03.12_AVV Los 1.pdf

[Seite 1]

Vereinbarung zur Auftragsverarbeitung gem. Art. 28 DSGVO

von personenbezogenen Daten im Sinne von Art. 9 DSGVO

und zur Wahrung des Berufsgeheimnisses nach § 203 StGB

zwischen der

Labor Berlin – Charité Vivantes GmbH

Labor Berlin – Charité Vivantes Services GmbH

Sylter Straße 2, 13353 Berlin,

• Verantwortlicher - nachstehend Auftraggeber genannt -

und der

[der Bieter hat ausschließlich bei den gelb hervorgehobenen Feldern Angaben zu machen]

• Auftragsverarbeiter - nachstehend Auftragnehmer genannt

[ggf.: Vertreter gemäß Art. 27 DSGVO: ]

Präambel

Dieser Auftragsverarbeitungs-Vertrag (AV-Vertrag) konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der Vergabe der Maßnahme:

„Ausschreibung Urindiagnostik im Fachbereich Laboratoriumsmedizin“

mit all ihren Anlagen (im Folgenden zur Vereinfachung Hauptvertrag genannt) beschriebenen Auftragsverarbeitung ergeben.

Sämtliche in diesem Vertrag beschriebenen Verpflichtungen finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen Mitarbeiterinnen und Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen bzw. kommen könnten. Vergütungs- und Haftungsregelungen zu den einzelnen Leistungen des Auftragnehmers werden in dem dieser Vereinbarung zugrundeliegenden Hauptvertragsverhältnis vereinbart.

1. Definitionen

Es gelten die Begriffsbestimmungen entsprechend Art. 4 DSGVO, § 2 GeschGehG, § 2 TMG, Bundesdatenschutzgesetz (BDSG), Strafgesetzbuch (StGB) und Landesdatenschutzgesetz (BlnDSG). Sollten in den Artikeln bzw. Paragraphen sich widersprechende Darstellungen zu finden sein, gelten die Definitionen in der Rangfolge DSGVO, Landesrecht, Geschäftsgeheimnisgesetz und TMG. Weiterhin gelten folgende Begriffsbestimmungen:

(1) Anonymisierung Prozess, bei dem personenbezogene Daten entweder vom für die Verarbeitung der Daten Verantwortlichen allein oder in Zusammenarbeit mit einer anderen Partei unumkehrbar so

Seite 1 von 14

[Seite 2]

verändert werden, dass sich die betroffene Person danach weder direkt noch indirekt identifizieren lässt. (Quelle: DIN EN ISO 25237)

(2) Pseudonymisierung Im Sinne diese Vertrages ist Pseudonymisierung die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden.

(3) Unterauftragnehmer Vom Auftragnehmer beauftragter Leistungserbringer, dessen Dienstleistung und/oder Werk der Auftragnehmer zur Erbringung der in diesem Vertrag beschriebenen Leistungen gegenüber dem Auftraggeber benötigt.

(4) Sonstige mitwirkende Personen Sonstige mitwirkende Person i.S.v. § 203 Abs. 3 S. 2 StGB sind Personen, die an der beruflichen oder dienstlichen Tätigkeit der schweigepflichtigen Person mitwirken, ohne dass sie in die Sphäre des Berufsgeheimnisträgers eingebunden sind.

(5) Weisung Weisung ist die auf einen bestimmten Umgang (zum Beispiel Anonymisierung, Löschung, Herausgabe) des Auftragnehmers mit personenbezogenen Daten gerichtete schriftliche oder elektronischer Anordnung des Auftraggebers. Die Weisungen werden anfänglich durch den jeweiligen Hauptvertrag festgelegt und können vom Auftraggeber danach in schriftlicher oder elektronischer Form durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung).

