17_FO_Muster_AVV_ORTEMA.pdf

[Seite 1]

Vertrag zur Auftragsverarbeitung gem. Art. 28 Abs. 3 DS-GVO

Der Auftragnehmer verarbeitet im Rahmen der Erbringung einer Dienstleistung personenbezogene Daten im

Auftrag und nach Weisung des Auftraggebers. Auf Grundlage von Art. 28 DS-GVO und der in Anlage 1

aufgeführten Vertragsbedingungen zur Auftragsverarbeitung treffen die Parteien nachfolgende Regelungen. Klarstellend halten die Parteien fest, dass Anlagen zum Vertrag wesentlicher Bestandteil des Vertrages sind.

S e i te | 1

[Seite 2]

S e i te | 2

[Seite 3]

Ort, Datum Ort, Datum

für den Auftraggeber für den Auftragnehmer

Ort, Datum Ort, Datum

Für den Auftraggeber für den Auftragnehmer

Anlagen:

Anlage 1: Vertragsbedingungen zur Auftragsverarbeitung

Anlage 2: Unterauftragnehmer

Anlage 3: Technische und organisatorische Maßnahmen / Wartungs-/Betriebskonzept

Anlage 1 – Vertragsbedingungen zur Auftragsverarbeitung

Vorbemerkung Der Auftraggeber beauftragt den Auftragnehmer auf

Grundlage eines gesonderten Vertrages mit der S e i te | 3

[Seite 4]

Erbringung von (Dienst-) Leistungen (im Folgenden (1) Der Auftraggeber ist „Verantwortlicher“ im Sinne

„Hauptvertrag“ genannt). Im Zuge der Erbringung der des Art. 4 Ziff. 7 DSGVO und für die Einhaltung

vereinbarten und konkretisierten Leistungen (Services) der sich für ihn gemäß Art. 24 ff DSGVO sowie

wird der Auftragnehmer als Auftragsverarbeiter im weiterer einschlägiger gesetzlicher Normen

Sinne des Art. 28 DSGVO tätig. Diese ergebenden Pflichten verantwortlich.

Vertragsbedingungen konkretisieren die (2) Der Auftragnehmer ist Auftragsverarbeiter i.S.d.

datenschutzrechtlichen Verpflichtungen der Parteien in Art. 28 DSGVO. Die Auftragsverarbeitung durch

Bezug auf die Auftragsverarbeitung. den Auftragnehmer erfolgt entsprechend der für ihn geltenden rechtlichen Bestimmungen sowie § 1 Definitionen der in dieser Vereinbarung getroffenen

Regelungen. Es gelten die Begriffsbestimmungen entsprechend Art. (3) Auftraggeber sowie Auftragnehmer müssen 4 DSGVO, §2 und 3 BDSG, §2 UWG und §2 TMG in gewährleisten, dass sich die zur Verarbeitung der der jeweils gültigen Fassung. Sollten in den Artikeln personenbezogenen Daten befugten Personen bzw. Paragrafen sich widersprechende Darstellungen zur Vertraulichkeit verpflichtet haben oder einer finden, gelten die Definitionen in der Rangfolge angemessenen gesetzlichen DSGVO, Bundesrecht, UWG und TMG. Weiterhin Verschwiegenheitspflicht unterliegen. Dazu gelten folgende Begriffsbestimmungen: müssen alle Personen, die auftragsgemäß auf

personenbezogene Daten des Auftraggebers (1) Anonymisierung zugreifen können, zur Wahrung der Prozess, bei dem personenbezogene Daten Vertraulichkeit und Einhaltung der entweder vom für die Verarbeitung der Daten datenschutzrechtlichen Anforderungen Verantwortlichen allein oder in Zusammenarbeit verpflichtet und über ihre Datenschutzpflichten mit einer anderen Partei unumkehrbar so belehrt werden. Dabei ist jede Partei für die verändert werden, dass sich die betroffene Verpflichtung des eigenen Personals zuständig. Person danach weder direkt noch indirekt Ferner müssen die eingesetzten Personen darauf identifizieren lässt. (Quelle: DIN EN ISO 25237) hingewiesen werden, dass die Verpflichtung zur (2) Unterauftragnehmer Wahrung der Vertraulichkeit auch nach Vom Auftragnehmer beauftragter Beendigung der Tätigkeit fortbesteht. Leistungserbringer, dessen Dienstleistung

und/oder Werk der Auftragnehmer zur Erbringung § 3 Dauer des Austrags der in diesem Vertrag beschriebenen Leistungen gegenüber dem Auftraggeber benötigt. (1) Der Vertrag tritt mit Unterzeichnung beider (3) Verarbeitung im Auftrag Parteien in Kraft und wird für die Dauer der im Verarbeitung im Auftrag ist die Verarbeitung Hauptvertrag vereinbarten Laufzeit geschlossen. personenbezogener Daten durch einen Er kann von jeder Partei entsprechend der Auftragnehmer im Auftrag des Auftraggebers. Regelungen im Hauptvertrag gekündigt werden. (4) Weisung (2) Es ist den Vertragspartnern bewusst, dass ohne Weisung ist die auf einen bestimmten Vorliegen eines gültigen AV-Vertrages z. B. bei datenschutzmäßigen Umgang (zum Beispiel Beendigung des vorliegenden Anonymisierung, Sperrung, Löschung, Vertragsverhältnisses, keine (weitere) Herausgabe) des Auftragnehmers mit Auftragsverarbeitung durchgeführt werden darf. personenbezogenen Daten gerichtete schriftliche (3) Das Recht zur fristlosen Kündigung aus Anordnung des Auftraggebers. Die Weisungen wichtigem Grund bleibt unberührt werden anfänglich durch einen Hauptvertrag (4) Kündigungen bedürfen zu ihrer Wirksamkeit der festgelegt und können vom Auftraggeber danach Schriftform in schriftlicher Form durch einzelne Weisungen

geändert, ergänzt oder ersetzt werden § 4 Weisungsbefugnis des Auftraggebers

(Einzelweisung). (1) Der Umgang mit den Daten erfolgt ausschließlich

§ 2 Verantwortlichkeit im Rahmen der getroffenen Vereinbarungen und

nach dokumentierter Weisung des Auftraggebers.

