Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO, §§ 62
ff. BDSG als Anlage 3 zu _____________________________________
Zwischen der Bundesrepublik Deutschland vertreten durch das Bundesministerium für Verkehr (BMV), vertreten durch die Bundesanstalt für Wasserbau (BAW), Postfach 21 02 53, 76152 Karlsruhe,
- nachstehend Auftraggeber genannt -
und <wird nach Zuschlagserteilung ausgefüllt> Adresse Bitte eingeben: Straße Bitte eingeben: PLZ Ort
- nachstehend Auftragnehmer genannt -
werden folgende den vg. Hauptvertrag präzisierende Regelungen zur Auftragsverarbeitung ver- einbart:
Inhalt
Präambel § 1 Anwendungsbereich § 2 Begriffserläuterungen §3 Auftragsinhalt § 4 Konkretisierung der Rechte und Pflichten des Auftraggebers § 5 Konkretisierung der Rechte und Pflichten des Auftragnehmers § 6 Unterauftragsverhältnisse § 7 Kontrollbefugnisse § 8 Wahrung von Betroffenenrechten § 9 Geheimhaltungspflichten § 10 Technische und organisatorische Maßnahmen zur Datensicherheit § 11 Haftung § 12 Außerordentliche Kündigung § 13 Beendigung, Löschung und Rückgabe § 14 Schlussbestimmungen
Seite 1 von 11
Präambel
Der Auftragnehmer verarbeitet aufgrund des o.g. Vertragsverhältnisses personenbezogene Da- ten im Auftrag für den Auftraggeber. Der Auftraggeber ist entsprechend der gesetzlichen Bestim- mungen im Außenverhältnis weiterhin für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze und damit auch für die Rechtmäßigkeit der Datenverarbeitung durch den Auftragnehmer verantwortlich.
Um die sich aus diesem Auftragsverarbeitungsverhältnis nach Art. 28 DS-GVO, §§ 62 BDSG erge- benden Rechte und Pflichten zu konkretisieren, wird die nachfolgende Vereinbarung geschlossen.
§ 1 Anwendungsbereich
1.1 Diese Vereinbarung findet Anwendung auf alle Tätigkeiten, die Gegenstand solcher mit dem eingangs genannten Vertragsverhältnisses vereinbarten Leistungen sind, bei deren Verrich- tung Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer nach Maßgabe dieser Vereinbarung beauftragte Dritte mit personenbezogenen Daten in Kontakt kommen, für die der Auftraggeber Verantwortlicher i.S. des Art. 4 Ziff. 7 DS-GVO ist.
1.2 Die nachfolgende Vereinbarung bezieht sich nur auf die Durchführung der technischen Er- hebung, Verarbeitung und Nutzung personenbezogener Daten nach Weisungen des Auf- traggebers. Eine inhaltliche Aufgabenübertragung zur eigenständigen Erledigung wird mit dieser Vereinbarung nicht getroffen.
§ 2 Begriffserläuterungen
2.1 Personenbezogene Daten Personenbezogene Daten sind gem. Art. 4 Ziff. 1 DS-GVO alle Informationen, die sich auf eine identifizierbare natürliche Person (betroffene Person) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen oder einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.
2.2 Datenverarbeitung im Auftrag Datenverarbeitung im Auftrag ist gemäß Art. 4 Ziff. 2 DS-GVO jeder mit oder ohne Hilfe au- tomatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusam- menhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslese, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
Seite 2 von 11
2.3 Auftraggeber/Verantwortlicher Auftraggeber i.S. dieser Zusatzvereinbarung ist unabhängig von der jeweiligen Bezeichnung in dem eingangs in Bezug genommenen Hauptvertrag das Bundesministerium für Verkehr und digitale Infrastruktur (BMVI) als Verantwortlicher i.S. von Art. 4 Ziff. 7 DS-GVO.
2.4 Auftragnehmer/Auftragsverarbeiter Der Auftragnehmer ist als Auftragsverarbeiter nach Art. 4 Ziff. 8 DS-GVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Da- ten im Auftrag des Verantwortlichen verarbeitet.
