Anlage 7_ zum Vertrag_AVV_ENTWURF_.docx

Anlage 7 zum Vertrag

über

die Herstellung von Basishelikoptern nebst Ausrüstung sowie Unterstützungsleistungen für die Polizeifliegerstaffel Hessen und die Polizeihubschrauberstaffel Thüringen

zwischen

dem Land Hessen, vertreten durch das Hessische Ministerium des Innern, für Sicherheit und Heimatschutz, dieses vertreten durch das Hessische Polizeipräsidium Einsatz (HPE), Wiesbadener Straße 99, 55252 Mainz-Kastel

• im Folgenden „Auftraggeber“ genannt,

und

[Firmierung des Auftragnehmers], vertreten durch [Vorstand/Geschäftsführung], [Adresse des Auftragnehmers],

• im Folgenden einzeln „Auftragnehmer“, zusammen „Vertragsparteien“ genannt,

über

Auftragsverarbeitung i.S.d. Art. 28 Abs. 3 der Verordnung (EU) 2016/679 – Datenschutzgrundverordnung (DSGVO) bzw. Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG) („Vereinbarung“).

Az.: VG-0014-2026-0015

Stand: 21.09.2026

Präambel

1. Der Auftraggeber beauftragt den Auftragnehmer mit der betriebsbereiten Herstellung von Basishelikoptern gem. den Anlagen 1 (die im Rahmen des Critical Design Review (CDR) abgenommene Feinspezifikation) und 2 (Leistungsbeschreibung inkl. Anlagen) des Vertrages über die „Herstellung von Basishelikoptern nebst Ausrüstung sowie Unterstützungsleistungen für die Polizeifliegerstaffel Hessen und die Polizeihubschrauberstaffel Thüringen“ vom [DATUM] („Hauptvertrag“).
2. Im Rahmen der Erfüllung seiner auftragsgegenständlichen Pflichten verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Die einschlägigen Datenschutzvorschriften stellen bestimmte Anforderungen an eine solche Auftragsverarbeitung. Zur Wahrung dieser Anforderungen schließen die Vertragsparteien die nachfolgende Vereinbarung. Diese Vereinbarung findet dabei Anwendung auf sämtliche Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen der Auftragnehmer oder durch den Auftragnehmer Beauftragte personenbezogene Daten gem. Art. 4 Nr. 1 der Datenschutz-Grundverordnung EU 2016/679 (DSGVO) („Daten“) im Auftrag des Auftraggebers verarbeiten.
3. Das EU-Datenschutzrecht unterscheidet bei der Datenverarbeitung durch Behörden nach der Zweckrichtung der jeweiligen (Verarbeitungs-)Tätigkeit. Bei reinem Verwaltungshandeln sowie sonstigen Verarbeitungen, die nicht den Zwecken der Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten oder dem Schutz vor und der Abwehr von Gefahren für die öffentliche Sicherheit dienen, gelten die Bestimmungen der Datenschutz-Grundverordnung EU 2016/679 (DSGVO) unmittelbar sowie die diese ergänzenden Vorschriften des Hessischen Datenschutz- und Informationsfreiheitsgesetzes („HDSIG“), insbesondere dessen erster und zweiter Teil. Demgegenüber finden auf Verarbeitungen personenbezogener Daten durch hierfür jeweils zuständige öffentliche Stellen zu den in § 40 Abs. 1 HDSIG genannten Zwecken die Vorschriften des dritten Teils des HDSIG Anwendung, mit denen die Richtlinie (EU) 2016/680 („JI-Richtlinie“) in hessisches Recht umgesetzt wurde.
4. Diese Vereinbarung richtet sich primär nach der DSGVO sowie dem Ersten Teil (§§ 1–37 HDSIG) und dem Zweiten Teil (§§ 20–39 HDSIG) des HDSIG. Soweit im Rahmen der Leistungserbringung durch den Auftragnehmer im Einzelfall personenbezogene Daten des Auftraggebers zu Zwecken verarbeitet werden, die in den sachlichen Anwendungsbereich des § 40 Abs. 1 HDSIG fallen (insbesondere zur Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten oder zur Abwehr von Gefahren für die öffentliche Sicherheit), finden die Vorschriften des Dritten Teils des HDSIG (§§ 40 ff. HDSIG, Umsetzung der Richtlinie (EU) 2016/680, JI-Richtlinie) für die betreffenden Verarbeitungsvorgänge ergänzend und vorrangig Anwendung. Dies kann insbesondere eine Anpassung der technischen und organisatorischen Maßnahmen (TOMs) sowie der Regelungen zur Betroffenenrechtsunterstützung erforderlich machen. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der insoweit anwendbaren datenschutzrechtlichen Anforderungen in angemessenem Umfang. Ein Bezug auf den Dritten Teil des HDSIG erfasst ausschließlich solche Verarbeitungsvorgänge zu den vorgenannten Zwecken und nicht rein administrative Tätigkeiten im Zusammenhang mit der Vertragsdurchführung.
5. In dieser Vereinbarung werden Bezeichnungen verwendet, denen in der DSGVO bzw. in den Bestimmungen des HDSIG eine bestimmte Bedeutung zugewiesen wird (vgl. Art. 4 DSGVO bzw. § 2 HDSIG). Die in der DSGVO bzw. in dem HDSIG zugewiesenen Bedeutungen gelten für die Bezeichnungen dieser Vereinbarung entsprechend.
6. Der Auftragnehmer und der Auftraggeber sind sich einig, dass die Datenverarbeitung allein auf Grundlage dieser Vereinbarung erfolgen darf.