S e i te | 4

[Seite 5]

Ausgenommen hiervon sind Sachverhalte, in vorliegendem Angemessenheitsbeschluss

denen dem Auftragnehmer eine Verarbeitung aus gemäß Art. 45 DSGVO erbracht.

zwingenden rechtlichen Gründen auferlegt wird. (2) Jede Verlagerung der Dienstleistung oder eines

Der Auftragnehmer unterrichtet soweit ihm Teils davon in ein Drittland bedarf der vorherigen

möglich in derartigen Situationen den Zustimmung des Auftraggebers und darf nur

Auftraggeber vor Beginn der Verarbeitung über erfolgen, wenn die besonderen Voraussetzungen

die entsprechenden rechtlichen Anforderungen. der Art. 44 ff. DSGVO erfüllt sind und der

Der Auftraggeber behält sich im Rahmen der in Auftragnehmer die entsprechenden Nachweise

dieser Vereinbarung getroffenen hierüber erbracht hat. Sollen Dienstleistungen aus

Auftragsbeschreibung ein umfassendes einem Drittland heraus erbracht werden, für

Weisungsrecht über Art, Umfang und Verfahren welches kein Angemessenheitsbeschluss

der Datenverarbeitung vor, das er durch besteht, so sind ergänzend zu dieser

Einzelweisungen konkretisieren kann. Vereinbarung die EU-Standardvertragsklauseln

(2) Die Weisungen des Auftraggebers werden vom abzuschließen; die zur Beurteilung der

Auftragnehmer dokumentiert und dem Notwendigkeit und Durchführung eines Transfer

Auftraggeber unmittelbar nach erfolgter Impact Assessments erforderlichen Unterlagen

Dokumentation als unterschriebene Kopie zur stellt der Auftragnehmer bereit.

Verfügung gestellt. (3) Bei einer Verlagerung des Ortes der

(3) Änderungen des Verarbeitungsgegenstandes und Leistungserbringung in Länder, die Mitglied der

Verfahrensänderungen innerhalb der vertraglich EU / EWR sind und über ein diesem Vertrag

vereinbarten Leistungen sind von der genügendes und verifiziertes Datenschutzniveau

Weisungsbefugnis des Auftraggebers gedeckt verfügen, wird der Auftraggeber schriftlich

und entsprechend zu dokumentieren. Bei einer informiert.

wesentlichen Änderung des Auftrags steht dem (4) Sofern der Auftragnehmer vom Auftraggeber nicht

Auftragnehmer ein Widerspruchsrecht zu. Besteht innerhalb einer Frist von vier Wochen nach

der Auftraggeber trotz des Widerspruchs des Zugang der Mitteilung gemäß Abs. 3 über die

Auftragnehmers auf die Änderung, steht dem Verlagerung oder Gründe informiert wird, die eine

Auftragnehmer ein ordentliches Kündigungsrecht Verlagerung nicht zulassen, gilt die Zustimmung

bezüglich des von der Weisung betroffenen AV- zu dieser Verlagerung seitens des Auftraggebers

Vertrages sowie der von der AV-Vereinbarung als erteilt.

betroffenen Bestandteile des entsprechenden (5) Sofern die Leistungsverlagerung in ein anderes

Hauptvertrages zu. Verweigert der Land nach den vorstehenden Regelungen

Auftragnehmer, die Änderung durchzuführen, möglich ist, gilt dies entsprechend für jeglichen

steht auch dem Auftraggeber ein ordentliches Zugriff bzw. jegliche Sicht auf die Daten durch den

Kündigungsrecht zu. Erfolgt eine Kündigung, so Auftragnehmer, z. B. im Rahmen von internen

ist für die restliche Vertragslaufzeit weiterhin die Kontrollen oder zu Zwecken der Entwicklung, der

vertraglich vereinbarte Leistung durch den Durchführung von Tests, der Administration oder

Auftragnehmer zu erbringen. der Wartung.

(4) Mündliche Weisungen wird der Auftraggeber (6) Sofern die Datenverarbeitung nach dieser

unverzüglich schriftlich oder per E-Mail (in Vereinbarung und den gesetzlichen Vorgaben zur

Textform) bestätigen. Der Auftragnehmer notiert Verarbeitung personenbezogener Daten im

sich Datum, Uhrzeit und Person, welche die Auftrag bzw. zur Übermittlung

mündliche Weisung erteilte. personenbezogener Daten in das Ausland zulässig außerhalb Deutschlands erbracht § 5 Leistungsort werden darf, wird der Auftragnehmer für die

Einhaltung und Umsetzung der gesetzlichen (1) Die vertraglich vereinbarte Dienstleistung wird Erfordernisse zur Sicherstellung eines adäquaten ausschließlich in einem Mitgliedsstaat der Datenschutzniveaus bei Standortverlagerungen Europäischen Union, in einem Vertragsstaat des und bei grenzüberschreitendem Datenverkehr Abkommens über den Europäischen Sorge tragen. Wirtschaftsraum oder einem Drittland mit

§ 6 Pflichten des Auftragnehmers

S e i te | 5

[Seite 6]

(1) Der Auftragnehmer darf Daten nur im Rahmen DSGVO notwendigen Angaben zur Verfügung.

des Auftrages und der Weisungen des Des Weiteren stellt er das Verzeichnis auf Anfrage

Auftraggebers verarbeiten. der Aufsichtsbehörde zur Verfügung.