2.5 Weisung Eine Weisung ist die auf einen bestimmten Umgang des Auftragnehmers mit personenbe- zogenen Daten gerichtete schriftliche Anordnung des Auftraggebers. Sie erfolgt regelmäßig durch die Leistungsbeschreibung im Hauptvertrag und kann vom Auftraggeber jederzeit schriftlich durch einzelne weitere Weisung geändert, ergänzt oder ersetzt werden.
§ 3 Auftragsinhalt (Vertragsgegenstand)
Gegenstand und Dauer des Auftrags, Art der Daten, Umfang, Art und Zweck der vorgesehenen Er- hebung, Verarbeitung oder Nutzung der Daten sowie der Kreis der hiervon Betroffenen ergeben sich im Einzelnen aus dem o.g. Hauptvertrag. Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags, sofern sich aus den nachfolgenden Bestimmungen nicht darüberhin- ausgehende Verpflichtungen oder Kündigungsrechte ergeben.
§ 4 Konkretisierung der Rechte und Pflichten des Auftraggebers
4.1 Der Auftraggeber bleibt Verantwortlicher i.S.d. Art. 4 Ziff. 7 DS-GVO.
4.2 Die Pflicht zur Führung des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DS- GVO, § 70 BDSG obliegt dem Auftraggeber; eigene Pflichten des Auftragnehmers bleiben hiervon unberührt.
4.3 Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zur Datensicherung (Art. 24,25 DS-GVO, § 47 BDSG und § 11 dieser Vereinba- rung) in geeigneter Weise zu überzeugen. Der Auftraggeber ist verpflichtet, das jeweilige Ergebnis zu dokumentieren.
4.4 Eine Weisung erfolgt regelmäßig durch die Leistungsbeschreibung im Hauptvertrag. Der Auftraggeber hat das Recht, jederzeit ergänzende Weisungen bezüglich Zweck, Art und Um- fang der Verarbeitung von personenbezogenen Daten gegenüber dem Auftragnehmer zu erteilen. Die Weisungen müssen grundsätzlich schriftlich erfolgen, mündliche Weisungen oder Weisungen in elektronischer Textform (z.B. E-Mail) sind unverzüglich schriftlich zu
Seite 3 von 11
bestätigen. Dem Auftragnehmer soll eine angemessene Frist zur Umsetzung der Weisungen gesetzt werden. Ergänzende datenschutzrechtliche Weisungen führen zu keinem vertragli- chen Mehrvergütungsanspruch. Alle erteilten Weisungen sind sowohl vom Auftraggeber als auch vom Auftragnehmer zu dokumentieren.
4.5 Der Auftraggeber kann jederzeit die Herausgabe, Berichtigung, Löschung und Sperrung der Daten verlangen, sofern nicht nach dem Unionsrecht oder dem Recht der Bundesrepublik Deutschland eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. So- weit sich der Berechtigte zwecks Löschung oder Berichtigung seiner Daten unmittelbar an den Auftragnehmer wendet, wird dieser das Ersuchen des Betroffenen unverzüglich an den Auftraggeber weiterleiten (entsprechend § 5 Abs. 5 dieser Vereinbarung).
§ 5 Konkretisierung der Rechte und Pflichten des Auftragnehmers
5.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der ge- troffenen Vereinbarungen und Weisungen. Kopien und Duplikate darf der Auftragnehmer nicht ohne Wissen des Auftraggebers erstellen. Auf Wunsch des Auftraggebers stellt der Auftragnehmer ihm ein umfassendes und aktuelles Sicherheitskonzept für die Auftragsver- arbeitung sowie über zugriffsberechtigte Personen zur Verfügung.