§ 1 Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

1. Gegenstand dieser Vereinbarung ist allein die Verarbeitung personenbezogener Daten i.S.d. Art. 4 Nr. 1 DSGVO („Daten“) im Zusammenhang mit der in den Anlagen 1 und 2 des Hauptvertrages näher beschriebenen Leistung. Für weitere Einzelheiten zum Gegenstand der Verarbeitung wird ergänzend auf Abschnitt 2 des Hauptvertrages verwiesen.
2. Der Auftragnehmer verarbeitet die Daten des Auftraggebers dabei gemäß Art. 28 DSGVO bzw. den einschlägigen Bestimmungen des HDSIG, soweit dies für die Durchführung des Hauptvertrages erforderlich ist. Einzelheiten zu Art und Umfang der Verarbeitung ergeben sich aus Anlage 1 dieser Vereinbarung. Diese wird bei Bedarf durch entsprechende Weisungen des Auftraggebers ergänzt.
3. Die Vertragsparteien können im gegenseitigen Einvernehmen und im Einklang mit den Regelungen dieser Vereinbarung weitere Einzelheiten gemäß Anlage 1 dieser Vereinbarung festlegen, soweit dies für die Erreichung des Verarbeitungszweckes erforderlich ist und die Vertragsparteien diese jeweils mindestens in Textform gem. §°126b BGB dokumentieren. Der Zweck dieser Vereinbarung besteht ausschließlich in der Verarbeitung personenbezogener Daten (vgl. §°1 Abs. 1 dieser Vereinbarung).
4. Soweit nicht nachfolgend ausdrücklich anders vereinbart, richtet sich die Dauer dieser Vereinbarung nach den Regelungen des Hauptvertrages.
5. Der Auftragnehmer wird die Daten, die er im Auftrag des Auftraggebers verarbeitet, ausschließlich in einem Mitgliedstaat der Europäischen Union (EU) oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) verarbeiten. Dies schließt ein, dass sämtliche Systemkomponenten, die für die Verarbeitung personenbezogener Daten eingesetzt werden – einschließlich Fernzugriffssysteme, Verwaltungsplattformen und Protokollierungssysteme – ausschließlich in EU/EWR-Mitgliedstaaten betrieben werden. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen ausdrücklichen Zustimmung des Auftraggebers (in Textform gem. § 126b BGB) und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).
6. Auf Anforderung teilt der Auftragnehmer dem Auftraggeber zudem unverzüglich in Textform gem. § 126b BGB mit, an welchen Orten er die Daten des Auftraggebers verarbeitet. Sofern der Auftragnehmer beabsichtigt, die Daten des Auftraggebers an einem anderen als an dem in Anlage 1 dieser Vereinbarung aufgeführten Ort zu verarbeiten, ist der Auftraggeber im Vorfeld der Verarbeitung darüber in Textform gem. §°126b BGB in Kenntnis zu setzen.

§ 2 Rechte, Pflichten und Verantwortlichkeit des Auftraggebers

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Dies umfasst Tätigkeiten, die in dem Hauptvertrag sowie in dessen Anlagen 1 und 2 konkretisiert sind. Der Auftraggeber ist im Rahmen dieser Vereinbarung für die Beurteilung der Zulässigkeit der Verarbeitung, für die Einhaltung der einschlägigen datenschutzrechtlichen Bestimmungen (insb. den Bestimmungen der DSGVO bzw. des HDSIG), für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung insgesamt, allein verantwortlich („Verantwortlicher“ i.S.d. Art. 4 Nr. 7 DSGVO).
2. Der Auftraggeber ist berechtigt, dem Auftragnehmer hinsichtlich der auftragsgegenständlichen Datenverarbeitung umfassende Weisungen zu erteilen. Diese Weisungen dürfen dabei ausschließlich die in dem Hauptvertrag bzw. in dessen Anlagen aufgeführten Tätigkeiten umfassen sowie Anforderungen an die im Rahmen der Verarbeitung einzusetzenden technischen und organisatorischen Maßnahmen beinhalten (vgl. Anlage 5 dieser Vereinbarung). Das Weisungsrecht erstreckt sich dabei nicht auf innerbetriebliche Vorgänge bei dem Auftragnehmer, die außerhalb des Anwendungsbereiches dieser Vereinbarung liegen.
3. Die Weisungen, auf deren Grundlage die Verarbeitung erfolgt, werden anfänglich durch diese Vereinbarung mindestens in Textform gem. § 126b BGB von dem Auftraggeber festgelegt und können von diesem ebenfalls einseitig in Textform gem. § 126b BGB geändert, ergänzt oder ersetzt werden. Mündliche Weisungen des Auftraggebers sind von dem Auftragnehmer unverzüglich in Textform gem. § 126b BGB zu bestätigen. Änderungen des Verarbeitungsgegenstandes sowie der Verarbeitung zugrundeliegender Verfahren sind gemeinsam zwischen den Vertragsparteien abzustimmen und in Textform gem. § 126b BGB festzuhalten.
4. Weisungen dürfen ausschließlich von den in Anlage 2 dieser Vereinbarung benannten Personen bzw. deren Stellvertretern des Auftraggebers („weisungsberechtigte Personen“) erteilt werden. Der Auftragnehmer benennt in Anlage 2 dieser Vereinbarung seinerseits eine zum Empfang der Weisungen entsprechend berechtigte Person bzw. deren Stellvertreter („empfangsberechtigte Personen“).
5. Der Wechsel, die Änderung der Erreichbarkeit oder eine längerfristige Verhinderung der in Anlage 2 dieser Vereinbarung benannten Personen sind der jeweils anderen Vertragspartei unverzüglich in Textform gem. § 126b BGB mitzuteilen.
6. Verstößt der Auftragnehmer bei der Verarbeitung von Daten für den Auftraggeber gegen eine von diesem erteilte und dokumentierte Weisung oder gegen die Bestimmungen dieser Vereinbarung, so ist der Auftragnehmer für diese Datenverarbeitung „Verantwortlicher“ i.S.d. Art. 4 Nr. 7 DSGVO.

