[Seite 1]
Vertrag über eine Auftragsverarbeitung
zwischen der
Landwirtschaftliche Rentenbank AöR Theodor-Heuss-Allee 80 60486 Frankfurt am Main
- Verantwortlicher – nachstehend „Auftraggeber“ genannt -
und Name Anschrift
- Auftragsverarbeiter – nachstehend „Auftragnehmer“ genannt –
Präambel
Dieser Vertrag konkretisiert die datenschutzrechtlichen Erfordernisse aufgrund der EU Datenschutz-Grundverordnung („DS-GVO“) sowie des nationalen Bundesdaten- schutzgesetzes („BDSG“). Er kommt zur Anwendung, sofern der Auftragnehmer oder bei ihm Beschäftigte auf Grundlage eines Auftragsverhältnisses o.Ä. („Hauptvertrag“) mit personenbezogenen Daten des Auftraggebers in Berührung kommen und diese i. S. v. Art. 4 Nr. 2 u. Art. 28 DS-GVO verarbeiten. Die für das konkrete Vertragsverhältnis zutreffenden Alternativen sollen angekreuzt und die Leerfelder ggfs. entsprechend des konkreten Auftrags ausgefüllt werden.
§ 1 Gegenstand / Dauer / Kündigungsmöglichkeit
(1) Der Gegenstand des Auftrags ergibt sich aus dem Hauptvertrag xx vom xx.xx.xx, auf welchen hier verwiesen wird.
(2) Dieser Vertrag tritt mit seiner Unterzeichnung durch beide Parteien in Kraft. Die Dauer des Auftrags richtet sich nach der Dauer des Hauptvertrags. Die Verpflich- tungen aus diesem Vertrag gelten aber auch nach Beendigung des Hauptvertrages weiter, solange der Auftragnehmer nicht sämtliche personenbezogenen Daten des Auftraggebers nach Maßgabe dieses Vertrages herausgegeben, gelöscht oder sonst vernichtet hat. Im Zweifel gilt eine Kündigung des Hauptvertrages auch als Kündigung dieses Vertrages und eine Kündigung dieses Vertrages als Kündigung des Hauptvertrages.
(3) Der Auftraggeber ist jederzeit zu einer außerordentlichen Kündigung dieses Ver- trages aus wichtigem Grund berechtigt. Ein wichtiger Grund liegt insbesondere vor, bei einem schwerwiegenden Verstoß des Auftragnehmers gegen Datenschutzvor- schriften oder die Bestimmungen dieses Vertrages, der Auftragnehmer eine Wei- sung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DS-GVO ab- geleiteten Pflichten stellt einen schweren Verstoß dar.
Seite 1 von 12
[Seite 2]
§ 2 Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen
(1) Art (entsprechend Art. 4 Nr. 2 DS-GVO) und Zweck der vorgesehenen Verarbei- tung von Daten durch den Auftragnehmer für den Auftraggeber sind
☐ konkret beschrieben in dem Hauptvertrag gem. § 2.
oder
☐ Nähere Beschreibung des Auftragsgegenstandes: ........................................
(2) Die Art der verarbeiteten personenbezogenen Daten (entsprechend Art. 4 Nr. 1, 13, 14 und 15 DS-GVO)
☐ ist in dem Hauptvertrag konkret beschrieben unter: .......................
oder
☐ lässt sich in folgende Datenarten/-kategorien aufteilen
☐Personenstammdaten
☐Kommunikationsdaten (z.B. Telefon, E-Mail)
☐Vertragsstammdaten (Vertragsbeziehung, Produkt- bzw. Vertragsinteresse)
☐Kundenhistorie
☐Vertragsabrechnungs- und Zahlungsdaten
☐Planungs- und Steuerungsdaten
☐Auskunftsangaben (von Dritten, z.B. Auskunfteien, oder aus öffentlichen Verzeichnissen)
☐.......
