06 Vertrag zur Auftragsverarbeitung (AVV) inkl. TOM-Liste.docx

Vergabenummer: 72/26

Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Zur Verarbeitung der personenbezogenen Daten

zwischen dem

Sächsischen Staatsministerium für Soziales,

Gesundheit und Gesellschaftlichen Zusammenhalt

• nachfolgend „Verantwortlicher“ genannt -

und

• nachfolgend „Auftragsverarbeiter“ genannt -

wird als Anlage zu der Leistungsbeschreibung vom 06.10.2026 (nachfolgend Leistungsbeschreibung genannt) folgender Vertrag zur Auftragsverarbeitung geschlossen:

§ 1 Gegenstand und Anwendungsbereich

(1) Der Gegenstand des Vertrages sind die Regelungen zur Auftragsverarbeitung gemäß den Vorgaben der DSGVO, des BDSG und des SächsDSDG im Rahmen des Auftragsverarbeitungsverhältnisses, das der Auftragsverarbeiter und der Verantwortliche mit der Leistungsbeschreibung eingegangen sind.

(2) Der Vertrag findet Anwendung auf die Verarbeitung (insbesondere Erhebung, Nutzung, Verarbeitung und Löschung) aller personenbezogenen Daten, die Gegenstand der Leistungsbeschreibung sind oder im Rahmen ihrer Durchführung anfallen oder dem Auftragsverarbeiter bekannt werden. Der Gegenstand und die Dauer der Auftragsverarbeitung sowie Umfang, Art und Zweck der vorgesehenen Verarbeitung von personenbezogenen Daten bestimmen sich nach der Leistungsbeschreibung. Dies gilt auch für die Art der personenbezogenen Daten und die Kategorien der betroffenen Personen.

(3) Änderungen des Verarbeitungsgegenstandes nach Absatz 2 und Verfahrensänderungen sind gemeinsam zwischen dem Verantwortlichen und dem Auftragsverarbeiter abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.

§ 2 Verantwortlichkeit, Weisungsbefugnis, allgemeine Rechte und Pflichten

(1) Der Verantwortliche und der Auftragsverarbeiter verpflichten sich zur Einhaltung der datenschutzrechtlichen Bestimmungen.

(2) Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Artikel 6 Absatz 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Artikel 12 bis 22 DSGVO ist allein der Verantwortliche verantwortlich. Gleichwohl ist der Auftragsverarbeiter verpflichtet, alle Anfragen, sofern sie erkennbar ausschließlich an den Verantwortlichen gerichtet sind, unverzüglich an diesen weiterzuleiten. Soweit sich eine betroffene Person zwecks Geltendmachung eines Betroffenenrechts unmittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.

(3) Der Auftragsverarbeiter darf personenbezogene Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen verarbeiten, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Europäischen Union oder des Mitgliedsstaates, dem der Auftragsverarbeiter unterliegt, verpflichtet ist (insbesondere Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(4) Eine Weisung ist die auf einen bestimmten Umgang des Auftragsverarbeiters mit personenbezogenen Daten gerichtete schriftliche, elektronische oder mündliche Anordnung des Verantwortlichen. Die Anordnungen sind durch den Auftragsverarbeiter zu dokumentieren. Die Weisungen werden zunächst durch die Leistungsbeschreibung definiert und können von dem Verantwortlichen danach in dokumentierter Form durch eine einzelne Weisung geändert, ergänzt oder ersetzt werden. Der Verantwortliche kann jederzeit die Herausgabe, Berichtigung, Anpassung, Löschung und Einschränkung der Verarbeitung der personenbezogenen Daten verlangen.

(5) Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften.

(6) Der Auftragsverarbeiter verwendet die personenbezogenen Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Auskünfte an Dritte oder die betroffene Person darf der Auftragsverarbeiter nur nach vorheriger ausdrücklicher schriftlicher Zustimmung durch den Verantwortlichen erteilen. Kopien und Duplikate betreffend die personenbezogenen Daten werden ohne Wissen des Verantwortlichen nicht erstellt.

(7) Der Verantwortliche führt das Verzeichnis von Verarbeitungstätigkeiten im Sinne von Artikel 30 Absatz 1 DSGVO. Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Wunsch Informationen zur Aufnahme in das Verzeichnis zur Verfügung. Der Auftragsverarbeiter führt entsprechend den Vorgaben von Artikel 30 Absatz 2 DSGVO ein Verzeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung.

(8) Die Verarbeitung der personenbezogenen Daten im Auftrag des Verantwortlichen findet ausschließlich auf dem Gebiet der Europäischen Union statt. Eine Verarbeitung in einem Staat außerhalb des in Satz 1 genannten Territoriums ist nur zulässig, wenn sichergestellt ist, dass unter Berücksichtigung der Voraussetzungen des Kapitels V der DSGVO das durch die DSGVO gewährleistete Schutzniveau nicht unterlaufen wird und bedarf der vorherigen ausdrücklichen schriftlichen Zustimmung des Verantwortlichen. Die grundlegenden Voraussetzungen für die Rechtmäßigkeit der Verarbeitung bleiben unberührt.

(9) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde im Rahmen ihrer Zuständigkeit bei dem Auftragsverarbeiter anfragt, ermittelt oder sonstige Erkundigungen einzieht.

(10) Zur Gewährleistung des Schutzes der Rechte der betroffenen Personen unterstützt der Auftragsverarbeiter den Verantwortlichen angemessen, insbesondere durch die Gewährleistung geeigneter technischer und organisatorischer Maßnahmen.

§ 3 Verpflichtung zur Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und weist dies dem Verantwortlichen auf Wunsch nach. Dies umfasst auch die Belehrung über die in diesem Auftragsverarbeitungsverhältnis bestehende Weisungs- und Zweckbindung. Eine Verarbeitung von personenbezogenen Daten außerhalb der Betriebsräume des Auftragsverarbeiters (insbesondere Telearbeit, Heimarbeit, Homeoffice, mobiles Arbeiten) bedarf der vorherigen ausdrücklichen schriftlichen Zustimmung des Verantwortlichen, die erst nach Festlegung angemessener technischer und organisatorischer Maßnahmen für die Verarbeitungssituation erteilt werden kann.

§ 4 Technisch-organisatorische Maßnahmen und deren Kontrolle

(1) Der Verantwortliche und der Auftragsverarbeiter sind verpflichtet, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveaus zu gewährleisten. Dazu werden einerseits mindestens die Schutzziele von Artikel 32 Absatz 1 DSGVO wie Vertraulichkeit, Verfügbarkeit und Integrität der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Maßnahmen das Risiko auf Dauer eingedämmt wird. Für die Auftragsverarbeitung sind auch technische und organisatorische Maßnahmen umzusetzen, die in Kapitel III der DSGVO genannten Rechte der betroffenen Personen wahren. Der Auftragsverarbeiter unterstützt damit den Verantwortlichen in seiner Pflicht, zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Personen nachzukommen.

(2) Der Auftragsverarbeiter wird seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Bei der Beurteilung der Eignung der jeweils eingesetzten technischen und organisatorischen Maßnahmen ist insbesondere die Art der zu schützenden Daten oder Datenkategorien zu berücksichtigen.

(3) Im Einzelnen werden folgende Mindestmaßnahmen bestimmt, die der Umsetzung der Vorgaben von Artikel 32 DSGVO dienen:

• Zutrittskontrolle, die sicherstellt, dass den Unbefugten der Zutritt zu Datenverarbei­tungsanlagen, mit denen personenbezogene Daten verarbeitet werden, verwehrt wird,
• Zugangskontrolle, die verhindert, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können,
• Zugriffskontrolle, die gewährleistet, dass die zur Benutzung eines Datenverarbeitungs­systems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können und dass personenbezogene Daten bei der Verarbeitung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.
• Weitergabekontrolle, die gewährleistet, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist,
• Eingabekontrolle, die gewährleistet, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungs­systeme eingegeben, verändert oder entfernt worden sind,
• Auftragskontrolle, die sicherstellt, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Verantwortlichen verarbeitet werden können,
• Verfügbarkeitskontrolle, die gewährleistet, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind und
• Trennungskontrolle, die gewährleistet, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können.

(4) Der Auftragsverarbeiter hat innerbetrieblich ein Verfahren zu etablieren, das regelmäßige Überprüfungen, Bewertungen und Evaluierungen der Wirksamkeit der zum Einsatz kommenden technischen und organisatorischen Maßnahmen durch die Vertragsparteien ermöglicht.

(5) Technische und organisatorische Maßnahmen unterliegen dem technischen Fortschritt. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

§ 5 Unterstützungspflichten

(1) Der Auftragsverarbeiter wird angesichts der Art der Verarbeitung den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person nachzukommen.

(2) Der Auftragsverarbeiter wird unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in Artikel 32 bis 36 DSGVO genannten Pflichten unterstützen.

§ 6 Nachweis der Einhaltung datenschutzrechtlicher Pflichten und deren Kontrolle

(1) Der Auftragsverarbeiter wird dem Verantwortlichen alle erforderlichen Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung der in diesem Vertrag getroffenen und der gesetzlichen Vorgaben erforderlich sind. Er wird insbesondere Überprüfungen und Inspektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglichen und deren Durchführung unterstützen.

(2) Der Nachweis der Umsetzung solcher in Absatz 1 genannten Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann dabei auch durch Vorlage einer aktuellen Bescheinigung der hinreichend qualifizierten und unabhängigen Instanzen (beispielsweise Wirtschaftsprüfer), durch die Einhaltung genehmigter Verhaltensregeln nach Artikel 40 DSGVO, einer Zertifizierung nach Artikel 42 DSGVO oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit erbracht werden. Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen über den Ausschluss von genehmigten Verhaltensregeln gemäß Artikel 41 Absatz 4 DSGVO, den Widerruf einer Zertifizierung gemäß Artikel 42 Absatz 7 DSGVO und jede andere Form der Aufhebung oder wesentlichen Änderung der vorgenannten Nachweise unverzüglich zu unterrichten.

(3) Der Verantwortliche kann sich jederzeit zu Prüfzwecken in den Betriebsstätten des Auftragsverarbeiters zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs von der Angemessenheit der Maßnahmen zur Einhaltung der gesetzlichen Vorgaben oder der zur Durchführung dieses Vertrages erforderlichen technischen und organisatorischen Erfordernisse überzeugen.

(4) Der Auftragsverarbeiter stellt dem Verantwortlichen darüber hinaus alle erforderlichen Informationen zur Verfügung, die er für die Prüfungen nach Absatz 3 sowie für eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz der personenbezogenen Daten (Datenschutz-Folgenabschätzung gemäß Artikel 35 DSGVO) benötigt.

§ 7 Mitteilung bei Verstößen durch den Auftragsverarbeiter

Der Auftragsverarbeiter unterrichtet den Verantwortlichen umgehend bei schwerwiegenden Störungen seines Betriebsablaufes, bei Verdacht auf Verstöße gegen diesen Vertrag sowie gesetzliche Datenschutzbestimmungen, bei Verstößen gegen solche Bestimmungen oder bei anderen Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten des Verantwortlichen. Dies gilt insbesondere im Hinblick auf die Meldepflicht nach Artikel 33 Absatz 2 DSGVO sowie auf korrespondierende Pflichten des Verantwortlichen nach Artikel 33 und Artikel 34 DSGVO. Der Auftragsverarbeiter sichert zu, den Verantwortlichen erforderlichenfalls bei seinen Pflichten nach Artikel 33 und 34 DSGVO angemessen zu unterstützen. Meldungen nach Artikel 33 oder 34 DSGVO für den Verantwortlichen darf der Auftragsverarbeiter nur nach vorheriger Weisung gemäß § 2 Absatz 4 dieses Vertrages durchführen.

§ 8 Löschung und Rückgabe von personenbezogenen Daten

(1) Überlassene Datenträger und Datensätze verbleiben im Eigentum des Verantwortlichen.

(2) Nach Abschluss der vertraglich vereinbarten Leistungen oder früher nach Aufforderung durch den Verantwortlichen, jedoch spätestens mit Beendigung laut der Leistungsbeschreibung, hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Bestände von personenbezogenen Daten (wie auch hiervon gefertigte Kopien oder Reproduktionen), die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verantwortlichen auszuhändigen oder nach vorheriger Zustimmung des Verantwortlichen datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Ein Löschungsprotokoll ist dem Verantwortlichen auf Anforderung vorzulegen.

(3) Der Auftragsverarbeiter kann Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, entsprechend der jeweiligen Aufbewahrungs-fristen bis zu deren Ende auch über das Vertragsende hinaus aufbewahren. Alternativ kann er sie zu seiner Entlastung bei Vertragsende dem Verantwortlichen übergeben. Für die aufbewahrten personenbezogenen Daten gelten nach Ende der Aufbewahrungsfrist die im Vorabsatz genannten Pflichten.

§ 9 Unterauftragnehmer

(1) Der Auftragsverarbeiter darf sich weiterer Auftragsverarbeiter (Unterauftragnehmer) zur Erfüllung seiner Verpflichtungen bedienen. Er hat alle entsprechenden Unterauftragnehmer am Ende dieses Vertrages anzugeben, derer er sich zur Erfüllung seiner Verpflichtungen bedient.

(2) Der Auftragsverarbeiter darf während des Vertragsvollzuges weitere Auftragsverarbeiter (Unterauftragnehmer) nur mit vorheriger ausdrücklicher schriftlicher Zustimmung des Verantwortlichen in Anspruch nehmen.

(3) Der Auftragsverarbeiter ist verpflichtet, Unterauftragnehmer sorgfältig nach deren Eignung und Zuverlässigkeit auszuwählen. Er hat diese entsprechend den Regelungen dieser Vereinbarung zu verpflichten und sicherzustellen, dass der Auftraggeber seine Rechte aus dieser Vereinbarung (insbesondere seine Prüf- und Kontrollrechte) ggf. direkt gegenüber den Unterauftragnehmern wahrnehmen kann. Sofern eine Einbeziehung von Unterauftragnehmern in einem Drittland erfolgen soll, hat der Auftragnehmer sicherzustellen, dass beim jeweiligen Unterauftragnehmer ein angemessenes Datenschutzniveau gewährleistet ist (z.B. durch Abschluss einer Vereinbarung auf Basis der EU-Standarddatenschutzklauseln). Der Auftragnehmer wird dem Auftraggeber auf Verlangen den Abschluss der vorgenannten Vereinbarungen mit seinen Unterauftragnehmern nachweisen.

§ 10 Datenschutzkontrolle des Verantwortlichen

(1) Der Auftragsverarbeiter verpflichtet sich, dem Datenschutzbeauftragten des Verantwortlichen sowie der zuständigen Aufsichtsbehörde zur Erfüllung ihrer jeweiligen gesetzlichen zugewiesenen Aufgaben im Zusammenhang mit diesem Auftrag jederzeit Zugang zu den üblichen Geschäftszeiten zu gewähren. Der Auftragsverarbeiter unterwirft sich zusätzlich zu der für ihn bestehenden gesetzlichen Datenschutzaufsicht der Kontrolle der für den Verantwortlichen bestehenden Datenschutzaufsicht und der Kontrolle durch die Datenschutzbeauftragte des Verantwortlichen mit Ausnahme der Bereiche, die keinerlei Bezug zur Auftragserfüllung haben.

(2) Er duldet insbesondere Betretungs-, Einsichts- und Fragerechte der im Absatz 1 Genannten einschließlich der Einsicht in durch Berufsgeheimnisse geschützte Unterlagen.

(3) Der Auftragsverarbeiter wird seine Mitarbeiter anweisen, mit den im Absatz 1 Genannten zu kooperieren, insbesondere deren Fragen wahrheitsgemäß und vollständig zu beantworten. Die nach Gesetz bestehenden Verschwiegenheitspflichten und Zeugnisverweigerungsrechte der in Absatz 1 Genannten bleiben davon unberührt.

§ 11 Wirksamkeit des Vertrages

(1) Sollten einzelne Teile des Vertrages unwirksam sein, so berührt dies die Wirksamkeit des Vertrages im Übrigen nicht.

(2) Der Verantwortliche kann den Vertrag jederzeit und ohne Einhaltung einer Frist kündigen, wenn auf Seiten des Auftragsverarbeiters ein schwerwiegender Verstoß gegen Bestimmungen des Datenschutzes oder dieses Vertrages vorliegt, der Auftragsverarbeiter eine Weisung nicht ausführen kann oder will oder dem Datenschutzbeauftragten der Zugang vertragswidrig verweigert wird.

Die für den Verantwortlichen weisungsbefugte Person wird Ihnen in dem Zuschlagsschreiben als Ansprechpartner mitgeteilt.

Für den Auftragsverarbeiter:

Liste der Unterauftragnehmer in Bezug auf die DSGVO (bei Bedarf erweitern):