§ 3 Pflichten des Auftragnehmers

1. Der Auftragnehmer stellt sicher, dass er die Daten ausschließlich in Übereinstimmung mit dem geltenden Recht (insb. den Bestimmungen der DSGVO bzw. des HDSIG), den Regelungen dieser Vereinbarung und den Weisungen des Auftraggebers verarbeiten wird, sofern der Auftragnehmer nicht zu einer anderen Verarbeitung durch das Recht der Europäischen Union oder eines Mitgliedstaates verpflichtet ist. In diesem Fall setzt der Auftragnehmer den Auftraggeber unverzüglich von den einschlägigen rechtlichen Bestimmungen im Vorfeld der Verarbeitung in Kenntnis, sofern eine solche Mitteilung nicht aufgrund eines wichtigen entgegenstehenden öffentlichen Interesses gem. Art. 28 Abs. 3, S. 2 lit. a) DSGVO (z.B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden) unterbleiben muss. In diesem Fall darf der Auftragnehmer die Umsetzung der Weisung so lange aussetzen, bis sie von dem Auftraggeber bestätigt, abgeändert oder aufgehoben wurde. Der Auftragnehmer stellt sicher, dass die vorstehende Pflicht durch jede von ihm mit der auftragsgegenständlichen Datenverarbeitung beauftragten Person eingehalten wird.
2. Der Auftragnehmer verarbeitet die Daten des Auftraggebers ausschließlich zu den in dem Hauptvertrag genannten Zwecken, insbesondere darf er die Daten nicht zu eigenen Zwecken verarbeiten. Kopien oder Duplikate der Daten des Auftraggebers werden ohne dessen Kenntnis nicht erstellt.
3. Der Auftragnehmer sichert im Bereich der auftragsgemäßen Verarbeitung der Daten des Auftraggebers die vertragsgemäße Abwicklung sämtlicher der vereinbarten Maßnahmen zu. Er gewährleistet insbesondere, dass die für den Auftraggeber verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.
4. Der Auftragnehmer ist nicht berechtigt, die Daten entgegen den Bestimmungen dieser Vereinbarung an einen Dritten zu übermitteln oder einem Dritten zugänglich zu machen. Dies gilt nicht, wenn und soweit der Auftragnehmer die Daten Subunternehmern, die er im Einklang mit § 7 dieser Vereinbarung einsetzt, zur Verfügung stellt oder der Auftraggeber der Weitergabe vorab zugestimmt hat.
5. Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den einschlägigen datenschutzrechtlichen Bestimmungen der DSGVO bzw. des HDSIG gerecht wird. Er wird hierzu technische und organisatorische Maßnahmen gem. Anlage 5 dieser Vereinbarung zum angemessenen Schutz der Daten des Auftraggebers treffen, die den Anforderungen des Art. 32 DSGVO, dem Standard-Datenschutzmodell (SDM) der Datenschutzkonferenz (DSK) sowie den Bestimmungen des Hauptvertrages (vgl. dort insb. § 22) genügen.
6. Ergänzend bzw. konkretisierend zu dem vorstehenden Absatz 5 hat der Auftragnehmer sowohl bei der Gestaltung der vertragsgegenständlichen Systeme und Leistungen, insbesondere bei der Herstellung der Basishubschrauber, als auch während der Vertragslaufzeit die Grundsätze des Art. 25 DSGVO („Privacy by Design“ und „Privacy by Default“) zu berücksichtigen.
7. Die technischen und organisatorischen Maßnahmen gem. Anlage 5 dieser Vereinbarung müssen dabei so ausgestaltet sein, dass diese die Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität und Belastbarkeit der Systeme des Auftragnehmers bzw. der in den Basishubschraubern verbauten Komponenten im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen. Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt dem Auftragnehmer vorbehalten, wobei jedoch sichergestellt sein muss, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird. Jede Änderung der technischen und organisatorischen Maßnahmen, die eine Absenkung des Schutzniveaus bewirken könnte, ist dem Auftraggeber mindestens zehn (10) Werktage im Voraus in Textform (§ 126b BGB) anzuzeigen und bedarf dessen ausdrücklicher Zustimmung.
