[Seite 1]
Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DS-GVO
zwischen
dem Land Baden-Württemberg, vertreten durch das Ministerium für Umwelt, Klima und Energiewirtschaft Baden-Württemberg, Kernerplatz 9, 70182 Stuttgart, als Verantwortlicher (hier bezeichnet als „Auftraggeber“)
und
[Unternehmen Y, Name, Kontaktdetails] als Auftragsverarbeiter (hier bezeichnet als „Auftragnehmer“)
1. Präambel
Der Auftraggeber möchte den Auftragnehmer mit den in § 5.1 genannten Leistungen beauf- tragen. Teil der Vertragsdurchführung ist die Verarbeitung von personenbezogenen Daten. Insbesondere Art. 28 DS-GVO stellt bestimmte Anforderungen an eine solche Auftragsver- arbeitung. Zur Wahrung dieser Anforderungen schließen die Parteien die nachfolgende Ver- einbarung, deren Erfüllung nicht gesondert vergütet wird, sofern dies nicht ausdrücklich vereinbart ist.
2. Begriffsbestimmungen
In diesem Vertrag verwendete Begriffe, die in Art. 4, 9 und 10 DS-GVO definiert werden, sind im Sinne dieser gesetzlichen Definition zu verstehen.
3. Handlungsform
Die Verarbeitung personenbezogener Daten durch den AN erfolgt im Rahmen der Durch- führung der wissenschaftlichen Begleitung des ELY-Förderprogramms, insbesondere der in Los 1 und/oder Los 2 beschriebenen Leistungen.
[Seite 2]
Auftragsdatenverarbeitung nach Art. 28 Abs. 3 DS-GVO
Der AG ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Der AN verarbeitet personen- bezogene Daten ausschließlich als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO für den AG, in dessen Auftrag und nach dessen dokumentierter Weisung. Diese Regelungen zur Auftragsverarbeitung sind Bestandteil des Hauptvertrages und entfalten für AG und AN verbindliche Wirkung.
Soweit in der Leistungsbeschreibung, den Vertragsunterlagen oder sonstigen Bestandtei- len des Hauptvertrages bereits Anforderungen an die Verarbeitung personenbezogener Da- ten, an Datenschutz, Informationssicherheit, Vertraulichkeit oder den Umgang mit Projekt- daten geregelt sind, gelten diese ergänzend. Bei Widersprüchen gehen die spezielleren Re- gelungen dieses Abschnitts zur Auftragsverarbeitung vor, soweit sie datenschutzrechtlich erforderlich sind.
4. Schriftform
Diese Regelungen zur Auftragsverarbeitung werden als Bestandteil der Vergabe- und Ver- tragsunterlagen schriftlich bzw. in elektronischer Form dokumentiert. Weisungen des AGs an den AN bedürfen mindestens der Textform. Als Weisungen gelten insbesondere die Re- gelungen der Leistungsbeschreibung, etwaiger Anlagen sowie nachträgliche Weisungen des AGs in Textform.
Mündliche Weisungen sind nur in dringenden Ausnahmefällen zulässig und unverzüglich durch den AG in Textform zu bestätigen. Der AN hat Weisungen des AGs in geeigneter Weise zu dokumentieren.
5. Vertragsgegenstand
5.1. Gegenstand der Verarbeitung
Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten im Rahmen der Leistungserbringung über die wissenschaftliche Begleitung des ELY-Förderprogramms durch den AN für den AG in dessen Auftrag und nach dessen Weisung.
Die Verarbeitung betrifft insbesondere personenbezogene Kontaktdaten von zuständigen Ansprechpartnerinnen und Ansprechpartnern, Projektleitungen bzw. Projektmanagerinnen und Projektmanagern der Zuwendungsempfänger der im Rahmen des ELY-Förderpro- gramms geförderten Elektrolyseurprojekte. Diese Personen sind in den dem AG
Seite 2 von 14
[Seite 3]
Auftragsdatenverarbeitung nach Art. 28 Abs. 3 DS-GVO
vorliegenden Antrags- und Projektunterlagen benannt oder werden im Verlauf der Projek- tabwicklung durch den AG benannt.
