Anlage 5 - BedAV (V1.2, 2021-09).pdf

[Seite 1]

Bedingungen zur Auftragsverarbeitung

gemäß Art. 28 DS-GVO (BedAV, Anlage 1)

Präambel oder in einem gesonderten AV-Vertrag ge- regelt.

1. Gegenstand dieser Bestimmungen sind die Rechte und Pflichten des Auftragnehmers 3 Weisungsbefugnis des Auftragge- und des Auftraggebers, wenn bei der Leis- bers tungserbringung nach dem Hauptvertrag und den mit ihm geltenden Anlagen eine 3.1 Die Verarbeitung der Daten, insbesondere Verarbeitung personenbezogener Daten (im Art, Umfang und Verfahren der Datenverar- Folgenden „Daten“) erfolgt. beitung, erfolgt ausschließlich nach der do- kumentierten Weisung des Auftraggebers
2. Diese Bedingungen gelten entsprechend im im Rahmen der im Hauptvertrag und seinen Falle einer (Fern-) Prüfung und Wartung au- Anlagen getroffenen Vereinbarungen oder tomatisierter Verfahren oder von Datenver- nach jederzeit möglicher in Text- oder arbeitungsanlagen, wenn dabei eine Verar- Schriftform dokumentierter Einzelweisung beitung personenbezogener Daten insbe- des Auftraggebers. Weisungsberechtigte sondere besonderer Kategorien von Daten Personen des Auftraggebers sind in den nicht ausgeschlossen werden kann. Vertragsunterlagen dokumentiert.
3. Es gelten die Begrifflichkeiten der EU-Da- 3.2 Ausgenommen hiervon sind Sachverhalte, tenschutzgrundverordnung (DS-GVO) so- in denen dem Auftragnehmer eine Verarbei- weit keine andere Definition erfolgt. tung nach der Ausnahme des Art.28 Abs.3
4. Die Dokumentation der vereinbarten techni- lit. a DS-GVO auferlegt ist. Der Auftragneh- schen und organisatorischen Maßnahmen mer unterrichtet den Auftraggeber vor Be- gemäß Art.32 DS-GVO (TOMs) ist Anlage ginn der Verarbeitung über die entsprechen- zum Hauptvertrag. den rechtlichen Anforderungen, sofern kein Mitteilungsverbot wegen eines wichtigen öf- 1 Verantwortlichkeiten fentlichen Interesses besteht.

3.3 Mündliche Weisungen wird der Auftragge- 1.1 Der Auftraggeber ist Verantwortlicher im ber unverzüglich in Textform oder Schrift- Sinne des Art. 4 Ziff. 7 DS-GVO und für die form bestätigen. Der Auftragnehmer notiert Einhaltung der gesetzlichen Bestimmungen bei mündlichen Weisungen, Datum, Uhrzeit des Datenschutzrechts, insbesondere für und die weisungserteilende Person sowie die Rechtmäßigkeit der Verarbeitung der den Grund für die mündliche Weisung. personenbezogenen Daten und die Beauf- tragung des Auftragsverarbeiters allein ver- 4 Pflichten des Auftragnehmers antwortlich. 1.2 Der Auftragnehmer verarbeitet personenbe- 4.1 Der Auftragnehmer ist verpflichtet, alle im zogene Daten im Auftrag und nach Weisung Rahmen der Auftragsverarbeitung erlangten des Auftraggebers zur Erbringung der im Kenntnisse von Betriebsgeheimnissen und Hauptvertrag geschuldeten Leistungen. Datensicherheitsmaßnahmen des Auftrag- gebers vertraulich zu behandeln. Dies gilt 1.3 Der Auftraggeber und der Auftragnehmer unbeschadet einer im Hauptvertrag gelten- sind bzgl. der zu verarbeitenden Daten für den Vereinbarung zur Verschwiegenheit. die Einhaltung der jeweils für sie nach der Die Verpflichtung nach diesen Bestimmun- DS-GVO geltenden Bestimmungen sowie gen besteht über die Beendigung des der jeweiligen nationalen datenschutzrecht- Hauptvertrages hinaus. lichen Bestimmungen verantwortlich. 4.2 Der Auftragnehmer gewährleistet, dass die 2 Gegenstand und Dauer des zur Verarbeitung der Daten befugten Perso- Auftrags, Verarbeitungszwecke nen zur Vertraulichkeit verpflichtet sind oder und Datenarten einer angemessenen gesetzlichen Ver- schwiegenheitspflicht unterliegen. 2.1 Gegenstand und Dauer des Auftrags, Art 4.3 Der Auftragnehmer und ihm unterstellte Per- und Zweck der Verarbeitung, Art der perso- sonen, die Zugang zu den Daten haben, nenbezogenen Daten sowie die Kategorien dürfen diese nur auf Weisung des Verant- betroffener Personen sind im Hauptvertrag wortlichen verarbeiten (Ausnahme Art.29

