vereinbarung_auftragsverarbeitung.docx

Vereinbarung zur Auftragsverarbeitung

zwischen

Berliner Wasserbetriebe Anstalt öffentlichen Rechts

Neue Jüdenstraße 1

10179 Berlin

als Auftraggeberin

(nachfolgend „BWB“)

und

Hier klicken oder tippen, um Text einzugeben.

als Auftragnehmer

(nachfolgend „Auftragnehmer”)

Die BWB und der Auftragnehmer werden nachfolgend jeweils als “Partei” und zusammen als “Parteien” bezeichnet.

1. Präambel

Die BWB sind das größte städtische Wasserver- und Abwasserentsorgungsunternehmen in Deutschland. Sie nehmen die Wasserversorgung und die Abwasserentsorgung für Berlin wahr. Für die BWB finden die Vorschriften der Europäischen Datenschutz-Grundverordnung („DSGVO“), des Bundesdatenschutzgesetzes („BDSG“) und des Berliner Datenschutzgesetzes („BlnDSG“) Anwendung.

Der Auftragnehmer erbringt Leistungen gemäß Vergabeunterlagen EK-L_A-2026-0094.

Bei der Erbringung dieser Leistungen an die BWB verarbeitet der Auftragnehmer personenbezogene Daten, für die die BWB Verantwortliche gemäß Art. 4 Nr. 7 DSGVO sind. Für diese Verarbeitung beauftragen die BWB den Auftragnehmer als Auftragsverarbeiter gemäß Art. 28 und 29 DSGVO und den Regelungen dieser Vereinbarung zur Auftragsverarbeitung.

In dieser Vereinbarung zur Auftragsverarbeitung entsprechen die Begriffe „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“ und „Verarbeitung“ den Definitionen des Art. 4 DSGVO.

