[Seite 1]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Zwischen und Klinikum Nürnberg, AöR (Verantwortlicher im Sinne der DSGVO) (Auftragsverarbeiter im Sinne der DSGVO)

nachfolgend „Auftraggeber" genannt - - nachfolgend „Auftragnehmer" genannt -

gemeinsam im Folgenden „Vertragspartner“ genannt.

Präambel

Dieser Auftragsverarbeitungsvertrag (AV-Vertrag) konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der im

Handelspartnervertrag Microsoft Lizenzen (Vertragsnummer V000207-01)

(im Folgenden Hauptvertrag genannt) beschriebenen Auftragsverarbeitung ergeben.

Sämtliche in diesem Vertrag beschriebenen Verpflichtungen finden Anwendung auf alle Tätigkeiten, die mit dem oder den Hauptverträgen in Zusammenhang stehen und bei denen Mitarbeiter und Mitarbeiterinnen des Auftragnehmers oder von diesem beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen bzw. kommen können.

§ 1 Gegenstand des Auftrags

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Dies umfasst Tätig- keiten, die im zwischen den Parteien abgeschlossenen Hauptvertrag und in der darin enthaltenen Leistungs- beschreibung konkretisiert sind. Im Einzelnen sind insbesondere folgende Daten Bestandteil der Datenverar- beitung:

Kreis der	Art der Daten	Zweck der Datenverarbeitung
betroffenen	(z.B. Name, IP-Adresse, Ge-	(z.B. Softwareupdates, Wartung,
Personen	sundheitsdaten etc.)	Abrechnung für das Klinikum etc.)

Seite 1 / 1 AVV KN Version 5.2 Stand: 25.10.2024

Vorsitzender des Verwaltungsrats: Oberbürgermeister Marcus König | Vorstand: Prof. Dr. Achim Jockwig (Vorsitzender), Dr. Andreas Becke, Sabine Beßler Kommunalunternehmen – Anstalt des öffentlichen Rechts | Sitz: Nürnberg | Registergericht: Nürnberg, HRA 14190 | Bankverbindung: Sparkasse Nürnberg IBAN: DE18 7605 0101 0001 0009 44, BIC: SSKNDE77XXX

[Seite 2]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage

§ 2 Verantwortlichkeit

Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenverarbeitung verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Ziff. 7 DSGVO).
Auftraggeber sowie Auftragnehmer müssen gewährleisten, dass sich die zur Verarbeitung der perso- nenbezogenen Daten befugten Personen zur Vertraulichkeit nach der Datenschutzgrund-verordnung (DSGVO) verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterlie- gen. Dazu müssen alle Personen, die auftragsgemäß auf personenbezogene Daten des Auftraggebers zugreifen können, auf die Vertraulichkeit der Daten (Art. 28 Abs. 3 S. 2 lit. b, Art. 29 und Art. 32 Abs. 4 DSGVO) verpflichtet und über ihre Datenschutzpflichten belehrt werden. Dabei ist jede Partei für die Verpflichtung des eigenen Personals zuständig. Ferner müssen die eingesetzten Personen darauf hin- gewiesen werden, dass sämtliche Geheimhaltungs- und Vertraulichkeitsverpflichtungen auch nach Be- endigung ihrer Tätigkeit fortbestehen.
Der Auftraggeber und der Auftragnehmer sind bzgl. der zu verarbeitenden Daten für die Einhaltung der jeweils für sie einschlägigen Datenschutzgesetze verantwortlich.
Hinsichtlich des Datenschutzes beim Auftraggeber kann sich der Auftragnehmer an

datenschutz@klinikum-nuernberg.de

wenden.

§ 3 Weisungsbefugnis des Auftraggebers

Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen, und nach dokumentierter Weisung des Auftraggebers. Ausgenommen hiervon sind Sachverhalte, in denen dem Auftragnehmer eine Verarbeitung aus zwingenden rechtlichen Gründen auferlegt wird. Der Auf- tragnehmer unterrichtet soweit möglich in derartigen Situationen den Auftraggeber vor Beginn der Verarbeitung über die entsprechenden rechtlichen Anforderungen.
Der Auftraggeber behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, das er durch Einzelweisungen konkretisieren kann.
Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind von der Weisungsbe- fugnis des Auftraggebers gedeckt und schriftlich zu dokumentieren. Bei einer vom Auftragnehmer als wesentlich angesehenen Änderung des Auftrags steht dem Auftragnehmer ein Widerspruchsrecht zu. Besteht der Auftraggeber trotz des begründeten Widerspruchs auf dieser Änderung, so ist diese Ände- rung als wichtiger Grund anzusehen und erlaubt eine fristlose Kündigung des von der Weisung be- troffenen Auftragsverarbeitungsvertrages sowie der von dieser Auftragsverarbeitung betroffenen Be- standteile des entsprechenden Hauptvertrages.

