Anlage2_Vereinbarung_zur_Auftragsverarbeitung.docx

Vereinbarung (Auftrag) zur Auftragsverarbeitung

gemäß Art. 28 Abs. 3 DS-GVO

Zwischen

der Landeshauptstadt München,

gesetzlich vertreten durch den Oberbürgermeister Dominik Krause,

dieser vertreten durch die Sozialreferentin Dorothee Schiwy,

diese vertreten durch den Leiter des Amtes für Wohnen und Migration, Gerhard Mayer

Franziskanerstr. 8

81667 München

• im Folgenden Auftraggeberin (AG) genannt -

und

dem*der Betreiber*in

• im Folgenden Auftragnehmer*in (AN) genannt -

wird folgende Vereinbarung zur Auftragsverarbeitung (im Folgenden „Vereinbarung“ genannt) geschlossen:

Präambel und Glossar

Die AG und die AN verstehen die in den folgenden Vereinbarungen verwendeten Abkürzungen und Begrifflichkeiten im Rahmen dieser Vereinbarungen einheitlich wie folgt:

§ 1 Gegenstand und Dauer der Vereinbarung / Laufzeit der Vereinbarung / Ansprechpersonen der AG / Form der Kommunikation

1. (1) Diese Vereinbarung bezieht sich auf das mit Zuschlag vom … (Datum des Zuschlags) zustande gekommene Vertragsverhältnis zwischen der AG und der AN (Vertragsnummer der AG: …). (2) Gegenstand dieser Vereinbarung ist die Fixierung der Vorgaben zur Verarbeitung aller personenbezogenen Daten im Rahmen des Vertragsverhältnisses (Satz 1).
2. Soweit in dieser Vereinbarung von dem Vertragswerk bzw. Vertrag oder Vertragsverhältnis gesprochen wird, ist der Vertrag zwischen der AG und der AN gemeint, dessen Anlage diese Vereinbarung ist (§ 1 Absatz 1 Satz 1 dieser Vereinbarung).
3. Die AG und die AN sind sich darüber einig, dass es sich bei den unter § 2 Absatz 2 dieser Vereinbarung genannten Daten um personenbezogene Daten im Sinne der einschlägigen datenschutz-rechtlichen Bestimmungen handelt.
4. (1) Die Laufzeit dieser Vereinbarung korrespondiert mit der Laufzeit des Vertragswerkes. (2) Soweit nach dem Vertragswerk oder dieser Vereinbarung abweichende Regelungen für Teilaspekte (z.B. Geheimhaltung) getroffen werden, gehen diese Regelungen der Regelung in Satz 1 vor.
5. (1) Die AG benennt als Hauptansprechperson für diese Vereinbarung:

Für den Fachbereich: Elif Dikkaya-Wedemeyer, Amt für Wohnen und Migration, S-III-WP/S3 bestandsobjekte.soz@muenchen.de

und als weitere Ansprechperson für die Vereinbarung:

Nora Etienne als örtliche Datenschutzbeauftragte, S-III-LR, nora.etienne@muenchen.de

(2) Soweit es bzgl. der Hauptansprechperson oder den weiteren Ansprechpersonen (zusammengefasst als Ansprechpersonen der AG bezeichnet) der AG zu personellen Veränderungen kommen sollte, wird die jeweils letztbenannte Hauptansprechperson der AG die letztbenannte Hauptansprechperson der AN hierüber unverzüglich informieren. (3) Jede der in Satz 1 genannten Personen ist für die AN im Rahmen dieser Vereinbarung vollwertige Ansprechperson. (4) Die in Satz 1 benannten Ansprechpersonen sind zur Vornahme aller Handlungen und Ausübung aller Rechte, insbesondere auch der Weisungs- und Kontrollrechte der AG gegenüber der AN im Rahmen dieser Vereinbarung berechtigt, soweit es sich nicht um eine Vertragsänderung im Sinne des § 13 dieser Vereinbarung handelt oder im Rahmen dieser Vereinbarung ausdrücklich auf die Hauptansprechperson der AG verwiesen wird.

