Auftragsverarbeitungsvertrag

zwischen

der , ggfs. vertreten durch <Nennung des

vertretungsbefugten Organs>

Auftragsverarbeiter im Sinne der DS-GVO,

nachfolgend als Auftragnehmer bezeichnet -

und dem

dem Universitätsklinikum des Saarlandes,

vertreten durch den Vorstand, dieser vertreten durch den kommissarischen Vorstandsvorsitzenden und Ärztlichen Direktor Herr Prof. Dr. Michael Zemlin, dieser wiederrum vertreten durch die Kaufmännische Direktorin Frau Bettina Rottke, Kirrberger Straße 100, 66424 Homburg,

Verantwortlicher im Sinne der DS-GVO, nachfolgend als Auftraggeber

bezeichnet -

beide zusammen nachfolgend als „Parteien“ bezeichnet

Präambel

Alt. 1: Es existiert ein schriftlicher Hauptvertrag

Dieser Auftragsverarbeitungs-Vertrag (AV-Vertrag) konkretisiert die

datenschutzrechtlichen Verpflichtungen der Parteien, die sich aus der im Vertrag

________________________ – im Folgenden Hauptvertrag genannt - beschriebenen

Auftragsverarbeitung ergeben. Sämtliche in diesem Vertrag beschriebenen

Verpflichtungen finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in

Zusammenhang stehen und bei denen Mitarbeiter des Auftragnehmers oder durch den

Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in

Berührung kommen bzw. kommen können.

Seite 1 von 31 Version 1.6 Stand: 02.01.2026

Alt. 2: Ein schriftlicher Hauptvertrag liegt nicht vor

Dieser Auftragsverarbeitungs-Vertrag (AV-Vertrag) konkretisiert die

datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus den in § 2

„Gegenstand des Auftrags“ dargestellten Leistungen ergeben. Sämtliche in diesem

Vertrag beschriebenen Verpflichtungen finden Anwendung auf alle Tätigkeiten, die mit

der Auftragserfüllung in Zusammenhang stehen und bei denen Mitarbeiterinnen und

Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit

personenbezogenen Daten des Auftraggebers in Berührung kommen bzw. kommen

können.

§ 1 Definition

Es gelten die Begriffsbestimmungen entsprechend Art. 4 DS-GVO, § 3 TDDDG sowie

das BDSG (Bundesdatenschutzgesetz) und SKHG (Saarl. Krankenhausgesetz).

Sollten in den Artikeln bzw. Paragraphen sich widersprechende Darstellungen zu

finden sein, gelten die Definitionen in der Rangfolge DS-GVO, Landesrecht, TDDDG.

Weiterhin gelten folgende Begriffsbestimmungen:

Anonymisierung

Prozess, bei dem personenbezogene Daten entweder vom für die Verarbeitung der

Daten Verantwortlichen allein oder in Zusammenarbeit mit einer anderen Partei

unumkehrbar so verändert werden, dass sich die betroffene Person danach weder

direkt noch indirekt identifizieren lässt. (Quelle: DIN EN ISO 25237)

Drittland

Ein Land, welches sich außerhalb der EU/EWR befindet.

Hauptvertrag

Vertrag (i.d.R. ein Dienst- oder Werkvertrag), in welchem alle Einzelheiten der

Verarbeitung beschrieben sind.

Seite 2 von 31 Version 1.6 Stand: 02.01.2026

Unterauftragnehmer

Vom Auftragnehmer beauftragter Leistungserbringer, dessen Dienstleistung und/oder

Werk der Auftragnehmer zur Erbringung der in diesem Vertrag beschriebenen

Leistungen gegenüber dem Auftraggeber benötigt.

Verarbeitung im Auftrag

Verarbeitung im Auftrag ist die Verarbeitung personenbezogener Daten durch einen

Auftragnehmer im Auftrag des Auftraggebers.

Weisung

Weisung ist die auf einen bestimmten datenschutzmäßigen Umgang (zum Beispiel

Anonymisierung, Sperrung, Löschung, Herausgabe) des Auftragnehmers mit

personenbezogenen Daten gerichtete schriftliche Anordnung des Auftraggebers. Die

Weisungen werden anfänglich durch einen Hauptvertrag festgelegt und können vom

Auftraggeber danach in schriftlicher Form durch einzelne Weisungen geändert,

ergänzt o-der ersetzt werden (Einzelweisung).

§ 2 Gegenstand des Auftrags

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des

Auftraggebers. Dies umfasst Tätigkeiten, die im ______ Vertrag der Parteien vom

____________(im Folgenden Hauptvertrag genannt) und in der darin enthaltenen

Leistungsbeschreibung konkretisiert sind. Im Einzelnen sind insbesondere folgende

Daten Bestandteil der Datenverarbeitung:

Art der Daten Zweck der Kreis der Betroffenen

Datenverarbeitung

Seite 3 von 31 Version 1.6 Stand: 02.01.2026

§ 3 Verantwortlichkeit

Verantwortlicher

Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen

Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenverarbeitung

verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Ziff. 7 DS-GVO).

Geltungsbereich

Die Inhalte dieses AV-Vertrages gelten entsprechend, wenn die Prüfung oder Wartung

automatisierter Verfahren oder von Datenverarbeitungsanlagen im Auftrag

vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht

ausgeschlossen werden kann.

Verpflichtung auf die Vertraulichkeit

Auftraggeber sowie Auftragnehmer müssen gewährleisten, dass sich die zur

Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit

verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht

unterliegen. Dazu müssen alle Personen, die auftragsgemäß auf personenbezogene

Daten des Auftraggebers zugreifen können, auf die Vertraulichkeit verpflichtet und

über ihre Datenschutzpflichten belehrt werden. Dabei ist jede Partei für die

Verpflichtung des eigenen Personals zuständig. Ferner müssen die eingesetzten

Personen darauf hingewiesen werden, dass die Verpflichtung auf die Vertraulichkeit

auch nach Beendigung der Tätigkeit fortbesteht.

Einhaltung einschlägiger Datenschutz

Der Auftraggeber und der Auftragnehmer sind bzgl. der zu verarbeitenden

personenbezogenen Daten für die Einhaltung der jeweils für sie einschlägigen

Datenschutzgesetze verantwortlich.

