06-0_EVB_Anlage 3a_ZVB AVV.pdf

[Seite 1]

1

Zusätzliche Vertragsbedingungen über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Datenschutz-Grundverordnung (DSGVO) (ZVB AVV)

1. Gegenstand, Dauer der Verarbeitung personenbezogener Daten, Art.28 Abs.3 S.1 DSGVO

Der Gegenstand der Verarbeitung ergibt sich aus dem Vertrag sowie dessen Bestandteile (insbesondere Leistungsbeschreibung und Angebot). Die Auftragsverarbeitung erfolgt für die Dauer des Vertrages.

2. Art und Zweck der Verarbeitung personenbezogenen Daten, Art.28 Abs.3 S.1 DSGVO

2.1 Art: Erheben Erfassen Organisieren Ordnen Speichern Anpassen/ Verändern Auslesen Abfragen Verwenden Offenlegen durch Übermitteln Verbreiten/ Bereitstellen Abgleich/ Verknüpfung Einschränken Löschen/ Vernichten

2.2 Zweck1:

3. Art der personenbezogenen Daten, Art.28 Abs.3 S.1 DSGVO:2

Im Rahmen der Durchführung des Vertrages erhält der Auftragnehmer Zugriff auf folgende personenbezogene Daten:

4. Kategorien der von der Verarbeitung betroffenen Personen, Art.28 Abs.3 S.1 DSGVO3:

Der Kreis der von der Datenverarbeitung Betroffenen umfasst:

Nutzer, Fortzubildende sowie deren Vorgesetzte, Lehrende/Dozenten

5. Weisungen, Art.28 Abs.3 S.2 Buchst. a) DSGVO:

5.1 Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern der Auftragnehmer nicht durch das Recht der Union oder

1 Benennung der gesetzlichen Aufgabe, die erfüllt werden soll. 2 z.B.  Daten der Bediensteten des FS Sachsens wie Personaldaten, Daten in Besoldungsangelegenheiten, Arbeitszeit-, Abwesenheits- und Urlaubsdaten, Gesundheitsdaten, Daten zu Dienstreisen und Dienstunfällen …  von Lieferanten, Dienstleistern und sonstigen Dritten, die mit dem LfULG in einer Geschäftsbeziehung stehen  Bürgerdaten in Fachverfahren als allgemeine Verfahrensdaten der Verfahrensbeteiligten und ihrer Vertreter, wie zum Beispiel Namen, Adressen, Kontaktdaten, Geburtsdatum, Geburtsort, Familienstand, Staatsangehörigkeit, Bankdaten, Eigentumsverhältnisse, Vertragsunterlagen, Bilanzen, notarielle Urkunden, Testamente, Grundbuch- und Registerauskünfte, Einkommensverhältnisse, Sachverständigengutachten und Bilddokumentationen 3 Sachverständige, Antragsteller, Bedienstete, Referendare, Anwärter, Praktikanten, Abonnenten …

Stand 03/2025

[Seite 2]

2

der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5.2 Die im Vertrag und dessen Anlagen enthaltenen Regelungen nebst dieser „Zusätzlichen Vertragsbedingungen“ stellen Weisungen des Auftraggebers dar. Weisungen im Einzelfall (Einzelauftrag) sind durch den Auftraggeber schriftlich oder in einem elektronischen Format zu erteilen. In Eilfällen genügt die mündliche Erteilung, welche unverzüglich schriftlich oder in einem dokumentierten elektronischen Format vom Auftraggeber zu bestätigen ist.

5.3 Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn eine vom Auftraggeber durch den Vertrag oder nach Vertragsabschluss in anderer Weise erteilte Weisung nach Auffassung des Auftragnehmers zu einem datenschutzrechtlichen Verstoß führen kann. Der Auftragnehmer ist berechtigt, die Datenverarbeitung bzw. die Umsetzung der Weisung solange auszusetzen, bis die Weisung durch den Auftraggeber schriftlich oder in einem elektronischen Format bestätigt oder geändert wird.

5.4 Die Parteien benennen nach Zuschlagserteilung die weisungsberechtigten und empfangsberechtigten Personen mittels Formblatt „Erklärung zur Auftragsverarbeitung“. Bis zur Anzeige eines Wechsels dieser Personen gelten die benannten Personen als weisungs– und empfangsberechtigt.