Seite 2 / 1 AVV KN Version 5.2 Stand: 25.10.2024

[Seite 3]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage

Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder per E-Mail (in Textform) bestätigen. Der Auftragnehmer verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben.
Weisungsberechtigte Personen:

Weisungsberechtigte Personen des Auftraggebers sind:

Geschäftsführung
IT-Leitung
Systembetreuer (für Systeme des Auftragnehmers) aus der Abteilung Informationsverarbeitung
Leitung Zentraleinkauf und beauftragte Mitarbeiter
Leitung Abteilung (bei Bedarf ergänzen oder streichen)

Weisungsempfangsberechtigte Personen des Auftragnehmers sind:

Name, Vorname, Funktion

Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird.

§ 4 Leistungsort

Die Verarbeitung und Nutzung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutsch- land, oder in einem Mitgliedsstaat der Europäischen Union (EU) oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. Dies gilt in gleicher Weise für etwaige Unterauftragnehmer.
Der Auftraggeber stimmt einer Verlagerung eines Ortes der Leistungserbringung innerhalb eines Leis- tungslandes, für das eine Zustimmung besteht, zu, wenn dort nachweislich das gleiche Sicherheitsni- veau gegeben ist und keine für den Auftraggeber geltenden gesetzlichen Bestimmungen gegen diese Verlagerung sprechen. Die Nachweispflicht hierfür liegt beim Auftragnehmer.

Seite 3 / 1 AVV KN Version 5.2 Stand: 25.10.2024

[Seite 4]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage

Jede Verlagerung des Ortes der Leistungseinbringung in ein Drittland bedarf der vorherigen schriftli- chen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 bis 50 DSGVO erfüllt sind. Der Auftragnehmer hat die entsprechenden vertraglichen, tech- nischen und organisatorischen Maßnahmen zu ergreifen, um ein angemessenes Datenschutzniveau herzustellen.

§ 5 Technisch-organisatorische Maßnahmen (TOMs)

Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so ge- stalten, dass sie den Anforderungen des Datenschutzes gerecht wird und ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzni- veau gewährleistet. Dazu werden die Schutzziele von Art. 32 Abs. 1 DSGVO wie Vertraulichkeit, Integ- rität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Maßnahmen das Risiko auf Dauer eingedämmt wird. Eine konkrete Darstellung der beim Auftragnehmern tatsächlich vorhandenen technischen und organisatorischen Einzelmaßnahmen erfolgt in Anlage 2 dieses Vertrages. Soweit die Prüfung/ein Audit des Auftraggebers einen Anpas- sungsbedarf ergibt, ist dieser entsprechend den Vorgaben des Auftraggebers umzusetzen. Der Auf- tragnehmer wird insbesondere auch die Regelung des Art. 27 Absatz 6 BayKrG beachten, nach welcher besondere Schutzmaßnahmen technischer und organisatorischer Art zu treffen sind, so dass Patien- tendaten nicht unberechtigt verwendet oder übermittelt werden können.
Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative, nachweislich adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unter- schritten werden. Wesentliche Änderungen sind zu dokumentieren und dem Auftraggeber unaufge- fordert zur Verfügung zu stellen.
Der Auftraggeber ist jederzeit berechtigt, die getroffene Vereinbarung hinsichtlich der technisch-orga- nisatorischen Maßnahmen zu überprüfen oder diese durch einen sachverständigen Dritten überprüfen zu lassen.
Der Auftragnehmer wird dem Auftraggeber auf erste Anforderung die zur Wahrung seiner Verpflich- tung zur Auftragskontrolle erforderlichen Auskünfte im angeforderten Format und Umfang geben und die entsprechenden Nachweise verfügbar machen.

§ 6 Pflichten des Auftragnehmers

Der Auftragnehmer darf Daten nur im Rahmen des Auftrages und der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen.
Der Auftragnehmer stellt dem Auftraggeber auf dessen Wunsch ein aussagekräftiges und aktuelles Datenschutz- und Sicherheitskonzept für diese Auftragsverarbeitung zur Verfügung.

Seite 4 / 1 AVV KN Version 5.2 Stand: 25.10.2024

[Seite 5]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage

Der Auftragnehmer führt ein Verzeichnis der bei ihm stattfindenden Datenverarbeitungstätigkeiten gemäß Art. 30 DSGVO. Er stellt auf Anforderung dem Auftraggeber die für die Übersicht nach Art. 30 DSGVO und die Erfüllung weiterer Dokumentationspflichten notwendigen Angaben zur Verfügung (insb. das Verzeichnis nach Art. 30 Abs. 2 DSGVO).

