Auftragsverarbeitungsvertrag-gem-Art.28DSGVO-UKF-Auftraggeber.pdf

[Seite 1]

6202.60.42

/ RFnaMroF Formular zurücksetzen

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

(UKF Auftraggeber)

zwischen

Universitätsklinikum Freiburg Breisacher Straße 153 79110 Freiburg

vertreten durch den Vorstand

Ausführende Stelle: (Nennung des Bereichs)

Ansprechpartner des Bereichs: (Verantwortlicher im Sinne der DSGVO, im Folgenden auch „UKF“/„Auftraggeber“ genannt)

und

Firma/Partner:

Adresse:

Vertreten durch: (Auftragsverarbeiter im Sinne der DSGVO, nachfolgend „Auftragnehmer“ genannt)

Präambel

Der Auftragnehmer erbringt für den Auftraggeber Leistungen im Bereich (kurze Beschreibung)

gemäß Vertrag vom (im Folgenden: „Hauptvertrag“). Teil der Durchführung des Hauptvertrags ist die Verarbeitung von personenbezogenen Daten im Sinne der Datenschutzgrundverordnung („DSGVO“). Zur Erfüllung der Anforderungen der DSGVO an derartige Konstellationen schließen die Parteien den nachfolgenden Vertrag, dessen Erfüllung nicht gesondert vergütet wird, sofern dies nicht ausdrücklich vereinbart ist.

Sämtliche in diesem Vertrag beschriebenen Verpflichtungen finden Anwendung auf alle Tätigkeiten, die mit den Hauptverträgen in Zusammenhang stehen und bei denen Mitarbeiterinnen und Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen bzw. kommen können.

Seite 1 von 11

[Seite 2]

6202.60.42

/ RFnaMroF Formular zurücksetzen

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

§ 1 Definitionen

Es gelten die Begriffsbestimmungen entsprechend Art. 4 DSGVO, § 2 GeschGehG sowie Landesdatenschutzgesetz (LDSG) und Landeskrankenhausgesetz (LKHG). Sollten in den Artikeln bzw. Paragraphen sich widersprechende Darstellungen zu finden sein, gelten die Definitionen in der Rangfolge DSGVO, Landesrecht, GeschGehG und DDG. Weiterhin gelten folgende Begriffsbestimmungen:

1. Anonymisierung Prozess, bei dem personenbezogene Daten entweder vom für die Verarbeitung der Daten Verantwortlichen allein oder in Zusammenarbeit mit einer anderen Partei unumkehrbar so verändert werden, dass sich die betroffene Person danach weder direkt noch indirekt identifizieren lässt (Quelle: DIN EN ISO 25237).

2. Drittland Ein Land, welches sich außerhalb der EU/EWR befindet.

3. Hauptvertrag Vertrag (i.d.R. ein Dienst- oder Werkvertrag), in welchem alle Einzelheiten der Verarbeitung beschrieben sind.

4. Unterauftragnehmer Vom Auftragnehmer beauftragter Leistungserbringer, dessen Dienstleistung und/oder Werk der Auftrag- nehmer zur Erbringung der in diesem Vertrag beschriebenen Leistungen gegenüber dem Auftraggeber benötigt.

5. Verarbeitung im Auftrag Verarbeitung im Auftrag ist die Verarbeitung personenbezogener Daten durch einen Auftragnehmer im Auftrag des Auftraggebers.

6. Weisung Weisung ist die auf einen bestimmten datenschutzmäßigen Umgang (z. B. Anonymisierung, Sperrung, Löschung, Herausgabe) des Auftragnehmers mit personenbezogenen Daten gerichtete schriftliche Anord- nung des Auftraggebers. Die Weisungen werden anfänglich durch einen Hauptvertrag festgelegt und können vom Auftraggeber danach in schriftlicher Form durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung).

7. Personenbezogene Daten Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natür- liche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standort- daten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

8. Vertrauliche Informationen Vertrauliche Informationen sind Informationen, die ein verständiger Dritter als schützenswert ansehen würde oder die als vertraulich gekennzeichnet sind; dies können auch solche Informationen sein, die während einer mündlichen Präsentation oder Diskussion bekannt werden.

9. Verantwortlicher (Auftraggeber) Verantwortlicher ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

10. Auftragsverarbeiter (Auftragnehmer) Auftragsverarbeiter ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen (Auftraggeber) verarbeitet.

§ 2 Gegenstand des Auftrags

Gegenstand der Vereinbarung ist die Verarbeitung personenbezogener Daten (nachstehend „Daten“ genannt) durch den Auftragnehmer für den Auftraggeber in dessen Auftrag und nach dessen Weisung.

Die Vereinbarung gilt entsprechend für (Fern-)Prüfung und Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen, wenn dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.

