Vereinbarung zur Auftragsverarbeitung

Als Anlage zur Rahmenvereinbarung/ zur Leistungsbeschreibung vom 22.07.2026 i.d.F.v. 30.07.2026

der Kurzbezeichnung: „Entwicklung und Wartung von Fachanwendungen für Vollzugsverfahren der DEHSt auf Basis des DEHSt-Software-Development Kits mit dem Schwerpunkt auf Migration von existierenden Fachanwendungen (Los 3)“

dem Geschäftszeichen: Z 1.5 – 10 233/00077

und der Projektnummer: 206008

nachfolgend „Leistungsvereinbarung“ -

zwischen der

Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Umwelt, Klimaschutz, Naturschutz und nukleare Sicherheit, dieses vertreten durch den Präsidenten des Umweltbundesamtes,

Wörlitzer Platz 1, 06844 Dessau-Roßlau

nachfolgend „Auftraggeber“ oder „Verantwortlicher“ -

und dem Auftragnehmer des vorstehenden Vertrages

nachfolgend „Auftragnehmer“ oder „Auftragsverarbeiter“ -
beide nachfolgend gemeinsam „Vertragsparteien“ -

wird die folgende Vereinbarung zur Auftragsverarbeitung geschlossen:

Inhalt

Präambel 3

§ 1 Anwendungsbereich 3

§ 2 Konkretisierung des Auftragsinhalts 3

§ 3 Verpflichtungen und Weisungsbefugnis 3

§ 4 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverarbeiter 4

§ 5 Technisch-organisatorische Maßnahmen und deren Kontrolle 5

§ 6 Mitteilung bei Verstößen durch den Auftragsverarbeiter 6

§ 7 Löschung und Rückgabe von Daten 6

§ 8 Unterauftragnehmer 6

§ 9 Datenschutzkontrolle 7

§ 10 Haftung und Schadenersatz 7

§ 11 Schlussbestimmungen 7

Anhang „Weisungsbefugnis“ zu § 3 9

Anhang „Technisch-organisatorische Maßnahmen (TOM)“ 10

Anhang „Unterauftragnehmer“ zu § 8 16

Anhang „Home Office, Mobiles Arbeiten“ zu § 3 Abs. 11 17

Präambel

Die Vertragsparteien sind mit der Leistungsvereinbarung ein Auftragsverarbeitungsverhältnis eingegangen. Um die sich hieraus ergebenden Rechte und Pflichten gemäß den Vorgaben der europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG - DSGVO), und des Bundesdatenschutzgesetzes (BDSG) zu konkretisieren, schließen die Vertragsparteien die nachfolgende Vereinbarung.

§ 1 Anwendungsbereich

(1) Die Vereinbarung findet Anwendung auf die Verarbeitung (Art. 4 Nr. 2 DSGVO) aller personenbezogener Daten (im Folgenden: Daten), die Gegenstand der Leistungsvereinbarung sind oder im Rahmen von deren Durchführung anfallen und auf Weisung des Verantwortlichen verarbeitet werden. Nicht unter den Anwendungsbereich fallen Daten von Mitarbeitenden des Auftragsverarbeiters, soweit sie ausschließlich das Beschäftigungsverhältnis mit dem Auftragsverarbeiter betreffen.

(2) Dieser Vertrag gilt vorranging vor anderen Vereinbarungen und Abreden zwischen Auftraggeber und Auftragnehmer mit Bezug zur Verarbeitung von Daten, es sie denn, zwischen den Vertragsparteien wird ausdrücklich etwas anderes vereinbart.

§ 2 Konkretisierung des Auftragsinhalts

(1) Gegenstand und Dauer der Auftragsverarbeitung sowie Umfang, Art und Zweck der vorgesehenen Verarbeitung von Daten bestimmen sich nach der Leistungsvereinbarung, die dieser Vereinbarung angefügt ist.

(2) Folgende Arten personenbezogener Daten sind Gegenstand der Verarbeitung durch den Auftragsverarbeiter: Personenstammdaten

(3) Der Kreis der durch den Umgang mit ihren Daten betroffenen Personen ist in: Die für Objekte und Prozesse zuständigen bzw. relevanten Personen.

(4) Im Rahmen der Auftragsverarbeitung werden keine besondere[n] Kategorien von Daten verarbeitet.

(5) Die verarbeiteten personenbezogenen Daten haben einen normalen Schutzbedarf.

§ 3 Verpflichtungen und Weisungsbefugnis

(1) Die Vertragsparteien sind verpflichtet, die Ihnen durch die Datenschutzgesetze (insb. DSGVO) auferlegten Pflichten einzuhalten. Der Verantwortliche kann jederzeit die Herausgabe, Berichtigung, Anpassung, Löschung und Einschränkung der Verarbeitung der Daten verlangen.

(2) Zur Gewährleistung des Schutzes der Rechte der betroffenen Personen unterstützt der Auftragsverarbeiter den Verantwortlichen angemessen, insbesondere durch die Gewährleistung geeigneter technischer und organisatorischer Maßnahmen.

