2.3c - Datenschutzvereinbarung Regierungspräsidium Karlsruhe Sicherheitsdienst in der Erstaufnahmeeinrichtung für Flüchtlinge (EA), Vergabenummer 0230.0/8-26 Am Schröcker Tor 2 in 76344 Eggenstein-Leopoldshafen

Datenschutzvereinbarung

zwischen dem

Land Baden-Württemberg

vertreten durch das

Regierungspräsidium Karlsruhe Abteilung 9

Felsstraße 2-4

76185 Karlsruhe – nachfolgend Auftraggeber genannt –

und dem

Auftragnehmer

wird mit dem Zuschlag nachfolgende, den Dienstleistungsvertrag ergänzende Vereinbarung geschlossen:

§ 1 Allgemeines

Gemäß der Anlage 3a - Dienstleistungsvertrag werden dem Auftragnehmer die Durchführung von Sicherheitsdienstleistungen in der nachstehend genannten Unterkunft übertragen:

Sicherheitsdienst in der Erstaufnahmeeinrichtung für Flüchtlinge (EA), Am Schröcker Tor 2 in 76344 Eggenstein-Leopoldshafen

Ergänzend zu den Geheimhaltungs- und Datenschutzverpflichtungen des § 10 des Dienstleistungsvertrages werden nachfolgende Regelungen getroffen, welche der Auftragnehmer im Rahmen der für den Auftraggeber durchzuführenden Auftragsdatenverarbeitung zu beachten hat.

In der gegenständlichen Vereinbarung wird alleine aus Gründen der besseren Lesbarkeit die kürzere, männliche Form stellvertretend für alle Geschlechter verwandt. Selbstverständlich sollen insbesondere auch Frauen hierdurch gleichermaßen erfasst werden.

1 Stand: 08.07.2026

§ 2 Gegenstand der Datenverarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers.
Betroffen von der Datenerhebung sind schwerpunktmäßig die Bewohner der Landeserstaufnahmeeinrichtung Karlsruhe und sonstige Personen, welche aufgrund einer Genehmigung des Auftraggebers dort zeitweise untergebracht werden. Darüber hinaus sind von der Datenerhebung auch betroffen Besucher der Bewohner, Ehrenamtliche, Mitarbeiter der Sozial- und Verfahrensberatung, Dolmetscher, Ansprechpartner von anderen Behörden, sowie Mitarbeiter der Alltagsbetreuungs-, Catering-, Reinigungs-, sowie anderen Dienstleistungs- und Handwerksunternehmen.
Für die Zutrittskontrollen zur Einrichtung selbst, zur Essensausgabe sowie ggf. zu weiteren Orten werden dem Auftragnehmer von der Alltagsbetreuung Bewohnerverzeichnisse elektronisch zur Verfügung gestellt; auch werden teilweise Notfalllisten vom Auftragnehmer selbst erstellt, die verschiedene persönliche Daten der Bewohner der Erstaufnahmeeinrichtung enthalten.
Der Auftraggeber leitet dem Auftragnehmer Transfer- und Querverlegungslisten in elektronischer Form zu, die Informationen zu Bewohnern enthalten, die in Landkreise, andere Bundesländer oder andere Erstaufnahmeeinrichtungen verlegt werden.
Darüber hinaus führt der Auftragnehmer für die Einlasskontrollen Ein- und Ausfahrlisten von Kraftfahrzeugen, in denen persönliche Daten von Besuchern, Ehrenamtlichen und Handwerkern verarbeitet und dem Auftraggeber in elektronischer Form zur Verfügung gestellt werden.
In Vorkommnis- und Sicherheitsberichten, die dem Auftraggeber in elektronischer Form zur Verfügung gestellt werden, verarbeitet der Auftragnehmer verschiedene persönliche Daten der Bewohner der Erstaufnahmeeinrichtung und weiteren beteiligten Personen.
Zudem erstellt und speichert der Auftragnehmer Kontaktlisten und speichert vom Auftraggeber zugeleitete E-Mails, die Daten zu Handwerkern, Besuchern, in der Einrichtung mitwirkenden Ehrenamtlichen, Mitarbeitern der Sozial- und Verfahrensberatung, Dolmetschern, Ansprechpartnern von anderen Behörden sowie zu Mitarbeitern von Alltagsbetreuungs-, Catering-, Reinigungs- und anderen Dienstleistern zum Inhalt haben.
Ebenfalls dokumentiert der Auftragnehmer die bei den Einlass-, Personen und Zimmerkontrollen aufgefundenen und eingezogenen verbotenen und gefährlichen Gegenstände sowie größere Bargeldfunde. Hierbei wird ebenfalls vermerkt, wann, wo und bei wem diese Gegenstände bzw. Bargeldbeträge aufgefunden worden sind und durch wen.
Weiter nimmt der Auftragnehmer Erklärungen von Bewohnern an, mit denen diese die Hausordnung explizit anerkennen und einen obligatorischen Eigentumsverzicht für bestimmte Gegenstände erklären.
Im Einzelnen verarbeitet der Auftragnehmer für den Auftraggeber – soweit für die Zwecke des § 3 erforderlich – folgende personenbezogene Daten a) der Bewohner sowie von sonstigen Personen, welche aufgrund einer Genehmigung des Auftraggebers zeitweise in der Erstaufnahmeeinrichtung untergebracht werden:

(1) Vor- und Nachname sowie ggf. Titel (2) Grund der Unterbringung, bspw. Asylfolgeantragsteller, Neuankömmling, Wiederaufnahme, Anhörungstermin beim BAMF, Weiterleitung von einem anderen Bundesland (3) Datum und Uhrzeit der Aufnahme bzw. Ankunft

2 Stand: 08.07.2026

(4) Datum und Uhrzeit der Abwesenheit und des Zutritts von Bewohnern (5) Gebäude und Zimmernummer (6) Lichtbilder der Person (7) Nummern von Ausweisdokumenten wie Personalausweis, Reisepass, Ankunftsnachweis, Aufenthaltsgestattung, Duldung (8) Art der vorgelegten Dokumente, bspw. Heiratsurkunde (9) Ausstellungsdatum und Gültigkeitsdauer von Ausweisdokumenten (10) Ausstellungsdatum und Gültigkeitsdatum von Notwohnungs-/Heim- und Ersatzausweisen des Auftraggebers sowie Entsprechendes bei Übernachtungsberechtigungen (11) Alter (12) Augenfarbe (13) Körpergröße (14) Adresse von bisheriger Unterkunft sowie Mobilfunknummer (15) Geburtsdatum (16) Geburtsort (17) Geburtsname (18) Geschlecht (19) Staatsangehörigkeit (20) Familienstand (21) alleinreisend oder nicht (22) Namen, Vornamen und Geburtsdaten der Kinder, der Ehepartner und der anderen Familienmitglieder (23) Bezeichnung des Haushaltsvorstandes (24) Anzahl der Familienmitglieder (25) Erstantragsteller, Folgeantragsteller, Mischverband (26) Sprachkenntnisse (27) DIMIG-ID-Nummer und BV-Nummer des Bearbeitungs- bzw. Familienverbands (28) ID-Nummer im Ausländerzentralregister (29) EASY-Optionierungsnummer (30) Aktenzeichen BAMF (31) Datum der Asylantragstellung (32) Räumliche Beschränkung und Nebenbestimmungen in der Aufenthaltsgestattung sowie etwaige Verlängerungen des Gültigkeitszeitraumes (33) Beförderungen in ein Klinikum oder zu anderen medizinischen Dienstleistern (34) Datum und Ergebnis von Zimmer-/ Anwesenheitskontrollen (35) Anzahl und Art der Gepäckstücke (36) Verstöße gegen die Hausordnung mit Datum und Uhrzeit (37) Strafrechtliche und ordnungsrechtliche Verstöße mit Datum und Uhrzeit (38) Hausverbote von Bewohnern mit Datum (39) sonstige besondere Vorkommnisse während des Aufenthalts des Bewohners mit Datum und Uhrzeit (40) Vermerke auf Heim- und Notwohnungsausweis wie bspw. „vermutliches Opfer“, „vermutlicher Täter“ (41) Registrierung und Einlagerung von Gepäckstücken, ggf. abgenommene Gegenstände der Person und auf welcher Rechtsgrundlage letzteres erfolgte (42) Verhaltensauffälligkeiten von Bewohnern (43) Vorliegen eines Treffers im Asylkon-System (44) Details zu einer erfolgten Abschiebung