1. (1) Die Kommunikation im Zusammenhang mit dieser Vereinbarung ist ausschließlich schriftlich zu führen. (2) Als Kontaktadresse bei der AG ist die Büroanschrift der Ansprechpersonen der AG zu verwenden. (3) Der Schriftverkehr ist als vertraulich zu kennzeichnen und hinter der Namensnennung mit der Abkürzung o.V.i.A. zu versehen. (4) Die Ansprechpersonen der AG können anderweitige Kommunikationsmöglichkeiten und Kontaktadressen gegenüber der AN für zulässig erklären.
2. (1) Diese Vereinbarung besteht aus diesem Dokument (Seite 1 – 11) und dem Anhang zu den technisch-organisatorischen Maßnahmen („Anhang „TOM“ zur Vereinbarung zur Auftragsverarbeitung“). (2) Soweit in dieser Vereinbarung keine Regelungen zu einer Thematik getroffen werden, gelten diejenigen des übrigen Vertragswerkes (§ 1 Absatz 1 Satz 1 dieser Vereinbarung).
3. (1) Die AN unterwirft sich hinsichtlich der von dieser Vereinbarung betroffenen Vorgängen denselben datenschutzrechtlichen Anforderungen, die für die AG gelten und damit auch der Kontrolle durch den Bayerischen Landesbeauftragten für den Datenschutz. (2) Die AN hat demnach insbesondere die Vorgaben der DS-GVO und des BayDSG zu beachten.

§ 2 Art und Umfang der Auftragsverarbeitung / betroffene personenbezogene Daten / Kreis der Betroffenen

1. Im Rahmen dieses Vertragsverhältnisses findet eine Auftragsverarbeitung in folgenden Situationen statt:

1. Folgende Datenarten sind Gegenstand der Auftragsverarbeitung:

1. Sind besonders schützenswerte personenbezogene Daten von der Auftragsverarbeitung betroffen?

1. Der Kreis der durch den Umgang mit den personenbezogenen Daten im Rahmen des Vertragswerkes und dieser Vereinbarung betroffenen Personen umfasst folgende Personenkategorien:

§ 3 Rechte und Pflichten der AG

• 1. (1) Die AG bleibt unabhängig von der Regelung des § 11 Abs. 3 dieser Vereinbarung gegenüber Dritten für die Einhaltung der datenschutzrechtlichen Vorschriften im Rahmen des Vertragsverhältnisses und dieser Vereinbarung allein verantwortlich (Art. 5 Abs. 2 und 24 DS-GVO). (2) Die AG wird von der AN bei der Einhaltung der datenschutzrechtlichen Anforderungen auf schriftliches Verlangen unterstützt. (3) Dies gilt insbesondere für die Einhaltung der in Artikel 32 bis 36 DS-GVO genannten Pflicht zur Sicherheit personenbezogener Daten, für Meldepflichten bei Datenpannen und bei Datenschutz-Folgeabschätzungen.
  2. (1) Die AG legt die technischen und organisatorischen Maßnahmen fest (§ 6 dieser Vereinbarung und entsprechender Anhang), die im Rahmen des Vertragsverhältnisses und dieser Vereinbarung bei der Verarbeitung von personenbezogenen Daten durch die AN einzuhalten sind. (2) Die Regelung des § 6 Abs. 4 dieser Vereinbarung ist zu beachten.
  3. (1)Die AG informiert die AN unverzüglich, wenn sie Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt und regelt im Wege ihres Weisungsrechts (§ 5 dieser Vereinbarung) das weitere Vorgehen. (2) Im Fall einer Inanspruchnahme der AN durch eine betroffene Person nach Artikel 82 DS-GVO verpflichtet sich die AG, die AN bei der Abwehr der Ansprüche zu unterstützen.
  4. Die AG räumt der AN keinerlei Nutzungsrechte an urheberrechtlich oder durch sonstige gewerbliche Schutzrechte geschützten Daten bzgl. der vertragsgegenständlichen personenbezogenen Daten oder sonstigen von der AG stammenden Informationen ein.