2. Gegenstand und Dauer des Auftrags

(1) Gegenstand

☐ Der Gegenstand des Auftrags ergibt sich aus der Leistungsvereinbarung/SLA/................................................. vom ..................., auf die hier verwiesen wird (im Folgenden Leistungsvereinbarung).

oder

☒ Gegenstand des Auftrags zum Datenumgang ist die Durchführung folgender Aufgaben durch den Auftragnehmer: .

(2) Dauer

☐ Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit der Leistungsvereinbarung.

oder (insbesondere, falls keine Leistungsvereinbarung zur Dauer besteht)

☐ Der Auftrag wird zur einmaligen Ausführung erteilt.

oder

☐ Die Dauer dieses Auftrags (Laufzeit) ist befristet bis zum ...................

oder

Seite 2 von 14

[Seite 3]

☒ Der Auftrag ist unbefristet erteilt und kann von beiden Parteien mit einer Frist von zwei Monaten zum Monatsende gekündigt werden. Die Möglichkeit zur fristlosen Kündigung bleibt hiervon unberührt. Jede Kündigung bedarf der Schriftform.

Es ist den Vertragspartnern bewusst, dass ohne Vorliegen eines gültigen AV-Vertrages z. B. bei Beendigung des vorliegenden Vertragsverhältnisses, keine (weitere) Auftragsverarbeitung durchgeführt werden darf.

3. Konkretisierung des Auftragsinhalts

(1) Kategorien personenbezogener Daten ☐ Die Art der verwendeten personenbezogenen Daten ist in der Leistungsvereinbarung konkret beschrieben unter: .......................

oder

☒ Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten/- kategorien

Basis-Stammdaten ☐ Name, Vorname ☐ Geburtsdatum ☐ Anschrift ☐ Kommunikationsdaten (z.B. Telefon, E-Mail) ☐ Geschlecht

Erweiterte Stammdaten ☐ Vertragsstammdaten (Vertragsbeziehung, Produkt- bzw. Vertragsinteresse) ☐ Kundenhistorie ☐ Vertragsabrechnungs- und Zahlungsdaten ☐ Planungs- und Steuerungsdaten ☐ Auskunftsangaben (von Dritten, z.B. Auskunfteien, oder aus öffentlichen Verzeichnissen) ☐ Beschäftigtendaten

Gesundheitsbezogene, biometrische oder besonders sensible Daten im Sinne von Art. 9 DSGVO ☐ Gesundheitsdaten ☐ Befundung ☐ Biomaterialproben (Gewebe, Blut, Ausscheidungen) ☐ Biometrische Daten ☐ Genetische Daten ☐ Soziale Daten ☐

Sonstige Daten

☐ ☐

(2) Kategorien betroffener Personen

Seite 3 von 14

[Seite 4]

☐ Die Kategorien der durch die Verarbeitung betroffenen Personen sind in der Leistungsvereinbarung konkret beschrieben unter: .................................. oder ☒ Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen: ☐ Abonnenten ☐ Kunden ☐ Patienten ☐ Interessenten ☐ Beschäftigte ☐ Lieferanten ☐ Ansprechpartner ☐

(3) Zweck der Verarbeitung ☐ Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber sind konkret beschrieben in der Leistungsvereinbarung vom ...................

oder

☒ Zweck der vorgesehenen Verarbeitung ist:

(4) Art der vorgesehenen Verarbeitung von Daten ☐ Art der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber sind konkret beschrieben in der Leistungsvereinbarung vom ...................

oder

☒ Art der vorgesehenen Verarbeitung ist:

☐ Erheben ☐ Erfassen ☐ Ordnen ☐ Speicherung und Aufbewahrung ☐ Anpassung oder Veränderung ☐ Verbreitung oder eine andere Form der Bereitstellung ☐ Abgleich oder Verknüpfung ☐ Einschränkung, Löschung oder Vernichtung von Daten

(5) Der Auftragnehmer verarbeitet dabei personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO auf Grundlage dieses Auftragsverarbeitungsvertrages.

Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) erbracht. Jede Verlagerung der Dienstleistung -oder von Teilarbeiten dazu- in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf auch nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44ff. DSGVO er-füllt sind (z.B. Angemessenheitsbeschluss der EU-Kommission; Standardvertragsklauseln nach Art. 28 Abs. 8 DSGVO oder genehmigte Verhaltensregeln nebst weiterer Gewähr-leistungen eines zur Herstellung eines dem Datenschutz der EU gleichwertigen Schutzniveaus).

Seite 4 von 14

[Seite 5]

4. Weisungsbefugnis des Auftraggebers

(1) Der Umgang mit den personenbezogenen Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Auftraggebers. Ausgenommen hiervon sind Sachverhalte, in denen dem Auftragnehmer eine Verarbeitung aus zwingenden rechtlichen Gründen auferlegt wird (z.B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden). Der Auftragnehmer unterrichtet in derartigen Situationen den Auftraggeber unverzüglich vor Beginn der Verarbeitung über diese entsprechenden rechtlichen Anforderungen, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Auftraggeber behält sich im Rahmen der in diesem AV-Vertrag getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, dass er durch Einzelweisungen konkretisieren kann.

(2) Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam zwischen Auftraggeber und Auftragnehmer abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.

(3) Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format (bspw. E-Mail). Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen. Der Auftragnehmer notiert sich Datum, Uhrzeit und Person, die die mündliche Weisung erteilte, sowie den Grund, warum keine schriftliche Beauftragung erfolgen konnte.

5. Verantwortlichkeit und Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen des Auftrages und nach Weisungen des Auftraggebers. Weiterführende Verarbeitungen sind im Rahmen dieser Vereinbarung ausgeschlossen.

(2) Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 36 DSGVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben: ☒ Schriftliche Bestellung eines Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt. ☐ Dessen Kontaktdaten werden dem Auftraggeber zum Zweck der direkten Kontaktaufnahme mitgeteilt. Ein Wechsel des Datenschutzbeauftragten wird dem Auftraggeber unverzüglich mitgeteilt. ☒ Als Datenschutzbeauftragte(r) ist beim Auftragnehmer

bestellt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen. ☐ Dessen jeweils aktuelle Kontaktdaten sind auf der Homepage des Auftragnehmers leicht zugänglich hinterlegt. ☐ Der Auftragnehmer ist nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Als Ansprechpartner beim Auftragnehmer wird Herr/Frau [Eintragen: Vorname, Name, Organisationseinheit, Telefon, E-Mail] benannt. ☐ Da der Auftragnehmer seinen Sitz außerhalb der Union hat, benennt er folgenden Vertreter nach Art. 27 Abs. 1 DSGVO in der Union: [Eintragen: Vorname, Name, Organisationseinheit, Telefon, E-Mail]. (3) Der Auftragnehmer selbst führt für die Verarbeitung ein Verzeichnis der bei ihm stattfindenden Verarbeitungstätigkeiten im Sinne des Art. 30 DSGVO. Er stellt auf Anforderung dem Auftraggeber die für die Übersicht nach Art. 30 DSGVO notwendigen Angaben zur

Seite 5 von 14

[Seite 6]

Verfügung. Des Weiteren stellt er das Verzeichnis auf Anfrage der Aufsichtsbehörde zur Verfügung.

(4) Der Auftragnehmer führt eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO, für die bei ihm im Auftrag durchgeführte Verarbeitungstätigkeit, durch, sofern dies notwendig ist.

(5) Der Auftragnehmer unterstützt den Auftraggeber bei einer von diesem durchzuführenden Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO mit allen ihm zur Verfügung stehenden Informationen. Im Falle der Notwendigkeit einer vorherigen Konsultation der zuständigen Aufsichtsbehörde gemäß Art. 36 DSGVO unterstützt der Auftragnehmer den Auftraggeber auch hierbei.

