1607_RV_Anl. 12_Vereinbarung zur weiteren Auftragsverarbeitung_V1.0.pdf

[Seite 1]

Aktenzeichen: 1607-DE-Breitbandanbindung-DMZ-Bördeland

Vereinbarung zur weiteren Auftragsverarbeitung

Als Anlage 12 zum Rahmenvertrag über die Bereitstellung und den Betrieb einer Breitbandanbindung am Standort Bördeland vom …

• nachfolgend „Leistungsvereinbarung“ -

zwischen

BWI GmbH, Auf dem Steinbüchel 22, 53340 Meckenheim

• nachfolgend „Auftragsverarbeiter“ - und

[Vertragspartner]

• nachfolgend „weiterer Auftragsverarbeiter“ -

• beide nachfolgend gemeinsam „Vertragsparteien“ -

wird die folgende Vereinbarung zur weiteren Auftragsverarbeitung geschlossen.

Vereinbarung zur weiteren Auftragsverarbeitung

[Seite 2]

Seite 2 | 12

Inhalt

PRÄAMBEL ................................................................................................................................................... 3

§ 1 ANWENDUNGSBEREICH ...................................................................................................................... 3

§ 2 KONKRETISIERUNG DES AUFTRAGSINHALTS .................................................................................. 3

§ 3 VERPFLICHTUNGEN UND WEISUNGSBEFUGNIS ............................................................................. 4

§ 4 BEACHTUNG ZWINGENDER GESETZLICHER PFLICHTEN DURCH DEN WEITEREN AUFTRAGSVERARBEITER.......................................................................................................................... 5

§ 5 TECHNISCH-ORGANISATORISCHE MAßNAHMEN UND DEREN KONTROLLE ............................... 5

§ 6 MITTEILUNG BEI VERSTÖßEN DURCH DEN WEITEREN AUFTRAGSVERARBEITER .................... 6

§ 7 LÖSCHUNG UND RÜCKGABE VON DATEN ........................................................................................ 6

§ 8 SUBUNTERNEHMEN ............................................................................................................................. 7

§ 9 DATENSCHUTZKONTROLLE ................................................................................................................ 8

§ 10 HAFTUNG UND SCHADENERSATZ .................................................................................................... 8

§ 11 SCHLUSSBESTIMMUNGEN ................................................................................................................ 8

ANHANG „WEISUNGSBEFUGNIS“ ZU § 3 (NACH ZUSCHLAGSERTEILUNG AUSZUFÜLLEN) ............. 9

ANHANG „TECHNISCH-ORGANISATORISCHE MAßNAHMEN (TOM)“ .................................................. 10

ANHANG „SUBUNTERNEHMEN“ ZU § 8 .................................................................................................. 12

Vereinbarung zur weiteren Auftragsverarbeitung

[Seite 3]

Seite 3 | 12

Präambel

Die Vertragsparteien sind mit der Leistungsvereinbarung ein (weiteres) Auftragsverarbeitungsverhältnis ein- gegangen. Um die sich hieraus ergebenden Rechte und Pflichten gemäß den Vorgaben der europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG - DSGVO), und des Bundesdatenschutz- gesetzes (BDSG) zu konkretisieren, haben die Vertragsparteien die nachfolgende Vereinbarung geschlos- sen.

§ 1 Anwendungsbereich

(1) Die Vereinbarung findet Anwendung auf die Verarbeitung (Art. 4 Nr. 2 DSGVO) aller personenbezogener Daten (im Folgenden: Daten), die Gegenstand der Leistungsvereinbarung sind oder im Rahmen von deren Durchführung anfallen und auf Weisung des Auftragsverarbeiter verarbeitet werden. Nicht unter den An- wendungsbereich fallen Daten von Mitarbeitern des weiteren Auftragsverarbeiters, soweit sie ausschließ- lich das Beschäftigungsverhältnis mit dem weiteren Auftragsverarbeiter betreffen.

(2) Dieser Vertrag gilt vorranging vor anderen Vereinbarungen und Abreden zwischen Auftraggeber und Auftragnehmer, es sie denn, zwischen den Parteien wird ausdrücklich etwas anderes vereinbart.