Seite 4 von 31 Version 1.6 Stand: 02.01.2026

§ 4 Dauer des Auftrages

Laufzeit gemäß Hauptvertrag

Die Laufzeit dieses AV-Vertrages richtet sich nach der Laufzeit des Hauptvertrags,

sofern sich aus den Bestimmungen dieses AV-Vertrages nicht etwas anderes ergibt.

Keine Verarbeitung ohne Vertrag

Es ist den Parteien bewusst, dass ohne Vorliegen eines gültigen AV-Vertrages z. B.

bei Beendigung des vorliegenden Vertragsverhältnisses, keine (weitere)

Auftragsverarbeitung durchgeführt werden darf.

Kündigung aus wichtigem Grund

Das Recht zur fristlosen Kündigung aus wichtigem Grund bleibt unberührt.

Kündigungsform

Kündigungen bedürfen zu ihrer Wirksamkeit der Schriftform.

§ 5 Weisungsbefugnis des Auftraggebers

Weisungsbefugnis

Der Umgang mit den personenbezogenen Daten erfolgt ausschließlich im Rahmen der

getroffenen Vereinbarungen und nach dokumentierter Weisung des Auftraggebers.

Ausgenommen hiervon sind Sachverhalte, in denen dem Auftragnehmer eine

Verarbeitung aus zwingenden rechtlichen Gründen auferlegt wird. Der Auftragnehmer

unterrichtet soweit ihm möglich in derartigen Situationen den Auftraggeber vor Beginn

der Verarbeitung über die entsprechenden rechtlichen Anforderungen. Der

Auftraggeber behält sich im Rahmen der in dieser Vereinbarung getroffenen

Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang und

Verfahren der Datenverarbeitung vor, dass er durch Einzelweisungen konkretisieren

kann.

Seite 5 von 31 Version 1.6 Stand: 02.01.2026

Dokumentation der Weisungen

Die Weisungen des Auftraggebers werden vom Auftragnehmer dokumentiert und dem

Auftraggeber unmittelbar nach erfolgter Dokumentation als unterschriebene Kopie zur

Verfügung gestellt.

Umfang der Weisungsbefugnis

Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind von

der Weisungsbefugnis des Auftraggebers gedeckt und entsprechend zu

dokumentieren. Bei einer wesentlichen Änderung des Auftrags steht dem

Auftragnehmer ein Widerspruchsrecht zu. Besteht der Auftraggeber trotz des

Widerspruchs des Auftragnehmers auf der Änderung, steht dem Auftragnehmer ein

ordentliches Kündigungsrecht bezüglich des von der Weisung betroffenen AV-

Vertrages sowie der von der AV-Vereinbarung betroffenen Bestandteile des

entsprechenden Hauptvertrages zu. Verweigert der Auftragnehmer, die Änderung

durchzuführen, steht auch dem Auftraggeber ein ordentliches Kündigungsrecht zu.

Erfolgt eine Kündigung, so ist für die restliche Vertragslaufzeit weiterhin die vertraglich

vereinbarte Leistung durch den Auftragnehmer zu erbringen.

mündliche Weisungen - Vorgehensweise

Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder per E-Mail

(in Textform) bestätigen. Der Auftragnehmer notiert sich Datum, Uhrzeit und Person,

welche die mündliche Weisung erteilte sowie den Grund, warum keine schriftliche

Beauftragung erfolgen konnte.

weisungsberechtigte Personen

Ansprechpartner (weisungsberechtigte Personen) des Auftraggebers sind:

_______________(Namen einfügen)

Seite 6 von 31 Version 1.6 Stand: 02.01.2026

§ 6 Leistungsort

Leistungsorte, Garantien

Der Auftragnehmer wird die vertraglichen Leistungen in Deutschland erbringen.

Etwaige Unterauftragnehmer erbringen die sie betreffenden Leistungen in der

Europäischen Union (EU) oder im Europäischen Wirtschaftsraum (EWR).

Verlagerung in ein Drittland

Jede Verlagerung der Dienstleistung in ein Drittland bedarf der vorherigen

Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen

Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind. (z.B. Angemessenheitsbeschluss

der Kommission, Standarddatenschutzklauseln und zusätzliche Garantien,

genehmigte Verhaltensregeln, BCRs).

Bei der Verlagerung oder Planung der Verlagerung in einen sicheren „Drittstaat“ wird

der Auftragnehmer zuvor die schriftliche Zustimmung durch den Auftraggeber

einholen.

Verlagerung innerhalb eines Leistungslandes, für das Zustimmung besteht

Der Auftraggeber stimmt einer Verlagerung eines Ortes der Leistungserbringung

innerhalb des Leistungslandes, für das eine Zustimmung besteht, zu, wenn dort

nachweislich ein gleiches Sicherheitsniveau gegeben ist und keine für den

Auftraggeber geltenden gesetzlichen Bestimmungen gegen diese Verlagerung

sprechen. Die Nachweispflicht hierzu liegt bei dem Auftragnehmer.

Verlagerung in EU/EWR

Bei einer Verlagerung des Ortes der Leistungserbringung in Länder, die Mitglied der

EU / EWR sind und über ein diesem Vertrag genügendes und verifiziertes

Datenschutzniveau verfügen, wird der Auftraggeber schriftlich informiert.

Zustimmungsfiktion

Sofern der Auftragnehmer vom Auftraggeber nicht innerhalb einer Frist von vier

Wochen nach Zugang der Mitteilung i.S.d. VI Nr. 2,3,4 über die Verlagerung über

Seite 7 von 31 Version 1.6 Stand: 02.01.2026

Gründe informiert wird, die eine Verlagerung nicht zulassen, gilt die Zustimmung zu

dieser Verlagerung seitens des Auftraggebers als erteilt.

Bestehen der bisherigen Rechte

Sofern die Leistungsverlagerung in ein anderes Land nach den vorstehenden

Regelungen möglich ist, gilt dies entsprechend für jeglichen Zugriff bzw. jegliche Sicht

auf die Daten durch den Auftragnehmer, z. B. im Rahmen von internen Kontrollen oder

zu Zwecken der Entwicklung, der Durchführung von Tests, der Administration oder der

Wartung.