Der Auftragnehmer unterstützt den Auftraggeber bei der Datenschutzfolgenabschätzung mit allen ihm zur Verfügung stehenden Informationen. Im Falle der Notwendigkeit einer vorherigen Konsultation der zuständigen Aufsichtsbehörde unterstützt der Auftragnehmer den Auftraggeber auch hierbei.
Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftraggebers vertraulich zu behan- deln.
Weiterhin sind alle Personen des Auftragnehmers bzgl. der Pflichten zur Wahrung von Geschäftsge- heimnissen des Auftraggebers zu verpflichten und müssen auf § 23 GeschGehG hingewiesen werden.
Als Datenschutzbeauftragter ist beim Auftragnehmer derzeit

[Name, Kontaktdaten]

benannt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich schriftlich mit- zuteilen. Der Auftragnehmer gewährleistet, dass die Anforderungen an den Datenschutzbeauftragten und seine Tätigkeit gemäß Art. 38 DSGVO erfüllt werden. Sofern kein Datenschutzbeauftragter beim Auftragnehmer benannt ist, benennt der Auftragnehmer dem Auftraggeber einen Ansprechpartner.

Überlassene Datenträger sowie sämtliche hiervon gefertigten Kopien oder Reproduktionen verbleiben im Eigentum des Auftraggebers. Der Auftragnehmer hat diese sorgfältig zu verwahren, sodass sie Drit- ten nicht zugänglich sind. Der Auftragnehmer ist verpflichtet, dem Auftraggeber jederzeit Auskünfte zu erteilen, soweit seine Daten und Unterlagen betroffen sind.
Ist der Auftraggeber aufgrund geltender Datenschutzgesetze gegenüber einer betroffenen Person ver- pflichtet, Auskünfte zur Erhebung, Verarbeitung oder Nutzung von Daten dieser Person zu geben, wird der Auftragnehmer den Auftraggeber dabei unterstützen, diese Informationen bereitzustellen, voraus- gesetzt der Auftraggeber hat den Auftragnehmer hierzu zumindest in Textform aufgefordert. Aus- künfte an Dritte oder betroffene Personen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen.
Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde bei dem Auftragnehmer ermittelt.
Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter ge- fährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren.

Seite 5 / 1 AVV KN Version 5.2 Stand: 25.10.2024

[Seite 6]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage

Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber infor- mieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als Verant- wortlichen im Sinne der DSGVO liegen.
Der Auftragnehmer verwendet die überlassenen Daten für keine anderen Zwecke als die der Ver- tragserfüllung und setzt auch keine Mittel zur Verarbeitung ein, die nicht vom Auftraggeber zuvor ge- nehmigt wurden.
Die Erfüllung der vorgenannten Pflichten ist vom Auftragnehmer zu kontrollieren, zu dokumentieren und in geeigneter Weise gegenüber dem Auftraggeber auf Anforderung nachzuweisen.

§ 7 Wahrung des Berufsgeheimnisses

Im Rahmen dieses Auftrages werden auch Daten verarbeitet, die unter ein Berufsgeheimnis (im Sinne von § 203 StGB) fallen. Der Auftragnehmer verpflichtet sich, über Berufsgeheimnisse Stillschweigen zu bewahren und sich nur insoweit Kenntnis von diesen Daten zu verschaffen, wie dies zur Erfüllung der ihm zugewiesenen Aufgaben erforderlich ist.
Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich Personen, die an der beruflichen Tä- tigkeit eines Berufsgeheimnisträgers mitwirken und unbefugt ein fremdes Geheimnis offenbaren, das ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt geworden ist, strafbar machen nach § 203 Abs. 4 S. 1 StGB.
Zudem macht sich eine mitwirkende Person nach § 203 Abs. 4 S. 2 StGB strafbar, sollte sie sich einer weiteren mitwirkenden Person bedienen, die ihrerseits unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde.
Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung von dem Berufsgeheimnis unterliegen- den Daten des Auftraggebers befassten Beschäftigten und andere für den Auftragnehmer tätigen Per- sonen (z. B. Subunternehmer), die damit befasst sind, sich in Textform dazu verpflichtet haben, die ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenen Berufsgeheimnisse nicht unbefugt zu offenbaren und sie über die mögliche Strafbarkeit nach § 203 Abs. 4 StGB belehrt wurden.
Der Auftragnehmer ist im Rahmen des § 12 dieses Vertrages berechtigt, Unterauftragnehmer zur Ver- tragserfüllung heranzuziehen. Im Ausland dürfen Unterauftragnehmer zur Vertragserfüllung nur dann herangezogen werden, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland ver- gleichbar ist.
Der Auftragnehmer wird etwaige Unterauftragnehmer sorgfältig auswählen und diese, soweit sie im Rahmen ihrer Tätigkeit Kenntnis von fremden Geheimnissen im Sinne dieser Vereinbarung erlangen könnten, zur Geheimhaltung verpflichten. Der Auftragnehmer wird ferner etwaige Unterauftragneh- mer dazu verpflichten, sämtliche von ihnen eingesetzte Personen und etwaige weitere Unterauftrag- nehmer nach den zuvor genannten Grundsätzen zur Verschwiegenheit zu verpflichten und über die

Seite 6 / 1 AVV KN Version 5.2 Stand: 25.10.2024

[Seite 7]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage

Folgen einer Pflichtverletzung zu belehren. Diese Verpflichtung gilt für sämtliche weitere Unterbeauf- tragungen.

