Vereinbarung über die Auftragsverarbeitung personenbezogener Daten

auf der Grundlage der Regelungen der Datenschutzgrundverordnung (DSGVO) nach den Art. 28 ff

zwischen

dem Oberbürgermeister der Stadt Köln (Verantwortliche),

vertreten durch

Bürgerdienste / Wahlamt

(im Folgenden Auftraggeber genannt),

und

XXX(Auftragsverarbeiter), vertreten durch

ggf. Geschäftsführer

(im Folgenden Auftragnehmer genannt)

wird folgender Vertrag geschlossen.

§ 1 – Vertragsgegenstand

Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers

zur Produktion der Stimmzettel (Los 2 der Leistungsbeschreibung für Druckdienstleistungen für die Landtagswahl 2027)

Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den europäischen Wirtschaftsraum statt.

Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff DSGVO erfüllt sind.

§ 2 – Konkretisierung des Auftragsinhalts

(1) Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber sind konkret beschrieben in der Leistungsvereinbarung vom XXX, die als Anlage Bestandteil des Vertrages ist

(2) Art der Daten

Die Art der verwendeten personenbezogenen Daten ist in der Leistungsvereinbarung, die als Anlage 1 Bestandteil dieses Vertrages ist, konkret beschrieben.

Bereitstellung und Austausch der Daten

Die Bereitstellung der Daten durch die Auftraggeberin erfolgt nach Maßgabe des o.g. Auftrags. Nähere Abstimmungen erfolgen nach Auftragsvergabe zwischen Auftraggeberin und Auftragnehmer.

Daten sind vor und nach dem Austausch auf Computer-Viren zu überprüfen.

Risikobewertung/ Ermittlung des Schutzbedarfes

Zur Feststellung des angemessenen Schutzniveaus erfolgt eine Bewertung des Risikos bzw. der Einschränkung der Persönlichkeitsrechte der Betroffenen bei Verlust oder Missbrauch der zu verarbeitenden personenbezogenen Daten auf der Grundlage eines Datenklassifizierungsbogens (s. Checkliste Datenschutz, Seite 1 Ziff. 2). In diesem werden Schutzstufen von A (niedriger Schutzbedarf) bis E (höchster Schutzbedarf) analog der Orientierungshilfe der Datenschutzbeauftragten des Bundes und der Länder festgelegt.

§ 3 – Datenschutzbestimmungen

Der Auftragnehmer (Auftragsverarbeiter) unterwirft sich bei der Verarbeitung der personenbezogenen Daten denselben Anforderungen, die für den Auftraggeber (Verantwortlicher) gelten. Er hat insbesondere die einschlägigen Vorschriften der DSGVO sowie ggf. spezialgesetzliche Regelungen in der gültigen Fassung einzuhalten.

§ 4 – Allgemeine Rechte und Pflichten des Auftraggebers (Verantwortlicher)

Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich.
Der Auftraggeber hat das Recht, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Er ist berechtigt, im Rahmen der Beauftragung Weisungen zum Schutz personenbezogener Daten zu erteilen und diese zu dokumentieren. Die Einhaltung der Vorschriften über den Datenschutz und der von ihm getroffenen Weisungen kann er jederzeit überprüfen.
Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln.

§ 5 – Technische und Organisatorische Maßnahmen

Der Auftragnehmer hat die Umsetzung der im Rahmen der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Aufgabendurchführung zu dokumentieren. Die umzusetzenden technischen und organisatorischen Maßnahmen sind in der Checkliste Datenschutz (s. Anlage) dargestellt. Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage dieses Auftrages.

(2) Der Auftragnehmer hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DSGVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen. Einzelheiten möglicher Maßnahmen sind in der Checkliste Datenschutz (s. Anlage) benannt.

(3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind schriftlich zu dokumentieren.

§ 6 – Qualitätssicherung und sonstige Pflichten des Auftragnehmers (Auftragsverarbeiter)

(1) Der Auftragnehmer wird schriftlich einen Datenschutzbeauftragten bestellen, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt.

Dessen Kontaktdaten werden dem Auftraggeber zum Zwecke der direkten Kontaktaufnahme mitgeteilt. Ein Wechsel des Datenschutzbeauftragten wird dem Auftraggeber unverzüglich mitgeteilt.

(2) Die Auftragsverarbeitung ist grundsätzlich von dem Auftragnehmer selbst zu erbringen. Die Beauftragung Dritter (Unterauftragsverhältnis) ist nur mit vorheriger schriftlicher Zustimmung des Auftraggebers zulässig.

