Vereinbarung zur Auftragsdatenverarbeitung gemäß Art. 28 DS-GVO,
§§ 62 ff. BDSG als Anlage zum Vertrag 6#0060/Z12
Betrieb, Anpassung und Weiterentwicklung für das digitale Lernen auf der Basis des Lernmanagementsystems ILIAS im Geschäftsbereich des BMV
Zwischen der Bundesrepublik Deutschland
vertreten durch das Bundesministerium für Verkehr (BMV),
vertreten durch die Bundesanstalt für Wasserbau (BAW), Postfach 21 02 53,
76152 Karlsruhe,
- nachstehend Auftraggeber genannt -
und Bitte eingeben: Name, Vorname
Adresse Bitte eingeben: Straße
Bitte eingeben: PLZ Ort
- nachstehend Auftragnehmer genannt -
werden folgende, den vg. Hauptvertrag präzisierende, Regelungen zur Auftragsdatenverarbeitung vereinbart:
Inhalt
Präambel
§ 1 Anwendungsbereich
§ 2 Begriffserläuterungen
§ 3 Auftragsinhalt
§ 4 Konkretisierung der Rechte und Pflichten des Auftraggebers
§ 5 Konkretisierung der Rechte und Pflichten des Auftragnehmers
§ 6 Unterauftragsverhältnisse
§ 7 Kontrollbefugnisse
§ 8 Wahrung von Betroffenenrechten
§ 9 Geheimhaltungspflichten
§ 10 Technische und organisatorische Maßnahmen zur Datensicherheit § 11 Haftung
§ 12 Außerordentliche Kündigung
§ 13 Beendigung, Löschung und Rückgabe
§ 14 Schlussbestimmungen
Präambel
Der Auftragnehmer verarbeitet aufgrund des o.g. Vertragsverhältnisses personenbezogene Daten im Auftrag für den Auftraggeber. Der Auftraggeber ist entsprechend der gesetzlichen Bestimmungen im Außenverhältnis weiterhin für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze und damit auch für die Rechtmäßigkeit der Datenverarbeitung durch den Auftragnehmer verantwortlich.
Um die sich aus diesem Auftragsdatenverarbeitungsverhältnis nach Art. 28 DS-GVO, §§ 62 BDSG ergebenden Rechte und Pflichten zu konkretisieren, wird die nachfolgende Vereinbarung geschlossen.
§ 1 Anwendungsbereich
1.1 Diese Vereinbarung findet Anwendung auf alle Tätigkeiten, die Gegenstand solcher mit dem eingangs genannten Vertragsverhältnisses vereinbarten Leistungen sind, bei deren Verrichtung Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer nach Maßgabe dieser Vereinbarung beauftragte Dritte mit personenbezogenen Daten in Kontakt kommen, für die der Auftraggeber Verantwortlicher i.S. des Art. 4 Ziff. 7 DS-GVO ist.
1.2 Die nachfolgende Vereinbarung bezieht sich nur auf die Durchführung der technischen Er-hebung, Verarbeitung und Nutzung personenbezogener Daten nach Weisungen des Auftraggebers. Eine inhaltliche Aufgabenübertragung zur eigenständigen Erledigung wird mit dieser Vereinbarung nicht getroffen.
§ 2 Begriffserläuterungen
2.1 Personenbezogene Daten
Personenbezogene Daten sind gem. Art. 4 Ziff. 1 DS-GVO alle Informationen, die sich auf eine identifizierbare natürliche Person (betroffene Person) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen oder einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.
2.2 Datenverarbeitung im Auftrag
Datenverarbeitung im Auftrag ist gemäß Art. 4 Ziff. 2 DS-GVO jeder mit oder ohne Hilfe au-tomatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslese, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
2.3 Auftraggeber/Verantwortlicher
Auftraggeber i.S. dieser Zusatzvereinbarung ist unabhängig von der jeweiligen Bezeichnung in dem eingangs in Bezug genommenen Hauptvertrag das Bundesministerium für Verkehr (BMV) als Verantwortlicher i.S. von Art. 4 Ziff. 7 DS-GVO.
