07-2026-130-Anlage 4 LB-Auftragsverarbeitung.pdf

[Seite 1]

Deutscher Bundestag DDEE 22

Titel: Vereinbarung zur Auftragsverarbeitung (VAV)

Vereinbarung zur Auftragsverarbeitung (VAV)

Mustervereinbarung

Als Anlage zum Vertrag/zur Leistungsbeschreibung vom [Datum]

• nachfolgend „Leistungsvereinbarung“ -

zwischen der

Bundesrepublik Deutschland, vertreten durch die Präsidentin des Deutschen Bundestages, diese vertreten durch den Direktor beim Deutschen Bundestag, Platz der Republik 1, 11011 Berlin

• nachfolgend „Verantwortlicher“ - und

[Vertragspartner]

• nachfolgend „Auftragsverarbeiter“ -

• beide nachfolgend gemeinsam „Vertragsparteien“ -

wird die folgende Vereinbarung zur Auftragsverarbeitung geschlossen:

Inhalt Präambel ............................................................................................................................................ 3 § 1 Anwendungsbereich ................................................................................................................... 3 § 2 Konkretisierung des Auftragsinhalts .......................................................................................... 3 § 3 Verpflichtungen und Weisungsbefugnis ..................................................................................... 3 § 4 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverarbeiter .......................... 5 § 5 Technisch-organisatorische Maßnahmen und deren Kontrolle ................................................. 5 § 6 Mitteilung bei Verstößen durch den Auftragsverarbeiter ........................................................... 7 § 7 Löschung und Rückgabe von Daten ............................................................................................ 7 § 8 Subunternehmen ......................................................................................................................... 7 § 9 Datenschutzkontrolle .................................................................................................................. 8 § 10 Haftung und Schadenersatz ...................................................................................................... 9 § 11 Schlussbestimmungen .............................................................................................................. 9

Stand: 4. April 2023

[Seite 2]

DE 2 Vereinbarung zur Auftragsverarbeitung (VAV) Seite 2

Anhang „Weisungsbefugnis“ zu § 3 ............................................................................................... 10 Anhang „Technisch-organisatorische Maßnahmen (TOMs)“ ......................................................... 11 Anhang „Subunternehmen“ zu § 8 ................................................................................................. 14

[Seite 3]

DE 2 Vereinbarung zur Auftragsverarbeitung (VAV) Seite 3

Präambel

Die Vertragsparteien sind mit der Leistungsvereinbarung ein Auftragsverarbeitungsverhältnis ein- gegangen. Um die sich hieraus ergebenden Rechte und Pflichten gemäß den Vorgaben der euro- päischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parla- ments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG - DSGVO), und des Bundesdatenschutzgesetzes (BDSG) zu konkretisieren, schließen die Vertrags- parteien die nachfolgende Vereinbarung.

§ 1 Anwendungsbereich

(1) Die Vereinbarung findet Anwendung auf die Verarbeitung (Art. 4 Nr. 2 DSGVO) aller perso- nenbezogener Daten (im Folgenden: Daten), die Gegenstand der Leistungsvereinbarung sind oder im Rahmen von deren Durchführung anfallen und auf Weisung des Verantwortlichen verarbeitet werden. Nicht unter den Anwendungsbereich fallen Daten von Mitarbeitern des Auftragsverarbeiters, soweit sie ausschließlich das Beschäftigungsverhältnis mit dem Auf- tragsverarbeiter betreffen.

(2) Dieser Vertrag gilt vorranging vor anderen Vereinbarungen und Abreden zwischen Auftrag- geber und Auftragnehmer, es sie denn, zwischen den Parteien wird ausdrücklich etwas an- deres vereinbart.

§ 2 Konkretisierung des Auftragsinhalts

(1) Gegenstand und Dauer der Auftragsverarbeitung sowie Umfang, Art und Zweck der vorgese- henen Verarbeitung von Daten bestimmen sich nach der Leistungsvereinbarung, die dieser Vereinbarung angefügt ist.