Der Auftragnehmer wird darauf hingewiesen, dass Daten, die er im Auftrag eines Berufsgeheimnisträ- gers verarbeitet u. U. dem Zeugnisverweigerungsrecht von sogenannten mitwirkenden Personen un- terliegen (§ 53a Strafprozessordnung (StPO)). Entsprechend § 53a StPO entscheidet jedoch der Berufs- geheimnisträger über die Ausübung des Schweigerechts. Im Falle einer Befragung wird der Auftrag- nehmer unter Hinweis auf § 53a StPO dieser widersprechen und unverzüglich den Auftraggeber infor- mieren, der daraufhin bzgl. der Wahrnehmung des Schweigerechts entscheidet.
Der Auftragnehmer wird darauf hingewiesen, dass die in seinem Gewahrsam befindlichen Geheimnis- schutzdaten dem Beschlagnahmeverbot gemäß § 97 Abs. 2 StPO unterliegen. Die Daten dürfen nicht ohne das Einverständnis des Auftraggebers (Berufsgeheimnisträger) herausgegeben werden. Im Falle einer Beschlagnahme wird der Auftragnehmer dieser widersprechen und unverzüglich den Auftragge- ber informieren.
Der Auftragnehmer wird Subunternehmer über das bestehende Schweigerecht gemäß § 53a StPO so- wie den Beschlagnahmeschutz gemäß § 97 StPO informieren; dies beinhaltet auch den Hinweis bzgl. des Rechts des Berufsgeheimnisträgers, über dieses Recht zu entscheiden und der damit verbundenen Pflicht des Auftragnehmers, unverzüglich den Auftraggeber bzgl. der Wahrnehmung dieser Rechte zu kontaktieren (Abs. 7 und 8).

§ 8 Fernzugriff

Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten, bei denen ein Zugriff auf perso- nenbezogenen Daten, insbesondere Beschäftigten- und Patientendaten, zumindest potentiell möglich ist, werden nur nach Freigabe durch die jeweilige Ansprechperson beim Auftraggeber durchgeführt.
Die Mitarbeiter des Auftragnehmers verwenden angemessene Identifizierungs- und Verschlüsselungs- verfahren nach dem aktuellen Stand der Technik.
Fernzugriffe im Rahmen von Prüfungs- und Wartungsarbeiten werden dokumentiert und protokolliert. Der Auftraggeber ist berechtigt, Prüfungs- und Wartungsarbeiten vor, bei und nach Durchführung zu kontrollieren. Bei Fernzugriffen ist der Auftraggeber – soweit technisch möglich - berechtigt, diese von einem Kontrollbildschirm aus zu verfolgen und jederzeit abzubrechen.

Sofern und soweit der Auftragnehmer aufgrund gesetzlicher Vorgaben (insb. BSI-KritisV, IT-Sicherheits- gesetz 2.0) über ein Privileged Access Management – System (kurz PAM) eingebunden werden muss, muss er sich gegenüber dem PAM System (über welches auch die Verbindung realisiert wird) über eine Zwei-Faktor-Authentifizierung mit einem Einmalkennwort authentisieren. Der Auftragnehmer enthält vom Auftraggeber alle hierfür erforderlichen Informationen und Unterlagen (z.B. Antrag auf Zwei-Fak- tor-Authentifizierung) im Vorfeld. Im Rahmen des PAM werden insbesondere folgende Daten zu Kon- trollzwecken aufgezeichnet: Zeitangaben, Benutzernamen, Maus- und Tastatur-aktivitäten sowie dar- aus abzuleitende prozentuale Sitzungsaktivität, Verbindungsprotokolle, Bildschirmaufnahmen (Video).

Seite 7 / 1 AVV KN Version 5.2 Stand: 25.10.2024

[Seite 8]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage

Die privilegierten Fernzugriffskonten sind in der Regel personenbezogen.

Bei der Nutzung von Gruppenaccounts für den Fernzugriff muss der Auftragnehmer den Zweck und die Dauer des Zugriffs, sowie den vollständigen Namen des Mitarbeitenden, der den Zugriff tätigt, selbst dokumentieren und entsprechend der Weisung des Auftraggebers aufbewahren.

Auf Verlangen ist dem Auftraggeber die Dokumentation der Fernzugriffe herauszugeben.

Der Auftragnehmer ist verpflichtet, die zur Erfüllung des Auftragsverhältnisses eingesetzten Personen über Art und Umfang der gesetzlich geforderten Kontrollaktivitäten des Auftraggebers zu informieren sowie ggfs. weitere zu involvierende Stellen einzubeziehen.