Sicherstellung des Datenschutzniveaus

Sofern die Datenverarbeitung nach dieser Vereinbarung und den gesetzlichen

Vorgaben zur Verarbeitung personenbezogener Daten im Auftrag bzw. zur

Übermittlung personenbezogener Daten in das Ausland zulässig außerhalb

Deutschlands erbracht werden darf, wird der Auftragnehmer für die Einhaltung und

Umsetzung der gesetzlichen Erfordernisse zur Sicherstellung eines adäquaten

Datenschutzniveaus bei Standortverlagerungen und bei grenzüberschreitendem

Datenverkehr Sorge tragen.

§ 7 Pflichten des Auftragnehmers

ausschließlich weisungsgemäße Verarbeitung

Der Auftragnehmer darf Daten nur im Rahmen des Auftrages und der Weisungen des

Auftraggebers erheben, verarbeiten oder nutzen.

technische und organisatorische Maßnahmen - TOM

Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche

Organisation so gestalten, dass sie den besonderen Anforderungen des

Datenschutzes gerecht wird. Er wird technische und organisatorische Maßnahmen zur

angemessenen Sicherung der Daten des Auftraggebers vor Missbrauch und Verlust

treffen, die den Anforderungen der entsprechenden datenschutzrechtlichen

Bestimmungen entsprechen; diese Maßnahmen muss der Auftragnehmer auf Anfrage

dem Auftraggeber und ggfs. Aufsichtsbehörden gegenüber nachweisen. Dieser

Seite 8 von 31 Version 1.6 Stand: 02.01.2026

Nachweis beinhaltet insbesondere die Umsetzung der aus Art. 32 DS-GVO

resultierenden Maßnahmen.

Beachtung des Fortschritts

Die technischen und organisatorischen Maßnahmen unterliegen dem technischen

Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet,

alternative, nachweislich adäquate Maßnahmen umzusetzen. Dabei muss

sichergestellt sein, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten

wird. Wesentliche Änderungen sind zu dokumentieren.

Technische und Organisatorische Maßnahmen

Eine Darstellung der vom Auftragnehmer nach Abs. 1 getroffenen technischen und

organisatorischen Maßnahmen erfolgt in der Anlage 2, die Bestandteil dieses

Vertrages ist.

Verzeichnis von Verarbeitungstätigkeiten

Der Auftragnehmer selbst führt für die Verarbeitung ein Verzeichnis der bei ihm

stattfindenden Verarbeitungstätigkeiten im Sinne des Art. 30 DS-GVO. Er stellt auf

Anforderung dem Auftraggeber die für die Übersicht nach Art. 30 DS-GVO

notwendigen Angaben zur Verfügung. Des Weiteren stellt er das Verzeichnis auf

Anfrage der Aufsichtsbehörde zur Verfügung.

Datenschutzfolgeabschätzung

Der Auftragnehmer unterstützt den Auftraggeber bei der

Datenschutzfolgenabschätzung mit allen ihm zur Verfügung stehenden Informationen.

Im Falle der Notwendigkeit einer vorherigen Konsultation der zuständigen

Aufsichtsbehörde unterstützt der Auftragnehmer den Auftraggeber auch hierbei.

Fernmeldegeheimnis

Die Wahrung des Fernmeldegeheimnisses entsprechend § 3 TDDDG muss vom

Auftragnehmer gewährleistet werden. Dazu muss der Auftragnehmer alle Personen,

die auftragsgemäß auf Daten des Auftraggebers mittels Mittel der Telekommunikation

Seite 9 von 31 Version 1.6 Stand: 02.01.2026

wie Telefon oder E-Mail zugreifen können, auf das Fernmeldegeheimnis verpflichten

und über die sich daraus ergebenden besonderen Geheimhaltungspflichten belehren.

Geschäfts- und Betriebsgeheimnisse

Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten

Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des

Auftragnehmers vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung

dieses Vertrages bestehen. Die Parteien sind sich darüber einig, dass der Gegenstand dieser

Vereinbarung über den Begriff des Geschäftsgeheimnisses gem. § 2 Nr. 1 GeschGehG hinaus

geht und alle Informationen umfasst, die im Zuge der beschriebenen Tätigkeit bekannt werden.

Datenschutzbeauftragter

Als Datenschutzbeauftragter ist beim Auftragnehmer derzeit ____________________

benannt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber

unverzüglich schriftlich mitzuteilen. Der Auftragnehmer gewährleistet, dass die

Anforderungen an den Datenschutzbeauftragten und seine Tätigkeit gemäß Art. 38

DS-GVO erfüllt werden. Sofern kein Datenschutzbeauftragter beim Auftragnehmer

benannt ist, benennt der Auftragnehmer dem Auftraggeber einen Ansprechpartner.

Informations- und Unterstützungsverpflichtung

Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich bei Verstößen des

Auftragnehmers oder der bei ihm im Rahmen des Auftrags beschäftigten Personen

gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder

der im Vertrag getroffenen Festlegungen. Er trifft die erforderlichen Maßnahmen zur

Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die

Betroffenen und spricht sich hierzu unverzüglich mit dem Auftraggeber ab. Der

Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der

Informationspflichten gegenüber der jeweils zuständigen Aufsichtsbehörde bzw. den

von einer Verletzung des Schutzes personenbezogener Daten Betroffenen nach Art.

33, 34 DS-GVO.

Seite 10 von 31 Version 1.6 Stand: 02.01.2026

Unterstützung bei der Einhaltung der Betroffenenrechte

Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung

oder Löschung seiner Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen

unverzüglich an den Auftraggeber weiterleiten. Ist der Auftraggeber aufgrund

geltender Datenschutzgesetze gegenüber einer betroffenen Person verpflichtet,

Auskünfte zur Erhebung, Verarbeitung oder Nutzung von Daten dieser Person zu

geben, wird der Auftragnehmer den Auftraggeber dabei unterstützen, diese

Informationen bereitzustellen, vorausgesetzt der Auftraggeber hat den Auftragnehmer

hierzu schriftlich aufgefordert.

Datenträger, -kopien etc. – Eigentum des Auftraggebers

Überlassene Datenträger sowie sämtliche hiervon gefertigten Kopien oder

Reproduktionen verbleiben im Eigentum des Auftraggebers. Der Auftragnehmer hat

diese sorgfältig zu verwahren, sodass sie Dritten nicht zugänglich sind. Der

Auftragnehmer ist verpflichtet, dem Auftraggeber jederzeit Auskünfte zu erteilen,

soweit seine Daten und Unterlagen betroffen sind.