(3) Die Kategorien der durch die Verarbeitung betroffenen Personen entsprechend Art. 4 Nr. 1 DS-GVO
☐ sind in dem Hauptvertrag konkret beschrieben unter: ..................................
oder
☐ umfassen:
☐Kunden
☐Interessenten
☐Abonnenten
☐Beschäftigte
Seite 2 von 12
[Seite 3]
☐Lieferanten
☐Handelsvertreter
☐Ansprechpartner
☐Antragsteller (natürliche Person)
☐für den Antragsteller handelnde natürliche Personen
(4) Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließ- lich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Ver- tragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftrag- gebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Stan- darddatenschutzklauseln, genehmigte Verhaltensregeln).
§ 3 Technische und organisatorische Maßnahmen
(1) Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe darge- legten und erforderlichen technischen und organisatorischen Maßnahmen vor Be- ginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchfüh- rung zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben. Bei Ak- zeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grund- lage des Auftrags. Zum Nachweis der getroffenen Maßnahmen kann der Auftrag- nehmer auch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger In- stanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheits- oder Datenschutzaudit [z.B. nach BSI-Grundschutz]) vorlegen. Insbesondere die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO oder eines ge- nehmigten Zertifizierungsverfahrens gemäß Art. 42 DS-GVO ist geeignet, um die Erfüllung der in Abs. 1 genannten Anforderungen nachzuweisen. Soweit die Prü- fung/ein Audit des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einver- nehmlich umzusetzen.
(2) Der Auftragnehmer hat die Sicherheit gem. Art. 28 Abs. 3 lit. c), 32 DS-GVO insbe- sondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DS-GVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensi- cherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belast- barkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskos- ten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unter- schiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berück- sichtigen. Die konkret vom Auftragnehmer getroffenen Maßnahmen sind in Anlage 1 aufgeführt.
Seite 3 von 12
[Seite 4]
(3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderun- gen sind zu dokumentieren.
§ 4 Berichtigung, Einschränkung und Löschung von Daten, Betroffenenrechte
(1) Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigen- mächtig sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken.
(2) Soweit eine betroffene Person sich bezüglich der in Abs. 1 genannten Rechte oder zwecks Wahrnehmung ihrer weiteren Betroffenenrechte unmittelbar an den Auf- tragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
(3) Soweit dies jedoch vom Leistungsumfang des Hauptvertrages umfasst ist, sind Löschkonzept, Recht auf Vergessenwerden, Berichtigung, Datenportabilität und Auskunft nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.
§ 5 Qualitätssicherung und sonstige Pflichten des Auftragnehmers
Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags rechtliche Pflichten gemäß Art. 28 bis 33 DS-GVO; insofern gewährleistet er insbeson- dere die Einhaltung folgender Vorgaben:
a) Angaben zum Datenschutzbeauftragten
☐ Schriftliche Bestellung eines Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DS-GVO ausübt
☐ Dessen Kontaktdaten werden dem Auftraggeber zum Zweck der direkten Kon- taktaufnahme mitgeteilt. Ein Wechsel des Datenschutzbeauftragten wird dem Auf- traggeber unverzüglich mitgeteilt.
☐ Als Datenschutzbeauftragte(r) ist beim Auftragnehmer Herr/Frau [Eintragen: Vorname, Name, Organisationseinheit, Telefon, E-Mail] bestellt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen.
☐ Dessen jeweils aktuelle Kontaktdaten sind auf der Homepage des Auftragneh- mers leicht zugänglich hinterlegt.
Seite 4 von 12
[Seite 5]
☐ Der Auftragnehmer ist nicht zur Bestellung eines Datenschutzbeauftragten verpflich- tet. Als Ansprechpartner beim Auftragnehmer wird Herr/Frau [Eintragen: Vorname, Name, Organisationseinheit, Telefon, E-Mail] benannt.