Der Auftragnehmer wird von den ihm eingeräumten Zugriffsrechten auf automatisierte Verfahren o- der von Datenverarbeitungsanlagen (insb. IT- Systeme, Anwendungen) des Auftraggebers nur in dem Umfang- auch in zeitlicher Hinsicht- Gebrauch machen, wie dies für die ordnungsgemäße Durchfüh- rung der beauftragten Wartungs- und Prüfungsarbeiten notwendig ist.
Soweit bei der Leistungserbringung Tätigkeiten zur Fehleranalyse erforderlich sind, bei denen eine Kenntnisnahme (z.B. auch lesender Zugriff) oder ein Zugriff auf Wirkdaten (Produktions-/ Echtdaten) des Auftraggebers notwendig ist, wird der Auftragnehmer die vorherige Einwilligung des Auftragge- bers einholen.
Tätigkeiten zur Fehleranalyse, bei denen ein Datenabzug der Wirkbetriebsdaten erforderlich ist, be- dürfen der vorherigen Einwilligung des Auftraggebers. Bei Datenabzug der Wirkbetriebsdaten wird der Auftragnehmer diese Kopien, unabhängig vom verwendeten Medium, nach Bereinigung des Fehlers löschen. Wirkdaten dürfen nur zum Zweck der Fehleranalyse und ausschließlich auf dem bereitgestell- ten Equipment des Auftraggebers oder auf solchem des Auftragnehmers verwendet werden, sofern die vorherige Einwilligung des Auftraggebers vorliegt. Wirkdaten dürfen nicht ohne Zustimmung des Auftraggebers auf mobile Speichermedien (PDAs, USB-Speichersticks, Tablets, Smartphones, externe Festplatten oder ähnliche Geräte) kopiert werden.
Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten sowie sämtliche in diesem Zusam- menhang erforderlichen Tätigkeiten, insbesondere Tätigkeiten wie Löschen, Datentransfer oder eine Fehleranalyse, werden unter Berücksichtigung von technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten durchgeführt. In diesem Zusammenhang wird der Auftragneh- mer die technischen und organisatorischen Maßnahmen wie im Anhang beschrieben ergreifen.

§ 9 Pflichten und Kontrollrechte des Auftraggebers

Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Be- troffenen ist allein der Auftraggeber verantwortlich.
Der Auftraggeber hat das Recht die Auftragskontrollen im Benehmen mit dem Auftragnehmer zu den üblichen Geschäftszeiten, ohne Störung des Betriebsablaufes durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen, sofern diese nicht in einem Wettbewerbsverhältnis mit

Seite 8 / 1 AVV KN Version 5.2 Stand: 25.10.2024

[Seite 9]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage

dem Auftragnehmer stehen oder andere berechtigte Gründe seitens des Auftragnehmers dem entge- genstehen. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen.

Liegt ein Verstoß des Auftragnehmers oder der bei ihm im Rahmen des Auftrags beschäftigten Perso- nen gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder der im Vertrag getroffenen Festlegungen vor, so kann eine darauf bezogene Prüfung auch ohne rechtzeitige Anmel- dung vorgenommen werden. Eine Störung des Betriebsablaufs beim Auftragnehmer sollte auch hierbei weitestgehend vermieden werden.
Sofern der Auftraggeber Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestim- mungen feststellt, wird der Auftraggeber den Auftragnehmer darüber unverzüglich in Kenntnis setzen.

§ 10 Mitteilung bei Verstößen des Auftragnehmers

Der Auftragnehmer hat die Pflicht dem Auftraggeber bei Störungen, Verstößen des Auftragnehmers oder seiner Mitarbeiter gegen datenschutzrechtliche Bestimmungen oder gegen die in der Auf- tragsverarbeitungsvereinbarung festgelegten Regelungen sowie bei einem Verdacht auf Datenschutz- verletzungen oder Unregelmäßigkeiten bei der Verarbeitung von personenbezogenen Daten ihm diese unverzüglich spätestens innerhalb von 24 Stunden mitzuteilen. Dies gilt vor allem im Hinblick auf even- tuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO. Der Auftragnehmer sichert zu, den Auftraggeber erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen i.S.d. Art. 28 Abs. 3 Satz 2 lit. f) DSGVO zu unterstützen.
Eine Meldung an den Auftraggeber hat folgende Informationen zu enthalten:

den genauen Zeitpunkt, Art und Umfang (auch Anzahl der Betroffenen / betroffene Datenkatego- rien) des Datenvorfalls zumindest in einem elektronisch dokumentierten Format an zumindest ei- nen der weisungsberechtigten Ansprechpartner,
eine genaue Sachverhaltsschilderung des Vorfalls und eine Einschätzung der zu erwartenden Fol- gen für die Rechte und Freiheiten der betroffenen Person(en)
eine Beschreibung, was intern unternommen wurde, um den Vorfall abzustellen und/oder die Fol- gen abzumildern und welche Schritte für die Zukunft zur Vermeidung gleicher und/oder ähnlicher Vorfälle geplant sind.