8. Das Schutzniveau der technischen und organisatorischen Maßnahmen ist insbesondere unter Berücksichtigung der vorstehenden Absätze 5 bis 7 sowie der Schutzbedarfsfeststellung des Auftraggebers risikospezifisch zu ermitteln und zu begründen.
9. Der Auftragnehmer überwacht die Einhaltung des einschlägigen Datenschutzrechts und der Regelungen dieser Vereinbarung in seinem Betrieb. Der Auftragnehmer wird die Wirksamkeit der technischen und organisatorischen Maßnahmen gemäß Anlage 5 dieser Vereinbarung zur Gewährleistung der Sicherheit der Verarbeitung regelmäßig, mindestens jedoch einmal jährlich überprüfen, es sei denn, es besteht ein gegebener Anlass für eine frühere Prüfung. Über die Überprüfung ist ein Auditbericht zu erstellen, welcher dem Auftraggeber – einschließlich des Ergebnisses – auf Anforderung in Textform gem. § 126b BGB zur Verfügung zu stellen ist.
10. Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung maßgeblichen datenschutzrechtlichen Vorschriften (insb. der DSGVO und des HDSIG) bekannt sind und er diese im Rahmen der auftragsgegenständlichen Verarbeitung einhält.
11. Der Auftragnehmer versichert, dass es den Mitarbeitern, die mit der Verarbeitung der Daten des Auftraggebers befasst sind, sowie anderen, dem Auftragnehmer unterstellten Personen, untersagt ist, die Daten unbefugt (d.h. außerhalb bzw. entgegen den Weisungen des Auftraggebers) zu verarbeiten. Insoweit gewährleistet der Auftragnehmer, dass sich die zur Datenverarbeitung befugten Personen auf das Datengeheimnis verpflichtet haben (vgl. Art. 28 Abs. 3, S. 2 lit. c), 32 Abs. 1 lit. b) DSGVO). Der Auftragnehmer untersagt denjenigen Personen, die im Rahmen der gegenständlichen Verarbeitung Zugang zu Daten des Auftraggebers haben, auch nach der Beendigung ihrer Tätigkeit, die Daten gegenüber Dritten zu offenbaren oder unbefugt zu verarbeiten (vgl. Art. 32 Abs. 1 lit. b) DSGVO).
12. Die Verarbeitung von Daten des Auftraggebers in Privatwohnungen (Tele- bzw. Heimarbeit) von Beschäftigten des Auftragnehmers wird nur dann gestattet, wenn der Auftragnehmer auch in diesem Fall das vereinbarte Schutzniveau und die Einhaltung der gem. Anlage 5 dieser Vereinbarung technischen und organisatorischen Maßnahmen nachweislich gewährleisten kann. Ein entsprechender Nachweis ist dem Auftraggeber auf Anforderung unverzüglich in Textform gem. § 126b BGB zu übermitteln.
13. Der Auftragnehmer führt ein Verzeichnis von Verarbeitungstätigkeiten, welches den Anforderungen des Art. 30 Abs. 2-4 DSGVO genügt. Falls eine Aufsichtsbehörde gem. Art. 30 Abs. 4 DSGVO die Vorlage des Verarbeitungsverzeichnisses fordert, setzt der Auftragnehmer den Auftraggeber hiervon unverzüglich in Kenntnis.
14. Der Auftragnehmer stellt dem Auftraggeber die Kontaktdaten des in seinem Betrieb für anfallende Datenschutzfragen verantwortlichen Datenschutzbeauftragten bzw. Ansprechpartner zur Verfügung (vgl. Anlage 3 dieser Vereinbarung).
15. Der Auftragnehmer versichert, seinen Pflichten nach Art. 32 Abs. 1 lit. d) DSGVO nachzukommen, insbesondere ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen gem. Anlage 5 dieser Vereinbarung zur Gewährleistung der Sicherheit der Verarbeitung einzusetzen.