§ 4 Pflichten der AN

1. Die AN darf personenbezogene Daten nur im Rahmen der im Vertragswerk festgelegten Rahmenbedingungen und der darüber hinaus erteilten Weisungen der AG (§ 5 dieser Vereinbarung) verarbeiten, soweit nicht ein Ausnahmefall im Sinne des Artikel 28 Absatz 3 Satz 2 lit. a DS-GVO vorliegt oder die AN in sonstiger Weise gesetzlich zur Verarbeitung verpflichtet ist.
2. (1) Die AN sichert die Einhaltung aller in dieser Vereinbarung getroffenen technischen und organisatorischen Maßnahmen, insbesondere der Vorgaben in § 6 dieser Vereinbarung und dem dazugehörigen Anhang, ausdrücklich zu. (2) Die Regelung des § 6 Abs. 4 dieser Vereinbarung ist zu beachten.
3. (1) Die AN benennt unverzüglich nach Vertragsschluss gegenüber der Hauptansprechperson der AG eine Hauptansprechperson und (soweit gewünscht) eine oder mehrere weitere Ansprechperson/en. (2) Die AG darf darauf vertrauen, dass der bzw. den von der AN benannten Personen die gleichen Befugnisse auf Seiten der AN zustehen, wie sie in § 1 Absatz 5 dieser Vereinbarung für die Ansprechpersonen der AG geregelt sind.
4. (1) Die AN bestellt – soweit dies gesetzlich vorgeschrieben ist – einen Datenschutzbeauftragten (extern oder betrieblich), der seine Tätigkeit nach den jeweils einschlägigen datenschutzrechtlichen Vorgaben, insbesondere gemäß Artikel 38 und 39 DS-GVO, ausüben kann. (2) Die Kontaktdaten des Datenschutzbeauftragten der AN sind der Hauptansprechperson der AG zur Ermöglichung einer direkten Kontaktaufnahme nach Abschluss dieser Vereinbarung unverzüglich zu übermitteln.
5. (1) Die AN verpflichtet sich zur Wahrung des Datengeheimnisses. (2) Weiter wird die AN alle Beschäftigten, die bei der Verarbeitung von personenbezogenen Daten im Sinne dieser Vereinbarung tätig sind oder von diesen Daten unter Umständen Kenntnis nehmen könnten, auf das Datengeheimnis verpflichten. (3) Die Verpflichtung der Beschäftigten hat schriftlich zu erfolgen.
6. (1) Die AN versichert, dass ihr die maßgeblichen datenschutzrechtlichen Vorschriften bekannt sind. (2) Weiter sichert die AN zu, dass sie alle bei der Vertragsabwicklung beteiligten Beschäftigten rechtzeitig mit den für sie maßgeblichen Vorschriften vertraut gemacht hat. (3) Die AN ist zur ständigen Überwachung der Einhaltung der datenschutzrechtlichen Vorschriften verpflichtet.
7. Die AN erteilt Auskünfte über personenbezogene Daten, welche sie im Rahmen des Vertragsverhältnisses und dieser Vereinbarung verarbeitet erst nach vorheriger Zustimmung durch eine Ansprechperson der AG.
8. Die AN wird personenbezogene Daten, die im Rahmen des Vertragsverhältnisses und dieser Vereinbarung von der AN verarbeitet werden, auf und gemäß der Weisung der AG unverzüglich berichtigen, sperren oder löschen.
9. (1) Die Verarbeitung der personenbezogenen Daten durch die AN im Rahmen dieser Vereinbarung findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder des Europäischen Wirtschaftsraums (EWR) statt. (2) Jede Verlagerung in ein Drittland bedarf der vorherigen schriftlichen Zustimmung durch eine Ansprechperson der AG, die nur erteilt werden kann, wenn die Voraussetzungen der Artikel 44 ff. DS-GVO vorliegen. (3) Die Verarbeitung der personenbezogenen Daten im Rahmen des Vertragswerkes und dieser Vereinbarung darf nur an der/den Betriebsstätte/n der AN stattfinden.
10. Für die Sicherheit der personenbezogenen Daten erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren, welche die AN zur Umsetzung der Vorgaben dieser Vereinbarung ergreift, sind mit einer Ansprechperson der AG abzustimmen.
11. Die AN verpflichtet sich, hinreichende Maßnahmen zur Katastrophenvorsorge zu treffen.
12. (1) Soweit die AG einer Kontrolle durch Aufsichtsbehörden, einem Ordnungswidrigkeits- oder Strafverfahren, einem Haftungs- oder Auskunftsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung bei der AN ausgesetzt ist, hat die AN sie nach besten Kräften zu unterstützen. (2) Die AN hat der AG alle erforderlichen Angaben und Dokumente auf Anfrage offenzulegen.
13. Die AN führt ein Verzeichnis im Sinne des Artikel 30 Absatz 2 DS-GVO und unterstützt die AG auf Anfrage bei der Erstellung und der Aktualisierung des Verzeichnisses von Verarbeitungstätigkeiten der AG.

