[Seite 1]
Anlage
Vertrag zur Verarbeitung personenbezogener Daten
im Auftrag (AVV)
nach Art. 28 Abs. 3
Datenschutz-Grundverordnung (DSGVO)
zwischen
Stadt Regensburg, D.-Martin-Luther-Straße 3, 93047 Regensburg
- Verantwortlicher (nachfolgend Auftraggeber genannt) -
und
- Auftragsverarbeiter (nachfolgend Auftragnehmer genannt) -
Präambel
Dieser Vertrag ergänzt die Verpflichtungen der Vertragsparteien zum Datenschutz nach Art.
28 Abs. 3 DSGVO, die sich aus den Vergabeunterlagen
oder Vertrag
(im Folgenden „Auftrag“ genannt), ergeben. Er findet Anwendung auf alle Verarbeitungen
personenbezogener Daten, die mit dem Auftrag in Zusammenhang stehen und bei denen der
Auftragnehmer oder durch den Auftragnehmer beauftragte Dritte personenbezogene Daten für
den Auftraggeber verarbeiten.
Version: 01.07.2026 Seite
[Seite 2]
- Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung
1.1 Art, Zweck und Gegenstand der Verarbeitung
Dauer der Verarbeitung
Art der verarbeiteten personenbezogenen Daten
Kategorien der betroffenen Personen
1.2 Die in diesem Vertrag vereinbarten Leistungen werden ausschließlich in einem Mitgliedsstaat
der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäi-
schen Wirtschaftsraum erbracht. Jede Verlagerung der Leistungen oder von Teilarbeiten
dazu in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur er-
folgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
Version: 01.07.2026 Seite
[Seite 3]
- Rechte und Pflichten des Auftragnehmers
2.1 Der Auftragnehmer verarbeitet Daten von betroffenen Personen ausschließlich im Rahmen
der getroffenen Vereinbarungen und der dokumentierten Weisungen des Auftraggebers so-
wie entsprechend den datenschutzrechtlichen Regelungen, sofern er nicht zu einer anderen
Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer
unterliegt, verpflichtet ist. In letzterem Fall teilt der Auftragnehmer dem Auftraggeber diese
rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine
solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3
Satz 2 Buchstabe a DSGVO). Der Auftragnehmer verwendet die zur Verarbeitung überlas-
senen Daten für keine anderen Zwecke und insbesondere nicht für eigene Zwecke. Kopien
der Daten werden, ohne dass sie im Auftrag oder in dieser Vereinbarung geregelt sind, nicht
erstellt. Hiervon ausgenommen sind Kopien, soweit sie zur Gewährleistung einer
ordnungsgemäßen Auftragsverarbeitung und zur ordnungsgemäßen Erbringung der IT-
Dienstleistungen einschließlich einer etwaigen geschuldeten Datensicherung erforderlich
sind, sowie Kopien, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten
erforderlich sind.
Sofern Weisungen des Auftraggebers zunächst mündlich erfolgen, sind sie unverzüglich
schriftlich oder elektronisch zu bestätigen.
2.2 Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist,
dass eine Weisung gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).
Ist die Rechtmäßigkeit einer Weisung zweifelhaft, ist der Auftragnehmer berechtigt, die
Durchführung der Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt
oder geändert wird. Stehen schwere Persönlichkeitsrechtsverletzungen im Raum oder nimmt
der Auftragnehmer bei weisungsgemäßem Handeln das Risiko einer strafbaren Handlung
auf sich, darf er die Umsetzung der Weisung darüber hinaus aussetzen, bis die Parteien eine
einvernehmliche Lösung gefunden haben.
2.3 Der Auftragnehmer gestaltet seine innerbetriebliche Organisation so, dass sie den Anforde-
rungen des Datenschutzes gerecht wird. Er trifft insbesondere geeignete technische und
organisatorische Maßnahmen, um einen dem Risiko angemessenen Schutz der Daten des
Auftraggebers zu gewährleisten (Art. 32 Abs. 1 DSGVO). Sofern personenbezogene Daten
in Telearbeit und Heimarbeit verarbeitet werden, ist er verpflichtet, dies dem Auftraggeber
mitzuteilen. Er trifft diese technischen und organisatorischen Maßnahmen so, dass die Ver-
traulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusam-
menhang mit der Verarbeitung auf Dauer sichergestellt sind.