§ 4 Unterstützungspflichten des Auftragnehmers

1. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung des anwendbaren Datenschutzrechts in dem erforderlichen Umfang.
2. Für die Erfüllung der Rechte der betroffenen Personen in Kapitel III (Art. 12 bis Art. 22) DSGVO ist im Verhältnis der Vertragsparteien grundsätzlich der Auftraggeber in dem Umfang zuständig, wie er diesen Verpflichtungen auch nach Teil 2, Abschnitt 2 HDSIG unterliegt und es sich nicht um einen Fall des § 2 Absatz 6 dieser Vereinbarung handelt. Wendet sich eine betroffene Person hinsichtlich der Geltendmachung dieser Rechte unmittelbar an den Auftragnehmer, verweist dieser die betroffene Person an den Auftraggeber und setzt diesen hiervon in Kenntnis.
3. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten nach Art. 33 f. DSGVO in dem Umfang, wie der Auftraggeber diesen Verpflichtungen auch nach den Bestimmungen des HDSIG unterliegt. Hierzu stellt der Auftragnehmer die für die Erfüllung der Melde -und Benachrichtigungspflichten gem. Art. 33 Abs. 3 DSGVO erforderlichen Informationen umgehend zur Verfügung. Soweit das Risiko besteht oder bereits erwiesen ist, dass eine Datenpanne zu einer Verletzung des Schutzes personenbezogener Daten i.S.d. Art. 33 DSGVO geführt hat oder hierzu führen könnte, hat der Auftragnehmer dies dem Auftraggeber innerhalb von vier (4) Stunden nach Erkennung der Verletzung zu melden. Ein abschließender Analysebericht, einschließlich der Informationen gem. Art. 33 DSGVO (soweit diese dem Auftragnehmer vorliegen oder dieser hierauf Zugriff hat) ist dem Auftraggeber in diesem Fall innerhalb von 72 Stunden (nach Erkennung) vorzulegen.
4. Der Auftragnehmer dokumentiert Verletzungen des Schutzes personenbezogener Daten, einschließlich aller in diesem Zusammenhang stehenden relevanten Fakten, sowie deren Auswirkungen und ggf. getroffene Abhilfemaßnahmen. Der Auftragnehmer stellt dem Auftraggeber diese Dokumentation auf Anforderung zur Verfügung.
5. Der Auftragnehmer unterstützt den Auftraggeber bei einer ggf. durchzuführenden Datenschutzfolgeabschätzung gem. Art. 35 DSGVO und stellt diesem die hierfür erforderlichen Informationen zur Verfügung. Gleiches gilt im Falle einer ggf. notwendigen vorherigen Konsultation der Aufsichtsbehörde gem. Art. 36 DSGVO, sollte sich im Rahmen einer durchzuführenden Datenschutzfolgeabschätzung ein hohes Risiko für die Verarbeitung der Daten ergeben und sofern keine Maßnahmen zur Minimierung des Risikos getroffen werden können.
6. Weiterhin unterstützt der Auftragnehmer den Auftraggeber bei der Führung eines Verzeichnisses sämtlicher Verarbeitungstätigkeiten i.S.d. Art. 30 Abs. 1 DSGVO, soweit diese in den Zuständigkeitsbereich des Auftraggebers fällt und der Auftragnehmer die hierfür erforderlichen Informationen besitzt oder Zugriff auf diese hat. In diesem Fall stellt der Auftragnehmer dem Auftraggeber die erforderlichen Informationen zur Verfügung und informiert den Auftraggeber über jede beabsichtigte Änderung der Verarbeitungstätigkeiten im Rahmen seines eigenen Zuständigkeitsbereiches. Eine Änderung der in den Zuständigkeitsbereich des Auftragnehmers fallenden Verarbeitungstätigkeiten (vgl. Anlage 1 dieser Vereinbarung) ist nur mit der Zustimmung des Auftraggebers zulässig.
7. Der Auftragnehmer wird den Auftraggeber im (datenschutz-)rechtlich erforderlichen Umfang (vgl. Art. 57, 58 DSGVO bzw. §§ 13, 14 HDSIG) im Falle einer Kontrolle durch die zuständige Datenschutzaufsichtsbehörde unterstützen. Soweit rechtlich zulässig, wird der Auftragnehmer auf Weisung (mind. in Textform gem. § 126b BGB) des Auftraggebers die gewünschten Informationen an die zuständige Datenschutzaufsichtsbehörde gem. § 12 dieser Vereinbarung weiterleiten und dieser die Möglichkeit zur Prüfung in gleichem Umfang einräumen wie diese zur Prüfung bei dem Auftraggeber berechtigt wäre.
8. Im Falle einer Inanspruchnahme des Auftraggebers durch eine betroffene Person hinsichtlich etwaiger Ansprüche nach Art. 82 DSGVO oder anderer einschlägiger (landes-) datenschutzrechtlicher Bestimmungen (vgl. insb. Teil 2, Abschnitt 3 HDSIG), verpflichtet sich der Auftragnehmer – im Rahmen der rechtlichen Möglichkeiten – den Auftraggeber bei Abwehr der geltend gemachten Ansprüche zu unterstützen.

§ 5 Informationspflichten des Auftragnehmers

1. Sollten die Daten des Auftraggebers bei dem Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Beteiligten unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich bei dem Auftraggeber liegen.
2. Darüber hinaus unterrichtet der Auftragnehmer den Auftraggeber unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten aufgrund interner Unregelmäßigkeiten bekannt werden oder ihm Umstände bekannt werden, die mit einer nicht unwesentlichen Wahrscheinlichkeit zu einer solchen Verletzung führen werden. Dies beinhaltet insbesondere Störungen der IT-Systeme, Unregelmäßigkeiten bei der Datenverarbeitung, IT-Sicherheitsvorfälle oder Verstöße von Mitarbeitern oder Subunternehmern des Auftragnehmers gegen geltendes Datenschutzrecht.
3. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er mit einer Aufsichtsbehörde zur Erfüllung der dieser gem. Art 31 DSGVO bzw. § 13 HDSIG obliegenden Aufgaben zusammenarbeitet. Dies gilt ebenso für den Fall, dass eine Aufsichtsbehörde Ermittlungen aufgenommen oder Maßnahmen gegen den Auftragnehmer eingeleitet hat, die diese Vereinbarung berühren, es sei denn eine Mitteilung hat nach geltenden Rechtsvorschriften zu unterbleiben.

