16_Vertrag_Auftragsverarbeitung_LK-MSE_DAU_20261008.pdf

[Seite 1]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

Vertrag zur Auftragsverarbeitung

zwischen [Bieter, Adresse, Vertretungsberechtigung ] (Auftragsverarbeiter im Sinne der DSGVO, nachstehend als „Auftragnehmer“ bezeichnet)

und

dem Landkreis Mecklenburgische Seenplatte, vertreten durch den Eigenbetrieb Rettung MSE, Am Funkturm 1, 17039 Wulkenzin/OT Neuendorf, vertreten durch den Betriebsleiter Dennis Brück, (Verantwortlicher im Sinne der DSGVO, nachstehend als „Auftraggeber“ oder als „Rettungs- dienstträger“ bezeichnet)

(gemeinsam auch als „Vertragspartner“ bezeichnet)

Präambel

Die nachfolgenden Datenschutz- und Datensicherheitsbestimmungen finden Anwendung auf alle Leistungen der Auftragsverarbeitung i.S.d. Art. 28 Abs. 3 EU-Datenschutzgrundverord- nung (DSGVO), die der Auftragnehmer gegenüber dem Auftraggeber im Rahmen des zwi- schen den Vertragsparteien abgeschlossenen EVB-IT Systemvertrags vom XX.XX.2027 er- bringt (nachstehend als „EVB-IT Systemvertrag“ bezeichnet) in Verbindung mit dem Werkver- trag zur Erneuerung und Optimierung/Erweiterung des digitalen Alarmierungssystems im Ge- biet des Landkreises Mecklenburgische Seenplatte (nachstehend als „Werkvertrag“ bezeich- net).

§ 1 Gegenstand und Dauer des Auftrags

(1) Der Auftraggeber und der Auftragnehmer haben den EVB-IT Systemvertrag abgeschlos- sen, der die die Erneuerung und Optimierung/Erweiterung des digitalen Alarmierungssys- tems im 2m-Band nach dem POCSAG-Standard im gesamten Landkreis Mecklenburgi- sche Seenplatte, sowohl im Hinblick auf die bauseitige Ertüchtigung und Ergänzung, als auch im Hinblick auf die IT-seitige Ertüchtigung und Ergänzung sowie den Betrieb des Gesamtsystems, Pflege und Wartung, Lizenzmanagement, Mängelhaftungs-, Garantie- und Servicevertragsabwicklung, Schulungen und das Projektmanagement für den Roll-Out zum Gegenstand hat. Teil der vertraglichen Verpflichtungen des Auftragnehmers sind also auch Pflege und Wartung des Systems, einschließlich Fernwartung (Teleservice im Sinne des EVB-IT Systemvertrages). (2) Der Auftragnehmer verarbeitet dabei teils sensible personenbezogene Daten (insbeson- dere Mitarbeiter- und Einsatzdaten mit Personenbezug, Einsatztexte mit Patientendaten

Seite 1 von 14

[Seite 2]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

u.ä.) für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO auf Grundlage dieses Vertrages. (3) Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z.B. Angemes- senheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhal- tensregeln). (4) Die Vertragslaufzeit ist an diejenige des Werkvertrages (dort § 5) geknüpft, auf die auch der EVB-IT Systemvertrag Bezug nimmt; die dortigen Kündigungsregeln gelten auch für diesen Vertrag zur Auftragsverarbeitung. (5) Ergänzend gilt: Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutz- vorschriften oder die Bestimmungen dieses Vertrages vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kon- trollrechte des Auftraggebers vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DSGVO abgeleiteten Pflichten ist als ein schwerer Verstoß zu bewerten.