Informationsverpflichtung bei Behördentätigkeit

Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen und

Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde bei dem

Auftragnehmer ermittelt.

Hinweispflicht bei gesetzeswidrigen Weisungen

Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen,

wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche

Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der

entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber

bestätigt oder geändert wird.

Beschlagnahme, Insolvenz, Pfändung

Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder

Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige

Seite 11 von 31 Version 1.6 Stand: 02.01.2026

Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den

Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in

diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die

Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als

Verantwortlichen im Sinne der DS-GVO liegen.

Zweckgebundene Verwendung der Daten, Verwendung genehmigter Mittel

Der Auftragnehmer verwendet die überlassenen Daten für keine anderen Zwecke als

die der Vertragserfüllung und setzt auch keine Mittel zur Verarbeitung ein, die nicht

vom Auftraggeber zuvor genehmigt wurden.

Speicherung von Patientendaten

Der Auftragnehmer speichert keine Patientendaten auf Systemen, die außerhalb der

Verfügungsgewalt des Auftraggebers liegen.

Mitteilungsverpflichtung bei eigenen gesetzlichen Anforderungen

Sofern der Auftragnehmer durch das Recht der Union oder Mitgliedstaaten verpflichtet

ist, die Daten auch auf andere Weise zu verarbeiten, so teilt der Auftragnehmer dem

Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit. Die Mitteilung

hat zu unterbleiben, wenn das einschlägige nationale Recht eine solche Mitteilung

aufgrund eines wichtigen öffentlichen Interesses verbietet.

Dokumentationsverpflichtung

Die Erfüllung der vorgenannten Pflichten ist vom Auftragnehmer zu kontrollieren, zu

dokumentieren und in geeigneter Weise gegenüber dem Auftraggeber auf

Anforderung nachzuweisen.

§ 7.1 Vereinbarung zur Wahrung des Berufsgeheimnisses nach § 203 StGB

Berufsgeheimnis, sich daraus ergebende Verpflichtung

Im Rahmen dieses Auftrages werden auch Daten verarbeitet, die unter ein

Berufsgeheimnis (im Sinne von § 203 StGB) fallen.

Seite 12 von 31 Version 1.6 Stand: 02.01.2026

Der Auftragnehmer verpflichtet sich, über Berufsgeheimnisse Stillschweigen zu

bewahren und sich nur insoweit Kenntnis von diesen Daten zu verschaffen, wie dies

zur Erfüllung der ihm zugewiesenen Aufgaben erforderlich ist.

Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich Personen, die an der

beruflichen Tätigkeit eines Berufsgeheimnisträgers mitwirken und unbefugt ein

fremdes Geheimnis offenbaren, das ihnen bei der Ausübung oder bei Gelegenheit

ihrer Tätigkeit bekannt geworden ist, strafbar machen nach § 203 Abs. 4 S. 1 StGB.

Zudem macht sich eine mitwirkende Person nach § 203 Abs. 4 S. 2 StGB strafbar,

sollte sie sich einer weiteren mitwirkenden Person bedienen, die ihrerseits unbefugt

ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt

gewordenes Geheimnis offenbart, und nicht dafür Sorge getragen hat, dass diese zur

Geheimhaltung verpflichtet wurde.

Verpflichtung Dritter auf das Berufsgeheimnis

Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung von dem

Berufsgeheimnis unterliegenden Daten des Auftraggebers befassten Beschäftigten

und andere für den Auftragnehmer tätigen Personen (z. B. Subunternehmer), die damit

befasst sind, sich in Textform dazu verpflichtet haben, die ihnen bei der Ausübung

oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenen Berufsgeheimnisse nicht

unbefugt zu offenbaren und sie über die mögliche Strafbarkeit nach § 203 Abs. 4 StGB

belehrt wurden. Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich eine

mitwirkende Person nach § 203 Abs. 4 S. 2 StGB strafbar macht, sollte sie sich einer

weiteren mitwirkenden Person bedienen, die ihrerseits unbefugt ein fremdes, ihr bei

der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis

offenbart, und die mitwirkende Person nicht dafür Sorge getragen hat, dass die weitere

mitwirkende Person zur Geheimhaltung verpflichtet wurde.

Vorgehen bei Beauftragung von Unterauftragnehmern

Der Auftragnehmer wird etwaige Unterauftragnehmer sorgfältig auswählen und diese,

soweit sie im Rahmen ihrer Tätigkeit Kenntnis von fremden Geheimnissen im Sinne

dieser Vereinbarung erlangen könnten, zur Geheimhaltung verpflichten. Der

Auftragnehmer wird ferner etwaige Unterauftragnehmer dazu verpflichten, sämtliche

Seite 13 von 31 Version 1.6 Stand: 02.01.2026

von diesen eingesetzte Personen und etwaige weitere Unterauftragnehmer, die

bestimmungsgemäß mit Geheimnisschutzdaten in Berührung kommen oder bei denen

dies nicht auszuschließen ist, nach den zuvor genannten Grundsätzen zur

Verschwiegenheit zu verpflichten und über die Folgen einer Pflichtverletzung zu

belehren.

Des Weiteren werden Subunternehmer, über das bestehende Schweigerecht gemäß

§ 53a StPO sowie den Beschlagnahmeschutz gemäß § 97 StPO informiert; dies

beinhaltet auch den Hinweis bzgl. des Rechts des Berufsgeheimnisträgers, über

dieses Recht zu entscheiden und der damit verbundenen Pflicht des AN, unverzüglich

den Auftraggeber bzgl. der Wahrnehmung dieser Rechte zu kontaktieren.

Diese Verpflichtung gilt für sämtliche weitere Unterbeauftragungen.

Zeugnisverweigerungsrecht, Ausübung des Widerspruchs

Der Auftragnehmer wird darauf hingewiesen, dass Daten, die er im Auftrag eines

Berufsgeheimnisträgers verarbeitet u. U. dem Zeugnisverweigerungsrecht von

sogenannten mitwirkenden Personen unterliegen (§ 53a Strafprozessordnung

(StPO)). Entsprechend § 53a StPO entscheidet jedoch der Berufsgeheimnisträger

über die Ausübung des Schweigerechts. Im Falle einer Befragung wird der

Auftragnehmer unter Hinweis auf § 53a StPO dieser widersprechen und unverzüglich

den Auftraggeber informieren, der daraufhin bzgl. der Wahrnehmung des

Schweigerechts entscheidet.

