05_Anlage_1_Vertrag zur Auftragsverarbeitung.pdf

[Seite 1]

Anlage 1:

Vertrag zur Auftragsverarbeitung

gemäß Art. 28 DS-GVO

Vertrag

Zwischen dem/der

N-ERGIE Kundenservice GmbH

Am Plärrer 43

90429 Nürnberg

...............................................................................................................

• Verantwortlicher - nachstehend Auftraggeber genannt -

und dem/der

...............................................................................................................

• Auftragsverarbeiter - nachstehend Auftragnehmer genannt -

[Seite 2]

1. Gegenstand und Dauer des Auftrags

(1) Gegenstand

☒ Der Gegenstand des Auftrags ergibt sich aus der Leistungsvereinbarung „Durchführung der Dienstleistung zur turnusmäßigen und kundeninduzierten Messwerterfassung von Zählerständen durch Letztverbraucher für die Sparten Strom, Gas, Wasser und Wärme (Kundenselbstablesung)“ vom März 2026, auf die hier verwiesen wird (im Folgenden Leistungsvereinbarung).

oder

☐ Gegenstand des Auftrags zum Datenumgang ist die Durchführung folgender Aufgaben durch den Auftragnehmer: ……………………………………………………………………… (Beschreibung der Aufgaben)

(2) Dauer

☒ Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit der Leistungsvereinbarung.

oder (insbesondere, falls keine Leistungsvereinbarung zur Dauer besteht)

☐ Der Vertrag beinhaltet eine einmalige Ausführung.

oder

☐ Die Dauer dieses Auftrags (Laufzeit) ist befristet bis zum ...................

oder

☐ Der Auftrag ist unbefristet erteilt und kann von beiden Parteien mit einer Frist von ................... zum ................... gekündigt werden. Die Möglichkeit zur fristlosen Kündigung bleibt hiervon unberührt.

(3) Der Vertrag gilt unbeschadet des vorstehenden Absatzes so lange, wie der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet (einschließlich Backups).

(4) Soweit sich aus anderen Vereinbarungen zwischen Auftraggeber und Auftragnehmer anderweitige Abreden zum Schutz personenbezogener Daten ergeben, soll dieser Vertrag zur Auftragsverarbeitung vorrangig gelten, es sei denn die Parteien vereinbaren ausdrücklich etwas anderes.

2. Konkretisierung des Vertragsinhalts

(1) Art und Zweck der vorgesehenen Verarbeitung von Daten

Anlage 6: Stand: Mai 2026 „Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO“

[Seite 3]

☒ Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber sind konkret beschrieben in der Leistungsvereinbarung vom März 2026.

Der Auftragnehmer erhält vom Auftraggeber in elektronischer Form zweckdienliche Informationen zur Erbringung der vertraglich vereinbarten Leistung. Er ist verpflichtet, diese Daten ausschließlich zur ordnungsgemäßen Durchführung der vertraglich geschuldeten Leistung zu nutzen.

Diese Daten enthalten im Wesentlichen Informationen zu:

• Anschlussobjekt / Mieter / Kostenträger/ Rechnungsanschrift Name Vorname Straße, Hausnummer Postleitzahl, Ort Ortsteil Telefonnummer E-Mail-Adresse

• Angaben zur Verbrauchsstelle Lage Lagezusatz Raum

• Zähler Zählernummer Gerätetyp Beglaubigungsjahr Zählwerkfaktor Geräteklasse oder

☐ Nähere Beschreibung des Auftragsgegenstandes im Hinblick auf Art und Zweck der Aufgaben des Auftragnehmers: ........................................

(2) Art der Daten

☐ Die Art der verwendeten personenbezogenen Daten ist in der Leistungsvereinbarung konkret beschrieben unter: .......................

oder

☒ Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten/- kategorien (Aufzählung/Beschreibung der Datenkategorien)

☒ Personenstammdaten

☒ Kommunikationsdaten (z.B. Telefon, E-Mail)

☐ Vertragsstammdaten (Vertragsbeziehung, Produkt- bzw. Vertragsinteresse)

☐ Kundenhistorie

Anlage 6: Stand: Mai 2026 „Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO“

[Seite 4]

☐ Vertragsabrechnungs- und Zahlungsdaten

☐ Planungs- und Steuerungsdaten

☐ Auskunftsangaben (von Dritten, z.B. Auskunfteien, oder aus öffentlichen Verzeichnissen)

☒ Ablesedaten • Zählerstand Zählerstand/ Zählerstände zum Zeitpunkt der Ablesung

• Zusatzdaten Messgeräteinformationen, Eigentumsverhältnisse, usw.