Der AN verarbeitet diese Daten ausschließlich, soweit dies zur Durchführung der in Los 1 und/oder Los 2 beauftragten Leistungen erforderlich ist. Dies umfasst insbesondere die Kontaktaufnahme mit den zuständigen Ansprechpartnerinnen und Ansprechpartnern, das Einladungs- und Netzwerkmanagement, die organisatorische Abstimmung, die Durchfüh- rung von Befragungen, Interviews, Workshops oder sonstigen Formaten der wissenschaftli- chen Begleitung sowie die Kontaktaufnahme im Zusammenhang mit der Datenerhebung für Los 2.
5.2. Dauer der Verarbeitung
Die Dauer des Auftrages (Laufzeit) entspricht der Laufzeit des Hauptvertrags. Nach Ab- schluss der vertraglich vereinbarten Leistungen oder früher nach Aufforderung durch den AG hat der AN die personenbezogenen Daten nach Weisung des AGs zurückzugeben oder datenschutzgerecht zu löschen, sofern keine gesetzliche Aufbewahrungspflicht entgegen- steht. Die Verpflichtungen zur Rückgabe, Löschung und Dokumentation richten sich ergän- zend nach Ziffer 6.7 dieses Abschnitts.
5.3. Art und Zweck der Verarbeitung
Art und Zweck der Verarbeitung personenbezogener Daten durch den AN ergeben sich aus der Leistungsbeschreibung zur wissenschaftlichen Begleitung des ELY-Förderprogramms, insbesondere aus den dort beschriebenen Aufgaben zu Los 1 und Los 2 und insbesondere folgenden Zwecken:
– Kontaktaufnahme mit den für die Elektrolyseurprojekte zuständigen Ansprech- partnerinnen und Ansprechpartnern der Zuwendungsempfänger;
– organisatorische Abstimmung mit Projektverantwortlichen;
– Einladungsmanagement für Gespräche, Workshops, Termine, Befragungen oder sonstige projektbezogene Austauschformate;
– Vorbereitung, Durchführung und Nachbereitung von Erhebungen, Befragungen, Interviews oder sonstigen Formaten der Datenerhebung;
Seite 3 von 14
[Seite 4]
Auftragsdatenverarbeitung nach Art. 28 Abs. 3 DS-GVO
– Kontaktaufnahme und Abstimmung im Zusammenhang mit der Datenerhebung für Los 2;
– Dokumentation der Kommunikation, soweit dies für die Auftragserfüllung erforder- lich ist;
– Erstellung von Auswertungen, Berichten, Analysen und Empfehlungen im Rahmen der wissenschaftlichen Begleitung, soweit hierfür personenbezogene Kontaktda- ten erforderlich sind.
Die Verarbeitung umfasst insbesondere das Erheben, Erfassen, Speichern, Ordnen, Ausle- sen, Verwenden, Übermitteln innerhalb des beauftragten Projektteams, Abgleichen, Ein- schränken, Löschen und Vernichten personenbezogener Daten, soweit dies zur Auftragser- füllung erforderlich ist.
Eine Verarbeitung zu eigenen Zwecken des ANs oder zu Zwecken Dritter ist unzulässig. Eine Veröffentlichung personenbezogener Kontaktdaten in Berichten, Präsentationen oder sonstigen Arbeitsergebnissen ist nur zulässig, wenn der AG hierzu zuvor in Textform aus- drücklich angewiesen oder zugestimmt hat oder eine gesetzliche Verpflichtung besteht.
5.4. Standorte der Verarbeitung
Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in ei- nem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Ab- kommens über den Europäischen Wirtschaftsraum statt.
Der AN teilt dem AG vor Beginn der Verarbeitung die Standorte mit, an denen personenbe- zogene Daten gespeichert oder von denen aus personenbezogenen Daten verarbeitet oder abgerufen werden. Dies umfasst insbesondere Bürostandorte, Serverstandorte, Rechen- zentren, Cloud-Dienste sowie sonstige IT-Systeme, die für die Auftragserfüllung eingesetzt werden.
Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums ist nur mit vorheriger Zustimmung des AGs in Textform zu- lässig und setzt voraus, dass die Anforderungen der Art. 44 ff. DSGVO vollständig eingehal- ten werden.