(3) Soweit sich eine betroffene Person zwecks Geltendmachung eines Betroffenenrechts unmittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.

(4) Der Auftragsverarbeiter darf Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen verarbeiten, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder des Mitgliedstaates, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Eine Weisung ist die auf einen bestimmten Umgang des Auftragsverarbeiters mit Daten gerichtete schriftliche, elektronische oder mündliche Anordnung des Verantwortlichen. Die Anordnungen sind zu dokumentieren. Die Weisungen werden zunächst durch die Leistungsvereinbarung definiert und können von dem Verantwortlichen danach in dokumentierter Form durch eine einzelne Weisung geändert, ergänzt oder ersetzt werden. Die weisungsberechtigten Personen auf Seiten des Verantwortlichen ergeben sich aus dem Anhang „Weisungsbefugnis“ zu § 3. Der Anhang „Weisungsbefugnis“ zu § 3 wird Gegenstand dieser Vereinbarung.

(5) Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie von Seiten des Verantwortlichen bestätigt oder geändert wird. Die weisungsberechtigten Personen auf Seiten des Verantwortlichen sowie die zum Empfang der Weisungen berechtigten Personen auf Seiten des Auftragsverarbeiters sowie die vorgesehenen Informationswege sind in der Anlage festgelegt.

(6) Änderungen des Verarbeitungsgegenstandes mit Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren.

(7) Auskünfte an Dritte oder die betroffene Person darf der Auftragsverarbeiter nur nach vorheriger ausdrücklicher schriftlicher (oder dokumentierter elektronischer) Zustimmung durch den Verantwortlichen erteilen, es sei denn er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Auskunft verpflichtet.

(8) Der Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben, es sei denn er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Herausgabe verpflichtet. Kopien und Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt.

(9) Der Verantwortliche führt das Verzeichnis von Verarbeitungstätigkeiten i. S. d. Art. 30 Abs. 1 DSGVO. Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Wunsch Informationen zur Aufnahme in das Verzeichnis zur Verfügung. Der Auftragsverarbeiter führt entsprechend den Vorgaben des Art. 30 Abs. 2 DSGVO ein Verzeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung.

(10) Die Verarbeitung der Daten im Auftrag des Verantwortlichen findet ausschließlich auf dem Gebiet eines Mitgliedstaates der Europäischen Union (EU) oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage schriftlicher (oder dokumentierter elektronischer) Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der DSGVO im Einklang stehen. Die grundlegenden Voraussetzungen für die Rechtmäßigkeit der Verarbeitung bleiben unberührt.

(11) Der Auftragsverarbeiter gewährleistet, dass ihm unterstellte natürliche Personen, die Zugang zu Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten. Eine Verarbeitung von Daten außerhalb der Betriebsräume des Auftragsverarbeiters (z. B. Telearbeit, Heimarbeit, Home Office, mobiles Arbeiten) ist nur zulässig, wenn mindestens die im Anhang „Home Office, Mobiles Arbeiten“ zu § 3 Abs. 11 angekreuzten technischen und organisatorischen Maßnahmen für die Verarbeitungssituation erfüllt werden. Der Anhang „Home Office, Mobiles Arbeiten“ zu § 3 Abs. 11 wird Gegenstand dieser Vereinbarung.

§ 4 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverarbeiter

(1) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und weist dies dem Verantwortlichen auf Wunsch nach. Dies umfasst auch die Belehrung über die in diesem Auftragsverarbeitungsverhältnis bestehende Weisungs- und Zweckbindung.

(2) Die Vertragsparteien unterstützen sich gegenseitig beim Nachweis und der Dokumentation der ihnen obliegenden Rechenschaftspflicht im Hinblick auf die Grundsätze ordnungsgemäßer Datenverarbeitung einschließlich der Umsetzung der notwendigen technischen und organisatorischen Maßnahmen (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Der Auftragsverarbeiter stellt dem Verantwortlichen hierzu bei Bedarf entsprechende Informationen zur Verfügung.

(3) Sofern der Auftragsverarbeiter der gesetzlichen Pflicht zur Benennung einer/s Datenschutzbeauftragte/n unterliegt sind die Kontaktdaten der/des Datenschutzbeauftragten dem Verantwortlichen zum Zwecke der direkten Kontaktaufnahme mitzuteilen. Unterliegt der Auftragsverarbeiter nicht der Benennungspflicht, teilt er dem Verantwortlichen die Kontaktdaten eines Ansprechpartners für den Datenschutz mit.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde im Rahmen ihrer Zuständigkeit bei dem Auftragsverarbeiter anfragt, ermittelt oder sonstige Erkundigungen einzieht.

§ 5 Technisch-organisatorische Maßnahmen und deren Kontrolle

(1) Die Vertragsparteien vereinbaren die in dem Anhang „Technisch-organisatorische Maßnahmen“ zu dieser Vereinbarung niedergelegten konkreten technischen und organisatorischen Sicherheitsmaßnahmen. Der Anhang „Technisch-organisatorische Maßnahmen“ wird Gegenstand dieser Vereinbarung.