§ 2 Konkretisierung des Auftragsinhalts

(1) Gegenstand und Dauer der weiteren Auftragsverarbeitung sowie Umfang, Art und Zweck der vorgese- henen Verarbeitung von Daten bestimmen sich nach der Leistungsvereinbarung, die dieser Vereinbarung angefügt ist.

(2) Folgende Arten personenbezogener Daten sind Gegenstand der Verarbeitung durch den weiteren Auf- tragsverarbeiter:

[Datenarten & -kategorien einfügen, bspw. Personenstammdaten, Kontaktdaten, bestimmte Gesundheits- daten oder Verweis auf Leistungsbeschreibung im Anhang]

(3) Der Kreis der durch den Umgang mit ihren Daten betroffenen Personen ist (Kategorien betroffener Per- sonen):

[Aufzählung und Beschreibung der betroffenen Personenkreise, bspw. Beschäftigte, BewerberInnen, Ver- anstaltungsteilnehmende oder Verweis auf Leistungsbeschreibung im Anhang ]

(4) Im Rahmen der weiteren Auftragsverarbeitung werden

☐ keine besonderen Kategorien von Daten

☐ besondere Kategorien von Daten

verarbeitet.

(5) Die verarbeiteten personenbezogenen Daten haben einen

☐ normalen Schutzbedarf

☐ hohen Schutzbedarf.

Vereinbarung zur weiteren Auftragsverarbeitung

[Seite 4]

Seite 4 | 12

§ 3 Verpflichtungen und Weisungsbefugnis

(1) Die Vertragsparteien sind verpflichtet, die Ihnen durch die Datenschutzgesetze (insb. DSGVO) aufer- legten Pflichten einzuhalten. Der Auftragsverarbeiter kann jederzeit die Herausgabe, Berichtigung, Anpas- sung, Löschung und Einschränkung der Verarbeitung der Daten verlangen.

(2) Zur Gewährleistung des Schutzes der Rechte der betroffenen Personen unterstützt der weitere Auf- tragsverarbeiter den Auftragsverarbeiter angemessen, insbesondere durch die Gewährleistung geeigneter technischer und organisatorischer Maßnahmen.

(3) Soweit sich eine betroffene Person zwecks Geltendmachung eines Betroffenenrechts unmittelbar an den weiteren Auftragsverarbeiter wendet, wird der weitere Auftragsverarbeiter dieses Ersuchen unverzüg- lich an den Auftragsverarbeiter weiterleiten. (4) Der weitere Auftragsverarbeiter darf Daten ausschließlich im Rahmen der Weisungen des Auftragsver- arbeiters verarbeiten, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder des Mitgliedstaates, dem der weitere Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden). In einem solchen Fall teilt der weitere Auftragsverarbeiter dem Auftragsverarbeiter diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Eine Weisung ist die auf einen bestimmten Umgang des weiteren Auftragsverarbeiters mit Daten gerichtete schriftliche, elektronische oder mündliche Anordnung des Auftragsverarbeiters. Die Anordnungen sind zu dokumentieren. Die Weisungen werden zunächst durch die Leistungsvereinbarung definiert und können von dem Auftragsverarbeiter danach in dokumentierter Form durch eine einzelne Wei- sung geändert, ergänzt oder ersetzt werden.

(5) Der weitere Auftragsverarbeiter hat den Auftragsverarbeiter unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der weitere Auftragsverar- beiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie von Sei- ten des Auftragsverarbeiters bestätigt oder geändert wird. Die weisungsberechtigten Personen auf Seiten des Auftragsverarbeiters sowie die zum Empfang der Weisungen berechtigten Personen auf Seiten des weiteren Auftragsverarbeiters sowie die vorgesehenen Informationswege sind in der Anlage festgelegt.

(6) Änderungen des Verarbeitungsgegenstandes mit Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren.

(7) Auskünfte an Dritte oder die betroffene Person darf der weitere Auftragsverarbeiter nur nach vorheriger ausdrücklicher schriftlicher (oder dokumentierter elektronischer) Zustimmung durch den Auftragsverarbeiter erteilen, es sei denn er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Herausgabe verpflichtet.

(8) Der weitere Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben, es sei denn er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Herausgabe verpflichtet. Kopien und Duplikate werden ohne Wissen des Auf- tragsverarbeiters nicht erstellt.