Der Auftragnehmer garantiert, dass er einen Prozess zur Erkennung, Behandlung und Meldung von Datenpannen an den Auftraggeber im Unternehmen etabliert hat, um Datenpannen, bei denen perso- nenbezogene Daten des Auftraggebers betroffen sind und/oder betroffen sein können, entsprechend den datenschutzrechtlichen Bestimmungen behandelt und/oder behandeln kann. Der Auftraggeber kann sich den dokumentierten Prozess in zumindest einem elektronisch dokumentierten Format vom Auftragnehmer vorlegen lassen.

Seite 9 / 1 AVV KN Version 5.2 Stand: 25.10.2024

[Seite 10]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage

Meldungen nach Art. 33 oder 34 DSGVO für den Auftraggeber darf der Auftragnehmer nur nach vor- heriger Weisung gem. den Regelungen dieses Vertrages durchführen.

§ 11 Berichtigung, Sperrung, Löschung von Daten und Rückgabe von Datenträgern

Der Auftragnehmer hat die vertragsgegenständlichen Daten nur nach der in diesem Vertrag benannten Zweckbestimmung und nach Weisung des Auftraggebers zu berichtigen, zu löschen oder zu sperren. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftragge- ber weiterleiten.
Sofern eine Vernichtung oder Löschung während der laufenden Beauftragung vorzunehmen ist, über- nimmt der Auftragnehmer die nachweislich datenschutzkonforme Vernichtung von Datenträgern und sonstigen Materialien nur aufgrund entsprechender Einzelbeauftragung und weist die Durchführung dem Auftraggeber entsprechend nach.
Nach Abschluss der Verarbeitung, spätestens nach Beendigung dieses Vertrages, hat der Auftragneh- mer sämtliche in seinen Besitz gelangten Unterlagen und überlassenen Datenträger und erstellten Ver- arbeitungs- oder Nutzungsergebnisse oder zur Leistungserfüllung hergestellten oder kopierten perso- nenbezogenen oder sonstige vertrauliche Daten, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder in Abstimmung mit dem Auftraggeber datenschutzge- recht gemäß DIN 66399 nach einer vom Auftraggeber zu bestimmenden Schutzklasse und Schutzstufe zu vernichten oder sicher zu löschen. Diese Verpflichtung besteht auch hinsichtlich etwaig vom Auf- tragnehmer erstellten Sicherungskopien. Test- und Ausschussmaterial ist unverzüglich datenschutzge- recht zu vernichten oder dem Auftraggeber auszuhändigen. Diese Verpflichtung gilt in gleichem Maße auch für einen eventuell beauftragten Unterauftragnehmer.
Der Auftragnehmer hat dem Auftraggeber nach Beendigung dieses Vertrages die sichere Löschung bzw. die sichere Vernichtung aller in seinem Besitz befindlichen Unterlagen schriftlich zu bestätigen.
Soweit ein Transport des Speichermediums vor Löschung unverzichtbar ist, wird der Auftragnehmer angemessene Maßnahmen zu dessen Schutz, insbesondere gegen Entwendung, unbefugtem Lesen, Kopieren oder Verändern treffen. Die Maßnahmen und die anzuwendenden Löschverfahren werden bei Bedarf ergänzend zu den Leistungsbeschreibungen konkretisierend vereinbart.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertrags- ende hinaus aufzubewahren.

§ 12 Unterauftragnehmer

Der Auftragnehmer nimmt keinen Unterauftragnehmer ohne vorherige explizite schriftliche Genehmi- gung in Anspruch. Dies gilt in gleicher Weise für den Fall, dass weitere Unterauftragsverhältnisse durch Unterauftragnehmer begründet werden. Der Auftragnehmer stellt sicher, dass eine entsprechende

Seite 10 / 1 AVV KN Version 5.2 Stand: 25.10.2024

[Seite 11]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage

Genehmigung des Auftragsgebers für alle im Zusammenhang mit der vertragsgegenständlichen Verar- beitung eingesetzten weiteren Unterauftragnehmer vorliegt.