Seite 4 von 14
[Seite 5]
Auftragsdatenverarbeitung nach Art. 28 Abs. 3 DS-GVO
5.5. Art der personenbezogenen Daten
Gegenstand der Verarbeitung sind folgende Arten bzw. Kategorien personenbezogener Da- ten:
– Vorname und Nachname;
– dienstliche Funktion bzw. Rolle im geförderten Elektrolyseurprojekt;
– Organisation, Unternehmen, Einrichtung;
– dienstliche Anschrift;
– dienstliche E-Mail-Adresse;
– Angaben zur Projektzuordnung, insbesondere Zuordnung zu einem geförderten Elektrolyseurprojekt;
– Kommunikationsdaten im Zusammenhang mit Terminabstimmungen, Einladun- gen, Rückmeldungen, Befragungen, Interviews, Workshops oder sonstigen Forma- ten der wissenschaftlichen Begleitung;
– gegebenenfalls weitere vom AG im Einzelfall übermittelte oder freigegebene pro- jektbezogene Kontaktdaten, soweit diese für die Durchführung des Auftrags erfor- derlich sind.
Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO sind nicht Ge- genstand der beauftragten Verarbeitung und dürfen vom AN nicht angefordert oder verar- beitet werden, es sei denn, der AG weist dies im Einzelfall ausdrücklich in Textform an und die datenschutzrechtlichen Voraussetzungen liegen vor.
5.6. Kategorien betroffener Personen
Die Verarbeitung betrifft folgende Kategorien betroffener Personen:
– zuständige Ansprechpartnerinnen und Ansprechpartner der Zuwendungsempfän- ger der im Rahmen des ELY-Förderprogramms geförderten Elektrolyseurprojekte;
– sonstige von den Zuwendungsempfängern oder vom AG benannte Kontaktperso- nen, soweit deren Einbindung für die wissenschaftliche Begleitung, die Kontakt- aufnahme, das Einladungsmanagement oder die Datenerhebung erforderlich ist.
Seite 5 von 14
[Seite 6]
Auftragsdatenverarbeitung nach Art. 28 Abs. 3 DS-GVO
5.7. Rechte und Pflichten des Verantwortlichen
Der AG ist für die Einhaltung der datenschutzrechtlichen Bestimmungen hinsichtlich der Verarbeitung personenbezogener Daten verantwortlich. Er ist insbesondere für die Recht- mäßigkeit der Datenverarbeitung, die Zulässigkeit der Datenübermittlung an den AN sowie die Wahrung der Rechte der betroffenen Personen verantwortlich.
Der AG ist berechtigt, dem AN Weisungen zur Verarbeitung der personenbezogenen Daten zu erteilen. Weisungen können insbesondere die Berichtigung, Löschung, Einschränkung, Sperrung, Rückgabe oder sonstige Behandlung der personenbezogenen Daten betreffen.
Der AG stellt dem AN nur solche personenbezogenen Daten zur Verfügung, die für die Durchführung des Auftrags erforderlich sind. Der AG ist berechtigt, Umfang und Erforder- lichkeit der Verarbeitung während der Vertragslaufzeit anzupassen.
5.8. Mittel der Verarbeitung
Der AN verarbeitet personenbezogene Daten mit geeigneten technischen und organisatori- schen Mitteln. Die konkrete technische Ausgestaltung der Verarbeitung obliegt dem AN, soweit der AG keine abweichenden Weisungen erteilt. Der AN hat dabei jederzeit ein dem Risiko angemessenes Schutzniveau im Sinne von Art. 32 DSGVO zu gewährleisten.
Der AN darf nur solche IT-Systeme, Anwendungen, Kommunikationsmittel, Speicherorte und Dienstleister einsetzen, die den Anforderungen der DSGVO und den Regelungen dieses Hauptvertrages entsprechen. Der Einsatz privater Endgeräte oder privater E-Mail-Konten zur Verarbeitung personenbezogener Daten aus diesem Auftrag ist unzulässig, sofern der AG dem nicht zuvor in Textform zugestimmt hat und ein angemessenes Schutzkonzept vor- liegt.