Seite 2 von 11

[Seite 3]

6202.60.42 / RFnaMroF Formular zurücksetzen

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Leistungen des Auftragnehmers Der Auftragnehmer erbringt im Auftrag des Auftraggebers folgende Leistungen (bitte hier kurze Beschreibung des Leistungsgegenstandes und der Verarbeitungsteilschritte bzw. Verweis auf hierzu erläuterte Dokumente, z. B. Angebote):

(Aufzählung der vom Auftragnehmer zu erbringenden Leistungsinhalte)

Wartung/Support Der Auftragnehmer erbringt für den Auftraggeber folgende Prüf- bzw. Wartungstätigkeiten, bei denen eine Zugriffsmöglichkeit auf personenbezogene Daten nicht ausgeschlossen werden kann: Prüfung/Wartung vor Ort von Systemen/Verfahren, bei denen gem. geschlossenen Dienstleistungs- verträgen eine Zugriffsmöglichkeit auf personenbezogene Daten nicht ausgeschlossen werden kann. Hardware-Diagnose per Fernzugriff für folgende Hardwareprodukt(e), bei denen gem. geschlossenen Dienstleistungsverträgen eine Zugriffsmöglichkeit auf personenbezogene Daten nicht ausgeschlossen werden kann. Software-Prüfung/-Wartung per Fernzugriff und für folgende Softwareprodukt(e), bei denen gem. geschlos- senen Dienstleistungsverträgen eine Zugriffsmöglichkeit auf personenbezogene Daten nicht ausgeschlos- sen werden kann.

Sonstige Dienstleistungen Aktive Verarbeitung von personenbezogenen Daten durch den Dienstleister

Clouddienst (z. B. Speicherung von Mitarbeiter- oder Patientendaten in der Cloud), bitte beschreiben:

Sonstiges, bitte benennen: gem. ergänzend geschlossenen Dienstleistungsverträgen (oder:)

Bezeichnung der Daten Bei den durch den Auftragnehmer verarbeiteten bzw. für ihn im Zugriff stehenden Daten handelt es sich um (zutreffendes bitte ankreuzen): Patientenstammdaten (nicht medizinische Patientendaten, Name, Adresse, Versicherungsstatus, Hausarzt/ Fachärzte, u. a.) Mitarbeiterstammdaten (Name, Adresse, Bankverbindung, Beruf, u. a.) Personenstammdaten von Kooperationspartnern, Dienstleistern, u. a. Medizinische Patientendaten (Anamnese, Befunde, Diagnosen, Therapie, Labor, OP, Medikation, u. a.) Pflegerische Patientendaten (Vitalparameter, Pflege-, Therapie-, Verlaufs- und/oder Entlassdokumentation, u. a.) Studien-/Forschungsdaten Studien-/Forschungsdaten, inkl. Daten aus der klinischen Behandlung Besondere Kategorien personenbezogener Daten – Art. 9 DSGVO – ohne Gesundheitsdaten Kontaktdaten/ Kommunikationsdaten (IP-Adressen, Telefon, E-Mail, u. a.) Vertragsstammdaten (Vertragsbeziehung, Produkt- bzw. Vertragsinteresse) Abrechnungs- und Zahlungsdaten Planungs- und Steuerungsdaten Auskunftsangaben (von Dritten, z. B. Auskunfteien, oder aus öffentlichen Verzeichnissen) Sonstige Daten, bitte benennen:

Seite 3 von 11

[Seite 4]

6202.60.42

/ RFnaMroF Formular zurücksetzen

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Betroffene Personen/-gruppen Bei den Betroffenen der oben aufgelisteten Daten handelt es sich um (zutreffendes bitte ankreuzen):

Patienten Externe Einreicher Lieferanten/Dienstleister

Studienteilnehmer Niedergelassene Ärzte Kooperationspartner/Ansprechpartner

Interessenten Beschäftigte

Sonstige, bitte benennen:

Der Zugriff auf die Daten bzw. die Datenerhebung erfolgt durch: Übermittlung durch den Auftraggeber über gesicherte Datenübermittlung/Datenträger

Beauftragung durch den Auftraggeber in Form von einem Remotezugang/Vor-Ort-Zugang

§ 3 Verantwortlichkeit

1. Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenverarbeitung verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Ziff. 7 DSGVO).

2. Die Inhalte dieses AV-Vertrages gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.

3. Auftraggeber sowie Auftragnehmer müssen gewährleisten, dass sich die zur Verarbeitung der personen- bezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Dazu müssen alle Personen, die auftragsgemäß auf personenbezogene Daten des Auftraggebers zugreifen können, auf das Datengeheimnis verpflichtet und über ihre Datenschutzpflichten belehrt werden. Dabei ist jede Partei für die Verpflichtung des eigenen Personals zuständig. Ferner müssen die eingesetzten Personen darauf hingewiesen werden, dass das Datengeheimnis auch nach Beendigung der Tätigkeit fortbesteht.

4. Der Auftraggeber und der Auftragnehmer sind bzgl. der zu verarbeitenden Daten für die Einhaltung der jeweils für sie einschlägigen Datenschutzgesetze verantwortlich.

§ 4 Dauer des Auftrags

1. Die Laufzeit dieses AV-Vertrages richtet sich nach der Laufzeit des Hauptvertrags, sofern sich aus den Bestimmungen dieses AV-Vertrages nicht etwas anderes ergibt.

2. Es ist den Vertragspartnern bewusst, dass ohne Vorliegen eines gültigen AV-Vertrages z. B. bei Beendigung des vorliegenden Vertragsverhältnisses, keine (weitere) Auftragsverarbeitung durchgeführt werden darf.

3. Das Recht zur fristlosen Kündigung aus wichtigem Grund bleibt unberührt.

4. Kündigungen bedürfen zu ihrer Wirksamkeit der Schriftform.

§ 5 Weisungsbefugnis des Auftraggebers

1. Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Auftraggebers. Ausgenommen hiervon sind Sachverhalte, in denen dem Auftragnehmer eine Verarbeitung aus zwingenden rechtlichen Gründen auferlegt wird. Der Auftragnehmer unterrichtet soweit ihm möglich in derartigen Situationen den Auftraggeber vor Beginn der Verarbeitung über die entsprechenden rechtlichen Anforderungen. Der Aufraggeber behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, das er durch Einzelweisungen konkretisieren kann.

2. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind von der Weisungsbefugnis des Auftraggebers gedeckt und entsprechend zu dokumentieren. Bei einer wesentlichen Änderung des Auf- trags steht dem Auftragnehmer ein Widerspruchsrecht zu. Besteht der Auftraggeber trotz des Widerspruchs des Auftragnehmers auf der Änderung, steht dem Auftragnehmer ein ordentliches Kündigungsrecht be- züglich des von der Weisung betroffenen AV-Vertrags sowie der von der AV-Vereinbarung betroffenen Bestandteile des entsprechenden Hauptvertrages zu. Verweigert der Auftragnehmer, die Änderung durchzu- führen, steht auch dem Auftraggeber ein ordentliches Kündigungsrecht zu. Erfolgt eine Kündigung, so ist für die restliche Vertragslaufzeit weiterhin die vertraglich vereinbarte Leistung durch den Auftragnehmer zu erbringen.

Seite 4 von 11

[Seite 5]

6202.60.42

/ RFnaMroF Formular zurücksetzen

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

3. Grundsätzlich werden Weisungen durch den Auftraggeber in Textform adressiert. Soweit sich die Weisung auf die Beseitigung von Störungen und Fehlerbehebung bezieht, kann diese auch mündlich erteilt werden.

4. Mündliche Weisungen des Auftraggebers sind in geeigneter nachvollziehbarer Form durch den Auftragneh- mer zu dokumentieren und müssen gegebenenfalls zu einem späteren Zeitpunkt auf Anforderung zur Ver- fügung gestellt werden können. Der Auftragnehmer dokumentiert Datum, Uhrzeit, Person und den Inhalt der Weisung.

§ 6 Leistungsort

1. Der Auftragnehmer wird die vertraglichen Leistungen in Deutschland erbringen. Etwaige Unterauftrag- nehmer erbringen die sie betreffenden Leistungen in der Europäischen Union (EU) oder im Europäischen Wirtschaftsraum (EWR), in den USA oder in einem anderen Drittland. Erfolgt eine Leistungserbringung durch einen Unterauftragnehmer in einem Drittland, garantiert der Auftragnehmer die Einhaltung der diesbezüg- lichen Vorgaben der DSGVO und weist dies auf Verlangen nach.

2. Der Auftraggeber stimmt einer Verlagerung eines Ortes der Leistungserbringung innerhalb des Leistungs- landes, für das eine Zustimmung besteht, zu, wenn dort nachweislich ein gleiches Sicherheitsniveau gegeben ist und keine für den Auftraggeber geltenden gesetzlichen Bestimmungen gegen diese Verlagerung sprechen. Die Nachweispflicht hierzu liegt bei dem Auftragnehmer.

3. Bei einer Verlagerung des Ortes der Leistungserbringung in Länder, die Mitglied der EU/EWR sind und über ein diesem Vertrag genügendes und verifiziertes Datenschutzniveau verfügen, wird der Auftraggeber schriftlich informiert.

4. Sofern der Auftragnehmer vom Auftraggeber nicht innerhalb einer Frist von vier Wochen nach Zugang der Mitteilung gemäß Abs. 3 über die Verlagerung über Gründe informiert wird, die eine Verlagerung nicht zulassen, gilt die Zustimmung zu dieser Verlagerung seitens des Auftraggebers als erteilt.

5. Wenn der Auftragnehmer die geschuldeten Leistungen ganz oder teilweise von einem Standort außerhalb der EU/EWR in einem sog. sicheren „Drittstaat“ erbringen möchte bzw. die Leistungserbringung dorthin zu verlagern plant, wird der Auftragnehmer zuvor die schriftliche Zustimmung durch den Auftraggeber einholen.

6. Sofern die Leistungsverlagerung in ein anderes Land nach den vorstehenden Regelungen möglich ist, gilt dies entsprechend für jeglichen Zugriff bzw. jegliche Sicht auf die Daten durch den Auftragnehmer, z. B. im Rahmen von internen Kontrollen oder zu Zwecken der Entwicklung, der Durchführung von Tests, der Administration oder der Wartung.

7. Sofern die Datenverarbeitung nach dieser Vereinbarung und den gesetzlichen Vorgaben zur Verarbeitung personenbezogener Daten im Auftrag bzw. zur Übermittlung personenbezogener Daten in das Ausland zulässig außerhalb Deutschlands erbracht werden darf, wird der Auftragnehmer für die Einhaltung und Umsetzung der gesetzlichen Erfordernisse zur Sicherstellung eines adäquaten Datenschutzniveaus bei Standortverlagerungen und bei grenzüberschreitendem Datenverkehr Sorge tragen.

§ 7 Pflichten des Auftragnehmers

1. Der Auftragnehmer darf Daten nur im Rahmen des Auftrages und der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen.

2. Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er wird technische und organisa- torische Maßnahmen zur angemessenen Sicherung der Daten des Auftraggebers vor Missbrauch und Verlust treffen, die den Anforderungen der entsprechenden datenschutzrechtlichen Bestimmungen entsprechen; diese Maßnahmen muss der Auftragnehmer dem Auftraggeber und ggfs. Aufsichtsbehörden gegenüber nachweisen. Dieser Nachweis beinhaltet insbesondere die Umsetzung der aus Art. 32 DSGVO resultierenden Maßnahmen und ist dem Auftraggeber als Anlage zu diesem Vertrag zur Verfügung zu stellen. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative, nachweislich adäquate Maß- nahmen umzusetzen. Dabei muss sichergestellt sein, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren.

