9_Auftragsverarbeitungsvereinbarung.docx

Auftragsverarbeitungsvereinbarung

gemäß Art. 28 DS-GVO

zwischen

Technische Universität München (TUM)

vertreten durch den Präsidenten Prof. Dr. Thomas F. Hofmann

Arcisstraße 21

80333 München

(im Folgenden „Auftraggeber“)

und

Name des Auftragnehmers,

Adresse,

vertreten durch Name

(im Folgenden „Auftragnehmer“)

1. Gegenstand und Dauer des Auftrags
2. Der Auftraggeber ist die Technische Universität München. Der Gegenstand des Auftrags ergibt sich im Einzelnen aus dem zwischen den Parteien abgeschlossenen Vertrag über [Vertragsgegenstand benennen] (nachfolgend „Vertrag“).
3. Die Dauer dieser Vereinbarung (Laufzeit) entspricht der Laufzeit des Vertrages.
4. Konkretisierung des Auftragsinhalts
5. Art und Zweck der vorgesehenen Verarbeitung von personenbezogenen oder personenbeziehbaren Daten (nachfolgend „Daten“):

Eine Verarbeitung von Daten erfolgt ausschließlich zum [Vertragsbestandteile benennen, hinsichtlich derer eine Datenverarbeitung erfolgt]. Die Datenverarbeitung dient mithin der Abwicklung und Durchführung des Vertrags. Der Auftragnehmer erhält unter Umständen Zugang zu personenbezogenen Daten, während er seine Leistungen erbringt.

Der Auftragnehmer verpflichtet sich, die ihm im Verlauf der Vertragsanbahnung und -abwicklung oder anlässlich der Zusammenarbeit erhobenen Daten, bekannt gewordenen Geheimnisse oder sonstige ihrer Natur nach schutzwürdigen Angelegenheiten nur zur rechtmäßigen Aufgabenerfüllung im Sinn der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten sowie die Art der Daten und den Kreis der betroffenen Personen nur für vertragliche Zwecke zu verwenden und im Übrigen geheim zu halten. Die Geheimhaltungspflicht gilt über das Vertragsende hinaus.

Der Auftragnehmer verwendet Daten, die ihm im Rahmen der vertraglichen Erfüllung bekannt geworden sind, nur für die in dem Vertrag und dieser Vereinbarung vorgesehenen Zwecke. Kopien oder Duplikate dürfen ohne Wissen und Zustimmung des Auftraggebers nicht erstellt werden.

Auskünfte an Dritte darf der Auftragnehmer, außer in gesetzlich zwingend vorgesehenen Fällen, nicht erteilen.

Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.

1. Art der Daten

Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten/-kategorien:

• Personenstammdaten: Vor- und Nachname/Titel, ggf. Funktion beim Auftraggeber
• Kommunikationsdaten: Telefonnummern; E-Mail-Adressen
• Nutzungsdaten
• Systemdaten[1].

1. Kategorien betroffener Personen

Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen:

• Angestellte des Auftraggebers;
• Professoren der TUM;
• Studenten der TUM;
• Beschäftigte und Erfüllungsgehilfen des Auftraggebers;
• Ansprechpartner des Auftraggebers;
• sonstige Vertragspartner des Auftraggebers
• […].

1. Technische und organisatorische Maßnahmen
2. Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben. Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage des Auftrags. Soweit die Prüfung/ein Audit des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.
3. Der Auftragnehmer hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DS-GVO und Art. 32 BayDSG insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DS-GVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen. Einzelheiten ergeben sich aus dem Anhang 1 „Technische und organisatorische Maßnahmen“ zu dieser Auftragsverarbeitungsvereinbarung.
4. Die in Anhang 1 zu dieser Auftragsverarbeitungsvereinbarung festgehaltenen vereinbarten technischen und organisatorischen Maßnahmen berücksichtigen zum Zeitpunkt des Abschlusses dieser Vereinbarung den Stand der Technik und unterliegen während der Laufzeit der Vereinbarung dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der in Anhang 1 festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind von dem Auftraggeber zu genehmigen und im Anschluss zu dokumentieren.
5. Weisungsbefugnis des Auftraggebers
6. Der Auftragnehmer darf die personenbezogenen Daten nur auf dokumentierte Weisung des Auftraggebers verarbeiten (vergl. Art. 28 Abs. 3 S. 2 lit. a DS-GVO), sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, zu einer anderweitigen Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
7. Eine „Weisung“ ist jede an den Normadressaten gerichtete Anordnung, die sich auf den Gegenstand und die Art des Umgangs mit Daten und der darauf bezogenen technischen und organisatorischen Maßnahmen bezieht.
8. Mündlich erteilte Weisungen bestätigt der Auftraggeber schriftlich (mind. Textform).
9. Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Auffassung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
10. Berichtigung, Löschung und Einschränkung der Verarbeitung
11. Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
12. Soweit vom Leistungsumfang umfasst, sind Löschkonzept, Recht auf Vergessenwerden, Berichtigung, Datenportabilität und Auskunft nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.
13. Qualitätssicherung und sonstige Pflichten des Auftragnehmers
14. Der Auftragnehmer hat einen Datenschutzbeauftragten schriftlich bestellt, der seine Tätigkeit gemäß Art. 38 und 39 DS-GVO ausübt.