Version: 01.07.2026 Seite
[Seite 4]
Die entsprechenden technischen und organisatorischen Maßnahmen ergeben sich aus (bitte
ausführen - ggf. mit Verweisung -, z. B. aus der Anlage zu diesem Vertrag, dem Sicherheits-
konzept etc.).
Änderungen der getroffenen Maßnahmen durch den Auftragnehmer sind nur zulässig, wenn
sichergestellt ist, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.
Wesentliche Änderungen sind dem Auftraggeber mitzuteilen und mit diesem abzustimmen.
2.4 Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten techni-
schen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträ-
gen betroffener Personen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte
(Art. 28 Abs. 3 Satz 2 Buchstabe e DSGVO) nachzukommen und unterstützt den Auftrag-
geber unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Ein-
haltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, wie etwa bei erforderlichen
Datenschutz-Folgenabschätzungen (Art. 28 Abs. 3 Satz 2 Buchstabe f DSGVO).
2.5 Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des Auftrag-
gebers befassten Beschäftigten und anderen für den Auftragnehmer tätigen Personen unter-
sagt ist, die Daten außerhalb der Weisung zu verarbeiten. Ferner gewährleistet der Auftrag-
nehmer, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen
zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegen-
heit unterliegen (Art. 28 Abs. 3 Satz 2 Buchstabe b DSGVO). Die Vertraulichkeits-/Ver-
schwiegenheitspflicht besteht auch nach Beendigung des Auftrages fort.
2.6 Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn ihm im Rahmen des
Auftragsverhältnisses Verletzungen des Schutzes personenbezogener Daten des Auftrag-
gebers bekannt werden. Er trifft die erforderlichen Maßnahmen zur Sicherung der Daten und
zur Minderung möglicher nachteiliger Folgen für die betroffenen Personen.
Version: 01.07.2026 Seite
[Seite 5]
2.7 Der Auftragnehmer nennt dem Auftraggeber Ansprechpartner für im Rahmen dieses Vertra-
ges anfallende Weisungen sowie eines/einer etwaigen Datenschutzbeauftragten. Bei einem
Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Auftrag-
geber die Kontaktdaten eines/einer neuen zuständigen Ansprechpartner/in bzw. eines/einer
etwaigen Datenschutzbeauftragten unverzüglich anzuzeigen.
Ansprechpartner/in des Auftragnehmers:
(Name, Vorname, Funktion, Organisationseinheit, Telefon, E-Mail)
Datenschutzbeauftragte/r des Auftragnehmers:
(Name, Vorname, Funktion, Organisationseinheit, Telefon, E-Mail)
2.8 Der Auftragnehmer berichtigt, löscht oder sperrt die vertragsgegenständlichen Daten, wenn
der Auftraggeber dies anweist und dies vom Weisungsrahmen umfasst ist, es sei denn, die
Weisung widerspricht etwaigen gesetzlichen Aufbewahrungspflichten.
2.9 Nach Auftragsende sind Daten (einschließlich vorhandener Kopien), Datenträger sowie
sonstige Materialien auf Verlangen und nach Wahl des Auftraggebers entweder zurückzu-
geben oder zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitglied-
staaten eine Verpflichtung zur weiteren Speicherung der personenbezogenen Daten besteht
(Art. 28 Abs. 3 Satz 2 Buchstabe g DSGVO).
2.10 Im Falle einer Inanspruchnahme des Auftraggebers durch eine Person hinsichtlich etwaiger
Schadensersatzansprüche nach Art. 82 DSGVO verpflichtet sich der Auftragnehmer, den
Auftraggeber bei der Abwehr der Ansprüche im Rahmen seiner Möglichkeiten zu unter-
stützen.
Version: 01.07.2026 Seite
[Seite 6]
- Rechte und Pflichten des Auftraggebers
3.1 Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen
Bestimmungen der Datenschutzgesetze, insbesondere für die Beurteilung der Rechtmäßig-
keit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO, die Datenweitergabe an den Auftrag-
nehmer sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22
DSGVO verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DSGVO).