3. Der Auftragnehmer stellt dem Auftraggeber ein aussagekräftiges und aktuelles Datenschutz- und Sicher- heitskonzept für diese Auftragsverarbeitung als Anlage zu diesem Vertrag zur Verfügung.

4. Der Auftragnehmer selbst führt für die Verarbeitung ein Verzeichnis der bei ihm stattfindenden Verarbei- tungstätigkeiten im Sinne des Art. 30 DSGVO. Er stellt auf Anforderung dem Auftraggeber die für seine Übersicht nach Art. 30 DSGVO notwendigen Angaben zu Verfügung soweit dies für den Auftraggeber erforderlich ist und diese Angaben auf andere Weise nicht verfügbar sind. Des Weiteren stellt er das Ver- zeichnis auf Anfrage der Aufsichtsbehörde zur Verfügung. Seite 5 von 11

[Seite 6]

6202.60.42

/ RFnaMroF Formular zurücksetzen

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

5. Der Auftragnehmer unterstützt den Auftraggeber bei der Datenschutzfolgenabschätzung mit allen ihm zur Verfügung stehenden Informationen. Im Falle der Notwendigkeit einer vorherigen Konsultation der zuständigen Aufsichtsbehörde unterstützt der Auftragnehmer den Auftraggeber auch hierbei.

6. Gilt für Verträge bei denen der Zugriff auf die Daten des Auftraggebers durch Mittel der Telekommunikation (bspw. Telefon, E-Mail) nicht ausgeschlossen werden kann: Die Wahrung des Fernmeldegeheimnisses entsprechend § 3 Telekommunikation-Digitale-Dienste-Datenschutz- Gesetz (TDDDG) muss vom Auftraggeber gewährleistet werden. Dazu muss der Auftragnehmer alle Personen, die auftragsgemäß auf Daten des Auftraggebers mittels Mittel der Telekommunikation wie Telefon oder E-Mail zugreifen können, auf das Fernmeldegeheimnis verpflichten und über die sich darauf ergebenden besonderen Geheimhaltungspflichten belehren.

7. Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftraggebers vertraulich zu behandeln.

8. Beide Vertragsparteien versichern, im Zusammenhang mit diesem Vertrag das Gesetz zum Schutz von Geschäftsgeheimnissen zu wahren und ihre Mitarbeiter und Erfüllungsgehilfen darauf hinzuweisen.

9. Der Auftragnehmer hat schriftlich einen Datenschutzbeauftragten zu bestellen, der seine Tätigkeit gem. Art. 38 ausübt. Die Kontaktdaten sind dem Auftraggeber zum Zweck der direkten Kontaktaufnahme mitzuteilen. Alternativ sind die aktuellen Kontaktdaten auf der Internetseite des Auftragnehmers leicht zugänglich hinter- legt. Der Auftraggeber ist über den Wechsel des Datenschutzbeauftragten unverzüglich zu informieren.

Die Kontaktdaten des Datenschutzbeauftragten sind als Anlage beigefügt

Die Kontaktdaten finden sich im Internet unter:

Der Auftragnehmer ist nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Ein Ansprech- partner ist unter Angaben des Namens, Vornamens, Organisationseinheit, Telefonnummer und E-Mail- adresse in der Anlage benannt.

Der Datenschutzbeauftragte kann über folgende E-Mailadresse kontaktiert werden:

10. Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich bei Verstößen des Auftragnehmers oder der bei ihm im Rahmen des Auftrags beschäftigten Personen gegen Vorschriften zum Schutz personenbezo- gener Daten des Auftraggebers oder der im Vertrag getroffenen Festlegungen. Er trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die Betroffenen und spricht sich hierzu unverzüglich mit dem Auftraggeber ab. Der Auftragnehmer unterstützt den Auftrag- geber bei der Erfüllung der Informationspflichten gegenüber der jeweils zuständigen Aufsichtsbehörde bzw. den von einer Verletzung des Schutzes personenbezogener Daten Betroffenen nach Art. 33, 34 DSGVO.

11. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiter- leiten.

12. Überlassene Datenträger sowie sämtliche hiervon gefertigten Kopien oder Reproduktionen verbleiben im Eigentum des Auftraggebers. Der Auftragnehmer hat diese sorgfältig zu verwahren, sodass sie Dritten nicht zugänglich sind. Der Auftragnehmer ist verpflichtet, dem Auftraggeber jederzeit Auskünfte zu erteilen, soweit seine Daten und Unterlagen betroffen sind.

13. Ist der Auftraggeber aufgrund geltender Datenschutzgesetze gegenüber einer betroffenen Person verpflichtet, Auskünfte zur Erhebung, Verarbeitung oder Nutzung von Daten dieser Person zu geben, wird der Auftragnehmer den Auftraggeber dabei unterstützen, diese Informationen bereitzustellen, vorausgesetzt der Auftraggeber hat den Auftragnehmer hierzu schriftlich aufgefordert.

14. Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen und Maßnahmen durch die Datenschutzaufsichtsbehörden oder falls die Datenschutzaufsichtsbehörde bei dem Auftragnehmer ermittelt.

15. Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

Seite 6 von 11

[Seite 7]

6202.60.42

/ RFnaMroF Formular zurücksetzen

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

16. Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragneh- mer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als Verantwortlichen im Sinne der DSGVO liegen.