(9) Der Auftragsverarbeiter führt das Verzeichnis von Verarbeitungstätigkeiten im Auftrag i.S.d. Art. 30 Abs. 2 DSGVO. Der weitere Auftragsverarbeiter stellt dem Auftragsverarbeiter auf dessen Wunsch Informationen zur Aufnahme in das Verzeichnis zur Verfügung. Der weitere Auftragsverarbeiter führt entsprechend den Vorgaben des Art. 30 Abs. 2 DSGVO ein Verzeichnis zu allen Kategorien von im Auftrag des Auftragsver- arbeiters durchgeführten Tätigkeiten der Verarbeitung.

(10) Die Verarbeitung der Daten im Auftrag des Auftragsverarbeiters findet ausschließlich auf dem Gebiet

☐ der Bundesrepublik Deutschland

Vereinbarung zur weiteren Auftragsverarbeitung

[Seite 5]

Seite 5 | 12

☐ der Europäischen Union (EU)

☐ des Europäischen Wirtschaftsraumes (EWR)

statt. Jede Übermittlung von Daten durch den weiteren Auftragsverarbeiter an ein Drittland oder eine inter- nationale Organisation erfolgt ausschließlich auf der Grundlage schriftlicher (oder dokumentierter elektro- nischer) Weisungen des Auftragsverarbeiters oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der weitere Auftragsverarbeiter unterliegt, und muss mit Kapitel V der DSGVO im Einklang stehen. Die grundlegenden Voraussetzungen für die Rechtmäßigkeit der Verarbeitung bleiben unberührt.

(11) Der weitere Auftragsverarbeiter gewährleistet, dass ihm unterstellte natürliche Personen, die Zugang zu Daten haben, diese nur auf Anweisung des Auftragsverarbeiters verarbeiten. Eine Verarbeitung von Da- ten außerhalb der Betriebsräume des weiteren Auftragsverarbeiters (z.B. Telearbeit, Heimarbeit, Home Office, mobiles Arbeiten) bedarf der vorherigen ausdrücklichen schriftlichen (oder dokumentierten elektro- nischen) Zustimmung des Auftragsverarbeiters, die erst nach Festlegung angemessener technischer und organisatorischer Maßnahmen für die Verarbeitungssituation erteilt werden kann.

§ 4 Beachtung zwingender gesetzlicher Pflichten durch den weiteren Auftragsverarbeiter

(1) Der weitere Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Daten befugten Per- sonen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheits- pflicht unterliegen und weist dies dem Auftragsverarbeiter auf Wunsch nach. Dies umfasst auch die Beleh- rung über die in diesem weiteren Auftragsverarbeitungsverhältnis bestehende Weisungs- und Zweckbin- dung.

(2) Die Vertragsparteien unterstützen sich gegenseitig beim Nachweis und der Dokumentation der ihnen obliegenden Rechenschaftspflicht im Hinblick auf die Grundsätze ordnungsgemäßer Datenverarbeitung einschließlich der Umsetzung der notwendigen technischen und organisatorischen Maßnahmen (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Der weitere Auftragsverarbeiter stellt dem Auftragsverarbeiter hierzu bei Bedarf entsprechende Informationen zur Verfügung.

(3) Sofern der weitere Auftragsverarbeiter der gesetzlichen Pflicht zur Benennung einer bzw. eines Daten- schutzbeauftragte/n unterliegt sind die Kontaktdaten der/des Datenschutzbeauftragten zum Zwecke der direkten Kontaktaufnahme durch den Verantwortlichen hier einzufügen:

(…)

Unterliegt der weitere Auftragsverarbeiter nicht der Benennungspflicht, teilt er dem Auftragsverarbeiter die Kontaktdaten eines Ansprechpartners für den Datenschutz mit.

(4) Der weitere Auftragsverarbeiter informiert den Auftragsverarbeiter unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde im Rahmen ihrer Zuständigkeit bei dem weiteren Auftragsverarbeiter anfragt, ermittelt oder sonstige Erkundigungen einzieht.

§ 5 Technisch-organisatorische Maßnahmen und deren Kontrolle

(1) Die Vertragsparteien vereinbaren die in dem Anhang „Technisch-organisatorische Maßnahmen“ zu die- ser Vereinbarung niedergelegten konkreten technischen und organisatorischen Sicherheitsmaßnahmen. Der Anhang „Technisch-organisatorische Maßnahmen“ wird Gegenstand dieser Vereinbarung.