§ 5 Weisungsbefugnis der AG

• 1. (1) Die AN ist verpflichtet, allen zur Verarbeitung von personenbezogenen Daten im Rahmen des Vertragsverhältnisses und dieser Vereinbarung erteilten Weisungen der AG Folge zu leisten und diese unverzüglich umzusetzen. (2) Die Regelung des § 5 Absatz 3 dieser Vereinbarung geht vor.
  2. (1) Weisungen im Sinne dieser Vereinbarung darf jede Ansprechperson der AG erteilen. (2) Die Ansprechpersonen der AG können gegenüber der AN jederzeit weitere weisungsberechtigte Personen benennen. (3) Die AN darf bis zu einer gegenteiligen Information durch die Ansprechpersonen der AG darauf vertrauen, dass die weiteren benannten Personen tatsächlich weisungsbefugt sind. (4) Den so ernannten Personen steht das Recht zur Benennung weiterer weisungsberechtigter Personen nicht zu.
  3. Soweit die AN der Ansicht ist, dass eine Weisung gegen gesetzliche Vorschriften verstößt, so ist sie berechtigt, die Umsetzung der Weisung bis zur schriftlichen Entscheidung einer weisungsbefugten Person der AG auszusetzen.

§ 6 Technische und organisatorische Maßnahmen

• 1. (1) Die von der AN konkret sicherzustellenden technischen und organisatorischen Maßnahmen ergeben sich aus dem Anhang „TOM“ zur Vereinbarung zur Auftragsverarbeitung. (2) Die AN hat die Umsetzung der dort genannten Maßnahmen vor Beginn der Verarbeitung von personenbezogenen Daten für die AG im Rahmen des Vertragswerkes hinsichtlich der konkreten Auftragsdurchführung zu dokumentieren und zu bestätigen und der Hauptansprechperson der AG mit hinreichendem zeitlichen Vorlauf (mindestens vier Wochen) vor Beginn der Verarbeitung zur Prüfung zu übermitteln. (3) Die Dokumentation bezieht sich auch auf alle Unterauftragsverarbeiter*innen. (4) Soweit Daten im Sinne des § 2 Absatz 3 dieser Vereinbarung betroffen sind, muss die AN die eingesetzten Personen in der Dokumentation benennen. (5) Vor der Freigabe durch eine Ansprechperson der AG darf mit der Verarbeitung im Rahmen dieses Vertragswerkes nicht begonnen werden. (6) Darüber hinaus hat die AN ein dem Risiko angemessenes Schutzniveau gemäß Artikel 32 DS-GVO eigenverantwortlich zu gewährleisten. (7) Dabei sind der Stand der Technik und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen zu berücksichtigen
  2. (1) Die im Anhang aufgeführten Maßnahmen stellen einen Mindeststandard dar, welchen die AN zu keiner Zeit unterschreiten, aber jederzeit überschreiten darf. (2) Die AN regelt die innerbetriebliche Organisation so, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. (3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. (4) Insoweit ist es der AN gestattet, alternative adäquate Maßnahmen nach Zustimmung durch eine Ansprechperson der AG umzusetzen. (5) Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. (6) Wesentliche Änderungen sind zu dokumentieren. (7) Sollte sich im Laufe der Vertragslaufzeit herausstellen, dass die technisch-organisatorischen Maßnahmen nicht mehr dem Stand der Technik entsprechen oder durch neue gesetzliche Vorgaben höhere Anforderungen gestellt werden müssen, kann die AG im Rahmen ihres Weisungsrechts eine Anpassung auf den aktuellen Stand der Technik verlangen. (8) Soweit die in Satz 7 beschriebenen Ausnahmesituationen eintreten sollten, ist die AN verpflichtet die durch die Anpassung des Schutzniveaus entstehenden Kosten zu tragen.
  3. (1) Die AN hat darüber hinaus sicher zu stellen, dass alle in dieser Vereinbarung geforderten Maßnahmen und ihre tatsächliche Umsetzung durch die AN in einem umfassenden und aktuellen Datenschutz- und Sicherheitskonzept dokumentiert sind. (2) Unabhängig von einer konkreten Aufforderung durch die AG übermittelt die AN das aktuelle Datenschutz- und Sicherheitskonzept zumindest ein Mal jährlich zum 15.12. der Hauptansprechperson der AG.
  4. Wenn und soweit die Auftragsverarbeitung ausschließlich darin besteht, dass die AN in den Räumlichkeiten der AG und unter Aufsicht von Beschäftigten der AG personenbezogene Daten verarbeitet und ausgeschlossen werden kann, dass die AN die personenbezogenen Daten aus dem unmittelbaren Zugriff der AG bringen kann, finden die Regelungen dieses Paragrafen keine Anwendung.