17. Der Auftragnehmer verwendet die überlassenen Daten für keine anderen Zwecke als die der Vertragserfüllung und setzt auch keine Mittel zur Verarbeitung ein, die nicht vom Auftraggeber zuvor genehmigt wurden.

18. Sofern der Auftragnehmer durch das Recht der Union oder Mitgliedstaaten verpflichtet ist, die Daten auch auf andere Weise zu verarbeiten, so teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit. Die Mitteilung hat zu unterbleiben, wenn das einschlägige nationale Recht eine solche Mitteilung aufgrund eines wichtigen öffentlichen Interesses verbietet.

19. Die Erfüllung der vorgenannten Pflichten ist vom Auftragnehmer zu kontrollieren, zu dokumentieren und in geeigneter Weise gegenüber dem Auftraggeber auf Anforderung nachzuweisen.

20. Der Auftragnehmer ist verpflichtet, alle ihm im Rahmen der Ausübung des Vertragsverhältnisses erlangten bzw. bekannt werdenden vertraulichen Informationen, wie z. B. personenbezogenen Daten (insbesondere Gesundheitsdaten) und Geschäfts- und Betriebsgeheimnisse und sonstige fremde Geheimnisse im Sinne von § 203 StGB, vertraulich zu behandeln, insbesondere nicht an Dritte weiterzugeben oder anders als zu vertraglichen Zwecken zu verwerten. Die Pflicht des Auftragnehmers zur Verschwiegenheit besteht auch nach der Beendigung der vertraglichen Beziehung fort. Der Auftragnehmer verpflichtet sich außerdem, sein eingesetztes Personal und weitere mitwirkende Personen, derer er sich bei der Ausübung seiner Tätigkeit für den Auftraggeber bedient, in gleicher Weise wie sich selbst zur Verschwiegenheit und Geheimhaltung - auch über das Beschäftigungs-, bzw. Auftragsende hinaus - zu verpflichten. Der Auftragnehmer wird darauf hingewiesen, dass er sich gemäß § 203 Abs. 4 S. 2 Nr. 2 StGB strafbar macht, wenn es zu einem unbefugten Offenbaren durch mitwirkende Personen kommt, derer sich der Auftragnehmer bedient, ohne diese zur Geheimhaltung verpflichtet zu haben. Der Auftragnehmer hat alle mitwirkenden Personen darüber zu unterrichten, dass sie sich bei einer unbefugten Offenbarung der vertraulich zu behandelnden Informationen nach § 203 StGB strafbar und nach geltendem Datenschutzrecht schadensersatzpflichtig machen und mit erheblichen Sanktions- und Bußgeldforderungen der Aufsichtsbehörde zu rechnen ist.

21. Der Auftragnehmer verpflichtet sich zur zeitnahen Meldung von sicherheitsrelevanten Schwachstellen, IT- und Informationssicherheitsvorfällen im Umfeld des Universitätsklinikums an das UKF. Dies gilt auch für entsprechende relevante Vorfälle und Schwachstellen bei eingesetzten Unterauftragnehmern.

§ 8 Fernzugriff bei Prüfung/Wartung eines Systems oder anderen Dienstleistungen über Fernzugriffe

Für die Durchführung von Fernzugriffen bei der Prüfung und/oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen oder bei Fernzugriffen für andere Dienstleistungen gelten ergänzend folgende Rechte/Pflichten des Auftraggebers/Auftragnehmers:

1. Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten an Arbeitsplatzsystemen werden erst nach Freigabe durch den jeweiligen Berechtigten/zuständigen Mitarbeiter des Auftraggebers durchgeführt.

2. Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten von automatisierten Verfahren oder von Datenverarbeitungsanlagen werden, sofern hierbei ein Zugriff auf personenbezogenen Daten nicht sicher ausgeschlossen werden kann, ausschließlich mit Zustimmung des Auftraggebers ausgeführt.

3. Die Mitarbeiter des Auftragnehmers verwenden angemessene Identifizierungs- und Verschlüsselungsver- fahren.

4. Vor Durchführung von Fernzugriffen werden sich Auftraggeber und Auftragnehmer über etwaig notwendige Datensicherheitsmaßnahmen in ihren jeweiligen Verantwortungsbereichen verständigen.

5. Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten werden dokumentiert und protokolliert. Der Auftraggeber ist berechtigt, Prüfungs- und Wartungsarbeiten vor, bei und nach Durchführung zu kontrollieren. Bei Fernzugriffen ist der Auftraggeber- soweit technisch möglich – berechtigt, diese von einem Kontrollbildschirm aus zu verfolgen und jederzeit abzubrechen.

6. Der Auftragnehmer wird von den ihm eingeräumten Zugriffsrechten auf automatisierte Verfahren oder von Datenverarbeitungsanlagen (insb. IT-Systeme, Anwendungen) des Auftraggebers nur in dem Umfang auch in zeitlicher Hinsicht – Gebrauch machen, wie dies für die ordnungsgemäße Durchführung der beauftragten Wartungs- und Prüfungsarbeiten notwendig ist.

Seite 7 von 11

[Seite 8]

6202.60.42

/ RFnaMroF Formular zurücksetzen

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

7. Soweit bei der Leistungserbringung Tätigkeiten zur Fehleranalyse erforderlich sind, bei denen eine Kenntnis- nahme (z. B. auch lesender Zugriff) oder ein Zugriff auf Wirkdaten (Produktions-/Echtdaten) des Auftrag- gebers notwendig ist, wird der Auftragnehmer die vorherige Einwilligung des Auftraggebers einholen.

