Standard - Vertrag AV Auftragsverarbeiter IT.NRW als AG inkl. Anlagen.dotx

Vertrag zur Auftragsverarbeitung gemäß Art. 28 der Europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, hier: DS-GVO) zur Vereinbarung / Leistungsbeziehung – Nr. Nummer des Vertrags / des Angebots / der Vergabe eingeben.Namen des Vertrags / des Angebots / der Vergabe eingeben

Zwischen dem Auftraggeber

Landesbetrieb Information und Technik Nordrhein-Westfalen (IT.NRW)

Mauerstraße 51

40476 Düsseldorf

– nachfolgend Auftragsverarbeiter genannt –

und

dem Auftragnehmer

Bezeichnung Auftragnehmer Straße Nummer PLZ Ort

– nachfolgend Unterauftragsverarbeiter genannt –

1. Gegenstand und Dauer des Auftrags
   1. Dieser Vertrag regelt die Verarbeitung (Art. 4 Nr. 2 DS-GVO) personenbezogener Daten (Art. 4 Nr. 1 DS-GVO, im Folgenden: Daten) durch den Unterauftragsverarbeiter im Auftrag des Auftragsverarbeiters.
   2. Art und Zweck der Datenverarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen sind in den Anlagen (siehe Anlagenverzeichnis) zum Vertrag zur Auftragsverarbeitung bestimmt.
   3. Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Auftragsverarbeiters bzw. des Verantwortlichen in Schriftform oder dokumentiertem elektronischem Format und erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.
   4. Die Dauer der Datenverarbeitung ergibt sich, sofern keine anderen Regelungen getroffen werden, aus dem oben bezeichneten Vertrag zur Leistungserbringung.
2. Verantwortlichkeit
   1. Auftragsverarbeiter und Unterauftragsverarbeiter unterstützen sich gegenseitig beim Nachweis und der Dokumentation der Einhaltung der ihnen jeweils obliegenden datenschutzrechtlichen Verpflichtungen.
   2. Der Verantwortliche ist allein verantwortlich für die Beantwortung von Anträgen auf Wahrnehmung der Rechte der Betroffenen i.S.v. Art. 12 bis 22 DS-GVO. Der Unterauftragsverarbeiter ist insoweit gemäß Art. 28 Abs. 3 Satz 2 lit. e) DS-GVO zur Unterstützung verpflichtet. Entsprechende Anträge sind dem Auftragsverarbeiter unverzüglich zuzuleiten.
3. Rechte und Pflichten sowie Weisungsbefugnisse des Auftragsverarbeiters
   1. Der Auftragsverarbeiter hat hinsichtlich der Datenverarbeitung ein umfassendes Weisungsrecht im Rahmen der gesetzlichen und vertraglichen Regelungen. Insbesondere kann der Auftragsverarbeiter jederzeit die Herausgabe, Berichtigung, Anpassung, Löschung und Einschränkung der Verarbeitung der Daten verlangen. Weisungen werden in schriftlicher Form oder in einem elektronischen Format erteilt, ergänzt oder geändert. Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen. Die Parteien verständigen sich darüber, welche Personen bzw. Organisationseinheiten auf Seiten des Auftragsverarbeiter zur Weisung befugt sind und welche Personen bzw. Organisationseinheiten auf Seiten des Unterauftragsverarbeiters als Weisungsempfänger fungieren. Die Parteien teilen einander die erforderlichen Kontaktdaten sowie etwaige Änderungen der weisungsberechtigten bzw. die Weisung empfangenden Personen bzw. Organisationseinheiten mit.
   2. Änderungen des Verarbeitungsgegenstands und Verfahrensänderungen sind zwischen den Parteien abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.
   3. Der Auftragsverarbeiter informiert den Unterauftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten hinsichtlich der Einhaltung datenschutzrechtlicher Bestimmungen bei der Datenverarbeitung durch den Unterauftragsverarbeiter feststellt.
   4. Der Auftragsverarbeiter ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse der Datensicherheitsmaßnahmen des Unterauftragsverarbeiters vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen. Rechtliche Verpflichtungen wie die Auskunftspflicht gegenüber der Datenschutzaufsichtsbehörde gehen vor.
   5. Der Auftragsverarbeiter führt das Verarbeitungsverzeichnis nach Artikel 30 Absatz 2 DS‑GVO.
4. Rechte und Pflichten des Unterauftragsverarbeiters
   1. Der Unterauftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen des getroffenen Vertrags und gemäß den Weisungen des Auftragsverarbeiters, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Unterauftragsverarbeiter unterliegt, zu einer anderen Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Unterauftragsverarbeiter dem Auftragsverarbeiter diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a) DS-GVO).
   2. Ist der Unterauftragsverarbeiter der Auffassung, eine Weisung verstoße gegen die DS‑GVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten, informiert er den Auftragsverarbeiter unverzüglich. In diesem Fall darf der Unterauftragsverarbeiter die Umsetzung der Weisung solange aussetzen, bis der Auftragsverarbeiter die Weisung bestätigt oder abändert.
   3. Der Unterauftragsverarbeiter verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Auftragsverarbeiter nicht erstellt.
   4. Der Unterauftragsverarbeiter ergreift alle gemäß Art. 32 DS-GVO erforderlichen Maßnahmen. Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Der Unterauftragsverarbeiter hat technische und organisatorische Maßnahmen zu treffen, die insbesondere die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen und welche die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsergebnissen ermöglichen. Die in den Anlagen aufgeführten generischen und verfahrensspezifischen technischen und organisatorischen Maßnahmen sind Bestandteil des Auftrags. Soweit eine Prüfung oder ein Audit des Auftragsverarbeiter oder des Verantwortlichen diesbezüglich einen Anpassungsbedarf ergibt, muss der Unterauftragsverarbeiter die Anpassungen mit dem Auftragsverarbeiter in dokumentierter Form (schriftlich oder elektronisch) abstimmen und nach Weisung des Auftragsverarbeiter umsetzen. Die technisch-organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Unterauftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei wird das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten. Wesentliche Änderungen der technischen und organisatorischen Maßnahmen sind vom Unterauftragsverarbeiter in dokumentierter Form (schriftlich oder elektronisch) mit dem Auftragsverarbeiter abzustimmen und weisungsgemäß umzusetzen.