1. Gegenstand, Art der Daten, Art und Zweck der Verarbeitung, Betroffene
   1. Der Auftragnehmer übernimmt für die BWB die sich aus gemäß Vergabeunterlagen EK-L_A-2026-0094 ergebenden Aufgaben („Leistung“).
   2. Bei der Erbringung der Leistung verarbeitet der Auftragnehmer personenbezogene Daten, für die die BWB Verantwortliche gemäß Art. 4 Nr. 7 DSGVO sind („personenbezogene Daten“). Die Verarbeitung umfasst die in der Anlage 1 zu dieser Vereinbarung zur Auftragsverarbeitung aufgeführten Arten der personenbezogenen Daten, Arten und Zwecke der Verarbeitungen sowie Kategorien betroffener Personen.
2. Pflichten und Weisungen der BWB
   1. Die BWB bleiben die Verantwortliche gemäß Art. 4 Nr. 7 DSGVO. Als Verantwortliche sind die BWB verpflichtet sicherzustellen, dass die personenbezogenen Daten nach den Vorschriften der DSGVO, des BDSG und des BlnDSG verarbeitet und die Rechte der Betroffenen gewahrt werden.
   2. Die BWB sind berechtigt, dem Auftragnehmer Weisungen zur Verarbeitung der personenbezogenen Daten zu erteilen („Weisungen“); es sei denn, es liegt ein Fall des Art. 28 Abs. 3 Satz 2 lit. a DSGVO vor. Die BWB erteilen die Weisungen schriftlich oder in Textform (z. B. E-Mail). Mündlich erteilte Weisungen sollen die BWB schriftlich oder in Textform bestätigen.
   3. Die BWB werden den Auftragnehmer über Fehler und Verstöße gegen Datenschutzvorschriften, die sie in den Verarbeitungsergebnissen des Auftragnehmers entdecken, unverzüglich, nach Möglichkeit innerhalb von 24 Stunden nach Kenntniserlangung, informieren.
3. Pflichten des Auftragnehmers
   1. Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich für die in Ziffer 2.1 dieser Vereinbarung zur Auftragsverarbeitung genannten Zwecke bzw. zur Durchführung des in Ziffer 2.1. genannten Vertrages gemäß den Bestimmungen dieser Vereinbarung zur Auftragsverarbeitung und den Weisungen der BWB; es sei denn, der Auftragnehmer ist durch zwingendes Recht zu einer anderen Verarbeitung verpflichtet. Soweit durch zwingendes Recht nicht unbedingt erforderlich, wird der Auftragnehmer die personenbezogenen Daten nicht für eigene Zwecke verarbeiten.
   2. Ist der Auftragnehmer der Meinung, dass eine Weisung des Auftraggebers gegen das Unionsrecht oder dem Recht der Mitgliedstaaten verstößt, so teilt er dies der Auftraggeberin unverzüglich mit. In einem solchen Fall ist der Auftragnehmer berechtigt, die Umsetzung der Weisung solange auszusetzen, bis diese von der Auftraggeberin bestätigt oder abgeändert wurde.
   3. Der Auftragnehmer ist verpflichtet, einen betrieblichen Datenschutzbeauftragten zu bestellen, soweit dies gemäß Art. 37 DSGVO erforderlich ist. Unabhängig hiervon benennt der Auftragnehmer eine im Unternehmen für den Datenschutz verantwortliche Person. Die Kontaktdaten des betrieblichen Datenschutzbeauftragten / der für Datenschutz verantwortlichen Person werden den BWB bekanntgegeben.
   4. Die Verarbeitung der personenbezogenen Daten durch den Auftragnehmer und etwaige Unterauftragnehmer erfolgt ausschließlich auf dem Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum. Die Verarbeitung in einem anderen Staat (Drittland) bedarf der vorherigen schriftlichen Zustimmung durch die BWB. Die Zustimmung kann nur erteilt werden, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
   5. Der Auftragnehmer wird im Rahmen seiner Verantwortung seine interne Organisation so strukturieren, dass es den Anforderungen zum Schutz der personenbezogenen Daten gemäß Art. 32 DSGVO entspricht. Der Auftragnehmer ist verpflichtet, während der Laufzeit dieser Vereinbarung zur Auftragsverarbeitung geeignete technische und organisatorische Maßnahmen zu implementieren und zu erhalten, die einen angemessenen Schutz der personenbezogenen Daten vor Risiken durch - ob unbeabsichtigt oder unberechtigt - Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang oder Zugriff gewährleisten und dem aktuellen Stand der Technik entsprechen. Der Auftragnehmer ist insbesondere verpflichtet, die in der Anlage 2 zu dieser Vereinbarung zur Auftragsverarbeitung dokumentierten Maßnahmen vor Beginn der Verarbeitung umzusetzen. Der Auftragnehmer darf die dokumentierten Maßnahmen anpassen, soweit sichergestellt ist, dass durch die Anpassung der vereinbarte Standard nicht unterschritten wird. Wesentliche Anpassungen soll der Auftragnehmer vorher mit den BWB abstimmen.
   6. Der Auftragnehmer wird die BWB auf Verlangen kostenfrei durch Informationen und andere erforderliche Maßnahmen dabei unterstützen, die Pflichten der BWB zur Wahrung der Betroffenenrechte gemäß Art. 12 ff. DSGVO und §§ 23 ff. BlnDSG sowie die Pflichten gemäß Art. 32 bis 36 DSGVO zu erfüllen und das Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 1 DSGVO zu erstellen und zu führen. Auskünfte über personenbezogene Daten aus dem Auftragsverarbeitungsverhältnis an betroffene Personen oder Dritte darf der Auftragnehmer nur nach vorheriger Weisung oder Zustimmung der Auftraggeberin erteilen.