☐ Da der Auftragnehmer seinen Sitz außerhalb der Union hat, benennt er folgenden Vertreter nach Art. 27 Abs. 1 DS-GVO in der Union: [Eintragen: Vorname, Name, Or- ganisationseinheit, Telefon, E-Mail].
b) Wahrung der Vertraulichkeit gem. Art. 28 Abs. 3 S. 2 lit. b), 29, 32 Abs. 4 DS-GVO
Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestim- mungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisungen des Auftrag- gebers verarbeiten einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind. Die Verpflich- tung zur Wahrung der Vertraulichkeit besteht auch nach Beendigung des Vertra- ges fort.
c) Zusammenarbeit bei Anfragen der Aufsichtsbehörden
Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichts- behörde bei der Erfüllung ihrer Aufgaben zusammen.
d) Information des Auftraggebers über Kontrollhandlungen beim Auftragnehmer
Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlun- gen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag be- ziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ord- nungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbe- zogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.
e) Unterstützung des Auftraggebers bei Kontrollhandlungen beim Auftraggeber
Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffe- nen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auf- tragnehmer nach besten Kräften zu unterstützen.
§ 6 Unterauftragsverhältnisse
Seite 5 von 12
[Seite 6]
(1) Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistun- gen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung bezie- hen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z.B. als Tele- kommunikationsleistungen, Post-/Transportdienstleistungen, Wartung und Benut- zerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auf- tragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleis- tungen angemessene und rechtskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
(2) Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher schriftlicher bzw. dokumentierter Zustimmung des Auftraggebers beauftragen. Die Zustimmung kann nur erteilt werden, wenn der Auf- tragnehmer dem Auftraggeber Namen und Anschrift sowie die vorgesehene Tä- tigkeit des Subunternehmers mitteilt.
(3) Der Auftragnehmer hat vertraglich sicherzustellen, dass die vereinbarten Regelun- gen zwischen Auftraggeber und Auftragnehmer auch gegenüber Subunternehmern gelten. In dem Vertrag mit dem Subunternehmer sind die Angaben so konkret fest- zulegen, dass die Verantwortlichkeiten des Auftragnehmers und des Subunterneh- mers deutlich voneinander abgegrenzt werden. Werden mehrere Subunternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Subun- ternehmern. Insbesondere muss der Auftraggeber berechtigt sein, im Bedarfsfall angemessene Überprüfungen und Inspektionen, auch vor Ort, bei Subunterneh- mern durchzuführen oder durch von ihm beauftragte Dritte durchführen zu lassen.
(4) Eine Auftragsverarbeitung außerhalb der EU bzw. des EWR ist grundsätzlich aus- geschlossen. Eine Beauftragung von Subunternehmern in Drittstaaten darf nur er- folgen, wenn der Auftraggeber hierüber vorab in Kenntnis gesetzt wurde und die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.
(5) Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Unter- auftragnehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung, insbesondere einer vertragli- chen Vereinbarung nach Maßgabe des Art. 28 Abs. 4 DS-GVO gestattet.
(6) Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer dem Auftraggeber für die Einhaltung der Pflichten des Unter- auftragnehmers.
(7) Eine weitere Auslagerung durch den Unterauftragnehmer ist nicht gestattet.
Seite 6 von 12
[Seite 7]
§ 7 Kontrollrechte des Auftraggebers
(1) Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprü- fungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb während der üblichen Betriebs- und Ge- schäftszeiten zu überzeugen.
(2) Die Kontrolldichte für die regelmäßige Kontrolle bestimmt der Auftraggeber nach pflichtgemäßem Ermessen unter Berücksichtigung der Interessen des Auftragneh- mers und der Bedeutung des Vertrags sowie der unter dem Vertrag durch den Auf- tragnehmer zu verarbeitenden personenbezogenen Daten.
(3) Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DS-GVO überzeugen kann. Der Auf- tragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und orga- nisatorischen Maßnahmen nachzuweisen.
(4) Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch
☐ die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO;
☐ die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DS-GVO;
☐ aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Da- tenschutzauditoren, Qualitätsauditoren);
☐ eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz).