(2) Folgende Arten personenbezogener Daten sind Gegenstand der Verarbeitung durch den Auf- tragsverarbeiter:

[Datenarten & -kategorien einfügen, bspw. Personenstammdaten, Kontaktdaten, bestimmte Gesundheitsdaten oder Verweis auf Leistungsbeschreibung im Anhang]

(3) Der Kreis der durch den Umgang mit ihren Daten betroffenen Personen ist (Kategorien be- troffener Personen):

[Aufzählung und Beschreibung der betroffenen Personenkreise, bspw. Beschäftigte, Bewerbe- rInnen, Veranstaltungsteilnehmende oder Verweis auf Leistungsbeschreibung im Anhang ]

(4) Im Rahmen der Auftragsverarbeitung werden [keine] besondere[n] Kategorien von Daten ver- arbeitet.

(5) Die verarbeiteten personenbezogenen Daten haben einen [normalen/hohen] Schutzbedarf.

§ 3 Verpflichtungen und Weisungsbefugnis

(1) Die Vertragsparteien sind verpflichtet, die Ihnen durch die Datenschutzgesetze (insbeson- dere der DSGVO) auferlegten Pflichten einzuhalten. Der Verantwortliche kann jederzeit die

[Seite 4]

DE 2 Vereinbarung zur Auftragsverarbeitung (VAV) Seite 4

Herausgabe, Berichtigung, Anpassung, Löschung und Einschränkung der Verarbeitung der Daten verlangen.

(2) Zur Gewährleistung des Schutzes der Rechte der betroffenen Personen unterstützt der Auf- tragsverarbeiter den Verantwortlichen angemessen, insbesondere durch die Gewährleistung geeigneter technischer und organisatorischer Maßnahmen.

(3) Soweit sich eine betroffene Person zwecks Geltendmachung eines Betroffenenrechts unmit- telbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen un- verzüglich an den Verantwortlichen weiterleiten.

(4) Der Auftragsverarbeiter darf Daten ausschließlich im Rahmen der Weisungen des Verant- wortlichen verarbeiten, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder des Mitgliedstaates, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Eine Wei- sung ist die auf einen bestimmten Umgang des Auftragsverarbeiters mit Daten gerichtete schriftliche, elektronische oder mündliche Anordnung des Verantwortlichen. Die Anordnun- gen sind zu dokumentieren. Die Weisungen werden zunächst durch die Leistungsvereinba- rung definiert und können von dem Verantwortlichen danach in dokumentierter Form durch eine einzelne Weisung geändert, ergänzt oder ersetzt werden.

(5) Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auf- tragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszu- setzen, bis sie von Seiten des Verantwortlichen bestätigt oder geändert wird. Die weisungs- berechtigten Personen auf Seiten des Verantwortlichen sowie die zum Empfang der Weisun- gen berechtigten Personen auf Seiten des Auftragsverarbeiters sowie die vorgesehenen Infor- mationswege sind in der Anlage festgelegt.

(6) Änderungen des Verarbeitungsgegenstandes mit Verfahrensänderungen sind gemeinsam ab- zustimmen und zu dokumentieren.

(7) Auskünfte an Dritte oder die betroffene Person darf der Auftragsverarbeiter nur nach vorheri- ger ausdrücklicher schriftlicher (oder dokumentierter elektronischer) Zustimmung durch den Verantwortlichen erteilen, es sei denn er ist nach dem Unionsrecht oder dem Recht ei- nes Mitgliedstaats zur Herausgabe verpflichtet.

(8) Der Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben, es sei denn er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Herausgabe verpflichtet. Kopien und Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt.

(9) Der Verantwortliche führt das Verzeichnis von Verarbeitungstätigkeiten i. S. d. Art. 30 Abs. 1 DSGVO. Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Wunsch In- formationen zur Aufnahme in das Verzeichnis zur Verfügung. Der Auftragsverarbeiter führt

[Seite 5]

DE 2 Vereinbarung zur Auftragsverarbeitung (VAV) Seite 5

entsprechend den Vorgaben des Art. 30 Abs. 2 DSGVO ein Verzeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung.