(3) Kategorien betroffener Personen

☐ Die Kategorien der durch die Verarbeitung betroffenen Personen sind in der Leistungsvereinbarung konkret beschrieben unter: ..................................

oder ☒ Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen:

☒ Kunden ☐ Interessenten ☐ Abonnenten ☐ Beschäftigte ☐ Lieferanten ☐ Handelsvertreter ☐ Ansprechpartner ☐ Auftraggeber

3. Technisch-organisatorische Maßnahmen

(1) Der Auftragnehmer ergreift in seinem Verantwortungsbereich alle erforderlichen technisch-organisatorische Maßnahmen gem. Art. 32 DS-GVO zum Schutz der personenbezogenen Daten und übergibt dem Auftraggeber die Dokumentation zur Prüfung [Anlage]. Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage des Vertrags.

(2) Soweit die Prüfung/ein Audit des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.

(3) Die vereinbarten technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer zukünftig gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Über wesentliche Änderungen, die durch den Auftragnehmer zu dokumentieren sind, ist der Auftraggeber unverzüglich in Kenntnis zu setzten.

(4) „Home-Office“-Regelung

Anlage 6: Stand: Mai 2026 „Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO“

[Seite 5]

(a) Beabsichtigt der Auftragnehmer, seinen Beschäftigten, die mit der Verarbeitung von personenbezogenen Daten für den Auftraggeber beauftragt sind, die Verarbeitung von personenbezogenen Daten in Privatwohnungen („Home-Office“) zu erlauben, gelten die nachfolgenden Bestimmungen.

(b) Der Auftragnehmer hat sicherzustellen, dass die Einhaltung der vertraglich vereinbarten technischen und organisatorischen Maßnahmen auch im „Home-Office“ der Beschäftigten des Auftragnehmers gewährleistet ist. Abweichungen von einzelnen vertraglich vereinbarten technischen und organisatorischen Maßnahmen sind vorab mit dem Auftraggeber abzustimmen und von diesem in Textform zu genehmigen.

(c) Der Auftragnehmer legt dem Auftraggeber vor Vertragsschluss (und bei Änderungen während der Vertragslaufzeit) ein sog. „Home-Office-Konzept“ vor, in dem die Einhaltung und Umsetzung der vertraglich vereinbarten technischen und organisatorischen Maßnahmen ausführlich dargelegt sind (wie z.B. der Ausschluss einer lokalen Speicherung oder einen entsprechenden Verschlüsselung; nähere Regelungen für eine Zugriffsvermeidung von anderen im Haushalt befindlichen Personen; etc.) und darüber hinaus auch die Wahrung der Kontrollrechte des Auftraggebers angemessen sichergestellt ist.

(d) Sofern auch bei Unterauftragnehmern Beschäftigte im „Home-Office“ eingesetzt werden sollen, gelten die Regelungen der lit. (a) bis (c) entsprechend.

4. Rechte von betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber in seinem Verantwortungsbereich und soweit möglich mittels geeigneter technisch-organisatorischer Maßnahmen bei der Beantwortung und Umsetzung von Anträgen betroffener Personen hinsichtlich ihrer Datenschutzrechte. Er darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers beauskunften, portieren, berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

(2) Soweit vom Leistungsumfang umfasst, sind die Rechte auf Auskunft, Berichtigung, Einschränkung der Verarbeitung, Löschung sowie Datenportabilität nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.

5. Qualitätssicherung und sonstige Pflichten des Auftragnehmers

(1) Der Auftragnehmer hat, zusätzlich zu der Einhaltung der Regelungen dieses Vertrags, eigene gesetzliche Pflichten gemäß der DS-GVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:

a) Die Wahrung der Vertraulichkeit gemäß Artt. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DS-GVO. Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die berechtigterweise Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Auftraggebers

Anlage 6: Stand: Mai 2026 „Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO“

[Seite 6]

verarbeiten, einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.

b) Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

c) Die unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Vertrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.

d) Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten, einem anderen Anspruch oder einem Informationsersuchen im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer nach besten Kräften zu unterstützen.

e) Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.

f) Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Auftraggeber im Rahmen seiner Kontrollbefugnisse nach Ziffer 8 dieses Vertrags.

g) Der Auftragnehmer meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich an den Auftraggeber in der Weise, dass der Auftraggeber seinen gesetzlichen Pflichten, insbesondere nach Art. 33, 34 DS-GVO nachkommen kann. Er fertigt über den gesamten Vorgang eine Dokumentation an, die er dem Auftraggeber für weitere Maßnahmen zur Verfügung stellt.

h) Der Auftragnehmer unterstützt den Auftraggeber in seinem Verantwortungsbereich und soweit möglich im Rahmen bestehender Informationspflichten gegenüber Aufsichtsbehörden und Betroffenen und stellt ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung.

i) Soweit der Auftraggeber zur Durchführung einer Datenschutz-Folgenabschätzung verpflichtet ist, unterstützt ihn der Auftragnehmer unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen. Gleiches gilt für eine etwaig bestehende Pflicht zur Konsultation der zuständigen Datenschutz- Aufsichtsbehörde.