(2) Ergibt eine vom Verantwortlichen durchzuführende Prüfung einen Anpassungsbedarf hinsichtlich der vom Auftragsverarbeiter zu ergreifenden technisch-organisatorischen Maßnahmen, sind die Anpassungen im Einvernehmen zwischen beiden Vertragsparteien umzusetzen.

(3) Technische und organisatorische Maßnahmen unterliegen dem technischen Fortschritt. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der in dem Anhang „Technisch-organisatorische Maßnahmen“festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

(4) Der Auftragsverarbeiter wird dem Verantwortlichen alle erforderlichen Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung der in dieser Vereinbarung getroffenen und der gesetzlichen Vorgaben erforderlich sind. Er wird insbesondere Überprüfungen/ Inspektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglichen und deren Durchführung unterstützen.

(5) Die Überprüfung kann auch auf der Grundlage vorgelegter aktueller Testate, von Berichten hinreichend qualifizierter und unabhängiger Instanzen (z. B. Wirtschaftsprüfer, unabhängige Datenschutzauditoren), durch die Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO, einer Zertifizierung nach Art. 42 DSGVO oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit erfolgen. Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen über den Ausschluss von genehmigten Verhaltensregeln gemäß Art. 41 Abs. 4 DSGVO, den Widerruf einer Zertifizierung gemäß Art. 42 Abs. 7 und jede andere Form der Aufhebung oder wesentlichen Änderung der vorgenannten Nachweise unverzüglich zu unterrichten.

(6) Die Überprüfung kann auch durch eine Inspektion vor Ort erfolgen. Der Verantwortliche kann sich hierzu in den Betriebsstätten des Auftragsverarbeiters zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs von der Angemessenheit der Maßnahmen zur Einhaltung der gesetzlichen Vorgaben oder der zur Durchführung dieses Vertrages erforderlichen technischen und organisatorischen Erfordernisse überzeugen.

(7) Der Auftragsverarbeiter stellt dem Verantwortlichen darüber hinaus alle erforderlichen Informationen zur Verfügung, die er für die Prüfungen nach Absatz 4 sowie für eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz der Daten (Datenschutz-Folgenabschätzung i. S. d. Art. 35 DSGVO) benötigt.

(8) Der Auftragsverarbeiter hat im Benehmen mit dem Verantwortlichen alle erforderlichen Maßnahmen zur Sicherung der Daten bzw. der Sicherheit der Verarbeitung, insbesondere auch unter Berücksichtigung des Stands der Technik, sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen.

§ 6 Mitteilung bei Verstößen durch den Auftragsverarbeiter

Der Auftragsverarbeiter unterrichtet den Verantwortlichen umgehend bei schwerwiegenden Störungen seines Betriebsablaufes, bei Verdacht auf Verstöße gegen diese Vereinbarung sowie gesetzliche Datenschutzbestimmungen, bei Verstößen gegen solche Bestimmungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der Daten des Verantwortlichen. Dies gilt insbesondere im Hinblick auf die Meldepflicht nach Art. 33 Abs. 2 DSGVO sowie auf korrespondierende Pflichten des Verantwortlichen nach Art. 33 und Art. 34 DSGVO. Der Auftragsverarbeiter sichert zu, den Verantwortlichen erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen. Meldungen nach Art. 33 oder 34 DSGVO für den Verantwortlichen darf der Auftragsverarbeiter nur nach vorheriger Weisung gem. § 3 dieses Vertrages durchführen.

§ 7 Löschung und Rückgabe von Daten

(1) Überlassene Datenträger und Datensätze verbleiben im Eigentum des Verantwortlichen.

(2) Nach Abschluss der vertraglich vereinbarten Leistungen oder früher nach Aufforderung durch den Verantwortlichen, jedoch spätestens mit Beendigung der Leistungsvereinbarung, hat der Auftragsverarbeiter sämtliche im Auftrag des Verantwortlichen verarbeitete personenbezogene Daten dem Verantwortlichen zurückzugeben oder nach vorheriger Zustimmung des Verantwortlichen datenschutzgerecht zu löschen bzw. zu vernichten. Dies umfasst insbesondere dem Auftragsverarbeiter überlassene Daten, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände (wie auch hiervon gefertigte Kopien oder Reproduktionen), die im Zusammenhang mit dem Auftragsverhältnis stehen. Eine weitere Speicherung ist nur zulässig, wenn hierzu eine Verpflichtung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats besteht. Gleiches gilt für Test- und Ausschussmaterial. Ein Löschungsprotokoll ist dem Verantwortlichen auf Anforderung vorzulegen.

(3) Der Auftragsverarbeiter kann Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, entsprechend der jeweiligen Aufbewahrungsfristen bis zu deren Ende auch über das Vertragsende hinaus aufbewahren. Alternativ kann er sie zu seiner Entlastung bei Vertragsende dem Verantwortlichen übergeben. Für die nach Satz 1 aufbewahrten Daten gelten nach Ende der Aufbewahrungsfrist die Pflichten nach Absatz 2.