   7. Der Auftragnehmer ist verpflichtet sicherzustellen, dass alle Personen, die mit der Verarbeitung der personenbezogenen Daten betraut sind, gemäß Art. 28 Abs. 3 Satz 2 lit. b DSGVO zur Vertraulichkeit verpflichtet und über den Umgang mit personenbezogenen Daten Dritter belehrt wurden. Die Verpflichtung auf die Vertraulichkeit soll über das Ende der Arbeitsverhältnisse der betreffenden beschäftigten Personen des Auftragnehmers hinaus wirksam sein.
   8. Der Auftragnehmer ist auf Verlangen der BWB zu jeder Zeit verpflichtet, Daten, die im Rahmen dieser Vereinbarung zur Auftragsverarbeitung verarbeitet werden sowie dazu gehörige Datenträger und andere relevante Unterlagen an die BWB herauszugeben und / oder zu löschen oder zu sperren bzw. zu vernichten, soweit dem Verlangen keine Aufbewahrungspflichten des Auftragnehmers entgegenstehen.
   9. Der Auftragnehmer ist verpflichtet, die BWB unverzüglich, nach Möglichkeit innerhalb von 24 Stunden nach Kenntniserlangung, über Unregelmäßigkeiten in der Verarbeitung der personenbezogenen Daten zu informieren, insbesondere - aber nicht beschränkt auf - über Verstöße des Auftragnehmers oder der bei ihr beschäftigten Personen gegen Datenschutzvorschriften sowie über die Unmöglichkeit, die personenbezogenen Daten nach den Bestimmungen dieser Vereinbarung zur Auftragsverarbeitung oder den Weisungen der BWB zu verarbeiten. Der Auftragnehmer ist verpflichtet, soweit dies gesetzlich zulässig ist, den BWB Anfragen, Benachrichtigungen und andere Kommunikation nationaler Datenschutzbehörden oder anderer Verwaltungsbehörden, die personenbezogene Daten betreffen, weiterzuleiten.
   10. Der Auftragnehmer ist verpflichtet, der Auftraggeberin alle erforderlichen Informationen zum Nachweis der Einhaltung der in dieser Vereinbarung niedergelegten Pflichten zur Verfügung zu stellen.
   11. Der Auftragnehmer ist im Übrigen verpflichtet, alle für ihn als Auftragsverarbeiter geltenden Datenschutzvorschriften, insbesondere die Art. 28 und 29 DSGVO einzuhalten.
4. Kontrollpflichten
   1. Die BWB sind berechtigt, vor dem Beginn der Verarbeitung durch den Auftragnehmer und anschließend in regelmäßigen Abständen, mindestens einmal jährlich, die technischen und organisatorischen Maßnahmen des Auftragnehmers zu kontrollieren und die Ergebnisse der Kontrollen zu dokumentieren. Darüber hinaus sind die BWB berechtigt, jederzeit bei Unregelmäßigkeiten in der Verarbeitung des Auftragnehmers, insbesondere bei Verstößen gegen Datenschutzvorschriften oder nach Beschwerden von betroffenen Personen, Kontrollen durchzuführen. Die BWB können im Rahmen der Kontrollen insbesondere folgende Maßnahmen ergreifen:
5. Informationen der Auftragnehmer anfordern und / oder
6. Gutachten oder Zertifikate unabhängiger anerkannter Sachverständiger des Auftragnehmers anfordern und / oder
7. die Geschäftsräume des Auftragnehmers selbst oder durch fachkundige Dritte mit Ausnahme von Wettbewerbern des Auftragnehmers besichtigen.
   1. Der Auftragnehmer ist verpflichtet, auf eigene Kosten den BWB nach schriftlichem Verlangen innerhalb eines angemessenen Zeitraums alle Informationen, Dokumente und Nachweise, die für die Kontrollen erforderlich sind, zu übermitteln.
8. Unterauftragnehmer
   1. Der Auftragnehmer darf Unterauftragnehmer nur nach vorheriger schriftlicher Zustimmung der BWB mit der Erbringung von Leistungen, die Gegenstand dieser Vereinbarung zur Auftragsverarbeitung sind, beauftragen.
   2. Der Auftragnehmer ist verpflichtet, in den Vertrag mit dem Unterauftragnehmer Regelungen aufzunehmen, durch die sichergestellt wird, dass der Unterauftragnehmer seine Leistungen nach den Regelungen dieser Vereinbarung zur Auftragsverarbeitung, den Weisungen der BWB und den gesetzlichen Vorschriften erbringt. Den BWB sind direkte Kontrollrechte bei dem Unterauftragnehmer einzuräumen.
   3. Die BWB erteilen ihre Zustimmung zu der Beauftragung der folgenden Unterauftragnehmer des Auftragnehmers:
9. Unterauftragnehmer nennen (konkret, vollständig, mit Anschrift und stichwortartiger Beschreibung ihrer Aufgaben),
10. Unterauftragnehmer nennen (konkret, vollständig, mit Anschrift und stichwortartiger Beschreibung ihrer Aufgaben).
11. Haftung und Freistellung
    1. Die Parteien haften gegenüber einer Person, der wegen eines Verstoßes gegen die anwendbaren Datenschutzvorschriften ein materieller oder immaterieller Schaden entstanden ist, nach den anwendbaren Datenschutzvorschriften. Danach haftet der Auftragnehmer für den Schaden, soweit er seinen Pflichten als Auftragsverarbeiter aus dieser Vereinbarung zur Auftragsverarbeitung oder den Vorschriften der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Weisungen von den BWB oder gegen diese Weisungen gehandelt hat.
    2. Sofern eine Partei als Gesamtschuldner gemäß Art. 82 Abs. 4 DSGVO auf Schadensersatz in Anspruch genommen wird, ist die jeweils andere Partei verpflichtet, den in Anspruch genommenen von Schadensersatzansprüchen für Schäden, die durch ihn verursacht wurden, freizustellen.
12. Ansprechpartner
    1. Die Parteien benennen für alle Informationen, Benachrichtigungen, Anfragen, Aufforderungen und andere Kommunikation folgende allgemeine Ansprechpartner:in:

für die BWB: Marlies Bergemann, Mail: marlies.bergemann@bwb.de,

für den Auftragnehmer: Name und Kontaktdaten eintragen ,

für den Auftragnehmer zum Thema Datenschutz: Name und Kontaktdaten eintragen.

• 1. Jede Partei ist berechtigt, die von ihr benannte Person zu ersetzen. Über jede Ersetzung informieren sich die Parteien unverzüglich. Bis zur Information über die Ersetzung gelten die bisherigen Ansprechpartner der anderen Partei als zur Abgabe und Entgegennahme sämtlicher diese Vereinbarung zur Auftragsverarbeitung betreffenden Erklärungen bevollmächtigt.

1. Beginn, Laufzeit und Beendigung
   1. Diese Vereinbarung zur Auftragsverarbeitung beginnt mit Vertragsbeginn und endet mit der vollständigen Abwicklung.
   2. Jede Partei kann diese Vereinbarung ordentlich mit einer Frist von einem Monat zum Monatsende kündigen. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.
   3. Kündigungen bedürfen zu ihrer Wirksamkeit der Schriftform.
   4. Bei der Beendigung dieser Vereinbarung zur Auftragsverarbeitung sind der Auftragnehmer und seine etwaigen Unterauftragnehmer verpflichtet, auf Verlangen der BWB alle personenbezogenen Daten sowie die dazu gehörigen Datenträger und Dokumente herauszugeben und / oder diese zu löschen bzw. zu vernichten. Die Herausgabe, Löschung und Vernichtung sind von dem Auftragnehmer zu dokumentieren und das Protokoll an die BWB zu übergeben. Dem Auftragnehmer steht kein Zurückbehaltungsrecht zu.
2. Benachrichtigungspflichten, Vorrangregelung, Schriftform, Salvatorische Klausel
   1. In dem Fall, dass die personenbezogenen Daten Gegenstand einer Durchsuchung, Pfändung oder Beschlagnahme während einer Insolvenz oder aus anderem Anlass oder aufgrund der Maßnahmen Dritter werden, während sie sich im Herrschaftsbereich des Auftragnehmers befinden, ist der Auftragnehmer verpflichtet, die BWB unverzüglich über die Pfändung, Beschlagnahme oder sonstige Maßnahme zu informieren. Der Auftragnehmer ist ferner verpflichtet, alle befugten Personen in diesen Verfahren darüber zu informieren, dass die BWB die Verantwortliche gemäß Art. 4 Nr. 7 DSGVO für diese Daten sind.
   2. Diese Vereinbarung zur Auftragsverarbeitung enthält gegenüber gemäß Vergabeunterlagen EK-L_A-2026-0094 besondere Bestimmungen zur Verarbeitung personenbezogener Daten. Sofern die Regelungen zur Verarbeitung der personenbezogenen Daten gemäß Vergabeunterlagen EK-L_A-2026-0094 von den Regelungen dieser Vereinbarung zur Auftragsverarbeitung abweichen sollten, gelten vorrangig die Regelungen dieser Vereinbarung zur Auftragsverarbeitung.
   3. Alle Änderungen dieser Vereinbarung zur Auftragsverarbeitung bedürfen der Schriftform. Das gilt auch für eine etwaige Abbedingung des Schriftformerfordernisses.
   4. Für den Fall, dass einzelne Bestimmungen dieser Vereinbarung zur Auftragsverarbeitung ganz oder teilweise unwirksam oder undurchführbar sind oder werden, oder für den Fall, dass diese Vereinbarung zur Auftragsverarbeitung unbeabsichtigte Lücken enthält, wird dadurch die Wirksamkeit der übrigen Bestimmungen dieser Vereinbarung zur Auftragsverarbeitung nicht berührt. Anstelle der unwirksamen, undurchführbaren oder fehlenden Bestimmung werden die Parteien eine solche wirksame und durchführbare Bestimmung schriftlich vereinbaren, wie sie die Parteien unter Berücksichtigung des wirtschaftlichen Zwecks dieser Vereinbarung zur Auftragsverarbeitung vereinbart hätten, wenn ihnen beim Abschluss dieser Vereinbarung zur Auftragsverarbeitung die Unwirksamkeit, Undurchführbarkeit oder das Fehlen der betreffenden Bestimmung bewusst gewesen wäre.

Anlage 1

Anlage 2

Technisch-organisatorische Maßnahmen

Hier klicken oder tippen, um Text einzugeben.