   5. Der Unterauftragsverarbeiter setzt ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verfahren ein.
   6. Der Unterauftragsverarbeiter gewährleistet, dass die Daten von sonstigen Datenbeständen technisch bzw. logisch getrennt werden. Von diesem Erfordernis ausgenommen sind gemeinsam genutzte Infrastrukturkomponenten (wie Proxy-Server oder Firewalls), die nur dem Transport der Daten dienen.
   7. Der Unterauftragsverarbeiter teilt dem Auftragsverarbeiter unverzüglich Störungen, Verstöße des Unterauftragsverarbeiters oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten nach Art. 33 und Art. 34 DS-GVO. Der Unterauftragsverarbeiter sichert zu, bei der Einhaltung der Pflichten nach Art. 33 und 34 DS-GVO zu unterstützen. Meldungen bzw. Benachrichtigungen nach Art. 33 oder 34 DS-GVO darf der Unterauftragsverarbeiter nur nach vorheriger Weisung des Auftragsverarbeiter durchführen.
   8. Der Unterauftragsverarbeiter gewährleistet, dass sich alle von ihm bei der Auftragsverarbeitung eingesetzten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht zur Vertraulichkeit und Verschwiegenheit besteht auch nach Beendigung des Auftrages fort.
   9. Der Unterauftragsverarbeiter unterstützt bei der Erfüllung der Rechte betroffener Personen gemäß Art. 12 bis 22 DS-GVO sowie bei der Einhaltung der in den Art. 32 bis 36 DS-GVO genannten Pflichten (Art. 28 Abs. 3 Satz 2 lit. e) und f) DS-GVO). Wendet sich eine betroffene Person mit einem Antrag gemäß Art. 12 bis 22 DS-GVO unmittelbar an den Unterauftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Auftragsverarbeiter weiter und verweist die betroffene Person an diesen.
   10. Der Unterauftragsverarbeiter darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftragsverarbeiter berichtigen, löschen oder deren Verarbeitung einschränken.
   11. Der Unterauftragsverarbeiter unterstützt den Auftragsverarbeiter bei der Erstellung des Verzeichnisses von Verarbeitungstätigkeiten. Er führt das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 Absatz 2 DSGVO.
5. Kontrollrechte des Auftragsverarbeiters und des Verantwortlichen
   1. Der Auftragsverarbeiter und der Verantwortliche sind berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Regelungen selbst oder durch von ihnen beauftragte Dritte zu kontrollieren bzw. kontrollieren zu lassen, insbesondere durch die Einholung von Auskünften, durch Einsichtnahme in die gespeicherten Daten und Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h) DS-GVO). Die Berechtigten vereinbaren hierzu einen Termin, sofern die Kontrolle nicht ausnahmsweise sofort erforderlich ist.
   2. Der Unterauftragsverarbeiter ist verpflichtet, die Überprüfungen und Inspektionen zu ermöglichen und dazu beizutragen. Er verpflichtet sich, den gemäß Absatz 1 Berechtigten, auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.
   3. Der Nachweis der Einhaltung der dem Unterauftragsverarbeiter gemäß Art. 28 Abs. 3 Satz 2 lit. h) DS-GVO obliegenden Pflichten kann unter anderem erfolgen durch
      1. die Einhaltung genehmigter Verhaltensregeln (Artikel 40 DS-GVO),
      2. die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Artikel 42 DS-GVO,
      3. aktuelle Testate oder Berichte unabhängiger Bereiche wie z.B. Revision, Datenschutzbeauftragter, IT-Sicherheitsbeauftragter oder durch,
      4. eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit z.B. nach BSI-Grundschutz,
      5. die Vorlage der maßgeblichen Teile des Verzeichnisses von Verarbeitungstätigkeiten des Unterauftragsverarbeiters.
   4. Der Unterauftragsverarbeiter sollte alle Informationen darüber bereitstellen, wie die Verarbeitungstätigkeit im Auftrag des Auftragsverarbeiter durchgeführt wird, etwa Informationen zur Funktionsweise der verwendeten Systeme, Sicherheitsmaßnahmen, Gewährleistung der Speicher-/ Aufbewahrungspflichten, Speicherort der Daten, Datenübermittlungen, Personen, die Zugriff auf die Daten haben, Empfänger der Daten, eingesetzte weitere Unterauftragsverarbeiter usw.
   5. Sollte eine Datenschutzaufsichtsbehörde oder eine sonstige hoheitliche Aufsichtsbehörde des Auftragsverarbeiter eine Kontrolle vornehmen, gelten die Absätze 1 bis 3 entsprechend. Der Unterauftragsverarbeiter informiert den Auftragsverarbeiter unverzüglich über Kontrollen und Maßnahmen von Datenschutzaufsichtsbehörden, auch wenn sie sich nicht unmittelbar auf diesen Auftragsgegenstand beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Unterauftragsverarbeiter ermittelt.
6. Unterauftragsverhältnisse
   1. Die Beauftragung von Subunternehmern als weitere Unterauftragsverarbeiter (Art. 28 Abs. 2 DS-GVO) ist nur zulässig, wenn der Auftragsverarbeiter dies zuvor schriftlich genehmigt hat. Eine genehmigungsbedürftige Beauftragung eines Subunternehmers liegt vor, wenn dieser mit der ganzen oder einer Teilleistung der im Vertrag vereinbarten Leistung beauftragt wird.

Die Genehmigung kann nur erteilt werden, wenn der Unterauftragsverarbeiter dem Auftragsverarbeiter Namen und Anschrift sowie die vorgesehene Tätigkeit des Subunternehmers mitteilt.

Der Unterauftragsverarbeiter muss dafür Sorge tragen, dass er den Subunternehmer unter besonderer Berücksichtigung der Eignung der von diesem getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DS-GVO sorgfältig auswählt. Die relevanten Prüfunterlagen dazu sind dem Auftragsverarbeiter auf Anfrage zur Verfügung zu stellen.

• 1. Eine Beauftragung von Subunternehmern in Drittstaaten darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).
  2. Der Unterauftragsverarbeiter hat vertraglich sicherzustellen, dass die vereinbarten Datenschutzpflichten zwischen Auftragsverarbeiter und Unterauftragsverarbeiter auch gegenüber Subunternehmern gelten (Art. 28 Abs. 4 DS-GVO). In dem Vertrag mit dem Subunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Unterauftragsverarbeiters und des Subunternehmers deutlich voneinander abgegrenzt werden. Werden mehrere Subunternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Subunternehmern.
  3. Der Unterauftragsverarbeiter hat in dem Vertrag mit dem Subunternehmer sicherzustellen, dass der Auftragsverarbeiter die gleichen Kontrollrechte hat wie nach dem vorliegenden Vertrag. Insbesondere muss der Auftragsverarbeiter berechtigt sein, im Bedarfsfall angemessene Überprüfungen und Inspektionen, auch vor Ort, bei Subunternehmern durchzuführen oder durch von ihm beauftragte Dritte durchführen zu lassen.
  4. Die Weiterleitung von Daten an den Subunternehmer ist erst zulässig, wenn dieser die Verpflichtungen nach Artikel 29 und Artikel 32 Absatz 4 DS-GVO bezüglich seiner Beschäftigten erfüllt hat. Der Unterauftragsverarbeiter hat die Einhaltung der Pflichten des Subunternehmers zu überprüfen. Das Ergebnis der Überprüfung ist zu dokumentieren und dem Auftragsverarbeiter auf Verlangen zugänglich zu machen.
  5. Der Vertrag zwischen Unterauftragsverarbeiter und Subunternehmer muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 4 und Abs. 9 DS-GVO).
  6. Der Unterauftragsverarbeiter haftet gegenüber dem Auftragsverarbeiter für die Einhaltung der Pflichten des Subunternehmers.