Beschlagnahmeverbot, Widerspruch

Der Auftragnehmer wird darauf hingewiesen, dass die in seinem Gewahrsam

befindlichen Geheimnisschutzdaten dem Beschlagnahmeverbot gemäß § 97 Abs. 2

StPO unterliegen. Die Daten dürfen nicht ohne das Einverständnis des Auftraggebers

(Berufsgeheimnisträger) herausgegeben werden. Im Falle einer Beschlagnahme wird

der Auftragnehmer dieser widersprechen und unverzüglich den Auftraggeber

informieren.

Seite 14 von 31 Version 1.6 Stand: 02.01.2026

§ 8 Fernzugriff bei Prüfung/Wartung eines Systems oder anderen

Dienstleistungen über Fernzugriffe

Für die Durchführung von Fernzugriffen bei der Prüfung und/oder Wartung

automatisierter Verfahren oder von Datenverarbeitungsanlagen oder bei Fernzugriffen

für andere Dienstleistungen gelten ergänzend folgende Rechte/Pflichten des

Auftraggebers/Auftragnehmers:

Fernzugriff an Arbeitsplatzsystemen

Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten an

Arbeitsplatzsystemen werden erst nach Freigabe durch den jeweiligen Berechtigten /

zuständigen Mitarbeiter des Auftraggebers durchgeführt.

Fernzugriff bei automatisierten Verfahren

Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten von

automatisierten Verfahren oder von Datenverarbeitungsanlagen werden, sofern

hierbei ein Zugriff auf personenbezogene Daten nicht sicher ausgeschlossen werden

kann, ausschließlich mit Zustimmung des Auftraggebers ausgeführt.

Identifizierungs- und Verschlüsselungsverfahren

Die Mitarbeiter des Auftragnehmers verwenden angemessene Identifizierungs- und

Verschlüsselungsverfahren.

Datensicherheitsmaßnahmen vor Fernzugriff

Vor Durchführung von Fernzugriffen werden sich Auftraggeber und Auftragnehmer

über etwaig notwendige Datensicherheitsmaßnahmen in ihren jeweiligen

Verantwortungsbereichen verständigen.

Dokumentation, Protokollierung, Abbruchbefugnis

Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten werden

dokumentiert und protokolliert. Der Auftraggeber ist berechtigt, Prüfungs- und

Wartungsarbeiten vor, bei und nach Durchführung zu kontrollieren. Bei Fernzugriffen

Seite 15 von 31 Version 1.6 Stand: 02.01.2026

ist der Auftraggeber - soweit technisch möglich - berechtigt, diese von einem

Kontrollbildschirm aus zu verfolgen und jederzeit abzubrechen.

Tätigkeit nur im notwendigen Umfang

Der Auftragnehmer wird von den ihm eingeräumten Zugriffsrechten auf automatisierte

Verfahren oder von Datenverarbeitungsanlagen (insb. IT-Systeme, Anwendungen)

des Auftraggebers nur in dem Umfang - auch in zeitlicher Hinsicht - Gebrauch machen,

wie dies für die ordnungsgemäße Durchführung der beauftragten Wartungs- und

Prüfungsarbeiten notwendig ist.

Kenntnisnahme von bzw. Einwirkung auf Echtdaten

Soweit bei der Leistungserbringung Tätigkeiten zur Fehleranalyse erforderlich sind,

bei denen eine Kenntnisnahme (z. B. auch lesender Zugriff) oder ein Zugriff auf

Wirkdaten (Produktions-/Echtdaten) des Auftraggebers notwendig ist, wird der

Auftragnehmer die vorherige Einwilligung des Auftraggebers einholen.

Datenabzug von Wirkbetriebsdaten

Tätigkeiten zur Fehleranalyse, bei denen ein Datenabzug der Wirkbetriebsdaten

erforderlich ist, bedürfen der vorherigen Einwilligung des Auftraggebers. Bei

Datenabzug der Wirkbetriebsdaten wird der Auftragnehmer diese Kopien, unabhängig

vom verwendeten Medium, nach Bereinigung des Fehlers löschen. Wirkdaten dürfen

nur zum Zweck der Fehleranalyse und ausschließlich auf dem bereitgestellten

Equipment des Auftraggebers oder auf solchem des Auftragnehmers verwendet

werden, sofern die vorherige Einwilligung des Auftraggebers vorliegt. Wirkdaten dürfen

nicht ohne Zustimmung des Auftraggebers auf mobile Speichermedien (PDAs, USB-

Sticks oder ähnliche Geräte) kopiert werden.

Berücksichtigung der technischen und organisatorischen Maßnahmen

Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten sowie sämtliche in

diesem Zusammenhang erforderlichen Tätigkeiten, insbesondere Tätigkeiten wie

Löschen, Datentransfer oder eine Fehleranalyse, werden unter Berücksichtigung von

technischen und organisatorischen Maßnahmen zum Schutz personenbezogener

Daten durchgeführt. In diesem Zusammenhang wird der Auftragnehmer die

Seite 16 von 31 Version 1.6 Stand: 02.01.2026

technischen und organisatorischen Maßnahmen wie im Anhang beschrieben

ergreifen.

§ 9 Pflichten des Auftraggebers

Schaffung gesetzeskonformer Voraussetzungen

Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der

Rechte der Betroffenen ist allein der Auftraggeber verantwortlich. Der Auftraggeber

wird in seinem Verantwortungsbereich dafür Sorge tragen, dass die gesetzlich

notwendigen Voraussetzungen (z. B. durch Einholung von Einwilligungserklärungen

für die Verarbeitung der Daten) geschaffen werden, damit der Auftragnehmer die

vereinbarten Leistungen rechtsverletzungsfrei erbringen kann.

Informationsverpflichtung bei Unregelmäßigkeiten

Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren,

wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten bzgl.

datenschutzrechtlicher Bestimmungen feststellt.

Verzeichnis der Verarbeitungstätigkeiten

Der Auftraggeber ist hinsichtlich der vom Auftragnehmer eingesetzten und vom

Auftraggeber genehmigten Verfahren zur automatisierten Verarbeitung

personenbezogener Daten datenschutzrechtlich verantwortlich und hat – neben der

eigenen Verpflichtung des Auftragnehmers – ebenfalls die Pflicht zur Führung eines

Verzeichnisses von Verarbeitungstätigkeiten.