2.4 Auftragnehmer/Auftragsverarbeiter
Der Auftragnehmer ist als Auftragsverarbeiter nach Art. 4 Ziff. 8 DS-GVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
2.5 Weisung
Eine Weisung ist die auf einen bestimmten Umgang des Auftragnehmers mit personenbezogenen Daten gerichtete schriftliche Anordnung des Auftraggebers. Sie erfolgt regelmäßig durch die Leistungsbeschreibung im Hauptvertrag und kann vom Auftraggeber jederzeit schriftlich durch einzelne weitere Weisung geändert, ergänzt oder ersetzt werden.
§ 3 Auftragsinhalt (Vertragsgegenstand)
Gegenstand und Dauer des Auftrags, Art der Daten, Umfang, Art und Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung der Daten sowie der Kreis der hiervon Betroffenen ergeben sich im Einzelnen aus dem o.g. Hauptvertrag. Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags, sofern sich aus den nachfolgenden Bestimmungen nicht darüberhinausgehende Verpflichtungen oder Kündigungsrechte ergeben.
§ 4 Konkretisierung der Rechte und Pflichten des Auftraggebers
4.1 Der Auftraggeber bleibt Verantwortlicher i. S. d. Art. 4 Ziff. 7 DS-GVO.
4.2 Die Pflicht zur Führung des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DS- GVO, § 70 BDSG obliegt dem Auftraggeber; eigene Pflichten des Auftragnehmers bleiben hiervon unberührt.
4.3 Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zur Datensicherung (Art. 24,25 DS-GVO, § 47 BDSG und § 11 dieser Vereinbarung) in geeigneter Weise zu überzeugen. Der Auftraggeber ist verpflichtet, das jeweilige Ergebnis zu dokumentieren.
4.4 Eine Weisung erfolgt regelmäßig durch die Leistungsbeschreibung im Hauptvertrag. Der Auftraggeber hat das Recht, jederzeit ergänzende Weisungen bezüglich Zweck, Art und
Umfang der Verarbeitung von personenbezogenen Daten gegenüber dem Auftragnehmer zu erteilen. Die Weisungen müssen grundsätzlich schriftlich erfolgen, mündliche Weisungen oder Weisungen in elektronischer Textform (z.B. E-Mail) sind unverzüglich schriftlich zu bestätigen. Dem Auftragnehmer soll eine angemessene Frist zur Umsetzung der Weisungen gesetzt werden. Ergänzende datenschutzrechtliche Weisungen führen zu keinem vertraglichen Mehrvergütungsanspruch. Alle erteilten Weisungen sind sowohl vom Auftraggeber als auch vom Auftragnehmer zu dokumentieren.
4.5 Der Auftraggeber kann jederzeit die Herausgabe, Berichtigung, Löschung und Sperrung der Daten verlangen, sofern nicht nach dem Unionsrecht oder dem Recht der Bundesrepublik Deutschland eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. So- weit sich der Berechtigte zwecks Löschung oder Berichtigung seiner Daten unmittelbar an den Auftragnehmer wendet, wird dieser das Ersuchen des Betroffenen unverzüglich an den Auftraggeber weiterleiten (entsprechend § 5 Abs. 5 dieser Vereinbarung).
§ 5 Konkretisierung der Rechte und Pflichten des Auftragnehmers
5.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und Weisungen. Kopien und Duplikate darf der Auftragnehmer nicht ohne Wissen des Auftraggebers erstellen. Auf Wunsch des Auftraggebers stellt der Auftragnehmer ihm ein umfassendes und aktuelles Sicherheitskonzept für die Auftragsverarbeitung sowie über zugriffsberechtigte Personen zur Verfügung.