3 Stand: 08.07.2026

b) der Angehörigen oder Besucher der Bewohner, der in der Einrichtung mitwirkenden Ehrenamtlichen, der Mitarbeiter der Sozial- und Verfahrensberatung, der Dolmetscher, der Ansprechpartner von anderen Behörden sowie der Mitarbeiter von Alltagsbetreuungs-, Catering-, Reinigungs- und anderen Dienstleistern sowie Handwerkern:

(1) Vor- und Nachname sowie ggf. Titel (2) (geschäftliche) Adresse (3) (geschäftliche) Festnetz- und/oder Mobilfunknummer (4) (geschäftliche) E-Mailadresse (5) Organisationszugehörigkeit und Tätigkeitsfeld (6) Grund des Besuchs (7) Datum und Uhrzeit der Einfahrt und Verlassens der Erstaufnahmeeinrichtung (8) KFZ-Kennzeichen 11. Die Datenverarbeitung durch den Auftragnehmer erfolgt dabei auf folgende Arten: dem Erheben, dem Erfassen, der Organisation, dem Ordnen, der Speicherung, der Anpassung und Veränderung, dem Auslesen, dem Abfragen, der Verwendung, der Offenlegung durch Übermittlung, dem Abgleich, der Einschränkung sowie schlussendlich dem Löschen bzw. dem Vernichten 12. Soweit keine gesetzliche Pflicht zur Offenbarung oder eine sonstige gesetzliche Befugnis besteht, erfolgt die Verarbeitung von besonders geschützten persönlichen Daten nur mit Einwilligung des Betroffenen.

§ 3 Zwecke der Datenerhebung

Gewährleistung einer menschenwürdigen und sicheren Unterbringung in einer Erstaufnahmeeinrichtung gemäß § 44 Asylgesetz sowie § 6 Flüchtlingsaufnahmegesetz. Dies insbesondere auch durch die aufgrund der Datenerhebung mögliche Gewährleistung von Sicherheit und Ordnung in der Erstaufnahmeeinrichtung und die Abwehr von Gefahren für die Bewohner durch Kontrolle der Zutrittsberechtigungen.

§ 4 Löschpflicht

Sobald personenbezogene Daten für jene Zwecke, für welche sie verarbeitet werden, nicht mehr notwendig sind, sind sie unverzüglich zu löschen bzw. zu vernichten. Spätestens 30 Tage nach Auszug des jeweiligen Bewohners oder sonstiger untergebrachter Personen aus der Einrichtung sind alle ihre verarbeiteten personenbezogenen Daten durch den Auftragnehmer zu anonymisieren sowie spätestens mit Beendigung des Auftragsverhältnisses nach BSI-Norm zu löschen bzw. zu vernichten. Entsprechendes gilt für die übrigen, gemäß § 2 Nr. 2 von der Datenverarbeitung betroffenen Personen, nachdem deren spezifischer Bezug zu den Bewohnern oder zur Einrichtung erloschen ist, insbesondere wenn diese nicht mehr in der Einrichtung tätig sind.
Mit Ende der Vertragslaufzeit hat der Auftragnehmer sämtliche in seinen Besitz gelangte datenrelevanten Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, zu löschen bzw. zu vernichten sowie Test- und Ausschussmaterial und Datensicherungskopien nach BSI-Norm datenschutzgerecht zu löschen bzw. zu vernichten. Auf den sich im Eigentum des Auftragnehmers befindlichen Datenträgern

