[Seite 1]
§ 1 Gegenstand und Dauer Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag der Auftraggeberin im Rahmen der Leistungen aus dem EVB-IT-Systemvertrag, der Leistungsbeschreibung und den sonstigen Vereinbarungen. Die Pflichten gelten für die Vertragslaufzeit des Hauptvertrags und darüber hinaus bis zur vollständigen Rückgabe und / oder Löschung der Daten gemäß § 11.
§ 2 Art, Zweck und Umfang der Verarbeitung Die Zwecke der Verarbeitung werden nachfolgend in Ergänzung zu den vorbenannten Vereinbarungen, wie folgt bezeichnet:
• Datenmigration aus Altsystemen, • Test- und Produktivbetrieb, Fehleranalyse, • Wartung und Support (auch über Remote-Zugriff), • Schnittstellenbetrieb, Protokollauswertung,
Der Auftragnehmer erhebt, übermittelt, speichert, löscht personenbezogene Daten in diesem Zusammenhang. Weiterhin erfolgen hinsichtlich vertragsgegenständlicher Daten die Einsichtnahme per Remote-Zugriff. Umfang und Tiefe richten sich nach den vertraglich geschuldeten Leistungen und Weisungen der Auftraggeberin.
§ 3 Kategorien personenbezogener Daten und betroffene Personen
Der Auftragnehmer verarbeitet im Rahmen seiner auftragsgegenständlichen Leistungen in der Regel die folgenden Datenkategorien:
• Stammdaten, Kontakt- und Kommunikationsdaten, Bankverbindungs- und Zahlungsverkehrsdaten, Forderungs-, Kassen-, Buchungs-, Steuer-, Abgaben-, Gebühren-, Beitrags-, Vollstreckungs-, Vertrags-, Haushalts-, Anlagen- und Belegdaten sowie Daten von Beschäftigten, soweit diese im Rahmen der vertragsgegenständlichen Finanzsoftware verarbeitet werden.
• Soweit in den durch die Auftraggeberin freigegebenen Datenbeständen enthalten, können ferner Sozialdaten im Sinne des § 67 Abs. 2 SGB X sowie besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO, insbesondere Gesundheitsdaten oder Daten über eine Schwerbehinderung, verarbeitet werden
• Eine Verarbeitung von Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DSGVO erfolgt nur, soweit dies in den durch die Auftraggeberin freigegebenen Datenbeständen enthalten und für die ausdrücklich angewiesene Leistung erforderlich ist.
§ 4 Pflichten des Auftragnehmers Der Auftragnehmer verarbeitet Daten ausschließlich nach dokumentierten Weisungen der Auftraggeberin und im Rahmen der Bestimmungen dieser Vereinbarung. Er verpflichtet sein Personal in dokumentierter Weise über die Vertraulichkeitspflichten und unterstützt die Auftraggeberin bei der Erfüllung ihrer Pflichten (insb. Betroffenenrechte, Datensicherheit, Meldungen). Eine Weiterverarbeitung auftragsgegenständlicher Daten zu eigenen Zwecken ist untersagt.
§ 5 Technische und organisatorische Maßnahmen (1) Der Auftragnehmer ergreift in seinem Verantwortungsbereich alle erforderlichen technisch- organisatorische Maßnahmen gem. Art. 32 DS-GVO zum Schutz der personenbezogenen Daten und übergibt der Auftraggeberin die Dokumentation zur Prüfung.
[Seite 2]
(2) Die vereinbarten technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer zukünftig gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Über wesentliche Änderungen, die durch den Auftragnehmer zu dokumentieren sind, ist die Auftraggeberin unverzüglich in Kenntnis zu setzten.
§ 5 a)Verarbeitung besonders schutzbedürftiger Daten
Der Auftragsverarbeiter verarbeitet Sozialdaten sowie besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO nur, soweit und solange dies aufgrund dokumentierter Weisung der Auftraggeberin für die vertragsgemäße Leistungserbringung erforderlich ist.
Der Zugriff ist auf namentlich oder rollenbezogen autorisierte Personen zu beschränken, die für ihre Tätigkeit auf diese Daten angewiesen sind und vor der Zugriffsberechtigung in besonderem Umfang auf Vertraulichkeit, Datenschutz und Informationssicherheit verpflichtet und sensibilisiert wurden.
Zugriffe auf Produktivdaten, welche als schutzbedürftige Daten nach diesen Bestimmungen anzusehen sind, insbesondere im Rahmen von Fernwartung, Fehleranalyse, Migration, Test, Wiederherstellung und Support, sind auf das erforderliche Maß zu beschränken, nachvollziehbar zu protokollieren und regelmäßig zu überprüfen. Soweit technisch und fachlich möglich, sind Test-, Diagnose- und Schulungsleistungen mit anonymisierten oder pseudonymisierten Daten durchzuführen.
Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums, ein Fernzugriff aus einem Drittstaat sowie die Einschaltung eines Unterauftragsverarbeiters mit Zugriffsmöglichkeit auf Sozialdaten oder besondere Kategorien personenbezogener Daten sind ausgeschlossen, soweit die Auftraggeberin nicht zuvor ausdrücklich und in Textform zugestimmt hat und sämtliche fachgesetzlichen Voraussetzungen erfüllt sind.
§ 6 Unterauftragsverhältnisse (Subdienstleistungen) Der Einsatz von Unterauftragsverarbeitern und deren Wechsel bedarf der vorherigen Zustimmung der Auftraggeberin. Diese ist mindestens 30 Kalendertage vorher einzuholen. Der Auftragnehmer verpflichtet Unterauftragnehmer per Vertrag zur Einhaltung der Bestimmungen dieser Vereinbarung und zur Einhaltung des Schutzniveaus. Die mit Zuschlagserteilung genehmigten Unterauftragsverarbeiter finden sich in Anlage 2 zu dieser Vereinbarung.
§ 7 Orte der Verarbeitung und Drittlandtransfers Die Verarbeitung erfolgt grundsätzlich in der EU oder dem Europäischen Wirtschaftsraum. Drittlandübermittlungen sind nur auf ausdrückliche Weisung oder bei Vorliegen eines gültigen Transfermechanismus (z. B. Angemessenheitsbeschluss, EU-SCC inkl. TIAs) sowie ergänzender technischer Maßnahmen zugelassen, sofern nicht nach dieser Vereinbarung etwas anderes bestimmt wird.
§ 8 Unterstützung bei Betroffenenrechten und Anfragen Der Auftragnehmer unterstützt die Auftraggeberin bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und automatisierten Entscheidungen. Er erteilt Dritten keine Auskünfte ohne Weisung der Auftraggeberin. Anfragen Betroffener leitet er unverzüglich an die Auftraggeberin weiter.
§ 9 Sicherheitsvorfälle und Meldungen Der Auftragnehmer unterhält ein Verfahren zur Erkennung, Behandlung und Dokumentation von Datenschutz- und Sicherheitsvorfällen. Er informiert die Auftraggeberin unverzüglich; eine frühe
[Seite 3]
Erstmeldung erfolgt binnen 24 Stunden nach Kenntnisnahme von dem entsprechenden Vorgang. Folge- und Abschlussmeldungen erfolgen unverzüglich.
§ 10 Nachweise und Auditrechte Die Auftraggeberin ist berechtigt, die Einhaltung der vertraglichen Pflichten durch Dokumentenprüfung, Remote-Audits und angemeldete Vor-Ort-Kontrollen zu kontrollieren. Der Auftragnehmer stellt bei Bedarf geeignete Nachweise bereit (z. B. ISMS-Zertifikate, Prüf-/Pen-Test-Berichte, Protokollauszüge) und benennt hierzu qualifizierte Ansprechpersonen.
§ 11 Rückgabe, Löschung Nach Vertragsende oder auf Weisung übergibt der Auftragnehmer sämtliche Daten in abgestimmten offenen Formaten einschließlich Metadaten und Protokollen; anschließend löscht er alle Kopien (einschließlich Backups nach Ablauf der Aufbewahrungsfristen) und weist dies nach. Er unterstützt die Exit-Migration in dem vertraglich definierten Umfang.
§ 12 Weisungen, Änderungsmanagement Weisungen werden über die zu vereinbarenden Kanäle (z. B. Ticketsystem oder E-Mail) erteilt und protokolliert. Hat der Auftragnehmer begründete Zweifel an der Rechtmäßigkeit einer Weisung, informiert er die Auftraggeberin unverzüglich.
§ 13 Schulungen und Personal Der Auftragnehmer stellt sicher, dass eingesetztes Personal regelmäßig zu Datenschutz und Informationssicherheit geschult wird.
§ 14 Haftung Der Auftragsverarbeiter haftet dem Verantwortlichen für Schäden, die der Auftragsverarbeiter, seine Mitarbeiter bzw. die von ihm mit der Vertragsdurchführung Beauftragten bei der Erbringung der vertraglichen Leistung schuldhaft verursachen.
Für den Ersatz von Schäden, die eine betroffene Person wegen einer nach der DS-GVO oder dem LDSG oder anderen Vorschriften für den Datenschutz unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, ist der Verantwortliche oder der Auftragsverarbeiter gegenüber der betroffenen Person verantwortlich.
Der Auftragsverarbeiter haftet nur dann, wenn er den ihm auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Verantwortlichen oder gegen diese Anweisungen gehandelt hat.
§ 15 Schlussbestimmungen Änderungen/Ergänzungen bedürfen der Schriftform. Unwirksamkeit einzelner Bestimmungen lässt die Wirksamkeit im Übrigen unberührt (Salvatorische Klausel). Erfüllungsort und Gerichtsstand gemäß Hauptvertrag.
[Unterschriftenfelder]