§ 7 Kontrollrechte der AG

1. (1) Die AN erklärt sich damit einverstanden, dass der AG das jederzeitige Recht zur Durchführung von datenschutzrechtlichen Kontrollhandlungen zusteht. (2) Die Ansprechpersonen der AG können sich zur Durchführung der Kontrollmaßnahmen weiterer (auch externer) Personen bedienen. (3) Der AN wird mit der Ankündigung der Kontrollmaßnahmen durch eine der Ansprechpersonen der AG auch der Name der Person/-en mitgeteilt, welche die Kontrollmaßnahme federführend vornehmen wird/ werden. (4) Für den Fall, dass die AG beabsichtigt, ein externes Unternehmen mit der Vornahme einer Kontrollhandlung zu beauftragen, wird die AG darauf achten, dass sie kein Unternehmen beauftragt, das mit der AN in einem Wettbewerbsverhältnis steht. (5) Sollte die AG ein entsprechendes Wettbewerbsverhältnis im Ausnahmefall nicht erkennen, steht der AN das Recht zu, die Durchführung der Kontrollmaßnahme durch das von der AG beauftragte Unternehmen unter Angabe einer detaillierten Begründung gegenüber der Hauptansprechperson der AG abzulehnen.
2. (1) Gegenstand der Kontrollhandlungen ist die Einhaltung der gesetzlichen Vorschriften zum Datenschutz und der hierzu in dieser Vereinbarung geschlossenen Regelungen (insbesondere – aber nicht ausschließlich – der technischen und organisatorischen Maßnahmen). (2) Denkbare Kontrollhandlungen sind beispielsweise die Einsichtnahme in das Datenschutz- und IT-Sicherheitskonzept der AN, die Einsichtnahme in bereits erfolgte Datenschutzaudits bzw. deren Beauftragung, die Einsichtnahme in Prüfberichte und Zertifizierungen (Artikel 40 DS-GVO) der AN oder auch die Inaugenscheinnahme vor Ort. (3) Die Inaugenscheinnahme vor Ort bei der AN erfolgt nur in Ausnahmefällen, wenn sich die AG ansonsten keinen hinreichenden Überblick verschaffen kann. (4) Die Entscheidung darüber, ob eine entsprechende Situation im Sinne des Satzes 3 vorliegt, trifft ausschließlich die AG.
3. (1) Soweit sich die AG zu einer Inaugenscheinnahme vor Ort bei der AN entscheiden sollte, ist die AN verpflichtet, der AG den Zutritt zu den Arbeitsräumen und dem Serverraum/ Rechenzentrum – zumindest in Begleitung – zu ermöglichen. (2) Weiter wird die AN im Hinblick auf den unter Absatz 2 Satz 1 beschriebenen Kontrollgegenstand vollumfänglich Auskunft und Einblick in die für die AG erhobenen, verarbeiteten und genutzten personenbezogenen Daten und die Datenverarbeitungsprogramme gewähren. (3) Schließlich legt die AN nach Aufforderung auch einen Nachweis über die Verpflichtung ihrer Beschäftigten auf die Vertraulichkeit und weitere einschlägige Verpflichtungserklärungen vor.(4) Die Kontrollhandlungen finden in der Regel während der gewöhnlichen Geschäftszeiten der AG statt (Mo - Do ca. zwischen 08.00 und 18.00 Uhr / Fr ca. zwischen 08.00 und 14.00 Uhr). (5) Die AG wird darauf achten, dass der Betriebsablauf der AN durch die Kontrollhandlungen so gering wie möglich gestört wird.
4. (1) Die AN ist zur Unterstützung der AG bei den Kontrollhandlungen verpflichtet und hat die Maßnahmen zu dulden. (2) Soweit die AG Unterlagen bei ihr anfordert, hat sie diese der AG (Absatz 1 Satz 3) innerhalb von 10 Kalendertagen zu übermitteln, soweit die AG keine längere Frist vorgibt. (3) Soweit die AG die Inaugenscheinnahme vor Ort beabsichtigt, kündigt die AG (Absatz 1 Satz 3) dies der AN grundsätzlich mindestens 10 Kalendertage vorher an, es sei denn, dass der AG konkrete Anhaltspunkte für erhebliche Datenschutzverstöße bei der AN vorliegen. (4) Im letztgenannten Fall des Satzes 3 ist die Inaugenscheinnahme durch die AG unverzüglich, zumindest innerhalb von drei Kalendertagen, durch die AN zu ermöglichen. (5) Die Entscheidung darüber, ob eine entsprechende Situation im Sinne des Satzes 4 vorliegt, trifft ausschließlich die AG.
5. Für die Ermöglichung von Kontrollen durch die AG und die Unterstützung und Begleitung der AG dabei kann die AN keinen Vergütungsanspruch, keine Aufwandsentschädigung oder auch sonstigen Kostenbeitrag geltend machen.