(2) Dieser Vertrag entbindet den Auftragnehmer nicht von der Einhaltung anderer Vorgaben der DS-GVO.

6. Unterauftragsverhältnisse

(1) Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu

Anlage 6: Stand: Mai 2026 „Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO“

[Seite 7]

gehören Nebenleistungen, die der Auftragnehmer in Anspruch nimmt, z.B. Telekommunika- tionsleistungen, Post-/Transportdienstleistungen, Reinigungsleistungen oder Bewachungs- dienstleistungen. Wartungs- und Prüfleistungen stellen dann ein Unterauftragsverhältnis dar, wenn sie für IT-Systeme erbracht werden, die im Zusammenhang mit einer Leistung des Auftragnehmers nach diesem Vertrag erbracht werden. Der Auftragnehmer ist jedoch ver- pflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auf- traggebers auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.

(2) Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher schriftlicher bzw. dokumentierter Zustimmung des Auftraggebers beauftragen.

a) ☐ Eine Unterbeauftragung ist unzulässig.

b) ☒ Der Auftraggeber stimmt der Beauftragung der nachfolgenden Unterauftragnehmer zu unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DS-GVO:

Die vertragliche Vereinbarung wird dem Auftraggeber auf dessen Verlangen vorgelegt, wobei geschäftliche Klauseln ohne datenschutzrechtlichen Bezug hiervon ausgenommen sind.

c) ☐ Die Auslagerung auf Unterauftragnehmer oder

☐ der Wechsel des bestehenden Unterauftragnehmers sind zulässig, soweit:

• der Auftragnehmer eine solche Auslagerung auf Unterauftragnehmer dem Auftraggeber eine angemessene Zeit vorab schriftlich oder in Textform anzeigt und
• der Auftraggeber nicht bis zum Zeitpunkt der Übergabe der Daten gegenüber dem Auftragnehmer schriftlich oder in Textform Einspruch gegen die geplante Auslagerung erhebt und
• eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DS-GVO zugrunde gelegt wird.

(3) Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestattet.

(4) Erbringt der Unterauftragnehmer die vereinbarte Leistung außerhalb der EU/des EWR stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen sicher. Gleiches gilt, wenn Dienstleister im Sinne von Abs. 1 Satz 2 eingesetzt werden sollen.

(5) Eine weitere Auslagerung durch den Unterauftragnehmer

☒ ist nicht gestattet;

☐ bedarf der ausdrücklichen Zustimmung des Hauptauftraggebers (mind. Textform);

Anlage 6: Stand: Mai 2026 „Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO“

[Seite 8]

☐ bedarf der ausdrücklichen Zustimmung des Hauptauftragnehmers (mind. Textform);

sämtliche vertraglichen Regelungen in der Vertragskette sind auch dem weiteren Unterauftragnehmer aufzuerlegen.

7. Internationale Datentransfers

(1) Zum Zeitpunkt des Vertragsschlusses sichert der Auftragnehmer zu, dass keine Transfers in kritische Drittländer, welche kein der EU-DS-GVO angemessenen Datenschutzniveau garantieren, vorzunehmen. Ebenso trifft der Auftragnehmer Maßnahmen, so dass Zugriffe aus solchen Drittstaaten ausgeschlossen werden können.

Auftraggeber und Auftragnehmer sind sich einig, dass – für den Fall möglicher internationaler Datentransfers – die EU-DS-GVO nach Vorgaben des EuGH (insb. mit seinem Urteil „Schrems II“/ Rechtssache C-311/18 v. 16.07.2020) und der Datenschutzaufsichtsbehörden eingehalten werden.

Sollten diesbezügliche Änderungen im Laufe des Auftragsverhältnisses beabsichtigt werden, gelten die Bestimmungen in nachfolgenden Abs. 2 bis 4. Der Auftraggeber ist hierüber unverzüglich vorab zu informieren und der Auftragnehmer weist ihm eine datenschutzkonforme Umsetzung nach.