Die nachfolgenden Regelungen finden sowohl für den Unterauftragnehmer als auch für alle in der Folge eingesetzten weiteren Unterauftragnehmer entsprechende Anwendung.
Zum Zeitpunkt des Abschlusses dieser Vereinbarung sind die in der Anlage 1 aufgeführten Unterneh- men als Unterauftragnehmer für Teilleistungen für den Auftragnehmer tätig und verarbeiten und/oder nutzen in diesem Zusammenhang auch unmittelbar die Daten des Auftraggebers. Für diese Unterauf- tragnehmer gilt die Einwilligung für das Tätigwerden als erteilt.
Der Auftragnehmer muss Unterauftragnehmer unter besonderer Berücksichtigung der Eignung hin- sichtlich der Erfüllung der zwischen Auftraggeber und Auftragnehmer vereinbarten technischen und organisatorischen Maßnahmen gewissenhaft auswählen.
Ist der Auftragnehmer im Sinne dieser Vereinbarung befugt, die Dienste eines Unterauftragnehmers in Anspruch zu nehmen, um bestimmte Verarbeitungstätigkeiten im Namen des Auftraggebers auszu- führen, so werden diesem Unterauftragnehmer im Wege eines Vertrags dieselben Pflichten auferlegt, die in dieser Vereinbarung zwischen dem Auftraggeber und dem Auftragnehmer festgelegt sind, ins- besondere hinsichtlich der Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit. Auch sind die in diesem AV-Vertrag beschriebenen Kontroll- und Überprüfungsrechte des Auftraggebers im Verhältnis zwischen Auftragnehmer und Unterauftragnehmern abgebildet. Hierbei müssen ferner hin- reichend Garantien dafür geboten werden, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen der DSGVO erfolgt.
Zieht der Auftragnehmer einen Unterauftragnehmer in einem Drittland (außerhalb der EU / EWR) hinzu, muss der Auftragnehmer insbesondere die Vorgaben gemäß Art. 44 ff. DSGVO beachten. Er muss insbesondere hinreichende Garantien dafür vorsehen, dass die geeigneten technischen und or- ganisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den An- forderungen der DSGVO erfolgt, den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen und Übermittlungen in ein Drittland und Schutzvorkehrungen ge- mäß Art. 30 Abs. 2 DSGVO dokumentiert werden. Wird der Transfer auf SCCs gestützt, so wird für jedes Zielland ein Transfer Impact Assessment gem. Ziffer 14 der SCCs durchgeführt. Dieses wird das jewei- lige lokale Recht des Ziellands und dessen Auswirkungen auf die Rechte und Freiheiten der von der Verarbeitung betroffenen Personen berücksichtigen. Zudem werden neben dem reinen Abschluss von SCCs auch geeignete Garantien in technischer und organisatorischer Weise geschaffen, um das Risiko für die von der Verarbeitung betroffenen Personen vor z.B. unregulierten staatlichen Zugriff zu mini- mieren.
Durch Aufforderung in zumindest Textform ist der Auftraggeber berechtigt, vom Auftragnehmer Aus- kunft über die datenschutzrelevanten Verpflichtungen des Unterauftragnehmers zu erhalten, erfor- derlichenfalls auch durch Einsicht in die relevanten Vertragsunterlagen.

Seite 11 / 1 AVV KN Version 5.2 Stand: 25.10.2024

[Seite 12]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage

Ein zustimmungspflichtiges Unterauftragnehmerverhältnis liegt nicht vor, wenn der Auftragnehmer Dritte im Rahmen einer Nebenleistung zur Hauptleistung beauftragt, wie beispielsweise bei Personal, Post- und Versanddienstleistungen. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Auftraggebers auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnah- men zu ergreifen. Wartung und Prüfung von IT-Systemen stellen zustimmungspflichtige Unterauftrags- verhältnisse dar, soweit solche IT-Systeme betroffen sind, die für die Erbringung der Leistungen für den Auftraggeber erforderlich sind.
Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes Unterauftragnehmers.

§ 13 Vertragsdauer und Kündigung

Das Vertragsverhältnis tritt mit Unterzeichnung durch beide Vertragspartner in Kraft und richtet sich nach der Laufzeit des Hauptvertrages. Das ordentliche Kündigungsrecht entspricht dem des Hauptver- trages.
Ergänzend zum jeweiligen Hauptvertrag wird geregelt, dass die Verletzung von gesetzlichen oder ver- traglichen Datenschutzbestimmungen durch den Auftragnehmer stets ein wichtiger Grund für den Auf- traggeber ist, das im jeweiligen Hauptvertrag vorbehaltene Recht zur außerordentlichen Kündigung auszuüben. In diesem Zusammenhang kann der Auftraggeber den jeweiligen Hauptvertrag aus wichti- gem Grunde ohne Einhaltung einer Frist kündigen.
Wenn die Grundlagen der Vertragserfüllung wesentlich verändert werden oder ganz entfallen, auf- grund einer Änderung der Rechts- oder Gesetzeslage oder eines Eingreifens oder einer sonstigen Maß- nahme der aufsichtführenden Behörden, haben beide Parteien einen Anspruch auf Anpassung des Vertrages an die neuen Verhältnisse, soweit dies möglich und für beide Parteien zumutbar ist.

Ist eine Vertragsanpassung nicht möglich oder für eine Partei unzumutbar, ist dies für beide Parteien ein wichtiger Grund für eine fristlose Kündigung, Abs. 2 bleibt unberührt.

Kündigungen bedürfen zu ihrer Wirksamkeit der Schriftform.