5.2 Der Auftragnehmer ist verpflichtet, sein Unternehmen und seine Betriebsabläufe so zu ge- stalten, dass die Daten, die er im Auftrag des Auftraggebers verarbeitet, im jeweils erforder- lichen Maß gesichert und vor der unbefugten Kenntnisnahme Dritter geschützt sind. Der Auftragnehmer wird Änderungen in der Organisation der Datenverarbeitung, die für die Si- cherheit der Daten von Bedeutung sein können, vorab mit dem Auftraggeber abstimmen. Den bei der Datenverarbeitung durch den Auftragnehmer beschäftigten Personen ist es un- tersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen. Der Auftragnehmer wird alle Personen, die von ihm mit der Bearbeitung und der Erfüllung die- ses Vertrages betraut werden, entsprechend – auch für die Zeit nach Beendigung dieses Ver- trages oder des Beschäftigungsverhältnisses - verpflichten (Art. 28 Abs. 3 lit. B DS-GVO) und mit der gebotenen Sorgfalt die Einhaltung dieser Verpflichtung sicherstellen sowie dem Auftraggeber auf Verlangen die Einhaltung dieser Verpflichtung in geeigneter Weise nach- weisen.
5.3 Der Auftragnehmer wird den Auftraggeber bei der Vorbereitung und Durchführung von Kontrollen durch den Auftraggeber unterstützen und an der vollständigen und zügigen Ab- wicklung der Kontrolle mitwirken, i.Ü. wird auf § 7 verwiesen.
5.4 Der Auftragnehmer bestellt einen betrieblichen Datenschutzbeauftragten i.S.d. Art. 37 Abs. 1 DS-GVO als Ansprechpartner für den Datenschutz und benennt diesen gegenüber dem Auftraggeber schriftlich. Der Auftragsnehmer veröffentlicht die Kontaktdaten des Daten- schutzbeauftragten auf seiner Internetseite und teilt sie der Aufsichtsbehörde mit.
Seite 4 von 11
Über einen Wechsel in der Person des betrieblichen Datenschutzbeauftragten/Ansprech- partners für den Datenschutz hat der Auftragnehmer den Auftraggeber unverzüglich zu in- formieren.
5.5 Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten techni- schen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten nach Art. 12-22 sowie 32 und 36 DS-GVO. Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten unmittelbar gegenüber dem Auftrag- nehmer geltend, so reagiert dieser nicht selbständig, sondern verweist den Betroffenen un- verzüglich an den Auftraggeber und wartet dessen Weisungen ab.
5.6 Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn eine vom Auftraggeber erteilte Weisung nach seiner Auffassung gegen gesetzliche Regelungen verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Wei- sung(en) solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird.
5.7 Der Auftragnehmer ist verpflichtet, dem Auftraggeber jede schwerwiegende Störung seiner Betriebsabläufe, jeden Verstoß oder Verdacht eines Verstoßes gegen datenschutzrechtliche Vorschriften oder gegen die getroffenen vertraglichen Vereinbarungen und/ oder die erteil- ten Weisungen des Auftraggebers unverzüglich mitzuteilen, der im Zuge der Verarbeitung von Daten durch ihn, einen seiner Mitarbeiter, einen beauftragten Subunternehmer oder dessen Mitarbeiter bei der Auftragsverarbeitung erfolgt ist. In diesen Fällen hat er die not- wendigen Gegenmaßnahmen im Benehmen mit dem Auftraggeber zu treffen. Die Mitteilungspflicht umfasst dabei mindestens die folgenden Informationen: (1) Beschrei- bung der Art der Verletzung der personenbezogenen Daten und (2) Beschreibung der von dem Auftragnehmer ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Ver- letzung und ggf. Maßnahmen zur Abmilderung ihrer möglichen Auswirkungen.
5.8 Die Verarbeitung und Nutzung der Daten außerhalb von Betriebsstätten des Auftragneh- mers, wie insbesondere in Privatwohnungen von Mitarbeitern des Auftragnehmers (Tele- arbeit o.ä.), ist grundsätzlich unzulässig; Abweichungen bedürfen unter Darlegung adäqua- ter besonderer Maßnahmen zur Einhaltung des Datenschutzes und der IT-Sicherheit der schriftlichen Zustimmung durch den Auftraggeber.
5.9 Der Auftragnehmer wird die Daten, die er im Auftrag für den Auftraggeber verarbeitet, auf geeignete Weise kennzeichnen. Der Auftragnehmer und ggf. sein Vertreter führen ein Ver- zeichnis zu allen Kategorien von im Auftrag des Auftraggebers durchgeführten Tätigkeiten der Verarbeitung, das alle Angaben gemäß Art. 30 Abs. 2 DS-GVO enthält. Das Verzeichnis ist dem Auftraggeber auf Anforderung zur Verfügung zu stellen.
