[Seite 1]

Auftragsverarbeitungsvertrag

Zwischen der

Georg-August-Universität Göttingen,

Stiftung öffentlichen Rechts,

Universitätsmedizin Göttingen,

vertreten durch den Vorstand,

[nur in klinischen Studien] dieser vertreten durch die Leitung des Studienzentrums UMG

Robert-Koch-Str. 40,

D-37075 Göttingen

(Verantwortlicher im Sinne der DS-GVO, nachfolgend „Auftraggeber“ genannt)

und

Name

Anschrift, vertreten durch

(Auftragsverarbeiter im Sinne der DS-GVO, nachfolgend „Auftragnehmer“ genannt)

(Auftraggeber und Auftragnehmer werden im Folgenden zudem einzeln auch „Partei“ bzw. gemeinsam „Parteien“ genannt)

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite1 von30

[Seite 2]

Präambel

Dieser Auftragsverarbeitungs-Vertrag (AV-Vertrag) konkretisiert die datenschutzrecht- lichen Verpflichtungen bzw. beschriebenen Auftragsverarbeitungen im Zusammen- hang mit dem Projekt Name „[Projekt benennen]“ und in Ergänzung des zwischen den Parteien mit Datum vom [DATUM des Vertragsstichtages des Hauptvertrages eintragen] geschlossenen Vertrages XXX (nachstehend „Hauptvertrag“ genannt) die sich aus der im Hauptvertrag beschriebenen Auftragsverarbeitung ergeben.

Sämtliche in diesem Vertrag beschriebenen Verpflichtungen finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen Mitarbeiterinnen und Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen bzw. kommen können.

§ 1 Definitionen

Es gelten die Begriffsbestimmungen entsprechend Art. 4 DS-GVO, §§ 2, 46 BDSG, § 2 UWG, § 2 TDDDG, § 3 TKG und § 2 DDG sowie Landesdatenschutzgesetz/Landes- krankenhausgesetz für Niedersachsen (bzw. falls anwendbar das Niedersächsische Hochschulgesetz (NHG)).

Weiterhin gelten folgende Begriffsbestimmungen:

(1) Anonymisierung

Prozess, bei dem personenbezogene Daten entweder vom für die Verarbeitung der Daten Verantwortlichen allein oder in Zusammenarbeit mit einer anderen Partei unum- kehrbar so verändert werden, dass sich die betroffene Person danach weder direkt noch indirekt identifizieren lässt. (Quelle: DIN EN ISO 25237)

(2) Drittland

Ein Land, welches sich außerhalb der EU/EWR befindet.

(3) Hauptvertrag

Vertrag (i.d.R. ein Dienst- oder Werkvertrag), in welchem alle Einzelheiten der Verar- beitung beschrieben sind.

(4) Unterauftragnehmer

Vom Auftragnehmer beauftragter Leistungserbringer, dessen Dienstleistung und/oder Werk der Auftragnehmer zur Erbringung der in diesem Vertrag beschriebenen Leis- tungen gegenüber dem Auftraggeber benötigt.

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite2 von30

[Seite 3]

(5) Verarbeitung im Auftrag

Verarbeitung im Auftrag ist die Verarbeitung personenbezogener Daten durch einen Auftragnehmer im Auftrag des Auftraggebers.

(6) Weisung

Weisung ist die auf einen bestimmten datenschutzmäßigen Umgang (zum Beispiel Anonymisierung, Sperrung, Löschung, Herausgabe) des Auftragnehmers mit perso- nenbezogenen Daten gerichtete schriftliche Anordnung des Auftraggebers. Die Wei- sungen werden anfänglich durch einen Hauptvertrag festgelegt und können vom Auf- traggeber danach in schriftlicher Form durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung).

§ 2 Gegenstand des Auftrags

Gegenstand der Vereinbarung ist die Verarbeitung personenbezogener Daten (nach- stehend „Daten“ genannt) durch den Auftragnehmer für den Auftraggeber in dessen Auftrag und nach dessen Weisung. Die Vereinbarung gilt entsprechend für (Fern-) Prü- fung und Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen, wenn dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.

Der Auftragnehmer erhält Zugriff auf folgende personenbezogene Daten (dadurch, dass der Auftraggeber ihm die Daten bereitstellt oder ihm einen Zugriff auf die Daten ermöglicht), bzw. der Auftraggeber erlaubt dem Auftragnehmer, folgende personenbe- zogene Daten zu verarbeiten:

a. Bezeichnung der Daten (Datenkategorien)

☐ Personenstammdaten

☐ Besondere Kategorien von Daten(arten), insbesondere

(cid:127) rassische oder ethnische Herkunft,

(cid:127) religiöse Überzeugung

(cid:127) weltanschauliche (philosophische) Überzeugung

(cid:127) politische Überzeugungen/Meinungen

(cid:127) Gesundheit (inkl. genetischer Daten)

(cid:127) Biometrischen Daten zur (eindeutigen) Identifizierung einer Person

(cid:127) Gewerkschaftszugehörigkeit

(cid:127) Sexualleben oder der sexuellen Orientierung

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite3 von30

[Seite 4]

Bei den Betroffenen (Personenkategorien) der oben aufgelisteten Daten handelt es sich um:

☐ Patienten

☐ Kunden

☐ Interessenten

☐ Abonnenten

☐ Beschäftigte

☐ Lieferanten

☐ Handelsvertreter

☐ Ansprechpartner

☐ [WENN NÖTIG BITTE WEITERE ERGÄNZEN]

b. Der Zugriff auf die Daten bzw. die Datenerhebung erfolgt wie folgt:

Alt. 1

☐ Übermittlung durch den Auftraggeber über: ……………………………….

ODER Alt. 2

☐ Beauftragung durch den Auftraggeber: ……………………………….

c. Der Auftragnehmer erbringt für den Auftraggeber folgende Prüf- bzw. Wartungstätigkeiten, bei denen eine Zugriffsmöglichkeit auf personenbezo- gene Daten nicht ausgeschlossen werden kann:

☐ Prüfung/Wartung vor Ort, bei denen eine Zugriffsmöglichkeit auf personenbe- zogene Daten nicht ausgeschlossen werden kann: ……………………………….

☐ Hardware-Diagnose per Fernzugriff für folgende Hardwareprodukt(e), bei de- nen eine Zugriffsmöglichkeit auf personenbezogene Daten nicht ausgeschlos- sen werden kann: ……………………………….

☐ Software-Prüfung/Wartung per Fernzugriff für folgend(e) Softwareprodukt(e), bei denen eine Zugriffsmöglichkeit auf personenbezogene Daten nicht ausge- schlossen werden kann: ……………………………….

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite4 von30

[Seite 5]

☐ [WENN NÖTIG BITTE WEITERE ERGÄNZEN]

§ 3 Verantwortlichkeit

(1) Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der ge- setzlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenverarbei- tung verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Ziff. 7 DS-GVO).

(2) Die Inhalte dieses AV-Vertrages gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausge- schlossen werden kann.

(3) Auftraggeber sowie Auftragnehmer müssen gewährleisten, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Dazu müssen alle Personen, die auftragsgemäß auf personenbezogene Daten des Auftraggebers zugreifen können, auf das Datengeheimnis verpflichtet und über ihre Datenschutzpflichten belehrt werden. Dabei ist jede Partei für die Verpflich- tung des eigenen Personals zuständig. Ferner müssen die eingesetzten Personen da- rauf hingewiesen werden, dass das Datengeheimnis auch nach Beendigung der Tä- tigkeit fortbesteht.