§ 14 Haftung

Auftraggeber und Auftragnehmer haften für den Schaden, der durch eine nicht der DSGVO entspre- chende Verarbeitung verursacht wird gemeinsam im Außenverhältnis gegenüber der jeweiligen be- troffenen Person.
Der Auftragnehmer haftet ausschließlich für Schäden, die auf einer von ihm durchgeführten Verarbei- tung beruhen, bei der

a. er den aus der DSGVO resultierenden und speziell für Auftragsverarbeiter auferlegten Pflichten nicht nachgekommen ist oder

Seite 12 / 1 AVV KN Version 5.2 Stand: 25.10.2024

[Seite 13]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage

b. er unter Nichtbeachtung der in diesem Vertrag geregelten Pflichten oder den rechtmäßig erteilten Anweisungen des Auftraggebers handelte oder

c. er gegen die rechtmäßig erteilten Anweisungen des Auftraggebers gehandelt hat.

Soweit der Auftraggeber zum Schadensersatz gegenüber dem Betroffenen verpflichtet ist, bleibt ihm der Rückgriff in den in Ziffer 2 genannten Fällen auf den Auftragnehmer vorbehalten
Weitergehende Haftungsansprüche nach den allgemeinen Gesetzen bleiben unberührt.

§ 15 Schlussbestimmungen

Wenn einzelne Bestimmungen dieses Vertrages unwirksam oder undurchführbar sein oder werden sollten, wird dadurch die Geltung des Vertrages im Übrigen nicht berührt. Es gelten den unwirksamen Bestimmungen dem Sinn und der wirtschaftlichen Bedeutung nach möglichst nahekommende andere Bestimmungen zwischen den Parteien als vereinbart. Erweist sich der Vertrag als lückenhaft, gelten die Bestimmungen als vereinbart, die dem Sinn und Zweck des Vertrages entsprechen und im Falle des Bedachtwerdens vereinbart worden wären.
Existieren mehrere wirksame und durchführbare Bestimmungen, welche die unter Absatz 1 genannten unwirksamen Regelungen ersetzen können, so muss die Bestimmung gewählt werden, welche den Schutz der Patientendaten im Sinne dieses Vertrages am besten gewährleistet.
Änderungen und Ergänzungen dieser Vereinbarung, des jeweiligen Einzelvertrages und aller ihrer Be- standteile bedürfen der Schriftform. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
Die Einrede des Zurückbehaltungsrechts, gleich aus welchem Rechtsgrund, an den vertragsgegen- ständlichen Daten und der zugehörigen Datenträger wird ausgeschlossen.
Die Rechtsbeziehungen der Partner unterliegen dem Recht der Bundesrepublik Deutschland unter Aus- schluss des UN-Kaufrechtes und unter Ausschluss des Kollisionsrechts.
Gerichtsstand ist der Sitz des Auftraggebers.
Reicht der Regelungsgehalt einzelner Vorschriften dieses Vertrages über die Vertragslaufzeit hinaus, bleiben diese Vorschriften insoweit auch nach Ende der Vertragslaufzeit wirksam.
Die dem Vertrag beigefügte Anlagen sind wesentlicher Bestandteil desselben.

Anlage 1: Unterauftragsverhältnis beim Auftragnehmer zum Zeitpunkt der Auftragsvergabe

Anlage 2: Nachweis der technischen und organisatorischen Maßnahmen des Auftragnehmers

Anlage 3: Antrag zur Einbindung über ein Privileged Access Management

Seite 13 / 1 AVV KN Version 5.2 Stand: 25.10.2024

[Seite 14]

AVV Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Vertragsanlage Anlage 1 zum AV-Vertrag:

Unterauftragsverhältnis beim Auftragnehmer zum Zeitpunkt der Auftragsvergabe

Name und Anschrift	Beschreibung	Ort der
des Unterauftragnehmers	der Teilleistungen	Leistungserbringung

Anlage 2 zum AV-Vertrag:

Nachweis der allgemeinen technischen und organisatorischen Maßnahmen (TOM)

Wichtiger Hinweis:

Der Nachweis zu den allgemeinen technischen und organisatorischen Maßnahmen (TOMs) ist vom Bieter bei Angebotsabgabe dem L 213 Angebotsschreiben als Anlage beizufügen. Die Gestaltung des Nachwei- ses zu den allgemeinen technischen und organisatorischen Maßnahmen ist formfrei und obliegt dem Bie- ter (keine Formvorschrift). Dabei vom Bieter zu beachten ist, dass die Inhalte des Nachweises für den Auftraggeber eindeutig, erschöpfend und nachvollziehbar beschrieben sind.

Anlage 3 zum AV-Vertrag:

Antrag zur Einbindung über ein Privileged Access Management – System (kurz PAM), einzureichen bei der Abteilung für Informationstechnologie des Auftraggebers

Seite 14 / 1 AVV KN Version 5.2 Stand: 25.10.2024

AVV Auftragsverarbeitungsvertrag V5.2_KN.pdf