[Seite 2]

Bedingungen zur Auftragsverarbeitung (BedAV)

letzter Halbsatz DS-GVO). Dies ist durch c. Der Auftragnehmer speichert keine beson- eine schriftliche Verpflichtung und geeig- deren Kategorien personenbezogener Da- nete Überwachungsmaßnahmen sicherzu- ten auf Systemen, die außerhalb der Verfü- stellen. gungsgewalt des Auftraggebers liegen bzw. die nicht dem Beschlagnahmeschutz unter- 4.4 Der Auftragnehmer hat darüber hinaus si- liegen. cherzustellen, dass die von ihm zur Auf- tragserfüllung eingesetzten Beschäftigten 4.9 Der Auftragnehmer unterrichtet den Auftrag- vor Beginn der Verarbeitung und dann re- geber unverzüglich schriftlich oder in Text- gelmäßig über ihre Datenschutzpflichten be- form: lehrt werden. Der Auftraggeber kann die a. Über Verstöße gegen datenschutzrechtliche Vorlage der Verpflichtung und entspre- Bestimmungen oder vertragliche Regelun- chende Schulungsnachweise verlangen. gen bei der Auftragsausführung oder ent- 4.5 Der Auftragnehmer hat das von ihm zu füh- sprechenden Verstößen bei von ihm in An- rende Verzeichnis von Verarbeitungstätig- spruch genommenen weiteren Auftragsver- keiten auf Verlangen dem Auftraggeber vor- arbeitern. Er trifft unverzüglich erforderliche zulegen, soweit der Auftrag davon betroffen Maßnahmen zur Sicherung der Daten und ist. zur Minderung möglicher nachteiliger Fol- gen für die Betroffenen; 4.6 Wendet sich eine Person zur Wahrnehmung ihrer Rechte nach Kapitel III der DS-GVO an b. Über jegliche Maßnahmen staatlicher Stel- den Auftragnehmer, verweist dieser die Per- len, insbesondere, Kontrollen, Ermittlungs-, son unverzüglich an den Auftraggeber, so- Strafverfolgungsverfahren, oder Ermittlun- fern eine Zuordnung zum Auftraggeber gen der Finanzbehörden, die die im Auftrag möglich ist. Der Auftragnehmer wird gegen- zu verarbeitenden Daten betreffen oder be- über der Person keine Auskunft zum Inhalt treffen könnten. Ebenso über jegliche Ge- der Anfrage geben. fährdung der Daten des Auftraggebers oder der Auftragsverarbeitung durch Rechtsver- 4.7 Der Auftragnehmer unterstützt den Auftrag- fahren, Ereignisse oder Maßnahmen Dritter. geber auf Nachfrage bei all dessen sich aus Der Auftragnehmer informiert in beiden Fäl- der DS-GVO und dem für ihn geltenden na- len die in diesem Zusammenhang Verant- tionalen Recht ergebenden Pflichten mit In- wortlichen über die Hoheits- und Eigentums- formationen, Dokumenten und erforderli- verhältnisse an den Daten im Rahmen der chen Handlungen. Dies betrifft insbeson- Auftragsverarbeitung. Er stellt dem Auftrag- dere die dem Auftraggeber obliegenden geber die Information an die Verantwortli- Verpflichtungen nach Kapitel III der DS- chen unaufgefordert unverzüglich schriftlich GVO sowie die Einhaltung seiner Pflichten zur Verfügung; nach Artt. 33 bis 36 DS-GVO. c. Falls er der Meinung ist, dass eine Weisung 4.8 Für die Verarbeitung besonderer Kategorien des Auftraggebers gegen die DS-GVO oder personenbezogener Daten oder eine poten- andere Datenschutzbestimmungen, die für zielle Kenntnisnahme gelten zusätzlich fol- diese Auftragsverarbeitung anwendbar sind gende Bestimmungen: verstößt; a. Im Rahmen der Auftragserfüllung einge- d. Über Anfragen Betroffener zur Ausübung ih- setzte Beschäftigte des Auftragnehmers rer Rechte, die bei ihm eingegangen sind. werden als sonstige Mitwirkende gemäß Der Auftragnehmer übersendet die Anfrage § 203 Abs.3 Satz 2 Strafgesetzbuch tätig. des Betroffenen, soweit diese nicht münd- Der Auftragnehmer verpflichtet sich, seine lich erfolgte. durch ihn im Rahmen der Auftragserfüllung eingesetzten Beschäftigten schriftlich zur 4.10 Jede Verarbeitung des Auftragnehmers in Geheimhaltung zu verpflichten. Auf Verlan- einem Drittland bedarf der vorherigen gen des Auftraggebers sind die schriftlichen schriftlichen Zustimmung des Auftraggebers Verpflichtungen vorzulegen; und darf nur erfolgen, wenn die besonderen Voraussetzungen der Artt. 44 ff. DS-GVO b. Soweit sich der Auftragnehmer gemäß erfüllt sind. § 203 Abs.3 letzter Halbsatz StGB weiterer Personen im Rahmen der Leistungserbrin- 4.11 Wird der Auftraggeber nach Art. 82 DS- gung für diesen Auftrag bedient, stellt er si- GVO in Haftung genommen, wird ihn der cher, dass diese zur Geheimhaltung ver- Auftragnehmer bei der Abwehr des An- spruchs unterstützen, soweit er sich pflichtet sind; dadurch nicht selber einer Haftung aussetzt. 4.12 Ist der Auftragnehmer im Rahmen der Aus- nahme von Art. 28 Abs. 3 lit. a DS-GVO zur