[ ] Dessen Kontaktdaten werden dem Auftraggeber zum Zweck der direkten Kontaktaufnahme mitgeteilt. Ein Wechsel des Datenschutzbeauftragten wird dem Auftraggeber unverzüglich mitgeteilt.

[ ] Als Datenschutzbeauftragte(r) ist beim Auftragnehmer Herr/Frau Vorname, Name, Organisationseinheit, Telefon, E-Mail bestellt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen.

[ ] Dessen jeweils aktuelle Kontaktdaten sind auf der Homepage des Auftragnehmers leicht zugänglich hinterlegt.

[ ] Der Auftragnehmer ist nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Als Ansprechpartner beim Auftragnehmer wird Herr/Frau Vorname, Name, Organisationseinheit, Telefon, E-Mail benannt.

1. Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 33 DS-GVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:
2. Die Wahrung der Vertraulichkeit bzw. der angemessenen Verschwiegenheitspflicht gemäß Art. 28 Abs. 3 S. 2 lit. b), 29 DS‑GVO, Art. 32 Abs. 1 BayDSG ist herzustellen. Der Auftragnehmer wird darauf hingewiesen, dass die Verletzung personenbezogener Daten eine Ordnungswidrigkeit oder Straftat nach §§ 41, 42 des Bundesdatenschutzgesetzes (BDSG) bedeuten kann. Er ist verpflichtet, hierüber ebenfalls die von ihm Beschäftigten oder sonst vertraglich Verpflichteten zu belehren. Der Auftragnehmer setzt bei der Durchführung des Auftrags nur Beschäftigte ein, die auf die Vertraulichkeit bzw. Verschwiegenheit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz betraut gemacht wurden. Sie sind über die sich aus dieser Vereinbarung ergebenden besonderen Datenschutzpflichten zu informieren sowie über die bestehende Weisungs- bzw. Zweckbindung zu belehren. Dies ist schriftlich zu dokumentieren und dem Auftraggeber auf Verlangen durch Vorlage der unterzeichneten Vertraulichkeitsverpflichtungserklärungen nachzuweisen.
3. Die Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 S. 2 lit c), 32 DS-GVO und Art. 32 BayDSG ist zu gewährleisten. Dies insbesondere, damit der Auftraggeber die Rechte der betroffenen Personen nach Kapitel III der DS-GVO innerhalb der gesetzlichen Fristen jederzeit erfüllen kann (vergl. Art. 28 Abs. 3 S. 2 lit e DS-GVO).
4. Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
5. Der Auftragnehmer hat die Pflicht, den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde zu informieren, soweit sie sich auf diesen Auftrag beziehen (vergl. Art. 31, 51 ff. DS-GVO). Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt (vergl. Art. 83, 84 DS-GVO).
6. Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer nach besten Kräften zu unterstützen (vergl. Art. 28 Abs. 3 S. 2 lit f DS-GVO).
7. Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.
8. Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Auftraggeber im Rahmen seiner Kontrollbefugnisse nach Ziffer 3 und 8 dieser Vereinbarung.
9. Der Auftragnehmer hat den bzw. die für die Nutzung der Daten des Auftraggebers im Rahmen dieser Vereinbarung vorgesehenen Standort/Standorte seiner Geschäftsräume bzw. der genutzten Rechenzentren, dem Auftraggeber vor Vertragsschluss schriftlich zu benennen, angefügt als Anhang 2 zu dieser Vereinbarung. Eine Änderung des Standortes/der Standorte, in dem/ in denen Daten des Auftraggebers verarbeitet und/oder genutzt werden, bedarf der schriftlichen Zustimmung des Auftraggebers. Der Auftragnehmer stellt sicher, dass ein Zugriff auf die Daten des Auftraggebers, die an dem/ den in Anhang 2 zur Vereinbarung genannten Standort/Standorten des Auftragnehmers verarbeitet werden, durch Dritte ausgeschlossen ist.
10. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 36 der DS-GVO sowie Art. 13, 14, 32, 33, 36 BayDSG Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherigen Konsultationen. Hierzu gehören u.a.
11. die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen,
12. die Verpflichtung, Verletzungen von Vorschriften zum Schutz personenbezogener Daten unverzüglich an den Auftraggeber zu melden,
13. die Verpflichtung, dem Auftraggeber im Rahmen seiner Informationspflicht gegenüber dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen,
14. die Unterstützung des Auftraggebers für dessen Datenschutz-Folgenabschätzung sowie
15. die Unterstützung des Auftraggebers bei seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Personen,
16. die Unterstützung des Auftraggebers im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde.
17. Unterauftragsverhältnisse
18. Die Einschaltung von Unterauftragnehmern, die für den Auftragnehmer unmittelbar Daten des Auftraggebers nutzen, ist dem Auftragnehmer nur nach schriftlicher Zustimmung des Auftraggebers gestattet. Für die im Angebot des Auftragnehmers benannten Unterauftragnehmer gilt die Zustimmung des Auftraggebers als erteilt.