(6) Der Verarbeitung von personenbezogenen Daten außerhalb der Räumlichkeiten des Auftraggebers (Telearbeit, Homeoffice, Remote etc.) durch den Auftragnehmer wird hiermit zugestimmt. Die zu treffenden technischen und organisatorischen Maßnahmen zur Wahrung des erforderlichen Sicherheitsniveaus und die sich daraus ergebenden besonderen Geheimhaltungspflichten werden mit dem Auftragnehmer abgestimmt. Der Auftraggeber kann in sachlich begründeten Fällen vom Auftragnehmer eine Anpassung der für eine Verarbeitung von personenbezogenen Daten außerhalb der Räumlichkeiten des Auftraggebers zu treffenden technischen und organisatorischen Maßnahmen verlangen oder in sachlich begründeten Fällen seine Zustimmung dazu widerrufen.

(7) Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftraggebers vertraulich zu behandeln, soweit im Hauptvertrag nichts anderweitig vereinbart ist. Der Hauptvertrag ist dieser Vereinbarung in diesem Fall vorrangig.

(8) Außerdem sind, soweit im Hauptvertrag nichts anderweitig vereinbart ist, alle Personen des Auftragnehmers bzgl. der Pflichten zur Wahrung von Geschäfts- und Betriebsgeheimnissen des Auftraggebers zu verpflichten und entsprechend auf § 23 GeschGehG hinzuweisen. Der Hauptvertrag ist dieser Vereinbarung in diesem Fall vorrangig.

(9) Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

(10) Die unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.

(11) Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer nach besten Kräften zu unterstützen.

(12) Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.

6. Technisch-organisatorische Maßnahmen

(1) Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung zu dokumentieren und dem

Seite 6 von 14

[Seite 7]

Auftraggeber zur Prüfung zu übergeben. Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage des Auftrags. Soweit die Prüfung/ein Audit des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.

(2) Der Auftragnehmer hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DSGVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen [Einzelheiten in Anlage 1].

(3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Änderungen sind zu dokumentieren.

7. Vereinbarung zur Wahrung des Berufsgeheimnisses nach § 203 StGB

(1) Im Rahmen dieses Auftrages werden auch Daten verarbeitet, die unter ein Berufsgeheimnis (im Sinne von § 203 StGB) fallen. Der Auftragnehmer verpflichtet sich, über Berufsgeheimnisse Stillschweigen zu bewahren und sich nur insoweit Kenntnis von diesen Daten zu verschaffen, wie dies zur Erfüllung der ihm zugewiesenen Aufgaben erforderlich ist.

(2) Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung von dem Berufsgeheimnis unterliegenden Daten des Auftraggebers befassten Beschäftigten und andere für den Auftragnehmer tätigen Personen (z. B. Subunternehmer), die damit befasst sind, sich in Textform dazu verpflichtet haben, die ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenen Berufsgeheimnisse nicht unbefugt zu offenbaren und sie über die mögliche Strafbarkeit nach § 203 Abs. 4 StGB belehrt wurden.

(3) Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich eine mitwirkende Person nach § 203 Abs. 4 S. 2 StGB strafbar macht, sollte sie sich einer weiteren mitwirkenden Person bedienen, die ihrerseits unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, und die mitwirkende Person nicht dafür Sorge getragen hat, dass die weitere mitwirkende Person zur Geheimhaltung verpflichtet wurde.

(4) Der Auftragnehmer wird darauf hingewiesen, dass Daten, die er im Auftrag eines Berufsgeheimnisträgers verarbeitet u.U. dem Zeugnisverweigerungsrecht von sogenannten mitwirkenden Personen unterliegen (§ 53a StPO). Entsprechend § 53a StPO entscheidet jedoch der Berufsgeheimnisträger über die Ausübung des Schweigerechts. Im Falle einer Befragung wird der Auftragnehmer unter Hinweis auf § 53a StPO dieser widersprechen und unverzüglich den Auftraggeber informieren, der dann bzgl. der Wahrnehmung des Schweigerechts entscheidet.

(5) Der Auftragnehmer wird darauf hingewiesen, dass die in seinem Gewahrsam befindlichen Geheimnisschutzdaten dem Beschlagnahmeverbot gemäß § 97 Abs. 2 StPO unterliegen. Die Daten dürfen nicht ohne das Einverständnis des Auftraggebers (Berufsgeheimnisträger) herausgegeben werden. Im Fall einer Beschlagnahme wird der Auftragnehmer dieser widersprechen und unverzüglich den Auftraggeber informieren.

Seite 7 von 14

[Seite 8]

8. Verantwortlichkeit und Pflichten des Auftraggebers

(1) Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenverarbeitung verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Ziff. 7 DS-GVO).

(2) Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich. Der Auftraggeber wird dafür Sorge tragen, dass die gesetzlich notwendigen Voraussetzungen (z. B. durch Einholung von Einwilligungserklärungen für die Verarbeitung der personenbezogenen Daten) geschaffen werden, damit der Auftragnehmer die vereinbarten Leistungen zulässig erbringen kann.

(3) Der Auftraggeber hat den Auftragnehmer zu informieren, wenn er bei der Prüfung der Vertragsverpflichtungen des Auftragnehmers Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt und zu einer unverzüglichen Klärung der Fehler bzw. Unregelmäßigkeiten aufzufordern.

(4) Der Auftraggeber ist hinsichtlich der vom Auftragnehmer eingesetzten und vom Auftraggeber genehmigten Verfahren zur automatisierten Verarbeitung personenbezogener Daten datenschutzrechtlich verantwortlich und hat – neben der eigenen Verpflichtung des Auftragnehmers – ebenfalls die Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten.

(5) Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln, soweit im Hauptvertrag nichts anderweitig geregelt ist. Der Hauptvertrag ist dieser Vereinbarung in diesem Fall vorrangig.

9. Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen.

(2) Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DSGVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.

(3) Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch ☐ die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO; ☐ die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO; ☒ aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren); ☐ einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz).

Seite 8 von 14

[Seite 9]

10. Unterauftragsverhältnisse

(1) Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z.B. als Telekommunikationsleistungen, Post-/Transportdienstleistungen, Wartung und Benutzerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.

(2) Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher schriftlicher bzw. dokumentierter Zustimmung des Auftraggebers beauftragen. a. ☐ Eine Unterbeauftragung ist unzulässig. ☒ Der Auftraggeber stimmt der Beauftragung der nachfolgenden Unterauftragnehmer zu unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO:

Firma Unterauftragnehmer Anschrift/Land Leistung

b. ☐ Die Auslagerung auf Unterauftragnehmer oder

☒ der Wechsel des bestehenden Unterauftragnehmers sind zulässig, soweit:

• der Auftragnehmer eine solche Auslagerung auf Unterauftragnehmer dem Auftraggeber eine angemessene Zeit (allerdings nicht später als zwei Monate) vorab schriftlich oder in Textform anzeigt und

• der Auftraggeber nicht bis zum Zeitpunkt der Übergabe der Daten gegenüber dem Auftragnehmer schriftlich oder in Textform Einspruch gegen die geplante Auslagerung erhebt und

• eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO zugrunde gelegt wird.

(3) Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung, die seitens des Auftragnehmers zu dokumentieren sind, gestattet.

(4) Erbringt der Unterauftragnehmer die vereinbarte Leistung außerhalb der EU/des EWR stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen sicher. Gleiches gilt, wenn Dienstleister im Sinne von Abs. 1 Satz 2 eingesetzt werden sollen.

(5) Eine weitere Auslagerung durch den Unterauftragnehmer ☐ ist nicht gestattet;

Seite 9 von 14

[Seite 10]

☒ bedarf der ausdrücklichen Zustimmung des Hauptauftraggebers (mind. Textform); ☐ bedarf der ausdrücklichen Zustimmung des Hauptauftragnehmers (mind. Textform);

sämtliche vertraglichen Regelungen in der Vertragskette sind auch dem weiteren Unterauftragnehmer aufzuerlegen.

11. Mitteilung bei Verstößen des Auftragnehmers

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 34 der DSGVO genannten Pflichten. Hierzu gehören u.a.

a) die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen b) die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich an den Auftraggeber zu melden c) die Verpflichtung, dem Auftraggeber im Rahmen seiner Informationspflicht gegenüber dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen (2) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich - spätestens innerhalb von 24h - bei der Kenntnis oder einem begründeten Verdacht von erheblichen Unregelmäßigkeiten im Rahmen der Datenverarbeitung bei ihm oder beauftragten Dritten oder bei Verstößen des Auftragnehmers - oder der bei ihm im Rahmen des Auftrags beschäftigten Personen - gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder der im Vertrag getroffenen Festlegungen. Den Auftragnehmer trifft insoweit eine Nachforschungspflicht, wenn ihm Anhaltspunkte hierfür bekannt werden. Er trifft nachweislich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die Betroffenen, spricht sich hierzu unverzüglich mit dem Auftraggeber ab und macht Vorschläge für weitere zu treffende notwendige Maßnahmen. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Informationspflichten gegenüber der jeweiligen Aufsichtsbehörde bzw. gegenüber den Betroffenen nach Art. 33, 34 DSGVO. Eine Prüfung des Auftragnehmers, ob eine eigene Verpflichtung zur Meldung an eine Aufsichtsbehörde vorliegt, bleibt hiervon unberührt.

12. Löschung und Rückgabe von personenbezogenen Daten

(1) Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

(2) Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind (Grundsatz der Verfügbarkeit), sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei der fristgemäßen Erfüllung der Ansprüche betroffener Personen wie etwa bei Auskunftsansprüchen, Berichtigungs- und Löschbegehren sowie der Geltendmachung eines Widerrufes einer Einwilligung. Der Auftraggeber fordert hierzu den Auftragnehmer in geeigneter, vorzugsweise schriftlicher Weise auf, wobei dieses Erfordernis durch eine einfache Textform (z.B. per Email) gewahrt

Seite 10 von 14

[Seite 11]

wird. Sofern dem Auftragnehmer die Daten nur pseudonym vorliegen, erfolgt die entsprechende Kommunikation ausschließlich pseudonym. Weiterhin ist der Auftragnehmer nicht befugt, bei ihm gespeicherte pseudonyme Daten zu de-pseudonymisieren, auch wenn dies technologisch möglich ist, oder Verknüpfungen zu weiteren Daten herzustellen, die einen Rückschluss auf betroffene Personen zulassen. Eine direkte Kontaktaufnahme mit den betroffenen Personen erfolgt in diesem Fall nicht.

(4) Soweit vom Leistungsumfang umfasst, sind Löschkonzept, Recht auf Vergessenwerden, Berichtigung, Datenportabilität und Auskunft nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.

(5) Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Auftraggeber – spätestens mit Beendigung der Leistungsvereinbarung – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen. Die Löschung erfolgt nach DIN 66399. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

13. Zurückbehaltungsrecht

Die Einrede des Zurückbehaltungsrechts -gleich aus welchem Rechtsgrund- an den vertrags- gegenständlichen Daten sowie an evtl. vorhandenen Datenträgern wird ausgeschlossen.

14. Haftung

(1) Für alle datenschutzrechtlichen Haftungsfragen der Vertragsparteien gelten die gesetzlichen Bestimmungen, insbesondere die DS-GVO. Soweit Dritte Ansprüche gegen den Auftraggeber geltend machen, die ihre Ursache in einem schuldhaften Verstoß des Auftragnehmers gegen eine ihn unmittelbar treffende gesetzliche Datenschutzverpflichtung haben, stellt der Auftragnehmer den Auftraggeber von diesen Ansprüchen auf erstes Anfordern frei.