6. Weiterer zwingender Mindestinhalt der Auftragsverarbeitung
(Art. 28 Abs. 3 Satz 2 DSGVO)
6.1. Verarbeitung nur auf dokumentierte Weisung
Seite 6 von 14
[Seite 7]
Auftragsdatenverarbeitung nach Art. 28 Abs. 3 DS-GVO
Der AN verarbeitet personenbezogene Daten ausschließlich im Auftrag und im Rahmen des Hauptvertrags und nach dokumentierter Weisung des AGs. Für die Einhaltung der daten- schutzrechtlichen Bestimmungen liegt die Verantwortung beim AG.
Bei der Verarbeitung personenbezogener Daten ist der AN verpflichtet, ausschließlich den Weisungen des AGs zu folgen. Die Weisung bedarf der Textform. Außerhalb von Weisungen darf der AN die ihm zur Verarbeitung überlassenen Daten weder für eigene Zwecke noch für Zwecke Dritter verwenden, es sei denn, er ist durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem der AN unterliegt, hierzu verpflichtet. In diesem Fall teilt der AN dem AG diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Der AN hat nach Weisung des AGs personenbezogene Daten, die im Auftrag verarbeitet werden, zu berichtigen, zu löschen, zurückzugeben, zu sperren oder deren Verarbeitung einzuschränken. Sofern der AN der Auffassung ist, dass eine Weisung des AGs gegen gel- tende Datenschutzbestimmungen verstößt, hat er den AG unverzüglich in Textform darüber zu informieren.
6.2. Verpflichtung zur Vertraulichkeit bzw. Verschwiegenheit
Der AN gewährleistet die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 Satz 2 Buch- stabe b DSGVO. Er setzt bei der Durchführung der Arbeiten nur Personen ein, die auf Ver- traulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Daten- schutz vertraut gemacht worden sind.
Der AN und jede dem AN unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des AGs und ausschließ- lich im Rahmen der in diesem Vertrag eingeräumten Befugnisse verarbeiten, es sei denn, sie sind gesetzlich zur Verarbeitung verpflichtet.
Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung des Vertragsverhält- nisses fort.
6.3. Maßnahmen nach Art. 32 DSGVO
Der AN verpflichtet sich, alle Informationen und personenbezogenen Daten des AGs nach dem Stand der Technik wirksam gegen unberechtigten Zugriff, Veränderung, Zerstörung
Seite 7 von 14
[Seite 8]
Auftragsdatenverarbeitung nach Art. 28 Abs. 3 DS-GVO
oder Verlust, unerlaubte Übermittlung, anderweitige unerlaubte Verarbeitung und sonsti- gen Missbrauch zu sichern.
Der AN hat die Sicherheit der Verarbeitung gemäß Art. 28 Abs. 3 Satz 2 Buchstabe c und Art. 32 DSGVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemesse- nen Schutzniveaus hinsichtlich Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrschein- lichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen zu be- rücksichtigen.
Der AN hat insbesondere geeignete technische und organisatorische Maßnahmen zu tref- fen, darunter, soweit einschlägig:
– Zugriffsbeschränkung auf die für die Auftragsdurchführung eingesetzten Perso- nen;
– rollen- und berechtigungsbasierte Zugriffskonzepte;
– Schutz vor unbefugtem Zugriff auf IT-Systeme und Datenträger;
– verschlüsselte Übertragung personenbezogener Daten, soweit technisch möglich und dem Schutzbedarf angemessen;
– sichere Speicherung personenbezogener Daten;
– Trennung der für den Auftrag verarbeiteten Daten von anderen Datenbeständen;
– Protokollierung und Nachvollziehbarkeit relevanter Verarbeitungsvorgänge, so- weit erforderlich;
– Schutz vor Verlust, Veränderung oder unbeabsichtigter Löschung;
– Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirk- samkeit der technischen und organisatorischen Maßnahmen;
– datenschutzgerechte Löschung oder Rückgabe personenbezogener Daten nach Maßgabe dieses Vertrages.