§ 8 Mitteilungspflichten der AN

1. Die AN unterrichtet eine Ansprechperson der AG – unter Berücksichtigung der Verpflichtungen nach Artikel 33 und 34 DS-GVO – unverzüglich:
   • und unabhängig davon, ob diese Aktivitäten im Zusammenhang mit der Auftragsverarbeitung für die AG stehen, bei Kontrollhandlungen, Maßnahmen oder Ermittlungen des bayerischen Landesbeauftragten für Datenschutz oder anderen Aufsichtsbehörden (Datenschutz) bei ihr über den Umstand;
   • und detailliert unter Benennung der Regelung, gegen die verstoßen wurde und der betroffenen personenbezogenen Daten, wenn durch sie, eine bei der AN beschäftigte Person oder eine*n Unterauftragsverarbeiter*in Verstöße gegen Vorschriften zum Schutz personenbezogener Daten, die im Auftrag der AG verarbeitet wurden oder werden, oder gegen die in dieser Vereinbarung getroffenen Festlegungen verursacht wurden;
   • wenn es unabhängig von der Verantwortlichkeit der AN zu schweren Betriebsstörungen bei der AN oder einer*einem Unterauftragsverarbeiter*in gekommen ist und nicht ausgeschlossen werden kann, dass Unbefugte Zugriff auf die personenbezogenen Daten erlangt haben könnten, die im Auftrag für die AG verarbeitet wurden oder werden;
   • wenn unabhängig von der unmittelbaren Betroffenheit der Daten, die für die AG verarbeitet werden, zu befürchten ist, dass Unbefugte im Verantwortungsbereich der AN oder einer*eines Unterauftragsverarbeiter*in Kenntnis von personenbezogenen Daten nehmen konnten;
   • wenn die personenbezogenen Daten, die im Auftrag der AG verarbeitet werden, durch Maßnahmen von sonstigen Dritten, etwa durch Pfändungen, Beschlagnahme, Insolvenz- oder Vergleichsverfahren oder sonstige Ereignisse mittelbar betroffen sein könnten;
   • wenn sie oder ein*e Unterauftragsverarbeiter*in den Wechsel der Betriebsstätte beabsichtigt.
2. (1) Die Information hat unverzüglich telefonisch an eine Ansprechperson der AG zu erfolgen. (2) Zusätzlich übermittelt die AN der Hauptansprechperson der AG zumindest nachträglich die Dokumentation des jeweiligen Vorgangs (wenn nicht Rechte Dritter entgegenstehen), wenn die Ansprechpersonen der AG nicht im Rahmen des Weisungs- und Kontrollrechts andere oder weitergehende Anforderungen an die AN stellen.
3. Die AN hat in den Fällen des § 8 Absatz 1 dieser Vereinbarung das weitere Vorgehen im Rahmen des Vertrages mit einer Ansprechperson der AG abzustimmen und unverzüglich alle Maßnahmen einzuleiten, die erforderlich sind, um eine weitere Gefährdung aller personenbezogenen Daten auszuschließen.