8. Tätigkeiten zur Fehleranalyse, bei denen ein Datenabzug der Wirkbetriebsdaten erforderlich ist, bedürfen der vorherigen Einwilligung des Auftraggebers. Bei Datenabzug der Wirkbetriebsdaten wird der Auftrag-nehmer diese Kopien, unabhängig vom verwendeten Medium, nach Bereinigung des Fehlers löschen. Wirkdaten dürfen nur zum Zweck der Fehleranalyse und ausschließlich auf dem bereitgestellten Equipment des Auftraggebers oder auf solchem des Auftragnehmers verwendet werden, sofern die vorherige Einwilligung des Auftraggebers vorliegt. Wirkdaten dürfen nicht ohne Zustimmung des Auftraggebers auf mobile Speichermedien (Smartphone, Tablet, USB-Speichermedien oder ähnliche Geräte) kopiert werden.

9. Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten sowie sämtliche in diesem Zusammen- hang erforderlichen Tätigkeiten, insbesondere Tätigkeiten wie Löschen, Datentransfer oder eine Fehler- analyse, werden unter Berücksichtigung von technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten durchgeführt. In diesem Zusammenhang wird der Auftragnehmer die tech- nischen und organisatorischen Maßnahmen wie in Anlage 1 beschrieben ergreifen.

§ 9 Pflichten des Auftraggebers

1. Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich. Der Auftraggeber wird in seinem Verantwortungs- bereich dafür Sorge tragen, dass die gesetzlich notwendigen Voraussetzungen (z. B. durch Einholung von Einwilligungserklärungen für die Verarbeitung der Daten) geschaffen werden, damit der Auftragnehmer die vereinbarten Leistungen rechtsverletzungsfrei erbringen kann.

2. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestim- mungen feststellt.

3. Der Auftraggeber ist hinsichtlich der vom Auftragnehmer eingesetzten und vom Auftraggeber genehmigten Verfahren zur automatisierten Verarbeitung personenbezogener Daten datenschutzrechtlich verantwortlich und hat - neben der eigenen Verpflichtung des Auftragnehmers - ebenfalls die Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten.

4. Dem Auftraggeber obliegen die aus Art. 33, 34 DSGVO resultierenden Informationspflichten gegenüber der Aufsichtsbehörde bzw. den von einer Verletzung des Schutzes personenbezogener Daten Betroffenen.

5. Der Auftraggeber legt die Maßnahmen zur Rückgabe der überlassenen Datenträger und/oder Löschung der gespeicherten Daten nach Beendigung des Auftrages vertraglich oder durch Weisung fest.

6. Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln.

7. Beide Vertragsparteien versichern, im Zusammenhang mit diesem Vertrag das Gesetz zum Schutz von Ge- schäftsgeheimnissen zu wahren und ihre Mitarbeiter und Erfüllungsgehilfen darauf hinzuweisen (§ 23 Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG)).

8. Der Auftraggeber stellt sicher, dass die aus Art. 32 DSGVO resultierenden Anforderungen bzgl. der Sicherheit der Verarbeitung seinerseits eingehalten werden. Insbesondere gilt dies für Fernzugriffe des Auftragnehmers auf die Datenbestände des Auftraggebers.

9. Erteilt der Auftraggeber Einzelweisungen, die über den vertraglich vereinbarten Leistungsumfang hinaus- gehen, sind die dadurch begründeten Kosten vom Auftraggeber zu tragen. Sofern der vereinbarte Leistungs- umfang überschritten wird, ist hierzu vorab eine gesonderte schriftliche Vereinbarung zu treffen.

§ 10 Kontrollrechte des Auftraggebers

1. Der Auftraggeber hat den Auftragnehmer unter dem Aspekt ausgewählt, dass dieser hinreichend Garantien dafür bietet, geeignete technische und organisatorische Maßnahmen so durchzuführen, dass die Verarbei- tung im Einklang mit den Anforderungen der DSGVO erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet. Er dokumentiert das Ergebnis seiner Auswahl.

Hierfür kann er beispielsweise datenschutzspezifische Zertifizierungen oder Datenschutzsiegel und -prüfzeichen berücksichtigen, schriftliche Selbstauskünfte des Auftragnehmers einholen, sich ein Testat eines Sachverständigen vorlegen lassen oder sich nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs persönlich oder durch einen sachkundigen Dritten, der nicht in einem Wettbewerbsverhältnis zum Auftragnehmer stehen darf, von der Einhaltung der vereinbarten Regelungen überzeugen. Seite 8 von 11

[Seite 9]

6202.60.42

/ RFnaMroF Formular zurücksetzen

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

2. Liegt ein Verstoß des Auftragnehmers oder der bei ihm im Rahmen des Auftrags beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder der im Vertrag getroffenen Festlegungen vor, so kann eine darauf bezogene Prüfung auch nach kurzfristiger Anmeldung vorgenommen werden. Eine Störung des Betriebsablaufs beim Auftragnehmer sollte auch hierbei weitestgehend vermieden werden.

3. Die Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen durch den Auftraggeber im Hinblick auf die Vertragsausführung bzw. -erfüllung, insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags wird vom Auftragnehmer unterstützt. Insbesondere verpflichtet sich der Auftragnehmer, dem Auftraggeber auf schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte zu geben, die zur Durchführung der Kontrolle erforderlich sind.

4. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er bei der Prüfung Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.

§ 11 Berichtigung, Beschränkung von Verarbeitung, Löschung und Rückgabe von Datenträgern

1. Während der laufenden Beauftragung berichtigt, löscht oder sperrt der Auftragnehmer die vertragsgegen- ständlichen Daten nur auf Anweisung des Auftraggebers.

2. Sofern eine Vernichtung während der laufenden Beauftragung vorzunehmen ist, übernimmt der Auftrag- nehmer die nachweislich datenschutzkonforme Vernichtung von Datenträgern und sonstiger Materialien nur aufgrund entsprechender Einzelbeauftragung durch den Auftraggeber. Dies gilt nicht, sofern im Haupt- Vertrag bereits eine entsprechende Regelung getroffen worden ist.

3. In besonderen, vom Auftraggeber zu bestimmenden Fällen, erfolgt eine Aufbewahrung bzw. Übergabe.

4. Nach Abschluss der vertraglichen Arbeiten – oder früher nach Aufforderung durch den Auftraggeber – hat der Auftragnehmer a. sämtliche im Rahmen des Auftrags in seinen Besitz gelangten Unterlagen oder Datenträger, b. im Rahmen des Auftrags erstellte Verarbeitungsergebnisse, c. Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder auf Anweisung des Auftraggebers datenschutzkonform zu löschen bzw. zu vernichten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Das Protokoll der Löschung ist auf Anforderung vorzulegen.

5. Sofern zusätzliche Kosten durch abweichende Vorgaben bei der Herausgabe oder Löschung der Daten entstehen, bedarf es einer vorherigen schriftlichen Vereinbarung über die Kostentragung.

6. Soweit ein Transport des Speichermediums vor Löschung unverzichtbar ist, wird der Auftragnehmer angemessene Maßnahmen zu dessen Schutz, insbesondere gegen Entwendung, unbefugtem Lesen, Kopieren oder Verändern, treffen. Die Maßnahmen und die anzuwendenden Löschverfahren werden bei Bedarf ergänzend zu den Leistungsbeschreibungen konkretisierend vereinbart.

7. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

8. Der Auftraggeber kann jederzeit, d. h. sowohl während der Laufzeit als auch nach Beendigung des Vertrages, die Berichtigung, Löschung, Verarbeitungseinschränkung (Sperrung) und Herausgabe von Daten durch den Auftragnehmer verlangen, solange der Auftragnehmer die Möglichkeit hat, diesem Verlangen zu entsprechen.

9. Der Auftragnehmer berichtigt, löscht oder sperrt die vertragsgegenständlichen Daten, wenn der Auftrag- geber dies anweist. Die datenschutzkonforme Vernichtung von Datenträgern und sonstigen Materialien übernimmt der Auftragnehmer aufgrund einer Einzelbeauftragung durch den Auftraggeber, sofern nicht im Vertrag anders vereinbart. In besonderen, vom Auftraggeber zu bestimmenden Fällen, erfolgt eine Aufbewahrung bzw. Übergabe. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

10. Sollte dem Auftraggeber eine Rücknahme der Daten nicht möglich sein, wird er den Auftragnehmer rechtzeitig schriftlich informieren. Der Auftragnehmer ist dann berechtigt, personenbezogene Daten im Auftrag des Auftraggebers zu löschen.

Seite 9 von 11

[Seite 10]

Formular zurücksetzen

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

§ 12 Unterauftragnehmer

1. Der Auftragnehmer nimmt keinen Unterauftragnehmer ohne vorherige explizite schriftliche oder allgemeine schriftliche Genehmigung des Auftraggebers in Anspruch. Dies gilt in gleicher Weise für den Fall, dass weitere Unterauftragsverhältnisse durch Unterauftragnehmer begründet werden. Der Auftragnehmer stellt sicher, dass eine entsprechende Genehmigung des Auftragsgebers für alle im Zusammenhang mit der vertragsgegenständlichen Verarbeitung eingesetzten weiteren Unterauftragnehmer entsprechend den Vor- schriften dieses § 12 vorliegt.

2. Die nachfolgenden Regelungen finden sowohl für den Unterauftragnehmer als auch für alle in der Folge eingesetzten weiteren Unterauftragnehmer entsprechende Anwendung.

3. Im Fall einer allgemeinen schriftlichen Genehmigung informiert der Auftragnehmer den Auftraggeber immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftrag- nehmern, wodurch der Auftraggeber die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben. Verweigert der Auftraggeber durch seinen Einspruch die Zustimmung aus anderen als aus wichtigen Gründen, kann der Auftragnehmer den Vertrag zum Zeitpunkt des geplanten Einsatzes des Unter- auftragnehmers kündigen.

4. Der Auftraggeber ist damit einverstanden, dass der Auftragnehmer zur Erfüllung seiner vertraglich verein- barten Leistungen verbundene Unternehmen des Auftragnehmers zur Leistungserfüllung heranzieht. Hierbei muss jedoch jeder Unterauftragnehmer (verbundenes Unternehmen) vor Beauftragung dem Auftraggeber schriftlich angezeigt werden, sodass der Auftraggeber bei Vorliegen wichtiger Gründe die Beauftragung untersagen kann.

5. Zum Zeitpunkt des Abschlusses dieser Vereinbarung werden die vertraglich vereinbarten Leistungen bzw. die nachfolgend beschriebenen Leistungsteile unter Einschaltung eines Unterauftragnehmers durchgeführt.