19. Der Auftragnehmer ist verpflichtet, eine Liste mit allen Unterauftragnehmern zu führen, deren Einschaltung der Auftraggeber zugestimmt hat. Der Auftragnehmer hat diese Liste fortlaufend zu aktualisieren.
20. Die Auslagerung auf Unterauftragnehmer oder der Wechsel eines bestehenden Unterauftragnehmers sind zulässig, soweit:
21. der Auftragnehmer die Auslagerung bzw. den Wechsel auf den Unterauftragnehmer dem Auftraggeber eine angemessene Zeit vorab schriftlich oder in Textform anzeigt und
22. der Auftraggeber nicht bis zum Zeitpunkt der Übergabe der Daten gegenüber dem Auftragnehmer schriftlich oder in Textform Einspruch gegen die geplante Auslagerung erhebt und
23. eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO zugrunde gelegt wird.
24. Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestattet. Die Einhaltung der Voraussetzungen durch den Unterauftragnehmer wird vom Auftragnehmer regelmäßig überprüft.
25. Erbringt der Unterauftragnehmer die vereinbarte Leistung außerhalb der EU/des EWR, stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen sicher und weist dies dem Auftraggeber auf dessen Aufforderung hin nach.
26. Eine weitere Auslagerung durch den Unterauftragnehmer bedarf der ausdrücklichen Zustimmung des Auftraggebers (mind. Textform); sämtliche vertraglichen Regelungen in der Vertragskette sind auch dem weiteren Unterauftragnehmer aufzuerlegen.
27. Bezüglich der Unterauftragnehmer sind dem Auftraggeber erforderliche Kontroll- und Überprüfungsrechte entsprechend Ziffer 8 dieser Vereinbarung einzuräumen.
28. Kontrollrechte des Auftraggebers
29. Der Auftragnehmer räumt dem Auftraggeber Kontrollrechte nach Art. 28 Abs. 3 lit. S. 2 h DS-GVO nach Maßgabe dieser Ziffer 8 ein.
30. Der Auftragnehmer ermöglicht dem Auftraggeber, dessen Rechts- oder Fachaufsicht oder einem vom Auftraggeber beauftragten Prüfer, Kontrollen zu den üblichen Geschäftszeiten nach Anmeldung unter Berücksichtigung einer angemessenen Vorlaufzeit gemeinsam mit dem Auftragnehmer durchzuführen. Der Auftragnehmer darf diese von der vorherigen Anmeldung mit angemessener Vorlaufzeit von ca. 5 Werktagen abhängig machen. Sollte der durch den Auftraggeber beauftragte Prüfer in einem Wettbewerbsverhältnis zu dem Auftragnehmer oder dem Unterauftragnehmer stehen, hat der Auftragnehmer gegen diesen ein Einspruchsrecht.
31. Der Auftragnehmer wird dem Auftraggeber auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte geben und die entsprechenden Nachweise verfügbar machen. Hierzu wird der Auftragnehmer dem Auftraggeber alle erforderlichen Informationen, insbesondere gegebenenfalls erstellte Protokolle, zum Nachweis der Einhaltung der Pflichten zur Verfügung stellen.
32. Aufgrund der Kontrollverpflichtung des Auftraggebers vor Beginn der Datenverarbeitung und während der Laufzeit des Auftrags stellt der Auftragnehmer sicher, dass sich der Auftraggeber von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen überzeugen kann.
33. Der Auftraggeber kann sich zu Prüfzwecken in den Betriebsstätten des Auftragnehmers zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs von der Angemessenheit der Maßnahmen zur Einhaltung der technischen und organisatorischen Erfordernisse der für die Auftragsdatenverarbeitung einschlägigen Datenschutzgesetze überzeugen.
34. Der Auftraggeber ist berechtigt, die vorgenannten Kontrollen auch unter Hinzuziehung Dritter durchzuführen (insbesondere solcher, die gegenüber dem Auftraggeber zur Kontrolle berechtigt sind, wie z.B. Auftraggeber des Auftraggebers und Aufsichtsbehörden).
35. Der Auftragnehmer ist verpflichtet, die Umsetzung der technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und Art. 32 BayDSG sowie die Durchführung der regelmäßig durchgeführten Risikobewertung nachzuweisen. Der Nachweis der Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann dabei auch durch Vorlage eines aktuellen Testats oder von Berichten unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren) oder einer geeigneten Zertifizierung gemäß Art. 42 DSGVO durch IT-Sicherheits- oder Datenschutzaudit erbracht werden.
36. Löschung oder Rückgabe von personenbezogenen Daten
37. Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
38. Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Auftraggeber – spätestens mit Beendigung des Vertrages – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten, sofern keine gesetzlichen Speicherfristen vorliegen. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen.
39. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.
40. Kündigung