3.2 Der Auftraggeber informiert den Auftragnehmer unverzüglich, falls er in den Auftrags-
ergebnissen Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen
feststellt.
3.3 Im Falle einer Inanspruchnahme des Auftragnehmers durch eine Person hinsichtlich etwaiger
Schadensersatzansprüche nach Art. 82 DSGVO verpflichtet sich der Auftraggeber, den Auf-
tragnehmer bei der Abwehr der Ansprüche im Rahmen seiner Möglichkeiten zu unterstützen.
3.4 Der Auftraggeber nennt dem Auftragnehmer weisungsberechtigte Personen für im Rahmen
der Vereinbarung anfallende Weisungen sowie den/die Datenschutzbeauftragte/n. Bei einem
Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Auftragneh-
mer unverzüglich die Kontaktdaten eines neuen, zuständigen Ansprechpartners bzw. Daten-
schutzbeauftragte/n anzuzeigen.
Weisungsberechtigte Personen des Auftraggebers sind:
(Name, Vorname, Funktion, Organisationseinheit, Telefon, E-Mail)
Datenschutzbeauftragte/r des Auftraggebers
Behördlicher Datenschutz der Stadt Regensburg, Postfach 110643, 93019 Regensburg E-Mail: datenschutz@regensburg.de
3.5 Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kennt-
nisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers
vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages
bestehen. Die Befugnisse der Aufsichtsbehörden – insbesondere nach Art. 58 Abs. 1
DSGVO – bleiben hiervon unberührt.
Version: 01.07.2026 Seite
[Seite 7]
- Anfragen betroffener Personen
Macht eine betroffene Person ihre Rechte gemäß Art. 15 ff. DSGVO gegenüber dem Auf-
tragnehmer geltend, wird dieser die betroffene Person an den Auftraggeber verweisen,
sofern eine Zuordnung an den Auftraggeber auf Basis der Angaben der betroffenen Person
möglich ist. Gemäß Nr. 2.4 dieses Vertrages unterstützt der Auftragnehmer den Auftraggeber
nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der
Erfüllung von Anträgen betroffener Personen auf Wahrnehmung der in Kapitel III der DSGVO
genannten Rechte.
- Kontrollrechte des Auftraggebers
Es ist mindestens ein Feld durch den Auftragnehmer anzukreuzen und zu belegen!
5.1 Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis
der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3
Satz 2 Buchstabe h DSGVO).
Folgende Nachweise sind diesem Vertrag als Anlage beigefügt:
Ergebnisse eine Selbstaudits (Anlage )
Zertifikat zu Datenschutz- und/oder Informationssicherheit (z.B. ISO 27001) (Anlage )
Genehmigte Verhaltensregeln (Art. 40 DSGVO) vom (Datum) (Anlage )
Zertifizierungen gemäß Art. 42 DSGVO (Anlage )
Verbindliche interne Datenschutzvorschriften (Art. 47 DSGVO) (Datum) (Anlage )
Aktuelles Testat und/oder Berichte oder Berichtsauszüge unabhängiger Instanzen (z. B. Wirtschaftsprüfer/in, Revision, Datenschutzbeauftragte/r, IT-Sicherheitsabteilung, Datenschutzauditor/in, Qualitätsauditor/in) (Anlage )
(Anlage )
5.2 Sofern einschlägig, verpflichtet sich der Auftragnehmer, den Auftraggeber über den Aus-
schluss von genehmigten Verhaltensregeln nach Art. 41 Abs. 4 DSGVO und den Widerruf
einer Zertifizierung nach Art. 42 Abs. 7 DSGVO unverzüglich zu informieren.
5.3 Der Auftraggeber ist berechtigt, sich vor Beginn und während der Verarbeitung von der Ein-
haltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maß-
nahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen. Dies und
Version: 01.07.2026 Seite
[Seite 8]
Maßnahmen nach Nr. 5.4 werden nicht durch die Vorlage von Nachweisen nach Nr. 5.1 aus-
geschlossen.