§ 6 Nachweispflichten

1. Der Auftragnehmer weist dem Auftraggeber die Einhaltung der in dieser Vereinbarung niedergelegten Pflichten mit geeigneten Mitteln nach. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung sämtliche Informationen zur Verfügung zu stellen, die für den Nachweis der Pflichterfüllung erforderlich sind, insbesondere die auftrags- und ordnungsgemäße Dokumentation zur Verarbeitung sowie zur Umsetzung der technischen und organisatorischen Maßnahmen gemäß Anlage 5 dieser Vereinbarung.
2. Der Auftragnehmer verpflichtet sich, den Auftraggeber bei der Prüfung gem. Art. 28 Abs. 3, S. 2 lit h) DSGVO zur Einhaltung der Vorschriften zum Datenschutz bzw. den Verpflichtungen gem. dieser Vereinbarung im angemessenen und erforderlichen Umfang zu unterstützen.
3. Der Auftraggeber kann hierzu Inspektionen im Geschäftsbetrieb des Auftragnehmers durchführen oder durch einen zu beauftragenden neutralen Prüfer durchführen lassen. Der Prüfer gilt als neutral im Sinne dieser Bestimmung, wenn er nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht oder anderweitige geschäftliche Verbindungen zu diesem unterhält. Ist der Prüfer aus Sicht des Auftraggebers nicht neutral i.S.d. vorstehenden Satzes 2, steht dem Auftragnehmer – unter Angabe der sachlichen Gründe, die seiner Auffassung mit der Neutralität in Widerspruch stehen, ein Einspruchsrecht zu.
4. Inspektionen in dem Geschäftsbetrieb des Auftragnehmers führt der Auftraggeber grundsätzlich mit angemessener Vorankündigung und während der üblichen Geschäftszeiten sowie unter Vermeidung von Störungen des Betriebsablaufes sowie unter Wahrung der Sicherheits- und Vertraulichkeitsinteressen des Auftragnehmers durch. Ausgenommen hiervon sind Kontrollen aus gegebenem Anlass gem. Absatz 5 oder Kontrollen, die ohne vorherige Ankündigung durchgeführt werden (müssen), weil andernfalls der Kontrollzweck gefährdet wäre. Der Auftragnehmer unterstützt den Auftraggeber bei der Prüfung der Einhaltung der datenschutzrechtlichen Bestimmungen im notwendigen Umfang.
5. Ergänzend zu den vorstehenden Absätzen 2 bis 4 ist der Auftraggeber im Falle eines gegebenen Anlasses jederzeit berechtigt, ein Datenschutzaudit durchzuführen. Ein gegebener Anlass besteht, wenn konkrete Anhaltspunkte vorliegen, die auf einen Datenschutzverstoß hindeuten, eine Datenschutzverletzung bereits erkennbar vorliegt oder eine Prüfung durch die zuständige Aufsichtsbehörde angeordnet wird.
6. Sollte eine Datenschutzaufsichtsbehörde oder eine sonstige hoheitliche Aufsichtsbehörde eine Inspektion vornehmen, gelten die Absätze 1 bis 5 entsprechend.