(10) Die Verarbeitung der Daten im Auftrag des Verantwortlichen findet ausschließlich auf dem Gebiet der Europäischen Union (EU) / der Bundesrepublik Deutschland statt. Jede Übermitt- lung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Orga- nisation erfolgt ausschließlich auf der Grundlage schriftlicher (oder dokumentierter elektro- nischer) Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter un- terliegt, und muss mit Kapitel V der DSGVO im Einklang stehen. Die grundlegenden Voraus- setzungen für die Rechtmäßigkeit der Verarbeitung bleiben unberührt.

(11) Der Auftragsverarbeiter gewährleistet, dass ihm unterstellte natürliche Personen, die Zugang zu Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten. Eine Verarbei- tung von Daten außerhalb der Betriebsräume des Auftragsverarbeiters (z. B. Telearbeit, Heimarbeit, Home Office, mobiles Arbeiten) bedarf der vorherigen ausdrücklichen schriftli- chen (oder dokumentierten elektronischen) Zustimmung des Verantwortlichen, die erst nach Festlegung angemessener technischer und organisatorischer Maßnahmen für die Verarbei- tungssituation erteilt werden kann.

§ 4 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverarbeiter

(1) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Daten befugten Per- sonen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Ver- schwiegenheitspflicht unterliegen und weist dies dem Verantwortlichen auf Wunsch nach. Dies umfasst auch die Belehrung über die in diesem Auftragsverarbeitungsverhältnis beste- hende Weisungs- und Zweckbindung.

(2) Die Vertragsparteien unterstützen sich gegenseitig beim Nachweis und der Dokumentation der ihnen obliegenden Rechenschaftspflicht im Hinblick auf die Grundsätze ordnungsgemä- ßer Datenverarbeitung einschließlich der Umsetzung der notwendigen technischen und orga- nisatorischen Maßnahmen (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Der Auftragsverarbeiter stellt dem Verantwortlichen hierzu bei Bedarf entsprechende Informationen zur Verfügung.

(3) Sofern der Auftragsverarbeiter der gesetzlichen Pflicht zur Benennung einer bzw. eines Da- tenschutzbeauftragte/n unterliegt sind die Kontaktdaten der/des Datenschutzbeauftragten dem Verantwortlichen zum Zwecke der direkten Kontaktaufnahme mitzuteilen. Unterliegt der Auftragsverarbeiter nicht der Benennungspflicht, teilt er dem Verantwortlichen die Kon- taktdaten eines Ansprechpartners für den Datenschutz mit.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde im Rahmen ihrer Zuständigkeit bei dem Auftragsverarbeiter anfragt, ermittelt oder sonstige Erkundigungen einzieht.

§ 5 Technisch-organisatorische Maßnahmen und deren Kontrolle

(1) Die Vertragsparteien vereinbaren die in dem Anhang „Technisch-organisatorische Maßnah- men“ zu dieser Vereinbarung niedergelegten konkreten technischen und organisatorischen

[Seite 6]

DE 2 Vereinbarung zur Auftragsverarbeitung (VAV) Seite 6

Sicherheitsmaßnahmen. Der Anhang „Technisch-organisatorische Maßnahmen“ wird Gegen- stand dieser Vereinbarung.

(2) Ergibt eine vom Verantwortlichen durchzuführende Prüfung einen Anpassungsbedarf hin- sichtlich der vom Auftragsverarbeiter zu ergreifenden technisch-organisatorischen Maßnah- men, sind die Anpassungen im Einvernehmen zwischen beiden Parteien umzusetzen.

(3) Technische und organisatorische Maßnahmen unterliegen dem technischen Fortschritt. Inso- weit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der in dem Anhang „Technisch-organisatorische Maßnah- men (TOMs)“ festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderun- gen sind zu dokumentieren.

