen) nichtreproduzierbar

zu löschen bzw. physisch zu vernichten. Die Vernichtung hat in Abhängigkeit von

den verarbeiteten personenbezogenen Daten / Sozialdaten nach DIN 66399 Teile

1 bis 3 mindestens mit der [abhängig von den zu verarbeitenden Daten auswählen:

<Schutzklasse 2><Schutzklasse 3>] mindestens mit Sicherheitsstufe 4 in der je-

weils einschlägigen Materialklasse zu erfolgen. Die Datenlöschung hat nach aner-

kanntem Standard des Bundesamtes für Sicherheit in der Informationstechnik (BSI)

oder anderweitiger adäquater Regelungen für vertrauliche Daten in der jeweils ak-

tuellen Fassung zu erfolgen. Dies gilt auch für Test- und Zwischenergebnisse. Ist

eine Löschung auf Sicherungskopien wegen der besonderen Art der Speicherung

nur mit einem unverhältnismäßig hohen Aufwand möglich, sind die Daten nach

Abstimmung mit dem Auftraggeber für jede weitere Verarbeitung einzuschränken.

(5) Die Löschung und Vernichtung hat der Auftragnehmer in geeigneter Weise zu pro-

tokollieren. Im Zweifelsfall sind geeignete Maßnahmen mit dem Auftraggeber ab-

zustimmen. Hinsichtlich sämtlicher Löschvorgänge hat der Auftragnehmer dem

Auftraggeber Löschprotokolle auf Verlangen zu übergeben.

Es sind folgende Mindestinhalte für ein Löschprotokoll zu berücksichtigen:

18

• Datum und Uhrzeit der Löschung, • das gültige Löschkonzept (Version, Datum), • die Methode der Datenlöschung (Verfahren), • das betroffene Verfahren (Beschreibung der zu löschenden Daten), • die angewandte Löschregel, • die für die Löschung verantwortliche Person, • die ausführenden Personen, • bei automatisierter Löschung die Anzahl der zu löschenden Daten (Summen-

protokolle, Zählreport) und • bei automatisierter Löschung die Anzahl der gelöschten Daten (Summenpro-

tokolle, Zählreport, Löschlaufreport).

Das Löschprotokoll darf darüber hinaus keine personenbezogenen Daten und keine So-

zialdaten enthalten. Sind von der Vernichtung auch nicht elektronische Unterlagen be-

troffen, ist ein Vernichtungsprotokoll zu erstellen.

(6) Endet das Vertragsverhältnis, hat der Auftragnehmer gegenüber dem Auftraggeber

schriftlich zu erklären, dass die nicht mehr erforderlichen Daten und Datenträger

ordnungsgemäß im Sinne dieses Vertrages gelöscht bzw. vernichtet wurden und

welche Daten aus gesetzlichen Gründen über das Ende des Auftragsverhältnisses

hinaus aufbewahrt werden müssen.

§ 12 Ansprechpartner

Ansprechpartner des Auftraggebers ergeben sich aus Anhang 4.

§ 13 Haftung

(1) Der Auftragnehmer haftet gegenüber dem Auftraggeber im Rahmen der gesetzli-

chen Bestimmungen [Optional: für Schäden, die infolge schuldhaften Verhaltens

gegen Datenschutzbestimmungen und gegen diese Datenschutzvereinbarung ent-

stehen]. Ebenso haftet er für schuldhaftes Verhalten seiner Unterauftragnehmer

sowie deren Unterauftragnehmer.

19

(2) Der Auftragnehmer bestätigt, sich gegen die Inanspruchnahme wegen Verletzung

von Datenschutzvorschriften hinreichend versichert zu haben und diesen Versi-

cherungsschutz für die gesamte Laufzeit des Hauptvertrages in vollem Umfang

aufrechtzuerhalten. Auf Nachfrage des Auftraggebers ist dies durch Vorlage ge-

eigneter Dokumente nachzuweisen.]

(3) Auftraggeber und Auftragnehmer haften gegenüber betroffenen Personen entspre-

chend der in Art. 82 DS-GVO getroffenen Regelung.

§ 14 Sonstiges

(1) Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam oder undurchführ-

bar sein oder nach Vereinbarungsschluss unwirksam oder undurchführbar werden,

bleibt davon die Wirksamkeit der Vereinbarung im Übrigen unberührt. An die Stelle

der unwirksamen oder undurchführbaren Bestimmung soll diejenige wirksame und

durchführbare Regelung treten, deren Wirkungen der wirtschaftlichen Zielsetzung

am nächsten kommen, die die Vertragsparteien mit der unwirksamen bzw. un-

durchführbaren Bestimmung verfolgt haben. Die vorstehenden Bestimmungen gel-

ten entsprechend für den Fall, dass sich die Vereinbarung als lückenhaft erweist.