5.2 Der Auftragnehmer ist verpflichtet, sein Unternehmen und seine Betriebsabläufe so zu gestalten, dass die Daten, die er im Auftrag des Auftraggebers verarbeitet, im jeweils erforderlichen Maß gesichert und vor der unbefugten Kenntnisnahme Dritter geschützt sind. Der Auftragnehmer wird Änderungen in der Organisation der Datenverarbeitung, die für die Sicherheit der Daten von Bedeutung sein können, vorab mit dem Auftraggeber abstimmen. Den bei der Datenverarbeitung durch den Auftragnehmer beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen. Der Auftragnehmer wird alle Personen, die von ihm mit der Bearbeitung und der Erfüllung dieses Vertrages betraut werden, entsprechend – auch für die Zeit nach Beendigung dieses Vertrages oder des Beschäftigungsverhältnisses - verpflichten (Art. 28 Abs. 3 lit. B DS-GVO) und mit der gebotenen Sorgfalt die Einhaltung dieser Verpflichtung sicherstellen sowie dem Auftraggeber auf Verlangen die Einhaltung dieser Verpflichtung in geeigneter Weise nachweisen.
5.3 Der Auftragnehmer wird den Auftraggeber bei der Vorbereitung und Durchführung von Kontrollen durch den Auftraggeber unterstützen und an der vollständigen und zügigen Abwicklung der Kontrolle mitwirken, i.Ü. wird auf § 7 verwiesen.
5.4 Der Auftragnehmer bestellt einen betrieblichen Datenschutzbeauftragten i. S. d. Art. 37 Abs. 1 DS-GVO als Ansprechpartner für den Datenschutz und benennt diesen gegenüber dem Auftraggeber schriftlich. Der Auftragsnehmer veröffentlicht die Kontaktdaten des Datenschutzbeauftragten auf seiner Internetseite und teilt sie der Aufsichtsbehörde mit. Über einen Wechsel in der Person des betrieblichen Datenschutzbeauftragten/Ansprechpartners für den Datenschutz hat der Auftragnehmer den Auftraggeber unverzüglich zu informieren.
5.5 Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten nach Art. 12-22 sowie 32 und 36 DS-GVO. Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten unmittelbar gegenüber dem Auftragnehmer geltend, so reagiert dieser nicht selbständig, sondern verweist den Betroffenen unverzüglich an den Auftraggeber und wartet dessen Weisungen ab.
5.6 Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn eine vom Auftraggeber erteilte Weisung nach seiner Auffassung gegen gesetzliche Regelungen verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung(en) solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird.
5.7 Der Auftragnehmer ist verpflichtet, dem Auftraggeber jede schwerwiegende Störung seiner Betriebsabläufe, jeden Verstoß oder Verdacht eines Verstoßes gegen datenschutzrechtliche Vorschriften oder gegen die getroffenen vertraglichen Vereinbarungen und/ oder die erteilten Weisungen des Auftraggebers unverzüglich mitzuteilen, der im Zuge der Verarbeitung von Daten durch ihn, einen seiner Mitarbeiter, einen beauftragten Subunternehmer oder dessen Mitarbeiter bei der Auftragsdatenverarbeitung erfolgt ist. In diesen Fällen hat er die notwendigen Gegenmaßnahmen im Benehmen mit dem Auftraggeber zu treffen.
Die Mitteilungspflicht umfasst dabei mindestens die folgenden Informationen: (1) Beschreibung der Art der Verletzung der personenbezogenen Daten und (2) Beschreibung der von dem Auftragnehmer ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und ggf. Maßnahmen zur Abmilderung ihrer möglichen Auswirkungen.
5.8 Die Verarbeitung und Nutzung der Daten außerhalb von Betriebsstätten des Auftragnehmers, wie insbesondere in Privatwohnungen von Mitarbeitern des Auftragnehmers (Telearbeit o.ä.), ist grundsätzlich unzulässig; Abweichungen bedürfen unter Darlegung adäquater besonderer Maßnahmen zur Einhaltung des Datenschutzes und der IT-Sicherheit der schriftlichen Zustimmung durch den Auftraggeber.