(4) Der Auftragsverarbeiter wird dem Verantwortlichen alle erforderlichen Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung der in dieser Vereinbarung getroffenen und der gesetzlichen Vorgaben erforderlich sind. Er wird insbesondere Überprüfungen/In- spektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglichen und deren Durchführung unterstützen.

(5) Die Überprüfung kann auch auf der Grundlage vorgelegter aktueller Testate, von Berichten hinreichend qualifizierter und unabhängiger Instanzen (z. B. Wirtschaftsprüfer, unabhängige Datenschutzauditoren), durch die Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO, einer Zertifizierung nach Art. 42 DSGVO oder einer geeigneten Zertifizie- rung durch IT-Sicherheits- oder Datenschutzaudit erfolgen. Der Auftragsverarbeiter ver- pflichtet sich, den Verantwortlichen über den Ausschluss von genehmigten Verhaltensregeln gemäß Art. 41 Abs. 4 DSGVO, den Widerruf einer Zertifizierung gemäß Art. 42 Abs. 7 DSGVO und jede andere Form der Aufhebung oder wesentlichen Änderung der vor- genannten Nachweise unverzüglich zu unterrichten.

(6) Die Überprüfung kann auch durch eine Inspektion vor Ort erfolgen. Der Verantwortliche kann sich hierzu in den Betriebsstätten des Auftragsverarbeiters zu den üblichen Geschäfts- zeiten ohne Störung des Betriebsablaufs von der Angemessenheit der Maßnahmen zur Ein- haltung der gesetzlichen Vorgaben oder der zur Durchführung dieses Vertrages erforderli- chen technischen und organisatorischen Erfordernisse überzeugen.

(7) Der Auftragsverarbeiter stellt dem Verantwortlichen darüber hinaus alle erforderlichen Infor- mationen zur Verfügung, die er für die Prüfungen nach Absatz 4 sowie für eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz der Daten (Datenschutz- Folgenabschätzung i. S. d. Art. 35 DSGVO) benötigt.

(8) Der Auftragsverarbeiter hat im Benehmen mit dem Verantwortlichen alle erforderlichen Maßnahmen zur Sicherung der Daten bzw. der Sicherheit der Verarbeitung, insbesondere auch unter Berücksichtigung des Stands der Technik, sowie zur Minderung möglicher nach- teiliger Folgen für Betroffene zu ergreifen.

[Seite 7]

DE 2 Vereinbarung zur Auftragsverarbeitung (VAV) Seite 7

§ 6 Mitteilung bei Verstößen durch den Auftragsverarbeiter

Der Auftragsverarbeiter unterrichtet den Verantwortlichen umgehend bei schwerwiegenden Stö- rungen seines Betriebsablaufes, bei Verdacht auf Verstöße gegen diese Vereinbarung sowie ge- setzliche Datenschutzbestimmungen, bei Verstößen gegen solche Bestimmungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der Daten des Verantwortlichen. Dies gilt insbesondere im Hinblick auf die Meldepflicht nach Art. 33 Abs. 2 DSGVO sowie auf korrespondierende Pflichten des Verantwortlichen nach Art. 33 und Art. 34 DSGVO. Der Auftragsverarbeiter sichert zu, den Verantwortlichen erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen. Meldungen nach Art. 33 oder 34 DSGVO für den Verantwortlichen darf der Auftragsverarbeiter nur nach vorheriger Weisung gem. § 3 dieses Vertrages durchführen.

§ 7 Löschung und Rückgabe von Daten

(1) Überlassene Datenträger und Datensätze verbleiben im Eigentum des Verantwortlichen.