4 Stand: 08.07.2026

sind zudem alle Daten, welche im Zusammenhang mit der gegenständlichen Vereinbarung verarbeitet wurden, ebenfalls mit Ende der Vertragslaufzeit nach BSI- Norm datenschutzgerecht zu löschen bzw. zu vernichten. Entsprechendes gilt für solche Datenträger, welche zwar nicht im Eigentum des Auftragnehmers stehen, hinsichtlich derer er aber ebenfalls die für eine Löschung oder Vernichtung erforderliche Befugnis besitzt. Die endgültige Löschung bzw. Vernichtung ist dem Auftraggeber unter Datumsangabe schriftlich zu bestätigen.

§ 7 Abs. 1 bleibt unberührt.

§ 5 Zugriffsberechtigung und Weitergabe der personenbezogenen Daten

Zugriffsberechtigt auf die personenbezogenen Daten ist ausschließlich gesondert autorisiertes und eingewiesenes Personal des Auftragnehmers sowie zuständiges Personal des Auftraggebers.
Eine Weitergabe an Dritte darf nur erfolgen, sofern der Auftraggeber oder die betroffene Person hierin eingewilligt hat oder eine gesetzliche Ermächtigung hierzu besteht. Generell erlaubt ist eine Datenweitergabe lediglich in folgendem Umfang, sofern und soweit es zur Verfolgung des jeweiligen Zweckes erforderlich ist:

Weitergabe von Inhalten über Auffälligkeiten und Vorkommnissen an den Alltagsbetreuer für Nachgespräche und Vermittlung von Verhaltensregeln in und außerhalb der Einrichtung.
Weitergabe von Inhalten von Verstößen gegen das Landesnichtraucherschutzgesetz zur Anzeige der Ordnungswidrigkeit bei Behörden.
Weitergabe von Inhalten von Vorkommnissen zur Anzeige von Straftaten bei Behörden.
Weitergabe von Inhalten über gesundheitliche und körperliche Besonderheiten und Einschränkungen in akuten Notfällen an den Rettungsdienst oder die Feuerwehr. Weitergabe von Daten über den aktuellen Aufenthalt von Bewohnern auf dem Einrichtungsgelände an Polizeibedienstete zur Unterstützung der Vorbereitung und Durchführung von polizeilichen Maßnahmen.

§ 6 Technisch-organisatorische Maßnahmen

Der Auftragnehmer gewährleistet bei der Auftragsdatenverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau.
Der Auftragnehmer verpflichtet sich, folgende technisch-organisatorischen Maßnahmen umzusetzen:

a) Zutritts- und Zugriffskontrolle Unbefugten darf ein Zugriff auf jene Datenträger, auf denen die elektronisch verarbeiteten Daten gespeichert werden, nicht möglich sein. Diese müssen entsprechend gegen Wegnahme gesichert sein und der Zutritt zum jeweiligen Aufbewahrungsort nur einem eingeschränkten, autorisierten Kreis an Beschäftigten des Auftragnehmers möglich sein. Weiter sind nicht elektronische

5 Stand: 08.07.2026

Daten in abschließbaren Schränken aufzubewahren, welche nur durch autorisiertes Personal des Auftragnehmers geöffnet werden können und welche sich in Räumen befinden, zu denen nur ein eingeschränkter, autorisierter Kreis an Beschäftigten des Auftragnehmers Zutritt hat.

b) Datenträgerkontrolle Es ist zu verhindern, dass Datenträger unbefugt gelesen, kopiert oder verändert werden können.

c) Speicherkontrolle Die unbefugte Eingabe in den Datenspeicher sowie die unbefugte Kenntnisnahme, Löschung, Veränderung oder sonstige Verarbeitung der gespeicherten Daten ist zu verhindern. Insbesondere sind Daten möglichst zu pseudonymisieren und zu verschlüsseln.