(2) Ergibt eine vom Auftragsverarbeiter durchzuführende Prüfung einen Anpassungsbedarf hinsichtlich der vom weiteren Auftragsverarbeiter zu ergreifenden technisch-organisatorischen Maßnahmen, sind die An- passungen im Einvernehmen zwischen beiden Parteien umzusetzen.

Vereinbarung zur weiteren Auftragsverarbeitung

[Seite 6]

Seite 6 | 12

(3) Technische und organisatorische Maßnahmen unterliegen dem technischen Fortschritt. Insoweit ist es dem weiteren Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der in dem Anhang „Technisch-organisatorische Maßnahmen“ festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

(4) Der weitere Auftragsverarbeiter wird dem Auftragsverarbeiter alle erforderlichen Informationen zur Ver- fügung stellen, die zum Nachweis der Einhaltung der in dieser Vereinbarung getroffenen und der gesetzli- chen Vorgaben erforderlich sind. Er wird insbesondere Überprüfungen/ Inspektionen, die vom Auftragsver- arbeiter oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglichen und deren Durchführung unterstützen.

(5) Die Überprüfung kann auch auf der Grundlage vorgelegter aktueller Testate, von Berichten hinreichend qualifizierter und unabhängiger Instanzen (z.B. Wirtschaftsprüfer, unabhängige Datenschutzauditoren), durch die Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO, einer Zertifizierung nach Art. 42 DSGVO oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit erfolgen. Der weitere Auftragsverarbeiter verpflichtet sich, den Auftragsverarbeiter über den Ausschluss von genehmigten Verhaltensregeln gemäß Art. 41 Abs. 4 DSGVO, den Widerruf einer Zertifizierung gemäß Art. 42 Abs. 7 und jede andere Form der Aufhebung oder wesentlichen Änderung der vorgenannten Nachweise unverzüglich zu unterrichten.

(6) Die Überprüfung kann auch durch eine Inspektion vor Ort erfolgen. Der Auftragsverarbeiter kann sich hierzu in den Betriebsstätten des weiteren Auftragsverarbeiters zu den üblichen Geschäftszeiten ohne Stö- rung des Betriebsablaufs von der Angemessenheit der Maßnahmen zur Einhaltung der gesetzlichen Vor- gaben oder der zur Durchführung dieses Vertrages erforderlichen technischen und organisatorischen Er- fordernisse überzeugen.

(7) Der weitere Auftragsverarbeiter stellt dem Auftragsverarbeiter darüber hinaus alle erforderlichen Infor- mationen zur Verfügung, die er für die Prüfungen nach Absatz 4 sowie für eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz der Daten (Datenschutz-Folgenabschätzung i.S.d. Art. 35 DSGVO) benötigt.

(8) Der weitere Auftragsverarbeiter hat im Benehmen mit dem Auftragsverarbeiter alle erforderlichen Maß- nahmen zur Sicherung der Daten bzw. der Sicherheit der Verarbeitung, insbesondere auch unter Berück- sichtigung des Stands der Technik, sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen.

§ 6 Mitteilung bei Verstößen durch den weiteren Auftragsverarbeiter

Der weitere Auftragsverarbeiter unterrichtet den Auftragsverarbeiter umgehend bei schwerwiegenden Stö- rungen seines Betriebsablaufes, bei Verdacht auf Verstöße gegen diese Vereinbarung sowie gesetzliche Datenschutzbestimmungen, bei Verstößen gegen solche Bestimmungen oder anderen Unregelmäßigkei- ten bei der Verarbeitung der Daten des Verantwortlichen. Dies gilt insbesondere im Hinblick auf die Melde- pflicht nach Art. 33 Abs. 2 DSGVO sowie auf korrespondierende Pflichten des Verantwortlichen nach Art. 33 und Art. 34 DSGVO. Der weitere Auftragsverarbeiter sichert zu, den Auftragsverarbeiter erforderlichen- falls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen. Meldungen nach Art. 33 oder 34 DSGVO für den Auftragsverarbeiter oder den Verantwortlichen darf der weitere Auftragsverar- beiter nur nach vorheriger Weisung gem. § 3 dieses Vertrages durchführen.

