[Seite 1]
Vereinbarung über eine Auftragsverarbeitung personenbezogener Daten gemäß Art. 28 DS-GVO
zwischen dem/der
Landesamt für Finanzen Hoevelstraße 10 56073 Koblenz
(im Folgenden: Verantwortlicher)
und dem/der
(Platzhalter Vertragspartner)
(im Folgenden: Auftragsverarbeiter)
wird folgende Vereinbarung zur Verarbeitung personenbezogener Daten geschlossen:
§ 1 Gegenstand der Vereinbarung
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen.
(2) Der Auftrag umfasst die sich aus dem Hauptvertrag vom XX.XX.20XX, einschließlich der vertragszugehörigen leistungsbeschreibenden Dokumente, ergebenden Leistungen.
§ 2 Art und Zweck der Verarbeitung, Art der personenbezogenen Daten und Kategorien betroffener Personen
(1) Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter ergeben sich aus dem Hauptvertrag, einschließlich der vertragszugehörigen leistungsbeschreibenden Dokumente.
(2) Art der personenbezogenen Daten
Dabei werden in der Regel die folgenden Arten personenbezogener Daten und Datenkategorien verarbeitet:
Stamm-, Kontaktdaten
Seite 1 von 7
[Seite 2]
(3) Kategorien betroffener Personen Dabei werden die Kategorien der nach dem Hauptvertrag von der Verarbeitung betroffenen Personen verarbeitet, insbesondere:
• Bedienstete
§ 3 Pflichten und Rechte des Verantwortlichen
(1) Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein der Verantwortliche verantwortlich.
(2) Der Verantwortliche erteilt alle Aufträge oder Teilaufträge schriftlich. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und schriftlich festzulegen.
(3) Der Verantwortliche hat das Recht, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Mündliche Weisungen sind schriftlich zu bestätigen.
(4) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
§ 4 Pflichten des Auftragsverarbeiters
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Verantwortlichen, es sei denn, es liegt ein Anwendungsfall von Art. 28 Abs. 3 lit. a DS-GVO vor. Er verwendet die zur Datenverarbeitung überlassenen personenbezogenen Daten für keine anderen Zwecke. Kopien oder Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt. Er beachtet die Bestimmungen der DS-GVO und des Landesdatenschutzgesetzes Rheinland-Pfalz (LDSG) und unterwirft sich hinsichtlich der in diesem Vertrag vereinbarten Leistungen der Kontrolle des Landesbeauftragten für den Datenschutz. Ein Auftragsverarbeiter, der unter Verstoß gegen die DS-GVO die Zwecke und Mittel der Verarbeitung bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher.
(2) Der Auftragsverarbeiter sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsmäßige Abwicklung aller vereinbarten Maßnahmen sowie die Trennung der Daten des Verantwortlichen von sonstigen Datenbeständen des Auftragsverarbeiters zu.
(3) Der Auftragsverarbeiter erklärt sich damit einverstanden, dass der Verantwortliche berechtigt ist, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu kontrollieren, insbesondere durch die Seite 2 von 7
[Seite 3]
Einholung von Auskünften und die Einsichtnahme in das Verzeichnis von Verarbeitungstätigkeiten, die gespeicherten Daten und die Datenverarbeitungsprogramme einschließlich einer Inspektion zu den üblichen Geschäftszeiten und mit angemessener Vorlaufzeit beim Auftragsverarbeiter.
(4) Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DS-GVO durch den Verantwortlichen, an der Erstellung der Verzeichnisse von Verarbeitungstätig- keiten sowie bei erforderlichen Datenschutz-Folgenabschätzungen des Verantwortlichen hat der Auftragsverarbeiter im notwendigen Umfang mitzuwirken und den Verantwortlichen soweit möglich angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit e und f DS-GVO). Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder die betroffene Person darf der Auftragsverarbeiter nur nach vorheriger Weisung oder Zustimmung durch den Verantwortlichen erteilen.