d) Benutzerkontrolle Es muss verhindert werden, dass Unbefugte die elektronischen Datenverarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung nutzen können. Ebenso dürfen auf die Datenverarbeitungssysteme nur ausgewählte, autorisierte Mitarbeiter des Auftragnehmers mittels eines persönlichen Passworts Zugang erhalten können. Während der Bearbeitung von (elektronischen) Daten muss sichergestellt sein, dass Unbefugte von diesen keine Kenntnis erlangen können.

e) Zugriffskontrolle Es ist zu gewährleisten, dass die zur Benutzung der elektronischen Datenverarbeitungssysteme Berechtigten ausschließlich auf solche Daten zugreifen können, die von ihrer individuellen Zugriffsberechtigung erfasst werden.

f) Übermittlungskontrolle Weiter ist zu gewährleisten, dass überprüft und festgestellt werden kann, an welche Stellen elektronische Daten durch Einrichtungen zur Datenübertragung übermittelt werden können.

g) Eingabekontrolle Ferner ist zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, dass sowie welche Daten zu welcher Zeit und von wem erfasst, verändert oder gelöscht worden sind.

h) Auftragskontrolle Es zu gewährleisten, dass die Daten nur entsprechend den Weisungen des Auftraggebers verarbeitet werden.

i) Transportkontrolle Der Auftragnehmer hat sicherzustellen, dass bei der Übertragung oder bei der Weitergabe von Daten sowie beim Transport der (elektronischen) Datenträger die Daten nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können.

j) Verfügbarkeitskontrolle Es ist zu gewährleisten, dass personenbezogene Daten gegen zufällige Vernichtung oder Verlust geschützt sind. Bei einem Zwischenfall beeinträchtigte Daten müssen ohne beachtlichen Zeitverzug wiederherstellbar sein.

6 Stand: 08.07.2026

k) Organisationskontrolle Die innerbetriebliche Organisation ist so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird, insbesondere auch dem Grundsatz der Datenminimierung.

Der Auftragnehmer beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung, wobei er folgende Vorgaben und Aspekte zu Datensicherungsmaßnahmen zu berücksichtigen hat:

a) Verantwortlichkeiten Aus unklaren Aufgabenverteilungen, beispielsweise bei der Vergabe von Zugriffsrechten, resultieren Schwachstellen mit hohen Risiken.

b) Abschottung von Netzen Es müssen Maßnahmen ergriffen werden, um ein unberechtigtes Eindringen in Rechnernetze soweit wie möglich zu verhindern. Da meist keine absolute Sicherheit erreicht werden kann, müssen derartige Eindringungsversuche erkannt werden. Technische Komponenten, die in Betracht kommen, sind Firewalls, Intrusion Detection Systeme und insbesondere dem Stand der Technik entsprechende Verschlüsselungsverfahren.

c) Abhören der Kommunikation Zum Schutz gegen unberechtigtes Abhören bietet es sich an, die Daten entsprechend dem Stand der Technik zu verschlüsseln.

d) Anmeldeprozeduren Die Anmeldung am System oder der Anwendung stellt die erste und wichtigste Hürde dar, welche unbefugte Personen überwinden müssen. An dieser Stelle müssen qualitativ hochwertige Maßnahmen ergriffen werden.

Die technischen und organisatorischen Maßnahmen müssen im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, wobei die vereinbarten Standards zu wahren sind. Wesentliche Änderungen sind schriftlich mit dem Auftraggeber zu vereinbaren sowie zu dokumentieren.
Für die Datensicherheit relevante Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren hat der Auftragnehmer vorab mit dem Auftraggeber abzustimmen.
Der Auftragnehmer hat bei gegebenem Anlass, mindestens jedoch jährlich, eine Überprüfung, Bewertung und Evaluation der Wirksamkeit der technisch- organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen.
Erkennt der Auftragnehmer, dass die bei ihm getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht genügen, so benachrichtigt er den Auftraggeber unverzüglich.
Der Auftragnehmer teilt dem Auftraggeber unverzüglich eigene Verstöße, Störungen oder Unregelmäßigkeiten, solche von bei ihm beschäftigten Personen sowie von

7 Stand: 08.07.2026

Dritten, an welche er gemäß § 5 personenbezogene Daten weitergegeben hat, gegen datenschutzrechtliche Bestimmungen sowie die in dieser Vereinbarung getroffenen Regelungen mit, ebenso entsprechende Verdachtsmomente. Zudem weist er unverzüglich nach Bekanntwerden den Auftraggeber auf dessen datenschutzrechtliche Verstöße im Zusammenhang mit der gegenständlichen Datenverarbeitung hin.