5.10 An der Erstellung der Verfahrensverzeichnisse durch den Auftraggeber hat der Auftragneh- mer mitzuwirken. Er hat dem Auftraggeber die jeweils erforderlichen Angaben in geeigne- ter Weise mitzuteilen.
Seite 5 von 11
5.11 Der Auftragnehmer hat dem Auftraggeber die Personen zu benennen, die zum Empfang von Weisungen des Auftraggebers berechtigt sind.
5.12 Die Verarbeitung und Nutzung der Daten durch den Auftragnehmer erfolgt ausschließlich auf dem Gebiet der Bundesrepublik Deutschland/der Europäischen Union. Abweichungen hiervon bedürfen unter Beachtung der Vorgaben der Art. 44 DS-GVO, §§ 78 ff. BDSG der schriftlichen Zustimmung durch den Auftraggeber.
5.13 Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen.
5.14 Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich von Kontrollen und Maß- nahmen durch Aufsichtsbehörden und arbeiten, ggf. unter Hinzuziehung der Vertreter des Auftragnehmers, entsprechend Art. 31 DS-GVO mit der Aufsichtsbehörde zusammen.
5.15 Der Auftraggeber kann vom Auftragnehmer die Erstellung einer Konzeption verlangen die näher darlegt, wie er die Einhaltung der in dieser Vereinbarung geregelten besonderen Maßnahmen sicherstellt. Über wesentliche Änderungen der Sicherheitsmaßnahmen nach §11 dieser Vereinbarung hat der Auftragnehmer den Auftraggeber unverzüglich zu unter- richten.
5.16 Zum Nachweis der Umsetzung dieser Maßnahmen kann der Auftraggeber vom Auftragneh- mer auch aktuelle Bescheinigungen und Berichte unabhängiger Instanzen (wie z.B. Wirt- schaftsprüfer, Revision, Datenschutzbeauftragte, Datenschutzauditoren oder vergleichbare Testate von Sachverständigen) oder geeignete Zertifizierungen der vertragsgegenständli- chen Maßnahmen durch IT-Sicherheits- und Datenschutzaudit verlangen.
§ 6 Unterauftragsverhältnisse
6.1 Die Beauftragung von Subunternehmen durch den Auftragnehmer ist nur mit schriftlicher Zustimmung des Auftraggebers zulässig. Nicht als Leistungen von Subunternehmen im Sinne dieser Regelung gelten Dienstleistungen, die der Auftragnehmer bei Dritten als Ne- benleistungen zur Unterstützung der Auftragsdurchführung in Anspruch nimmt, wie bei- spielsweise Telekommunikationsdienstleistungen, allgemeinen Wartungen etc. Der Auf- tragnehmer ist aber auch hierbei verpflichtet, zur Gewährleistung der Sicherheit der Daten angemessene Vorkehrungen und Kontrollmaßnahmen zu ergreifen.
6.2 Der Auftragnehmer hat den Subunternehmer sorgfältig und nach deren Eignung und Zuver- lässigkeit auszuwählen und diese entsprechend den Regelungen dieser Vereinbarung zu verpflichten und dabei sicherzustellen, dass der Auftraggeber seine Rechte aus dieser Ver- einbarung (insbesondere seine Prüf- und Kontrollrechte) auch direkt gegenüber den Sub- unternehmern wahrnehmen kann. Sofern die Einbeziehung von Subunternehmern in einem Drittland erfolgen soll, hat der Auftragnehmer sicherzustellen, dass beim jeweiligen Subun- ternehmer ein angemessenes Datenschutzniveau gewährleistet ist (z.B. durch Abschluss
Seite 6 von 11
einer Vereinbarung auf Basis der EU-Standarddatenschutzklausel). Der Auftragnehmer wird dem Auftraggeber auf Verlangen den Abschluss der vorgenannten Vereinbarungen mit seinen Subunternehmern nachweisen. Der Auftragnehmer hat vorab und sodann regelmä- ßig während der Vertragsdauer zu kontrollieren, dass der Subunternehmer mindestens ein dieser Vereinbarung entsprechendes Datenschutzniveau wahrt und insbesondere die nach Art. 24,25 DS-GVO, § 47 BDSG i.V.m. § 11 dieser Vereinbarung erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten getroffen hat. Das Ergebnis der Kontrolle ist vom Auftragnehmer zu dokumentieren und auf Anfrage dem Auftraggeber zu übermitteln.