5.4 Inspektionen durch den Auftraggeber oder durch einen von diesem beauftragten Prüfer wer-
den grundsätzlich nach vorheriger Anmeldung unter Berücksichtigung einer angemessenen
Vorlauffrist zu den üblichen Geschäftszeiten durchgeführt. Der Auftragnehmer hat die
Inspektion von der Unterzeichnung einer Verschwiegenheitserklärung abhängig zu machen,
wenn die Möglichkeit besteht, dass der Auftraggeber oder ein/e von diesem beauftragte/r
Prüfer/in im Rahmen seiner/ihrer Inspektion auch Kenntnis von Daten erlangt, die der
Auftragnehmer im Auftrag eines anderen Verantwortlichen verarbeitet. Der Auftraggeber
stellt sicher, dass ein von ihm beauftragter Prüfer in keinem Wettbewerbsverhältnis zu dem
Auftragnehmer steht.
- Unterauftragsverarbeiter (weitere Auftragsverarbeiter)
6.1 Ein Unterauftragsverarbeitungsverhältnis liegt vor, wenn der Auftragnehmer weitere
Auftragsverarbeiter mit der ganzen oder einer Teilleistung der im Vertrag vereinbarten
Leistung beauftragt.
Der Auftragnehmer trägt bei der Auswahl eines Unterauftragsverarbeiters insbesondere
Sorge dafür, dass dieser hinreichende Garantien dafür bietet, dass die geeigneten
technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die
Verarbeitung personenbezogener Daten entsprechend den Anforderungen der Datenschutz-
Grundverordnung erfolgt.
Nicht als Unterauftragsverarbeitungsverhältnis im Sinne dieser Regelung sind solche Leis-
tungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung
bei der Auftragsdurchführung in Anspruch nimmt. Hierzu zählen z.B. Telekommunikations-
leistungen, Wartung und Benutzerservice (wenn ein Zugriff auf personenbezogene Daten
des Auftraggebers ausgeschlossen ist), Reinigungskräfte und Prüfer. Der Auftragnehmer
trifft mit diesen Dritten im erforderlichen Umfang schriftliche Vereinbarungen, um angemes-
sene Datenschutz- und Informationssicherheitsmaßnahmen zu gewährleisten und behält
sich Kontrollmaßnahmen vor, um den Schutz und die Sicherheit der Daten des Auftraggebers
zu gewährleisten.
6.2 Der Auftragnehmer nimmt keinen Unterauftragsverarbeiter ohne vorherige gesonderte oder
allgemeine schriftliche Genehmigung in Anspruch. Der Auftragnehmer teilt dem Auftraggeber
die bereits bei Abschluss dieses Vertrages bestehenden Unterauftragsverarbeitungsverhält-
nisse vorab mit. Die bei Vertragsbeginn bestehenden Unterauftragsverarbeitungsverhält-
nisse sind in Anlage zu diesem Vertrag aufgeführt. Diese gelten als von Beginn des
Auftrages an genehmigt.
Version: 01.07.2026 Seite
[Seite 9]
6.3 Weitere Unterauftragsverarbeiter
Alternative 1:
Gemäß den vorgenannten Regelungen erteilt der Auftraggeber dem Auftragnehmer die
allgemeine Genehmigung, weitere Auftragsverarbeiter im Sinne des Art. 28 Abs. 2
DSGVO in Anspruch zu nehmen (Art. 28 Abs. 2 Satz 1 Alt. 2, Satz 2 DSGVO). Der Auf-
tragnehmer informiert den Auftraggeber frühzeitig, wenn er Änderungen in Bezug auf die
Hinzuziehung oder die Ersetzung weiterer Auftragsverarbeiter beabsichtigt. Der Auftrag-
geber kann gegen derartige Änderungen Einspruch erheben. Der Einspruch ist innerhalb
von einem Monat nach Zugang der Information über die Änderungen schriftlich gegenüber
dem Auftragnehmer einzulegen. Kann keine einvernehmliche Lösung erzielt werden,
erfolgt eine Einschränkung oder Beendigung der Auftragsverarbeitung.