(4) Der Auftraggeber und der Auftragnehmer sind bzgl. der zu verarbeitenden Da- ten für die Einhaltung der jeweils für sie einschlägigen Datenschutzgesetze verant- wortlich.

§ 4 Dauer des Auftrags

(1) Die Laufzeit dieses AV-Vertrages richtet sich nach der Laufzeit des Hauptver- trags, sofern sich aus den Bestimmungen dieses AV-Vertrages nicht etwas anderes ergibt. Jede Partei ist berechtigt, den Vertrag mit einer Frist von [Frist eintragen] Wo- chen zum Monatsende/Quartalsende/Jahresende zu kündigen.

(2) Es ist den Vertragspartnern bewusst, dass ohne Vorliegen eines gültigen AV- Vertrages z. B. bei Beendigung des vorliegenden Vertragsverhältnisses, keine (wei- tere) Auftragsverarbeitung durchgeführt werden darf.

(3) Das Recht zur fristlosen Kündigung aus wichtigem Grund bleibt unberührt.

(4) Kündigungen bedürfen zu ihrer Wirksamkeit der Schriftform, wobei eine E-Mail nicht ausreicht.

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite5 von30

[Seite 6]

§ 5 Weisungsbefugnis des Auftraggebers

(1) Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Auftraggebers. Ausgenom- men hiervon sind Sachverhalte, in denen dem Auftragnehmer eine Verarbeitung aus zwingenden rechtlichen Gründen auferlegt wird. Der Auftragnehmer unterrichtet soweit ihm möglich in derartigen Situationen den Auftraggeber vor Beginn der Verarbeitung über die entsprechenden rechtlichen Anforderungen. Der Auftraggeber behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein umfassen- des Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, dass er durch Einzelweisungen schriftlich oder mündlich konkretisieren kann.

(2) Die Weisungen des Auftraggebers werden vom Auftragnehmer dokumentiert und dem Auftraggeber unmittelbar nach erfolgter Dokumentation als unterschriebene Kopie zur Verfügung gestellt.

(3) Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind von der Weisungsbefugnis des Auftraggebers gedeckt und entsprechend zu dokumen- tieren. Bei einer vom Auftragnehmer als wesentlich angesehenen Änderung des Auf- trags steht dem Auftragnehmer ein Widerspruchsrecht zu. Besteht der Auftraggeber trotz des Widerspruchs des Auftragnehmers auf der Änderung, so ist diese Änderung als wichtiger Grund anzusehen und erlaubt eine fristlose Kündigung des von der Wei- sung betroffenen AV-Vertrages sowie der von der AV-Vereinbarung betroffenen Be- standteile des entsprechenden Hauptvertrages.

(4) Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder per E-Mail (in Textform) bestätigen. Der Auftragnehmer notiert sich Datum, Uhrzeit und Person, welche die mündliche Weisung erteilte sowie den Grund, warum keine schrift- liche Beauftragung erfolgen konnte.

(5) Ansprechpartner (weisungsberechtigte Personen) des Auftraggebers sind

[NAME(N) und Funktion(en) angeben]

§ 6 Leistungsort

(1) Der Auftragnehmer wird die vertraglichen Leistungen in Deutschland erbringen, etwaige Unterauftragnehmer an den mit dem Auftraggeber in Anlage 1 vereinbarten Leistungsstandorten in der Europäischen Union (EU) oder im Europäischen Wirt- schaftsraum (EWR). Anlage 1 ist fester Vertragsbestandteil.

(2) Der Auftraggeber stimmt einer Verlagerung eines Ortes der Leistungserbrin- gung innerhalb des Leistungslandes, für das eine Zustimmung besteht, zu, wenn dort

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite6 von30

[Seite 7]

nachweislich ein gleiches Sicherheitsniveau gegeben ist und keine für den Auftragge- ber geltenden gesetzlichen Bestimmungen gegen diese Verlagerung sprechen. Die Nachweispflicht hierzu liegt bei dem Auftragnehmer.

(3) Bei einer Verlagerung des Ortes der Leistungserbringung in Länder, die Mitglied der EU / EWR sind und über ein diesem Vertrag genügendes und verifiziertes Daten- schutzniveau verfügen, wird der Auftraggeber schriftlich informiert.

(4) Sofern der Auftragnehmer vom Auftraggeber nicht innerhalb einer Frist von vier Wochen nach Zugang der Mitteilung gemäß Abs. 3 über die Verlagerung über Gründe informiert wird, die eine Verlagerung nicht zulassen, gilt die Zustimmung zu dieser Ver- lagerung seitens des Auftraggebers als erteilt.

(5) Wenn der Auftragnehmer die geschuldeten Leistungen ganz oder teilweise von einem Standort außerhalb der EU/EWR in einem sog. sicheren „Drittstaat“ erbringen möchte bzw. die Leistungserbringung dorthin zu verlagern plant, wird der Auftragneh- mer zuvor die schriftliche Zustimmung durch den Auftraggeber einholen.

(6) Bei einer Leistungserbringung in einem sicheren Drittstaat wird der Auftragge- ber seine Zustimmung zur Verlagerung nicht unbillig verweigern. Die Einhaltung dies- bezüglicher Vorgaben der DS-GVO wird durch den Auftragnehmer gewährleistet.

(7) Sofern die Leistungsverlagerung in ein anderes Land nach den vorstehenden Regelungen möglich ist, gilt dies entsprechend für jeglichen Zugriff bzw. jegliche Sicht auf die Daten durch den Auftragnehmer, z. B. im Rahmen von internen Kontrollen oder zu Zwecken der Entwicklung, der Durchführung von Tests, der Administration oder der Wartung.

(8) Sofern die Datenverarbeitung nach dieser Vereinbarung und den gesetzlichen Vorgaben zur Verarbeitung personenbezogener Daten im Auftrag bzw. zur Übermitt- lung personenbezogener Daten in das Ausland zulässig außerhalb Deutschlands er- bracht werden darf, wird der Auftragnehmer für die Einhaltung und Umsetzung der gesetzlichen Erfordernisse zur Sicherstellung eines adäquaten Datenschutzniveaus bei Standortverlagerungen und bei grenzüberschreitendem Datenverkehr Sorge tra- gen.

§ 7 Pflichten des Auftragnehmers

(1) Der Auftragnehmer darf Daten nur im Rahmen des Auftrages und der Weisun- gen des Auftraggebers verarbeiten.

(2) Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschut- zes gerecht wird. Er wird technische und organisatorische Maßnahmen zur angemes- senen Sicherung der Daten des Auftraggebers vor Missbrauch und Verlust treffen, die

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite7 von30

[Seite 8]

den Anforderungen der entsprechenden datenschutzrechtlichen Bestimmungen ent- sprechen; diese Maßnahmen muss der Auftragnehmer auf Anfrage dem Auftraggeber und ggfs. Aufsichtsbehörden gegenüber nachweisen. Dieser Nachweis beinhaltet ins- besondere die Umsetzung der aus Art. 32 DS-GVO resultierenden Maßnahmen.

Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative, nachweislich adäquate Maßnahmen umzusetzen. Dabei muss sicherge- stellt sein, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird. We- sentliche Änderungen sind zu dokumentieren. Eine Darstellung dieser technischen und organisatorischen Maßnahmen erfolgt im Anlage 2 zu diesem Vertrag. Anlage 2 ist ebenfalls fester Bestandteil dieses Vertrages.

(3) Der Auftragnehmer stellt dem Auftraggeber auf dessen Wunsch ein aussage- kräftiges und aktuelles Datenschutz- und Informationssicherheitskonzept für diese Auf- tragsverarbeitung zur Verfügung.