Ergänzend zum Vertrag wird geregelt, dass die Verletzung von gesetzlichen oder vertraglichen Datenschutzbestimmungen durch den Auftragnehmer stets ein wichtiger Grund für den Auftraggeber ist, das im Vertrag vorbehaltene Recht zur außerordentlichen Kündigung auszuüben. In diesem Zusammenhang kann der Auftraggeber den Vertrag aus wichtigem Grunde ohne Einhaltung einer Frist kündigen.

1. Schlussbestimmungen
2. Wenn eine Bestimmung dieser Vereinbarung unwirksam sein oder werden sollte, wird dadurch die Geltung der Vereinbarung im Übrigen nicht berührt. Es gilt dann eine der unwirksamen Bestimmung dem Sinn und der wirtschaftlichen Bedeutung nach möglichst nahekommende andere Bestimmung zwischen den Parteien als vereinbart.
3. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
4. Die Einrede des Zurückbehaltungsrechts i.S.v. § 273 BGB wird hinsichtlich der verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
5. Die Rechtsbeziehungen der Partner unterliegen dem Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts und unter Ausschluss derjenigen Regeln des deutschen Rechtes, die auf eine andere als die deutsche Rechtsordnung verweisen.
6. Als ausschließlicher Gerichtsstand wird München vereinbart.
7. Reicht der Regelungsgehalt einzelner Vorschriften dieser Vereinbarung über die Vertragslaufzeit hinaus, bleiben diese Vorschriften insoweit auch nach Ende der Vertragslaufzeit wirksam.
8. Die dieser Vereinbarung angefügten Anhänge sind wesentlicher Bestandteil derselben.

Anhang 1 zur Auftragsverarbeitungsvereinbarung – „Technische und organisatorische Maßnahmen“ gemäß Art. 32 DS-GVO und Art. 32 BayDSG

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)

• Zutrittskontrolle Kein unbefugter Zutritt zu Datenverarbeitungsanlagen, sichergestellt durch

Beschreibung, wie sichergestellt ist, dass es zu keinem unbefugten Zutritt zu Datenverarbeitungsanlagen kommt

• Zugangskontrolle Keine unbefugte Systembenutzung, sichergestellt durch

Beschreibung, wie sichergestellt ist, dass es zu keiner unbefugten Systembenutzung kommt

• Zugriffskontrolle Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, sichergestellt durch

Beschreibung, wie sichergestellt ist, dass es zu keinem unbefugten Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems kommt

• Trennungskontrolle Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, sichergestellt durch

Beschreibung, wie eine getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, sichergestellt ist

• Pseudonymisierung (Art. 32 Abs. 1 lit. a DS-GVO; Art. 25 Abs. 1 DS-GVO) Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechenden technischen und organisatorischen Maßnahmen unterliegen.

1. Integrität (Art. 32 Abs. 1 lit. b DS-GVO)

• Weitergabekontrolle Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport, sichergestellt durch

Beschreibung, wie sichergestellt ist, dass eszu keinem unbefugten Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport kommt

• Eingabekontrolle Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, sichergestellt durch

Beschreibung, wie sichergestellt ist, dass festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssystemen eingegeben, verändert oder entfernt worden sind

1. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)

• Verfügbarkeitskontrolle

Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, sichergestellt durch:

Beschreibung, wie ein Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust sichergestellt ist

• Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DS-GVO).

1. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)

Beschreibung des Verfahrens zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Anhang 2 zur Auftragsverarbeitungsvereinbarung – „Orte der Datenverarbeitung durch den Auftragnehmer“

Beschreibung der Orte der Datenverarbeitung durch den Auftragnehmer

1. wenn personenbeziehbar ↑