12908_Muster_Anlage_AVV.docx

Anlage zum Vertrag vom [DATUM DES VERTRAGS]

12908 Kommunikationslösung für 25.000 Personen im Bildungsbereich (Lehrermail)

zwischen

Land Brandenburg vertreten durch das Ministerium für Bildung, Jugend und Sport Heinrich-Mann-Allee 107

14473 Potsdam

• „Auftraggeber“ -

und

[NAME DES AUFTRAGSVERARBEITERS] [ANSCHRIFT] [PLZ Ort]

• „Auftragnehmer“-

über eine Auftragsverarbeitung.

§ 1 Generelle Bestimmungen

1. Diese Anlage regelt die Rechte und Pflichten der Vertragsparteien bei der Verarbeitung personenbezogener Daten im Auftrag gemäß Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DSGVO) zur Erfüllung des Vertrags (im Folgenden „Hauptvertrag“).
2. Diese Anlage verwendet die Standardvertragsklauseln der Europäischen Kommission gemäß dem Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Artikel 28 Absatz 7 DSGVO (im Folgenden „Standardvertragsklauseln“), abrufbar unter: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32021D0915
3. Die Parteien vereinbaren die Anwendbarkeit der Standardvertragsklauseln mit den in den Anhängen I bis IV angegebenen Informationen.
4. Wenn in den Standardvertragsklauseln vom „Vertrag“ zwischen dem Verantwortlichen und dem Auftragsverarbeiter die Rede ist, ist damit diese Anlage gemeint und nicht der Hauptvertrag.
5. Die Regelungen des Hauptvertrages zu Änderungen und Ergänzungen sowie der Beendigung dieser Anlage gehen den Regelungen der Standardvertragsklauseln vor.
6. Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer gemäß § 273 BGB hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger ausgeschlossen ist.
7. Die Schriftform (Namensunterschrift) ist zum Abschluss dieser Anlage nicht erforderlich. Lag die Anlage bei Unterzeichnung des Hauptvertrages vor, ist keine weitere Zustimmung notwendig. Wurde die Anlage im Nachgang zum Hauptvertrag geschlossen, genügt die Erklärung beider Parteien, dass sie der Anlage zustimmen, in Textform.
8. Sollten einzelne Bestimmungen dieser Anlage ganz oder teilweise nicht rechtswirksam oder nicht durchführbar sein oder werden, so wird hierdurch die Wirksamkeit der jeweils übrigen Bestimmungen nicht berührt.

§ 2 Anhänge der Standardvertragsklauseln

ANHANG I Liste der Parteien

Die Namen und Anschriften sowie Kontaktdaten des Verantwortlichen und des Auftragsverarbeiters sind auf der ersten Seite dieser Anlage sowie im Zusammenhang mit dem Hauptvertrag und den dazugehörigen Dokumenten hinterlegt.

Name und Kontaktdaten des Datenschutzbeauftragten des Verantwortlichen:

Behördlicher Datenschutzbeauftragter des Brandenburgischen IT-Dienstleisters dsb@ZIT-BB.Brandenburg.de

Ggf. Name und Kontaktdaten des Datenschutzbeauftragten des Auftragsverarbeiters:

[Namen und Kontaktdaten des Datenschutzbeauftragten eintragen, falls bestellt]

ANHANG II Beschreibung der Verarbeitung

=> Ausfüllhinweis (bitte nach dem Ausfüllen Löschen): Durch den Auftraggeber zu ergänzen, ggf. durch Verweis auf entsprechende – beiden Parteien vorliegende – Dokumentationen.

Kategorien betroffener Personen, deren personenbezogene Daten verarbeitet werden (Aufzählung nicht abschließend, bei Bedarf vom Auftraggeber zu ergänzen):

[x] Bürgerinnen und Bürger

[x] Administratorinnen und Administratoren

[x] Beschäftigte/Bewerberinnen und Bewerber

[ ] Auftragnehmerinnen und Auftragsnehmer/Vertragspartnerinnen und Vertragspartner

[ ] Dritte

[ ] …

Kategorien personenbezogener Daten, die verarbeitet werden (Aufzählung nicht abschließend, bei Bedarf vom Auftraggeber zu ergänzen):

[x] Stammdaten und Kontaktdaten (z. B. Namen, Anschrift, E-Mail-Adresse, Organisationszugehörigkeit)

[x] Nutzerdaten (z. B. Benutzername/-kennung)

[x] Protokolldaten (z. B. Benutzeranmeldungen)

[x] Kommunikationsdaten (Meta- und Inhaltsdaten, z. B. Absender, Empfänger, Nachrichten)

[ ] Ggf. weitere Arten personenbezogener Daten, die im Rahmen der Verarbeitungstätigkeit/des Fachverfahrens verarbeitet werden (z. B. Antragsdaten, Personaldaten, Registerdaten):