(4) Der Auftragnehmer selbst führt für die Verarbeitung ein Verzeichnis der bei ihm stattfindenden Verarbeitungstätigkeiten im Sinne des Art. 30 DS-GVO. Er stellt auf An- forderung dem Auftraggeber die für die Übersicht nach Art. 30 DS-GVO notwendigen Angaben zur Verfügung. Des Weiteren stellt er das Verzeichnis auf Anfrage der Auf- sichtsbehörde zur Verfügung.

(5) Der Auftragnehmer unterstützt den Auftraggeber bei der Datenschutzfolgenab- schätzung mit allen ihm zur Verfügung stehenden Informationen. Im Falle der Notwen- digkeit einer vorherigen Konsultation der zuständigen Aufsichtsbehörde unterstützt der Auftragnehmer den Auftraggeber auch hierbei.

(6) Die Wahrung der Vertraulichkeit der Kommunikation nach § 3 TTDSG muss vom Auftragnehmer gewährleistet werden. Dazu muss der Auftragnehmer alle Perso- nen, die auftragsgemäß auf Daten des Auftraggebers mittels Mitteln der Telekommu- nikation wie Telefon oder E-Mail zugreifen können, auf das Fernmeldegeheimnis ver- pflichten und über die sich daraus ergebenden besonderen Geheimhaltungspflichten belehren.

(7) Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Informationssicherheitsmaßnah- men des Auftraggebers vertraulich zu behandeln.

(8) Weiterhin sind alle Personen des Auftragnehmers bzgl. der Pflichten zur Wah- rung von Geschäfts- und Betriebsgeheimnissen des Auftraggebers zu verpflichten und müssen auf § 23 GeschGehG hingewiesen werden.

(9) Als Datenschutzbeauftragter ist beim Auftragnehmer derzeit [Name, Kontakt- daten] benannt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber un- verzüglich schriftlich mitzuteilen. Der Auftragnehmer gewährleistet, dass die Anforde- rungen an den Datenschutzbeauftragten und seine Tätigkeit gemäß Art. 38 DS-GVO

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite8 von30

[Seite 9]

erfüllt werden. Sofern kein Datenschutzbeauftragter beim Auftragnehmer benannt ist, benennt der Auftragnehmer dem Auftraggeber einen Ansprechpartner.

(10) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich bei Verstößen des Auftragnehmers oder der bei ihm im Rahmen des Auftrags beschäftigten Perso- nen gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder der im Vertrag getroffenen Festlegungen. Er trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die Be- troffenen und spricht sich hierzu unverzüglich mit dem Auftraggeber ab. Der Auftrag- nehmer unterstützt den Auftraggeber bei der Erfüllung der Informationspflichten ge- genüber der jeweils zuständigen Aufsichtsbehörde bzw. den von einer Verletzung des Schutzes personenbezogener Daten Betroffenen nach Art. 33, 34 DS-GVO.

(11) Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichti- gung oder Löschung seiner Daten wenden sollte, wird der Auftragnehmer dieses Er- suchen unverzüglich an den Auftraggeber weiterleiten.

(12) Überlassene Datenträger sowie sämtliche hiervon gefertigten Kopien oder Re- produktionen verbleiben im Eigentum des Auftraggebers. Der Auftragnehmer hat diese sorgfältig zu verwahren, sodass sie Dritten nicht zugänglich sind. Der Auftragnehmer ist verpflichtet, dem Auftraggeber jederzeit Auskünfte zu erteilen, soweit seine Daten und Unterlagen betroffen sind.

(13) Ist der Auftraggeber aufgrund geltender Datenschutzgesetze gegenüber einer betroffenen Person verpflichtet, Auskünfte zur Verarbeitung von Daten dieser Person zu geben, wird der Auftragnehmer den Auftraggeber dabei unterstützen, diese Infor- mationen bereitzustellen, vorausgesetzt der Auftraggeber hat den Auftragnehmer hierzu schriftlich aufgefordert.

(14) Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde bei dem Auftragnehmer ermittelt.

(15) Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

(16) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in die- sem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Ho- heit und das Eigentum an den Daten ausschließlich beim Auftraggeber als Verantwort- lichem im Sinne der DS-GVO liegen.

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite9 von30

[Seite 10]

(17) Der Auftragnehmer verwendet die überlassenen Daten für keine anderen Zwe- cke als die der Vertragserfüllung und setzt auch keine Mittel zur Verarbeitung ein, die nicht vom Auftraggeber zuvor genehmigt wurden.

(18) Der Auftragnehmer speichert keine Patientendaten auf Systemen, die außer- halb der Verfügungsgewalt des Auftraggebers liegen bzw. die nicht dem Beschlagnah- meschutz unterliegen.

(19) Sofern der Auftragnehmer durch das Recht der Union oder Mitgliedstaaten ver- pflichtet ist, die Daten auch auf andere Weise zu verarbeiten, so teilt der Auftragneh- mer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit. Die Mitteilung hat zu unterbleiben, wenn das einschlägige nationale Recht eine solche Mit- teilung aufgrund eines wichtigen öffentlichen Interesses verbietet.

(20) Die Erfüllung der vorgenannten Pflichten ist vom Auftragnehmer zu kontrollie- ren, zu dokumentieren und in geeigneter Weise gegenüber dem Auftraggeber auf An- forderung nachzuweisen

§ 8 Vereinbarung zur Wahrung des Berufsgeheimnisses nach § 203 StGB

(1) Im Rahmen dieses Auftrages werden auch Daten verarbeitet, die unter ein Be- rufsgeheimnis (im Sinne von § 203 StGB) fallen.

Der Auftragnehmer verpflichtet sich, über Berufsgeheimnisse Stillschweigen zu be- wahren und sich nur insoweit Kenntnis von diesen Daten zu verschaffen, wie dies zur Erfüllung der ihm zugewiesenen Aufgaben erforderlich ist.

Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich Personen, die an der beruflichen Tätigkeit eines Berufsgeheimnisträgers mitwirken und unbefugt ein frem- des Geheimnis offenbaren, das ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt geworden ist, strafbar machen nach§ 203 Abs. 4 S. 1 StGB.

Zudem macht sich eine mitwirkende Person nach § 203 Abs. 4 S. 2 StGB strafbar, sollte sie sich einer weiteren mitwirkenden Person bedienen, die ihrerseits unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewor- denes Geheimnis offenbart, und nicht dafür Sorge getragen hat, dass diese zur Ge- heimhaltung verpflichtet wurde.

(2) Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung von dem Berufs- geheimnis unterliegenden Daten des Auftraggebers befassten Beschäftigten und an- dere für den Auftragnehmer tätigen Personen (z. B. Subunternehmer), die damit be- fasst sind, sich in Textform dazu verpflichtet haben, die ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenen Berufsgeheimnisse nicht unbefugt zu offenbaren und sie über die mögliche Strafbarkeit nach § 203 Abs. 4 StGB belehrt wurden.

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite10 von30

[Seite 11]

Alternative 1:

(3) Der Einsatz von Unterauftragnehmern zur Verarbeitung der Daten des Auftrag- gebers ist nicht gestattet.

Oder Alternative 2:

(3) Der Auftragnehmer ist berechtigt, Unterauftragnehmer zur Vertragserfüllung heranzuziehen. Im Ausland dürfen Unterauftragnehmer zur Vertragserfüllung nur dann herangezogen werden, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist.