Der AN hat dem AG vor Beginn der Verarbeitung ein Datenschutz- und Informationssicher- heitskonzept bzw. eine Übersicht der technischen und organisatorischen Maßnahmen
Seite 8 von 14
[Seite 9]
Auftragsdatenverarbeitung nach Art. 28 Abs. 3 DS-GVO
vorzulegen. Diese Unterlage wird nach Prüfung und Akzeptanz durch den AG Bestandteil des Vertrages.
Der AN ist verpflichtet, regelmäßig die internen Prozesse sowie die technischen und organi- satorischen Maßnahmen zu kontrollieren, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Daten- schutzrechts erfolgt und der Schutz der Rechte der betroffenen Personen gewährleistet ist.
Der AN informiert den AG über wesentliche Änderungen der technischen und organisatori- schen Maßnahmen in Textform. Bei einer absehbaren Minderung des Schutzniveaus ist vor der Änderung die Zustimmung des AGs in Textform einzuholen.
6.4. Unterbeauftragung
Der AN darf weitere Auftragsverarbeiter, Unterauftragnehmer, freie Mitarbeitende oder sonstige Dritte, die Zugriff auf personenbezogene Daten erhalten oder personenbezogene Daten im Rahmen dieses Auftrags verarbeiten, nur mit vorheriger Zustimmung des AGs in Textform einsetzen.
Die vertraglichen Vereinbarungen zwischen dem AN und einem Unterauftragnehmer sind durch den AN so zu gestalten, dass sie den Regelungen dieses Vertragsverhältnisses zwi- schen AG und AN entsprechen. Insbesondere hat der AN sicherzustellen, dass die Pflichten zur Weisungsgebundenheit, Vertraulichkeit, Datensicherheit, Unterstützung des AGs, Lö- schung bzw. Rückgabe sowie Kontroll- und Nachweismöglichkeiten auch gegenüber Unter- auftragnehmern gelten.
Der AN bleibt gegenüber dem AG für die Einhaltung der Pflichten des Unterauftragnehmers voll verantwortlich. Der AG ist berechtigt, vom AN Auskunft über den wesentlichen Inhalt der Unterbeauftragung und die Umsetzung der Verpflichtungen dieses Vertrages zu verlan- gen.
Eine Verarbeitung personenbezogener Daten durch Unterauftragnehmer außerhalb der Eu- ropäischen Union oder des Europäischen Wirtschaftsraums ist nur zulässig, wenn der AG zuvor in Textform zugestimmt hat und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
6.5. Unterstützung bei der Beantwortung von Anträgen betroffener Personen
Seite 9 von 14
[Seite 10]
Auftragsdatenverarbeitung nach Art. 28 Abs. 3 DS-GVO
Der Auftragsverarbeiter unterstützt den AG bei der Umsetzung der Rechte betroffener Per- sonen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch sowie Datenübertragbarkeit (Art. 12 – 22 DSGVO).
Soweit sich eine betroffene Person unmittelbar an den AN zwecks Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch oder Datenübertragbarkeit wen- den sollte, wird der AN dieses Ersuchen unverzüglich an den AG weiterleiten.
Der Auftragsverarbeiter darf personenbezogene Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig berichtigen, löschen, übertragen oder deren Verarbeitung einschrän- ken, sondern nur nach dokumentierter Weisung des AGs, es sei denn, er ist hierzu gesetz- lich verpflichtet.
6.6. Unterstützung bei Pflichten nach Art. 32 bis 36 DSGVO
Der Auftragsverarbeiter unterstützt den AG bei der Einhaltung der diesem nach der DSGVO obliegenden Pflichten, insbesondere der Pflichten nach Art. 32 bis 36 DSGVO zur Sicher- heit personenbezogener Daten, zu Meldepflichten bei Verletzungen des Schutzes perso- nenbezogener Daten, zu Datenschutz-Folgenabschätzungen und zu vorherigen Konsultati- onen.
Der Auftragsverarbeiter teilt dem AG die Kontaktdaten der für Datenschutz und Informati- onssicherheit zuständigen Ansprechperson mit. Soweit der AN gesetzlich zur Bestellung einer oder eines Datenschutzbeauftragten verpflichtet ist, teilt er dem AG die entsprechen- den Kontaktdaten mit. Ein Wechsel der zuständigen Ansprechperson oder der bzw. des Da- tenschutzbeauftragten ist dem AG unverzüglich mitzuteilen.