6. Verschwiegenheit, Art.28 Abs.3 S.2 Buchst. b) DSGVO:

Ferner gewährleistet der Auftragnehmer, dass die von ihm mit der Bearbeitung und der Erfüllung dieses Vertrages betrauten Personen schriftlich gemäß Art. 28 Abs. 3 Buchst. b DSGVO zur Vertraulichkeit verpflichtet werden bzw. einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Einhaltung dieser Verpflichtung ist mit der gebotenen Sorgfalt sicherzustellen. Auf Verlangen des Auftraggebers wird der Auftragnehmer dem Auftraggeber die Verpflichtung der Mitarbeiter schriftlich oder in elektronischer Form nachweisen.

7. Technisch-organisatorische Maßnahmen, Art.28 Abs.3 S.2 Buchst. c) DSGVO i.V.m. Art.32 DSGVO:

7.1 Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten4; insbesondere sind das Maßnahmen im Rahmen von:

 Verschlüsselung und Pseudonymisierung o Verschlüsselung: Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können oder bei elektronischer Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. o Pseudonymisierung: Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer konkreten betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechenden technischen und organisatorischen Maßnahmen unterliegen.

 Vertraulichkeit

4 Ergibt sich aus dem Schutzbedarf. Die im Formblatt aufgeführten Maßnahmen beziehen sich auf einen Schutzbedarf „normal“.

Stand 03/2025

[Seite 3]

3

o Zutrittskontrolle: Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen zu verwehren. o Zugangskontrolle: Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können. o Zugriffskontrolle: Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. o Trennungskontrolle: Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.

 Integrität o Weitergabekontrolle: Maßnahmen, die gewährleisten, dass personenbezogene Daten bei elektronischer Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. o Eingabekontrolle: Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.

 Verfügbarkeit und Belastbarkeit der Systeme und Dienste, Wiederherstellbarkeit o Verfügbarkeitskontrolle: Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. o Belastbarkeit: Maßnahmen, die sicherstellen, dass im Falle eines Ausfalls der Datenverarbeitungssysteme diese rasch wiederhergestellt werden können.

 Verfahren zur regelmäßigen Überprüfung, Bewertung, Evaluierung o Datenschutzmanagement o Maßnahmen zur Unterstützung bei der Reaktion auf Sicherheitsverletzungen o Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO) o Auftragskontrolle: Maßnahmen, die gewährleisten, dass personenbezogene Daten im Rahmen der Auftragsverarbeitung nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können.

7.2 Der Auftragnehmer hat die erforderlichen technischen und organisatorischen Maßnahmen nach 7.1. vor Beginn der Verarbeitung zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben, mittels Formblatt “Erklärung zur Auftragsverarbeitung“. Die dokumentierten Maßnahmen werden Bestandteil des Vertrages. Soweit die Prüfung des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen. Verweigert der Auftragnehmer eine datenschutzkonforme Anpassung seiner technischen und organisatorischen Maßnahmen, kann der Auftraggeber den Vertrag außerordentlich kündigen.

7.3 Die vereinbarten technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer zukünftig gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Änderungen sind durch den Auftragnehmer zu dokumentieren. Der Auftraggeber ist unverzüglich über wesentliche Änderungen in Kenntnis zu setzen.

7.4 Auf Verlangen des Auftraggebers sind die Maßnahmen nachzuweisen.

Stand 03/2025

[Seite 4]

4

8. Weitere Auftragsverarbeiter, Art.28 Abs.2, 3 S.2 Buchst. d), Abs.4, Abs. 9 DSGVO:

8.1. Der Auftragnehmer trägt bei der Auswahl eines weiteren Auftragsverarbeiters Sorge dafür, dass die in diesen Vertragsbedingungen vereinbarten Regelungen auch gegenüber den von ihn beauftragten weiteren Auftragsverarbeitern gelten, wobei insbesondere hinreichend Garantie dafür geboten werden muss, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen der DSGVO erfolgt. Dafür überträgt der Auftragnehmer seine im Verhältnis zum Auftraggeber geltenden vertraglichen Pflichten und die für den Auftragnehmer unmittelbar geltenden gesetzlichen Pflichten zum Schutz der Daten vertraglich in entsprechendem Umfang auf seine weiteren Auftragsverarbeiter. Insbesondere muss der Auftraggeber berechtigt sein, im Bedarfsfall angemessene Überprüfungen und Inspektionen, auch vor Ort, bei weiteren Auftragsverarbeitern durchzuführen oder durch von ihm beauftragte Dritte durchführen zu lassen. Auch muss der weitere Auftragsverarbeiter zur Wahrung der Vertraulichkeit sowie zur Vornahme entsprechender Verpflichtungen seiner im Rahmen der Auftragsverarbeitung eingesetzten Mitarbeiter verpflichtet werden. Der Vertrag mit dem weiteren Auftragsverarbeiter muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs.4, Abs.9 DSGVO).