6.3 Die Verpflichtung des Subunternehmens muss schriftlich erfolgen. Dem Auftraggeber ist die schriftliche Verpflichtung des Subunternehmers auf Anfrage in Kopie zu übermitteln.
§ 7 Kontrollbefugnisse
7.1 Der Auftraggeber hat das Recht, die Einhaltung der gesetzlichen Vorschriften zum Daten- schutz und der IT- Sicherheit, die Einhaltung der zwischen den Parteien getroffenen ver- traglichen Regelungen und der erteilten Weisungen jederzeit im erforderlichen Umfang beim Auftragnehmer zu kontrollieren.
7.2 Der Auftragnehmer ist dem Auftraggeber gegenüber zur Auskunftserteilung und zur sons- tigen Mitwirkung verpflichtet, soweit dies zur Durchführung der Kontrolle erforderlich ist. Insoweit verpflichtet sich der Auftragnehmer, dem Auftraggeber auf dessen mündliche oder schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte und Nachweise zur Verfügung zu stellen, die zur Durchführung einer Kontrolle der technischen und orga- nisatorischen Maßnahmen des Auftragnehmers erforderlich sind. Das Kontrollergebnis wird vom Auftraggeber dokumentiert; werden vom Auftraggeber Fehler oder Unregelmä- ßigkeiten festgestellt, wird er den Auftragnehmer unverzüglich hierüber informieren und mit ihm die notwendigen Verfahrensänderungen besprechen bzw. diese anweisen.
7.3 Der Auftraggeber kann hierzu insbesondere auch die Einsichtnahme in die vom Auftragneh- mer für den Auftraggeber verarbeiteten Daten sowie in die hierzu verwendeten Datenver- arbeitungssysteme und -programme verlangen.
7.4 Der Auftraggeber kann nach vorheriger Anmeldung mit angemessener Frist die Kontrolle i.S.v. § 7.1 in der Betriebsstätte des Auftragnehmers zu den jeweils üblichen Geschäftszeiten vornehmen. Der Auftraggeber wird Sorge dafür tragen, dass die Kontrolle nur im erforder- lichen Umfang durchgeführt wird.
7.5 Sofern Daten in einer Privatwohnung verarbeitet werden (vgl. § 5.8), ist der Zugang zur Wohnung zuvor mit dem Auftragnehmer, der auch dieses Kontrollrecht gegenüber seinen Mitarbeitern sicherzustellen hat, abzustimmen. Der Auftragnehmer sichert zu, dass auch et- waige andere Mitbewohner der Privatwohnung zu dieser Regelung ihr Einverständnis er- teilt haben.
Seite 7 von 11
§ 8 Wahrung von Betroffenenrechten
8.1 Der Auftraggeber ist für die Wahrung der Betroffenenrechte allein verantwortlich.
8.2 Soweit eine Mitwirkung des Auftragnehmers für die Wahrung von Betroffenenrechten – ins- besondere auf Auskunft, Berichtigung, Sperrung oder Löschung – durch den Auftraggeber erforderlich ist, wird der Auftragnehmer die jeweils erforderlichen Maßnahmen nach Wei- sung des Auftraggebers treffen.
§ 9 Geheimhaltungspflichten
9.1 Beide Parteien verpflichten sich, alle Informationen, die sie im Zusammenhang mit der Durchführung dieses Vertrages erhalten, zeitlich unbegrenzt, mithin also auch über das Ende des Hauptvertrages hinaus, vertraulich zu behandeln und nur zur Durchführung des Vertrages zu verwenden. Keine Partei ist berechtigt, diese Informationen ganz oder teil- weise zu anderen als den vereinbarten Zwecken zu nutzen oder diese Informationen Dritten zugänglich zu machen.