§ 9 Aufbewahrungs-, Lösch- und Rückgabekonzept

• 1. (1) Die AN wird die von ihr im Rahmen des Vertragsverhältnisses und dieser Vereinbarung verarbeiteten personenbezogen Daten sorgsam und gemäß den Vorgaben dieser Vereinbarung aufbewahren. (2) Die AN bewahrt die personenbezogenen Daten nicht länger auf, als dies die AG bestimmt.
  2. (1) Die AN wird ohne vorherige Zustimmung der AG keine Kopien oder Reproduktionen erstellen. (2) Ausgenommen hiervon sind die Erstellung von Sicherungsdateien und solchen Sicherungen, die für die Umsetzung der Vorgaben dieser Vereinbarung oder gesetzlichen Aufbewahrungspflichten zwingend erforderlich sind. (3) Überlassene Datenträger und sämtliche hiervon gefertigte Kopien und Reproduktionen durch die AN verbleiben im Eigentum der AG.
  3. (1) Nicht mehr benötigte Unterlagen mit personenbezogenen Daten dürfen erst nach vorheriger Zustimmung der AG unter Berücksichtigung der einschlägigen Normen datenschutzgerecht vernichtet werden oder sind an die AG auf deren Verlangen auszuhändigen. (2) Gleiches gilt für die Löschung von personenbezogen Daten im Sinne dieser Vereinbarung auf Speichermedien der AN, sowie Ausschuss- und Testmaterial, welches personenbezogene Daten enthält.
  4. (1) Bei jeglicher Beendigung des Vertragsverhältnisses oder dieser Vereinbarung händigt die AN sämtliche in ihren Besitz gelangten Unterlagen und Speichermedien der AG und von ihr erstellte Verarbeitungs- und Nutzungsergebnisse, die im Zusammenhang mit der Auftragsverarbeitung stehen, der AG unverzüglich aus. (2) Die von der AN im Rahmen des Vertragswerkes und dieser Vereinbarung verarbeiteten personenbezogenen Daten sind ebenfalls der AG bei jeglicher Beendigung des Vertragsverhältnisses oder dieser Vereinbarung in geeigneter, von der AG zu bestimmender Form zu überlassen. (3) Anschließend sind alle personenbezogen Daten, welche der AN im Rahmen des Vertragsverhältnisses oder dieser Vereinbarung verarbeitet hat, überlassen oder von ihr erhoben wurden und sich auf Speichermedien befinden, unwiederbringlich und daten-schutzgerecht zu löschen. (4) Dies gilt auch für alle Archivierungs- und Sicherungsdateien. (5) Soweit die personenbezogenen Daten in sonstiger Form weiterhin bei der AN vorhanden sind, bietet sie diese der AG zur kostenlosen Überlassung an oder vernichtet diese nach Aufforderung durch die AG datenschutzgerecht. (6) Die Geltendmachung etwaiger Zurückbehaltungsrechte aus § 273 BGB oder sonstigen gesetzlichen oder vertraglichen Regelungen wird hiermit bzgl. der Daten und Datenträger der AG ausdrücklich ausgeschlossen.
  5. (1) Die Löschung sämtlicher personenbezogener Daten ist von der AN zu dokumentieren. (2) Die Dokumentation muss zumindest Angaben zu Anzahl und Art der gelöschten Daten, das jeweils eingesetzte Löschverfahren und den Zeitpunkt der Löschung enthalten. (3) Die Dokumentation wird von der AN auf dem aktuellen Stand gehalten und der AG auf Verlangen unverzüglich die Einsichtnahme ermöglicht.
  6. (1) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung dienen, sind durch die AN entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. (2) Die AN kann diese Dokumentationen zu ihrer Entlastung bei Vertragsende der AG übergeben.