5.9 Der Auftragnehmer wird die Daten, die er im Auftrag für den Auftraggeber verarbeitet, auf geeignete Weise kennzeichnen. Der Auftragnehmer und ggf. sein Vertreter führen ein Verzeichnis zu allen Kategorien von im Auftrag des Auftraggebers durchgeführten Tätigkeiten der Verarbeitung, das alle Angaben gemäß Art. 30 Abs. 2 DS-GVO enthält. Das Verzeichnis ist dem Auftraggeber auf Anforderung zur Verfügung zu stellen.
5.10 An der Erstellung der Verfahrensverzeichnisse durch den Auftraggeber hat der Auftragnehmer mitzuwirken. Er hat dem Auftraggeber die jeweils erforderlichen Angaben in geeigneter Weise mitzuteilen.
5.11 Der Auftragnehmer hat dem Auftraggeber die Personen zu benennen, die zum Empfang von Weisungen des Auftraggebers berechtigt sind.
5.12 Die Verarbeitung und Nutzung der Daten durch den Auftragnehmer erfolgt ausschließlich auf dem Gebiet der Bundesrepublik Deutschland. Abweichungen hiervon bedürfen unter Beachtung der Vorgaben der Art. 44 DS-GVO, §§ 78 ff. BDSG der schriftlichen Zustimmung durch den Auftraggeber.
5.13 Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen.
5.14 Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich von Kontrollen und Maß- nahmen durch Aufsichtsbehörden und arbeiten, ggf. unter Hinzuziehung der Vertreter des Auftragnehmers, entsprechend Art. 31 DS-GVO mit der Aufsichtsbehörde zusammen.
5.15 Der Auftraggeber kann vom Auftragnehmer die Erstellung einer Konzeption verlangen die näher darlegt, wie er die Einhaltung der in dieser Vereinbarung geregelten besonderen Maßnahmen sicherstellt. Über wesentliche Änderungen der Sicherheitsmaßnahmen nach §11 dieser Vereinbarung hat der Auftragnehmer den Auftraggeber unverzüglich zu unter- richten.
5.16 Zum Nachweis der Umsetzung dieser Maßnahmen kann der Auftraggeber vom Auftragnehmer auch aktuelle Bescheinigungen und Berichte unabhängiger Instanzen (wie z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragte, Datenschutzauditoren oder vergleichbare Testate von Sachverständigen) oder geeignete Zertifizierungen der vertragsgegenständlichen Maßnahmen durch IT-Sicherheits- und Datenschutzaudit verlangen.
§ 6 Unterauftragsverhältnisse
6.1 Die Beauftragung von Subunternehmen durch den Auftragnehmer ist nur mit schriftlicher Zustimmung des Auftraggebers zulässig. Nicht als Leistungen von Subunternehmen im Sinne dieser Regelung gelten Dienstleistungen, die der Auftragnehmer bei Dritten als Nebenleistungen zur Unterstützung der Auftragsdurchführung in Anspruch nimmt, wie beispielsweise Telekommunikationsdienstleistungen, allgemeinen Wartungen etc. Der Auftragnehmer ist aber auch hierbei verpflichtet, zur Gewährleistung der Sicherheit der Daten angemessene Vorkehrungen und Kontrollmaßnahmen zu ergreifen.
6.2 Der Auftragnehmer hat den Subunternehmer sorgfältig und nach deren Eignung und Zuverlässigkeit auszuwählen und diese entsprechend den Regelungen dieser Vereinbarung zu verpflichten und dabei sicherzustellen, dass der Auftraggeber seine Rechte aus dieser Vereinbarung (insbesondere seine Prüf- und Kontrollrechte) auch direkt gegenüber den Subunternehmern wahrnehmen kann. Sofern die Einbeziehung von Subunternehmern in einem Drittland erfolgen soll, hat der Auftragnehmer sicherzustellen, dass beim jeweiligen Subunternehmer ein angemessenes Datenschutzniveau gewährleistet ist (z.B. durch Abschluss einer Vereinbarung auf Basis der EU-Standarddatenschutzklausel). Der Auftragnehmer wird dem Auftraggeber auf Verlangen den Abschluss der vorgenannten Vereinbarungen mit seinen Subunternehmern nachweisen. Der Auftragnehmer hat vorab und sodann regelmäßig während der Vertragsdauer zu kontrollieren, dass der Subunternehmer mindestens ein dieser Vereinbarung entsprechendes Datenschutzniveau wahrt und insbesondere die nach Art. 24,25 DS-GVO, § 47 BDSG i.V.m. § 11 dieser Vereinbarung erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten getroffen hat. Das Ergebnis der Kontrolle ist vom Auftragnehmer zu dokumentieren und auf Anfrage dem Auftraggeber zu übermitteln.