(2) Der Auftragnehmer wird in seinem (5) Der Auftragnehmer unterstützt den Auftraggeber

Verantwortungsbereich die innerbetriebliche bei der Datenschutzfolgenabschätzung mit allen

Organisation so gestalten, dass sie den ihm zur Verfügung stehenden Informationen. Im

besonderen Anforderungen des Datenschutzes Falle der Notwendigkeit einer vorherigen

gerecht wird. Er wird geeignete technische und Konsultation der zuständigen Aufsichtsbehörde

organisatorische Maßnahmen zur angemessenen unterstützt der Auftragnehmer den Auftraggeber

Sicherung der Daten des Auftraggebers vor auch hierbei.

Missbrauch und Verlust treffen, die den (6) Die Wahrung des Fernmeldegeheimnisses

Anforderungen der entsprechenden entsprechend § 3 TTDSG muss vom

datenschutzrechtlichen Bestimmungen gerecht Auftragnehmer gewährleistet werden. Dazu muss

werden. Der Auftragnehmer hat die Umsetzung der Auftragnehmer alle Personen, die

der im Vorfeld der Auftragsvergabe dargelegten auftragsgemäß auf Daten des Auftraggebers

technischen und organisatorischen Maßnahmen mittels Mittel der Telekommunikation wie Telefon

vor Beginn der Verarbeitung, insbesondere oder E-Mail zugreifen können, auf das

hinsichtlich der konkreten Auftragsdurchführung Fernmeldegeheimnis verpflichten und über die

zu dokumentieren und dem Auftraggeber zur sich daraus ergebenden besonderen

Prüfung zu übergeben. Bei Akzeptanz durch den Geheimhaltungspflichten belehren.

Auftraggeber werden die dokumentierten (7) Der Auftragnehmer ist verpflichtet, alle im

Maßnahmen Grundlage des Auftrags. Sie sind Rahmen des Vertragsverhältnisses erlangten diesem Vertrag als Anlage 3 beigefügt. Soweit Kenntnisse von Betriebsgeheimnissen und

sich aus der Prüfung/dem Audit des Datensicherheitsmaßnahmen des Auftraggebers

Auftraggebers ein Anpassungsbedarf ergibt, ist vertraulich zu behandeln.

dieser einvernehmlich umzusetzen. (8) Weiterhin sind alle Personen des Auftragnehmers

bzgl. der Pflichten zur Wahrung von Geschäfts-

Diese Maßnahmen muss der Auftragnehmer auf und Betriebsgeheimnissen des Auftraggebers zu

Anfrage dem Auftraggeber und ggfs. verpflichten und müssen auf das GeschGehG

Aufsichtsbehörden gegenüber nachweisen. hingewiesen werden.

Dieser Nachweis beinhaltet insbesondere die (9) Sofern beim Auftragnehmer ein

Umsetzung der aus Art. 32 DSGVO Datenschutzbeauftragter benannt ist, ist dem

resultierenden Maßnahmen. Auftraggeber ein Wechsel unverzüglich schriftlich

mitzuteilen. Der Auftragnehmer gewährleistet,

Die technischen und organisatorischen dass die Anforderungen an den

Maßnahmen unterliegen dem technischen Fort- Datenschutzbeauftragten und seine Tätigkeit

schritt und der Weiterentwicklung. Insoweit ist es gem. Art. 38 DSGVO erfüllt werden.

dem Auftragnehmer gestattet, alternative, (10) Der Auftragnehmer unterrichtet den Auftraggeber

nachweislich adäquate Maßnahmen umzusetzen. unverzüglich bei Verstößen des Auftragnehmers

Dabei muss sichergestellt sein, dass das oder der bei ihm im Rahmen des Auftrags

vertraglich vereinbarte Schutzniveau nicht beschäftigten Personen gegen Vorschriften zum

unterschritten wird. Wesentliche Änderungen sind Schutz personenbezogener Daten des

zu dokumentieren. Auftraggebers oder der im Vertrag getroffenen

(3) Der Auftragnehmer stellt dem Auftraggeber auf Festlegungen. Er trifft die erforderlichen

dessen Wunsch ein aussagekräftiges und Maßnahmen zur Sicherung der Daten und zur

aktuelles Datenschutz- und Sicherheitskonzept Minderung möglicher nachteiliger Folgen für die

für diese Auftragsverarbeitung zur Verfügung. Betroffenen und spricht sich hierzu unverzüglich

(4) Der Auftragnehmer selbst führt für die mit dem Auftraggeber ab. Der Auftragnehmer

Verarbeitung ein Verzeichnis der bei ihm unterstützt den Auftraggeber bei der Erfüllung der

stattfindenden Verarbeitungstätigkeiten im Sinne Informationspflichten gegenüber der jeweils

des Art. 30 DSGVO. Er stellt auf Anforderung dem zuständigen Aufsichtsbehörde bzw. den von einer

Auftraggeber die für die Übersicht nach Art. 30 S e i te | 6

[Seite 7]

Verletzung des Schutzes personenbezogener (17) Der Auftragnehmer verwendet die überlassenen

Daten Betroffenen nach Art. 33, 34 DSGVO. Daten für keine anderen Zwecke als die der

(11) Soweit ein Betroffener sich unmittelbar an den Vertragserfüllung und setzt auch keine Mittel zur

Auftragnehmer zwecks Berichtigung oder Verarbeitung ein, die nicht vom Auftraggeber

Löschung seiner Daten wenden sollte, wird der zuvor genehmigt wurden.