§ 2 Art und Zweck der Datenverarbeitung, Art der personenbezoge-

nen Daten sowie Kategorien betroffener Personen

(6) Art und Zweck der Datenerhebung, -verarbeitung oder -nutzung sind die Folgenden: Der Umfang der Datenverarbeitung ergibt sich aus dem EVB-IT Systemvertrag sowie ins- besondere der Leistungsbeschreibung. Die Datenverarbeitungstätigkeiten werden haupt- sächlich (aber nicht ausschließlich) im Rahmen der Leistungen Betrieb, Pflege und War- tung vorgenommen. Im Rahmen dieser Tätigkeiten wird der Auftragnehmer Zugriff auf die personenbezogenen Daten im Sinne von Abs. 2 haben und diese – soweit erforderlich – auch verarbeiten, z.B. zum Zwecke der Datenübertragung, der Fehlerbehebung, der Da- tensicherung etc. Dabei kann der Datenzugriff auch im Rahmen der Fernwartung (Tele- service) erfolgen. (7) Die Art der insbesondere bei den Wartungstätigkeiten zu verarbeitenden personenbezo- genen Daten umfasst insbesondere folgende Daten:

• Stammdaten der Nutzer und Einsatzkräfte (Name, Vorname)

• Kontaktdaten (Telefonnummern, Mobilfunknummern, E-Mail-Adressen)

• Kommunikations-, Verbindungs- und Nutzungsdaten (IP-Adressen, Zeitstempel)

• Alarmierungs- und Einsatzdaten mit Personenbezug

• Standortdaten und Statusinformationen, soweit vom System verarbeitet. Folgende besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind betrof- fen, soweit sie in Alarmierungsnachrichten, Einsatztexten oder Logdateien enthalten sind:

• Gesundheitsdaten von Patienten und Betroffenen

• Angaben zu Verletzungen, Erkrankungen, Diagnosen oder Verdachtsdiagnosen

• Informationen zu medizinischen Notfällen und Rettungsdiensteinsätzen

Seite 2 von 14

[Seite 3]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

• Sonstige besonders schutzwürdige Informationen, die im Rahmen von Alarmierungs- und Einsatztexten verarbeitet werden (8) Der Kreis der Betroffenen ist der folgende:

• Mitarbeiter des Auftraggebers und seiner Leistungserbringer im Rettungsdienst,

• Patienten,

• Kontaktpersonen.

§ 3 Rechte und Pflichten sowie Weisungsbefugnisse des Auftragge-

bers

(1) Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DSGVO ist allein der Auftraggeber verantwortlich. Gleichwohl ist der Auftragnehmer verpflichtet, alle solche Anfragen, sofern sie erkennbar ausschließlich an den Auftraggeber gerichtet sind, unverzüglich an diesen weiterzuleiten. (2) Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemein- sam zwischen Auftraggeber und Auftragnehmer abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen. (3) Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind unver- züglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen. (4) Der Auftraggeber ist berechtigt, sich wie in § 5 Abs. 4 festgelegt vor Beginn der Verarbei- tung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auf- tragnehmer getroffenen technischen und organisatorischen Maßnahmen (vgl. Anlage) so- wie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen. (5) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unre- gelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt. (6) Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftrag- nehmers vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung die- ses Vertrages bestehen.

§ 4 Weisungsberechtigte des Auftraggebers, Weisungsempfänger

des Auftragnehmers

(1) Weisungsberechtigte Personen des Auftraggebers sind:

(Vorname, Name, Organisationseinheit, Telefon, E-Mail)

(Vorname, Name, Organisationseinheit, Telefon, E-Mail)

(Vorname, Name, Organisationseinheit, Telefon, E-Mail)

Seite 3 von 14

[Seite 4]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

(2) Weisungsempfänger beim Auftragnehmer sind:

(Vorname, Name, Organisationseinheit, Telefon, E-Mail)

(Vorname, Name, Organisationseinheit, Telefon, E-Mail)

(Vorname, Name, Organisationseinheit, Telefon, E-Mail)

(3) Für Weisung zu nutzende Kommunikationskanäle:

(genaue postalische Adresse/ E-Mail/ Telefonnummer)

(4) Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen. Die Weisungen sind für ihre Geltungsdauer und anschlie- ßend noch für drei volle Kalenderjahre revisionssicher aufzubewahren.