Informationspflichten gem. Art. 33, 34 DS-GVO

Dem Auftraggeber obliegen die aus Art. 33, 34 DS-GVO resultierenden

Informationspflichten gegenüber der Aufsichtsbehörde bzw. den von einer Verletzung

des Schutzes personenbezogener Daten Betroffenen.

Seite 17 von 31 Version 1.6 Stand: 02.01.2026

Maßnahmen zur Rückgabe von Datenträgern bzw. zur Datenlöschung

Der Auftraggeber legt die Maßnahmen zur Rückgabe der überlassenen Datenträger

und/oder Löschung der gespeicherten Daten nach Beendigung des Auftrages

vertraglich oder durch Weisung fest.

Vertraulichkeit der Behandlung von Geschäfts- und Betriebsgeheimnissen

Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten

Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des

Auftragnehmers vertraulich zu behandeln.

Einhaltung der sich aus Art. 32 DS-GVO ergebenden Anforderungen

Der Auftraggeber stellt sicher, dass die aus Art. 32 DS-GVO resultierenden

Anforderungen bzgl. der Sicherheit der Verarbeitung seinerseits eingehalten werden.

Insbesondere gilt dies für Fernzugriffe des Auftragnehmers auf die Datenbestände des

Auftraggebers.

§ 10 Kontrollrechte des Auftraggebers

Auswahlkriterien bezüglich des Auftragnehmers, Dokumentation

Der Auftraggeber hat den Auftragnehmer unter dem Aspekt ausgewählt, dass dieser

hinreichenden Garantien dafür bietet, geeignete technische und organisatorische

Maßnahmen so durchzuführen, dass die Verarbeitung im Einklang mit den

Anforderungen der DS-GVO erfolgt und den Schutz der Rechte der betroffenen Person

gewährleistet. Er dokumentiert das Ergebnis seiner Auswahl.

Prüfung bei Datenschutzverstoß

Liegt ein Verstoß des Auftragnehmers oder der bei ihm im Rahmen des Auftrags

beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten

des Auftraggebers oder der im Vertrag getroffenen Festlegungen vor, so kann eine

darauf bezogene Prüfung auch ohne rechtzeitige Anmeldung vorgenommen werden.

Eine Störung des Betriebsablaufs beim Auftragnehmer sollte auch hierbei

weitestgehend vermieden werden.

Seite 18 von 31 Version 1.6 Stand: 02.01.2026

Regelmäßige Prüfung

Die Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen durch den

Auftraggeber im Hinblick auf die Vertragsausführung bzw. -erfüllung, insbesondere

Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur

Durchführung des Auftrags wird vom Auftragnehmer unterstützt. Insbesondere

verpflichtet sich der Auftragnehmer, dem Auftraggeber auf schriftliche Anforderung

innerhalb einer angemessenen Frist alle Auskünfte zu geben, die zur Durchführung

einer Kontrolle erforderlich sind. Solche Auskünfte können auch Prüfungsprotokolle

externer Auditoren des Auftragsnehmers sein.

Informationsverpflichtung bei Feststellung von Fehlern o.a.

Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren,

wenn er bei der Prüfung Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher

Bestimmungen feststellt.

§ 11 Berichtigung, Beschränkung von Verarbeitung, Löschung und Rückgabe

von Datenträgern

Berichtigung, Sperrung, Löschung

Während der laufenden Beauftragung berichtigt, löscht oder sperrt der Auftragnehmer

die vertragsgegenständlichen Daten nur auf Anweisung des Auftraggebers.

Vernichtung

Sofern eine Vernichtung während der laufenden Beauftragung vorzunehmen ist,

übernimmt der Auftragnehmer die nachweislich datenschutzkonforme Vernichtung von

Datenträgern und sonstiger Materialien nur aufgrund entsprechender

Einzelbeauftragung durch den Auftraggeber.

Aufbewahrung, Übergabe

In besonderen, vom Auftraggeber zu bestimmenden Fällen, erfolgt eine Aufbewahrung

bzw. Übergabe.

Seite 19 von 31 Version 1.6 Stand: 02.01.2026

Vorgehen nach Abschluss der vertraglichen Arbeiten oder auf Anweisung

Nach Abschluss der vertraglichen Arbeiten – oder früher nach Aufforderung durch den

Auftraggeber – hat der Auftragnehmer

a) sämtliche im Rahmen des Auftrags in seinen Besitz gelangte Unterlagen oder

Datenträger,

b) erstellte Verarbeitungsergebnisse,

c) Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen

dem Auftraggeber auszuhändigen oder auf Anweisung des Auftraggebers

datenschutz-konform zu löschen bzw. zu vernichten, sofern keine gesetzliche Pflicht

zur Aufbewahrung besteht. Das Protokoll der Löschung ist auf Anforderung

vorzulegen.

Kostentragung

Sofern zusätzliche Kosten durch abweichende Vorgaben bei der Herausgabe oder

Löschung der Daten entstehen, bedarf es einer vorherigen schriftlichen Vereinbarung

über die Kostentragung.

Schutz bei einem erforderlichen Transport

Soweit ein Transport des Speichermediums vor Löschung unverzichtbar ist, wird der

Auftragnehmer angemessene Maßnahmen zu dessen Schutz, insbesondere gegen

Entwendung, unbefugtem Lesen, Kopieren oder Verändern, treffen. Die Maßnahmen

und die anzuwendenden Löschverfahren werden bei Bedarf ergänzend zu den

Leistungsbeschreibungen konkretisierend vereinbart.

Aufbewahrung der Dokumentation

Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen

Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen

Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu

seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

Seite 20 von 31 Version 1.6 Stand: 02.01.2026

Anspruch auf Löschung, Sperre und Berichtigung

Der Auftraggeber kann jederzeit, d. h. sowohl während der Laufzeit als auch nach

Beendigung des Vertrages, die Berichtigung, Löschung, Verarbeitungseinschränkung

(Sperrung) und Herausgabe von Daten durch den Auftragnehmer verlangen, solange

der Auftragnehmer die Möglichkeit hat, diesem Verlangen zu entsprechen.