§ 7 Löschung und Rückgabe von Daten

(1) Überlassene Datenträger und Datensätze verbleiben im Eigentum des Auftragsverarbeiters.

(2) Nach Abschluss der vertraglich vereinbarten Leistungen oder früher nach Aufforderung durch den Auf- tragsverarbeiter, jedoch spätestens mit Beendigung der Leistungsvereinbarung, hat der weitere Auf- tragsverarbeiter sämtliche im Auftrag des Auftragsverarbeiters verarbeitete personenbezogene Daten dem

Vereinbarung zur weiteren Auftragsverarbeitung

[Seite 7]

Seite 7 | 12

Auftragsverarbeiter zurückzugeben oder nach vorheriger Zustimmung des Auftragsverarbeiters daten- schutzgerecht zu löschen bzw. zu vernichten. Dies umfasst insbesondere dem weiteren Auftragsverarbeiter überlassene Daten, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände (wie auch hier- von gefertigte Kopien oder Reproduktionen), die im Zusammenhang mit dem Auftragsverhältnis stehen. Eine weitere Speicherung ist nur zulässig, wenn hierzu eine Verpflichtung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats besteht. Gleiches gilt für Test- und Ausschussmaterial. Ein Löschungsprotokoll ist dem Auftragsverarbeiter auf Anforderung vorzulegen.

(3) Der weitere Auftragsverarbeiter kann Dokumentationen, die dem Nachweis der auftrags- und ordnungs- gemäßen Datenverarbeitung dienen, entsprechend der jeweiligen Aufbewahrungsfristen bis zu deren Ende auch über das Vertragsende hinaus aufbewahren. Alternativ kann er sie zu seiner Entlastung bei Vertrags- ende dem Auftragsverarbeiter übergeben. Für die nach Satz 1 aufbewahrten Daten gelten nach Ende der Aufbewahrungsfrist die Pflichten nach Absatz 2.

§ 8 Subunternehmen

(1) Der weitere Auftragsverarbeiter darf noch weitere Auftragsverarbeiter (Subunternehmen) nur nach ei- nem der nachfolgenden Verfahren einsetzen: [Zutreffendes bitte ankreuzen]

☐ Der weitere Auftragsverarbeiter darf keinen seiner Verarbeitungsvorgänge, die er im Auftrag des Auf- tragsverarbeiter gemäß dieser Vereinbarung durchführt, ohne vorherige gesonderte schriftliche (oder dokumentierte elektronische) Genehmigung des Auftragsverarbeiter an einen Subunternehmer unter- vergeben. Der weitere Auftragsverarbeiter reicht den Antrag für die gesonderte Genehmigung mindes- tens vier Wochen vor der Beauftragung des betreffenden Subunternehmers zusammen mit den Infor- mationen ein, die der Auftragsverarbeiter benötigt, um über die Genehmigung zu entscheiden. Die Liste der vom Auftragsverarbeiter genehmigten Subunternehmer findet sich im Anhang „Subunternehmen“. Die Parteien halten den Anhang jeweils auf dem neuesten Stand.

☐ Der weitere Auftragsverarbeiter erhält die allgemeine Genehmigung des Auftragsverarbeiter für die Be- auftragung von Subunternehmen, die in einer vereinbarten Liste aufgeführt sind. Der weitere Auf- tragsverarbeiter unterrichtet den Auftragsverarbeiter mindestens vier Wochen im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Subunternehmen und räumt dem Auftragsverarbeiter damit ausreichend Zeit ein, um vor der Beauftra- gung des betreffenden Subunternehmens Einwände gegen diese Änderungen erheben zu können. Der weitere Auftragsverarbeiter stellt dem Auftragsverarbeiter die erforderlichen Informationen zur Verfü- gung, damit dieser sein Widerspruchsrecht ausüben kann.

Nicht als Leistungen von Subunternehmen im Sinne dieser Regelung gelten Dienstleistungen, die der wei- tere Auftragsverarbeiter bei Dritten als Nebenleistung zur Unterstützung der Auftragsdurchführung in An- spruch nimmt, beispielsweise Telekommunikationsdienstleistungen. Der weitere Auftragsverarbeiter ist je- doch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Auftragsverarbeiters auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinba- rungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.