§ 5 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Europäischen Union oder der Mitglied- staaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auf- tragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbei- tung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a) DSGVO). Der Auftragnehmer verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hier- von ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungs- gemäßen Datenverarbeitung erforderlich sind (z.B. redundante Datenhaltung, Backup). Der Auftragnehmer sichert im Bereich der auftragsgemäßen Verarbeitung von personen- bezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu; dies gilt auch bei der Datenverarbeitung im Rahmen von Fernwartungsarbeiten (Teleservice). Er sichert zu, dass die für den Auftraggeber verarbeiteten Daten von sonstigen Datenbe- ständen strikt getrennt werden, auch von denen anderer Rettungsdienstträger, solange kein Datenaustausch im Rahmen eines bereichsübergreifenden Einsatzes erfolgt ist (Man- dantenfähigkeit des Systems). Die Datenträger, die vom Auftraggeber stammen bzw. für den Auftraggeber genutzt wer- den, werden besonders gekennzeichnet. Eingang und Ausgang sowie die laufende Ver- wendung werden dokumentiert. (2) Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DSGVO durch den Auftraggeber, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Datenschutz-Folgeabschätzungen des Auftraggebers hat der Auftrag-

Seite 4 von 14

[Seite 5]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

nehmer im notwendigen Umfang mitzuwirken und den Auftraggeber soweit möglich ange- messen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. e) und f) DSGVO). Er hat die dazu erfor- derlichen Angaben dem Auftraggeber unverzüglich an folgende Stelle weiterzuleiten:

(3) Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschrif- ten verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragnehmer ist berechtigt, die Durch- führung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verant- wortlichen beim Auftraggeber nach Überprüfung bestätigt oder geändert wird. Der Auftragnehmer hat personenbezogene Daten aus dem Auftragsverhältnis zu berichti- gen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Auftraggeber dies mittels einer Weisung verlangt und berechtigte Interessen des Auftragnehmers dem nicht entgegenstehen. Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Weisung oder Zustimmung durch den Auftraggeber erteilen. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird der Auftragnehmer diesen Antrag unverzüglich an den Auftraggeber weitergeben. (4) Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber – grundsätz- lich nach Terminvereinbarung – berechtigt ist, die Einhaltung der Vorschriften über Daten- schutz und Datensicherheit sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang selbst oder durch vom Auftraggeber beauftragte anerkannte neutrale Dritte, die nicht Mitbewerber des Auftragnehmers im Bereich der Digitalisierung im Gesundheitswesen sind, zu kontrollieren, insbesondere durch die Einholung von Aus- künften und die Einsichtnahme in die gespeicherten Daten, Datenverarbeitungspro- gramme und Sicherheitskonzeptionen sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h) DSGVO). Der Auftraggeber wird vorab angemeldete be- rechtigte Vorbehalte des Auftragnehmers gegen einen benannten Dritten berücksichtigen, soweit möglich; die Vertragsparteien werden sich in einem solchen Fall um eine einver- nehmliche Benennung bemühen. Der Auftragnehmer sichert zu, dass er, soweit erforderlich, bei diesen Kontrollen unterstüt- zend mitwirkt. (5) Die Verarbeitung von Daten in Privatwohnungen (Tele- bzw. Heimarbeit von Beschäftigten des Auftragnehmers) ist nur mit Zustimmung des Auftraggebers gestattet. Soweit die Da- ten in einer Privatwohnung verarbeitet werden, ist vorher der Zugang zur Wohnung des Beschäftigten für Kontrollzwecke des Arbeitgebers vertraglich sicherzustellen. Die Maß- nahmen nach Art. 32 DSGVO sind auch in diesem Fall sicherzustellen. (6) Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen da- tenschutzrechtlichen Vorschriften der DSGVO bekannt sind. Er verpflichtet sich, auch fol- gende für diesen Auftrag relevanten Datenschutz- und Geheimnisschutzregeln zu beach- ten, die dem Auftraggeber obliegen: Datenschutzgesetz für das Land Mecklenburg-Vorpommern (DSG M-V), Fachrecht, insbe- sondere § 15 Rettungsdienstgesetz Mecklenburg-Vorpommern (RDG M-V), Zehntes Buch Sozialgesetzbuch (SGB X), also einschließlich Sozialgeheimnis, sowie die ärztliche Schweigepflicht.