§ 7 Rechte und Pflichten des Auftraggebers

Der Auftraggeber ist berechtigt, dem Auftragnehmer im Zusammenhang mit der gegenständlichen Datenverarbeitung nach billigem Ermessen Weisungen zur konkreten Durchführung zu erteilen.
Änderungen des Verarbeitungsgegenstandes sowie des Verfahrens sind gemeinsam abzustimmen und schriftlich festzuhalten.
Der Auftraggeber ist berechtigt, sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftraggeber getroffenen technischorganisatorischen Maßnahmen sowie der übrigen datenschutzrechtlichen Vorgaben zu überzeugen, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und elektronische Datenverarbeitungsprogramme sowie durch sonstige Kontrollen vor Ort. Der Auftraggeber kann diese Kontrolle auch durch einen Dritten durchführen lassen. Soweit erforderlich, wird der Auftragnehmer bei diesen Kontrollen mitwirken.
Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherungsmaßnahmen des Auftragnehmers vertraulich zu behandeln.

§ 8 Pflichten des Auftragnehmers

Der Auftragnehmer verarbeitet mit seinen Mitarbeitern personenbezogene Daten ausschließlich gemäß der gegenständlichen Vereinbarung und entsprechend den Weisungen des Auftraggebers. Er hat personenbezogene Daten insbesondere unverzüglich zu berichtigen, zu löschen, zu vernichten und zu sperren, wenn der Auftraggeber dies von ihm verlangt.
Der Auftragnehmer verwendet die zur Auftragsdatenverarbeitung überlassenen oder erlangten Daten für keine anderen, insbesondere nicht für eigene Zwecke. Ohne Wissen des Auftraggebers dürfen Kopien oder Duplikate nicht erstellt werden.
Der Auftragnehmer gewährleistet im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen. Weiter gewährleistet er, dass die gegenständlichen Daten von sonstigen Datenbeständen strikt getrennt werden.

8 Stand: 08.07.2026

Vom Auftraggeber zur Verfügung gestellte Datenträger sowie solche, welche für diesen genutzt werden, sind durch den Auftragnehmer besonders zu kennzeichnen. Deren Ein- und Ausgang sowie die laufende Verwendung werden durch ihn dokumentiert.
Sollten Daten beim Auftragnehmer durch Maßnahmen Dritter, etwa durch Pfändung oder Beschlagnahme, durch ein Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber hierüber unverzüglich zu informieren.
Die Verarbeitung der Daten findet ausschließlich auf dem Gebiet der Bundesrepublik Deutschland, eines Mitgliedstaates der Europäischen Union oder eines anderen Vertragsstaates des Abkommens über den Europäischen Wirtschaftsraum statt.
Die Verarbeitung der Daten in Privatwohnungen, beispielsweise im Rahmen von Telearbeit, ist nur nach schriftlicher Zustimmung des Auftraggebers gestattet. Werden hiernach Daten in einer Privatwohnung verarbeitet, so muss der Zugang zur Wohnung für Kontrollzwecke des Auftragnehmers und des Auftraggebers möglich und die Datensicherheit nach dieser Vereinbarung sowie den gesetzlichen Bestimmungen sichergestellt sein.
Für die Sicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren sind mit dem Auftraggeber abzustimmen.
Beim Auftragnehmer ist ein Beauftragter für den Datenschutz zu bestellen. Nach Abschluss der gegenständlichen Vereinbarung ist dieser dem Auftraggeber unverzüglich mitzuteilen; ein Wechsel ist dem Auftraggeber ebenfalls unverzüglich mitzuteilen.
Der Auftragnehmer verpflichtet sich, bei der Verarbeitung der personenbezogenen Daten des Auftraggebers das Datengeheimnis und die Vertraulichkeit zu wahren. Diese Pflicht besteht auch nach dem Auslaufen der gegenständlichen Vereinbarung fort.
Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen der von der Datenverarbeitung betroffenen Personen, mit der diese ihre im Kapitel III der Datenschutzgrundverordnung genannten Rechte wahrnehmen, insbesondere jene auf Information, Auskunft, Löschung, Einschränkung und Widerspruch bezüglich der Verarbeitung ihrer Daten.
Der Auftragnehmer unterstützt den Auftraggeber ferner bei der Einhaltung der in den Artikel 32 bis 36 der Datenschutzgrundverordnung geregelten Pflichten, insbesondere jenen zur sicheren Verarbeitung sowie zur Meldung und Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten.
Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind, insbesondere jene der Datenschutzgrundverordnung sowie des Landesdatenschutzgesetzes. Er sichert zu, dass er die bei der Durchführung der Datenverarbeitung eingesetzten Mitarbeiter vor deren diesbezüglicher Tätigkeitsaufnahme mit den für sie maßgeblichen Bestimmungen des Datenschutzes vertraut macht und sie auf das Datengeheimnis sowie auf Vertraulichkeit schriftlich