(2) Wenn Subunternehmen durch den weiteren Auftragsverarbeiter eingeschaltet werden, hat der weitere Auftragsverarbeiter sicherzustellen, dass seine vertraglichen Vereinbarungen mit dem Subunternehmen so gestaltet sind, dass das Datenschutzniveau mindestens der Vereinbarung zwischen dem Auftragsverarbei- ter und dem weiteren Auftragsverarbeiter entspricht und alle vertraglichen und gesetzlichen Vorgaben be- achtet werden; dies gilt insbesondere auch im Hinblick auf den Einsatz geeigneter technischer und organi- satorischer Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus der Verarbeitung.

(3) Dem Auftragsverarbeiter sind in der vertraglichen Vereinbarung mit dem Subunternehmen Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung einzuräumen. Ebenso ist der Auftragsverarbeiter

Vereinbarung zur weiteren Auftragsverarbeitung

[Seite 8]

Seite 8 | 12

berechtigt, auf schriftliche (oder dokumentierte elektronische) Anforderung vom weiteren Auftragsverarbei- ter Auskunft über den Inhalt des mit dem Subunternehmen geschlossenen Vertrages und die darin enthal- tene Umsetzung der datenschutzrelevanten Verpflichtungen des Subunternehmens zu erhalten.

(4) Kommt das Subunternehmen seinen datenschutzrechtlichen Verpflichtungen nicht nach, so haftet der weitere Auftragsverarbeiter gegenüber dem Auftragsverarbeiter für die Einhaltung der Pflichten des Subun- ternehmens. Der weitere Auftragsverarbeiter hat in diesem Falle auf Verlangen des Auftragsverarbeiters die Beschäftigung des Subunternehmens ganz oder teilweise zu beenden oder das Vertragsverhältnis mit dem Subunternehmen zu lösen, wenn und soweit dies nicht unverhältnismäßig ist.

§ 9 Datenschutzkontrolle

Der weitere Auftragsverarbeiter verpflichtet sich, der/dem Datenschutzbeauftragten des Auftragsverarbei- ters zur Erfüllung ihrer jeweiligen gesetzlichen zugewiesenen Aufgaben im Zusammenhang mit diesem Auftrag Zugang zu den üblichen Geschäftszeiten zu gewähren. Er duldet insbesondere Betretungs-, Ein- sichts- und Fragerechte einschließlich der Einsicht in durch Berufsgeheimnisse geschützte Unterlagen. Er wird seine Mitarbeiter anweisen, mit dem/ der Datenschutzbeauftragten zu kooperieren, insbesondere de- ren Fragen wahrheitsgemäß und vollständig zu beantworten. Die nach Gesetz bestehenden Verschwie- genheitspflichten und Zeugnisverweigerungsrechte der Genannten bleiben davon unberührt.

§ 10 Haftung und Schadenersatz

Auf Artikel 82 DSGVO wird bezüglich der Haftung und des Rechts auf Schadenersatz verwiesen.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile - einschließlich etwaiger Zusicherungen des weiteren Auftragsverarbeiters - bedürfen einer schriftlichen Vereinbarung und des aus- drücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen han- delt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

(2) Sollten einzelne Regelungen dieser Vereinbarung unwirksam oder undurchführbar sein, wird davon die Wirksamkeit der übrigen Regelungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Regelung tritt diejenige wirksame und durchführbare Regelung, deren Wirkungen der Zielsetzung am nächsten kommt, die die Vertragsparteien mit der unwirksamen oder undurchführbaren Bestimmung ver- folgt haben. Die vorstehenden Bestimmungen gelten entsprechend für den Fall, dass sich die Vereinbarung als lückenhaft erweist.

Datum, Ort Datum, Ort

Unterschrift (Auftragsverarbeiter) Unterschrift (weiterer Auftragsverarbeiter)

Name, Vorname, Funktion Name, Vorname, Funktion

Vereinbarung zur weiteren Auftragsverarbeitung

[Seite 9]

Seite 9 | 12

Anhang „Weisungsbefugnis“ zu § 3 (nach Zuschlagserteilung auszufüllen)

zur Vereinbarung zur weiteren Auftragsverarbeitung vom [Datum]

zwischen BWI GmbH, Auf dem Steinbüchel 22, 53340 Meckenheim

und [Vertragspartner]

Der weitere Auftragsverarbeiter hat den Auftragsverarbeiter unverzüglich zu informieren, wenn er der Mei- nung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der weitere Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie von Seiten des Auftragsverarbeiter bestätigt oder geändert wird. Die weisungsberechtigten Personen auf Seiten des Auf- tragsverarbeiters sowie die zum Empfang der Weisungen berechtigten Personen auf Seiten des weiteren Auftragsverarbeiters sowie die vorgesehenen Informationswege sind nachfolgend festgelegt.