8.2 Eine Beauftragung von weiteren Auftragsverarbeitern in Drittstaaten darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

8.3 Der Auftragnehmer haftet gegenüber dem Auftraggeber dafür, dass der weitere Auftragsverarbeiter den Datenschutzpflichten nachkommt, die ihm durch den Auftragnehmer im Einklang mit Ziffer 8.1 vertraglich auferlegt wurden (Art. 28 Abs.4 S. 2 DSGVO).

8.4 Der Auftragnehmer nimmt nach Zuschlagserteilung keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte schriftliche Genehmigung in Anspruch (Art. 28 Abs.2 S.1 Alt. 1 DSGVO). Weitere Voraussetzung der Beauftragung von weiteren Auftragsverarbeitern in Drittstaaten ist, dass die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

8.5 Versagt der Auftraggeber die Genehmigung zum Einsatz eines weiteren Auftragsverarbeiters, sind beide Vertragsparteien berechtigt, den Vertrag außerordentlich zu kündigen.

9. Mitwirkungspflichten des Auftragnehmers gemäß Art.28 Abs.3 S.2 Buchst. e) und f) DSGVO

9.1 Der Auftragnehmer leitet Anträge und Anfragen betroffener Personen hinsichtlich der Wahrung ihrer Rechte, die bei ihm eingehen, unverzüglich an den Auftraggeber weiter und unterstützt diesen bei der Erfüllung seiner Pflichten gegenüber den betroffenen Personen. Auskünfte an betroffene Personen erteilt der Auftragnehmer nur nach vorheriger Weisung des Auftraggebers.

9.2 Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten - bei der Sicherheit der personenbezogenen Daten, den Meldepflichten bei Datenpannen, den Datenschutz-Folgenabschätzungen, der Vorbereitung und Vornahme vorheriger Konsultationen, den Kontrollen durch datenschutzrechtliche Aufsichtsbehörden. Er informiert den Auftraggeber unverzüglich über Datenschutzverstöße oder den Verdacht von Datenschutzverletzungen durch den Auftragnehmer selbst oder Dritte sowie über Kontrollen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Vertrag beziehen.

9.3 Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn die Daten des Auftraggebers durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter beim

Stand 03/2025

[Seite 5]

5

Auftragnehmer gefährdet werden. Der Auftragnehmer informiert in diesem Fall alle Beteiligten unverzüglich darüber, dass das Eigentum an den Daten ausschließlich beim Auftraggeber liegt.

9.4 Der Auftragnehmer benennt seinen Datenschutzbeauftragten nach Zuschlagserteilung mittels Formblatt “Erklärung zur Auftragsverarbeitung“, sofern er nach Art. 37 ff. DSGVO dazu verpflichtet ist. Ein Wechsel des Datenschutzbeauftragten ist unverzüglich anzuzeigen.

10. Löschung, Rückgabe personenbezogener Daten gemäß Art.28 Abs.3 S.2 Buchst. g) DSGVO

10.1 Nach Vertragsende ist der Auftragnehmer verpflichtet, die von der Beendigung betroffenen personenbezogenen Daten nach Wahl des Auftraggebers entweder zu löschen oder an diesen zurückzugeben sowie vorhandene Kopien zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Sofern eine datenschutzkonforme Löschung der Daten nicht möglich ist, stellt der Auftragnehmer eine datenschutzkonforme Vernichtung der Datenträger und Unterlagen, die vertragsgegenständliche personenbezogene Daten enthalten, sicher. Für den Fall der Löschung/ Vernichtung ist dies dem Auftraggeber mit Datumsangabe schriftlich zu bestätigen.

10.2 Die Einrede des Zurückbehaltungsrechts i.S.v. § 273 BGB an Daten, Unterlagen, Ergebnissen mit Personenbezug ist ausgeschlossen.

