03_Vertragsentwurf - EVB_IT_Systemvertrag _ Anlage5.pdf

[Seite 1]

Anlage 5 zum EVB-IT Systemvertrag

Vereinbarung zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO i. V. m. § 80 SGB X

Vorbemerkung: Diese Vereinbarung ist Anlage 5 zum EVB-IT Systemvertrag vom [Datum] über die Erstellung, Pflege, Weiterentwicklung und den Systemservice der Fachsoftware für das Feststellungsverfahren nach dem Schwerbehindertenrecht (SGB IX) zwischen den Parteien (nachfolgend „Hauptvertrag"). Sie regelt die im Rahmen der Vertragsdurchführung erfolgende Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers und ist untrennbarer Bestandteil des Hauptvertrages (vgl. Nummer 1.3.1 des Hauptvertrages).

1. Gegenstand und Dauer der Vereinbarung

Der Auftrag umfasst die im Rahmen der Erbringung von Systemservice-, Pflege-, Weiterentwicklungs- und Supportleistungen nach dem Hauptvertrag erfolgende Verarbeitung personenbezogener Daten durch den Auftragnehmer, insbesondere im Zusammenhang mit:

– der Wiederherstellung der Betriebsbereitschaft* (Störungsbeseitigung) gemäß Nummer 5.1.1 des Hauptvertrages, – dem Teleservice* gemäß Nummer 18.4 des Hauptvertrages, – der Weiterentwicklung und Anpassung des Gesamtsystems nach der Abnahme gemäß Nummer 7.1 des Hauptvertrages, – sonstigen Pflege- und Systemserviceleistungen gemäß Nummer 5 des Hauptvertrages.

Der Auftragnehmer verarbeitet dabei personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO auf Grundlage dieses Vertrages.

Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Dauer des Auftrags: Diese Vereinbarung beginnt mit Wirksamwerden des Hauptvertrages und endet mit dessen Beendigung, gleich aus welchem Grund; sie teilt das rechtliche Schicksal des Hauptvertrages und kann nicht gesondert vom Hauptvertrag gekündigt werden.

Unbeschadet dessen kann der Auftraggeber diese Vereinbarung jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert.

[Seite 2]

2. Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen

Art und Zweck der Verarbeitung: Durchführung von Fernwartung, Störungsbeseitigung, Teleservice, Pflege und Weiterentwicklung der Fachsoftware für das Feststellungsverfahren nach dem Schwerbehindertenrecht gemäß Lastenheft (Anlage 3 zum Hauptvertrag).

Art der personenbezogenen Daten: Personenbezogene Daten aus dem Feststellungsverfahren nach dem Schwerbehindertenrecht (SGB IX), insbesondere Namen, Kontakt- und Adressdaten, Sozialdaten im Sinne des § 35 SGB I sowie Gesundheitsdaten im Sinne von Art. 4 Nr. 15, Art. 9 DSGVO (u. a. Angaben zu Art und Grad der Behinderung, ärztliche Befunde und Gutachten, Merkzeichen).

Kategorien betroffener Personen: Antragstellende und Inhaberinnen/Inhaber eines Schwerbehindertenausweises sowie deren gesetzliche Vertreter bzw. Bevollmächtigte; Bestand von rund 840.000 Fällen.

3. Rechte und Pflichten sowie Weisungsbefugnisse des Auftraggebers

Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DSGVO ist allein der Auftraggeber verantwortlich. Gleichwohl ist der Auftragnehmer verpflichtet, alle solche Anfragen, sofern sie erkennbar ausschließlich an den Auftraggeber gerichtet sind, unverzüglich an diesen weiterzuleiten.

Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam zwischen Auftraggeber und Auftragnehmer abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.

Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.

Der Auftraggeber ist berechtigt, sich vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sowie der in dieser Vereinbarung festgelegten Verpflichtungen zu überzeugen.

4. Weisungsberechtigte des Auftraggebers, Weisungsempfänger des Auftragnehmers

Weisungsberechtigte Personen des Auftraggebers sind die in Nummer 11.1 des Hauptvertrages benannten Personen (Projektmanager/Projektleiter des Auftraggebers).

Weisungsempfänger beim Auftragnehmer sind die in Nummer 11.1 und 11.2 des Hauptvertrages benannten Personen (Projektmanager/Projektleiter, Schlüsselpositionen des Auftragnehmers).

Für Weisungen zu nutzende Kommunikationskanäle ergeben sich aus den in Nummer 11.1 des Hauptvertrages hinterlegten Kontaktdaten. Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich die Nachfolger bzw. Vertreter mitzuteilen. Die Weisungen sind für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.

5. Pflichten des Auftragnehmers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen

[Seite 3]

Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Auftragnehmer verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate personenbezogener Daten werden ohne Wissen des Auftraggebers nicht erstellt.

Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO bekannt sind. Er verpflichtet sich, insbesondere das Sozialgeheimnis (§ 35 SGB I, §§ 67 ff. SGB X) zu wahren, namentlich die besondere Zweckbindung von Sozialdaten nach § 80 SGB X.

Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten eingesetzten Mitarbeitenden vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet.

Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt; er ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber nach Überprüfung bestätigt oder geändert wird.

Beim Auftragnehmer ist als Beauftragte(r) für den Datenschutz bestellt: [bei Vertragsschluss einzutragen]. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen.

Anfragen betroffener Personen sowie Angaben zur Mitwirkung bei Verzeichnissen von Verarbeitungstätigkeiten und Datenschutz-Folgenabschätzungen sind unverzüglich weiterzuleiten an die in Nummer 4 benannte Stelle des Auftraggebers.

6. Mitteilungspflichten bei Störungen der Verarbeitung und bei Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO. Der Auftragnehmer sichert zu, den Auftraggeber erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen. Meldungen nach Art. 33 oder 34 DSGVO für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung gemäß Nummer 4 dieser Vereinbarung durchführen.

7. Unterauftragsverhältnisse mit Subunternehmern

Klarstellung zu Dataport: Der vom Auftraggeber gesondert und unmittelbar beauftragte Hosting- Dienstleister (Dataport) ist nicht Unterauftragnehmer des Auftragnehmers im Sinne dieser Vereinbarung. Die datenschutzrechtliche Verantwortlichkeit für die Hosting-Infrastruktur ist Gegenstand einer eigenständigen Vereinbarung zwischen dem Auftraggeber und Dataport. Diese Vereinbarung betrifft ausschließlich die vom Auftragnehmer selbst im Rahmen seiner Leistungen nach dem Hauptvertrag vorgenommenen Zugriffe und Verarbeitungen (insbesondere Fernwartung, Störungsbeseitigung, Teleservice).

Die Beauftragung eigener Subunternehmer durch den Auftragnehmer zur Verarbeitung von Daten des Auftraggebers ist nur mit vorheriger Genehmigung des Auftraggebers gestattet (Art. 28 Abs. 2 DSGVO). Die Zustimmung kann nur erteilt werden, wenn der Auftragnehmer dem Auftraggeber Namen und Anschrift sowie die vorgesehene Tätigkeit des Subunternehmers mitteilt und dieser die Verpflichtungen nach Art. 28 Abs. 2 und 4 DSGVO vertraglich auferlegt bekommt.

[Seite 4]

Eine Beauftragung von Subunternehmern in Drittstaaten darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Derzeit für den Auftragnehmer beauftragte Subunternehmer: [bei Vertragsschluss einzutragen].

8. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Das Datenschutzkonzept mit den technischen und organisatorischen Maßnahmen des Auftragnehmers ist als Anlage zu dieser Vereinbarung beizufügen und orientiert sich an den Anforderungen des Lastenheftes (Anlage 3 zum Hauptvertrag).

Der Auftragnehmer hat bei gegebenem Anlass, mindestens aber jährlich, eine Überprüfung, Bewertung und Evaluation der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen. Das Ergebnis samt vollständigem Bericht ist dem Auftraggeber mitzuteilen.

Wesentliche Änderungen der Maßnahmen sind mit dem Auftraggeber in dokumentierter Form abzustimmen; die vereinbarten Standards dürfen dabei nicht unterschritten werden.

9. Verpflichtungen des Auftragnehmers nach Beendigung des Auftrags

Nach Beendigung des Hauptvertrages hat der Auftragnehmer sämtliche in seinen Besitz gelangten Daten, Unterlagen und Verarbeitungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen bzw. auf Weisung des Auftraggebers datenschutzgerecht zu löschen; die Löschung ist mit Datumsangabe schriftlich zu bestätigen. Ergänzend gilt die Exit-Regelung gemäß Nummer 18.2 des Hauptvertrages (Datenexport, Schnittstellendokumentation, Migrationsunterstützung).

10. Vergütung

Die Erfüllung dieser Vereinbarung wird nicht gesondert vergütet; sie ist mit der Vergütung nach dem Hauptvertrag abgegolten.

11. Haftung

Es wird auf Art. 82 DSGVO verwiesen. Im Übrigen gelten die Haftungsregelungen des Hauptvertrages (Nummer 16) entsprechend.

12. Vertragsstrafe

Auf eine gesonderte Vertragsstrafe für Verstöße gegen diese Vereinbarung wird verzichtet, da solche Verstöße zugleich Verstöße gegen den Hauptvertrag darstellen und den dortigen Regelungen zu Vertragsstrafen (Nummer 17 des Hauptvertrages) unterliegen.

13. Sonstiges

Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungsunterlagen sind von beiden Vertragspartnern für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.

Für Nebenabreden ist grundsätzlich die Schriftform oder ein dokumentiertes elektronisches Format erforderlich.

Sollte das Eigentum oder die zu verarbeitenden personenbezogenen Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter, durch ein Insolvenz- oder Vergleichsverfahren oder durch

[Seite 5]

sonstige Ereignisse gefährdet werden, hat der Auftragnehmer den Auftraggeber unverzüglich zu verständigen.

Die Einrede des Zurückbehaltungsrechts im Sinne von § 273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.

Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

Magdeburg, den ____________________

Auftraggeber Auftragnehmer