Vereinbarung zur Auftragsverarbeitung Virtualisierungsumgebung.docx

Vereinbarung zur Auftragsverarbeitung

gemäß Art. 28 DSGVO

zwischen

• Verantwortlicher: im Folgenden Auftraggeber genannt -

und

• Auftragsverarbeiter: im Folgenden Auftragnehmer genannt -

1. Gegenstand der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der zugrunde liegenden Leistungsvereinbarung. Die Verarbeitung erfolgt nur in Staaten der Europäischen Union oder des Europäischen Wirtschaftsraums. Eine Verlagerung der Verarbeitung in ein Drittland ist nur zulässig, wenn der Auftraggeber vorher ausdrücklich zugestimmt hat und sämtliche gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO vollständig erfüllt sind.

1. Dauer

Die Dauer dieser Vereinbarung entspricht der Laufzeit der Leistungsvereinbarung. Der Auftraggeber ist berechtigt, die Vereinbarung jederzeit ohne Einhaltung einer Frist zu kündigen, sofern ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder gegen die Bestimmungen dieses Vertrages vorliegt.

1. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst sämtliche Tätigkeiten entsprechend der Begriffsbestimmung Art. 4 Abs. 2 DSGVO personenbezogener Daten. Diese Daten können unter anderem Identifikations-, Adress-, Vertrags- und Kommunikationsdaten betreffen. Betroffene Personen können Beschäftigte, Kunden, Interessenten oder Geschäftspartner des Auftraggebers sein.

1. Technische und organisatorische Maßnahmen (TOM)

Der Auftragnehmer stellt sicher, dass ein angemessenes Schutzniveau gemäß Art. 32 DSGVO gewährleistet ist. Dazu werden technische und organisatorische Maßnahmen umgesetzt und regelmäßig geprüft. Wesentliche Änderungen dieser Maßnahmen werden nur nach Abstimmung mit dem Auftraggeber vorgenommen.

1. Rechte und Pflichten des Auftraggebers

Der Auftraggeber bleibt für die Rechtmäßigkeit der Datenverarbeitung verantwortlich. Er hat das Recht, Weisungen zu erteilen und die Umsetzung der vertraglichen und technischen Vorgaben durch den Auftragnehmer zu überprüfen. Zudem verpflichtet sich der Auftraggeber, vertrauliche Informationen des Auftragnehmers zu schützen.

1. Pflichten des Auftragnehmers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf Basis der Weisungen des Auftraggebers. Er unterstützt diesen bei der Erfüllung gesetzlicher Pflichten, insbesondere bei der Bearbeitung von Betroffenenanfragen oder bei Datenschutz-Folgenabschätzungen. Datenschutzvorfälle meldet der Auftragnehmer unverzüglich an den Auftraggeber.

1. Subunternehmer

Der Einsatz von Subunternehmern ist nur nach vorheriger Zustimmung des Auftraggebers zulässig. Der Auftragnehmer stellt sicher, dass Subunternehmer an die gleichen datenschutzrechtlichen Pflichten gebunden sind. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten verantwortlich.

1. Beendigung des Auftrags

Nach Abschluss des Auftrags hat der Auftragnehmer sämtliche personenbezogenen Daten vollständig und sicher zu löschen oder zu vernichten. Auf Wunsch des Auftraggebers bestätigt er die Löschung schriftlich.

1. Vergütung und Haftung

Für Vergütung und Haftung gelten die im Hauptvertrag oder in der Leistungsvereinbarung festgelegten Regelungen. Ergänzend findet Art. 82 DSGVO Anwendung.

1. Vertraulichkeit und Schlussbestimmungen

Beide Vertragsparteien verpflichten sich, sämtliche im Rahmen der Zusammenarbeit erlangten Informationen vertraulich zu behandeln. Nebenabreden bedürfen der Schriftform. Sollte eine Bestimmung dieser Vereinbarung unwirksam sein, bleibt die Gültigkeit der übrigen Regelungen unberührt.

1. Bereitstellung von Unterlagen seitens des Auftragnehmers

Der Auftragnehmer stellt dem Auftraggeber folgende Informationen zur Verfügung:

• Name/Kontaktdaten vom Weisungsempfänger beim Auftragnehmer
• Name/Kontaktdaten des Datenschutzbeauftragten
• Übersicht der Unterauftragnehmer (Name des Unternehmens, Art der Leistung)
• Übersicht der technischen und organisatorischen Maßnahmen

1. • schriftliches Angebot: Unterzeichnung erforderlich

   • elektronisches Angebot: Angabe der Person des Erklärenden (bei Einzelfirma) bzw.

   Firmenbezeichnung (bei einer juristischen Person), in lesbarer Form ↑