Der Auftragsverarbeiter stellt dem AG auf Anfrage die für die Erfüllung von Meldepflichten, die Führung eines Verzeichnisses von Verarbeitungstätigkeiten, die Durchführung einer Da- tenschutz-Folgenabschätzung sowie eine vorherige Konsultation mit der Aufsichtsbehörde notwendigen Informationen zur Verfügung.
Der Auftragsverarbeiter ist verpflichtet, Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden an den AG zu melden, damit dieser seine gesetz- lichen Meldepflichten, insbesondere die Meldung binnen 72 Stunden an die zuständige Aufsichtsbehörde, erfüllen kann. In Abstimmung mit dem AG sind unverzüglich alle erfor- derlichen Schritte zur Aufklärung des Sachverhalts einzuleiten und weitere Verletzungen des Schutzes personenbezogener Daten zu verhindern.
Seite 10 von 14
[Seite 11]
Auftragsdatenverarbeitung nach Art. 28 Abs. 3 DS-GVO
Der Auftragsverarbeiter informiert den AG unverzüglich über Kontrollhandlungen oder Maßnahmen einer Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeiten- oder Straf- verfahrens in Bezug auf die Verarbeitung personenbezogener Daten beim AN ermittelt.
6.7. Löschung oder Rückgabe nach Ende der Verarbeitungsleistung
Der AG kann jederzeit die Löschung oder Rückgabe der vertragsgegenständlichen perso- nenbezogenen Daten anweisen. Unabhängig hiervon ist der AN verpflichtet, dem AG auf Verlangen die personenbezogenen Daten in einem allgemein lesbaren und gängigen For- mat herauszugeben.
Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des AGs nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung eines ordnungsgemäßen Datenverarbeitungsvorgangs erforderlich sind, sowie Daten, deren Speicherung zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich ist.
Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den AG, spätestens jedoch mit Beendigung des Hauptvertrages, hat der AN sämtliche in seinen Besitz gelangten Unterlagen, Verarbeitungs- und Nutzungsergebnisse sowie Daten- bestände, die personenbezogene Daten aus dem Auftragsverhältnis enthalten, dem AG auszuhändigen oder nach vorheriger Zustimmung des AGs datenschutzgerecht zu löschen. Gleiches gilt für Test-, Sicherungs- und Ausschussmaterial, soweit keine gesetzlichen Auf- bewahrungspflichten entgegenstehen.
Im Fall der Löschung muss die Rekonstruktion der Daten ausgeschlossen sein. Der AN weist die vollständige Rückgabe oder Löschung der Daten, Vervielfältigungen und Spei- chermedien nach und bestätigt dies dem AG in Textform.
Sofern der AN aufgrund zwingender gesetzlicher Vorschriften die Löschung bestimmter personenbezogener Daten oder Datenkategorien nicht vornehmen darf, teilt er dies dem AG unverzüglich in Textform mit. Die weitere Verarbeitung dieser Daten ist in diesem Fall auf die gesetzlich erforderlichen Zwecke zu beschränken.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbei- tung dienen, sind durch den AN entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Der AN kann sie zu seiner Entlastung bei Ver- tragsende dem AG übergeben.
Seite 11 von 14
[Seite 12]
Auftragsdatenverarbeitung nach Art. 28 Abs. 3 DS-GVO
6.8. Zurverfügungstellung von Informationen und Ermöglichung von Überprüfungen
Der AG hat das Recht, die Einhaltung der Anforderungen dieses Abschnitts zur Auftragsver- arbeitung sowie der datenschutzrechtlichen Vorgaben zu kontrollieren und im Benehmen mit dem Auftragsverarbeiter Überprüfungen durchzuführen oder durch im Einzelfall zu be- nennende sachkundige Prüfer durchführen zu lassen.
Der AG hat das Recht, nach vorheriger Anmeldung die Umsetzung der vertraglichen Verein- barungen sowie die Angemessenheit der technischen und organisatorischen Maßnahmen zu überprüfen. Hierzu gewährt der Auftragsverarbeiter dem AG oder den benannten Prüfern die erforderlichen Auskünfte, Einsichtnahmen und Nachweise, soweit dies zur Prüfung der Auftragsverarbeitung erforderlich ist.