§ 8 Unterstützungs- und Informationspflichten des Auftragnehmers
(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Ar- tikeln 32 bis 36 DS-GVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherige Konsultationen. Hierzu gehören u.a.
a) die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen
Seite 7 von 12
[Seite 8]
Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen, b) die Verpflichtung, Verletzungen des Schutzes personenbezogener Daten un- verzüglich an den Auftraggeber zu melden. Der Auftraggeber wird den Auftrag- nehmer daher unverzüglich und vollständig informieren, wenn er bei der Prü- fung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten mit datenschutz- rechtlicher Relevanz feststellt. Darüber hinaus unterrichtet der Auftragnehmer den Auftraggeber unverzüglich bei schwerwiegenden Störungen des Be- triebsablaufs, bei Verdacht auf Datenschutzverletzungen oder anderen die Da- ten des Auftraggebers betreffenden Unregelmäßigkeiten bei der Verarbeitung der Daten des Auftraggebers. Der Auftragnehmer wird alle erforderlichen und ihm zumutbaren Maßnahmen zur Sicherung der betroffenen Daten und zur Min- derung möglicher Nachteile des Auftraggebers ergreifen, c) die Verpflichtung, den Auftraggeber im Rahmen seiner Informationspflicht ge- genüber den Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen, d) die Unterstützung des Auftraggebers für dessen Datenschutz-Folgenabschät- zung, e) die Unterstützung des Auftraggebers im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde.
(2) Für Unterstützungsleistungen, die nicht in der Leistungsbeschreibung des Haupt- vertrages enthalten sind, kann der Auftragnehmer eine Vergütung beanspruchen.
§ 9 Weisungsbefugnis des Auftraggebers
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rah- men der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers, so- fern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter (Auftragnehmer) unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehör- den); in einem solchen Fall teilt der Auftragsverarbeiter (Auftragnehmer) dem Ver- antwortlichen (Auftraggeber) diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichti- gen öffentlichen Interesses verbietet (Art. 28 Abs. 3 S.2 lit. a) DS-GVO).
(2) Der Auftragnehmer verwendet die Daten für keine anderen Zwecke und ist insbe- sondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate von Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenom- men sind Sicherungskopien, soweit sie zur Gewährleistung einer ordnungsgemä- ßen Datenverarbeitung erforderlich sind, sowie Kopien von Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
(3) Mündliche Weisungen bestätigt der Auftraggeber unverzüglich (mind. Textform).
Seite 8 von 12
[Seite 9]
(4) Weisungsberechtigte Personen des Auftraggebers sind:
Vorname, Name, Organisationseinheit, Telefon Weisungsempfänger beim Auftragnehmer sind:
Vorname, Name, Organisationseinheit, Telefon
Für die Weisung zu nutzende Kommunikationskanäle:
Genaue postalische Adresse, E-Mail, Telefonnummer
Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektro- nisch die Nachfolger bzw. die Vertreter mitzuteilen. Die Weisungen sind mindes- tens für ihre Geltungsdauer aufzubewahren.
(5) Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftrag- nehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange aus- zusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
§ 10 Löschung und Rückgabe von personenbezogenen Daten
(1) Nach Abschluss der vertraglich vereinbarten Leistungen oder früher nach Auffor- derung durch den Auftraggeber – spätestens mit Beendigung des Hauptvertrages – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammen- hang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten bzw. die Daten zu löschen, soweit nicht berechtigte Gründe im Sinne von Art. 17 Abs. 3 DS-GVO der Löschung entgegenstehen. Gleiches gilt für Test- und Ausschussmaterial und die an Subunternehmen gelangten Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse. Die Löschung bzw. Vernichtung ist dem Auftragge- ber mit Datumsangabe schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.
(2) Der Auftraggeber legt die erforderlichen Maßnahmen zur Löschung gespeicherter Daten nach Beendigung des Auftrages fest. Soweit nach Vertragsbeendigung zu- sätzliche Kosten durch Herausgabe oder Löschung der Daten des Auftraggebers entstehen, trägt diese der Auftraggeber.
(3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Daten- verarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren.