§ 8 Unterauftragnehmer

(1) Der Auftragsverarbeiter erhält die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragnehmern, die im Anhang „Unterauftragnehmer“ zu § 8 aufgeführt sind. Der Anhang „Unterauftragnehmer“ zu § 8 wird Gegenstand dieser Vereinbarung. Änderungen dieser Liste während der Vertragslaufzeit durch Hinzufügen oder Ersetzen von Unterauftragnehmern sind grundsätzlich unzulässig. Ausnahmen sind nur in besonders begründeten Fällen und nach vorheriger schriftlicher oder dokumentierter elektronischer Zustimmung durch den Verantwortlichen zulässig. Der Auftragsverarbeiter reicht den Antrag für die gesonderte Einwilligung mindestens vier Wochen vor der Beauftragung des betreffenden Unterauftragnehmers zusammen mit den Informationen ein, die der Verantwortliche benötigt, um über die Einwilligung zu entscheiden.

Nicht als Leistungen von Unterauftragnehmern im Sinne dieser Regelung gelten Dienstleistungen, die der Auftragsverarbeiter bei Dritten als Nebenleistung zur Unterstützung der Auftragsdurchführung in Anspruch nimmt, beispielsweise Telekommunikationsdienstleistungen. Der Auftragsverarbeiter ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Verantwortlichen auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.

(2) Wenn Unterauftragnehmer durch den Auftragsverarbeiter eingeschaltet werden, hat der Auftragsverarbeiter sicherzustellen, dass seine vertraglichen Vereinbarungen mit dem Unterauftragnehmer so gestaltet sind, dass das Datenschutzniveau mindestens der Vereinbarung zwischen dem Verantwortlichen und dem Auftragsverarbeiter entspricht und alle vertraglichen und gesetzlichen Vorgaben beachtet werden; dies gilt insbesondere auch im Hinblick auf den Einsatz geeigneter technischer und organisatorischer Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus der Verarbeitung.

(3) Dem Verantwortlichen sind in der vertraglichen Vereinbarung mit dem Unterauftragnehmer Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung einzuräumen. Ebenso ist der Verantwortliche berechtigt, auf schriftliche (oder dokumentierte elektronische) Anforderung vom Auftragsverarbeiter Auskunft über den Inhalt des mit dem Unterauftragnehmer geschlossenen Vertrages und die darin enthaltene Umsetzung der datenschutzrelevanten Verpflichtungen des Unterauftragnehmers zu erhalten.

(4) Kommt der Unterauftragnehmer seinen datenschutzrechtlichen Verpflichtungen nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragnehmers. Der Auftragsverarbeiter hat in diesem Falle auf Verlangen des Verantwortlichen die Beschäftigung des Unterauftragnehmers ganz oder teilweise zu beenden oder das Vertragsverhältnis mit dem Unterauftragnehmer zu lösen, wenn und soweit dies nicht unverhältnismäßig ist.

§ 9 Datenschutzkontrolle

Der Auftragsverarbeiter verpflichtet sich, der/dem Datenschutzbeauftragten des Verantwortlichen zur Erfüllung ihrer jeweiligen gesetzlichen zugewiesenen Aufgaben im Zusammenhang mit diesem Auftrag Zugang zu den üblichen Geschäftszeiten zu gewähren. Er duldet insbesondere Betretungs-, Einsichts- und Fragerechte einschließlich der Einsicht in durch Berufsgeheimnisse geschützte Unterlagen. Er wird seine Mitarbeiter anweisen, mit dem/ der Datenschutzbeauftragten zu kooperieren, insbesondere deren Fragen wahrheitsgemäß und vollständig zu beantworten. Die nach Gesetz bestehenden Verschwiegenheitspflichten und Zeugnisverweigerungsrechte der Genannten bleiben davon unberührt.

§ 10 Haftung und Schadenersatz

Auf Artikel 82 DSGVO wird bezüglich der Haftung und des Rechts auf Schadenersatz verwiesen.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile - einschließlich etwaiger Zusicherungen des Auftragsverarbeiters - bedürfen einer schriftlichen Vereinbarung, die auch in einem elektronischen Format (Textform i. S. d. § 126b BGB) erfolgen kann, und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

(2) Sollten einzelne Regelungen dieser Vereinbarung unwirksam oder undurchführbar sein, wird davon die Wirksamkeit der übrigen Regelungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Regelung tritt diejenige wirksame und durchführbare Regelung, deren Wirkungen der Zielsetzung am nächsten kommt, die die Vertragsparteien mit der unwirksamen oder undurchführbaren Bestimmung verfolgt haben. Die vorstehenden Bestimmungen gelten entsprechend für den Fall, dass sich die Vereinbarung als lückenhaft erweist.

Die vorstehende Vereinbarung zur Auftragsverarbeitung wird als Teil der Vergabeunterlagen und damit als Bestandteil der Gesamtheit des Vertrags im Vergabeverfahren mit Erteilung des Zuschlags in Textform zwischen den Vertragsparteien vereinbart.

Für die Erfüllung der Formvorgaben des Art. 28 Abs. 9 DSGVO reicht die elektronische Datenübermittlung. Auf die Unterzeichnung der Vereinbarung wird abgesehen. Die Unterschriftenfelder wurden daher entfernt.