(5) Die Verarbeitung von Daten in Privatwohnungen ist nicht gestattet.
(6) Nicht mehr benötigte Unterlagen mit personenbezogenen Daten und Dateien dürfen erst nach vorheriger Zustimmung durch den Verantwortlichen datenschutzgerecht vernichtet werden.
(7) Nach Abschluss der vertraglichen Arbeiten hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangte Unterlagen und erstellten Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verantwortlichen auszuhändigen oder datenschutzgerecht zu vernichten.
Seitens des Verantwortlichen elektronisch zur Verfügung gestellte Informationen sowie etwaige Testdaten sind nach erklärter Abnahme der Leistung zu löschen. Die Löschung erfolgt derart, dass eine Reproduktion nach dem Stand der Technik nicht möglich ist. Die Löschung bzw. Vernichtung ist dem Verantwortlichen schriftlich zu bestätigen.
(8) Die Beauftragung von weiteren Auftragsverarbeitern ist nur nach vorheriger schriftlicher Genehmigung des Verantwortlichen zulässig. Der Subunternehmer ist ebenfalls sorgfältig unter besonderer Berücksichtigung der Eignung sowie der von ihm getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DS-GVO auszuwählen.
Der schriftliche Vertrag zwischen Auftragsverarbeiter und Subunternehmer hat in diesem Falle sicherzustellen, dass die mit dem Verantwortlichen vereinbarten Regelungen auch dem weiteren Auftragsverarbeiter auferlegt werden.
Zurzeit sind die in Anlage „Subunternehmer“ mit Namen, Anschrift und Auftragsinhalt bezeichneten Subunternehmer mit der Verarbeitung von personenbezogenen Daten in dem dort genannten Umfang beschäftigt.
Seite 3 von 7
[Seite 4]
(9) Der Verantwortliche ist über wesentliche Veränderungen, die die Art der Datenverarbeitung betreffen, rechtzeitig zu unterrichten. Für den Datenschutz oder die Informationssicherheit erhebliche Entscheidungen zur Organisation und Durchführung der Datenverarbeitung und zu den angewandten Verfahren sind mit dem Verantwortlichen abzustimmen.
§ 5 Datengeheimnis
(1) Der Auftragsverarbeiter verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten für den Verantwortlichen das Datengeheimnis gemäß § 8 LDSG zu wahren. Er verpflichtet sich weiter, über Informationen, die ihm im Rahmen des Auftrags zur Kenntnis gelangen, gegenüber Dritten Verschwiegenheit zu wahren. Die Verschwiegenheitspflicht besteht auch nach Erfüllung des Auftrags weiter.
(2) Der Auftragsverarbeiter bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind. Der Auftragsverarbeiter sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter mit den für sie maßgeblichen Bestimmungen des Datenschutzes vertraut macht. Er überwacht die Einhaltung der datenschutzrechtlichen Vorschriften.
§ 6 Kontrollrechte des Landesbeauftragten für den Datenschutz
(1) Der Auftragsverarbeiter verpflichtet sich, dem Landesbeauftragten für den Datenschutz und den von ihm eingesetzten Bediensteten Zugang zu den Arbeitsräumen zu gewähren und unterwirft sich der Kontrolle nach Maßgabe der DS-GVO bzw. des LDSG in seiner jeweiligen Fassung.
(2) Soweit Daten in einer Privatwohnung verarbeitet werden, ist der Zugang des Landesbeauftragten für den Datenschutz und der von ihm eingesetzten Bediensteten vorher mit dem Auftragsverarbeiter abzustimmen.
§ 7 Datensicherungsmaßnahmen
(1) Der Auftragsverarbeiter verpflichtet sich, die nach Art. 32 DS-GVO erforderlichen Maßnahmen zur Sicherheit der Verarbeitung zu treffen.