(2) Sollten sich datenschutzrechtliche Änderungen während der Vertragslaufzeit erge-

ben, die zu einer Vertragsanpassung führen müssen, verpflichten sich die Ver-

tragspartner Vertragsverhandlungen mit dem Ziel der Einigung aufzunehmen.

(3) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform.

(4) Die Einrede des Zurückbehaltungsrechts i.S.v. § 273 BGB wird hinsichtlich der per-

sonenbezogenen Daten/Sozialdaten und der zugehörigen Datenträger ausge-

schlossen.

(5) Sämtliche Kommunikation zwischen dem Auftragnehmer und dem Auftraggeber

sowie zwischen dem Auftragnehmer und den Aufsichten/Prüfdiensten haben in

deutscher Sprache zu erfolgen.

20

§ 15 Inkrafttreten

(1) Diese Datenschutzbestimmungen treten mit Inkrafttreten des Hauptvertrages in

Kraft.

(2) Es gilt die Gerichtsstandvereinbarung des Hauptvertrages.

Ort, Datum Ort, Datum

Stempel/Unterschrift Auftragnehmer Stempel/Unterschrift Auftraggeber

21

Anhang 1 zur Vereinbarung über die Einhaltung datenschutzrechtlicher Bestimmungen

Sicherheitskonzept des Auftragnehmers

Technisch-organisatorische Maßnahmen [als Beispiel; ggf. sind auftragsspezifische Maßnahmen

erforderlich]

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO) • Zutrittskontrolle

Kein unbefugter Zutritt zu Datenverarbeitungsanlagen, z.B.: Magnet- oder Chipkarten,

Schlüssel, elektrische Türöffner, Werkschutz bzw. Pförtner, Alarmanlagen, Videoanlagen; • Zugangskontrolle

Keine unbefugte Systembenutzung, z.B.: (sichere) Kennwörter, automatische Sperrmecha-

nismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern; • Zugriffskontrolle

Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, z.B.:

Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen; • Trennungskontrolle

Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, z.B.

Mandantenfähigkeit, Sandboxing; • Pseudonymisierung (Art. 32 Abs. 1 lit. a DS-GVO; Art. 25 Abs. 1 DS-GVO)

Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuzie-

hung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zuge-

ordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt

werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen;

2. Integrität (Art. 32 Abs. 1 lit. b DS-GVO) • Weitergabekontrolle

Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung

oder Transport, z.B.: Verschlüsselung, Virtual Private Networks (VPN), elektronische Signa-

tur; • Eingabekontrolle

Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme

eingegeben, verändert oder entfernt worden sind, z.B.: Protokollierung, Dokumentenma-

nagement;

22

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO) • Verfügbarkeitskontrolle

Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z.B.: Backup-Strategie (on-

line/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz,

Firewall, Meldewege und Notfallpläne; • Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DS-GVO).

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

(Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO) • Datenschutz-Management; • Incident-Response-Management; • Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DS-GVO); • Auftragskontrolle

Keine Auftragsdatenverarbeitung im Sinne von Art. 28 DS-GVO ohne entsprechende Wei-

sung des Auftraggebers, z.B.: Eindeutige Vertragsgestaltung, formalisiertes Auftragsma-

nagement, strenge Auswahl des Dienstleisters, Vorabüberzeugungspflicht, Nachkontrollen.

23

Anhang 2 zur Vereinbarung über die Einhaltung datenschutzrechtlicher Bestimmungen

Verzeichnis zu Standorten der Geschäftsräume des Auftragnehmers

Aus der Übersicht sollen alle Standorte über die Geschäftsräume des Auftragnehmers hervorge-

hen, welche für die Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten / Sozi-

aldaten des Auftraggebers im Rahmen des vereinbarten Auftragsverhältnisses genutzt werden.

Telefonnummer/ Fax-Nr./ Standorte postalische Anschrift E-Mail-Adresse

Ort/Datum Unterschrift/Firmenstempel

des Auftragnehmers

24

Anhang 3 zur Vereinbarung über die Einhaltung datenschutzrechtlicher Bestimmungen

Aus der Übersicht sollen alle Unterauftragnehmer des Auftragnehmers hervorgehen, welche für

die Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten / Sozialdaten des Auf-

traggebers und der hierzu für die Wartung der eingesetzten automatisierten Verfahren und Da-

tenverarbeitungsanlagen im Rahmen des vereinbarten Auftragsverhältnisses eingesetzt werden.

Ort/Datum Unterschrift/Firmenstempel

des Auftragnehmers

25

Anhang 4:

(1) Ansprechpartner des Auftraggebers ist/sind:

(2) Ansprechpartner des Auftragnehmers ist/sind:

26

27