Anhang „Weisungsbefugnis“ zu § 3

Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie von Seiten des Verantwortlichen bestätigt oder geändert wird. Die weisungsberechtigten Personen auf Seiten des Verantwortlichen sowie die zum Empfang der Weisungen berechtigten Personen auf Seiten des Auftragsverarbeiters sowie die vorgesehenen Informationswege sind nachfolgend festgelegt.

Weisungsberechtigte Personen auf Seiten des Verantwortlichen:

Umweltbundesamt, Fachgebiet (FG)

die benannte Fachbegleitung (Fbgl.) entsprechend dem Auftrags-/Zuschlagsschreiben sowie deren Vertretung

Umweltbundesamt, Datenschutzbeauftragter sowie dessen Vertretung

Herr Udo Langhoff, Tel.: +49-30-8903-5141, E-Mail: udo.langhoff@uba.de

Umweltbundesamt, Justitiariat

die Justitiarinnen und Justitiare im Referat Z 1.4/Just, E-Mail: Z1.4@uba.de

Zum Empfang der Weisungen berechtigte Personen auf Seiten des Auftragsverarbeiters:

vom Auftragsverarbeiter in seinem Angebot anzugeben

Vorgesehene Informationswege, wenn Weisung nach Meinung des Auftragsverarbeiters gegen datenschutzrechtliche Vorschriften verstößt:

[x] schriftliche und/oder

[x] elektronische / textliche Information

Weisungen (auch mündliche Weisungen) sind durch die Vertragsparteien zu dokumentieren. Änderungen bei den weisungsbefugten Personen, den zum Weisungsempfang berechtigten Personen und bei den vorgesehenen Informationswegen sind der jeweiligen Vertragspartei entsprechend unverzüglich anzuzeigen.

Anhang „Technisch-organisatorische Maßnahmen (TOM)“

§ 5 der Vereinbarung zur Auftragsverarbeitung verweist zur Konkretisierung der technisch-organisatorischen Maßnahmen auf diesen Anhang.

§ 1 Technische und organisatorische Sicherheitsmaßnahmen

Die Vertragsparteien sind verpflichtet, geeignete technische und organisatorische Maßnahmen so durchzuführen, dass die Verarbeitung der Daten im Einklang mit den gesetzlichen Anforderungen erfolgt und der Schutz der Rechte der betroffenen Person in angemessener Form gewährleistet ist.

§ 2 Innerbehördliche oder innerbetriebliche Organisation des Auftragsverarbeiters

Der Auftragsverarbeiter wird seine innerbehördliche oder innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden Daten oder Datenkategorien geeignet sind.

§ 3 Konkretisierung der Einzelmaßnahmen

(1) Im Einzelnen werden folgende Maßnahmen bestimmt, die der Umsetzung der Vorgaben des Art. 5 DSGVO dienen:

Transparenz

Transparenz im Sinne des Art. 5 Abs. 1 lit. a DSGVO ist gewährleistet, wenn die Daten in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden, wie z.B. durch

Dokumentation der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung
Dokumentation der Datenempfänger und Zeitspanne der Überlassung
Dokumentation der Mandanten und zugehörigen Datenbereiche
Dokumentation verbindlicher Löschfristen
Dokumentation von Auftrags- und Unterauftragsverhältnissen
Veröffentlichung der Dokumentationen (z. B. online)
Bereitstellung der hier markierten Dokumentationen auf Antrag der betroffenen Person
Veröffentlichung der Informationen zur Verarbeitung von personenbezogenen Daten (z. B. online oder als Aushang) als Datenschutzerklärung

Zweckbindung

Zweckbindung im Sinne des Art. 5 Abs. 1 lit. b DSGVO ist gewährleistet, wenn die Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden, wie z.B. durch

Darstellung der Zwecke im Verzeichnis von Verarbeitungstätigkeit
Verpflichtung der Mitarbeiter auf die Beachtung der Anforderungen der DS-GVO
Erlass einer schriftlichen Dienstanweisung zur Verarbeitung personenbezogener Daten
Entgegennehmen ausschließlich schriftlicher Weisungen nur von befugten Mitarbeitenden des Verantwortlichen bzw. Auftraggebers

Datenminimierung

Datenminimierung im Sinne des Art. 5 Abs. 1 lit. c DSGVO ist gewährleistet, wenn die Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind, z.B. durch

Datenschutz durch Technikgestaltung (data protection by design)
Vornahme datenschutzfreundlicher Voreinstellungen (data protection by default)
Plausibilitätskontrollen zur Beschränkung der Datenerhebung
Festlegung verbindlicher Löschfristen
Festlegung automatisierter Löschzyklen
Regelmäßiges manuelles Auslösen der Löschung nicht benötigter Daten.
Pseudonymisierung der Daten bei Weiterverarbeitung oder Übermittlung
Anonymisierung von Daten wenn Identifikation nicht mehr notwendig
Regelmäßige Audits über den Datenumfang (durch Datenschutzbeauftragte)

Richtigkeit

Richtigkeit im Sinne des Art. 5 Abs. 1 lit. d DSGVO ist gewährleistet, wenn die verarbeiteten Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sind und Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden, z.B. durch