Auftragnehmer dieses Ersuchen unverzüglich an (18) Der Auftragnehmer speichert keine

den Auftraggeber weiterleiten. Patientendaten auf Systemen, die außerhalb der

(12) Überlassene Datenträger sowie sämtliche hiervon Verfügungsgewalt des Auftraggebers liegen.

gefertigte Kopien oder Reproduktionen verbleiben (19) Sofern der Auftragnehmer durch das Recht der

im Eigentum des Auftraggebers. Der Union oder Mitgliedstaaten verpflichtet ist, die

Auftragnehmer hat diese sorgfältig zu verwahren, Daten auch auf andere Weise zu verarbeiten, so

sodass sie Dritten nicht zugänglich sind. Der teilt der Auftragnehmer dem Auftraggeber diese

Auftragnehmer ist verpflichtet, dem Auftraggeber rechtlichen Anforderungen vor der Verarbeitung

jederzeit Auskünfte zu erteilen, soweit seine mit. Die Mitteilung hat zu unterbleiben, wenn das

Daten und Unter lagen betroffen sind. einschlägige nationale Recht eine solche

(13) Ist der Auftraggeber aufgrund geltender Mitteilung aufgrund eines wichtigen öffentlichen

Datenschutzgesetze gegenüber einer betroffenen Interesses verbietet.

Person verpflichtet, Auskünfte zur Verarbeitung (20) Die Erfüllung der vorgenannten Pflichten ist vom

von Daten dieser Person zu geben, wird der Auftragnehmer zu kontrollieren, zu

Auftragnehmer den Auftraggeber dabei dokumentieren und in geeigneter Weise

unterstützen, diese Informationen bereitzustellen, gegenüber dem Auftraggeber auf Anforderung

vorausgesetzt der Auftraggeber hat den nachzuweisen.

Auftragnehmer hierzu schriftlich aufgefordert. (21) Sofern im Rahmen dieses Auftrages auch Daten

(14) Der Auftragnehmer informiert den Auftraggeber verarbeitet werden, die unter das

unverzüglich über Kontrollen und Maßnahmen Berufsgeheimnis im Sinne von § 203 StGB fallen,

durch die Aufsichtsbehörden oder falls eine gilt folgendes:

Aufsichtsbehörde bei dem Auftragnehmer Der Auftragnehmer verpflichtet sich, über

ermittelt, sofern eine solche sich auf Daten oder Berufsgeheimnisse Stillschweigen zu bewahren

Verfahren des Auftraggebers bezieht oder eine und sich nur insoweit Kenntnis von diesen Daten

Relevanz für den Auftraggeber darstellt oder zu verschaffen, wie dies zur Erfüllung der ihm

möglich ist. zugewiesenen Aufgaben erforderlich ist. Der

(15) Der Auftragnehmer wird den Auftraggeber Auftraggeber weist den Auftragnehmer darauf hin,

unverzüglich darauf aufmerksam machen, wenn dass sich Personen, die an der beruflichen

eine vom Auftraggeber erteilte Weisung seiner Tätigkeit eines Berufsgeheimnisträgers mitwirken

Meinung nach gegen gesetzliche Vorschriften und unbefugt ein fremdes Geheimnis offenbaren,

verstößt. Der Auftragnehmer ist berechtigt, die das ihnen bei der Ausübung oder bei Gelegenheit

Durchführung der entsprechenden Weisung so ihrer Tätigkeit bekannt geworden ist, strafbar

lange auszusetzen, bis sie durch den machen nach § 203 Abs. 4 S. 1 StGB.

Auftraggeber bestätigt oder geändert wird. (22) Der Auftragnehmer stellt sicher, dass alle mit der

(16) Sollten die Daten des Auftraggebers beim Verarbeitung von dem Berufsgeheimnis

Auftragnehmer durch Pfändung oder unterliegenden Daten des Auftraggebers

Beschlagnahme, durch ein Insolvenz- oder befassten Beschäftigten und andere für den

Vergleichsverfahren oder durch sonstige Auftragnehmer tätigen Personen, die damit

Ereignisse oder Maßnahmen Dritter gefährdet befasst sind, sich in Textform dazu verpflichtet

werden, so hat der Auftragnehmer den haben, über die ihnen bei der Ausübung oder bei

Auftraggeber unverzüglich darüber zu Gelegenheit ihrer Tätigkeit bekannt gewordenen

informieren. Der Auftragnehmer wird alle in Berufsgeheimnisse Stillschweigen zu bewahren

diesem Zusammenhang Verantwortlichen und diese über die mögliche Strafbarkeit nach §

unverzüglich darüber informieren, dass die Hoheit 203 Abs. 4 StGB belehrt wurden. Der

und das Eigentum an den Daten ausschließlich Auftraggeber weist den Auftragnehmer darauf hin,

beim Auftraggeber als Verantwortlichen im Sinne dass sich eine mitwirkende Person nach § 203

der DSGVO liegen. Abs. 4 S. 2 StGB strafbar macht, sollte sie sich S e i te | 7

[Seite 8]

einer weiteren mitwirkenden Person bedienen, die § 7 Weitere Pflichten im Zusammenhang mit der ihrerseits unbefugt ein fremdes, ihr bei der Prüfung und / oder Wartung des Systems oder

Ausübung oder bei Gelegenheit ihrer Tätigkeit Support der Anwender

bekannt gewordenes Geheimnis offenbart, und nicht dafür Sorge getragen hat, dass diese zur Soweit im Zusammenhang mit der Prüfung und oder Geheimhaltung verpflichtet wurde. Wartung des Systems oder Support der Anwender (23) Der Auftragnehmer wird darauf hingewiesen, Zugriffe auf personenbezogene Daten erfolgen, gelten dass er bzgl. der Berufsgeheimnisdaten ein ergänzend die folgenden Rechte und Pflichten des Schweige recht gemäß § 53a StPO hat. Auftraggebers bzw. Auftragnehmers, wobei folgende Entsprechend § 53a StPO entscheidet jedoch der Fallgestaltungen zugrunde liegen können:

Berufsgeheimnisträger über die Ausübung des a. Fernzugriffe auf ein System bzw. die Server Schweigerechts. Im Falle einer Befragung wird des Auftraggebers der Auftragnehmer unter Hinweis auf § 53a StPO b. Zugriffe auf Systeme bzw. Server die beim dieser widersprechen und unverzüglich den Auftragnehmer gehostet sind Auftraggeber informieren, der daraufhin bzgl. der c. Zugriffe von Mitarbeitern des (Unter-) Wahrnehmung des Schweigerechts entscheidet. Auftragnehmers beim Auftraggeber vor Ort. (24) Der Auftragnehmer wird darauf hingewiesen,

dass die sich in seinem Gewahrsam befindenden Näheres regelt das Wartungs-/Betriebskonzept, das Geheimnisschutzdaten dem dem Vertrag als Anlage 3 beigefügt ist. Beschlagnahmeverbot gemäß § 97 Abs. 2 StPO (1) Die Mitarbeiter des (Unter-)Auftragnehmers unterliegen. Die Daten werden nicht ohne das verwenden angemessene Identifizierungs- und Einverständnis des Auftraggebers Ver schlüsselungsverfahren, die dem Stand der (Berufsgeheimnisträger) herausgegeben. Im Technik entsprechen. Falle einer Beschlagnahme wird der (2) Der Auftragnehmer wird von den ihm Auftragnehmer dieser widersprechen und eingeräumten Zugriffsrechten auf automatisierte unverzüglich den Auftraggeber informieren. Verfahren oder von Datenverarbeitungsanlagen (25) Sofern der Auftraggeber dem Einsatz von (insb. IT-Systeme, Anwendungen) des Unterauftragnehmern zur Datenverarbeitung im Auftraggebers nur in dem Umfang - auch in Rahmen der Dienstleistung zugestimmt hat, stellt zeitlicher Hinsicht - Gebrauch machen, wie dies der Auftragnehmer sicher, dass von ihm für die ordnungsgemäße Durchführung der eingesetzte Subunternehmen darauf verpflichtet beauftragten Wartungs- und Prüfungsarbeiten werden, über Berufsgeheimnisse Stillschweigen notwendig ist. zu bewahren und alle mit der Verarbeitung der (3) Der Auftraggeber ist im Vorfeld über geplante Zu Daten des Auftraggebers befassten Mitarbeiter griffe zu informieren. Soweit nicht im Rahmen des und andere für sie tätige Personen in Textform Wartungs- bzw. Betriebskonzeptes generelle Re darauf zu verpflichten, über ihnen bei Ausübung gelungen über die Zulässigkeit von Zugriffen oder bei Gelegenheit ihrer Tätigkeit bekannt getroffen wurden, bedürfen Zugriffe, bei denen gewordenen Berufsgeheimnisse Stillschweigen eine Kenntnisnahme oder ein Zugriff auf zu bewahren. personenbezogene Daten nicht ausgeschlossen (26) Des Weiteren werden Subunternehmen über das werden kann, der vorherigen Einwilligung des bestehende Schweigerecht gemäß §53a StPO Auftraggebers. so-wie den Beschlagnahmeschutz gemäß § 97 (4) Tätigkeiten, bei denen ein Datenabzug StPO informiert; dies beinhaltet auch Hinweise erforderlich ist (insbesondere zur Fehleranalyse), bzgl. des Rechtes des Berufsgeheimnisträgers bedürfen jeweils einer gesonderten Einwilligung über dieses Recht zu entscheiden und der damit des Auftraggebers. Der Auftragnehmer hat die verbundenen Pflicht, unverzüglich den Daten nach Bereinigung des Fehlers unverzüglich Auftraggeber bzgl. der Wahrnehmung dieser zu löschen. Die Daten dürfen nicht ohne Rechte zu kontaktieren. Zustimmung des Auftraggebers auf mobile (27) Der Einsatz von Subunternehmern im Ausland ist Speichermedien (PDAs, USB-Speichersticks nur zulässig, wenn sichergestellt ist, dass der dort oder ähnliche Geräte) kopiert werden. bestehende Geheimnisschutz mit dem Schutz im

Inland vergleichbar ist. S e i te | 8

[Seite 9]

(5) Der Auftragnehmer verpflichtet sich Zugriffe und (3) Der Auftraggeber ist hinsichtlich der vom

die in diesem Zusammenhang erforderlichen Auftragnehmer eingesetzten und vom

Tätigkeiten nur von hierzu autorisierten Auftraggeber genehmigten Verfahren zur

Mitarbeitern durchführen zu lassen. automatisierten Verarbeitung personenbezogener

(6) Zugriffe sowie sämtliche in diesem Zusammen Daten datenschutzrechtlich verantwortlich und

hang erforderlichen Tätigkeiten, insbesondere hat – neben der eigenen Verpflichtung des

Tätigkeiten wie Löschen, Datentransfer oder eine Auftragnehmers – ebenfalls die Pflicht zur

Fehleranalyse, werden unter Berücksichtigung Führung eines Verzeichnisses von

von technischen und organisatorischen Verarbeitungstätigkeiten.

Maßnahmen zum Schutz personenbezogener (4) Dem Auftraggeber obliegen die aus Art. 33, 34

Daten durchgeführt. In diesem Zusammenhang DSGVO resultierenden Informationspflichten

wird der Auftragnehmer die technischen und gegen über der Aufsichtsbehörde bzw. den von organisatorischen Maßnahmen wie im Anhang 3 einer Verletzung des Schutzes

beschrieben ergreifen. personenbezogener Daten Betroffenen.