(2) Der Auftragnehmer trägt die Beweislast dafür, dass etwaige Schäden nicht auf einem von ihm zu vertretenden Umstand beruhen, soweit die jeweilige Ursache in der Verarbeitung von Daten, für deren Verarbeitung der Auftraggeber der Verantwortliche ist, in der Zuständigkeitssphäre des Auftragnehmers liegen.

(3) Soweit der Auftraggeber zum Schadensersatz gegenüber dem Betroffenen verpflichtet ist, bleibt ihm der Rückgriff auf den Auftragnehmer vorbehalten.

(4) Im Innenverhältnis zwischen Auftraggeber und Auftragnehmer haftet der Auftragnehmer für den durch eine Verarbeitung verursachten Schaden jedoch nur, wenn er

a. seinen ihm speziell durch die DSGVO auferlegten Pflichten nicht nachgekommen ist oder

b. unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Auftraggebers oder gegen diese Anweisungen gehandelt hat.

(5) Weitergehende Haftungsansprüche nach den allgemeinen Gesetzen bleiben unberührt.

Seite 11 von 14

[Seite 12]

15. Informationspflichten, Schriftformklausel

(1) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit an den Daten beim Auftraggeber liegt.

(2) Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile – einschließlich etwaiger Zusicherungen des Auftragnehmers – bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Regelungen handelt. Das Schriftformerfordernis gilt auch für den Verzicht auf dieses Formerfordernis.

16. Schlussbestimmung

(1) Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen der Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden, bleiben die übrigen Vertragsbestimmungen und die Wirksamkeit des Vertrages im Ganzen hiervon unberührt.

(2) An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichtigen Bestimmung möglichst nahekommt.

(3) Erweist sich der Vertrag als lückenhaft, gelten die Bestimmungen als vereinbart, die dem Sinn und Zweck des Vertrages entsprechen und im Falle des Bedachtwerdens vereinbart worden wären.

(4) Existieren mehrere wirksame und durchführbare Bestimmungen, welche die unter § 16 Abs. 1 genannte unwirksame Regelung ersetzen können, so muss die Bestimmung gewählt werden, welche den Schutz der Patientendaten im Sinne dieses Vertrages am besten gewährleistet.

(5) Der Gerichtsstand ist der Sitz des Auftraggebers.

Anlagen:

Anlage 1: Nachweis der technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs.3 S.2 lit. c i.V.m. Art. 32, Art.30 Abs.2 lit. d und g DSGVO

Ort, Datum Ort, Datum

(Unterschrift / Stempel Auftraggeber) (Unterschrift / Stempel Auftragnehmer)

Seite 12 von 14

[Seite 13]

Anlage 1 – Technisch-organisatorische Maßnahmen

[durch den Bieter gem. Art. 32 DS-GVO zu ergänzen und anzupassen]

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle Kein unbefugter Zutritt zu Datenverarbeitungsanlagen, z.B.: Magnet- oder Chipkarten, Schlüssel, elektrische Türöffner, Werkschutz bzw. Pförtner, Alarmanlagen, Videoanlagen; • Zugangskontrolle Keine unbefugte Systembenutzung, z.B.: (sichere) Kennwörter, automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern; • Zugriffskontrolle Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, z.B.: Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen; • Trennungskontrolle Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, z.B. Mandantenfähigkeit, Sandboxing; • Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO) Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen; •

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport, z.B.: Verschlüsselung, Virtual Private Networks (VPN), elektronische Signatur; • Eingabekontrolle Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, z.B.: Protokollierung, Dokumentenmanagement; •

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Verfügbarkeitskontrolle Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z.B.: Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne; • Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO); •

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)

• Datenschutz-Management; • Incident-Response-Management; • Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO); • Auftragskontrolle Keine Auftragsdatenverarbeitung im Sinne von Art. 28 DSGVO ohne entsprechende Weisung Seite 13 von 14

[Seite 14]

des Auftraggebers, z.B.: Eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl des Dienstleisters, Vorabüberzeugungspflicht, Nachkontrollen. •

Seite 14 von 14