Nachweis der Herkunft von Daten
Zertifikatsbasierte Authentifizierung der Datenquelle
Identitätsprüfung bei Anlieferung von Daten
Nutzung des Post-Ident-Verfahrens
Nutzung eines Video-Ident-Verfahrens
Unverzügliche Löschung unrichtiger Daten
Unverzügliche Berichtigung unrichtiger Daten
Beantragung einer Berichtigung durch elektronische Antragstellung
Einrichtung eines Verfahrens zur Berichtigung von Daten auf Antrag
Eigenständige elektronische Berichtigung der Daten durch die betroffene Person

Speicherbegrenzung

Speicherbegrenzung im Sinne des Art. 5 Abs. 1 lit. e DSGVO ist gewährleistet, wenn die verarbeiteten Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, z.B. durch

Frühzeitige Anonymisierung personenbezogener Daten
Frühzeitige Pseudonymisierung personenbezogener Daten

(2) Im Einzelnen werden folgende Maßnahmen bestimmt, die der Umsetzung der Vorgaben des Art. 32 DSGVO dienen:


Nr.	Maßnahme	Umsetzung der Maßnahme z.B. durch
1.	Vertraulichkeit Vertraulichkeit im Sinne des Art. 32 Abs 1 lit. b in Verbindung mit ErwGr 39 und 83 DSGVO ist hinreichend gewährleistet, wenn Unbefugte keinen Zugang zu den Daten haben und weder die Daten noch die Geräte, mit denen diese verarbeitet werden, benutzen können und die Daten außerdem gemäß Art. 5 Abs. 1 lit. f DS-GVO vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust geschützt sind	- Alarmanlage - Wachpersonal - Zugangskontrollsystem - Unterteilung in Sicherheitszonen - Sicherheitsschlösser - Schlüsselregelung - Schließsystem mit Chipkarte/ Transponder/ Codesperre/ manuell - Biometrische Zugangssperren - Ausweispflicht - Personenkontrolle - Festlegung befugter Personen - Einbruchhemmende Fenster und Türen - Geräte- und Gehäuseversiegelung - Auf Datenschutz verpflichtetes Reinigungspersonal - Auf Datenschutz verpflichtetes Wartungspersonal - Festgelegte Reinigungszeiten - Beaufsichtigung von Wartungstätigkeiten - Zugangsbeschränkung nach Endgerät - Zeitliche Zugangsbeschränkung - Benutzerkonto für jeden Mitarbeiter - Implementierung eines Rollen- und Berechtigungskonzepts - Arbeiten mit individuellen Benutzerkennungen - Dem Zweck angemessene Passwort-richtlinien - Authentifikation mit SmartCard - Biometrische Authentifikation - Regelungen beim Ausscheiden von Mitarbeitenden - Sperren der Bootkonfiguration (BIOS, UEFI) - Automatische Abmeldevorgänge - Kontensperrung nach mehrmaliger Falscheingabe des Passworts - Vergabe von Administratorrechten an minimale Anzahl Personen - Sicheres Löschen von Datenträgern / einzelner Dateien - Differenzierung administrativer Aufgaben - Dateiverschlüsselung - Datenträgerverschlüsselung - Verschlüsselung von Datenbanken - Sperrung der Nutzung von persönlichem Cloud-Speicher am Arbeitsplatz-PC - Verhinderung nicht-autorisierter Cloud-Synchronisation durch Drittanbietersoftware - Übermittlung von Daten in anonymisierter Form - Übermittlung von Daten in pseudonymisierter Form - Sichere Behältnisse bei physischem Transport - Zuverlässiges Transportpersonal - Identitätsnachweis des Transportpersonals - Datenträgervernichtung nach DIN 66399 - Nach Verarbeitungszweck differenziertes Berechtigungskonzept - Logische Mandantentrennung - Physikalisch getrennte Speicherung und Verarbeitung - Trennung von Produktiv- und Testsystem - Fernlöschung von mobilen Endgeräten - E-Mail-Verschlüsselung mit S/MIME - E-Mail-Verschlüsselung mit OpenPGP - Durchgängige Transportverschlüsselung bei der E-Mail-Übertragung - Transportverschlüsselte Datenübertragung - Datenkommunikation über VPN-Tunnel
2.	Integrität Integrität im Sinne des Art. 32 Abs 1 lit. b in Verbindung mit Art. 5 Abs. 1 lit. f DSGVO ist gewährleistet, wenn Daten vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung geschützt sind, die Daten also vollständig, unverändert und unversehrt sind.	- Signieren elektronischer Dokumente - Signieren von E-Mails - Anwendung von Prüfsummenverfahren - Überwachung von Fernwartungsaktivitäten - Sperren externer Schnittstellen wie USB - Intrusion Detection System - Einsatz von Virenschutzlösungen - Application Layer Firewall - E-Mail-Signierung mit S/MIME - E-Mail-Signierung mit OpenPGP - Verschlüsselung der Internetpräsenz - Packet Filter Firewall - Dedizierte Netze für Systeme mit sensiblen Daten - Automatisierte Updateprozesse für Betriebssysteme, Anwendungen und Dienste - Differenzierte Berechtigungen für unterschiedliche Transaktionen - Differenzierte Berechtigungen für Datenobjekte - Plausibilitätskontrollen bei der Datenverarbeitung - Inhaltsverschlüsselte Datenübertragung - Regelung zum Umgang mit mobilen Datenträgern - Verschlüsselung von mobilen Datenträgern - E-Mail-Gateway mit Filterfunktion
3.	Verfügbarkeit Verfügbarkeit im Sinne des Art. 32 Abs. 1 lit. b DSGVO ist gewährleistet, wenn die Daten ihrem Zwecke nach jederzeit nutzbar sind. Zusätzlich muss gemäß Art. 32 Abs. 1 lit. c DSGVO die Fähigkeit existieren die Verfügbarkeit und den Zugang zu den Daten bei einem physischen oder technischen Zwischenfall rasch wiederherstellen zu können	- Sicherungs- und Wiederherstellungskonzept (Backup & Recovery) - Automatisiertes Anfertigen von Datensicherungen (Backup) - Aufbewahrung von Datenträgern in gegen Elementarschäden gesicherten Behältnissen - Aufbewahrung der Datensicherung in einem anderen Brandabschnitt - Festgelegte Zuständigkeiten für die Datensicherung - Regelmäßiger Test der Datenwiederherstellung - Notfallplan zur Wiederinbetriebnahme von Servern und Diensten - Datenträgerspiegelung (RAID) - Datenreplikation - Vermeidung lokaler Datenspeicherung - Notfallplan bei Kompromittierung - Notfallplan bei Datenverlust - Redundante IT-Systeme - Virtualisierte Infrastruktur - Automatisches Benachrichtigungssystem bei Ausfall
4.	Belastbarkeit Belastbarkeit ist gemäß Art. 32 Abs. 1 lit. b DSGVO auf Dauer sicherzustellen und betrifft Systeme und Dienste im Zusammenhang mit der Verarbeitung personenbezogener Daten	- Lastausgleich (load balancing) der Netzwerkkomponenten /Server / Dienste - Automatische Skalierung virtueller Systeme - Unterbrechungsfreie Stromversorgung - Überspannungsschutz - Klimaanlage in Serverräumen - Feuer- und Rauchmeldeanlagen - Klimaüberwachung (Raumtemperatur, Feuchtigkeit) in Serverräumen - Feuerlöscher / automatisches Löschsystem - Automatisches Benachrichtigungssystem bei Erreichung der max. Auslastung - IT-Komponenten verfügen über erforderliche Leistungsfähigkeit - Schutz vor Wassereinbruch - Schutz vor Hochwasser - Automatisches Notrufsystem - Eignung der Räumlichkeiten / des Baus