Der Auftragnehmer wird etwaige Unterauftragnehmer sorgfältig auswählen und diese, soweit sie im Rahmen ihrer Tätigkeit Kenntnis von fremden Geheimnissen im Sinne dieser Vereinbarung erlangen könnten, zur Geheimhaltung verpflichten. Der Auftrag- nehmer wird ferner etwaige Unterauftragnehmer dazu verpflichten, sämtliche von die- sen eingesetzten Personen und etwaige weitere Unterauftragnehmer, die bestim- mungsgemäß mit Geheimnisschutzdaten in Berührung kommen oder bei denen dies nicht auszuschließen ist, nach den zuvor genannten Grundsätzen zur Verschwiegen- heit zu verpflichten und über die Folgen einer Pflichtverletzung zu belehren.

Des Weiteren werden Subunternehmer, über das bestehende Schweigerecht gemäß § 53a StPO sowie den Beschlagnahmeschutz gemäß § 97 StPO informiert; dies bein- haltet auch den Hinweis bzgl. des Rechts des Berufsgeheimnisträgers, über dieses Recht zu entscheiden und der damit verbundenen Pflicht des Auftragnehmers, unver- züglich den Auftraggeber bzgl. der Wahrnehmung dieser Rechte zu kontaktieren.

Diese Verpflichtung gilt für sämtliche weitere Unterbeauftragungen.

(4) Der Auftragnehmer wird darauf hingewiesen, dass Daten, die er im Auftrag ei- nes Berufsgeheimnisträgers verarbeitet u. U. dem Zeugnisverweigerungsrecht von so- genannten mitwirkenden Personen unterliegen (§ 53a Strafprozessordnung (StPO)). Entsprechend § 53a StPO entscheidet jedoch der Berufsgeheimnisträger über die Ausübung des Schweigerechts. Im Falle einer Befragung wird der Auftragnehmer un- ter Hinweis auf § 53a StPO dieser widersprechen und unverzüglich den Auftraggeber informieren, der daraufhin bzgl. der Wahrnehmung des Schweigerechts entscheidet.

(5) Der Auftragnehmer wird darauf hingewiesen, dass die in seinem Gewahrsam befindlichen Geheimnisschutzdaten dem Beschlagnahmeverbot gemäß § 97 Abs. 2 StPO unterliegen. Die Daten dürfen nicht ohne das Einverständnis des Auftraggebers (Berufsgeheimnisträger) herausgegeben werden. Im Falle einer Beschlagnahme wird der Auftragnehmer dieser widersprechen und unverzüglich den Auftraggeber informie- ren.

[OPTIONAL] § 9 Fernzugriff bei Prüfung/Wartung eines Systems oder anderen Dienstleistungen über Fernzugriffe

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite11 von30

[Seite 12]

Für die Durchführung von Fernzugriffen bei der Prüfung und/oder Wartung automati- sierter Verfahren oder von Datenverarbeitungsanlagen oder bei Fernzugriffen für an- dere Dienstleistungen gelten ergänzend folgende Rechte/Pflichten des Auftragge- bers/Auftragnehmers:

(1) Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten an Arbeits- platzsystemen werden erst nach Freigabe durch den jeweiligen Berechtigten / zustän- digen Mitarbeiter des Auftraggebers durchgeführt.

(2) Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten von auto- matisierten Verfahren oder von Datenverarbeitungsanlagen werden, sofern hierbei ein Zugriff auf personenbezogene Daten nicht sicher ausgeschlossen werden kann, aus- schließlich mit Zustimmung des Auftraggebers ausgeführt.

(3) Die Mitarbeiter des Auftragnehmers verwenden angemessene Identifizierungs- und Verschlüsselungsverfahren.

(4) Vor Durchführung von Fernzugriffen werden sich Auftraggeber und Auftragneh- mer über etwaig notwendige Datensicherheitsmaßnahmen in ihren jeweiligen Verant- wortungsbereichen verständigen.

(5) Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten werden do- kumentiert und protokolliert. Der Auftraggeber ist berechtigt, Prüfungs- und Wartungs- arbeiten vor, bei und nach Durchführung zu kontrollieren. Bei Fernzugriffen ist der Auf- traggeber - soweit technisch möglich - berechtigt, diese von einem Kontrollbildschirm aus zu verfolgen und jederzeit abzubrechen.

(6) Der Auftragnehmer wird von den ihm eingeräumten Zugriffsrechten auf automa- tisierte Verfahren oder von Datenverarbeitungsanlagen (insb. IT-Systeme, Anwendun- gen) des Auftraggebers nur in dem Umfang - auch in zeitlicher Hinsicht - Gebrauch machen, wie dies für die ordnungsgemäße Durchführung der beauftragten Wartungs- und Prüfungsarbeiten notwendig ist.

(7) Soweit bei der Leistungserbringung Tätigkeiten zur Fehleranalyse erforderlich sind, bei denen eine Kenntnisnahme (z. B. auch lesender Zugriff) oder ein Zugriff auf Wirkdaten (Produktions-/Echtdaten) des Auftraggebers notwendig ist, wird der Auftrag- nehmer die vorherige Einwilligung des Auftraggebers einholen.

(8) Tätigkeiten zur Fehleranalyse, bei denen ein Datenabzug der Wirkbetriebsda- ten erforderlich ist, bedürfen der vorherigen Einwilligung des Auftraggebers. Bei Da- tenabzug der Wirkbetriebsdaten wird der Auftragnehmer diese Kopien, unabhängig vom verwendeten Medium, nach Bereinigung des Fehlers löschen. Wirkdaten dürfen nur zum Zweck der Fehleranalyse und ausschließlich auf dem bereitgestellten Equipment des Auftraggebers oder auf solchem des Auftragnehmers verwendet wer- den, sofern die vorherige Einwilligung des Auftraggebers vorliegt. Wirkdaten dürfen nicht ohne Zustimmung des Auftraggebers auf mobile Speichermedien (PDAs, USB- Speichersticks oder ähnliche Geräte) kopiert werden.

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite12 von30

[Seite 13]

(9) Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten sowie sämt- liche in diesem Zusammenhang erforderlichen Tätigkeiten, insbesondere Tätigkeiten wie Löschen, Datentransfer oder eine Fehleranalyse, werden unter Berücksichtigung von technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten durchgeführt. In diesem Zusammenhang wird der Auftragnehmer die techni- schen und organisatorischen Maßnahmen wie im Anhang beschrieben ergreifen.

§ 10 Pflichten des Auftraggebers

(1) Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wah- rung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich. Der Auf- traggeber wird in seinem Verantwortungsbereich dafür Sorge tragen, dass die gesetz- lich notwendigen Voraussetzungen (z. B. durch Einholung von Einwilligungserklärun- gen für die Verarbeitung der Daten) geschaffen werden, damit der Auftragnehmer die vereinbarten Leistungen rechtsverletzungsfrei erbringen kann.

(2) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu infor- mieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßig- keiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.

(3) Der Auftraggeber ist hinsichtlich der vom Auftragnehmer eingesetzten und vom Auftraggeber genehmigten Verfahren zur automatisierten Verarbeitung personenbe- zogener Daten datenschutzrechtlich verantwortlich und hat – neben der eigenen Ver- pflichtung des Auftragnehmers – ebenfalls die Pflicht zur Führung eines Verzeichnis- ses von Verarbeitungstätigkeiten.

(4) Dem Auftraggeber obliegen die aus Artt. 33, 34 DS-GVO resultierenden Infor- mationspflichten gegenüber der Aufsichtsbehörde bzw. den von einer Verletzung des Schutzes personenbezogener Daten Betroffenen.

(5) Der Auftraggeber legt die Maßnahmen zur Rückgabe der überlassenen Daten- träger und/oder Löschung der gespeicherten Daten nach Beendigung des Auftrages vertraglich oder durch Weisung fest.

(6) Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses er- langten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln.

(7) Weiterhin sind alle Personen des Auftraggebers bzgl. der Pflichten zur Wahrung von Geschäfts- und Betriebsgeheimnissen des Auftragnehmers zu verpflichten und müssen auf § 23 GeschGehG hingewiesen werden.

(8) Der Auftraggeber stellt sicher, dass die aus Art. 32 DS-GVO resultierenden An- forderungen bzgl. der Sicherheit der Verarbeitung seinerseits eingehalten werden. Ins- besondere gilt dies für Fernzugriffe des Auftragnehmers auf die Datenbestände des Auftraggebers.

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite13 von30

[Seite 14]

§ 11 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat den Auftragnehmer unter dem Aspekt ausgewählt, dass dieser hinreichende Garantien dafür bietet, geeignete technische und organisatorische Maßnahmen so durchzuführen, dass die Verarbeitung im Einklang mit den Anforde- rungen der DS-GVO erfolgt und den Schutz der Rechte der betroffenen Person ge- währleistet. Er dokumentiert das Ergebnis seiner Auswahl.

Hierfür kann er beispielsweise

(cid:0) datenschutzspezifische Zertifizierungen oder Datenschutzsiegel und –prüfzei- chen berücksichtigen,

(cid:0) schriftliche Selbstauskünfte des Auftragnehmers einholen,

(cid:0) sich ein Testat eines Sachverständigen vorlegen lassen oder

(cid:0) sich nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten ohne Stö- rung des Betriebsablaufs persönlich oder durch einen sachkundigen Dritten, der nicht in einem Wettbewerbsverhältnis zum Auftragnehmer stehen darf, von der Einhaltung der vereinbarten Regelungen überzeugen.

(2) Liegt ein Verstoß des Auftragnehmers oder der bei ihm im Rahmen des Auftrags beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder der im Vertrag getroffenen Festlegungen vor, so kann eine darauf bezogene Prüfung auch ohne rechtzeitige Anmeldung vorgenommen werden. Eine Störung des Betriebsablaufs beim Auftragnehmer sollte auch hierbei weitestge- hend vermieden werden.

(3) Die Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen durch den Auftraggeber im Hinblick auf die Vertragsausführung bzw. -erfüllung, insbeson- dere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags wird vom Auftragnehmer unterstützt. Insbesondere ver- pflichtet sich der Auftragnehmer, dem Auftraggeber auf schriftliche Anforderung inner- halb einer angemessenen Frist alle Auskünfte zu geben, die zur Durchführung einer Kontrolle erforderlich sind.

(4) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu infor- mieren, wenn er bei der Prüfung Fehler oder Unregelmäßigkeiten bzgl. datenschutz- rechtlicher Bestimmungen feststellt.

§ 12 Berichtigung, Beschränkung von Verarbeitung, Löschung und Rückgabe von Datenträgern

(1) Während der laufenden Beauftragung berichtigt, löscht oder sperrt der Auftrag- nehmer die vertragsgegenständlichen Daten nur auf Anweisung des Auftraggebers.

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite14 von30

[Seite 15]

(2) Sofern eine Vernichtung während der laufenden Beauftragung vorzunehmen ist, übernimmt der Auftragnehmer die nachweislich datenschutzkonforme Vernichtung von Datenträgern und sonstiger Materialien nur aufgrund entsprechender Einzelbeauf- tragung durch den Auftraggeber. Dies gilt nicht, sofern im Haupt-Vertrag bereits eine entsprechende Regelung getroffen worden ist.

(3) In besonderen, vom Auftraggeber zu bestimmenden Fällen, erfolgt eine Aufbe- wahrung bzw. Übergabe.

(4) Nach Abschluss der vertraglichen Arbeiten – oder früher nach Aufforderung durch den Auftraggeber – hat der Auftragnehmer

a. sämtliche im Rahmen des Auftrags in seinen Besitz gelangte Unterlagen oder Datenträger,

b. erstellte Verarbeitungsergebnisse,

c. Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen

dem Auftraggeber auszuhändigen oder auf Anweisung des Auftraggebers daten- schutzkonform zu löschen bzw. zu vernichten, sofern keine gesetzliche Pflicht zur Auf- bewahrung besteht. Das Protokoll der Löschung ist auf Anforderung vorzulegen.

(5) Sofern zusätzliche Kosten durch abweichende Vorgaben bei der Herausgabe oder Löschung der Daten entstehen, bedarf es einer vorherigen schriftlichen Verein- barung über die Kostentragung.

(6) Soweit ein Transport des Speichermediums vor Löschung unverzichtbar ist, wird der Auftragnehmer angemessene Maßnahmen zu dessen Schutz, insbesondere gegen Entwendung, unbefugtes Lesen, Kopieren oder Verändern, treffen. Die Maß- nahmen und die anzuwendenden Löschverfahren werden bei Bedarf ergänzend zu den Leistungsbeschreibungen konkretisierend vereinbart.

(7) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Da- tenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

(8) Der Auftraggeber kann jederzeit, d. h. sowohl während der Laufzeit als auch nach Beendigung des Vertrages, die Berichtigung, Löschung, Verarbeitungsein- schränkung (Sperrung) und Herausgabe von Daten durch den Auftragnehmer verlan- gen, solange der Auftragnehmer die Möglichkeit hat, diesem Verlangen zu entspre- chen.

(9) Der Auftragnehmer berichtigt, löscht oder sperrt die vertragsgegenständlichen Daten, wenn der Auftraggeber dies anweist. Die datenschutzkonforme Vernichtung von Datenträgern und sonstigen Materialien übernimmt der Auftragnehmer aufgrund

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite15 von30

[Seite 16]

einer Einzelbeauftragung durch den Auftraggeber, sofern nicht im Vertrag anders ver- einbart. In besonderen, vom Auftraggeber zu bestimmenden Fällen, erfolgt eine Auf- bewahrung bzw. Übergabe. Soweit ein Betroffener sich unmittelbar an den Auftrag- nehmer zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird der Auf- tragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

(10) Sollte dem Auftraggeber eine Rücknahme der Daten nicht möglich sein, wird er den Auftragnehmer rechtzeitig schriftlich informieren. Der Auftragnehmer ist dann be- rechtigt, personenbezogene Daten im Auftrag des Auftraggebers zu löschen.

(11) Im Falle von Test- und Ausschussmaterialien ist eine Einzelbeauftragung bzgl. einer Löschung nicht erforderlich, diese müssen gelöscht werden.

§ 13 Unterauftragnehmer

(1) Eine Weitergabe von Aufträgen der im Hauptvertrag vereinbarten Tätigkeiten an Unterauftragsnehmer durch den Auftragnehmer erfolgt grundsätzlich nicht. Der Auf- tragnehmer nimmt keinen Unterauftragnehmer ohne vorherige explizite schriftliche oder allgemeine schriftliche Genehmigung des Auftraggebers in Anspruch. Dies gilt in gleicher Weise für den Fall, dass weitere Unterauftrags-verhältnisse durch Unterauf- tragnehmer begründet werden. Der Auftragnehmer stellt sicher, dass eine entspre- chende Genehmigung des Auftragsgebers für alle im Zusammenhang mit der vertrags- gegenständlichen Verarbeitung eingesetzten weiteren Unterauftragnehmer vorliegt.

(2) Die nachfolgenden Regelungen finden sowohl für den Unterauftragnehmer als auch für alle in der Folge eingesetzten weiteren Unterauftragnehmer entsprechende Anwendung.

(3) Im Fall einer allgemeinen schriftlichen Genehmigung informiert der Auftragneh- mer den Auftraggeber immer über jede beabsichtigte Änderung in Bezug auf die Hin- zuziehung oder die Ersetzung von Unterauftragnehmern, wodurch der Auftraggeber die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben. Verweigert der Auftraggeber durch seinen Einspruch die Zustimmung aus anderen als aus wich- tigen Gründen, kann der Auftragnehmer den Vertrag zum Zeitpunkt des geplanten Ein- satzes des Unterauftragnehmers kündigen.

(4) Der Auftraggeber ist damit einverstanden, dass der Auftragnehmer zur Erfüllung seiner vertraglich vereinbarten Leistungen verbundene Unternehmen des Auftragneh- mers zur Leistungserfüllung heranzieht. Hierbei muss jedoch jeder Unterauftragneh- mer (verbundenes Unternehmen) vor Beauftragung dem Auftraggeber schriftlich an- gezeigt werden, sodass der Auftraggeber bei Vorliegen wichtiger Gründe die Beauf- tragung untersagen kann.

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite16 von30

[Seite 17]

(5) Zum Zeitpunkt des Abschlusses dieser Vereinbarung sind die in der Anlage 1 aufgeführten Unternehmen als Unterauftragnehmer für Teilleistungen für den Auftrag- nehmer tätig und verarbeiten und/oder nutzen in diesem Zusammenhang auch unmit- telbar die Daten des Auftraggebers. Für diese Unterauftragnehmer gilt die Einwilligung für das Tätigwerden als erteilt. Anlage 1 ist ebenfalls fester Bestandteil des Vertrages.

(6) Der Auftragnehmer muss Unterauftragnehmer unter besonderer Berücksichti- gung der Eignung hinsichtlich der Erfüllung der zwischen Auftraggeber und Auftrag- nehmer vereinbarten technischen und organisatorischen Maßnahmen gewissenhaft auswählen.

(7) Ist der Auftragnehmer im Sinne dieser Vereinbarung befugt, die Dienste eines Unterauftragnehmers in Anspruch zu nehmen, um bestimmte Verarbeitungstätigkeiten im Namen des Auftraggebers auszuführen, so werden diesem Unterauftragnehmer im Wege eines Vertrags dieselben Pflichten auferlegt, die in dieser Vereinbarung zwi- schen dem Auftraggeber und dem Auftragnehmer festgelegt sind, insbesondere hin- sichtlich der Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit zwi- schen den Vertragspartnern dieses Vertrages sowie den in diesem AV-Vertrag be- schriebenen Kontroll- und Überprüfungsrechten des Auftraggebers. Hierbei müssen ferner hinreichend Garantien dafür geboten werden, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen der DS-GVO erfolgt.

(8) Durch schriftliche Aufforderung ist der Auftraggeber berechtigt, vom Auftrag- nehmer Auskunft über die datenschutzrelevanten Verpflichtungen des Unterauftrag- nehmers zu erhalten, erforderlichenfalls auch durch Einsicht in die relevanten Ver- tragsunterlagen.

(9) Ein zustimmungspflichtiges Unterauftragnehmerverhältnis liegt nicht vor, wenn der Auftragnehmer Dritte im Rahmen einer Nebenleistung zur Hauptleistung beauf- tragt, wie beispielsweise bei Personal-, Post- und Versanddienstleistungen.

Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Auftraggebers auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen. Die Nebenleistungen sind vorab detailliert zu benen- nen.

(10) Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haf- tet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes Unterauftragnehmers.

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite17 von30

[Seite 18]

§ 14 Zurückbehaltungsrecht

Die Einrede des Zurückbehaltungsrechts, gleich aus welchem Rechtsgrund, an den vertragsgegenständlichen Daten sowie an evtl. vorhandenen Datenträgern wird aus- geschlossen.

§ 15 Haftung

(1) Auftraggeber und Auftragnehmer haften für den Schaden, der durch eine nicht der DS-GVO entsprechende Verarbeitung verursacht wird gemeinsam im Außenver- hältnis gegenüber der jeweiligen betroffenen Person.

(2) Der Auftragnehmer haftet ausschließlich für Schäden, die auf einer von ihm durchgeführten Verarbeitung beruhen, bei der

a. er den aus der DS-GVO resultierenden und speziell für Auftragsverarbeiter auf- erlegten Pflichten nicht nachgekommen ist oder

b. er unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Auftragge- bers handelte oder

c. er gegen die rechtmäßig erteilten Anweisungen des Auftraggebers gehandelt hat.

(3) Soweit der Auftraggeber zum Schadensersatz gegenüber dem Betroffenen ver- pflichtet ist, bleibt ihm der Rückgriff auf den Auftragnehmer vorbehalten.

(4) Im Innenverhältnis zwischen Auftraggeber und Auftragnehmer haftet der Auf- tragnehmer für den durch eine Verarbeitung verursachten Schaden jedoch nur, wenn er

a. seinen ihm speziell durch die DS-GVO auferlegten Pflichten nicht nachgekom- men ist oder

b. unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Auftraggebers oder gegen diese Anweisungen gehandelt hat.

(5) Weitergehende Haftungsansprüche nach den allgemeinen Gesetzen bleiben unberührt.

§ 16 Schriftformklausel

Mündliche Nebenabreden sind nicht getroffen worden. Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile – einschließlich etwaiger Zusicherun- gen des Auftragnehmers – bedürfen einer schriftlichen Vereinbarung und des aus- drücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite18 von30

[Seite 19]

Regelungen handelt. Das Schriftformerfordernis gilt auch für den Verzicht auf dieses Formerfordernis.

Im Falle eines etwaigen Widerspruchs zwischen dem Vertrag und den Anlagen, gehen die Regelungen des Vertrages den Regelungen der Anlagen vor.

§ 17 Salvatorische Klausel

(1) Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen der Gesetzge- bung nach Vertragsabschluss unwirksam oder undurchführbar werden, bleiben die üb- rigen Vertragsbestimmungen und die Wirksamkeit des Vertrages im Ganzen hiervon unberührt.

(2) An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichti- gen Bestimmung möglichst nahekommt.

(3) Erweist sich der Vertrag als lückenhaft, gelten die Bestimmungen als vereinbart, die dem Sinn und Zweck des Vertrages entsprechen und im Falle des Bedachtwerdens vereinbart worden wären.

(4) Existieren mehrere wirksame und durchführbare Bestimmungen, welche die un- ter § 17 Abs. 1 genannte unwirksame Regelung ersetzen können, so muss die Bestim- mung gewählt werden, welche den Schutz der personenbezogenen Daten im Sinne dieses Vertrages am besten gewährleistet.

§ 18 Rechtswahl, Gerichtsstand

(1) Es gilt ausschließlich deutsches Recht.

(2) Gerichtsstand ist Göttingen.

Anlagen:

Anlage 1: Unterauftragsverhältnis beim Auftragnehmer zum Zeitpunkt der Auftragsvergabe

Anlage 2: Nachweis der allgemeinen technischen und organisatorischen Maßnahmen.