Durchführung der Löschung, Sperre und Berichtigung

Der Auftragnehmer berichtigt, löscht oder sperrt die vertragsgegenständlichen Daten,

wenn der Auftraggeber dies anweist. Die datenschutzkonforme Vernichtung von

Datenträgern und sonstigen Materialien übernimmt der Auftragnehmer aufgrund einer

Einzelbeauftragung durch den Auftraggeber, sofern nicht im Vertrag anders vereinbart.

In besonderen, vom Auftraggeber zu bestimmenden Fällen, erfolgt eine Aufbewahrung

bzw. Übergabe. Unmöglichkeit der Datenrücknahme

Sollte dem Auftraggeber eine Rücknahme der Daten nicht möglich sein, wird er den

Auftragnehmer rechtzeitig schriftlich informieren. Der Auftragnehmer ist dann

berechtigt, personenbezogene Daten im Auftrag des Auftraggebers zu löschen.

§ 12 Unterauftragnehmer

Erforderlichkeit der vorherigen Zustimmung, Form der Zustimmung

Der Auftragnehmer nimmt keinen Unterauftragnehmer ohne vorherige explizite

schriftliche oder allgemeine schriftliche Zustimmung des Auftraggebers in Anspruch.

Dies gilt in gleicher Weise für den Fall, dass weitere Unterauftragsverhältnisse durch

Unter-auftragnehmer begründet werden. Der Auftragnehmer stellt sicher, dass eine

entsprechende Zustimmung des Auftragsgebers für alle im Zusammenhang mit der

vertragsgegenständlichen Verarbeitung eingesetzten weiteren Unterauftragnehmer

vorliegt.

Anwendbarkeit dieser vertraglichen Regelungen für alle Unterauftragnehmer

Die nachfolgenden Regelungen finden sowohl für den Unterauftragnehmer als auch

für alle in der Folge eingesetzten weiteren Unterauftragnehmer entsprechende

Anwendung.

Seite 21 von 31 Version 1.6 Stand: 02.01.2026

Vorgehensweise bei allgemein erteilter Zustimmung

Im Fall einer allgemeinen schriftlichen Zustimmung informiert der Auftragnehmer den

Auftraggeber immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung

oder die Ersetzung von Unterauftragnehmern, wodurch der Auftraggeber die

Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben. Verweigert der

Auftraggeber durch seinen Einspruch die Zustimmung aus anderen als aus wichtigen

Gründen, kann der Auftragnehmer den Vertrag zum Zeitpunkt des geplanten

Einsatzes des Unterauftragnehmers kündigen.

verbundene Unternehmen als Unterauftragnehmer, Anzeigeverpflichtung

Der Auftraggeber ist damit einverstanden, dass der Auftragnehmer zur Erfüllung seiner

vertraglich vereinbarten Leistungen verbundene Unternehmen des Auftragnehmers

zur Leistungserfüllung heranzieht. Hierbei muss jedoch jeder Unterauftragnehmer

(verbundenes Unternehmen) vor Beauftragung dem Auftraggeber schriftlich angezeigt

werden, sodass der Auftraggeber bei Vorliegen wichtiger Gründe die Beauftragung

untersagen kann.

bestehende Unterauftragsverhältnisse

Zum Zeitpunkt des Abschlusses dieser Vereinbarung sind die in der Anlage 1

aufgeführten Unternehmen als Unterauftragnehmer für Teilleistungen für den

Auftragnehmer tätig und verarbeiten und/oder nutzen in diesem Zusammenhang auch

unmittelbar die Daten des Auftraggebers. Für diese Unterauftragnehmer gilt die

Zustimmung für das Tätigwerden als erteilt.

Auswahl des Unterauftragnehmers

Der Auftragnehmer muss Unterauftragnehmer unter besonderer Berücksichtigung der

Eignung hinsichtlich der Erfüllung der zwischen Auftraggeber und Auftragnehmer

vereinbarten technischen und organisatorischen Maßnahmen gewissenhaft

auswählen.

Seite 22 von 31 Version 1.6 Stand: 02.01.2026

Übertragung der Verpflichtung aus diesem Vertrag auf den

Unterauftragnehmer

Ist der Auftragnehmer im Sinne dieser Vereinbarung befugt, die Dienste eines

Unterauftragnehmers in Anspruch zu nehmen, um bestimmte Verarbeitungstätigkeiten

im Namen des Auftraggebers auszuführen, so werden diesem Unterauftragnehmer im

Wege eines Vertrags dieselben Pflichten auferlegt, die in dieser Vereinbarung

zwischen dem Auftraggeber und dem Auftragnehmer festgelegt sind, insbesondere

hinsichtlich der Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit

zwischen den Partei-en dieses Vertrages sowie den in diesem AV-Vertrag

beschriebenen Kontroll- und Überprüfungsrechten des Auftraggebers. Hierbei müssen

ferner hinreichend Garantien dafür geboten werden, dass die geeigneten technischen

und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung

entsprechend den Anforderungen der DS-GVO erfolgt.

Auskunftsrecht des Auftraggebers

Durch schriftliche Aufforderung ist der Auftraggeber berechtigt, vom Auftragnehmer

Auskunft über die datenschutzrelevanten Verpflichtungen des Unterauftragnehmers

zu erhalten, erforderlichenfalls auch durch Einsicht in die relevanten

Vertragsunterlagen.

Ausnahme bei Beauftragung mit Nebenleistungen

Ein zustimmungspflichtiges Unterauftragnehmerverhältnis liegt nicht vor, wenn der

Auftragnehmer Dritte im Rahmen einer Nebenleistung zur Hauptleistung beauftragt,

wie beispielsweise bei Personal-, Post- und Versanddienstleistungen. Der

Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der

Sicherheit der Daten des Auftraggebers auch bei fremd vergebenen Nebenleistungen

angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie

Kontrollmaßnahmen zu ergreifen.

Seite 23 von 31 Version 1.6 Stand: 02.01.2026

Haftung für Unterauftragnehmer

Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der

Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes

Unterauftragnehmers.

§ 13 Zurückbehaltungsrecht

Die Einrede des Zurückbehaltungsrechts, gleich aus welchem Rechtsgrund, an den

vertragsgegenständlichen Daten sowie an evtl. vorhandenen Datenträgern wird

ausgeschlossen.

§ 14 Haftung

Gemeinsame Haftung

Auftraggeber und Auftragnehmer haften für den Schaden, der durch eine nicht der DS-

GVO entsprechende Verarbeitung verursacht wird, gemeinsam im Außenverhältnis

gegenüber der jeweiligen betroffenen Person.