(7) Soweit unter datenschutzrechtlichen (5) Der Auftraggeber legt die Maßnahmen zur

Gesichtspunkten erforderlich, insbesondere bei Rückgabe der überlassenen Datenträger

hohem Risiko für personenbezogene Daten, und/oder Löschung der gespeicherten Daten

werden sich Auftraggeber und Auftragnehmer nach Beendigung des Auftrages vertraglich oder

über etwaig not wendige durch Weisung fest.

Datensicherheitsmaßnahmen in ihren jeweiligen (6) Der Auftraggeber ist verpflichtet, alle im Rahmen

Verantwortungsbereichen gesondert des Vertragsverhältnisses erlangten Kenntnisse

verständigen. von Betriebsgeheimnissen und

(8) Die Zugriffe werden – einschließlich der Person Datensicherheitsmaßnahmen des

des/der jeweils ausführenden Mitarbeiter(s) - Auftragnehmers vertraulich zu behandeln.

dokumentiert und protokolliert. Der Auftraggeber (7) Der Auftraggeber ist verpflichtet, alle im Rahmen

ist berechtigt, Prüfungs- und Wartungsarbeiten des Vertragsverhältnisses erlangten Kenntnisse

vor, bei und nach Durchführung zu kontrollieren. von Betriebsgeheimnissen und

(9) Der Auftraggeber ist - soweit technisch möglich - Datensicherheitsmaßnahmen des

berechtigt, Zugriffe jederzeit zu verfolgen, Auftragnehmers vertraulich zu behandeln.

Aktivitäten aufzuzeichnen und den Zugriff (8) Erteilt der Auftraggeber Einzelweisungen, die

jederzeit zu beenden. über den vertraglich vereinbarten

Leistungsumfang hinausgehen, sind die dadurch

begründeten Kosten vom Auftraggeber zu tragen. § 8 Pflichten des Auftraggebers Sofern der vereinbarte Leistungsumfang

überschritten wird, ist hierzu vorab eine (1) Für die Beurteilung der Zulässigkeit der gesonderte schriftliche Vereinbarung zu treffen. Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber § 9 Kontrollrechte des Auftraggebers verantwortlich. Der Auftraggeber wird in seinem

Verantwortungsbereich dafür Sorge tragen, dass (1) Der Auftraggeber hat den Auftragnehmer unter

die gesetzlich notwendigen Voraussetzungen (z. dem Aspekt ausgewählt, dass dieser hinreichend

B. durch Einholung von Einwilligungserklärungen Garantien dafür bietet, geeignete technische und

für die Verarbeitung der Daten) geschaffen organisatorische Maßnahmen so durchzuführen,

werden, damit der Auftragnehmer die dass die Verarbeitung im Einklang mit den

vereinbarten Leistungen rechtsverletzungsfrei Anforderungen der DSGVO erfolgt und den

erbringen kann. Schutz der Rechte der betroffenen Person

(2) Der Auftraggeber hat den Auftragnehmer gewährleistet. Er dokumentiert das Ergebnis

unverzüglich und vollständig zu informieren, wenn seiner Auswahl.

er bei der Prüfung der Auftragsergebnisse Fehler

oder Unregelmäßigkeiten bzgl. Hierfür kann er beispielsweise

datenschutzrechtlicher Bestimmungen feststellt.

S e i te | 9

[Seite 10]

• datenschutzspezifische Zertifizierungen Auftragnehmer die nachweislich

oder Datenschutzsiegel und -prüfzeichen datenschutzkonforme Vernichtung von

berücksichtigen, Datenträgern und sonstiger Materialien nur

• schriftliche Selbstauskünfte des aufgrund entsprechender Einzelbeauftragung

Auftragnehmers einholen, durch den Auftraggeber. Dies gilt nicht, sofern im

• sich ein Testat eines Sachverständigen vor Hauptvertrag bereits eine entsprechende

legen lassen oder Regelung getroffen worden ist.

• sich nach rechtzeitiger Anmeldung zu den (3) In besonderen, vom Auftraggeber zu bestimmen

üblichen Geschäftszeiten ohne Störung des den Fällen, erfolgt eine Aufbewahrung bzw.

Betriebsablaufs persönlich oder durch einen Übergabe.

sachkundigen Dritten, der nicht in einem (4) Nach Abschluss der Erbringung der

Wettbewerbsverhältnis zum Auftragnehmer Verarbeitungsleistungen muss der Auftragnehmer

stehen darf, von der Einhaltung der alle personenbezogenen Daten nach Wahl des

vereinbarten Regelungen überzeugen. Auftraggebers entweder löschen oder diesem

(2) Liegt ein Verstoß des Auftragnehmers oder der zurückgeben, sofern nicht nach dem Unionsrecht

bei ihm im Rahmen des Auftrags beschäftigten oder dem für den Auftragnehmer geltendem

Personen gegen Vorschriften zum Schutz nationalen Recht eine Verpflichtung zur

personenbezogener Daten des Auftraggebers Speicherung der personenbezogenen Daten

oder der im Ver trag getroffenen Festlegungen besteht. Gleiches gilt für alle Daten, die Betriebs-

vor, so kann eine darauf bezogene Prüfung auch oder Geschäftsgeheimnisse des Auftraggebers

ohne rechtzeitige Anmeldung vorgenommen beinhalten. Das Protokoll der Löschung ist auf

werden. Eine Störung des Betriebsablaufs beim Anforderung vorzulegen.

Auftragnehmer sollte auch hierbei weitestgehend (5) Sofern zusätzliche Kosten durch abweichende

vermieden werden. Vorgaben bei der Herausgabe oder Löschung der

(3) Die Durchführung der Auftragskontrolle mittels Daten entstehen, bedarf es einer vorherigen

regelmäßiger Prüfungen durch den Auftraggeber schriftlichen Vereinbarung über die

im Hinblick auf die Vertragsausführung bzw. - Kostentragung.

erfüllung, insbesondere Einhaltung und ggf. (6) Soweit ein Transport des Speichermediums vor

notwendige Anpassung von Regelungen und Löschung unverzichtbar ist, wird der

Maßnahmen zur Durchführung des Auftrags wird Auftragnehmer angemessene Maßnahmen zu

vom Auftragnehmer unterstützt. Insbesondere dessen Schutz, insbesondere gegen

verpflichtet sich der Auftragnehmer, dem Entwendung, unbefugtem Lesen, Kopieren oder

Auftraggeber auf schriftliche Anforderung Verändern, treffen. Die Maßnahmen und die

innerhalb einer angemessenen Frist alle anzuwendenden Lösch verfahren werden bei

Auskünfte zu geben, die zur Durchführung einer Bedarf ergänzend zu den

Kontrolle erforderlich sind. Leistungsbeschreibungen konkretisierend

(4) Der Auftraggeber hat den Auftragnehmer vereinbart.

unverzüglich und vollständig zu informieren, wenn (7) Dokumentationen, die dem Nachweis der

er bei der Prüfung Fehler oder auftrags- und ordnungsgemäßen

Unregelmäßigkeiten bzgl. datenschutzrechtlicher Datenverarbeitung dienen, sind durch den Bestimmungen feststellt. Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende § 10 Berichtigung, Beschränkung von hinaus aufzubewahren. Er kann sie zu seiner Verarbeitung, Löschung und Rückgabe von Entlastung bei Vertragsende dem Auftraggeber Datenträgern übergeben.

(8) Der Auftraggeber kann jederzeit, d. h. sowohl (1) Während der laufenden Beauftragung berichtigt, während der Laufzeit als auch nach Beendigung löscht oder sperrt der Auftragnehmer die des Vertrages, die Berichtigung, Löschung, vertragsgegenständlichen Daten nur auf Verarbeitungseinschränkung („Sperrung“) und Anweisung des Auftraggebers. Herausgabe von Daten durch den Auftragnehmer (2) Sofern eine Vernichtung während der laufenden verlangen, solange der Auftragnehmer die Beauftragung vorzunehmen ist, übernimmt der

S e i te | 10

[Seite 11]

Möglichkeit hat, diesem Verlangen zu jedoch jeder Unterauftragnehmer (verbundenes

entsprechen. Unternehmen) vor Beauftragung dem

(9) Der Auftragnehmer berichtigt, löscht oder sperrt Auftraggeber schriftlich angezeigt werden,

die vertragsgegenständlichen Daten, wenn der sodass der Auftraggeber bei Vorliegen wichtiger

Auftraggeber dies anweist. Soweit ein Betroffener Gründe die Beauftragung untersagen kann.

sich unmittelbar an den Auftragnehmer zwecks (5) Die Leistungserbringung durch

Berichtigung oder Löschung seiner Daten wenden Unterauftragnehmer erfolgt ausschließlich in

sollte, wird der Auftragnehmer dieses Ersuchen einem Mitgliedsstaat der Europäischen Union, in

unverzüglich an den Auftraggeber weiterleiten. einem Vertragsstaat des Abkommens über den

(10) Im Falle von Test- und Ausschussmaterialien ist Europäischen Wirtschaftsraum oder einem

eine Einzelbeauftragung bzgl. einer Löschung Drittland mit vorliegen dem nicht erforderlich, diese müssen gelöscht werden. Angemessenheitsbeschluss gemäß Art. 45 DSGVO. Soll eine Leistungserbringung § 11 Unterauftragnehmer ausnahmsweise in einem Drittland ohne

Angemessenheitsbeschluss erfolgen, so bedarf Sofern Unterauftragnehmer eingesetzt werden, gelten dies der vorherigen ausdrücklichen Zustimmung folgende Regelungen: des Auftraggebers. Der Auftragnehmer sichert in

diesem Fall die Einhaltung der Voraussetzungen (1) Der Auftragnehmer nimmt keinen der Art. 44 ff. DSGVO zu; er bestätigt, dass er das Unterauftragnehmer ohne vorherige not wendige Transfer Impact Assessment für Genehmigung des Auftraggebers in Anspruch; seine Unterauftragnehmer durchgeführt und in diese hat mindestens in Textform zu erfolgen. diesem Zusammenhang geprüft hat, dass die Dies gilt in gleicher Weise für den Fall, dass geplante Datenverarbeitung zulässig ist. Der weitere Unterauftragsverhältnisse durch Auftragnehmer schließt mit seinem Unterauftragnehmer begründet werden. Der Unterauftragnehmer die EU- Auftragnehmer stellt sicher, dass eine Standardvertragsklauseln ab. Auf Anforderung entsprechende Genehmigung des legt der Auftragnehmer dem Auftraggeber die Auftragsgebers für alle im Zusammenhang mit der entsprechende Dokumentation hierzu vor. vertragsgegenständlichen Verarbeitung (6) Zum Zeitpunkt des Abschlusses dieser eingesetzten weiteren Unterauftragnehmer Vereinbarung werden die vertraglich vereinbarten vorliegt. Leistungen bzw. die nachfolgend beschriebenen (2) Die nachfolgenden Regelungen finden sowohl für Leistungsteile unter Einschaltung eines den Unterauftragnehmer als auch für alle in der Unterauftragnehmers durchgeführt und sind in Folge eingesetzten weiteren Unterauftragnehmer Anlage 2 aufgelistet. entsprechende Anwendung. (7) Der Auftragnehmer muss Unterauftragnehmer (3) Im Fall einer allgemeinen schriftlichen unter besonderer Berücksichtigung der Eignung Genehmigung informiert der Auftragnehmer den hin sichtlich der Erfüllung der zwischen Auftraggeber immer über jede beabsichtigte Auftraggeber und Auftragnehmer vereinbarten Änderung in Bezug auf die Hinzuziehung oder die technischen und organisatorischen Maßnahmen Ersetzung von Unterauftragnehmern, wodurch gewissenhaft auswählen. der Auftraggeber die Möglichkeit erhält, gegen (8) Ist der Auftragnehmer im Sinne dieser derartige Änderungen Einspruch zu erheben. Vereinbarung befugt, die Dienste eines Verweigert der Auftraggeber durch seinen Unterauftragnehmers in Anspruch zu nehmen, um Einspruch die Zustimmung aus anderen als aus bestimmte Verarbeitungstätigkeiten im Namen wichtigen Gründen, kann der Auftragnehmer den des Auftraggebers auszuführen, so werden Vertrag zum Zeitpunkt des geplanten Einsatzes diesem Unterauftragnehmer im Wege eines des Unterauftragnehmers kündigen. Vertrags dieselben Pflichten auferlegt, die in (4) Der Auftraggeber ist damit einverstanden, dass dieser Vereinbarung zwischen dem Auftraggeber der Auftragnehmer zur Erfüllung seiner vertraglich und dem Auftragnehmer festgelegt sind, vereinbarten Leistungen verbundene insbesondere hinsichtlich der Anforderungen an Unternehmen des Auftragnehmers zur Vertraulichkeit, Datenschutz und Datensicherheit Leistungserfüllung heranzieht. Hierbei muss zwischen den Vertragspartnern dieses Vertrages S e i te | 11

[Seite 12]

sowie den in diesem AV-Vertrag beschriebenen Durch eine vom Vertragstext abweichende Übung

Kontroll- und Überprüfungsrechten des werden keine Rechte und Pflichten begründet.

Auftraggebers. Hierbei müssen ferner (2) Sollten einzelne Bestimmungen dieser

hinreichend Garantien dafür geboten werden, Vereinbarung unwirksam sein oder werden, wird

dass die geeigneten technischen und hierdurch die Wirksamkeit der übrigen

organisatorischen Maßnahmen so durchgeführt Bestimmungen nicht berührt. Die Parteien

werden, dass die Verarbeitung entsprechend den verpflichten sich, anstelle der unwirksamen

Anforderungen der DSGVO erfolgt. Bestimmungen rückwirkend eine wirksame

(9) Durch schriftliche Aufforderung ist der Regelung zu vereinbaren, die dem von den

Auftraggeber berechtigt, vom Auftragnehmer Parteien Gewollten unternehmerisch,

Auskunft über die datenschutzrelevanten organisatorisch und wirtschaftlich in rechtlich

Verpflichtungen des Unterauftragnehmers zu zulässiger Weise am nächsten kommt.

erhalten, erforderlichen falls auch durch Einsicht Entsprechendes gilt, sollte sich bei der

in die relevanten Vertragsunterlagen. Umsetzung bzw. Durchführung des Vertrages

(10) Ein zustimmungspflichtiges eine Lücke ergeben. Die Parteien verpflichten

Unterauftragnehmerverhältnis liegt nicht vor, sich in diesem Fall rückwirkend eine Regelung zu

wenn der Auftragnehmer Dritte im Rahmen einer vereinbaren, die dem am nächsten kommt, was

Nebenleistung zur Hauptleistung beauftragt, wie die Vertragsschließenden nach dem Sinn und

beispielsweise bei Personal-, Post- und Zweck des Vertrages bestimmt hätten, wenn der

Versanddienstleistungen. Der Auftragnehmer ist Punkt von ihnen bedacht worden wäre.

jedoch verpflichtet, zur Gewährleistung des

Schutzes und der Sicherheit der Daten des

Auftraggebers auch bei fremd vergebenen

Nebenleistungen angemessene und

gesetzeskonforme vertragliche Vereinbarungen

zu treffen sowie Kontrollmaßnahmen zu ergreifen.

Die Nebenleistungen sind vorab detailliert zu

benennen.

(11) Kommt der Unterauftragnehmer seinen Daten

schutzpflichten nicht nach, so haftet der

Auftragnehmer gegenüber dem Auftraggeber für

die Einhaltung der Pflichten jenes

Unterauftragnehmers.

§ 12 Zurückbehaltungsrecht

Die Einrede des Zurückbehaltungsrechts, gleich aus

welchem Rechtsgrund, an den

vertragsgegenständlichen Daten sowie an evtl.

vorhandenen Datenträgern wird ausgeschlossen.

§ 13 Haftung

Sofern keine vertraglichen Haftungsregelungen

vereinbart wurden, gelten die gesetzlichen

Bestimmungen; insbesondere wird auf Art. 82 DSGVO

verwiesen.

§ 14 Schlussbestimmung

(1) Nebenabreden, Änderungen und Ergänzungen

zu dieser Vereinbarung bedürfen der Schriftform.

S e i te | 12

[Seite 13]

Anlage 2 – Unterauftragnehmer

Die vertraglich vereinbarten Leistungen bzw. die nachfolgend beschriebenen Leistungsteile werden unter Einschaltung

eines Unterauftragnehmers durchgeführt, nämlich

Name und Anschrift des Beschreibung der Teilleistungen Leistungsort

Unterauftragnehmers

S e i te | 13

[Seite 14]

Anlage 3 – Technische und organisatorische Maßnahmen / Wartungs-/ Betriebskonzept

• vom Auftragnehmer vorzulegen -

S e i te | 14