Anlage 3: verbundene Unternehmen

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite19 von30

[Seite 20]

Unterschrift(en) Auftraggeber: Unterschrift(en) Auftragnehmer:

Ort, Datum _________________________ Ort, Datum [Außerhalb KLINISCHER STUDIEN]

Prof. Dr. Wolfgang Brück ___________________ Vorstand Forschung und Lehre

Prof. Dr. Lorenz Trümper Vorstand Krankenversorgung ___________________

Jens Finke Vorstand Wirtschaftsführung und Ad- ministration ___________________

[In KLINISCHEN STUDIEN]

i.V. Ralf Tostmann Leitung Studienzentrum UMG

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite20 von30

[Seite 21]

Anlage 1 zum AV-Vertrag: Unterauftragsverhältnis beim Auftragnehmer zum Zeit- punkt der Auftragsvergabe

Name und Anschrift des Unterauftragnehmers Beschreibung der Teilleistungen Ort der Leistungserbringung

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite21 von30

[Seite 22]

Anlage 2 zum AV-Vertrag: Nachweis der allgemeinen technischen und organisatori- schen Maßnahmen

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite22 von30

[Seite 23]

Anlage 3: verbundene Unternehmen

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite23 von30

[Seite 24]

Vertraulichkeitserklärung zur Verpflichtung des eingesetzten Perso- nals:

(Name der verantwortlichen Stelle)

(Name des Mitarbeiters) (Geburtsdatum)

Gemäß nachstehend geltenden rechtlichen Vorgaben müssen bestimmte Arten von Daten vertraulich verarbeitet werden. Daher ist es Ihnen nur gestattet, personenbezo- gene Daten in dem Umfang und in der Weise zu verarbeiten, wie es zur Erfüllung der Ihnen übertragenen Aufgaben erforderlich ist.

Verpflichtung zur Einhaltung der datenschutzrechtlichen Anforderungen der DS- GVO (eigene Beschäftigte, Art. 5 DS-GVO bzw. Auftragnehmer, Art. 28 Abs. 3b DS- GVO)

Die Verarbeitung personenbezogener Daten unterliegt gesetzlichen Vorgaben aus der EU-Datenschutz-Grundverordnung, dem Bundesdatenschutzgesetz und ggf. weiteren Gesetzen. Personenbezogene Daten dürfen daher von mir nur zweckgebunden im Rahmen meiner arbeitsvertraglichen Aufgabenerfüllung verwendet und genutzt wer- den.

Personenbezogene Daten darf ich nur verwenden, soweit dies für die konkrete Aufga- benerfüllung erforderlich ist und ich muss dabei auch für die Richtigkeit der Daten Sorge tragen.

Mir bekanntgegebene interne Vorgaben für Schutzmaßnahmen für personenbezo- gene Daten sowie für die Archivierung und Löschung solcher Daten beachte ich.

Bei der Verarbeitung personenbezogener Daten im Auftrag beachte ich entsprechend der Vorgaben meines Arbeitgebers die dokumentierten datenschutzrechtlichen Wei- sungen der Auftraggeber. Wenn ich Zweifel habe, dass eine solche datenschutzrecht- liche Weisung gegen rechtliche oder vertragliche Vorgaben verstößt, informiere ich meine Führungskraft.

Für Rückfragen zu internen Vorgaben und Regelwerken kann ich mich an meine Füh- rungskraft und den Datenschutzbeauftragten (soweit benannt) wenden.

Ich verpflichte mich Unbefugten gegenüber zur Verschwiegenheit und wahre die Ver- traulichkeit der mir anvertrauten Informationen.

Mir ist bekannt, dass Verstöße gegen Datenschutzvorschriften mit Geldbuße, Geld- strafe oder Freiheitsstrafe geahndet werden können. Entsteht der betroffenen Person durch die unzulässige Verarbeitung ihrer personenbezogenen Daten ein materieller oder immaterieller Schaden, kann ein Schadenersatzanspruch entstehen.

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite24 von30

[Seite 25]

Ich verpflichte mich, diese Grundsätze einzuhalten und weiß, dass Verstöße mit ar- beitsrechtlichen Konsequenzen geahndet werden können. Diese Verpflichtung gilt auch über das Bestehen des Beschäftigungsverhältnisses hinaus.

Verpflichtung zur Wahrung von Geschäftsgeheimnissen

Über Angelegenheiten des Unternehmens, die beispielsweise Einzelheiten seiner Or- ganisation und seiner Einrichtung betreffen, sowie über Geschäftsvorgänge und Zah- len des internen Rechnungswesens, ist – auch nach Beendigung des Arbeitsverhält- nisses – von mir Verschwiegenheit zu wahren, sofern sie nicht allgemein öffentlich bekannt geworden sind. Hierunter fallen auch Vorgänge von Drittunternehmen, mit de- nen ich dienstlich befasst bin. Auf die gesetzlichen Bestimmungen über unlauteren Wettbewerb wurde ich besonders hingewiesen.

Alle, die dienstliche Tätigkeiten betreffenden Aufzeichnungen, Abschriften, Geschäfts- unterlagen, Ablichtungen dienstlicher oder geschäftlicher Vorgänge, die mir überlas- sen oder von mir angefertigt werden, sind vor Einsichtnahme Unbefugter zu schützen.

Verpflichtung auf das Sozialgeheimnis

Im Rahmen meiner Tätigkeit komme ich möglicherweise mit personenbezogenen Da- ten in Kontakt, die dem Sozialgeheimnis nach § 35 SGB I unterliegen. Sofern Daten verarbeitet werden, die dem Sozialgeheimnis unterliegen, habe ich diese im gleichen Umfang geheim zu halten, wie die ursprünglich übermittelnde Stelle.

Verpflichtung auf die Vertraulichkeit der Kommunikation – Fernmeldegeheimnis

Aufgrund von § 3 TTDSG bin ich zur Wahrung des Fernmeldegeheimnisses verpflich- tet, soweit ich im Rahmen meiner Tätigkeit bei der Erbringung öffentlich zugänglicher oder geschäftsmäßiger Telekommunikationsdienste mitwirke. Dem Fernmeldege- heimnis unterliegen der Inhalt der Telekommunikation und ihre näheren Umstände, insbesondere die Tatsache, ob jemand an einem Telekommunikationsvorgang betei- ligt ist oder war.

Ich habe zur Kenntnis genommen, dass es mir nach § 3 Abs. (3) Satz 1 und 2 TTDSG untersagt ist, mir oder anderen über das für die Erbringung der Telekommunikations- dienste oder für den Betrieb ihrer Telekommunikationsnetze oder ihrer Telekommuni- kationsanlagen einschließlich des Schutzes ihrer technischen Systeme erforderliche Maß hinaus Kenntnis vom Inhalt oder von den näheren Umständen der Telekommu- nikation zu verschaffen, und ich darf die Kenntnisse über die zuvor genannten Tatsa- chen, die dem Fernmeldegeheimnis unterliegen, nur für den zuvor genannten Zweck verwenden.

Ort, Datum

(Unterschrift Verpflichteter) (Unterschrift Verpflichtender)

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite25 von30

[Seite 26]

Beispiele für Verpflichtungserklärungen nach § 203 StGB

Verpflichtungserklärung nach § 203 StGB (Einzelperson bzw. Mitarbeiterin- nen und Mitarbeiter)

Verpflichtung zur Verschwiegenheit nach § 203 Abs. 4 Strafgesetzbuch (StGB)

Anrede ______________ Vorname, Name_____________________________

Sie kommen bei Ausübung Ihrer Tätigkeit mit gesetzlich geschützten Geheimnissen von Berufsgeheimnisträgern in Berührung und können daher Kenntnis von solchen geschützten Geheimnissen erlangen.

