[Seite 1]
Bestimmungen zum Datenschutz und zur Datensicherheit
bei der Datenverarbeitung im Auftrag
(Art. 28 EU-DSGVO sowie entsprechende
Landesdatenschutzgesetze)
– Datenschutzbestimmungen –
§ 1
Gegenstand der Datenschutzbestimmungen
(1) Diese Datenschutzbestimmungen sind Bestandteil der vereinbarten Leistungen entsprechend
Vergabenummer: AC-2026#006 Titel: ext. DSB und ext. stellv. DSB
(2) - im Folgenden Hauptvertrag genannt - und somit Grundlage für die Abwicklung der zwischen dem Verantwortlichen und dem Auftragsverarbeiter vertraglich vereinbarten Leistungen. Diese Datenschutzbestimmungen regeln den Schutz von Daten bei der Datenverarbeitung im Auftrag unter besonderer Berücksichtigung des Art. 28 EU-DSGVO sowie entsprechende Landesdatenschutzgesetze.
(3) Der Auftragsverarbeiter verarbeitet zum Zwecke der Erbringung der nach dem Hauptvertrag geschuldeten Leistungen, personenbezogene Daten (nachfolgend Daten genannt) im Auftrag des Verantwortlichen.
§ 2
Grundsätze
(1) Geschäftsgrundlage des Rechtsverhältnisses zwischen Auftragsverarbeiter und Verantwortlichem ist, dass der Datenschutz beim Auftragsverarbeiter nach der Art der zu verarbeitenden Daten den Anforderungen genügt, die für den Verantwortlichen gelten.
(2) Der Verantwortliche, die für ihn zuständigen Aufsichtsbehörden oder von ihm beauftragte externe Prüfeinrichtungen sind berechtigt, sich vor Beginn der Auftragsverarbeitung und anschließend regelmäßig von der Einhaltung der beim Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen zu überzeugen, vgl. § 9 (Kontrollrechte des Verantwortlichen).
§ 3
Konkretisierung des Auftragsinhalts
(1) Die Art der Verarbeitung von Daten ergibt sich aus den vom Auftragsverarbeiter zu erbringenden Leistungen nach dem Hauptvertrag. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zu dem Zweck, die geschuldeten Vertragsleistungen zu erbringen.
Version 2.01 Seite 1 von 11
[Seite 2]
(2) Gegenstand der Datenverarbeitung sind die folgenden Arten/Kategorien von personenbezogenen Daten gemäß Art. 4 Nr. 1 DSGVO:
Eventuell für die administrative Zurverfügungstellung oder den technischen Betrieb erforderliche Daten
§ 4
Allgemeine Pflichten des Auftragsverarbeiters
(1) Dem Auftragsverarbeiter ist die Verarbeitung von Daten nur zum Zwecke der Erfüllung des Hauptvertrages sowie im Rahmen der schriftlichen Weisungen des Verantwortlichen und nach den datenschutzrechtlichen Vorschriften unter Beachtung der technischen und organisatorischen Maßnahmen gem. § 5 dieser Bestimmungen gestattet. Der Auftragsverarbeiter verwendet die Daten und die daraus erzielten Verarbeitungsergebnisse ausschließlich für die Erfüllung des Hauptvertrages. Insbesondere ist die Anonymisierung zu eigenen Zwecken, z. B. für eigene (Daten-)Analysen ausgeschlossen. Er bewahrt die Daten unter Verschluss bzw. unter Einsatz entsprechender technischer Mittel vor unbefugtem Zugriff gesichert nur so lange auf, wie es für die Erfüllung der genannten Leistungen erforderlich ist. Er gibt sie nicht an Dritte weiter.
(2) Der Auftragsverarbeiter verpflichtet sich, dass die Daten des Verantwortlichen von Daten anderer Verantwortlicher streng getrennt werden. Er verpflichtet sich, keine Kopien oder Duplikate der Datenbestände bzw. Datenbanken ohne Wissen des Verantwortlichen zu erstellen oder die Daten für andere Zwecke zu nutzen. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
(3) Soweit gesetzlich verpflichtet, bestellt der Auftragsverarbeiter eine fachkundige und zuverlässige Person als Beauftragten für den Datenschutz. Es ist sicherzustellen, dass für den Beauftragten für den Datenschutz keine Interessenskonflikte bestehen (Art. 37 EU-DSGVO). In Zweifelsfällen kann sich der Auftraggeber direkt an den Beauftragten für den Datenschutz wenden. Hierzu teilt der Auftragsverarbeiter dem Auftraggeber die Kontaktdaten des Beauftragten für den Datenschutz in Anhang A mit Anschrift und telefonischer und elektronischer Erreichbarkeit mit.
Sofern der Auftragsverarbeiter nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet ist (§ 38 Abs. 1 Satz 1 BDSG), benennt er einen Ansprechpartner in Anhang A mit Anschrift und telefonischer und elektronischer Erreichbarkeit.
Änderungen in der Person oder den innerbetrieblichen Aufgaben des Beauftragten für den Datenschutz teilt der Auftragnehmer dem Auftraggeber unverzüglich mit.
(4) Der Auftragsverarbeiter hat den für die Verarbeitung der Daten des Verantwortlichen im Rahmen des Auftragsverhältnisses vorgesehenen Standort/Standorte seiner Geschäftsräume dem Verantwortlichen vor Vertragsschluss in Anhang B schriftlich zu benennen. Eine Veränderung der Standorte oder Räumlichkeiten, in denen Daten des Verantwortlichen verarbeitet werden, oder ein Verlagern der Auftragsdurchführung an eine andere Örtlichkeit
Version 2.01 Seite 2 von 11
[Seite 3]
als die mit dem Verantwortlichen vereinbarte, bedarf der vorherigen schriftlichen oder elektronischen (Textform) Zustimmung des Verantwortlichen.
(5) Der Auftragsverarbeiter stellt sicher, dass ein Zugriff auf die Daten des Verantwortlichen von Betriebsstätten/ Geschäftsräumen und anderen Orten außerhalb der in Anhang B angegebenen Standorte des Auftragsverarbeiters grundsätzlich ausgeschlossen ist.
(6) Sollte eine Verarbeitung von Daten des Verantwortlichen unter Nutzung mobiler Arbeitsplätze/ Heim- oder Telearbeitsplätze stattfinden, ist sicherzustellen, dass dies unter Beachtung der technischen und organisatorischen Maßnahmen gemäß § 5 dieser Datenschutzbestimmungen erfolgt.
(7) Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt.
Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. EU-DSGVO erfüllt sind.
Das angemessene Schutzniveau im Drittland
ist festgestellt
• durch einen Angemessenheitsbeschluss der Kommission (Art. 45 Abs. 3 EU-DSGVO); • wird hergestellt durch verbindliche interne Datenschutzvorschriften (Art. 46 Abs. 2 lit. b i. V. m. 47 EU-DSGVO); • wird hergestellt durch Standarddatenschutzklauseln (Art. 46 Abs. 2 lit. c und d EU-DSGVO); • wird hergestellt durch genehmigte Verhaltensregeln (Art 46 Abs. 2 lit. e i. V. m. 40 EU-DSGVO); • wird hergestellt durch einen genehmigten Zertifizierungsmechanismus (Art. 46 Abs. 2 lit. f i. V. m. 42 EU-DSGVO).
(8) Der Auftragsverarbeiter ist verpflichtet, den Verantwortlichen zu informieren, wenn Aufsichtsbehörden nach Art. 51 EU-DSGVO i. V. m. § 40 BDSG tätig werden oder eine zuständige Behörde beim Auftragsverarbeiter oder seinen Unterauftragnehmern ermittelt. Die unverzügliche Information des Verantwortlichen über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen, gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens gemäß § 41 ff. BDSG in Bezug auf die Verarbeitung von Daten bei der Auftragsverarbeitung beim Auftragsverarbeiter ermittelt.
(9) Der Auftragsverarbeiter ist verpflichtet, den Verantwortlichen bei dessen nach Art. 35 EU-DSGVO entstehenden Pflichten bei der Erstellung einer Datenschutz- Folgenabschätzung zu unterstützen.
(10) Sollte das Eigentum des Verantwortlichen beim Auftragsverarbeiter durch Maßnahmen Dritter (z. B. durch Pfändung oder Beschlagnahme, durch ein
Version 2.01 Seite 3 von 11
[Seite 4]
Insolvenz- oder Vergleichsverfahren) oder durch sonstige Ereignisse gefährdet werden, hat der Auftragsverarbeiter den Verantwortlichen unverzüglich darüber zu informieren. Der Auftragsverarbeiter ist verpflichtet, alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber zu unterrichten, dass es sich um Daten des Verantwortlichen handelt, über die er keinerlei Verfügungs- oder sonstige Bestimmungsgewalt oder Eigentumsrechte hat.
§ 5
Technische und organisatorische Maßnahmen
(1) Der Auftragsverarbeiter hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung schriftlich oder in Textform im Sinne des Anhang C zu dokumentieren und dem Verantwortlichen zur Prüfung zu übergeben (Anhang C enthält hierzu Erläuterungen und Beispiele). Bei Akzeptanz durch den Verantwortlichen werden die dokumentierten Maßnahmen Grundlage des Auftrags. Soweit die Prüfung/ein Audit des Verantwortlichen einen Anpassungsbedarf ergibt, ist dieser umzusetzen.
(2) Der Auftragsverarbeiter hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 EU-DSGVO insbesondere i. V. m. Art. 5 Abs. 1, Abs. 2 EU-DSGVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 EU-DSGVO zu berücksichtigen.
(3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind revisionssicher zu dokumentieren.
(4) Sämtliche Dokumentationen zu den technischen und organisatorischen Maßnahmen, Dokumentationen von Regelungen zum Datenschutz und zur Informationssicherheit und Audit- bzw. Prüfberichte müssen in deutscher Sprache verfasst bzw. auf Anforderung des Verantwortlichen in deutscher Übersetzung in angemessener Zeit zur Verfügung gestellt werden.
(5) Der Auftragsverarbeiter kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird. Die Kontrollen, die Ergebnisse und ggf. umgesetzte Maßnahmen sind zu protokollieren und für mindestens 6 Jahre aufzubewahren.
(6) Erfolgt eine Verarbeitung von Daten des Verantwortlichen unter Nutzung mobiler Arbeitsplätze/Heim- oder Telearbeitsplätze darf dies nicht im öffentlichen Raum (z. B. Flughafen, Bahn etc.) erfolgen und grundsätzlich nur mit gesicherten firmeneigenen Geräten des Auftragnehmers. Es muss sich dabei um verschlüsselte
Version 2.01 Seite 4 von 11
[Seite 5]
Festplatten, geschützte Verbindungen und fortschrittliche Sicherheitsvorkehrungen (jeweils aktuell), wie z. B. Firewall handeln, sowie aktuelle Signaturen von Viren- und Malwarescannern.
Die Verwendung von Privat-PC oder mobilen Endgeräten durch Mitarbeiter des Auftragnehmers - z. B. im Rahmen von mobilem Arbeiten - ist nur dann zulässig, wenn eine Trennung des privaten und beruflichen Bereichs technisch ermöglicht wird und der Zugriff über eine gesicherte Verbindung (z. B. Token, VPN) auf physisch beim Auftragnehmer verbleibende Daten sichergestellt ist. Dann ist sicherzustellen, dass dies unter Beachtung der technischen und organisatorischen Maßnahmen gemäß § 5 dieser Datenschutzbestimmungen erfolgt.
§ 6
Sonstige Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter hat zusätzlich zu der Einhaltung der vertraglichen Regelungen die Bestimmungen gemäß Art. 28 bis 33 EU-DSGVO sicherzustellen.
Insofern sind insbesondere folgende Anforderungen zu gewährleisten:
(1) Der Auftragsverarbeiter ist verpflichtet, zur Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2b, 29, 32 Abs. 4 EU-DSGVO für die Erfüllung der vertraglich vereinbarten Leistungen nur Personen einzusetzen, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden sowie regelmäßig informiert und angewiesen werden (Datengeheimnis). Die vorgenannte Verpflichtung hat inhaltlich mindestens dem als Anhang D beigefügten Muster der Verpflichtungserklärung zur Wahrung der Vertraulichkeit zu entsprechen.
(2) Der Auftragsverarbeiter und jede dem Auftragsverarbeiter unterstellte Person, die Einsicht in Daten nehmen kann, darf diese Daten ausschließlich entsprechend der Weisung des Verantwortlichen verarbeiten, einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass der Auftragsverarbeiter gesetzlich zur Verarbeitung verpflichtet ist.
(3) Der Verantwortliche und der Auftragsverarbeiter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen. Dies gilt auch, soweit der Verantwortliche seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragsverarbeiter ausgesetzt ist.
§ 7
Unterauftragnehmer
Für den Einsatz von Unterauftragnehmern, die vom Auftragsverarbeiter für die Ausführung bestimmter Verarbeitungstätigkeiten im Anwendungsbereich dieser Datenschutzbestimmungen beauftragt werden („Weitere Auftragsverarbeiter“), gelten ergänzend zu § 9 des Hauptvertrags die nachfolgenden Bestimmungen. Zu den Verarbeitungstätigkeiten im Anwendungsbereich dieser Datenschutz-bestimmungen gehören auch die Prüfung oder Wartung automatischer Verfahren oder von Datenverarbeitungsanlagen, bei denen ein Zugriff auf personenbezogenen Daten nicht ausgeschlossen werden kann.
Version 2.01 Seite 5 von 11
[Seite 6]
(1) Soweit im Fall der Beauftragung/Zuschlagserteilung ein oder mehrere Unterauftragnehmer Daten des Verantwortlichen verarbeiten, müssen sowohl der Auftragsverarbeiter als auch der Unterauftragnehmer angeben, welches Aufgabenfeld an welchem Unternehmensstandort ausgeführt werden sollen.
(2) Die vertraglichen Vereinbarungen nach Maßgabe des Art. 28 Abs. 2 - 4 EU-DSGVO zwischen Auftragsverarbeiter und Unterauftragnehmer sind so zu gestalten, dass sie den Bestimmungen des Vertragsverhältnisses zwischen Verantwortlichem und Auftragsverarbeiter in vollem Umfang entsprechen. Dies gilt auch hinsichtlich der technischen und organisatorischen Maßnahmen zum Datenschutz und zur Datensicherheit sowie der Prüf- und Kontrollrechte.
(3) Der Auftrag zur Verarbeitung von Daten darf nur erteilt werden, wenn die Verarbeitung im Inland bzw. in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum stattfindet. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. EU-DSGVO erfüllt sind.
(4) Der Auftragsverarbeiter hat sich regelmäßig von der Einhaltung der beim Unterauftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Das Ergebnis ist zu dokumentieren, mindestens 6 Jahre aufzubewahren und auf Verlangen dem Verantwortlichen vorzulegen.
(5) Der Auftragsverarbeiter hat im Vertrag mit dem Unterauftragnehmer den Auftrag, den Arbeitsablauf und die an den Unterauftragnehmer zum Zwecke der auftragsgemäßen Verarbeitung oder Nutzung gelangenden Daten der Art nach zu bezeichnen sowie die Betriebsstätten/Geschäftsräume und Standorte in denen die Daten des Verantwortlichen verarbeitet werden, zu benennen.
(6) Die vom Auftragsverarbeiter mit dem Unterauftragnehmer geschlossenen Verträge bedürfen der Schriftform und sind dem Verantwortlichen auf Verlangen vorzulegen.
(7) Das Verhalten seiner Unterauftragnehmer ist dem Auftragsverarbeiter wie eigenes Verhalten zuzurechnen. Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragsverarbeiter nach Maßgabe des Art. 28 Abs. 4 EU-DSGVO gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Unterauftragnehmers.
(8) Sollen vom Auftragsverarbeiter während der Vertragslaufzeit andere als in Anhang E benannte Unterauftragnehmer beauftragt oder Standorte von Unterauftragnehmern verlegt/erweitert werden, sind dem Verantwortlichen rechtzeitig vor der geplanten Veränderung folgende Unterlagen zur Zustimmung vorzulegen:
Beschreibung der Arbeiten, die der Unterauftragnehmer ausführen soll:
a) Bericht der letzten Prüfung b) Kopie der geplanten vertraglichen datenschutzrelevanten Regelungen (einschließlich der technischen und organisatorischen Maßnahmen zum Datenschutz und zur Datensicherheit) mit dem Unterauftragnehmer
Version 2.01 Seite 6 von 11
[Seite 7]
Wenn andere Stellen die Prüfung oder Wartung von automatisierten Verfahren oder von Datenverarbeitungsanlagen vornehmen und dabei ein Zugriff auf die Daten des Verantwortlichen nicht ausgeschlossen werden kann, gilt der § 80 Abs. 5 SGB X analog. Derartige Beauftragungen sind dem Verantwortlichen rechtzeitig vor Vertragsabschluss mitzuteilen. Sind Störungen im Betriebsablauf zu erwarten oder bereits eingetreten und ist eine kurzfristige Beauftragung eines Unterauftragnehmers unabdingbar, ist der Vertrag unverzüglich nachzuholen. Bereits bei Zuschlag bestehende Vertragsbeziehungen sind in Anhang F aufzuführen.
(9) Beauftragt der Auftragsverarbeiter für den Datentransport einen Transportunternehmer, so hat er vertraglich sicherzustellen und dem Verantwortlichen auf Verlangen nachzuweisen, dass der Transportunternehmer den Datenschutzbestimmungen Genüge tut. Werden Unterlagen des Verantwortlichen abgeholt, stattet der Auftragsverarbeiter den Transportunternehmer mit einem schriftlichen Berechtigungsausweis für die Entgegennahme der Unterlagen aus.
§ 8
Auskunft, Berichtigung, Einschränkung und Löschung von Daten
(1) Der Auftragsverarbeiter ist verpflichtet, den Verantwortlichen im Rahmen seiner Pflichten gegenüber Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Information unverzüglich zur Verfügung zu stellen.
(2) Der Auftragsverarbeiter darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Verantwortlichen berichtigen, löschen oder deren Verarbeitung einschränken.
(3) Wenn von Betroffenen die Rechte gemäß der Art. 15 – 18 EU-DSGVO geltend gemacht werden, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten. Er stellt sicher, dass die Daten von Betroffenen bei Bedarf auf Anweisung des Verantwortlichen berichtigt, gelöscht oder gesperrt werden können.
(4) Soweit vom Leistungsumfang umfasst, sind die Betroffenenrechte nach dokumentierter Weisung des Verantwortlichen unmittelbar durch den Auftragsverarbeiter sicherzustellen. Hierzu gehört die Umsetzung des Löschkonzeptes, Berichtigung und Auskunft.
§ 9
Kontrollrechte des Verantwortlichen
(1) Der Verantwortliche oder von ihm beauftragte externe Prüfeinrichtungen werden sich vor Beginn der Auftragsverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen überzeugen.
(2) Der Auftragsverarbeiter gewährt dem Verantwortlichen bzw. den für den Verantwortlichen zuständigen Aufsichtsbehörden oder von ihm beauftragte externe Prüfeinrichtungen in den Betriebsräumen des Auftragsverarbeiters zu jeder geschäftsmäßigen Zeit nach vorheriger schriftlicher oder elektronischer (Textform) Ankündigung ein Prüfrecht. Das Prüfrecht umfasst die Besichtigung von Grundstücken und Geschäftsräumen, Auskünfte zur Vertragsausführung, Einsicht in Papierunterlagen als auch die Einsichtnahme in die beim Auftragsverarbeiter
Version 2.01 Seite 7 von 11
[Seite 8]
gespeicherten Daten des Verantwortlichen, soweit dies im Rahmen des Auftrags zur Überwachung von Datenschutz und Datensicherheit erforderlich ist. Dies gilt insbesondere für den Nachweis der Umsetzung der technischen und organisatorischen Maßnahmen.
(3) Der Nachweis technischer und organisatorischer Maßnahmen kann erfolgen durch
• die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 EU-DSGVO;
• die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 EU-DSGVO;
• aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren);
• eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z. B. nach BSI Grundschutz).
(4) Der Auftragsverarbeiter sichert zu, dass er die notwendige personelle und sachliche Unterstützung bei den Prüfungen zur Verfügung stellt.
(5) Die genannten Rechte des Verantwortlichen können auch durch Mitarbeiter von damit beauftragten Fremdfirmen wahrgenommen werden. Sofern Mitarbeiter von Fremdfirmen mit den genannten Kontrollmaßnahmen beauftragt werden, sind diese vom Verantwortlichen ausdrücklich auf die Geheimhaltung aller in diesem Zusammenhang erlangten Kenntnisse, Daten sowie Betriebs- und Geschäftsgeheimnisse zu verpflichten.
(6) Die Rechte der für den Auftragsverarbeiter zuständigen Aufsichtsbehörde bleiben davon unberührt.
§ 10
Weisungsbefugnis des Verantwortlichen
Der Verantwortliche ist befugt, erforderlichenfalls schriftliche Weisungen im Rahmen der Art. 28, 32 EU-DSGVO zur Ergänzung der beim Auftragsverarbeiter vorhandenen technischen und organisatorischen Maßnahmen zum Datenschutz und zur Datensicherheit zu erteilen.
§ 11
Mitteilungspflichten des Auftragsverarbeiters
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Art. 32 bis 36 der EU-DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Verzeichnis von Verarbeitungstätigkeiten, Meldepflichten bei Datenschutzverletzungen, gegebenenfalls erforderlichen Datenschutz-Folgenabschätzungen und vorherige Konsultationen der Aufsichtsbehörde. Hierzu gehören u.a.
a) die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen,
b) die Verpflichtung, Verletzungen personenbezogener Daten - auch durch seine Mitarbeiter oder Unterauftragnehmer - gemäß Art. 33 Abs. 2 und 3 EU-DSGVO
Version 2.01 Seite 8 von 11
[Seite 9]
unverzüglich an den Verantwortlichen zu melden. In diesem Falle hat der Auftragsverarbeiter sofort die alle erforderlichen Maßnahmen zur Sicherung der Daten zu treffen und weitere Anweisungen durch den Verantwortlichen abzuwarten.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Meinung ist, dass eine Weisung des Verantwortlichen gegen die EU-DSGVO oder eine andere Datenschutzvorschrift verstößt. Der Auftragsverarbeiter ist in diesem Fall berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen bestätigt oder geändert wird.
§ 12
Löschung und Rückgabe von personenbezogenen Daten
(1) Sämtliche Daten und Unterlagen sowie Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem in § 1 dieser Datenschutzbestimmungen genannten Zwecke in die Verfügungsgewalt des Auftragsverarbeiters gelangt sind, hat dieser entsprechend den jeweiligen Vereinbarungen im Einzelfall bzw. nach Abschluss der vertraglichen Arbeiten dem Verantwortlichen auszuhändigen bzw. zu übermitteln.
(2) Auf Verlangen des Verantwortlichen hat der Auftragsverarbeiter in seinem Besitz befindliche Daten bzw. Datenbestände (z. B. physische Datenträger, elektronische Dateien oder Datenbanken in seinen DV-Systemen) nichtreproduzierbar zu löschen bzw. physisch zu vernichten. Die Vernichtung hat nach DIN 66399 Teile 1-3 mindestens mit der Schutzklasse 3 mindestens mit Sicherheitsstufe P-4, F-4, O-4, T- 4, H-4 bzw. E-4 zu erfolgen. Die Datenlöschung hat nach anerkanntem BSI- Standard oder anderweitiger adäquater Regelungen für vertrauliche Daten in der jeweils aktuellen Fassung zu erfolgen. Dies gilt auch für Test- und Zwischenergebnisse. Ist eine Löschung auf Sicherungskopien wegen der besonderen Art der Speicherung nur mit einem unverhältnismäßig hohen Aufwand möglich, sind die Daten nach Abstimmung mit dem Verantwortlichen für jede weitere Verarbeitung einzuschränken.
(3) Die Löschung und Vernichtung hat der Auftragsverarbeiter in geeigneter Weise zu protokollieren und auf Verlangen dem Verantwortlichen vorzulegen. Im Zweifelsfall sind geeignete Maßnahmen mit dem Verantwortlichen abzustimmen.
(4) Endet das Vertragsverhältnis, hat der Auftragsverarbeiter gegenüber dem Verantwortlichen schriftlich zu erklären, dass die nicht mehr erforderlichen Daten und Datenträger ordnungsgemäß im Sinne dieses Vertrages gelöscht bzw. vernichtet wurden und welche Daten aus gesetzlichen Gründen über das Ende des Auftragsverhältnisses hinaus aufbewahrt werden müssen.
§ 13
Haftung
(1) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen nach Maßgabe der gesetzlichen Bestimmungen für Schäden, die infolge seines oder seiner Unterauftragnehmer (§ 7) schuldhaften Verhaltens gegen Datenschutzbestimmungen und/oder durch die schuldhafte Verletzung dieses Vertrages entstehen. Etwaige vertragliche Haftungsbeschränkungen gelten nicht für Ansprüche, die dem Verantwortlichen gemäß Art. 82 Abs. 5 EU-DSGVO gegen den Auftragsverarbeiter zustehen.
(2) Der Auftragsverarbeiter bestätigt, sich gegen die Inanspruchnahme wegen Verletzung von Datenschutzvorschriften hinreichend versichert zu haben und diesen
Version 2.01 Seite 9 von 11
[Seite 10]
Versicherungsschutz für die gesamte Laufzeit des Hauptvertrages in vollem Umfang aufrechtzuerhalten. Auf Nachfrage des Verantwortlichen ist dies durch Vorlage geeigneter Dokumente nachzuweisen.
§ 14
Nebenabreden
Änderungen und Nebenabreden zu diesen Datenschutzbestimmungen bedürfen der Schriftform.
§ 15
Laufzeit des Vertrages und Kündigung
(1) Beginn und Ende des Auftragsverhältnisses sind im Hauptvertrag geregelt. Unabhängig davon unterliegen der Auftragsverarbeiter und dessen eingesetzte Mitarbeiter auch nach dem im Hauptvertrag genannten Vertragsende hinaus hinsichtlich der im Rahmen des Auftragsverhältnisses übermittelten Daten und bekannt gewordenen Vertraulichkeiten der Geheimhaltungspflicht.
(2) Die Verletzung von gesetzlichen oder vertraglichen Datenschutzbestimmungen durch den Auftragsverarbeiter ist ein wichtiger Grund für den Verantwortlichen, das im Hauptvertrag vorbehaltene Recht zur außerordentlichen Kündigung auszuüben.
Der Verantwortliche kann den Hauptvertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn
a) ein schwerwiegender Verstoß des Auftragsverarbeiters gegen Datenschutzvorschriften oder diese Datenschutzbestimmungen vorliegt oder b) der Auftragsverarbeiter eine Weisung des Verantwortlichen nicht ausführen kann oder will oder c) der Auftragsverarbeiter Kontrollrechte des Verantwortlichen vertragswidrig verweigert oder d) die Grundlage der Vertragserfüllung aufgrund einer Änderung der Rechts- oder Gesetzeslage oder wegen aufsichtsrechtlicher Maßnahmen wesentlich verändert wird oder ganz entfällt.
§ 16
Salvatorische Klausel
(1) Sollten einzelne Regelungen dieser Datenschutzbestimmungen ganz oder teilweise unwirksam sein oder werden oder sollten die Datenschutzbestimmungen eine Regelungslücke enthalten, bleibt die Wirksamkeit der übrigen Bestimmungen davon unberührt. Anstelle der unwirksamen oder fehlerhaften Bestimmungen treten die jeweiligen gesetzlichen Regelungen. Unwirksam gewordene Vereinbarungen werden die Vertragspartner durch wirksame Regelungen ersetzen, die dem ursprünglich verfolgten Zweck möglichst nahekommen. Diese sind bei nächster Gelegenheit als Ergänzung in diese Datenschutzbestimmungen aufzunehmen.
(2) Sollten sich gesetzliche Änderungen während der Vertragslaufzeit ergeben, die zu einer Vertragsanpassung führen müssen, verpflichten sich die Vertragspartner Vertragsverhandlungen mit dem Ziel der Einigung aufzunehmen.
Version 2.01 Seite 10 von 11
[Seite 11]
§ 17
Inkrafttreten
(1) Diese Datenschutzbestimmungen treten mit Inkrafttreten des Hauptvertrages in Kraft.
(2) Es gilt die Gerichtsstands-Vereinbarung des Hauptvertrages.
Anhänge:
Anhang A Übersicht Ansprechpartner
Anhang B Datenverarbeitungsstandorte
Anhang C technische und organisatorische Maßnahmen zum Datenschutz und zur Datensicherheit
Anhang D Muster der Verpflichtungserklärung
Anhang E Unterauftragnehmer
Anhang F Wartung
Version 2.01 Seite 11 von 11