Seite 2 von 4

[Seite 3]

Bedingungen zur Auftragsverarbeitung (BedAV)

Verarbeitung verpflichtet, so gelten die für schließlich Inspektionen - innerhalb der Be- ihn bestehenden Verpflichtungen über das triebszeiten des Auftragnehmers durchzu- Ende des Auftrages hinaus. führen oder durch einen von ihm beauftrag- ten Prüfer durchführen zu lassen. 5 Technische und organisatorische 7.3 Der Auftragnehmer verpflichtet sich, dem Maßnahmen (Art.32 DS-GVO) Auftraggeber auf Anforderung die erforderli- chen Auskünfte zu erteilen und insbeson- 5.1 Der Auftragnehmer ergreift alle nach dere die Umsetzung der technischen und or- Art. 32 DS-GVO erforderlichen Maßnah- ganisatorischen Maßnahmen nachzuwei- men. Die Darstellung der auftragsrelevanten sen. technischen und organisatorischen Maß- 7.4 Der Nachweis solcher Maßnahmen, kann nahmen erfolgt als Anlage zum Hauptver- durch aktuelle Testate, Berichte oder Be- trag. richtsauszüge von Sachverständigen oder 5.2 Soweit Prüfungen des Auftraggebers einen Nachweise gemäß Art.40 DS-GVO (geneh- Anpassungsbedarf ergeben, ist dieser ein- migte Verhaltensregeln) oder Art.42 DS- vernehmlich umzusetzen und in der Anlage GVO (Zertifizierung) erfolgen. gemäß 5.1 zu dokumentieren. 8 Berichtigung, Beschränkung von 5.3 Technische und organisatorische Maßnah- Verarbeitung, Löschung und Rück- men unterliegen dem technischen Fort- schritt und der Weiterentwicklung. Insoweit gabe von Datenträgern ist dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei 8.1 Kopien oder Duplikate der Daten werden muss das dem Risiko angemessene ohne Wissen des Auftraggebers nicht er- Schutzniveau gewährleistet sein. Änderun- stellt. Soweit Daten vonseiten des Auftrag- gen sind durch Anpassung der Anlage gem. gebers z.B. für Serviceanfragen, Fehlerbe- 5.1 zu dokumentieren. hebungen etc. oder Kontrollzwecke übermit- telt werden, sind sie umgehend nach Zwe- 6 Pflichten des Auftraggebers ckerfüllung rückstandslos zu löschen. Von Satz 1 ausgenommen sind Sicherheitsko- 6.1 Die Beurteilung der Zulässigkeit der Verar- pien, soweit sie zur Gewährleistung einer beitung der Daten, der Auftragsverarbeitung ordnungsgemäßen Datenverarbeitung er- sowie für die Wahrung der Rechte der Be- forderlich sind, sowie Daten, die im Hinblick troffenen obliegt dem Auftraggeber. Die In- auf die Einhaltung rechtlicher Aufbewah- formationspflicht nach Art. 28 Abs. 3 lit. h rungspflichten erforderlich sind. Satz 2 gilt bleibt unberührt. für besondere Kategorien von Daten nicht ohne eine weitere Vereinbarung, die der 6.2 Der Auftraggeber informiert den Auftragneh- Schrift- oder Textform bedarf. mer unverzüglich und vollständig, wenn er bei der Prüfung der Auftragsergebnisse 8.2 Nach Auftragsende muss der Auftragneh- oder Kontrollvorgängen Fehler oder Unre- mer alle Daten nach Wahl des Auftragge- gelmäßigkeiten bzgl. datenschutzrechtlicher bers entweder löschen oder herausgeben, Bestimmungen feststellt. sofern sich aus der Ausnahme nach Art. 28 Abs. 3 lit. a DS-GVO keine andere 6.3 Der Auftraggeber ist verpflichtet, alle im Pflicht für den Auftragnehmer ergibt. Das Rahmen des Vertragsverhältnisses erlang- Protokoll der Löschung ist auf Anforderung ten Kenntnisse von Betriebsgeheimnissen vorzulegen. und Datensicherheitsmaßnahmen des Auf- tragnehmers vertraulich zu behandeln. 8.3 Dokumentationen, die dem Nachweis der Diese Verpflichtung gilt über die Beendi- auftrags- und ordnungsgemäßen Datenver- gung des Hauptvertrages hinaus. arbeitung dienen, sind durch den Auftrag- nehmer entsprechend der jeweiligen Aufbe- wahrungsfristen über das Vertragsende hin- 7 Kontrollrechte des Auftraggebers aus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftrag- 7.1 Der Auftragnehmer stellt sicher, dass sich geber übergeben. der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach 8.4 Der Auftraggeber kann jederzeit, während Art. 28 DS-GVO überzeugen kann. der Laufzeit des Vertrages, die Berichti-