Weisungsberechtigte Personen auf Seiten des Auftragsverarbeiters:

• X (Weisungsbefugter) • XX (Stelllvertreter) • …

Zum Empfang der Weisungen berechtigte Personen auf Seiten des weiteren Auftragsverarbeiters:

• Y (für … Bereich) • YY (für … Bereich) • YYY (Stellvertreter) • …

Vorgesehene Informationswege, wenn Weisung nach Meinung des weiteren Auftragsverarbeiters gegen datenschutzrechtliche Vorschriften verstößt: [Zutreffendes bitte ankreuzen]

☐ schriftliche und/oder ☐ elektronische und/oder ☐ mündliche Information

Weisungen (auch mündliche Weisungen) sind durch die Vertragsparteien zu dokumentieren. Änderungen bei den weisungsbefugten Personen, den zum Weisungsempfang berechtigten Personen und bei den vor- gesehenen Informationswegen sind dem Vertragspartner entsprechend unverzüglich anzuzeigen.

Vereinbarung zur weiteren Auftragsverarbeitung

[Seite 10]

Seite 10 | 12

Anhang „Technisch-organisatorische Maßnahmen (TOM)“

zur Vereinbarung zur weiteren Auftragsverarbeitung vom [Datum]

zwischen BWI GmbH, Auf dem Steinbüchel 22, 53340 Meckenheim

und [Vertragspartner]

§ 5 der Vereinbarung zur weiteren Auftragsverarbeitung verweist zur Konkretisierung der technisch-organi- satorischen Maßnahmen auf diesen Anhang.

§ 1 Technische und organisatorische Sicherheitsmaßnahmen Die Vertragspartner sind verpflichtet, geeignete technische und organisatorische Maßnahmen so durchzu- führen, dass die Verarbeitung der Daten im Einklang mit den gesetzlichen Anforderungen erfolgt und der Schutz der Rechte der betroffenen Person in angemessener Form gewährleistet ist.

§ 2 Innerbehördliche oder innerbetriebliche Organisation des weiteren Auftragsverarbeiters Der weitere Auftragsverarbeiter wird seine innerbehördliche oder innerbetriebliche Organisation so gestal- ten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden Daten oder Datenkategorien geeignet sind.

§ 3 Konkretisierung der Einzelmaßnahmen (1) Im Einzelnen werden folgende Maßnahmen bestimmt, die der Umsetzung der Vorgaben des Art. 32 DSGVO dienen:

Vereinbarung zur weiteren Auftragsverarbeitung

[Seite 11]

Seite 11 | 12

(2) Es ist ein Verfahren zu etablieren, das eine regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der zum Einsatz kommenden technischen und organisatorischen Maßnahmen durch die Ver- tragsparteien ermöglicht.

(3) Folgende Nachweise werden dieser Vereinbarung angefügt: [Zutreffendes bitte ankreuzen]

☐ Einhaltung von Verhaltensregeln nach Artikel 40 DSGVO ☐ Zertifizierung nach Artikel 42 DSGVO ☐ Prüfberichte, Testate etc. unabhängiger Prüfer, bspw. Wirtschaftsprüfer, Auditoren, Datenschutzbeauf- tragte etc. ☐ geeignete Zertifizierung durch einen Auditprozess

Vereinbarung zur weiteren Auftragsverarbeitung

[Seite 12]

Seite 12 | 12

Anhang „Subunternehmen“ zu § 8

Nach § 8 Abs. 1 S. 2 der Vereinbarung sind die zur Erfüllung dieses Vertrages bereits hinzugezogenen Subunternehmen zu bezeichnen. Gem. § 8 Abs. 1 S. 3 der Vereinbarung erklärt sich der Auftragsverarbeiter mit deren Beauftragung einverstanden.

Vereinbarung zur weiteren Auftragsverarbeitung