1. Löschen oder Rückgabe von personenbezogenen Daten
   1. Überlassene Daten(-sätze) und Datenträger verbleiben im Eigentum des Auftragsverarbeiter bzw. des Verantwortlichen.
   2. Nach Abschluss der Erbringung der Verarbeitungsleistungen hat der Unterauftragsverarbeiter Daten, Datenträger sowie sämtliche sonstigen Materialien nach Wahl des Auftragsverarbeiters entweder zu löschen oder zurückzugeben und die vorhandenen Kopien zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Im Fall von Test- und Ausschussmaterialien ist eine Einzelbeauftragung nicht erforderlich. Das Protokoll der Löschung oder Vernichtung ist dem Unterauftragsverarbeiter mit Datumsangabe schriftlich oder in elektronischer Form vorzulegen.
2. Schlussbestimmungen

Änderungen oder Ergänzungen dieses Vertrags bedürfen der Schriftform. Datenschutzrechtliche Regelungen, die vor Abschluss dieses Vertrags zwischen den Parteien vereinbart worden sind, werden mit Unterzeichnung dieses Vertrages gegenstandslos. Der Unterauftragsverarbeiter ist verpflichtet, auch über das Ende des Hauptvertrags hinaus, die ihm im Zusammenhang mit dem Hauptvertrag bekannt gewordenen Daten vertraulich zu behandeln. Der vorliegende Vertrag bleibt über das Ende des Hauptvertrags hinaus solange gültig, wie der Unterauftragsverarbeiter über personenbezogene Daten verfügt, die ihm vom Auftragsverarbeiter zugeleitet wurden oder die er für diesen erhoben hat.

Anlagenverzeichnis:

Unterschrift Unterschrift

Für den Auftragsverarbeiter Für den Unterauftragsverarbeiter

Anlage 1

„Gegenstand des Auftrags“ zum Vertrag zur Auftragsverarbeitung gemäß Art. 28 der Europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, hier: DS-GVO) zur Vertrags- / Leistungsbeziehung – Nr. Nummer des Vertrags / des Angebots / der Vergabe eingeben.Namen des Vertrags / des Angebots / der Vergabe eingeben

Zwischen dem Auftraggeber

Landesbetrieb Information und Technik Nordrhein-Westfalen (IT.NRW)

Mauerstraße 51

40476 Düsseldorf

– nachfolgend Auftragsverarbeiter genannt –

und

dem Auftragnehmer

Bezeichnung Auftragnehmer Straße Nummer PLZ Ort

– nachfolgend Unterauftragsverarbeiter genannt –

Dieses Dokument ist eine Anlage zum Vertrag zur Auftragsverarbeitung gemäß Art. 28 DS-GVO, der den zwischen Unterauftragsverarbeiter und Auftragsverarbeiter geschlossene Vertrag Nr. Nummer des Vertrags / des Angebots / der Vergabe eingeben., ergänzt.

Leistungsbezeichnung:

Zu § 1 Gegenstand des Auftrags

Der Gegenstand des Auftrags wird wie folgt konkretisiert:

(1) Art der Verarbeitung (Art. 4 Nr. 2 DS-GVO)

(2) Zweck der Verarbeitung

(3) Art der Daten

Gegenstand der Verarbeitung sind folgende Arten personenbezogener Daten:

(4) Kategorien betroffener Personen

Von der Datenverarbeitung umfasst sind folgende Kategorien betroffener Personen:

Anlage 2

„Weisungsberechtigte und Weisungsempfänger, Datenschutzbeauftragte“ zum Vertrag zur Auftragsverarbeitung gemäß Art. 28 der Europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, hier: DS-GVO) zur Vertrags- / Leistungsbeziehung – Nr. Nummer des Vertrags / des Angebots / der Vergabe eingeben.Namen des Vertrags / des Angebots / der Vergabe eingeben

Zwischen dem Auftraggeber

Landesbetrieb Information und Technik Nordrhein-Westfalen (IT.NRW)

Mauerstraße 51

40476 Düsseldorf

– nachfolgend Auftragsverarbeiter genannt –

und

dem Auftragnehmer

Bezeichnung Auftragnehmer Straße Nummer PLZ Ort

– nachfolgend Unterauftragsverarbeiter genannt –

1. Weisungsberechtigte Personen des Auftragsverarbeiter gem. § 3 Absatz 1 AVV:

1. Weisungsempfangende Personen des Unterauftragsverarbeiters gem. § 3 Absatz 3 AVV:

Bitte ServiceAuftragsverarbeiter mit dem VVP abgleichen! Text bitte nach Bearbeitung Löschen.

1. Behördliche(r) Datenschutzbeauftrage(r) des Auftragsverarbeiter

Name: Frau Andrea Kames

Telefon: +49(0)211 9449-01

E-Mail: Datenschutzbeauftragte@it.nrw.de

1. Datenschutzbeauftrage(r) des Unterauftragsverarbeiters

Anlage 3

Technische und organisatorische Maßnahmen bei der Datenverarbeitung im Auftrag

Vertragsnummer: Vertragsnummer

Stellen, die selbst oder im Auftrag personenbezogene Daten verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Einhaltung der datenschutzrechtlichen Vorschriften zu gewährleisten. Dabei ist ein angemessenes Verhältnis zwischen erforderlichem Aufwand und angestrebtem Schutzzweck zu wahren.

Der Unterauftragsverarbeiter erfüllt diese Vorgabe durch folgende Maßnahmen:

1. Vertraulichkeit, Art. 32 Abs. 1 DSGVO

Zutrittskontrolle

Hierzu zählen Maßnahmen, die Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, verwehren.

Beschreibung der Zutrittskontrollen durch den Auftragsverarbeiter

Zugangskontrolle

Hierzu zählen Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme durch Unbefugte genutzt werden können.

Beschreibung der Zugangskontrollen durch den Auftragsverarbeiter

Zugriffskontrolle

Hierzu zählen Maßnahmen, durch die gewährleistet wird, dass berechtigte Nutzer/-innen ausschließlich im Rahmen ihrer Berechtigung auf Daten zugreifen. Es wird verhindert, dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Beschreibung der Zugriffskontrollen durch den Auftragsverarbeiter

Trennungskontrolle

Hierzu zählen Maßnahmen, durch die gewährleistet wird, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden.

Beschreibung der Trennungskontrollen durch den Auftragsverarbeiter

1. Integrität, Art. 32 Abs. 1 b DSGVO

Weitergabekontrolle

Hierzu zählen Maßnahmen, durch die gewährleistet wird, dass personenbezogene Daten bei der Weitergabe (physisch oder elektronisch) nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Weiterhin kann überprüft und festgestellt werden, an welchen Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen der Datenübertragung vorgesehen ist.

Beschreibung der Weitergabekontrollen durch den Auftragsverarbeiter

Eingabekontrolle

Hierzu zählen Maßnahmen, durch die gewährleistet wird, dass auch nachträglich prüf- und feststellbar ist, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.

Beschreibung der Eingabekontrollen durch den Auftragsverarbeiter

1. Verfügbarkeit und Belastbarkeit, Art. 32 Abs. 1 b DSGVO

Hierzu zählen Maßnahmen, durch die gewährleistet wird, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

Beschreibung der Verfügbarkeit und Belastbarkeit der Systeme durch den Auftragsverarbeiter

1. Auftragskontrolle, Art. 28 Abs. 3 DSGVO

Hierzu zählen Maßnahmen/Regelungen, durch die gewährleistet wird, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen der Auftraggebenden verarbeitet werden:

Beschreibung der Auftragskontrolle durch den Auftragsverarbeiter

1. Verfahren der regelmäßigen Überprüfung, Bewertung und Evaluierung, Art. 32 Abs. 1 d, Art. 25 Abs. 1 DSGVO

Datenschutzmanagement

Hierzu zählen Maßnahmen, die eine systematische Organisation, Steuerung und Überwachung des Datenschutzes gewährleisten:

Beschreibung des Datenschutzmanagement durch den Auftragsverarbeiter

Incident Response Management

Hierzu zählen Maßnahmen, durch die gewährleistet wird, dass eine angemessene Reaktion auf Sicherheitsverletzungen erfolgt.

Beschreibung des Incident Response Management durch den Auftragsverarbeiter

Anlage 4

Subunternehmer zur Vertrags- / Leistungsbeziehung – Nr. Nummer des Vertrags / des Angebots / der Vergabe eingeben.Namen des Vertrags / des Angebots / der Vergabe eingeben