7.2 Der Auftraggeber hat das Recht, nach vor- heriger Anmeldung Überprüfungen – ein-

Seite 3 von 4

[Seite 4]

Bedingungen zur Auftragsverarbeitung (BedAV)

gung, Löschung, Verarbeitungseinschrän- 10 Haftung kung (Sperrung) und Herausgabe von Da- ten vom Auftragnehmer verlangen. 10.1 Auftraggeber und Auftragnehmer haften ge- genüber betroffenen Personen entspre- 9 Weitere Auftragsverarbeiter chend Art. 82 DS-GVO.

10.2 Weitergehende Haftungsansprüche nach 9.1 Der Auftragnehmer darf zur Auftragsausfüh- allgemeinen Gesetzen bleiben unberührt. rung weitere Auftragsverarbeiter nur nach vorheriger Zustimmung des Auftraggebers 11 Schlussbestimmungen in Schrift- oder Textform beauftragen. Er verpflichtet die von ihm beauftragten weite- ren Auftragsverarbeiter entsprechend. 11.1 Die Einrede des Zurückbehaltungsrechts, gleich aus welchem Rechtsgrund, an den 9.2 Im Hauptvertrag und den mit ihm geltenden vertragsgegenständlichen Daten sowie an Anlagen aufgeführte weitere Auftragsverar- evtl. vorhandenen Datenträgern ist ausge- beiter gelten als genehmigt. schlossen. 9.3 Der Auftragnehmer muss die weiteren Auf- 11.2 Mündliche Nebenabreden und Ergänzun- tragsverarbeiter unter besonderer Berück- gen zum Zeitpunkt des Vertragsschlusses sichtigung der Eignung hinsichtlich der Er- bestehen nicht. Nebenabreden, Änderun- füllung der zwischen Auftraggeber und Auf- gen oder Ergänzungen bedürfen zu ihrer tragnehmer vereinbarten technischen und Wirksamkeit der Schrift- oder Textform. Die organisatorischen Maßnahmen und der An- Aufhebung des Schriftformerfordernisses forderungen der DS-GVO im Rahmen der bedarf der Schriftform. Auftragsverarbeitung gewissenhaft auswäh- len. Unbeschadet der Zustimmung des Auf- 11.3 Sollten einzelne Bestimmungen dieser AV- traggebers hat der Auftragnehmer die Anfor- Bedingungen nicht rechtswirksam oder un- derungen des Art. 28 Abs. 4 DS-GVO einzu- durchführbar sein, gelten die übrigen Be- halten. stimmungen weiter. Die Vertragsparteien treten ggf. umgehend in die Abstimmung 9.4 Eine zustimmungspflichtige Inanspruch- und den Abschluss erforderlicher Anpas- nahme weiterer Auftragsverarbeiter liegt sungen ein. Die Auftragsverarbeitung erfolgt nicht vor, wenn der Auftragnehmer diese im bis zum Abschluss in einer Weise, die dem Rahmen einer Nebenleistung, die sich nicht Sinn und Zweck von Art. 28 DS-GVO ent- unmittelbar auf die Hauptleitung bezieht, be- spricht, sofern der Auftraggeber nicht eine auftragt, wie beispielsweise bei Post- und Unterbrechung der Verarbeitung bis zur Klä- Versanddienstleistungen, Reinigungs- rung anweist. dienste, Wachpersonal. Der Auftragnehmer hat durch vertragliche Regelungen hierbei 11.1 Bei etwaigen Widersprüchen gehen Rege- jedoch für die Gewährleistung der Sicherheit lungen dieser Anlage zum Auftragsverarbei- der Daten des Auftraggebers und des tung den Regelungen des Hauptvertrags Schutzes betroffener Personen zu sorgen. und seiner Anlagen vor.

9.5 Kommt ein von ihm beauftragter weiterer Auftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer ge- genüber dem Auftraggeber für die Einhal- tung der Pflichten dieses weiteren Auf- tragsverarbeiters.

Seite 4 von 4