9.2 Die vorstehende Verpflichtung gilt nicht für Informationen, die eine der Parteien nachweis- bar von Dritten erhalten hat, ohne zur Geheimhaltung verpflichtet zu sein, oder die öffent- lich bekannt sind oder zu deren Mitteilung sie gegenüber Dritten gesetzlich ausdrücklich verpflichtet ist; in einem solchen Fall hat der Auftragnehmer den Auftraggeber rechtzeitig vor Auftragserteilung ausdrücklich hiervon zu unterrichten.
§ 10 Technische und organisatorische Maßnahmen zur Datensicherheit
Der Auftragnehmer verpflichtet sich gegenüber dem Auftraggeber zur Einhaltung nachfolgender technischer und organisatorischer Maßnahmen, die zur Einhaltung der anzuwendenden Daten- schutzvorschriften gemäß Art. 32 DS-GVO erforderlich sind.
10.1 Zutrittskontrolle Maßnahmen, mit denen Unbefugten der Zutritt zu Räumlichkeiten verwehrt wird, in denen Datenverarbeitungssysteme betrieben werden, mit denen die vertragsgegenständlichen personenbezogenen Daten verarbeitet oder genutzt werden. Hierzu werden insbesondere folgende Maßnahmen vereinbart:Bitte eingeben… z. B. Werkschutz, Ausweisleser, Magnet- oder Chipkarte, Schlüsselmanagement, Raum-/ Gebäudesicherungs- und Überwachungsein- richtungen …..
10.2 Zugangskontrolle Maßnahmen, mit denen die Nutzung der Datenverarbeitungssysteme durch Unbefugte ver- hindert wird. Hierzu werden insbesondere folgende Maßnahmen vereinbart: Technische (Kennwort-Passwortschutz) und organisatorische (Benutzerstammsatz) Maßnahmen
Seite 8 von 11
hinsichtlich der Benutzeridentifikation und Authentifizierung, Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren.
10.3 Zugriffskontrolle Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugangsberechtigung unterliegenden Daten zu- greifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt, gelesen, kopiert, verändert oder entfernt werden können. Hierzu werden insbesondere folgende Maßnahmen vereinbart: Bedarfsgerechte Ausgestal- tung des Berechtigungskonzeptes und der Zugriffsrechte sowie deren Überwachung und Protokollierung, Verwendung von dem Stand der Technik entsprechenden Verschlüsse- lungsverfahren.
10.4 Weitergabekontrolle Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. Diese Maßnahmen müssen min- destens Authentisierungs- und Verschlüsselungsmechanismen abdecken.
10.5 Eingabekontrolle Maßnahmen die gewährleisten, dass nachträglich überprüft werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssystemen eingegeben, verändert oder ent- fernt worden sind. Hierzu werden insbesondere folgende Maßnahmen vereinbart: Maßnah- men, die die Nachvollziehbarkeit bzw. Dokumentation der Datenverwaltung gewährleisten, etwa durch Protokollierungs- und Protokollauswertungssysteme.
10.6 Auftragskontrolle Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Diesen Zwecken dient die hiesige Vereinbarung, auf die insofern verwiesen wird, samt Überwachung ihrer Einhaltung.
10.7 Verfügbarkeitskontrolle Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.
10.8 Trennungskontrolle Maßnahmen die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten ge- trennt verarbeitet werden. Hierzu werden insbesondere folgende Maßnahmen vereinbart: Mandantenfähigkeit.
Seite 9 von 11
10.9 Vergleichbare Lösungen Technische und organisatorische Maßnahmen unterliegen dem ständigen technischen Wandel und Fortschritt. Insoweit ist es dem Auftragnehmer gestattet, nach vorheriger Ab- stimmung mit dem Auftraggeber auch alternative adäquate Maßnahmen, die das Sicher- heitsniveau vorstehender Maßnahmen nicht unterschreiten, umzusetzen.