6.3 Die Verpflichtung des Subunternehmens muss schriftlich erfolgen. Dem Auftraggeber ist die schriftliche Verpflichtung des Subunternehmers auf Anfrage in Kopie zu übermitteln.
§ 7 Kontrollbefugnisse
7.1 Der Auftraggeber hat das Recht, die Einhaltung der gesetzlichen Vorschriften zum Datenschutz und der IT- Sicherheit, die Einhaltung der zwischen den Parteien getroffenen vertraglichen Regelungen und der erteilten Weisungen jederzeit im erforderlichen Umfang beim Auftragnehmer zu kontrollieren.
7.2 Der Auftragnehmer ist dem Auftraggeber gegenüber zur Auskunftserteilung und zur sonstigen Mitwirkung verpflichtet, soweit dies zur Durchführung der Kontrolle erforderlich ist. Insoweit verpflichtet sich der Auftragnehmer, dem Auftraggeber auf dessen mündliche oder schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte und Nachweise zur Verfügung zu stellen, die zur Durchführung einer Kontrolle der technischen und organisatorischen Maßnahmen des Auftragnehmers erforderlich sind. Das Kontrollergebnis wird vom Auftraggeber dokumentiert; werden vom Auftraggeber Fehler oder Unregelmäßigkeiten festgestellt, wird er den Auftragnehmer unverzüglich hierüber informieren und mit ihm die notwendigen Verfahrensänderungen besprechen bzw. diese anweisen.
7.3 Der Auftraggeber kann hierzu insbesondere auch die Einsichtnahme in die vom Auftragnehmer für den Auftraggeber verarbeiteten Daten sowie in die hierzu verwendeten Datenverarbeitungssysteme und -programme verlangen.
7.4 Der Auftraggeber kann nach vorheriger Anmeldung mit angemessener Frist die Kontrolle i.S.v. § 7.1 in der Betriebsstätte des Auftragnehmers zu den jeweils üblichen Geschäftszeiten vornehmen. Der Auftraggeber wird Sorge dafür tragen, dass die Kontrolle nur im erforderlichen Umfang durchgeführt wird.
7.5 Sofern Daten in einer Privatwohnung verarbeitet werden (vgl. § 5.8), ist der Zugang zur Wohnung zuvor mit dem Auftragnehmer, der auch dieses Kontrollrecht gegenüber seinen Mitarbeitern sicherzustellen hat, abzustimmen. Der Auftragnehmer sichert zu, dass auch etwaige andere Mitbewohner der Privatwohnung zu dieser Regelung ihr Einverständnis erteilt haben.
§ 8 Wahrung von Betroffenenrechten
8.1 Der Auftraggeber ist für die Wahrung der Betroffenenrechte allein verantwortlich.
8.2 Soweit eine Mitwirkung des Auftragnehmers für die Wahrung von Betroffenenrechten – ins- besondere auf Auskunft, Berichtigung, Sperrung oder Löschung – durch den Auftraggeber erforderlich ist, wird der Auftragnehmer die jeweils erforderlichen Maßnahmen nach Wei- sung des Auftraggebers treffen.