(2) Findet durch den Auftragnehmer selbst oder durch einen von Ihm eingesetzte Unterauftragnehmer ein Datentransfer in die USA auf Basis des EU-US Data Privacy Frameworks statt, kann dieser Datentransfer nur auf den Angemessenheitsbeschluss gestützt werden, wenn das US-Unternehmen diese Regelungen anerkennt und unter dem EU-US Data Privacy Framework zertifiziert ist.

Der Auftragnehmer hat dies, sofern er US-Unternehmen/US-Dienstleister als Unterauftragnehmer einsetzt, zu prüfen und sicherzustellen.

(3) Jede Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation bedarf einer dokumentierten Weisung des Auftraggebers und bedarf der Einhaltung der Vorgaben zur Übermittlung personenbezogener Daten in Drittländer nach Kapitel V der DS-GVO.

☒ Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt.

☐ Der Auftraggeber gestattet eine Datenübermittlung in ein Drittland an die in Anlage 2 genannten Empfänger. In der Anlage werden die vom Auftraggeber genehmigten Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus aus Art. 44 ff. DS-GVO im Rahmen der Unterbeauftragung spezifiziert.

(4) Soweit der Auftraggeber eine Datenübermittlung an Dritte in ein Drittland anweist, ist er für die Einhaltung von Kapitel V der DS-GVO verantwortlich.

Anlage 6: Stand: Mai 2026 „Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO“

[Seite 9]

8. Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen.

(2) Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DS-GVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.

(3) Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch

☒ die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO;

☒ die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DS-GVO;

☒ aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren);

☒ eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z. B. nach BSI-Grundschutz).

(4) Für die Ermöglichung von Kontrollen durch den Auftraggeber kann der Auftragnehmer einen Vergütungsanspruch geltend machen.

9. Weisungsbefugnis des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten nur auf Basis dokumentierter Weisungen des Auftraggebers, es sei denn er ist nach dem Recht des Mitgliedstaats oder nach Unionsrecht zu einer Verarbeitung verpflichtet. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich (mind. Textform). Die anfänglichen Weisungen des Auftraggebers werden durch diesen Vertrag festgelegt.

(2) Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Mei- nung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragnehmer ist be- rechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

10. Löschung und Rückgabe von personenbezogenen Daten

(1) Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ord-

Anlage 6: Stand: Mai 2026 „Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO“

[Seite 10]

nungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

(2) Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Auftraggeber – spätestens aber mit Beendigung der Leistungsvereinbarung – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung daten-schutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen.

11. [OPTIONAL] Aufnahme weiterer Vertragsparteien

Verantwortliche oder Auftragsverarbeiter, die nicht Partei dieses Vertrags sind, können, mit Zustimmung der Vertragsparteien, diesem Vertrag jederzeit beitreten, indem sie die Anlagen dieses Vertrages ausfüllen und unterzeichnen.

12. Haftung

(1) Es gilt die gesetzliche Haftung gemäß Art. 82 DS-GVO. (2) Haben Auftraggeber und Auftragnehmer in anderen Vertragsdokumenten (z.B. in der zu- grundeliegenden Leistungsvereinbarung) eine Haftungsbeschränkung für das Innenverhält- nis Auftraggeber und Auftragnehmer vereinbart, dann gilt diese für datenschutzrechtliche Verstöße nicht. Dies gilt sowohl für Schadensersatzansprüche von Betroffenen als auch für behördlich verhängte Bußgelder.

Abweichende Vereinbarungen davon erfordern einen ausdrücklichen Verweis auf diese Be- stimmung und eine Klarstellung, dass hiervon abgewichen werden soll.

13. Wirksamkeit der Vereinbarung

Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

Mit seiner Unterschrift erkennt der Auftragnehmer die Regelungen der „Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO“ an.

Datum Datum

Unterschrift Auftraggeber Unterschrift Auftragnehmer

Anlage 6: Stand: Mai 2026 „Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO“

[Seite 11]

Anlage 1 – Technisch-organisatorische Maßnahmen

[Seite 12]

Anlage 1: Stand: Mai 2026 „Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO“

[Seite 13]

Eigene technisch-organisatorische Maßnahmen des Auftragnehmers können nach Freigabe durch den Auftraggeber diesem Vertrag angehängt werden.

Anlage 1: Stand: Mai 2026 „Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO“

[Seite 14]

Anlage 2 - Genehmigte Unterauftragsverhältnisse

1 An dieser Stelle kommen insbesondere die Standarddatenschutzklauseln der Kommission gem. Art. 46 Abs. 2 lit. c DS-GVO in der Variante „Übermittlung von Auftragsverarbeiter an Auftragsverarbeiter“ (Modul 3) in Betracht.

Anlage 1: Stand: Mai 2026 „Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO“