04_AVV.docx

Auftragsverarbeitungsvertrag

gemäß Art. 28 Abs. 3 DSGVO

Hessischer Rundfunk, Bertramstraße 8, 60320 Frankfurt am Main,

nachfolgend: „Verantwortlicher“

und

[Name/Firma], [Anschrift],

nachfolgend: „Auftragsverarbeiter“

schließen folgenden Auftragsverarbeitungsvertrag (nachfolgend: AVV):

§ 1 Gegenstand, Zweck, Art und Dauer des Auftrags

1. Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Bereich „Steuerberatungs- und Abrechnungsleistungen für Auslandsentsendungen und Ortskräfte des Hessischen Rundfunks“ gemäß Vertragsbedingungen „Steuerberatungs- und Abrechnungsleistungen für Auslandsentsendungen und Ortskräfte des Hessischen Rundfunks, HR-2026-0007 vom 04.09.2026 (nachfolgend: Hauptvertrag). Teil der Durchführung des Hauptvertrages ist die Verarbeitung von personenbezogenen Daten im Sinne der Datenschutzgrundverordnung ("DSGVO").

Die vom Auftragsverarbeiter zu erbringenden Leistungen sowie Art und Zweck der Datenverarbeitung, ergeben sich aus dem Hauptvertrag.

1. Die Dauer der Verarbeitung

X entspricht der Laufzeit des Hauptvertrags.

• ist befristet bis zum ---------.

1. Der Verantwortliche kann den AVV jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen die DSGVO oder weitere anwendbare datenschutzrechtliche Bestimmungen oder gegen Pflichten aus diesem AVV vorliegt, der Auftragsverarbeiter eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftragsverarbeiter den Zutritt des Verantwortlichen oder der zuständigen Aufsichts-behörde vertragswidrig verweigert.

§ 2 Konkretisierung des Auftragsinhalts

1. Art der personenbezogenen Daten:

X Personenstammdaten

X Kommunikationsdaten

X Vertragsstammdaten

X Logdaten

X Zahlungs- und Finanzdaten

• Planungs- und Steuerungsdaten

X Besondere Kategorien personenbezogener Daten gem. Art. 9 DSGVO, und zwar:

Gesundheitsdaten

Religiöse Überzeugungen

Biometrische Daten

• Sonstige:

1. Betroffene Personen:

• Nutzer (TV, Radio, Online)

X Beschäftigte

• Geschäftspartner
• Ansprechpartner, z.B. bei Dienstleistern, Geschäftspartner
• Besucher
• Sonstige:

§ 3 Unterauftragsverarbeiter

1. Der Auftragsverarbeiter darf Unterauftragsverarbeiter nur nach der vorherigen Zustimmung des Verantwortlichen beauftragen. Voraussetzung für die Unterbeauftragung ist der Abschluss einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2 bis 4 DSGVO, die auch die zwischen Verantwortlichen und Auftragsverarbeiter getroffenen Regelungen hinreichend berücksichtigt. Insbesondere darf das vereinbarte Schutzniveau im Hinblick auf die vereinbarten technischen und organisatorischen Maßnahmen nicht unterschritten werden.
2. Sofern die Unterbeauftragung durch den Auftragsverarbeiter nach Abs. 1 zulässig ist, wird die Zustimmung bezüglich folgender Unterauftragsverarbeiter mit Abschluss dieser AVV erteilt:

1. Vor einer möglichen Hinzuziehung weiterer oder Ersetzung der in Abs. 2 aufgeführten Unterauftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen eine angemessene Zeit vorab in Textform (z.B. E-Mail) unter Angabe der erforderlichen Daten gem. der Tabelle in Abs. 2. Hat der Verantwortliche gegen die Änderung innerhalb von 14 Tagen ab Information durch den Auftragsverarbeiter, in Textform keinen Einspruch erhoben, so gilt der Einsatz des Unteraufragnehmers als genehmigt.
2. Der Auftragsverarbeiter wird auf Verlangen dem Verantwortlichen Kopien der Unterauftragsverträge zur Verfügung stellen.

§ 4 Ort der Datenverarbeitung

• Die Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt.
• Die Datenverarbeitung durch den Auftragsverarbeiter selbst oder seine Unterauftragsverarbeiter gem. § 3 dieses AVV findet in einem oder mehreren Drittländern statt. Die Einhaltung der Vorgaben gem. Kapitel 5 der DSGVO wird sichergestellt durch einen Angemessenheitsbeschluss sowie ggf. die Zertifizierung des (Unter-)Auftragsverarbeiters (Art. 45 Abs. 3 DSG-VO) oder sonstige geeignete Garantien gem. Art. 46 Abs. 2, Abs. 3 DSGVO (z.B. Standarddatenschutzklauseln, Binding Corporate Rules). Der Auftragnehmer hat sich im Rahmen eines durchgeführten Transfer Impact Assessment mit der Datenverarbeitung im Drittland auseinandergesetzt und die sich daraus abzuleitenden Maßnahmen ergriffen.

§ 5 Weisungsbindung

1. Der Auftragsverarbeiter darf die vertragsgegenständlichen personenbezogenen Daten ausschließlich im Rahmen dieses AVV oder unter Einhaltung der ggf. vom Verantwortlichen erteilten ergänzenden Weisungen verarbeiten, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedsstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Eine Verarbeitung für andere Zwecke ist nicht zulässig.
3. Kopien der Daten werden nur mit Zustimmung des Verantwortlichen erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung notwendig, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Auf-bewahrungspflichten erforderlich sind.
4. Der Verantwortliche hat das Recht, jederzeit ergänzende Weisungen über Art, Umfang und Verfahren der Datenverarbeitung gegenüber dem Auftragsverarbeiter zu erteilen. Sie sind in Textform zu erteilen. Mündlich erteilte Weisungen sind durch den Verantwortlichen unverzüglich in Textform zu dokumentieren.

Weisungsberechtigte Personen des Verantwortlichen sind

[Kati Kuhn, Personalservice, kati.kuhn@hr.de]

[Heike Rautenberg, Gehaltsabrechnung, heike.rautenberg@hr.de]

Der Verantwortliche kann weitere weisungsberechtigte Personen in Textform gegenüber dem Auftragsverarbeiter festlegen.

1. Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich, spätestens aber nach drei Tagen, zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen gesetzliche Regelungen.

§ 6 Technisch-organisatorische Maßnahmen

1. Der Auftragsverarbeiter hat die Datensicherheit gem. Art. 25, 32 DSGVO, insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO, herzustellen. Hierzu setzt der Auftragsverarbeiter die in Anlage 1 ( 05_ Checkliste- Sicherheitsanforderungen bei Beauftragung und Nutzung von externen Anwendungen und Diensten) beschriebenen technischen und organisatorischen Maßnahmen um. Die zu treffenden Maßnahmen dienen der Datensicherheit und der Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen.
2. Zur Definition eines dem Risiko angemessenen Schutzniveaus hat der Verantwortliche den Schutzbedarf festgelegt, der durch den Auftragsverarbeiter bei der Umsetzung der technisch-organisatorischen Maßnahmen sichergestellt werden muss:

1. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit wird der Auftragsverarbeiter die von ihm getroffenen technischen und organisatorischen Maßnahmen regelmäßig sowie anlassbezogen auf ihre Wirksamkeit kontrollieren. Dem Auftragsverarbeiter ist es gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen gemäß Anlage 1 nicht unterschritten werden. Wesentliche Änderungen sind mit dem Verantwortlichen vor Durchführung der Änderungen abzustimmen und zu dokumentieren.

§ 7 Anfragen betroffener Personen

Wendet sich eine betroffene Person zur Geltendmachung eines datenschutzrechtlichen Anspruchs (z.B. Auskunft, Löschung oder Berichtigung) an den Auftragsverarbeiter, wird dieser die betroffene Person an den Verantwortlichen verweisen. Der Auftragsverarbeiter leitet den Antrag der betroffenen Person zudem unverzüglich, spätestens aber nach drei Tagen, an den Verantwortlichen weiter. Der Auftragsverarbeiter unterstützt den Verantwortlichen, auch bereits im Vorfeld, mit geeigneten technischen und organisatorischen Maßnahmen dabei, der Pflicht des Verantwortlichen zur Beantwortung von Betroffenenanfragen nachzukommen.

§ 8 Vertraulichkeit

1. Der Auftragsverarbeiter verpflichtet sich, die ihm vom Verantwortlichen zur Verfügung gestellten Unterlagen und Daten sowie die Arbeitsergebnisse vertraulich zu behandeln, insbesondere Unbefugten nicht zugänglich zu machen.
2. Der Auftragsverarbeiterstellt sicher, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und weist dies dem Verantwortlichen auf Wunsch nach. Dies umfasst auch die Belehrung über die in diesem Auftragsverarbeitungsverhältnis bestehende Weisungs- und Zweckbindung.
3. Diese Verpflichtungen bestehen auch nach Beendigung des Vertrages fort.

§ 9 Unterstützungs- und Meldepflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Führung seines Verarbeitungsverzeichnisses nach Art. 30 Abs. 1 DSGVO, insbesondere bezüglich der Dokumentation der technischen und organisatorischen Maßnahmen.
2. Soweit der Verantwortliche einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragsverarbeiter ausgesetzt ist, hat ihn der Auftragsverarbeiter zu unterstützen.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Falle einer Verletzung des Schutzes personenbezogener Daten, die im Zusammenhang mit der Auftragsverarbeitung steht, bei der Erfüllung seiner diesbezüglichen Pflichten gegenüber der Aufsichtsbehörde sowie der Pflicht zur Dokumentation.
4. Bei schwerwiegenden Störungen des Betriebsablaufs, bei Verdacht einer Datenschutzverletzung oder bei wesentlichen Unregelmäßigkeiten bei der Datenverarbeitung, die den Verantwortlichen betreffen könnten, informiert der Auftragsverarbeiter unverzüglich, spätestens aber nach 12 Stunden, den Verantwortlichen. Dasselbe gilt, wenn sich eine Aufsichtsbehörde oder Strafverfolgungsorgane bei dem Auftragsverarbeiter melden.
5. Sollen die Daten des Verantwortlichen beim Auftragsverarbeiter durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden oder droht eine wesentliche Änderung der Eigentumsverhältnisse beim Auftragsverarbeiter, so hat der Auftragsverarbeiter den Verantwortlichen unverzüglich darüber zu informieren. Der Auftragsverarbeiter wird alle in diesem Zusammenhang involvierten Personen unverzüglich darüber informieren, dass die Hoheit der Daten beim Verantwortlichen liegt.

§ 10 Datenschutzbeauftragte*r/Ansprechperson des Auftragsverarbeiters

• Der Auftragsverarbeiter hat einen Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt, bestellt.

Als Datenschutzbeauftragte*r beim Auftragsverarbeiter ist

[Name]

[Organisationseinheit]

Telefon: [Nummer]

E-Mail: [E-Mail]

bestellt. Ein Wechsel des*der Datenschutzbeauftragten ist dem Verantwortlichen unverzüglich mitzuteilen.

• Der Auftragsverarbeiter ist nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Als Ansprechperson für Fragen zum Datenschutz und zur Informationssicherheit im Zusammenhang mit diesem Vertrag wird beim Auftragsverarbeiter

[Name]

[Organisationseinheit]

Telefon: [Nummer]

E-Mail: [E-Mail]

benannt. Ein Wechsel der Ansprechperson ist dem Verantwortlichen unverzüglich mitzuteilen.

• Sofern der Auftragsverarbeiter seinen Sitz außerhalb der Union hat, benennt er gem. Art. 27 Abs. 1 DSGVO folgenden Vertreter in der Union:

[Name]

Telefon: [Nummer]

E-Mail: [E-Mail]

§ 11 Kontrollrechte des Verantwortlichen

1. Der Verantwortliche hat das Recht, Überprüfungen, durchzuführen oder durch beauftragte Dritte durchführen zu lassen, um sich von der Umsetzung und Einhaltung

dieser AVV, insbesondere bezüglich der technischen und organisatorischen Maßnahmen, durch den Auftragsverarbeiter in dessen Geschäftsbetrieb zu überzeugen. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen, insbesondere zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten, zur Verfügung. Die Überprüfung kann in begründeten Fällen auch durch eine Vor-Ort-Inspektion stattfinden, z.B. im Zusammenhang mit möglichen Datenschutzvorfällen. Der Verantwortliche teilt dem Auftragsverarbeiter in diesen Fällen rechtzeitig (in der Regel vier Wochen vorher) den Termin der Überprüfung mit. Außerordentliche oder behördlich verfügte Überprüfungen sind hiervon ausgenommen.

1. Der Nachweis von Maßnahmen gemäß Absatz 1, kann in der Regel erfolgen durch:
   • Die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO;
   • die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO;
   • aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheits-abteilung, Datenschutzauditoren, Qualitätsauditoren);
   • eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz).
2. Eine gesonderte Vergütung des Auftragsverarbeiters für die Ermöglichung der Kontrollen gem. Abs. 1 fällt nicht an.

§ 12 Haftung

Der Auftragsverarbeiter haftet für die ordnungsgemäße Ausführung des Auftrags nach den gesetzlichen Bestimmungen. Machen betroffene Personen Ansprüche gegenüber dem Verantwortlichen wegen unzulässiger oder unrichtiger Datenverarbeitung geltend, so hat der Auftragsverarbeiter den Verantwortlichen zu unterstützen und im Innenverhältnis zu beweisen, dass die fehlerhafte Datenverarbeitung nicht in seinem eigenen Verantwortungsbereich liegt.

§ 13 Zurückbehaltungsrecht

Die Einrede des Zurückbehaltungsrechts an Daten und Unterlagen des Verantwortlichen ist ausgeschlossen.

§ 14 Rückgabe und Löschung

1. Nach Abschluss der vertraglich vereinbarten Datenverarbeitung oder jederzeit nach Aufforderung durch den Verantwortlichen, spätestens aber mit Beendigung des Hauptvertrages, hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verantwortlichen auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedsstaaten eine

Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen.

1. Im Falle einer Löschung durch physische Vernichtung muss diese regelkonform und dem Stand der Technik entsprechend gewährleistet sein, ein Transport in verschlossenen Behältern vorgenommen werden und die erfolgreiche Vernichtung unter Angabe der Schutzklasse und Sicherheitsstufe protokolliert und dokumentiert sein.
2. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragsverarbeiter entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Verantwortlichen übergeben.

§ 15 Schlussbestimmungen

1. Der ausschließliche Gerichtsstand ist Frankfurt am Main, Deutschland.
2. Die in diesem Vertrag in Bezug genommenen Anlagen sind Bestandteil des AVV. Sollte eine der Bestimmungen dieses AVV unwirksam sein oder werden, so wird die Gültigkeit der übrigen Bestimmungen hierdurch nicht berührt. Im Falle eines Widerspruchs zwischen dem Vertragstext und dem Inhalt der Anlagen ist der Vertragstext maßgebend.

Frankfurt am Main, den [Datum] [Ort], den [Datum]

________________________________ ____________________________

(Verantwortlicher) (Auftragsverarbeiter)