[ ] …

Verarbeitete sensible Daten (falls zutreffend) und angewandte Beschränkungen oder Garantien, die der Art der Daten und den verbundenen Risiken in vollem Umfang Rechnung tragen, z. B. strenge Zweckbindung, Zugangsbeschränkungen (einschließlich des Zugangs nur für Mitarbeiter, die eine spezielle Schulung absolviert haben), Aufzeichnungen über den Zugang zu den Daten, Beschränkungen für Weiterübermittlungen oder zusätzliche Sicherheitsmaßnahmen:

[x] rassische und ethnische Herkunft

[x] politische Meinungen

[x] religiöse oder weltanschauliche Überzeugungen

[x] Gewerkschaftszugehörigkeit

[x] genetische oder biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person Gesundheitsdaten

[x] Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person

Die technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten sensiblen Daten sind in Anhang III beschrieben.

Art der Verarbeitung: … [ggf. unter Verweis auf die Definitionen von Artikel 4 Nummer 2 und/oder den Hauptvertrag bzw. seine Anlagen angeben]

Zweck(e), für den/die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden: … [ggf. unter Verweis auf den Hauptvertrag angeben]

Dauer der Verarbeitung: Die Dauer der Verarbeitung ergibt sich aus dem Hauptvertrag.

Bei der Verarbeitung durch (Unter-)Auftragsverarbeiter sind auch Gegenstand, Art und Dauer der Verarbeitung anzugeben. Das erfolgt in Anhang IV.

ANHANG III Technische und organisatorische Maßnahmen, einschließlich zur Gewährleistung der Sicherheit der Daten

=> Ausfüllhinweis (bitte nach dem Ausfüllen Löschen): Durch den Auftragnehmer zu ergänzen, ggf. durch Verweis auf entsprechende – beiden Parteien vorliegende – Dokumentationen.

ERLÄUTERUNG [nach Ergänzung durch den Auftragnehmer zu entfernen]:

Die technischen und organisatorischen Maßnahmen müssen konkret beschrieben werden; eine allgemeine Beschreibung ist nicht ausreichend.

Beschreibung der von dem/den Verantwortlichen ergriffenen technischen und organisatorischen Sicherheitsmaßnahmen (einschließlich aller relevanten Zertifizierungen) zur Gewährleistung eines angemessenen Schutzniveaus unter Berücksichtigung der Art, des Umfangs, der Umstände und des Zwecks der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen Beispiele für mögliche Maßnahmen:

Maßnahmen der Pseudonymisierung und Verschlüsselung personenbezogener Daten

Maßnahmen zur fortdauernden Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung

Maßnahmen zur Sicherstellung der Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung

Maßnahmen zur Identifizierung und Autorisierung der Nutzer

Maßnahmen zum Schutz der Daten während der Übermittlung

Maßnahmen zum Schutz der Daten während der Speicherung

Maßnahmen zur Gewährleistung der physischen Sicherheit von Orten, an denen personenbezogene Daten verarbeitet werden

Maßnahmen zur Gewährleistung der Protokollierung von Ereignissen

Maßnahmen zur Gewährleistung der Systemkonfiguration, einschließlich der Standardkonfiguration

Maßnahmen für die interne Governance und Verwaltung der IT und der IT-Sicherheit

Maßnahmen zur Zertifizierung/Qualitätssicherung von Prozessen und Produkten

Maßnahmen zur Gewährleistung der Datenminimierung

Maßnahmen zur Gewährleistung der Datenqualität

Maßnahmen zur Gewährleistung einer begrenzten Vorratsdatenspeicherung

Maßnahmen zur Gewährleistung der Rechenschaftspflicht

Maßnahmen zur Ermöglichung der Datenübertragbarkeit und zur Gewährleistung der Löschung

ANHANG IV Liste der Unterauftragsverarbeiter

=> Ausfüllhinweis (bitte nach dem Ausfüllen Löschen) Dieser Anhang ist vom Auftragnehmer auszufüllen, wenn dieser Unterauftragsverarbeiter gemäß Abschnitt 2 Klausel 7.7 Buchstabe a einsetzt und sich mit dem Auftraggeber nicht auf eine Bereitstellung der Liste der Unterauftragsverarbeiter an anderer Stelle – wo Sie für beide Parteien verfügbar ist – geeinigt hat.

Hinsichtlich der in Abschnitt II Klausel 7.7 vorgesehenen Optionen zur Genehmigung von Unterauftragsverarbeitern vorgesehenen Optionen gilt die Option 2: Allgemeine schriftliche Genehmigung. Der Zeitraum zur Unterrichtung des Verantwortlichen wird mit vier Wochenangegeben.