6202.60.42

/ RFnaMroF Eine Anlage ist beizufügen, in der die Subunternehmer mit dem vorrangig aufgeführten Muster vollständig aufgeführt sind!

6. Der Auftragnehmer muss Unterauftragnehmer unter besonderer Berücksichtigung der Eignung hinsichtlich der Erfüllung der zwischen Auftraggeber und Auftragnehmer vereinbarten technischen und organisatori- schen Maßnahmen gewissenhaft auswählen.

7. Ist der Auftragnehmer im Sinne dieser Vereinbarung befugt, die Dienste eines Unterauftragnehmers in Anspruch zu nehmen, um bestimmte Verarbeitungstätigkeiten im Namen des Auftraggebers auszuführen, so werden diesem Unterauftragnehmer im Wege eines Vertrags dieselben Pflichten auferlegt, die in dieser Vereinbarung zwischen dem Auftraggeber und dem Auftragnehmer festgelegt sind, insbesondere hinsichtlich der Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit zwischen den Vertragspartnern dieses Vertrages sowie den in diesem AV-Vertrag beschriebenen Kontroll- und Über- prüfungsrechten des Auftraggebers. Hierbei müssen ferner hinreichend Garantien dafür geboten werden, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen der DSGVO erfolgt.

8. Durch schriftliche Aufforderung ist der Auftraggeber berechtigt, vom Auftragnehmer Auskunft über die datenschutzrelevanten Verpflichtungen des Unterauftragnehmers zu erhalten, erforderlichenfalls auch durch Einsicht in die datenschutzrelevanten Passagen der Vertragsunterlagen.

9. Ein zustimmungspflichtiges Unterauftragnehmerverhältnis liegt nicht vor, wenn der Auftragnehmer Dritte im Rahmen einer Nebenleistung zur Hauptleistung beauftragt, wie beispielsweise bei Personal-, Post- und Versanddienstleistungen. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Auftraggebers auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen. Die Nebenleistungen sind vorab detailliert zu benennen.

10. Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes Unterauftragnehmers.

Seite 10 von 11

[Seite 11]

6202.60.42

/ RFnaMroF Formular zurücksetzen

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

§ 13 Zurückbehaltungsrecht Die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer im Sinne des § 273 BGB hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger ist ausgeschlossen.

§ 14 Haftung 01) Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Eine Haftung des Auftragnehmers gegenüber dem Auftraggeber wegen Verletzung von Pflichten aus diesem Vertrag oder dem Hauptvertrag bleibt hiervon unberührt.

2. Die Parteien stellen sich jeweils von der Haftung frei, wenn eine Partei nachweist, dass sie in keinerlei Hin- sicht für den Umstand, durch den der Schaden bei einem Betroffenen eingetreten ist, verantwortlich ist. § 14 Abs. 2 S. 1 gilt im Falle einer gegen eine Partei verhängte Geldbuße entsprechend, wobei die Freistellung im Umfang erfolgt, in dem die jeweils andere Partei Anteil an der Verantwortung für den durch die Geldbuße sanktionierten Verstoß trägt.

3. Soweit zwischen diesem Vertrag und dem Hauptvertrag abweichende Regelungen bestehen, gehen die Regelungen dieses Vertrags hinsichtlich der Verarbeitung personenbezogener Daten im Rahmen der Auftragsverarbeitung sowie der damit zusammenhängenden Haftung, insbesondere nach Art. 82 DSGVO, vor. Im Übrigen bleiben die Regelungen des Hauptvertrags sowie zwingende gesetzliche Vorschriften unberührt.

§ 15 Schriftformklausel Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile – einschließlich etwaiger Zusiche- rungen des Auftragnehmers – bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Regelungen handelt. Das Schriftformerfordernis gilt auch für den Verzicht auf dieses Formerfordernis.

§ 16 Schlussbestimmungen 01) Die Regelungen dieses Vertrages gehen im Zweifel den Regelungen des Hauptvertrages vor. Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen der Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden, bleiben die übrigen Vertragsbestimmungen und die Wirksamkeit des Vertrages im Ganzen hiervon unberührt.

2. An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichtigen Bestimmung möglichst nahekommt.

3. Erweist sich der Vertrag als lückenhaft, gelten die Bestimmungen als vereinbart, die dem Sinn und Zweck des Vertrages entsprechen und im Falle des Bedachtwerdens vereinbart worden wären.

4. Existieren mehrere wirksame und durchführbare Bestimmungen, welche die unter § 16 Abs. 1 genannte unwirksame Regelung ersetzen können, so muss die Bestimmung gewählt werden, welche den Schutz der personenbezogenen Daten im Sinne dieses Vertrages am besten gewährleistet.

§ 17 Rechtswahl, Gerichtsstand 01) Es gilt deutsches Recht.

2. Ausschließlicher Gerichtsstand ist Freiburg im Breisgau.

Datum Name, Vorname, Funktion (bitte in Druckbuchstaben) Unterschrift Auftragnehmer

Datum Name, Vorname, Funktion (bitte in Druckbuchstaben) Unterschrift Fachbereich UKF

Datum Name, Vorname, Funktion (bitte in Druckbuchstaben) Unterschrift G3, G5 oder ZDI UKF

Anlagen Anlage 1 – Technische und organisatorische Maßnahmen des Auftragnehmers nach Art. 32 DSGVO und § 8a BSIG Anlage 2 – Weisungs- und empfangsberechtigte Personen Anlage 3 – Liste Genehmigte Subunternehmer siehe § 12 Seite 11 von 11