(2) Nach Abschluss der vertraglich vereinbarten Leistungen oder früher nach Aufforderung durch den Verantwortlichen, jedoch spätestens mit Beendigung der Leistungsvereinbarung, hat der Auftragsverarbeiter sämtliche im Auftrag des Verantwortlichen verarbeitete perso- nenbezogene Daten dem Verantwortlichen zurückzugeben oder nach vorheriger Zustimmung des Verantwortlichen datenschutzgerecht zu löschen bzw. zu vernichten. Dies umfasst insbe- sondere dem Auftragsverarbeiter überlassene Daten, erstellte Verarbeitungs- und Nutzungs- ergebnisse sowie Datenbestände (wie auch hiervon gefertigte Kopien oder Reproduktionen), die im Zusammenhang mit dem Auftragsverhältnis stehen. Eine weitere Speicherung ist nur zulässig, wenn hierzu eine Verpflichtung nach dem Unionsrecht oder dem Recht eines Mit- gliedstaats besteht. Gleiches gilt für Test- und Ausschussmaterial. Ein Löschungsprotokoll ist dem Verantwortlichen auf Anforderung vorzulegen.

(3) Der Auftragsverarbeiter kann Dokumentationen, die dem Nachweis der auftrags- und ord- nungsgemäßen Datenverarbeitung dienen, entsprechend der jeweiligen Aufbewahrungsfris- ten bis zu deren Ende auch über das Vertragsende hinaus aufbewahren. Alternativ kann er sie zu seiner Entlastung bei Vertragsende dem Verantwortlichen übergeben. Für die nach Satz 1 aufbewahrten Daten gelten nach Ende der Aufbewahrungsfrist die Pflichten nach Ab- satz 2.

§ 8 Subunternehmen

(1) Der Auftragsverarbeiter darf weitere Auftragsverarbeiter (Subunternehmen) nur nach einem der nachfolgenden Verfahren einsetzen [Zutreffendes bitte ankreuzen]:

☐ Der Auftragsverarbeiter darf keinen seiner Verarbeitungsvorgänge, die er im Auftrag des Verantwortlichen gemäß dieser Vereinbarung durchführt, ohne vorherige gesonderte schriftliche (oder dokumentierte elektronische) Genehmigung des Verantwortlichen an einen Subunternehmer untervergeben. Der Auftragsverarbeiter reicht den Antrag für die gesonderte Genehmigung mindestens vier Wochen vor der Beauftragung des betreffen- den Subunternehmers zusammen mit den Informationen ein, die der Verantwortliche benötigt, um über die Genehmigung zu entscheiden. Die Liste der vom Verantwortli- chen genehmigten Subunternehmer findet sich im Anhang „Subunternehmen“. Die Par- teien halten den Anhang jeweils auf dem neuesten Stand.

[Seite 8]

DE 2 Vereinbarung zur Auftragsverarbeitung (VAV) Seite 8

☒ Der Auftragsverarbeiter erhält die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Subunternehmen, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Subunternehmen und räumt dem Verant- wortlichen damit ausreichend Zeit ein, um vor der Beauftragung des betreffenden Sub- unternehmens Einwände gegen diese Änderungen erheben zu können. Der Auftragsver- arbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.

Nicht als Leistungen von Subunternehmen im Sinne dieser Regelung gelten Dienstleistun- gen, die der Auftragsverarbeiter bei Dritten als Nebenleistung zur Unterstützung der Auf- tragsdurchführung in Anspruch nimmt, beispielsweise Telekommunikationsdienstleistun- gen. Der Auftragsverarbeiter ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Verantwortlichen auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontroll- maßnahmen zu ergreifen.

(2) Wenn Subunternehmen durch den Auftragsverarbeiter eingeschaltet werden, hat der Auf- tragsverarbeiter sicherzustellen, dass seine vertraglichen Vereinbarungen mit dem Subunter- nehmen so gestaltet sind, dass das Datenschutzniveau mindestens der Vereinbarung zwi- schen dem Verantwortlichen und dem Auftragsverarbeiter entspricht und alle vertraglichen und gesetzlichen Vorgaben beachtet werden; dies gilt insbesondere auch im Hinblick auf den Einsatz geeigneter technischer und organisatorischer Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus der Verarbeitung.