(3) Im Einzelnen werden folgende Maßnahmen bestimmt, die der Umsetzung der Rechenschaftspflicht im Sinne des Art. 5 Abs. DSGVO und Wirksamkeitsnachweis im Sinne des Art. 32 Abs. 1 lit. d DSGVO dienen:


1.	Rechenschaftspflicht Rechenschaftspflicht im Sinne des Art. 5 Abs. 2 DSGVO ist erfüllt, wenn der Verantwortliche die Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten nachweisen kann.	- Führen eines Verzeichnisses von Verarbeitungstätigkeiten - Verbindliche interne Datenschutzvorschriften nach Art. 47 Abs. 1 und 2 DSGVO - Erstellung eines Verarbeitungsverzeichnisses nach Art. 30 Abs. 1 und 2 DSGVO - Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 und 3 DSGVO - Bestellung eines Datenschutzbeauftragten nach Art. 37 DSGVO - Dokumentation von Datenschutzverletzungen nach Art. 33 Abs. 5 DSGVO - Interne Datenschutzrichtlinien - Dokumentierte Prozesse und Vorüberlegungen zur Auswahl der richtigen Vertragsform für Dienstleister - Nutzung eines Datenschutz-Managementsystems (DSMS)
2.	Wirksamkeitsnachweis Gemäß Art. 32 Abs. 1 lit. d DSGVO muss der Verantwortliche in der Lage sein, die Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung regelmäßig überprüfen, bewerten und evaluieren zu können. Außerdem muss er gem. ErwGr 87 DSGVO sofort feststellen können, ob eine Verletzung des Schutzes personenbezogener Daten aufgetreten ist, um die Aufsichtsbehörde und die betroffene Person umgehend unterrichten zu können.	- Führen eines Verzeichnisses von Verarbeitungstätigkeiten - Bestellung eine(r/s) Datenschutzbeauftragten - Dokumentation über vorhandene IT-Infrastruktur - Dokumentation über eingesetzte Programme und Anwendungen - Dokumentation der getroffenen Sicherheitsmaßnahmen (im Verzeichnis von Verarbeitungstätigkeiten) - Dokumentation der Vernichtung oder Rückgabe von Datenträgern und Unterlagen nach Beendigung eines Auftrags - Protokollierung der Anmeldevorgänge - Protokollierung der Datenzugriffe - Protokollierung gescheiterter Zugriffsversuche - Sicherung der Protokolldaten gegen Veränderung und Verlust - Automatisierte Auswertung der Protokolldaten - Protokollierung der Datenträgervernichtung - Protokollierung von Löschvorgängen - Protokollierung der Übermittlungsvorgänge - Videoüberwachung bei Zutritt zur Datenverarbeitungsanlage - Benutzerkennungsbezogene Protokollierung - Dokumentation der Übergabeprozesse bei physischem Transport von Datenträgern - Protokollierung des Zutritts zu Datenverarbeitungsanlagen oder Räumen in denen Datenverarbeitung stattfindet - Protokollierung aller Administratorenaktivitäten - Protokollierung der Eingabe bei der Erhebung und Ergänzung von Daten - Protokollierung der Veränderung oder Korrektur von gespeicherten Daten - Protokollierung der sicheren Löschungen von Datenträgern - Stichprobenartige Überprüfung der Wirksamkeit bestimmter Maßnahmen