§ 7 Subunternehmer

1. Der Einsatz von Subunternehmern als weiteren Auftragsverarbeiter i.S.d. Art. 28 Abs. 2 bzw. Abs. 4 DSGVO ist nur zulässig, wenn der Auftraggeber diesem ausdrücklich in Textform gem. § 126b BGB zugestimmt bzw. diesen genehmigt hat. Ein zustimmungspflichtiges Subunternehmerverhältnis liegt vor, wenn der Auftragnehmer weitere Auftragnehmer mit einer Datenverarbeitung beauftragt, die Gegenstand dieser Vereinbarung ist. Als Auftragsverarbeiter gelten nach § 3 Abs. 2 HDSIG insbesondere auch Personen und Stellen, die im Auftrag Wartungsarbeiten und vergleichbare Hilfstätigkeiten bei der Verarbeitung personenbezogener Daten erledigen.
2. Der Auftragnehmer setzt im Rahmen der Leistungserbringung die derzeit von ihm beauftragten und in Anlage 4 dieser Vereinbarung benannten Subunternehmer ein. Der Auftragnehmer muss dort die Aufgaben/Teilleistungen der Subunternehmer mindestens stichwortartig beschreiben sowie deren Anschrift angeben. Die in Anlage 4 dieser Vereinbarung aufgeführten Subunternehmer gelten mit Zustimmung des Auftraggebers als genehmigt.
3. Der Auftragnehmer wird weiterhin mit den Subunternehmern vor der Beauftragung selbst eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 3 DSGVO bzw. nach den Bestimmungen des HDSIG abschließen, die hinsichtlich des Schutzniveaus den Regelungen dieser Vereinbarung entspricht. Dies gilt vor allem hinsichtlich der Ausgestaltung der technischen und organisatorischen Maßnahmen gem. Art. 32 DSGVO (vgl. Anlage 5 dieser Vereinbarung). Auf Anforderungen des Auftraggebers hat der Auftragnehmer diesem die Vereinbarungen vorzulegen.
4. Der Auftragnehmer haftet gegenüber dem Auftraggeber für beauftragte Subunternehmer wie für eigenes Verhalten.
5. Soweit der Auftragnehmer den Einsatz neuer Subunternehmer vorsieht, hat er den Auftraggeber im Vorfeld unaufgefordert hiervon in Kenntnis zu setzen und die entsprechende Zustimmung des Auftraggebers gem. Absatz 1 einzuholen. Die Informationen über die einzusetzenden Unterauftragnehmer müssen mindestens die in Anlage 4 dieser Vereinbarung aufgeführten Angaben enthalten und sind dem Auftraggeber mindestens in Textform gem. § 126b BGB zu übermitteln.
6. Der Auftraggeber kann dem Einsatz von (neuen) Subunternehmern innerhalb eines Zeitraumes von vierzehn (14) Tagen widersprechen, wenn diesem ein sachlicher Grund entgegensteht. Widerspricht der Auftraggeber, hat der Auftragnehmer den Einsatz des Subunternehmers zu unterlassen und muss die Leistungen entweder selbst erbringen oder einen anderen Subunternehmer beauftragen, dessen Einsatz der Auftraggeber nicht widerspricht. Liegt ein wichtiger datenschutzrechtlicher Grund vor und ist eine einvernehmliche Lösungsfindung zwischen den Vertragsparteien nicht möglich, wird dem Auftraggeber ein Sonderkündigungsrecht eingeräumt.

§ 8 Vergütung

Für die Erfüllung der Pflichten aus dieser Vereinbarung erhält der Auftragnehmer keine zusätzliche Vergütung. Vielmehr sind seine Leistungen durch die Vergütung des Hauptvertrages vollumfänglich abgedeckt.

§ 9 Haftung

1. Der Auftraggeber und der Auftragnehmer haften gegenüber den betroffenen Personen entsprechend der in Art. 82 DSGVO getroffenen Regelung bzw. nach den einschlägigen (landes-)datenschutzrechtlichen Bestimmungen.
2. Der Auftragnehmer stellt den Auftraggeber – im Rahmen der gesetzlichen Möglichkeit – jedoch im Innenverhältnis von sämtlichen Sanktionen in Form von Ansprüchen, Kosten und Bußgeldern frei, die darauf zurückzuführen sind, dass der Auftragnehmer gegen die Bestimmungen dieser Vereinbarung oder gegen anwendbares Datenschutzrecht verstoßen hat.
3. Absatz 2 gilt nicht, sofern der Auftragnehmer in Bezug auf die konkrete Verletzungshandlung nach Weisungen des Auftraggebers gehandelt hat. Im Falle eines Mitverschuldens des Auftraggebers gilt die Freistellung anteilig.

§ 10 Laufzeit und Kündigung

1. Diese Vereinbarung wird mit Unterzeichnung durch die Vertragsparteien wirksam und läuft für die Dauer des Hauptvertrages, wenn sie nicht zuvor gekündigt wird. Wird der Hauptvertrag beendet, so endet – ohne dass es einer gesonderten Kündigungserklärung bedarf – auch diese Vereinbarung.
2. Der Auftraggeber kann diese Vereinbarung jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen geltende Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegen.
3. Ein schwerwiegender Verstoß im Sinne des Absatz 2 liegt insbesondere vor, wenn der Auftragnehmer gegen die Bestimmungen des Art. 28 DSGVO, des HDSIG oder gegen sonstiges anwendbares Datenschutzrecht verstößt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder die Ausübung der Kontrollrechte des Auftraggebers vertragswidrig verweigert.

§ 11 Rückgabe oder Löschung von Daten

1. Der Auftragnehmer wird nach Beendigung der Vereinbarung oder nach Aufforderung des Auftraggebers während der Vertragslaufzeit sämtliche in seinem Besitz sowie bei Subunternehmern vorhandenen Daten, Datenträger, Unterlagen und Verarbeitungsergebnisse, die im Zusammenhang mit dieser Vereinbarung stehen, nach Wahl des Auftraggebers – vorbehaltlich gesetzlicher Aufbewahrungspflichten – entweder datenschutzgerecht löschen oder an den Auftraggeber heraus- bzw. zurückgeben. Die Löschung bzw. Vernichtung ist dem Auftraggeber unter Angabe des entsprechenden Datums in einem dokumentierten elektronischen Format zu bestätigen.
2. Absatz 1 gilt auch für Test- und Anschlussmaterial, Kopien, Duplikate oder Sicherheitskopien, die der Auftragnehmer im Rahmen dieser Vereinbarung erstellt hat.
3. Die vorstehenden Verpflichtungen umfassen auch im Rahmen der auftragsgegenständlichen Datenverarbeitung verwendetes Schlüsselmaterial und/oder weitere Geheimnisse, die im Rahmen der Vertragsausführung zwischen den Vertragsparteien ausgetauscht werden, sofern diese personenbezogenen Daten enthalten oder sich aus diesen Rückschlüsse auf personenbezogene Daten ergeben können. In diesem Fall hat der Auftragnehmer sicherzustellen, dass nach Beendigung der Vereinbarung oder nach Aufforderung des Auftraggebers sämtliches Schlüsselmaterial geordnet übergeben oder nachweislich und sicher gelöscht wird. Der Nachweis ist dem Auftraggeber in Textform (§ 126b BGB) zu erbringen.