11. Kontrollrechte des Auftraggebers

11.1 Der Auftraggeber ist berechtigt, sich vor Beginn und während der Verarbeitung von der Einhaltung der Regelungen dieser Vertragsbedingungen, insbesondere der Umsetzung und Einhaltung der technischen und organisatorischen Maßnahmen gemäß Ziffer 7 zu überzeugen. Hierfür kann er Auskünfte des Auftragnehmers einholen, sich vorhandene Testate von Sachverständigen, Zertifizierungen oder internen Prüfungen vorlegen lassen oder die technischen und organisatorischen Maßnahmen des Auftragnehmers zu den üblichen Geschäftszeiten selbst persönlich bzw. durch einen sachkundigen Dritten prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht. Der Dritte ist zur Verschwiegenheit zu verpflichten.

11.2 Der Auftraggeber wird Kontrollen nur im erforderlichen Umfang durchführen und angemessene Rücksicht auf die Betriebsabläufe des Auftragnehmers nehmen. Über den Zeitpunkt sowie die Art der Prüfung verständigen sich die Parteien rechtzeitig.

11.3 Der Auftraggeber dokumentiert das Kontrollergebnis und teilt es dem Auftragnehmer mit. Bei Fehlern oder Unregelmäßigkeiten, die der Auftraggeber insbesondere bei der Prüfung von Auftragsergebnissen feststellt, hat er den Auftragnehmer unverzüglich zu informieren.

12. Haftung

12.1 Der Auftraggeber und der Auftragnehmer haften gegenüber betroffenen Personen gemäß Art. 82 DSGVO.

Im Hinblick auf die Haftung des Auftragnehmers gegenüber dem Auftraggeber im Innenverhältnis gelten die im Vertrag getroffenen Regelungen zur Haftung gemäß Ziffer 15 ZVB / Ziffer 10 AVB FuE, wobei Haftungsbeschränkungen nicht für die Haftung nach Art 82 DSGVO gelten.

13. Fernwartung (räumlich getrennter Zugriff des Auftragnehmers auf IT-Systeme des Auftraggebers zu Zwecken der Wartung und Reparatur)

Stand 03/2025

[Seite 6]

6

13.1 Der Auftragnehmer hat dem Auftraggeber Fernwartungsarbeiten im Vorfeld anzukündigen. Der Auftraggeber ist berechtigt, die Durchführung der Fernwartung mit zu verfolgen bzw. Aufzeichnungen von dieser zu erstellen. Im Zweifel kann der Auftraggeber die Aktivitäten abbrechen.

13.2 Der Auftragnehmer darf auf personenbezogene Daten zugreifen, wenn das für die Durchführung der Fernwartung erforderlich ist.

13.3 Dem Auftragnehmer ist untersagt, personenbezogene Daten des Auftraggebers auf eigenen IT-Systemen/ Datenträgern zu speichern, es sei denn, der Auftraggeber weist ihn dazu an.

13.4 Folgende Rahmenbedingungen sind zu beachten:

 Bei der Fernwartung wird die Verbindung oder die Freischaltung (nach einem Authentifikationsprozess) grundsätzlich (bei Ausnahmen ist eine Risikoanalyse erforderlich) vom Auftraggeber aus aufgebaut (Call-Back-Verfahren) oder freigegeben, damit sichergestellt ist, dass keine unbefugten Einwählversuche stattfinden können. Nach Abschluss der Wartungsarbeiten wird diese Verbindung wieder deaktiviert.  Vom Auftraggeber werden nur solche Zugriffsmöglichkeiten eröffnet, die für die Fehlerbehebung unbedingt erforderlich sind. Diese Zugriffe werden unter einer extra dafür eingerichteten Kennung mit einem Passwort, das nur einmal verwendet werden kann, durchgeführt.  In einem Protokoll werden vom Auftraggeber alle Aktivitäten der Wartung bzw. Fernwartung aufgezeichnet und grundsätzlich für drei Jahre mit Schluss des Jahres, in dem der Servicevertrag endet, aufbewahrt.

13.5. Bei Fernwartung, die die Internetnutzung/ E-Mailnutzung durch Beschäftigte des Auftraggebers betrifft, gilt: „Der Auftragnehmer muss die von ihm benannten und autorisierten Personen auf das Fernmeldegeheimnis gemäß § 3 TDDDG verpflichten.“

14. Leistungsort:

Die Verarbeitung wird innerhalb der Europäischen Union oder innerhalb des Europäischen Wirtschaftsraums (EWR) erbracht. Eine Verlagerung der Verarbeitung personenbezogener Daten in ein Drittland darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere ein angemessenes Schutzniveau für die betroffene Person gewährleistet ist (z. B. durch Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).

Stand 03/2025