Der Auftragsverarbeiter ist verpflichtet, dem AG auf Anforderung alle erforderlichen Infor- mationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen und insbesondere die Umsetzung der technischen und organisatori- schen Maßnahmen nachzuweisen.
6.9. Haftung
Der Auftragsverarbeiter haftet gegenüber dem AG für Verstöße gegen die Regelungen zur Auftragsverarbeitung sowie für Verstöße gegen anwendbare Datenschutzvorschriften, so- weit diese auf ein schuldhaftes Verhalten des ANs, seiner Beschäftigten, eingesetzter Un- terauftragnehmer oder sonstiger von ihm eingesetzter Personen zurückzuführen sind.
Die gesetzlichen Haftungsregelungen, insbesondere nach Art. 82 DSGVO, bleiben unbe- rührt.
Seite 12 von 14
[Seite 13]
Auftragsdatenverarbeitung nach Art. 28 Abs. 3 DS-GVO
6.10. Außerordentliches Kündigungsrecht
Der Auftraggeber kann den Hauptvertrag fristlos ganz oder teilweise kündigen, wenn der Auftragnehmer seinen Pflichten aus diesem Vertrag nicht nachkommt, Bestimmungen der DS-GVO oder sonstige anwendbare Datenschutzvorschriften vorsätzlich oder grob fahrläs- sig verletzt oder eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer sich den Kontrollrechten des Auftraggebers auf vertragswidrige Weise wi- dersetzt. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DS-GVO abgeleiteten Pflichten stellt einen schweren Verstoß dar.
6.11. Beendigung des Hauptvertrags
Der Auftragnehmer wird dem Auftraggeber nach Beendigung des Hauptvertrags oder je- derzeit auf dessen Anforderung alle ihm überlassenen Unterlagen, Daten und Datenträger zurückgeben oder – auf Wunsch des Auftraggebers, sofern nicht nach dem Unionsrecht oder dem Recht der Bundesrepublik Deutschland eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht – löschen. Dies betrifft auch etwaige Datensicherungen beim Auftragnehmer. Der Auftragnehmer hat den dokumentierten Nachweis der ordnungs- gemäßen Löschung noch vorhandener Daten zu führen. Der Auftraggeber hat das Recht, die vollständige und vertragsgerechte Rückgabe bzw. Lö- schung der Daten beim Auftragnehmer in geeigneter Weise zu kontrollieren bzw. durch ei- nen sachkundigen Dritten prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhält- nis zum Auftragnehmer steht. Der Auftragnehmer ist verpflichtet, auch über das Ende des Hauptvertrags hinaus die ihm im Zusammenhang mit dem Hauptvertrag bekannt gewordenen Daten vertraulich zu be- handeln. Die vorliegende Vereinbarung bleibt über das Ende des Hauptvertrags hinaus so- lange gültig, wie der Auftragnehmer über personenbezogene Daten verfügt, die ihm vom Auftraggeber zugeleitet wurden oder die er für diesen erhoben hat.
7. Schlussbestimmungen
Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer i. S. d. § 273 BGB hinsichtlich der zu verarbeitenden Daten und der zu- gehörigen Datenträger ausgeschlossen ist. Änderungen und Ergänzungen dieser Vereinba- rung bedürfen der Schriftform oder eines dokumentierten elektronischen Formats. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Der Vorrang individueller Vertragsabreden bleibt hiervon unberührt. Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise nicht rechtswirk- sam oder nicht durchführbar sein oder werden, so wird hierdurch die Gültigkeit der jeweils
Seite 13 von 14
[Seite 14]
Auftragsdatenverarbeitung nach Art. 28 Abs. 3 DS-GVO
übrigen Bestimmungen nicht berührt. Diese Vereinbarung unterliegt deutschem Recht. Ausschließlicher Gerichtsstand ist Deutschland.
Für den Auftraggeber: Für den Auftragnehmer:
Vorname, Name Vorname, Name Funktion Funktion
Ort, Datum Ort, Datum,
rechtsverbindliche Unterschrift rechtsverbindliche Unterschrift
Seite 14 von 14