§ 10 Unterauftragsverhältnisse

1. Die Beauftragung von Unterauftragsverarbeiter*innen durch die AN ist nach Maßgabe der folgenden Absätze, insbesondere der vorherigen schriftlichen Zustimmung (Einwilligung) durch die AG (Absatz 2), grundsätzlich zulässig.
2. (1) Soweit dieAN Teile der von ihr nach dem Vertragswerk geschuldeten Leistung durch Unterauf-tragsverarbeiter*innen erbringen lassen will und hierdurch der Regelungsgehalt dieser Vereinbarung betroffen ist, darf die AN die*den Unterauftragsverarbeiter*in nur nach ausdrücklicher vorheriger schriftlicher Zustimmung der AG hiermit beauftragen. (2) Hinsichtlich der im Vergabeverfahren bereits benannten Unterauftragsverarbeiter*innen der AN wird die Zustimmung hiermit erteilt. (3) Jede Änderung (anderes Unternehmen oder anderer Aufgabenzuschnitt) hinsichtlich derjenigen Unterauftragsverarbeiter*innen, deren Beauftragung die AG nach Satz 1 und 2 bereits zugestimmt hat, unterliegt wiederum dem Zustimmungsvorbehalt nach Satz 1. (4) Soweit sich die AN nicht an die vorgenannten Vorgaben hält oder trotz noch nicht erteilter oder verweigerter Zustimmung ein*n Dritte*n einsetzt, ist die AG berechtigt, die Leistung der AN und der*des Dritten im betroffenen Bereich zu unterbinden und zurückzuweisen. (5) Insbesondere ist die AG in den im Satz 4 genannten Fällen nicht zur Bezahlung der betroffenen Leistungen verpflichtet.
3. (1) Wenn Unterauftragsverarbeiter*innen durch die AN nach der Zustimmung nach Absatz 2 eingeschaltet werden, hat die AN sicherzustellen, dass ihre Vereinbarung mit der*dem Unterauftragsverarbeiter*in so gestaltet ist, dass das Datenschutzniveau mindestens demjenigen der Vereinbarung zwischen der AG und der AN entspricht und der AG in der Vereinbarung unmittelbar die Kontroll- und Überprüfungsrechte (entsprechend § 7 dieser Vereinbarung) auch gegenüber der*dem Unterauftragsverarbeiter*in zustehen. (2) Weiter hat die AN im Verhältnis zu der*dem Unterauftragsverarbeiter*in sicherzustellen, dass die AN auf Anforderung der AGberechtigt ist, Auskunft über den wesentlichen Vertragsinhalt und die Umsetzung der datenschutz-relevanten Verpflichtungen der*des Unterauftragsverarbeiter*in zu erteilen. (3) Schließlich hat die AN sicherzustellen, dass es der*dem Unterauftragsverarbeiter*in verboten ist, selbst weitere Unter-Unterauftragsverarbeiter*innen zu beauftragen. (4) Kommt die*der Unterauftrags-verarbeiter*in den im Sinne dieses Absatzes begründeten Datenschutzpflichten nicht nach, haftet die AN gegenüber der AG insoweit (Artikel 28 Absatz 4 Satz 2 DS-GVO).

§ 11 Geheimhaltung / Vertragsstrafe / Haftung

• 1. (1) Die AN ist verpflichtet, die Informationen über alle personenbezogen Daten im Sinne dieser Vereinbarung streng vertraulich zu behandeln, soweit die Offenlegung nicht vertraglich geschuldet ist. (2) Diese Verpflichtung gilt auch nach Beendigung des Vertragsverhältnisses und dieser Vereinbarung fort.
  2. (1) Für jeden Fall der schuldhaften Zuwiderhandlung der AN gegen eine Regelung dieser Vereinbarung hat die AN der AG eine Vertragsstrafe zu zahlen, deren jeweilige Höhe die AG nach billigem Ermessen festsetzt und die im Streitfalle vom zuständigen Gericht überprüft werden kann. (2) Die Geltendmachung der Vertragsstrafe lässt die Geltendmachung weitergehender Ansprüche (z.B. auf Schadensersatz) unberührt. (3) Eine verwirkte Vertragsstrafe wird auf einen etwaigen Schadensersatzanspruch angerechnet. (4) Die verwirkte Vertragsstrafe stellt den Mindestbetrag des Schadens dar.
  3. (1) Die AN und die AG haften für Schadensersatzansprüche Dritter gemäß der in Artikel 82 DS-GVO getroffenen Regelung. (2) Eine Haftungsbeschränkung zu Gunsten der AN gibt es im Anwendungsbereich dieser Vereinbarung zur Auftragsverarbeitung weder im Hinblick auf Schadensersatzansprüche noch auf Bußgelder.

§ 12 Sonderkündigungsrecht

Die AG ist berechtigt, den Vertrag und diese Vereinbarung jederzeit und ohne Einhaltung einer Frist zu kündigen/ beenden, wenn die AN schwerwiegend gegen eine Bestimmung dieser Vereinbarung verstößt, einer Weisung der AG unberechtigt nicht Folge leistet, Kontrollmaßnahmen im Sinne des § 7 dieser Vereinbarung verweigert oder die AN gegen die Regelung des § 4 Absatz 9 dieser Vereinbarung verstößt.

§ 13 Schlussbestimmungen

(1) Mündliche Nebenabreden zu dieser Vereinbarung wurden nicht getroffen. (2) Änderungen, Ergänzungen und Zusätze dieser Vereinbarung außerhalb der Befugnisse der Ansprechpersonen der AG und der AN haben nur Gültigkeit, wenn sie zwischen AG und AN schriftlich vereinbart und auf Seiten der AG von der*dem Referent*in oder der*dem Stadtdirektor*in des Sozialreferats unterzeichnet wurden. (3) Dies gilt auch für die Änderung der Regelungen des § 13 Absatz 1 Satz 1 und 2 dieser Vereinbarung selbst.

Anhang „TOM“ technisch – organisatorische Maßnahmen