(3) Dem Verantwortlichen sind in der vertraglichen Vereinbarung mit dem Subunternehmen Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung einzuräumen. Ebenso ist der Verantwortlichen berechtigt, auf schriftliche (oder dokumentierte elektronische) An- forderung vom Auftragsverarbeiter Auskunft über den Inhalt des mit dem Subunternehmen geschlossenen Vertrages und die darin enthaltene Umsetzung der datenschutzrelevanten Verpflichtungen des Subunternehmens zu erhalten.

(4) Kommt das Subunternehmen seinen datenschutzrechtlichen Verpflichtungen nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Subunternehmens. Der Auftragsverarbeiter hat in diesem Falle auf Verlangen des Verantwortlichen die Beschäftigung des Subunternehmens ganz oder teilweise zu been- den oder das Vertragsverhältnis mit dem Subunternehmen zu lösen, wenn und soweit dies nicht unverhältnismäßig ist.

§ 9 Datenschutzkontrolle

Der Auftragsverarbeiter verpflichtet sich, der/dem Datenschutzbeauftragten des Verantwortlichen zur Erfüllung ihrer jeweiligen gesetzlichen zugewiesenen Aufgaben im Zusammenhang mit die- sem Auftrag Zugang zu den üblichen Geschäftszeiten zu gewähren. Er duldet insbesondere Betre- tungs-, Einsichts- und Fragerechte einschließlich der Einsicht in durch Berufsgeheimnisse ge- schützte Unterlagen. Er wird seine Mitarbeiter anweisen, mit der/dem Datenschutzbeauftragten zu kooperieren, insbesondere deren Fragen wahrheitsgemäß und vollständig zu beantworten. Die

[Seite 9]

DE 2 Vereinbarung zur Auftragsverarbeitung (VAV) Seite 9

nach Gesetz bestehenden Verschwiegenheitspflichten und Zeugnisverweigerungsrechte der Ge- nannten bleiben davon unberührt.

§ 10 Haftung und Schadenersatz

Auf Art. 82 DSGVO wird bezüglich der Haftung und des Rechts auf Schadenersatz verwiesen.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile - einschließ- lich etwaiger Zusicherungen des Auftragsverarbeiters - bedürfen einer schriftlichen Verein- barung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Er- gänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfor- dernis.

(2) Sollten einzelne Regelungen dieser Vereinbarung unwirksam oder undurchführbar sein, wird davon die Wirksamkeit der übrigen Regelungen nicht berührt. An die Stelle der un- wirksamen oder undurchführbaren Regelung tritt diejenige wirksame und durchführbare Re- gelung, deren Wirkungen der Zielsetzung am nächsten kommt, die die Vertragsparteien mit der unwirksamen oder undurchführbaren Bestimmung verfolgt haben. Die vorstehenden Bestimmungen gelten entsprechend für den Fall, dass sich die Vereinbarung als lückenhaft erweist.

Ort, Datum Ort, Datum

Unterschrift (Verantwortlicher) Unterschrift (Auftragsverarbeiter)

Name, Vorname, Funktion Name, Vorname, Funktion

[Seite 10]

DE 2 Vereinbarung zur Auftragsverarbeitung (VAV) Seite 10

Anhang „Weisungsbefugnis“ zu § 3

[nach Zuschlagserteilung auszufüllen] zur Vereinbarung zur Auftragsverarbeitung vom [Datum] zwischen der Bundesrepublik Deutschland, vertreten durch die Präsidentin des Deutschen Bundestages, diese vertreten durch den Direktor beim Deutschen Bundestag, Platz der Republik 1, 11011 Berlin und

[Vertragspartner]

Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Mei- nung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie von Seiten des Verantwortlichen bestätigt oder geändert wird. Die weisungsberechtigten Personen auf Seiten des Verantwortlichen sowie die zum Empfang der Weisungen berechtigten Personen auf Seiten des Auftragsverarbeiters sowie die vorgesehenen Informationswege sind nachfolgend fest- gelegt.