§ 9 Geheimhaltungspflichten
9.1 Beide Parteien verpflichten sich, alle Informationen, die sie im Zusammenhang mit der Durchführung dieses Vertrages erhalten, zeitlich unbegrenzt, mithin also auch über das Ende des Hauptvertrages hinaus, vertraulich zu behandeln und nur zur Durchführung des Vertrages zu verwenden. Keine Partei ist berechtigt, diese Informationen ganz oder teil- weise zu anderen als den vereinbarten Zwecken zu nutzen oder diese Informationen Dritten zugänglich zu machen.
9.2 Die vorstehende Verpflichtung gilt nicht für Informationen, die eine der Parteien nachweisbar von Dritten erhalten hat, ohne zur Geheimhaltung verpflichtet zu sein, oder die öffentlich bekannt sind oder zu deren Mitteilung sie gegenüber Dritten gesetzlich ausdrücklich verpflichtet ist; in einem solchen Fall hat der Auftragnehmer den Auftraggeber rechtzeitig vor Auftragserteilung ausdrücklich hiervon zu unterrichten.
§ 10 Technische und organisatorische Maßnahmen zur Datensicherheit
Der Auftragnehmer verpflichtet sich gegenüber dem Auftraggeber zur Einhaltung nachfolgender technischer und organisatorischer Maßnahmen, die zur Einhaltung der anzuwendenden Datenschutzvorschriften gemäß Art. 32 DS-GVO erforderlich sind.
10.1 Zutrittskontrolle
Maßnahmen, mit denen Unbefugten der Zutritt zu Räumlichkeiten verwehrt wird, in denen Datenverarbeitungssysteme betrieben werden, mit denen die vertragsgegenständlichen personenbezogenen Daten verarbeitet oder genutzt werden. Hierzu werden insbesondere folgende Maßnahmen vereinbart: Bitte eingeben… z. B. Werkschutz, Ausweisleser, Magnet- oder Chipkarte, Schlüsselmanagement, Raum-/ Gebäudesicherungs- und Überwachungseinrichtungen
10.2 Zugangskontrolle
Maßnahmen, mit denen die Nutzung der Datenverarbeitungssysteme durch Unbefugte verhindert wird. Hierzu werden insbesondere folgende Maßnahmen vereinbart: Technische (Kennwort-Passwortschutz) und organisatorische (Benutzerstammsatz) Maßnahmen hinsichtlich der Benutzeridentifikation und Authentifizierung, Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren.
10.3 Zugriffskontrolle
Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugangsberechtigung unterliegenden Daten zu- greifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt, gelesen, kopiert, verändert oder entfernt werden können. Hierzu werden insbesondere folgende Maßnahmen vereinbart: Bedarfsgerechte Ausgestaltung des Berechtigungskonzeptes und der Zugriffsrechte sowie deren Überwachung und Protokollierung, Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren.
10.4 Weitergabekontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. Diese Maßnahmen müssen mindestens Authentisierungs- und Verschlüsselungsmechanismen abdecken.
10.5 Eingabekontrolle
Maßnahmen die gewährleisten, dass nachträglich überprüft werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssystemen eingegeben, verändert oder entfernt worden sind. Hierzu werden insbesondere folgende Maßnahmen vereinbart: Maßnahmen, die die Nachvollziehbarkeit bzw. Dokumentation der Datenverwaltung gewährleisten, etwa durch Protokollierungs- und Protokollauswertungssysteme.
10.6 Auftragskontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Diesen Zwecken dient die hiesige Vereinbarung, auf die insofern verwiesen wird, samt Überwachung ihrer Einhaltung.
10.7 Verfügbarkeitskontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.
10.8 Trennungskontrolle
Maßnahmen die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden. Hierzu werden insbesondere folgende Maßnahmen vereinbart: Mandantenfähigkeit.
10.9 Vergleichbare Lösungen
Technische und organisatorische Maßnahmen unterliegen dem ständigen technischen Wandel und Fortschritt. Insoweit ist es dem Auftragnehmer gestattet, nach vorheriger Abstimmung mit dem Auftraggeber auch alternative adäquate Maßnahmen, die das Sicherheitsniveau vorstehender Maßnahmen nicht unterschreiten, umzusetzen.