(4) Es ist ein Verfahren zu etablieren, das eine regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der zum Einsatz kommenden technischen und organisatorischen Maßnahmen durch die Vertragsparteien ermöglicht.

(5) Folgende Nachweise sind, sofern vorhanden, dieser Vereinbarung anzufügen

Einhaltung von Verhaltensregeln nach Artikel 40 DSGVO
Zertifizierung nach Artikel 42 DSGVO
Prüfberichte, Testate etc. unabhängiger Prüfer, bspw. Wirtschaftsprüfer, Auditoren, Datenschutzbeauftragte etc.
geeignete Zertifizierung durch einen Auditprozess

Anhang „Unterauftragnehmer“ zu § 8

Nach § 8 Abs. 1 S. 1 der Vereinbarung sind die zur Erfüllung dieses Vertrages bereits hinzugezogenen Unterauftragnehmer zu bezeichnen. Dies geht aus dem Angebot des Auftragsverarbeiters hervor. Gem. § 8 Abs. 1 S. 1 der Vereinbarung erklärt sich der Verantwortliche mit deren Beauftragung einverstanden.

Anhang „Home Office, Mobiles Arbeiten“ zu § 3 Abs. 11

Eine Verarbeitung von Daten außerhalb der Betriebsräume des Auftragsverarbeiters ist nur zulässig, sofern der Auftragsverarbeiter die Einhaltung der folgenden technischen Maßnahmen sicherstellt:

[x] Außerhalb der Betriebsräume genutzte Hardware wird durch VPN oder eine alternative adäquate und sichere Verbindung mit den Systemen des Auftragsverarbeiters verbunden

[x] Verschlüsselung von vertraulichen E-Mails

[x] ausschließlich verschlüsselter Remotezugriff

[x] Verschlüsselung aller mobiler Geräte, Festplatten und anderen Datenträgern

[x] Verbot des Einsatzes privater Datenträger und mobiler Geräte

Seitens des Auftragsverarbeiters werden folgende organisatorische Regelungen zu den folgenden Aspekten getroffen:

[x] unter welchen Arbeitsplatzbedingungen schützenswerte Informationen verarbeitet werden dürfen

[x] wie Daten vor ungewollter Einsichtnahme Dritter zu schützen sind

[x] welche Arbeitsumgebungen komplett verboten sind

[ ] welche Informationen außerhalb der Institution transportiert werden dürfen

[x] welche Schutzvorkehrungen beim Transport zu treffen sind

[x] unter welchen Rahmenbedingungen mit mobilen IT-Systemen auf interne Informationen der Institution zugegriffen werden darf

[ ] welche Arten von Informationen auf mobilen IT-Systemen verarbeitet werden dürfen

[x] wie sichergestellt wird, dass Unbefugte zu keiner Zeit Zugriff auf dienstliche IT bekommen (z.B. Sperren des Arbeitsplatzes beim Verlassen, Entsperren nach Authentifizierung)

[ ] wie sichergestellt wird, dass Unbefugte zu keiner Zeit Zugriff auf dienstliche Unterlagen bekommen

[ ] ob und wie fremde IT-Systeme verwendet werden dürfen (BYOD)

[x] zur Meldung bei Verlust von IT oder Unterlagen

[ ] zur Entsorgung vertraulicher Informationen und Datenträger

[ ] zur regelmäßigen Schulung und Sensibilisierung bezüglich der besonderen Gefahren

[ ] zur Verschlüsselung tragbarer IT-Systeme und Datenträger

[x] Sichtschutz zu verwenden ist.

[x] zu Kriterien zur Festlegung der Arbeitsumgebung

Alle für die Mitarbeitenden geltenden Sicherheitsanforderungen für mobile Arbeitsplätze sind dokumentiert und sind für die Mitarbeitenden verpflichtend. Sofern ein Datenschutzkonzept zur Organisation und Umsetzung des Datenschutzes vorliegt, wird dieses dem Verantwortlichen zur Kenntnis gegeben.

206008 - 4.9 - Los 3 - Vereinbarung zur Auftragsverarbeitung.docx