Sie dürfen sich nur insoweit Kenntnis von fremden Geheimnissen verschaffen, als dies zur Erfüllung der Ihnen zugewiesenen Aufgaben erforderlich ist. Ferner sind Sie ver- pflichtet, über die Ihnen bei Ausübung oder bei Gelegenheit Ihrer Tätigkeit bekannt gewordenen Geheimnisse Stillschweigen zu bewahren und diese keinesfalls unbefugt Dritten zu offenbaren.

Sie werden darüber belehrt, dass Sie sich nach § 203 Absatz 4 Satz 1 Strafgesetzbuch (StGB) strafbar machen, wenn Sie unbefugt ein fremdes Geheimnis offenbaren, das Ihnen bei Ausübung oder bei Gelegenheit Ihrer Tätigkeit bekannt geworden ist. Ein Verstoß gegen § 203 Absatz 4 Satz 1 StGB wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.

Die Pflicht zur Verschwiegenheit besteht gegenüber jedermann, so auch gegenüber Familienangehörigen, gegenüber Arbeitskollegen, soweit eine Offenbarung nicht aus dienstlichen Gründen erforderlich ist, sowie auch gegenüber demjenigen, der von der betreffenden Tatsache bereits Kenntnis erlangt hat.

Die Pflicht zur Verschwiegenheit besteht auch nach Beendigung der dienstlichen Tä- tigkeit uneingeschränkt und zeitlich unbefristet fort.

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite26 von30

[Seite 27]

Darüber hinaus wird die Verwertung fremder Geheimnisse nach § 204 StGB mit Frei- heitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.

Sofern Sie autorisiert sind, in eigener Verantwortung dritte Personen außerhalb des Unternehmens (z. B. Subdienstleister) in die Durchführung der Tätigkeit einzubeziehen und diese im Rahmen ihrer Tätigkeit Kenntnis von fremden Geheimnissen erlangen können, haben Sie dafür Sorge zu tragen, dass auch diese Personen bzw. Subdienst- leister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Ver- schwiegenheit verpflichtet werden. Des Weiteren haben Sie dafür Sorge zu tragen, dass einer dieser Verpflichtungen entsprechenden Verpflichtung auch für etwaige Un- terbeauftragungen Gültigkeit haben.

Kommen Sie Ihrer Verantwortung zur Weitergabe der Geheimhaltungsverpflichtungen nicht nach, können Sie sich nach § 203 Absatz 4 Satz 2 Nr. 2 StGB strafbar machen, wenn dritte Personen außerhalb des Unternehmens (z. B. Subdienstleister), die Sie eingeschaltet haben, ein ihnen bei Ausübung oder bei Gelegenheit ihrer Tätigkeit be- kannt gewordenes Geheimnis unbefugt offenbaren.

Sie werden darauf hingewiesen, dass Ihnen im Hinblick auf Ihre Tätigkeit für den Be- rufsgeheimnisträger ein Zeugnisverweigerungsrecht nach § 53a Strafprozessordnung (StPO) zusteht. Über die Ausübung des Zeugnisverweigerungsrechts entscheidet der Berufsgeheimnisträger. Kann eine Entscheidung des Berufsgeheimnisträgers nicht in absehbarer Zeit herbeigeführt werden, empfiehlt es sich einen Rechtsbeistand hinzu- zuziehen.

Mit Ihrer Unterschrift bestätigen Sie zugleich den Empfang einer Kopie dieser Nieder- schrift nebst Anlage.

Ort, Datum: _________________________________

Vorname, Name Vorname, Name

(Verpflichteter) (Verpflichtender)

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite27 von30

[Seite 28]

Anlage:

§ 203 Verletzung von Privatgeheimnissen Strafgesetzbuch (StGB)
§ 204 Verwertung fremder Geheimnisse Strafgesetzbuch (StGB)
205 Strafantrag Strafgesetzbuch (StGB)
§ 53a Zeugnisverweigerungsrecht der mitwirkenden Personen Strafprozess- ordnung (StPO)
§ 97 Beschlagnahmeverbot Strafprozessordnung (StPO)

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite28 von30

[Seite 29]

Verpflichtungserklärung nach § 203 StGB (Unternehmen)

Verpflichtung zur Geheimhaltung von Berufsgeheimnissen nach § 203 StGB

Unternehmen:________________________________________________________

Ihre Mitarbeiter kommen bei der Ausübung ihrer Tätigkeit mit geheimnisgeschützten Daten von Berufsgeheimnisträgern in Berührung und können daher Kenntnis von sol- chen geschützten Geheimnissen erlangen.

Ihre Mitarbeiter dürfen sich nur insoweit Kenntnis von fremden Geheimnissen ver- schaffen, als dies zur Erfüllung der ihnen zugewiesenen Aufgaben erforderlich ist. Fer- ner sind Ihre Mitarbeiter verpflichtet, über die ihnen bei Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenen Geheimnisse Stillschweigen zu bewahren und diese keinesfalls unbefugt Dritten zugänglich zu machen.

Sie sind dazu verpflichtet, Ihre Mitarbeiter nach § 203 Absatz 4 Satz 1 Strafgesetzbuch (StGB) zu verpflichten. Ihre Mitarbeiter machen sich strafbar, wenn sie unbefugt ein fremdes Geheimnis offenbaren, das ihnen bei Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt geworden ist. Ein Verstoß gegen § 203 Absatz 4 Satz 1 StGB wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.

Die Pflicht zur Verschwiegenheit erstreckt sich nicht nur auf fremde Geheimnisse, son- dern auf alle Tatsachen, die Ihren Mitarbeitern in Ausübung oder aus Anlass ihrer Tä- tigkeit anvertraut oder bekannt werden.

Die Pflicht zur Verschwiegenheit besteht auch nach Beendigung der Beauftragung un- eingeschränkt und zeitlich unbefristet fort.

Darüber hinaus wird die Verwertung fremder Geheimnisse nach § 204 StGB mit Frei- heitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite29 von30

[Seite 30]

leister unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Ver- schwiegenheit verpflichtet werden. Des Weiteren haben Sie dafür Sorge zu tragen, dass diese Verpflichtungen auch für etwaige Unterbeauftragungen Gültigkeit haben.

Kommen Sie Ihrer Verantwortung zur Weitergabe der Geheimhaltungsverpflichtungen nicht nach, können Sie sich nach § 203 Absatz 4 Satz 2 Nr. 2 StGB strafbar machen, wenn dritte Personen außerhalb des Unternehmens (z. B. Subdienstleiter), die Sie eingeschaltet haben, ein ihnen bei Ausübung oder bei Gelegenheit ihrer Tätigkeit be- kannt gewordenes Geheimnis unbefugt offenbaren.

Wir weisen darauf hin, dass im Hinblick auf die Tätigkeit für den Berufsgeheimnisträger ein Zeugnisverweigerungsrecht nach § 53a Strafprozessordnung (StPO) besteht. Über das Zeugnisverweigerungsrecht entscheidet der Berufsgeheimnisträger. Kann eine Entscheidung des Berufsgeheimnisträgers nicht in absehbarer Zeit herbeigeführt wer- den, empfiehlt es sich, einen Rechtsbeistand hinzuzuziehen.

Ort, Datum: ____________________________________

Vorname, Name Vorname, Name

(Verpflichteter (Auftragnehmer)) (Verpflichtender (Auftraggeber))

Mit Ihrer Unterschrift bestätigen Sie zugleich den Empfang einer Kopie dieser Nieder- schrift nebst Anlage.

[ggf. Reg#/Az.] AVV ß1 (UMG/[Kurzbezeichnung AufN]) v1 Seite30 von30

MUSTER_Auftragsverarbeitungsvertrag_2025-09-24.pdf

Auftragsverarbeitungsvertrag