§ 11 Haftung
11.1 Für den Ersatz von Schäden, die ein Betroffener wegen einer nach den Datenschutzgesetzen unzulässigen oder unrichtigen Datenverarbeitung oder Nutzung im Rahmen der Auftragsverarbeitung erleidet, ist im Innenverhältnis zum Auftragnehmer alleine der Auftraggeber gegenüber dem Betroffenen verantwortlich.
11.2 Die Parteien stellen sich jeweils von der Haftung frei, wenn eine Partei nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden bei einem Betroffenen eingetreten ist, verantwortlich ist.
§ 12 Außerordentliche Kündigung
Der Auftraggeber kann den Hauptvertrag fristlos oder teilweise kündigen, wenn der Auftragnehmer seinen Pflichten aus diesem Vertrag nicht nachkommt, Bestimmungen der DS-GVO vorsätzlich oder grob fahrlässig verletzt oder eine Weisung des Auftraggebers nicht ausführen kann oder will. Bei einfachen – also weder vorsätzlichen noch grob fahrlässigen – Verstößen setzt der Auftraggeber dem Auftragnehmer eine angemessene Frist, innerhalt welcher der Auftragnehmer den Verstoß abzustellen hat.
§ 13 Beendigung, Löschung und Rückgabe
13.1 Dem Auftragnehmer überlassene Datenträger oder Datensätze verbleiben im Eigentum des Auftraggebers.
13.2 Nach Leistungserbringung oder Beendigung des Vertrages oder nach früherer Aufforderung durch den Auftraggeber ist der Auftragnehmer verpflichtet, sämtliche in seinen Besitz gelangten Unterlagen, erstellten Verarbeitungs- oder Nutzungsergebnisse sowie Datenbestände nebst allen Kopien oder Reproduktionen, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung des Auftragnehmers datenschutzkonform zu löschen bzw. zu vernichten, sofern nicht nach dem Unionsrecht oder dem Recht der Bundesrepublik Deutschland eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Dies betrifft auch etwaige Datensicherungen, Test- und Ausschussmaterial des Auftragnehmers. Die Löschung bzw. Vernichtung ist in geeigneter Weise durchzuführen und zu dokumentieren. Geeignet sind Lösch- bzw. Vernichtungsverfahren, wenn diese nach den Vorgaben des Auftraggebers oder gemäß den Vorschriften des BSI zur Löschung bzw. Vernichtung von Daten bzw. Datenträgern mit personenbezogenen Daten durchgeführt werden.
13.3 Der Auftraggeber hat das Recht, die vollständige und vertragsgemäße Rückgabe, Vernichtung und Löschung der Daten beim Auftragnehmer zu kontrollieren. Dies kann auch durch eine Inaugenscheinnahme der Datenverarbeitungsanlagen in der Betriebsstätte des Auftragnehmers erfolgen.
§ 14 Schlussbestimmungen
14.1 Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren, sofern ihm dies nicht durch gerichtliche oder behördliche Anordnung untersagt ist. Der Auftragnehmer wird alle in diesem Zusammenhang zuständigen Stellen unverzüglich darüber informieren, dass die Hoheit an den Daten ausschließlich beim Auftraggeber als „Verantwortlichem“ der DS-GVO liegt.
14.2 Für Änderungen und Ergänzungen ist die Schriftform erforderlich, darin bedarf es eines ausdrücklichen Hinweises, dass es sich um eine Änderung oder Ergänzung dieser Regelungen handelt.
14.3 Die Einrede des Zurückbehaltungsrechts i.S.v. § 273 BGB wird hinsichtlich der verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
14.4 Sollten einzelne Teile dieses Vertrages unwirksam sein, so berührt dies die Wirksamkeit der übrigen Regelungen des Vertrages nicht.
14.5 Die Vereinbarung unterliegt deutschem Recht. Ausschließlicher Gerichtsstand ist Karlsruhe.
(Datum, Unterschrift Auftraggeber) (Datum, Unterschrift Auftragnehmer)