9 Stand: 08.07.2026

verpflichtet. Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften und die Einhaltung der Bestimmungen dieser Vereinbarung.

Auskünfte an Dritte, insbesondere an die Betroffenen, darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung des Auftraggebers erteilen.
Zur Erfüllung der Pflichten aus der vorliegenden Vereinbarung darf sich der Auftragnehmer keines Unterauftragnehmers bedienen. Ausnahmen hiervon sind nur nach schriftlicher Genehmigung des Auftraggebers möglich.

§ 9 Haftung

Die Haftung für Schäden richtet sich nach den diesbezüglichen Bestimmungen der Dienstleistungsverträge. Insoweit stellt der Auftragnehmer den Auftraggeber auch von der Haftung von Schäden frei, welche Dritte wegen einer datenschutzrechtlich unzulässigen oder der gegenständlichen Datenschutzvereinbarung widersprechenden Datenverarbeitung des Auftragnehmers erleiden.

§ 10 Vertragsstrafe

Bei einem wiederholten, zuvor abgemahnten Verstoß gegen eine der nachfolgend aufgeführten Pflichten aus dieser Datenschutzvereinbarung verwirkt der Auftragnehmer eine Vertragsstrafe in Höhe von 2 % des Nettobetrages der Gesamtrechnung jenes Monats, in welchem der letzte Verstoß begangen wurde: a) Löschpflichten des § 4 b) Pflicht, keine Daten an Dritte entgegen den Vorgaben des § 5 Nr. 2 weiterzugeben c) Pflicht zur Beachtung der Vorgaben des § 6 Nr. 2 bis 8 d) Pflicht zur Gewährung von auftraggeberseitigen Kontrollen gemäß § 7 Nr. 3 e) Pflichten nach § 7 Nr. 4 sowie § 8 Nr. 1 bis 10, 14 und 15 Treffen mehrere Vertragsstrafen – auch jene aus dem in § 9 bezeichneten Dienstleistungsvertrag – zusammen, so dürfen diese kumuliert 5 % der Nettosumme aller Monatsabrechnungen in einem Vertragsjahr nicht überschreiten.

§ 11 Sonstiges

Die Einrede des Zurückbehaltungsrechts wird hinsichtlich der verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
Vereinbarungen zu den technisch-organisatorischen Maßnahmen sowie Kontroll- und Prüfunterlagen sind im Anschluss an die Laufzeit noch für drei Jahre aufzubewahren.

10 Stand: 08.07.2026

2026-08-07 Anlage 2.3c Datenschutzvereinbarung.pdf