Vertrag über eine Auftragsverarbeitung

zwischen der

Landwirtschaftliche Rentenbank AöR Theodor-Heuss-Allee 80 60486 Frankfurt am Main

Verantwortlicher – nachstehend „Auftraggeber“ genannt -

und

…..

……

…..

[bitte eintragen]

Auftragsverarbeiter – nachstehend „Auftragnehmer“ genannt –

Präambel

Dieser Vertrag über eine Auftragsverarbeitung („Vertrag“) konkretisiert die datenschutzrechtlichen Erfordernisse aufgrund der EU Datenschutz-Grundverordnung („DS-GVO“) sowie des nationalen Bundesdatenschutzgesetzes („BDSG“). Er kommt zur Anwendung, sofern aufgrund der zu erbringenden Leistung auf der Grundlage des Hauptvertrags nicht ausgeschlossen werden kann, dass – wenn auch nur möglicherweise – personenbezogene Daten durch den Auftragnehmer verarbeitet werden (z. B. Erheben, Erfassen, Ordnen, Speichern, Abfragen, Verwenden). Dieser Vertrag setzt voraus, dass eine Verarbeitung der Daten ausschließlich auf Systemen des Auftraggebers erfolgt. Die für das konkrete Vertragsverhältnis zutreffenden Alternativen sollen angekreuzt und die Leerfelder ggfs. entsprechend des konkreten Auftrags ausgefüllt werden.

§ 1 Gegenstand / Dauer / Kündigungsmöglichkeit

Der Gegenstand dieses Auftrags ergibt sich aus dem Hauptvertrag xx vom xx.xx.xx, auf welchen hier verwiesen wird.
Dieser Vertrag tritt mit seiner Unterzeichnung durch beide Parteien in Kraft. Die Dauer des Vertrags richtet sich nach der Dauer des Hauptvertrags. Der Vertrag gilt aber unbeschadet des vorstehenden Satzes so lange weiter, wie der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet (einschließlich Backups).
Die Verpflichtungen aus diesem Vertrag gelten aber auch nach Beendigung des Hauptvertrags weiter, solange der Auftragnehmer nicht sämtliche personenbezogenen Daten des Auftraggebers nach Maßgabe dieses Vertrags herausgegeben, gelöscht oder sonst vernichtet hat.
Der Auftraggeber kann den Vertrag allerdings jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrags vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert.

§ 2 Konkretisierung des Vertragsinhalts

Art (entsprechend Art. 4 Nr. 2 DS-GVO) und Zweck der vorgesehenen Verarbeitung von Daten durch den Auftragnehmer für den Auftraggeber sind

[x] konkret beschrieben in dem Hauptvertrag gem. § 1 Abs. 1.

oder

[ ] Nähere Beschreibung des Auftragsgegenstandes: ........................................

oder

☐ Aufgrund der Auftragserfüllung, die sich aus dem Hauptvertrag ergibt, kann ein Zugriff auf bzw. eine Kenntnisnahme von personenbezogene(n) Daten möglicherweise nicht ausgeschlossen werden.

Die Art der (potenziell) verarbeiteten personenbezogenen Daten (entsprechend Art. 4 Nr. 1, 13, 14 und 15 DS-GVO)

[ ] ist in dem Hauptvertrag konkret beschrieben unter: .......................

oder

[x] lässt sich in folgende Datenarten/-kategorien aufteilen

[x] Personenstammdaten

[x] Kommunikationsdaten (z.B. Telefon, E-Mail)

[x] Vertragsstammdaten (Vertragsbeziehung, Produkt- bzw. Vertragsinteresse)

[x] Kundenhistorie

[x] Vertragsabrechnungs- und Zahlungsdaten

[x] Planungs- und Steuerungsdaten

[x] Auskunftsangaben (von Dritten, z.B. Auskunfteien, oder aus öffentlichen Verzeichnissen)

[x] Logging-Daten

☐Sonstige:

Die Kategorien der durch die Verarbeitung (potenziell) betroffenen Personen entsprechend Art. 4 Nr. 1 DS-GVO

[ ] sind in dem Hauptvertrag konkret beschrieben unter: ..................................

oder

[x] umfassen:

[x] Kunden

[x] Interessenten

[ ] Abonnenten

[x] Beschäftigte

[ ] Lieferanten

[ ] Handelsvertreter

[x] Ansprechpartner

[x] Antragsteller (natürliche Person)

[x] für den Antragsteller handelnde natürliche Personen.

§ 3 Technische und organisatorische Maßnahmen

Die Datenverarbeitung durch den Auftragnehmer unter diesem Vertrag erfolgt ausschließlich auf Systemen des Auftraggebers. Die Daten verbleiben ausschließlich bei dem Auftraggeber und der Auftragnehmer ist nicht befugt, die Daten – auch nicht vorübergehend – auf eigenen Systemen oder Datenträgern zu verarbeiten, insbesondere zu vervielfältigen oder zu speichern.
Es finden die technischen und organisatorischen Maßnahmen des Auftraggebers Anwendung (s. Anhang 1). Der Auftragnehmer ist verpflichtet, sich vor der Auftragserfüllung mit den technischen und organisatorischen Maßnahmen des Auftraggebers in dem Umfang vertraut zu machen, wie es unter Berücksichtigung der von ihm vorzunehmenden (potenziellen) Datenverarbeitung erforderlich ist, um die Sicherheit der personenbezogenen Daten im Sinne des Art. 32 DS-GVO zu gewährleisten. Zu diesem Zweck muss der Auftragnehmer nach seinem eigenen Ermessen die für seine Tätigkeit relevanten Dokumente aus der Auflistung in Anhang 1 beim Auftraggeber zur Einsicht anfordern.
Der Auftragnehmer verpflichtet sich, die technischen und organisatorischen Maßnahmen des Auftraggebers einzuhalten und keine Anwendungen technischer oder organisatorischer Art durchzuführen, die das Sicherheitsniveau der vom Auftraggeber getroffenen Maßnahmen unterschreiten oder gefährden könnten. Der Auftragnehmer ist berechtigt, sich ausschließlich mittels der vom Auftraggeber zur Verfügung gestellten technischen Verfahren von außerhalb per Remote-Verbindung auf die Systeme des Auftraggebers aufzuschalten. Eine Nutzung eigener technischer Verfahren des Auftragnehmers ist für die Remote-Verbindung nicht gestattet. Sofern der Auftragnehmer während seiner Tätigkeiten zur Erfüllung seines Hauptauftrags beim Auftraggeber eigene Datenträger an die Systeme des Auftraggebers anschließen oder in die Systeme integrieren muss, verpflichtet er sich, auch hierdurch das vom Auftraggeber vorgegebene Sicherheitsniveau nicht zu gefährden. Insbesondere wird der Auftragnehmer sicherstellen, dass die von ihm verwendeten Geräte, Datenträger etc., die an die Systeme des Auftraggebers angeschlossen werden, keine Schadsoftware (z.B. Viren, Trojaner etc.) enthalten, die die Systeme des Auftraggebers infizieren könnten. Gleiches gilt für Software, die vom Auftragnehmer im Rahmen der Erfüllung seiner Hauptaufgaben auf die Systeme des Auftraggebers aufgespielt wird.

§ 4 Berichtigung, Einschränkung und Löschung von Daten, Betroffenenrechte

Der Auftragnehmer darf die personenbezogenen Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers beauskunften, portieren, berichtigen, löschen oder deren Verarbeitung einschränken.
Soweit eine betroffene Person sich bezüglich der in Kapitel III der DS-GVO genannten Rechte oder zwecks Wahrnehmung ihrer weiteren Betroffenenrechte unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

§ 5 Qualitätssicherung und sonstige Pflichten des Auftragnehmers

Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags rechtliche Pflichten gemäß Art. 28 bis 33 DS-GVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:

Wahrung der Vertraulichkeit gem. Art. 28 Abs. 3 S. 2 lit. b), 29, 32 Abs. 4 DS-GVO

Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte und sonstige Personen ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die berechtigterweise Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisungen des Auftraggebers verarbeiten einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind. Die Verpflichtung zur Wahrung der Vertraulichkeit besteht auch nach Beendigung des Vertrages fort.

Zusammenarbeit bei Anfragen der Aufsichtsbehörden

Der Auftragnehmer arbeitet mit dem Auftraggeber auf dessen Anfrage mit der Aufsichtsbehörde bei der Erfüllung von deren Aufgaben zusammen.

Unterstützung des Auftraggebers bei Kontrollhandlungen beim Auftraggeber

Soweit der Auftraggeber einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person/eines Dritten, einem anderen Anspruch oder einem Informationsersuchen im Zusammenhang mit der Auftragsverarbeitung durch den Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer nach besten Kräften zu unterstützen.

§ 6 Unterauftragsverhältnisse

Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z.B. als Telekommunikationsleistungen, Post-/Transportdienstleistungen sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Wartungs- und Prüfleistungen stellen dann ein Unterauftragsverhältnis dar, wenn sie für IT-Systeme erbracht werden, die im Zusammenhang mit einer Leistung des Auftragnehmers nach diesem Vertrag stehen. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und rechtskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher schriftlicher bzw. dokumentierter Zustimmung des Auftraggebers beauftragen. Die Zustimmung kann nur erteilt werden, wenn der Auftragnehmer dem Auftraggeber Namen und Anschrift sowie die vorgesehene Tätigkeit des Unterauftragnehmers mitteilt. Mit Abschluss dieses Vertrages stimmt der Auftraggeber der Einschaltung der in Anhang 2 mit den im vorstehenden Satz genannten Angaben aufgeführten Unterauftragnehmer zu.
Der Auftragnehmer hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwischen Auftraggeber und Auftragnehmer auch gegenüber Unterauftragnehmern gelten. In dem Vertrag mit dem Unterauftragnehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftragnehmers und des Unterauftragnehmers deutlich voneinander abgegrenzt werden. Werden mehrere Unterauftragnehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Unterauftragnehmern.
Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung, insbesondere einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 4 DS-GVO gestattet. Die Einhaltung und Umsetzung der technisch-organisatorischen Maßnahmen beim Unterauftragnehmer wird unter Berücksichtigung des Risikos beim Unterauftragnehmer vor der Verarbeitung personenbezogener Daten und sodann regelmäßig durch den Auftragnehmer kontrolliert. Der Auftragnehmer stellt dem Auftraggeber die Kontrollergebnisse auf Anfrage zur Verfügung. Der Auftragnehmer stellt ferner sicher, dass der Auftraggeber seine Rechte aus dieser Vereinbarung (insbesondere seine Kontrollrechte) auch direkt gegenüber den Unterauftragnehmern wahrnehmen oder durch von ihm beauftragte Dritte durchführen lassen kann.
Eine Auftragsverarbeitung außerhalb der EU bzw. des EWR ist grundsätzlich ausgeschlossen. Eine Beauftragung von Unterauftragnehmern in Drittstaaten darf nur erfolgen, wenn der Auftraggeber hierüber vorab in Kenntnis gesetzt wurde und die besonderen Voraussetzungen des Kapitel V der DS-GVO erfüllt sind, deren Einhaltung der Auftragnehmer sicherzustellen hat.
Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragnehmers.
Eine weitere Auslagerung durch den Unterauftragnehmer ist nicht gestattet.

§ 7 Internationale Datentransfers

Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet grundsätzlich ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. Jede Übermittlung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen des Kapitel V der DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).

§ 8 Kontrollrechte des Auftraggebers

Der Auftraggeber hat das Recht in den zur Erbringung der auftragsgegenständlichen Leistungen genutzten Geschäftsräumen Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb sowie in denen seiner Unterauftragnehmer während der üblichen Betriebs- und Geschäftszeiten zu überzeugen.
Die Kontrolldichte für die regelmäßige Kontrolle bestimmt der Auftraggeber nach pflichtgemäßem Ermessen unter Berücksichtigung der Interessen des Auftragnehmers und der Bedeutung des Vertrags sowie der unter dem Vertrag durch den Auftragnehmer (potenziell) zu verarbeitenden personenbezogenen Daten.
Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DS-GVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.
Der Nachweis solcher Maßnahmen zur Einhaltung der besonderen Anforderungen des Datenschutzes allgemein sowie solche, die den konkreten Auftrag betreffen, kann erfolgen durch [bitte ankreuzen]

[ ] die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO;

[ ] die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DS-GVO;

[ ] aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren);

[ ] eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz).

§ 9 Unterstützungs- und Informationspflichten des Auftragnehmers

Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 DS-GVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherige Konsultationen. Hierzu gehören u.a.
die Sicherstellung eines angemessenen Schutzniveaus durch Einhaltung der vom Auftraggeber vorgegebenen technischen und organisatorischen Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen,
die Verpflichtung, Verletzungen des Schutzes personenbezogener Daten unverzüglich unter Angabe der in Art. 33 Abs. 3 lit. (a) und lit. (d) DS-GVO aufgeführten Einzelinformationen an den Auftraggeber zu melden. Der Auftraggeber wird den Auftragnehmer daher unverzüglich und vollständig informieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten mit datenschutzrechtlicher Relevanz feststellt. Darüber hinaus unterrichtet der Auftragnehmer den Auftraggeber unverzüglich bei schwerwiegenden Störungen des Betriebsablaufs, bei Verdacht auf Datenschutzverletzungen oder anderen die Daten des Auftraggebers betreffenden Unregelmäßigkeiten bei der Verarbeitung der Daten des Auftraggebers. Der Auftragnehmer wird alle erforderlichen und ihm zumutbaren Maßnahmen zur Sicherung der betroffenen Daten und zur Minderung möglicher Nachteile des Auftraggebers ergreifen,
die Verpflichtung, den Auftraggeber in seinem Verantwortungsbereich und soweit möglich im Rahmen bestehender Informationspflichten gegenüber Aufsichtsbehörden und Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen,
die Unterstützung des Auftraggebers bei dessen Datenschutz-Folgenabschätzung, soweit der Auftraggeber zur Durchführung verpflichtet ist,
die Unterstützung des Auftraggebers im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde.
Für Unterstützungsleistungen, die nicht in der Leistungsbeschreibung des Hauptvertrages enthalten sind, kann der Auftragnehmer eine Vergütung beanspruchen.

§ 10 Weisungsbefugnis des Auftraggebers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen bzw. zur Auftragserfüllung des Hauptvertrags. Weitergehende Verarbeitungen dürfen nur nach Weisungen des Auftraggebers erfolgen, es sei denn der Auftragnehmer ist zu einer anderen Verarbeitung nach dem Recht der Union oder des Mitgliedstaates, dem der Auftragsverarbeiter (Auftragnehmer) unterliegt, hierzu verpflichtet (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden). In einem solchen Fall teilt der Auftragsverarbeiter (Auftragnehmer) dem Verantwortlichen (Auftraggeber) diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 S.2 lit. a) DS-GVO).
Der Auftragnehmer verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate von Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherungskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Kopien von Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
Mündliche Weisungen bestätigt der Auftraggeber unverzüglich (mind. Textform).
Weisungsberechtigte Personen des Auftraggebers sind:

Vorname, Name, Organisationseinheit, Telefon

Weisungsempfänger beim Auftragnehmer sind:

Grünen, Gerd, AE1, +49 (69) 2107 - 790

Ritter-Christmann, Anja, AE1/AEP, +49 (69) 2107 – 137

Für die Weisung zu nutzende Kommunikationskanäle: [bitte eintragen]

…

Genaue postalische Adresse, E-Mail, Telefonnummer: [bitte eintragen]

…

Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind der jeweils anderen Partei unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen. Die Weisungen sind mindestens für ihre Geltungsdauer aufzubewahren.

Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

§ 11 Löschung und Rückgabe von personenbezogenen Daten

Nach Abschluss der vertraglich vereinbarten Leistungen oder früher nach Aufforderung durch den Auftraggeber – spätestens mit Beendigung des Hauptvertrages – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftrag stehen, dem Auftraggeber auszuhändigen oder nach dessen vorheriger Zustimmung datenschutzgerecht zu vernichten bzw. die Daten zu löschen, soweit nicht berechtigte Gründe im Sinne von Art. 17 Abs. 3 DS-GVO der Löschung entgegenstehen. Gleiches gilt für Test- und Ausschussmaterial und die an Unterauftragnehmer gelangten Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse. Die Löschung bzw. Vernichtung ist dem Auftraggeber mit Datumsangabe schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.
Der Auftraggeber legt die erforderlichen Maßnahmen zur Löschung gespeicherter Daten nach Beendigung des Auftrages fest. Soweit nach Vertragsbeendigung zusätzliche Kosten durch Herausgabe oder Löschung der Daten des Auftraggebers entstehen, trägt diese der Auftraggeber.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren.

§ 12 Haftung

Der Auftragnehmer haftet gegenüber dem Auftraggeber für schuldhafte Verletzungen dieser Vereinbarung nach den gesetzlichen Bestimmungen. Es wird auf Art. 82 DS-GVO verwiesen.

§ 13 Sonstiges, Schriftform, Salvatorische Klausel

Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
Kosten, die dem Auftragnehmer durch die Erfüllung seiner Pflichten aus diesem Vertrag entstehen, trägt der Auftragnehmer selbst und sind im Zweifel mit der Vergütung nach dem Hauptvertrag abgegolten, wenn nicht in diesem Vertrag ausdrücklich etwas Abweichendes geregelt ist.
Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform. Dies gilt auch für den Verzicht auf das Schriftformerfordernis.
Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, verpflichten sich die Parteien, eine Regelung zu finden, die die unwirksame Regelung ersetzt und dieser wirtschaftlich am nächsten kommt.
Bestandteil dieses Vertrages wird folgende Anlage:

Anhang 1 – Technische und organisatorische Maßnahmen des Auftraggebers
Anhang 2 – Genehmigte Unterauftragnehmer

-------------------------------- -------------------------------

Ort, Datum, Unterschrift, Ort, Datum, Unterschrift,

Auftraggeber Auftragnehmer

Anhang 1: Technische und organisatorische Maßnahmen zum Datenschutz

Der Auftragnehmer ist gem. § 3 Abs. 2 verpflichtet, sich mit den für seine Tätigkeit erforderlichen technischen und organisatorischen Maßnahmen des Auftraggebers vertraut zu machen. Die nachfolgenden Dokumente werden dem Auftragnehmer auf sein Anfordern von dem Auftraggeber zur Einsicht zur Verfügung gestellt:

Organisationsanweisung „Technische und Organisatorische Maßnahmen zum Datenschutz“
Konzeptionelle Sicherheitsrichtlinien der Landwirtschaftlichen Rentenbank:
zur Zutrittskontrolle: Band 9 („Physische Sicherheit“): Vorgaben-Nr. 9 1 (Schutz von Räumen, Einrichtungen und Betriebsmitteln) und 9 2 (Zutrittsberechtigungen, -kontrollsysteme und Überwachung)
zur Zugangskontrolle: Band 3 („Identitäts- und Berechtigungsverwaltung“): Vorgaben-Nr. 3 2.2.1 bis 3 2.2.13 (Benutzerkonten), 3.2.4.1 bis 3 2.4.6 (Kennwörter) und 3 2.6.1 bis 3 2.6.8 (Berechtigungsverwaltung)
zur Zugriffskontrolle: Band 3, Vorgaben-Nr. 3 2.3.1 bis 3 2.3.8 (Authentisierung) und 3 2.5.1 bis 3 2.5.5 (Berechtigungsmodellierung)
zur Trennungskontrolle (getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden): Band 3, Vorgaben-Nr. 3 2; Band 5 („Hardware und Software Life Cycle Management“), Vorgaben-Nr. 5 3.1.4 (Tests in Produktivumgebungen) und 5 7.2.1 (Trennung von Entwicklung und Test von der Produktivumgebung);
zur Pseudonymisierung: Band 5, Vorgaben-Nr. 5 7.3.3 (Generierung von Testdaten)
zur Weitergabekontrolle: Band 7, Vorgaben-Nr. 7 2.1.1 bis 7 2.1.8 (Netzwerkzonen); Band 8, Vorgaben-Nr. 8 2.7.3 – 8 2.7.5 (Verschlüsselung vertraulicher Daten und Verschlüsselung administrativer Kommunikation)
zur Eingabekontrolle: Band 2 („Protokollierung und Auswertung“)
zur Verfügbarkeitskontrolle (Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust): Band 4 („Ausfallabsicherung“), Vorgaben-Nr. 4 2.4 bis 4 2.6 (Datensicherung und -wiederherstellung)
zum Incident Response Management: Band 2, Vorgaben-Nr. 2 4.1.1 bis 2 4.2.2 (Incident Response Management)
Organisationsanweisung Datenschutz

Anhang 2: Genehmigte Unterauftragnehmer


Firma Unterauftragnehmer	Anschrift/Land	Leistung	Angaben zu geeigneten Garantien bei Datenübermittlungen in ein Drittland[1]

An dieser Stelle kommen insbesondere die Standarddatenschutzklauseln der Kommission gem. Art. 46 Abs. 2 lit. c) DS-GVO in Betracht. ↑

Anlage 4 zur Rahmenvereinbarung - AVV.docx