§ 11 Haftung
11.1 Für den Ersatz von Schäden, die ein Betroffener wegen einer nach den Datenschutzgesetzen unzulässigen oder unrichtigen Datenverarbeitung oder Nutzung im Rahmen der Auf- tragsverarbeitung erleidet, ist im Innenverhältnis zum Auftragnehmer alleine der Auftrag- geber gegenüber dem Betroffenen verantwortlich.
11.2 Die Parteien stellen sich jeweils von der Haftung freu, wenn eine Partei nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden bei einem Betroffenen einge- treten ist, verantwortlich ist.
§ 12 Außerordentliche Kündigung
Der Auftraggeber kann den Hauptvertrag fristlos oder teilweise kündigen, wenn der Auftragneh- mer seinen Pflichten aus diesem Vertrag nicht nachkommt, Bestimmungen der DS-GVO vorsätz- lich oder grob fahrlässig verletzt oder eine Weisung des Auftraggebers nicht ausführen kann oder will. Bei einfachen – also weder vorsätzlichen noch grob fahrlässigen – Verstößen setzt der Auf- traggeber dem Auftragnehmer eine angemessene Frist, innerhalt welcher der Auftragnehmer den Verstoß abzustellen hat.
§ 13 Beendigung, Löschung und Rückgabe
13.1 Den Auftragnehmer überlassene Datenträger oder Datensätze verbleiben im Eigentum des Auftraggebers.
13.2 Nach Leistungserbringung oder Beendigung des Vertrages oder nach früherer Aufforde- rung durch den Auftraggeber ist der Auftragnehmer verpflichtet, sämtliche in seinen Besitz gelangten Unterlagen, erstellten Verarbeitungs- oder Nutzungsergebnisse sowie Datenbe- stände nebst allen Kopien oder Reproduktionen, die im Zusammenhang mit dem Auftrags- verhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung des Auftragnehmers datenschutzkonform zu löschen bzw. zu vernichten, sofern nicht nach dem Unionsrecht oder dem Recht der Bundesrepublik Deutschland eine Verpflichtung zur Spei- cherung der personenbezogenen Daten besteht. Dies betrifft auch etwaige Datensicherun- gen, Test- und Ausschussmaterial des Auftragnehmers. Die Löschung bzw. Vernichtung ist in geeigneter Weise durchzuführen und zu dokumentieren. Geeignet sind Lösch- bzw. Ver- nichtungsverfahren, wenn diese nach den Vorgaben des Auftraggebers oder gemäß den
Seite 10 von 11
Vorschriften des BSI zur Löschung bzw. Vernichtung von Daten bzw. Datenträgern mit per- sonenbezogenen Daten durchgeführt werden.
13.3 Der Auftraggeber hat das Recht, die vollständige und vertragsgemäße Rückgabe, Vernich- tung und Löschung der Daten beim Auftragnehmer zu kontrollieren. Dies kann auch durch eine Inaugenscheinnahme der Datenverarbeitungsanlagen in der Betriebsstätte des Auf- tragnehmers erfolgen.
§ 14 Schlussbestimmungen
14.1 Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlag- nahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unver- züglich darüber zu informieren, sofern ihm dies nicht durch gerichtliche oder behördliche Anordnung untersagt ist. Der Auftragnehmer wird alle in diesem Zusammenhang zuständi- gen Stellen unverzüglich darüber informieren, dass die Hoheit an den Daten ausschließlich beim Auftraggeber als „Verantwortlichem“ der DS-GVO liegt.
14.2 Für Änderungen und Ergänzungen ist die Schriftform erforderlich, darin bedarf es eines ausdrücklichen Hinweises, dass es sich um eine Änderung oder Ergänzung dieser Regelun- gen handelt.
14.3 Die Einrede des Zurückbehaltungsrechts i.S.v. § 273 BGB wird hinsichtlich der verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
14.4 Sollten einzelne Teile dieses Vertrages unwirksam sein, so berührt dies die Wirksamkeit der übrigen Regelungen des Vertrages nicht.
14.5 Die Vereinbarung unterliegt deutschem Recht. Ausschließlicher Gerichtsstand ist Karls- ruhe.
(Unterschrift Auftragnehmer) (Unterschrift Auftraggeber)
Seite 11 von 11