Weisungsberechtigte Personen auf Seiten des Verantwortlichen:

 X (Weisungsbefugter)  XX (Stelllvertreter)  …

Zum Empfang der Weisungen berechtigte Personen auf Seiten des Auftragsverarbeiters:

 Y (für … Bereich)  YY (für … Bereich)  YYY (Stellvertreter) …

Vorgesehene Informationswege, wenn Weisung nach Meinung des Auftragsverarbeiters gegen datenschutzrechtliche Vorschriften verstößt: [Zutreffendes bitte ankreuzen]

☐ schriftliche und/oder ☐ elektronische und/oder ☐ mündliche Information

Weisungen (auch mündliche Weisungen) sind durch die Vertragsparteien zu dokumentieren. Än- derungen bei den weisungsbefugten Personen, den zum Weisungsempfang berechtigten Personen und bei den vorgesehenen Informationswegen sind dem Vertragspartner entsprechend unverzüg- lich anzuzeigen.

[Seite 11]

DE 2 Vereinbarung zur Auftragsverarbeitung (VAV) Seite 11

Anhang „Technisch-organisatorische Maßnahmen (TOMs)“

zur Vereinbarung zur Auftragsverarbeitung vom [Datum] zwischen der Bundesrepublik Deutschland, vertreten durch die Präsidentin des Deutschen Bundestages, diese vertreten durch den Direktor beim Deutschen Bundestag, Platz der Republik 1, 11011 Berlin und [Vertragspartner]

§ 5 der Vereinbarung zur Auftragsverarbeitung verweist zur Konkretisierung der technisch-orga- nisatorischen Maßnahmen auf diesen Anhang.

§ 1 Technische und organisatorische Sicherheitsmaßnahmen Die Vertragspartner sind verpflichtet, geeignete technische und organisatorische Maßnahmen so durchzuführen, dass die Verarbeitung der Daten im Einklang mit den gesetzlichen Anforderun- gen erfolgt und der Schutz der Rechte der betroffenen Person in angemessener Form gewährleis- tet ist.

§ 2 Innerbehördliche oder innerbetriebliche Organisation des Auftragsverarbeiters Der Auftragsverarbeiter wird seine innerbehördliche oder innerbetriebliche Organisation so ge- stalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind ins- besondere Maßnahmen zu treffen, die je nach der Art der zu schützenden Daten oder Datenkate- gorien geeignet sind.

§ 3 Konkretisierung der Einzelmaßnahmen (1) Im Einzelnen werden folgende Maßnahmen bestimmt, die der Umsetzung der Vorgaben des Art. 32 DSGVO dienen:

[Seite 12]

DE 2 Vereinbarung zur Auftragsverarbeitung (VAV) Seite 12

[Seite 13]

DE 2 Vereinbarung zur Auftragsverarbeitung (VAV) Seite 13

(1) Es ist ein Verfahren zu etablieren, das eine regelmäßige Überprüfung, Bewertung und Evalu- ierung der Wirksamkeit der zum Einsatz kommenden technischen und organisatorischen Maßnahmen durch die Vertragsparteien ermöglicht.

(2) Folgende Nachweise werden dieser Vereinbarung angefügt [Zutreffendes bitte ankreuzen]:

☐ Einhaltung von Verhaltensregeln nach Art. 40 DSGVO ☐ Zertifizierung nach Art. 42 DSGVO ☐ Prüfberichte, Testate etc. unabhängiger Prüfer, bspw. Wirtschaftsprüfer, Auditoren, Da- tenschutzbeauftragte etc. ☐ geeignete Zertifizierung durch einen Auditprozess

[Seite 14]

DE 2 Vereinbarung zur Auftragsverarbeitung (VAV) Seite 14

Anhang „Subunternehmen“ zu § 8

Nach § 8 Abs. 1 S. 2 der Vereinbarung sind die zur Erfüllung dieses Vertrages bereits hinzugezo- genen Subunternehmen zu bezeichnen. Gemäß § 8 Abs. 1 S. 3 der Vereinbarung erklärt sich der Verantwortliche mit deren Beauftragung einverstanden.