Seite 9 von 12
[Seite 10]
§ 11 Haftung
Der Auftragnehmer haftet gegenüber dem Auftraggeber für schuldhafte Verletzungen dieser Vereinbarung nach den gesetzlichen Bestimmungen. Es wird auf Art. 82 DS- GVO verwiesen.
§ 12 Sonstiges, Schriftform, Salvatorische Klausel
(1) Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten und der zugehörigen Datenträger ausge- schlossen.
(2) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme durch ein Insolvenz- oder Vergleichsverfahren oder durch sons- tige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragneh- mer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber infor- mieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auf- traggeber als Verantwortlichem im Sinne der DS-GVO liegen.
(3) Kosten, die dem Auftragnehmer durch die Erfüllung seiner Pflichten aus diesem Vertrag entstehen, trägt der Auftragnehmer selbst und sind im Zweifel mit der Ver- gütung nach dem Hauptvertrag abgegolten, wenn nicht in diesem Vertrag aus- drücklich etwas Abweichendes geregelt ist.
(4) Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform. Dies gilt auch für den Verzicht auf das Schriftformerfordernis.
(5) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, verpflichten sich die Parteien, eine Regelung zu finden, die die unwirksame Rege- lung ersetzt und dieser wirtschaftlich am nächsten kommt.
(6) Bestandteil dieses Vertrages wird folgende Anlage:
• Anlage 1 – Technische und organisatorische Maßnahmen
Ort, Datum, Unterschrift Auftraggeber Ort, Datum, Unterschrift,
Auftragnehmer
Seite 10 von 12
[Seite 11]
Anlage 1: Technische und organisatorische Maßnahmen i. S. v. Art. 32 DS-GVO
(vom Auftragnehmer bzgl. der tatsächlich getroffenen Maßnahmen zu konkretisieren)
- Vertraulichkeit (Art. 32 Abs. 1 b) DS-GVO)
• Zutrittskontrolle Kein unbefugter Zutritt zu Datenverarbeitungsanlagen, z.B.: Magnet- oder Chipkarten, Schlüssel, elektrische Türöffner, Werkschutz bzw. Pförtner, Alarmanlagen, Videoanlagen;
• Zugangskontrolle Keine unbefugte Systembenutzung, z.B.: (sichere) Kennwörter, automati- sche Sperrmechanismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern;
• Zugriffskontrolle Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, z.B.: Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen;
• Trennungskontrolle Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erho- ben wurden, z.B. Mandantenfähigkeit, Sandboxing;
- Pseudonymisierung (Art. 32 Abs. 1 a) DS-GVO, Art. 25 Abs. 1 DS-GVO)
Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen
Seite 11 von 12
[Seite 12]
gesondert aufbewahrt werden und entsprechenden technischen und organisatori- schen Maßnahmen unterliegen.
- Integrität (Art. 32 Abs. 1 b) DS-GVO)
• Weitergabekontrolle Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektroni- scher Übertragung oder Transport, z.B.: Verschlüsselung, Virtual Private Networks (VPN), elektronische Signatur;
• Eingabekontrolle Feststellung, ob und von wem personenbezogene Daten in Datenverarbei- tungssysteme eingegeben, verändert oder entfernt worden sind, z.B.: Proto- kollierung, Dokumentenmanagement;
- Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 c) DS-GVO)
• Verfügbarkeitskontrolle Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z.B.: Ba- ckup-Strategie (online/ offline; on-site/off-site), unterbrechungsfreie Strom- versorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne; Ra- sche Wiederherstellbarkeit (Art. 32 Abs. 1 c) DS-GVO);
- Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 d) DS-GVO, Art. 25 Abs. 1 DS-GVO)
• Datenschutz-Management;
• Incident-Response-Management
• Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DS-GVO)
• Auftragskontrolle Keine Auftragsverarbeitung im Sinne von Art. 28 DS-GVO ohne entspre- chende Weisung des Auftraggebers, z.B.: Eindeutige Vertragsgestaltung, Formalisiertes Auftragsmanagement, strenge Auswahl des Dienstleisters, Vorabüberzeugungspflicht, Nachkontrollen.
Seite 12 von 12