Haftungsbegrenzung für den Auftragnehmer

Der Auftragnehmer haftet ausschließlich für Schäden, die auf einer von ihm

durchgeführten Verarbeitung beruhen, bei der er

a) den aus der DS-GVO resultierenden und speziell für Auftragsverarbeiter

auferlegten Pflichten nicht nachgekommen ist,

b) unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Auftraggebers

handelte oder

c) gegen die rechtmäßig erteilten Anweisungen des Auftraggebers gehandelt hat.

Rückgriff im Innenverhältnis

Soweit der Auftraggeber zum Schadensersatz gegenüber dem Betroffenen verpflichtet

ist, bleibt ihm der Rückgriff auf den Auftragnehmer vorbehalten.

Seite 24 von 31 Version 1.6 Stand: 02.01.2026

Haftung im Innenverhältnis

Im Innenverhältnis zwischen Auftraggeber und Auftragnehmer haftet der

Auftragnehmer für den durch eine Verarbeitung verursachten Schaden jedoch nur,

wenn er

a) seinen ihm speziell durch die DS-GVO auferlegten Pflichten nicht

nachgekommen ist oder

b) unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Auftraggebers

oder gegen diese Anweisungen gehandelt hat.

Weitergehende Haftung

Weitergehende Haftungsansprüche nach den allgemeinen Gesetzen bleiben

unberührt.

§ 15 Schriftformklausel

Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile –

einschließlich etwaiger Zusicherungen des Auftragnehmers – bedürfen einer

schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um

eine Änderung bzw. Ergänzung dieser Regelungen handelt. Das

Schriftformerfordernis gilt auch für den Verzicht auf dieses Formerfordernis.

§ 16 Salvatorische Klausel

Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als

unwirksam oder undurchführbar erweisen oder infolge Änderungen der Gesetzgebung

nach Vertragsabschluss unwirksam oder undurchführbar werden, bleiben die übrigen

Vertragsbestimmungen und die Wirksamkeit des Vertrages im Ganzen hiervon

unberührt.

An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die wirksame

und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichtigen

Bestimmung möglichst nahekommt.

Seite 25 von 31 Version 1.6 Stand: 02.01.2026

Erweist sich der Vertrag als lückenhaft, gelten die Bestimmungen als vereinbart, die

dem Sinn und Zweck des Vertrages entsprechen und im Falle des Bedachtwerdens

vereinbart worden wären

Existieren mehrere wirksame und durchführbare Bestimmungen, welche die unter §

16 Abs. 1 genannte unwirksame Regelung ersetzen können, so muss die Bestimmung

gewählt werden, welche den Schutz der Patientendaten im Sinne dieses Vertrages am

besten gewährleistet.

§ 17 Rechtswahl, Gerichtsstand

Es gilt deutsches Recht. Gerichtsstand ist Homburg/Saar.

Ort, Datum Ort, Datum

Auftragnehmer Auftraggeber (UKS)

Anlage 1 zum AV-Vertrag: Unterauftragsverhältnis beim Auftragnehmer zum

Zeitpunkt der Auftragsvergabe

Seite 26 von 31 Version 1.6 Stand: 02.01.2026

Name und Anschrift des Beschreibung der Ort der

Unterauftragnehmers Teilleistung Leistungserbringung

Seite 27 von 31 Version 1.6 Stand: 02.01.2026

Anlage 2 zum AV-Vertrag: Nachweis der allgemeinen technischen und

organisatorischen Maßnahmen (vgl. VII Nr. 2,3,4)

Der Auftragnehmer hat die folgenden technischen und organisatorischen

Maßnahmen getroffen:

Zutrittskontrolle

 Es sind keine Maßnahmen zur Zutrittskontrolle erforderlich, weil ...

 Es existieren keine Maßnahmen zur Zutrittskontrolle, weil ...

 Es existieren folgende Maßnahmen zur Zutrittskontrolle:

…
…
…
Zugangskontrolle

 Es sind keine Maßnahmen zur Zugangskontrolle erforderlich, weil ...

 Es existieren keine Maßnahmen zur Zugangskontrolle, weil ...

 Es existieren folgende Maßnahmen zur Zugangskontrolle:

Seite 28 von 31 Version 1.6 Stand: 02.01.2026

Zugriffskontrolle

 Es sind keine Maßnahmen zur Zugriffskontrolle erforderlich, weil ...

 Es existieren keine Maßnahmen zur Zugriffskontrolle, weil ...

 Es existieren folgende Maßnahmen zur Zugriffskontrolle:

…
…
…
Weitergabekontrolle

 Es sind keine Maßnahmen zur Weitergabekontrolle erforderlich, weil ...

 Es existieren keine Maßnahmen zur Weitergabekontrolle, weil ...

 Es existieren folgende Maßnahmen zur Weitergabekontrolle:

…
…
…
Eingabekontrolle

 Es sind keine Maßnahmen zur Eingabekontrolle erforderlich, weil ...

 Es existieren keine Maßnahmen zur Eingabekontrolle, weil ...

 Es existieren folgende Maßnahmen zur Eingabekontrolle:

Seite 29 von 31 Version 1.6 Stand: 02.01.2026

…
Auftragskontrolle

 Es sind keine Maßnahmen zur Auftragskontrolle erforderlich, weil ...

 Es existieren keine Maßnahmen zur Auftragskontrolle, weil ...

 Es existieren folgende Maßnahmen zur Auftragskontrolle:

…
…
…
Verfügbarkeitskontrolle

 Es sind keine Maßnahmen zur Verfügbarkeitskontrolle erforderlich, weil ...

 Es existieren keine Maßnahmen zur Verfügbarkeitskontrolle, weil ...

 Es existieren folgende Maßnahmen zur Verfügbarkeitskontrolle:

…
…
…
Trennungskontrolle

 Es sind keine Maßnahmen zur Trennungskontrolle erforderlich, weil ...

 Es existieren keine Maßnahmen zur Trennungskontrolle, weil ...

 Es existieren folgende Maßnahmen zur Trennungskontrolle:

Seite 30 von 31 Version 1.6 Stand: 02.01.2026

Seite 31 von 31 Version 1.6 Stand: 02.01.2026

Anlage 14 - AVV UKS.pdf