(2) Der Auftragsverarbeiter beachtet die Grundsätze ordnungsmäßiger Datenverarbeitung. Er gewährleistet die vertraglich vereinbarten und gesetzlich vorgeschriebenen Datensicherheitsmaßnahmen.
Seite 4 von 7
[Seite 5]
(3) Die technischen und organisatorischen Maßnahmen sind im Laufe des Auftragsverhältnisses im Hinblick auf ihre Wirksamkeit regelmäßig zu überprüfen, zu bewerten und zu evaluieren (Art. 32 Abs. 1 lit. d DS-GVO). Änderungen dürfen die vereinbarten Sicherheitsstandards nicht unterschreiten. Wesentliche Änderungen sind schriftlich zu vereinbaren.
(4) Soweit die beim Auftragsverarbeiter getroffenen Sicherheitsmaßnahmen den Anforderungen des Verantwortlichen nicht genügen, benachrichtigt er den Verantwortlichen unverzüglich. Entsprechendes gilt für Störungen sowie bei Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten. Er unterrichtet den Verantwortlichen unverzüglich, wenn eine vom Verantwortlichen erteilte Weisung nach seiner Meinung zu einem Verstoß gegen gesetzliche Vorschriften führen kann. Die Weisung braucht nicht befolgt zu werden, solange sie nicht durch den Verantwortlichen geändert oder ausdrücklich bestätigt wird.
§ 8 Vertragsdauer
(1) Der Vertrag beginnt am XX.XX.2026 und endet mit Beendigung des Vertrages über die Hauptleistung vom XX.XX.2026.
(2) Der Verantwortliche kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen die Bestimmungen der DS-GVO und anderer Datenschutzvorschriften oder dieses Vertrages vorliegt.
§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten
Im Falle einer möglichen Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DS-GVO meldet der Auftragsverarbeiter dies unverzüglich, damit der Verantwortliche in die Lage versetzt wird, die Meldefrist von 72 Stunden gegenüber der zuständigen Aufsichtsbehörde einzuhalten.
§ 10 Haftung
(1) Der Auftragsverarbeiter haftet dem Verantwortlichen für Schäden, die der Auftragsverarbeiter, seine Mitarbeiter bzw. die von ihm mit der Vertragsdurchführung Beauftragten bei der Erbringung der vertraglichen Leistung schuldhaft verursachen.
(2) Für den Ersatz von Schäden, die eine betroffene Person wegen einer nach der DS-GVO oder dem LDSG oder anderen Vorschriften für den Datenschutz unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, ist der Verantwortliche oder der Auftragsverarbeiter gegenüber der betroffenen Person Seite 5 von 7
[Seite 6]
verantwortlich. Der Auftragsverarbeiter haftet nur dann, wenn er den ihm auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Verantwortlichen oder gegen diese Anweisungen gehandelt hat.
§ 11 Sonstiges
(1) Sollte das Eigentum des Verantwortlichen beim Auftragsverarbeiter durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragsverarbeiter den Verantwortlichen unverzüglich zu verständigen.
(2) Änderungen oder Ergänzungen zu diesem Vertrag sind nur wirksam, wenn sie schriftlich vereinbart werden. Dies gilt auch für eine Änderung dieser Schriftformklausel.
(3) Nebenabreden wurden nicht vereinbart.
(4) Die Einrede des Zurückbehaltungsrechts i.S.v. § 273 BGB wird hinsichtlich der verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
Anmerkung: Diese Klausel muss wegen § 309 Nr. 2 BGB gesondert vereinbart werden.
§ 12 Wirksamkeit der Vereinbarung
Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.
Für den Verantwortlichen:
_____________, ___________
.......................................................................................................................................................
(Unterschrift und Dienstsiegel)
Für den Auftragsverarbeiter: Seite 6 von 7
[Seite 7]
_____________, ___________
.............................................................................................................................................
Anlagen:
Anlage Subunternehmen
Seite 7 von 7