Seite 5 von 14

[Seite 6]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

Im Übrigen verpflichtet sich der Auftragnehmer, die ihn treffenden datenschutzrechtlichen Pflichten zu beachten, die sich auch aus dem Bundesdatenschutzgesetz (BDSG), dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) (jeweils soweit an- wendbar), also einschließlich Fernmeldegeheimnis, ergeben können. Der Auftragnehmer verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personen- bezogenen Daten des Auftraggebers die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung des Vertrages fort. Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes und dieses Vertrages vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Ver- schwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b) und Art. 29 DSGVO). Der Auftrag- nehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Be- trieb. Für eingesetzte Nachunternehmer im Bereich der Datenverarbeitung gilt: Der Nachunter- nehmer wird im Zusammenhang mit der hier vereinbarten Verarbeitung personenbezoge- ner Daten das Fernmeldegeheimnis sowie die Vertraulichkeit nach der DSGVO, dem BDSG, dem TDDDG und nach § 203 StGB wahren und die zur Verarbeitung der perso- nenbezogenen Daten befugten Personen entsprechend verpflichten und sensibilisieren. Im Anwendungsbereich der Verarbeitung von Sozialdaten wird auch der Nachunternehmer ergänzend auf die Wahrung des Sozialgeheimnisses nach § 35 SGB I verpflichtet und die zur Datenverarbeitung befugten Personen verpflichten. Im Falle des Austausches des Nachunternehmers gelten diese Regelungen ebenfalls. Beim Auftragnehmer ist als Beauftragte(r) für den Datenschutz Herr/Frau

(Vorname, Name, Organisationseinheit, Telefon, E-Mail)

bestellt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mit-

Datenschutzfragen ist Herr/Frau

(Vorname, Name, Organisationseinheit, Telefon, E-Mail)

(7) Sofern einschlägig (abhängig vom Auftragnehmer): Der Auftragnehmer verpflichtet sich, den Auftraggeber über den Ausschluss von genehmigten Verhaltensregeln nach Art. 41 Abs. 4 DSGVO und den Widerruf einer Zertifizierung nach Art. 42 Abs. 7 DSGVO unver- züglich zu informieren.

§ 6 Mitteilungspflichten des Auftragnehmers bei Störungen der Ver-

arbeitung und bei Verletzungen des Schutzes personenbezoge-

ner Daten

Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auf- tragnehmers oder der bei ihm beschäftigten Personen sowie gegen datenschutzrechtli- che Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personen- bezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und

Seite 6 von 14

[Seite 7]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO. Der Auftragnehmer sichert zu, den Auftraggeber erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f) DSGVO), insbesondere durch Bereitstellung (schriftlich oder in einem dokumentierten elektronischen Format) der nach Art. 33 Abs. 3 DSGVO notwendigen Informationen. Meldungen nach Art. 33 oder 34 DSGVO für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung gem. § 4 dieses Vertrages durchführen.

§ 7 Unterauftragsverhältnisse mit Nachunternehmern (Art. 28 Abs. 3

Satz 2 lit. d) DSGVO)

(1) Die Beauftragung von Nachunternehmern zur Verarbeitung von Daten des Auftraggebers ist dem Auftragnehmer nur mit vorheriger Genehmigung des Auftraggebers gestattet, Art. 28 Abs. 2 DSGVO, welche auf einem der o. g. Kommunikationswege (§ 4) mit Aus- nahme der mündlichen Gestattung erfolgen muss. Die Genehmigung kann nur erteilt wer- den, wenn die Voraussetzungen des Nachunternehmereinsatzes aus dem Vergabeverfah- ren sowie aus diesem Vertrag eingehalten sind. Außerdem muss der Auftragnehmer dafür Sorge tragen, dass er den Nachunternehmer unter besonderer Berücksichtigung der Eig- nung der von diesem getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DSGVO sorgfältig auswählt. Die relevanten Prüfunterlagen dazu sind dem Auftraggeber vor der Beauftragung eines Nachunternehmers zur Verfügung zu stel- len. Dasselbe gilt bei einem Wechsel eines Nachunternehmers. (2) Bereits jetzt genehmigt der Auftraggeber den Einsatz des/der im finalen Angebot im Be- reich der Datenverarbeitung benannten Nachunternehmer(s). Sollte ein Nachunternehmer später ausgetauscht werden, gilt wiederum die Regelung aus Abs. 1. (3) Eine Beauftragung von Nachunternehmern in Drittstaaten darf nur erfolgen, wenn die be- sonderen Voraussetzungen der Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln) und die Vo- raussetzungen von § 1 Unterabsatz 3 erfüllt sind. (4) Der Auftragnehmer hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwi- schen Auftraggeber und Auftragnehmer auch gegenüber Nachunternehmern gelten, so- weit für Nachunternehmer nicht ausdrücklich abweichende Regelungen vereinbart sind. In dem Vertrag mit dem Nachunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftragnehmers und des Nachunternehmers deutlich vonei- nander abgegrenzt werden. Werden mehrere Nachunternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Nachunternehmern. Insbesondere muss der Auftraggeber berechtigt sein, im Bedarfsfall angemessene Überprüfungen und Inspektionen, auch vor Ort, bei Nachunternehmern durchzuführen oder durch von ihm be- auftragte Dritte nach den Vorgaben aus § 5 Abs. 4 und 4a dieses Vertrages durchführen zu lassen. Der Vertrag mit dem Nachunternehmer muss schriftlich abgefasst werden, was auch in einem dokumentierten elektronischen Format erfolgen kann (Art. 28 Abs. 4 und Abs. 9 DSGVO). (5) Die Weiterleitung von Daten an einen Nachunternehmer ist erst zulässig, wenn der Nach- unternehmer die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DSGVO bezüglich seiner Beschäftigten erfüllt hat (vgl. § 5 Abs. 6 zum Umfang). (6) Der Auftragnehmer haftet gegenüber dem Auftraggeber dafür, dass ein Nachunternehmer den Datenschutzpflichten nachkommt, die ihm durch den Auftragnehmer im Einklang mit dem vorliegenden Vertragsabschnitt vertraglich auferlegt wurden. Dies gilt auch, sofern

Seite 7 von 14

[Seite 8]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

Systeme von Nachunternehmern für die Durchführung der Fernwartung (Teleservice) ein- gesetzt werden (z.B. TeamViewer o.ä. Programme). (7) Der Auftragnehmer arbeitet für die Fernwartung (Teleservice) mit folgendem Nachunter- nehmer/System zusammen:

(Firma, Anschrift)

Im Übrigen ergeben sich die Nachunternehmer aus dem Verzeichnis Nachunternehmer- leistungen des Vergabeverfahrens. (8) Nicht als Unterauftragsverhältnis im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z.B. externe Telekommunika- tionsleistungen, Wartungen und Benutzerservice, Reinigungs- und/oder Sicherheits- dienste, Prüfer oder die Entsorgung von Datenträgern. Der Auftragnehmer ist jedoch ver- pflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Auftragge- bers auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.

§ 8 Technische und organisatorische Maßnahmen nach Art. 32

DSGVO (Art. 28 Abs. 3 Satz 2 lit. c) DSGVO)

(1) Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Dazu werden mindestens die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität der Systeme und Dienste, sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird. Das in der Anlage 1 zu diesem Vertrag beschriebene Datenschutzkonzept (technische und organisatorische Maßnahmen) ist Vertragsbestandteil und stellt die Auswahl der techni- schen und organisatorischen Maßnahmen passend zum ermittelten Risiko unter Berück- sichtigung der Schutzziele nach Stand der Technik detailliert und unter besonderer Be- rücksichtigung der eingesetzten IT-Systeme und Verarbeitungsprozesse beim Auftragneh- mer dar. Sofern einschlägig: Für die Auftragsverarbeitung durch den im Bereich der Datenverarbei- tung benannten Nachunternehmer gelten die technischen und organisatorischen Maßnah- men gemäß Anlage 2 zu diesem Vertrag. (2) Überprüfungsmechanismus: Der Auftragnehmer hat bei gegebenem Anlass, mindestens aber jährlich, eine Überprü- fung, Bewertung und Evaluation der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen (Art. 32 Abs. 1 lit. d) DSGVO). Das Ergebnis samt vollständigem Auditbericht ist dem Auftraggeber auf Anfrage mitzuteilen. (3) Für die Sicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren sind zwischen Auftragnehmer und Auftraggeber abzustim- men.

Seite 8 von 14

[Seite 9]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

Soweit die beim Auftragnehmer getroffenen Maßnahmen den Anforderungen des Auftrag- gebers nicht genügen, benachrichtigt er den Auftraggeber unverzüglich. Die Maßnahmen beim Auftragnehmer können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dürfen aber die vereinbarten Standards nicht unterschreiten. Wesentliche Änderungen muss der Auftragnehmer mit dem Auftraggeber in dokumentier- ter Form (schriftlich, dokumentiertes elektronisches Format) abstimmen. Solche Abstim- mungen sind für die Dauer dieses Vertrages aufzubewahren. Der Auftraggeber kann jederzeit eine aktuelle Fassung der vom Auftragnehmer getroffe- nen technischen und organisatorischen Maßnahmen anfordern.

§ 9 Besondere Anforderungen an die Fernwartung (Teleservice)

(1) Für die Fernwartung (Teleservice) geltend ergänzend folgende besonderen Anforderun- gen und Reglungen:

− Der Auftragnehmer führt die Fernwartungsarbeiten nur nach Weisung und technischer Freigabe des Auftraggebers aus. Der Auftraggeber kann Weisungen insbesondere zu Art, Umfang und Ablauf der Fernwartungsarbeiten treffen. − Dem Auftraggeber ist ein Recht zur Unterbrechung der Verbindung einzuräumen, so- fern Zweifel an der Zulässigkeit oder Sicherheit der Kommunikationsverbindung beste- hen. Die Entscheidungsgründe sind zu protokollieren. − Die Bereitstellung der technischen Zugangseinrichtungen erfolgt durch den Auftragge- ber. − Regeln über eine sichere Authentifizierung der Kommunikationspartner – Auftraggeber und Auftragnehmer – sind zu vereinbaren. Die Authentifizierungen sind zu protokollie- ren. − Nach Maßgabe der technischen Möglichkeiten erfolgt eine Protokollierung der im Rah- men des Teleservice erfolgten Zugriffe auf das System des Auftraggebers. − Der Auftragnehmer muss die von ihm benannten und autorisierten Personen auf das Fernmeldegeheimnis gemäß Art. 10 GG verpflichten. − Soweit eine Protokollierung von Aktionen des Teleservice erfolgt, sind Vereinbarungen über die Dauer und den Ort der Aufbewahrung zu treffen. Auftraggeber und Auftrag- nehmer sind jeweils berechtigt, Einsicht in die Protokolle zu nehmen und diese für Kon- trollzwecke auszuwerten. − Jeder Vertragspartner ist verpflichtet, den jeweils anderen Vertragspartner unverzüg- lich zu informieren, wenn Verstöße insbesondere gegen das Datenschutzrecht oder die Pflicht zur Verschwiegenheit festgestellt werden oder ein solcher Verdacht besteht. − Für alle technischen Fragen im Zusammenhang mit den Einzelheiten der im Rahmen des Teleservice zu erbringenden Leistungen ist jeweils ein Ansprechpartner zu benen- nen. (2) Der Auftragnehmer verpflichtet sich,

− Unbefugten den Zutritt zu seinen Systemen, mit denen Daten des Auftraggebers ver- arbeitet und genutzt werden, zu verwehren, − zu verhindern, dass seine zur Erbringung des Teleservice eingesetzten Systeme von Unbefugten genutzt werden können, − dafür Sorge zu tragen, dass Daten des Auftraggebers bei Speicherung, Verarbeitung oder Nutzung in Systemen des Auftragnehmers nicht unbefugt gelesen, kopiert, ver- ändert oder entfernt werden können,

Seite 9 von 14

[Seite 10]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

− dafür Sorge zu tragen, dass bei einer elektronischen Übertragung von Daten des Auf- traggebers im Einvernehmen mit diesem die notwendigen Sicherheitsmaßnahmen zur Gewährleistung der Vertraulichkeit und Integrität getroffen werden, − dafür Sorge zu tragen, dass Weisungen des Auftraggebers zur Verarbeitung von Daten bei der Erbringung von Pflegeleistungen mittels Teleservice beachtet werden, − Nachunternehmer nur mit vorheriger schriftlicher Zustimmung des Auftraggebers ein- zusetzen, − sofern im Rahmen der Fernwartung Daten des Auftraggebers eingegeben, verändert und gelöscht werde, dem Auftraggeber eine nachträgliche Prüfung und Feststellung, ob und von wem Daten des Auftraggebers eingegeben, verändert oder gelöscht wor- den sind, zu ermöglichen.

§ 10 Verpflichtungen des Auftragnehmers nach Beendigung des Auf-

trags, Art. 28 Abs. 3 Satz 2 lit. g) DSGVO

(1) Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer sämtliche in seinen Be- sitz sowie an Nachunternehmer gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber nach seiner Wahl auszuhändigen oder datenschutzgerecht zu vernichten / löschen. (2) Das gleiche gilt auch für Test- und Ausschussmaterial. Die Löschung bzw. Vernichtung ist dem Auftraggeber mit Datumsangabe schriftlich oder in einem dokumentierten elektroni- schen Format zu bestätigen.

§ 11 Haftung

(1) Es gelten die Regelungen des Art. 82 DSGVO. (2) Im Übrigen gelten die Haftungsregeln des Werkvertrages und des EVB-IT-Vertrages (ein- schließlich der zugehörigen AGB) auch für diesen Vertrag, soweit sie jeweils anwendbar sind.

§ 12 Sonstiges

(1) Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungsunterlagen (auch zu Nachunternehmern) sind von beiden Vertragspartnern für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren. (2) Für Nebenabreden ist grundsätzlich die Schriftform oder ein dokumentiertes elektroni- sches Format erforderlich. (3) Sollten das Eigentum oder die zu verarbeitenden personenbezogenen Daten des Auftrag- gebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Be- schlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereig- nisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu ver- ständigen. (4) Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.

Seite 10 von 14

[Seite 11]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

(5) Sollten einzelne Teile dieses Vertrages unwirksam sein, so berührt dies die Wirksamkeit des Vertrages im Übrigen nicht.

, den

Name Vorname, Funktion beim Auftraggeber [Druckschrift], Unterschrift

, den

Name Vorname, Funktion beim Auftragnehmer [Druckschrift], Unterschrift

Anlage 1: Technische und organisatorische Maßnahmen nach Art. 32 DSGVO Anlage 2: Technische und organisatorische Maßnahmen des Nachunternehmers (soweit erforderlich)

Seite 11 von 14

[Seite 12]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

Anlage 1: Technische und organisatorische Maßnahmen

Dokumentation der nach Art. 32 DSGVO zu treffenden technischen und organisatori- schen Maßnahmen Der Schutzbedarf der verarbeiteten Daten ist hoch bis sehr hoch. Das Sicherheitskonzept ist fortlaufend zu aktualisieren; der Umsetzungsstand der Sicherheits- maßnahmen muss daraus erkennbar sein. Der Auftraggeber oder von ihm beauftragte Dritte können das Sicherheitskonzept sowie weitere Dokumentationen zur Umsetzung der Sicher- heitsmaßnahmen (z.B. Protokoll- oder Löschkonzept) jederzeit einsehen und prüfen (§ 5 Abs. 4 Vertrag zur Auftragsverarbeitung).

Im Folgenden werden die in dem Sicherheitskonzept detailliert dokumentierten technischen und organisatorischen Maßnahmen in allgemeiner Form beschrieben.

Seite 12 von 14

[Seite 13]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

Seite 13 von 14

[Seite 14]

Vertrag zur Auftragsverarbeitung Vergabe des Landkreises Mecklenburgische Seenplatte von Leistungen der Digi- talen Alarmierung im Rettungsdienstbereich Landkreis Mecklenburgische Seen- platte – Verhandlungsverfahren mit Teilnahmewettbewerb

Seite 14 von 14