Alternative 2:
Der Auftragnehmer nimmt einen Unterauftragsverarbeiter nur in Anspruch, wenn der Auf-
traggeber dies zuvor gesondert schriftlich genehmigt hat (Art. 28 Abs. 2 Satz 1 Alt. 1
DSGVO). Der Auftragnehmer informiert den Auftraggeber frühzeitig, wenn er Änderungen
in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern beab-
sichtigt.
6.4 Der Vertrag mit dem Unterauftragsverarbeiter muss schriftlich abgefasst werden, was auch
in einem elektronischen Format erfolgen kann (Art. 28 Abs. 4 und Abs. 9 DSGVO). In dem
Vertrag mit dem Unterauftragsverarbeiter sind dieselben datenschutzrechtlichen Pflichten
aus der vorliegenden Vereinbarung diesem wirksam aufzuerlegen. Insbesondere muss der
Auftraggeber berechtigt sein, im Bedarfsfall angemessene Überprüfungen und Inspektionen,
auch vor Ort, bei Unterauftragsverarbeitern durchzuführen oder durch von ihm beauftragte
Dritte durchführen zu lassen.
6.5 Der Auftragnehmer haftet gegenüber dem Auftraggeber dafür, dass der Unterauftragsverar-
beiter den Datenschutzpflichten nachkommt, die ihm durch den Auftragnehmer im Einklang
mit dem vorliegenden Abschnitt vertraglich auferlegt wurden (Art. 28 Abs. 4 Satz 2 DSGVO).
6.6 Eine Beauftragung von Unterauftragsverarbeiter in Drittstaaten darf nur erfolgen, wenn die
besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und der Auftraggeber vorab
zustimmt.
Version: 01.07.2026 Seite
[Seite 10]
- Haftung und Schadensersatz
Die Vertragsparteien haften entsprechend den einschlägigen gesetzlichen Bestimmungen
bzw. gegenüber betroffenen Personen gemäß Art. 82 DSGVO.
- Schlussbestimmungen
8.1 Die Laufzeit und Kündigungsmöglichkeit dieses Vertrages richtet sich grundsätzlich nach der
Laufzeit und den Regelungen des zugrundeliegenden Auftrages. Änderungen des Verarbei-
tungsgegenstandes und Verfahrensänderungen bedürfen der Schriftform oder eines elektro-
nischen Formates. Sowohl schriftliche als elektronische Dokumente sind aufgrund der Nach-
weispflicht aufzubewahren.
8.2 Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn die Daten des Auftrag-
gebers durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren
oder durch sonstige Ereignisse oder Maßnahmen Dritter beim Auftragnehmer gefährdet wer-
den. Der Auftragnehmer informiert in diesem Fall alle Beteiligten unverzüglich darüber, dass
das Eigentum an den Daten ausschließlich beim Auftraggeber liegt.
8.3 Änderungen und Ergänzungen dieses Vertrages und aller ihrer Bestandteile – einschließlich
etwaiger Zusicherungen des Auftragnehmers – bedürfen einer schriftlichen oder in einem
elektronischen Format abgefassten Vereinbarung, die den ausdrücklichen Hinweises darauf
enthält, dass es sich um eine Änderung bzw. Ergänzung dieses Vertrages handelt.
8.4 Sollten einzelne Bestimmungen dieses Vertrages ganz oder teilweise unwirksam oder
undurchführbar sein oder werden, so ist die Wirksamkeit der übrigen Regelungen hiervon
nicht betroffen. In diesem Falle werden die Parteien einvernehmlich eine neue Regelung oder
Ergänzung der bestehenden Regelung vereinbaren, die die unwirksame oder undurchführ-
bare Regelung in einer Art und Weise ersetzt bzw. ergänzt, die der ursprünglich von den
Parteien bei Abfassung dieser Anlage beabsichtigten Regelung am nächsten kommt, hätten
sie denn die Unwirksamkeit oder Undurchführbarkeit bedacht. Dies gilt auch für Regelungs-
lücken.
Ort, Datum Ort, Datum Auftragnehmer Auftraggeber
Unterschrift Auftragnehmer (Name in Druckschrift) Unterschrift Auftraggeber (Name in Druckschrift)
Version: 01.07.2026 Seite