§ 12 Aufsichtsbehörde

Zuständige Aufsichtsbehörde i.S.d. Art. 51 DSGVO ist nach § 13 Abs. 1 HDSIG die oder der Hessische Datenschutzbeauftragte.

§ 13 Schlussbestimmungen

1. Mündliche Nebenabreden zu dieser Vereinbarung wurden nicht getroffen. Änderungen und Ergänzungen dieser Vereinbarung bedürfen – soweit nicht ausdrücklich etwas anderes zwischen den Vertragsparteien vereinbart wird – der Schriftform gem. §°126°BGB.
2. Es gilt das Recht der Bundesrepublik Deutschland mit Ausnahme der Bestimmungen des internationalen Privatrechts sowie des UN-Kaufrechts.
3. Die Vertrags- und Geschäftssprache ist deutsch.
4. Gerichtsstand ist Wiesbaden.
5. Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder künftig unwirksam werden, so wird die Gültigkeit der übrigen Bestimmungen und die Gültigkeit dieser Vereinbarung als Ganzes davon nicht berührt. Den Vertragsparteien ist die Rechtsprechung des Bundesgerichtshofes (BGH) bekannt, nach welcher diese Klausel nur eine Umkehr der Beweislast bewirkt. Vor diesem Hintergrund stellen die Vertragsparteien ausdrücklich klar, dass es ihr tatsächlicher Wille ist, dass durch die Klausel nicht nur die Beweislast umgekehrt wird, sondern die Rechtsfolge des § 139 BGB (Nichtigkeit des gesamten Vertrags) abbedungen wird. Anstelle des unwirksamen, anfechtbaren und/oder undurchführbaren Teils werden die Vertragsparteien sodann vereinbaren, was dem in gesetzlich zulässiger Weise am nächsten kommt, was sie vereinbart hätten, wenn sie die Unwirksamkeit, die Anfechtbarkeit und/oder die Undurchführbarkeit gekannt hätten.
6. Die Vertragsparteien werden entsprechend des vorgenannten Absatzes vorgehen, wenn und soweit diese Vereinbarung eine Regelungslücke aufweisen sollte.

Dieser Vereinbarung sind folgende Anlagen beigefügt:

Anlage 1 Einzelheiten der Datenverarbeitung

Anlage 2 Angaben zu den weisungsberechtigten bzw. empfangsberechtigten Personen

Anlage 3 Angaben zu dem Datenschutzbeauftragten bzw. dem Ansprechpartner des Auftragnehmers

Anlage 4 Angaben zu den Subunternehmern

Anlage 5 Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

_________________________ _________________________

Ort, Datum Ort, Datum

_____________________ _____________________

Unterschrift Auftraggeber Unterschrift Auftragnehmer

Einzelheiten der Datenverarbeitung

– Anlage 1 –

Angaben zu den weisungsberechtigten bzw. empfangsberechtigten Personen

– Anlage 2 –

Als weisungsberechtigte Person wird beim Auftraggeber Herr/ Frau

benannt.

Darüber hinaus wird Herr/Frau

als Stellvertreter(in) der weisungsberechtigten Person benannt.

Als empfangsberechtigte Person wird beim Auftragnehmer Herr/ Frau

benannt.

Darüber hinaus wird Herr/Frau

als Stellvertreter(in) der empfangsberechtigten Person benannt.

Die Vertragsparteien teilen sich den Wechsel, die Änderung der Erreichbarkeit oder eine längerfristige Verhinderung der o.g. Personen unverzüglich in Textform (§ 126b BGB) mit.

Angaben zu dem Datenschutzbeauftragten bzw. Ansprechpartner bei dem Auftragnehmer

– Anlage 3 –

Als Datenschutzbeauftragte(r) bzw. Ansprechpartner(in) wird beim Auftragnehmer Herr/ Frau

benannt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen.

Darüber hinaus wird Herr/Frau

als Vertreter des Datenschutzbeauftragten/Ansprechpartners des Auftragnehmers benannt.

Angaben zu den Subunternehmern

– Anlage 4 –

Die Tabelle ist bei Bedarf zu ergänzen.

Technische und organisatorische Maßnahmen

– Anlage 5 –

Der Auftragnehmer hat an dieser Stelle die in seinem Betrieb implementierten technischen und organisatorischen Maßnahmen gem. Art 32 DSGVO als Anlage 5 dieser Vereinbarung beizufügen.

Die Anlage wird Bestandteil dieser Vereinbarung.

[…]