(3) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers.

(4) Der Auftragnehmer sichert die datenschutzkonforme Verarbeitung von personenbezogenen Daten und die vertragsmäßige Abwicklung aller vereinbarten Maßnahmen zu. Er stellt sicher, dass die verarbeiteten Daten von sonstigen Datenbeständen getrennt erstellt werden (Mandatierung).

(5) Bei der Auftragsverarbeitung sind die nach § 5 dieses Vertrages beschriebenen technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der personenbezogenen Daten durch den Auftragnehmer zu ergreifen, umzusetzen und einzuhalten (vgl. Art. 28 Abs. 3 lit. c, 32 i.V.m. Art. 5 Abs. 1 und 2 DSGVO). Der Auftragnehmer weist die getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Auftraggeber im Rahmen dessen Kontrollbefugnisse nach § 9 dieses Vertrages nach. Der Nachweis zu den getroffenen technischen und organisatorischen Maßnahmen erfolgt über die Checkliste Datenschutz (s. Anlage), die Bestandteil dieser Vereinbarung ist.

(6) Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse insbesondere zu den ergriffenen technischen und organisatorischen Maßnahmen.

(7) Der Auftragnehmer unterrichtet den Auftraggeber umgehend über technische und organisatorische Unzulänglichkeiten der Datensicherung und bei jeglichem Verdacht auf Datenschutzverletzungen (Art. 33, 34 DSGVO) oder anderen Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten.

(8) Soweit die beim Auftragnehmer getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht genügen, benachrichtigt er den Auftraggeber unverzüglich.

(9) Die Verarbeitung von Daten in Privatwohnungen ist nur mit Zustimmung des Auftraggebers im Einzelfall gestattet.

(10) Sollte der Schutz personenbezogener Daten durch Maßnahmen Dritter, etwa durch Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber vor Umsetzung dieser Maßnahme zu verständigen. Das Eigentum des Auftraggebers (z. B. Datenträger, Arbeitskopien, Behältnisse) ist rechtzeitig zu kennzeichnen.

(11) Soweit vom Leistungsumfang erfasst, sind das Recht auf Vergessenwerden, Berichtigung und Auskunft der Betroffenen nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen (vgl. Art. 16ff DSGVO). Hierunter fallen auch ggf. mögliche Maßnahmen zur Pseudonymisierung/ Anonymisierung und Datenminimierung (vgl. Art. 25 DSGVO).

(12) Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

(13) Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeiten- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.

(14) Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer nach besten Kräften zu unterstützen.

(15) Der Auftraggeber und der Auftragnehmer führen zu dem Vertragsgegenstand ein Verarbeitungsverzeichnis nach Art. 30 DSGVO.

§ 7 – Verpflichtung zur Geheimhaltung/ Wahrung der Vertraulichkeit

(1) Der Auftragnehmer setzt für die auftragsgemäße Verarbeitung personenbezogener Daten nur Beschäftigte ein, die dem Datengeheimnis unterliegen bzw. der Vertraulichkeit verpflichtet sind (vgl. Art. 28 Abs. 3 S. 2 lit. b, 29 und 32 Abs. 4 DSGVO).

(2) Der Auftragnehmer verpflichtet sich, in sensiblen Bereichen, soweit beispielsweise Daten einem Berufs- oder besonderen Amtsgeheimnis unterliegen, nur Beschäftigte einzusetzen, die nach dem Verpflichtungsgesetz verpflichtet worden sind.

(3) Auskünfte darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen.

§ 8 – Zweckbindung

Der Auftragnehmer verpflichtet sich, die Daten ausschließlich zu dem in §§ 1 und 2 dieses Vertrages genannten Zwecke zu verwenden, sie insbesondere nicht zu anderen Zwecken zu verarbeiten oder an Dritte zu übermitteln.

§ 9 – Kontrollrechte des Auftraggebers –

(1) Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen (vgl. Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DSGVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen (s. § 5 dieses Vertrages).

(3) Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch

die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO,
die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO,
aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) oder
eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz).

§ 10 – Mitwirkung des Auftragnehmers bei der Erfüllung der Pflichten nach Art. 32 ff. DSGVO

Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 36 der DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutzfolgeabschätzungen und vorherige Konsultationen. Hierzu gehören u.a.

die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen (s. § 5 dieses Vertrages)
die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich an den Auftraggeber zu melden
die Verpflichtung, den Auftraggeber im Rahmen seiner Informationspflichten gegenüber dem Betroffenen zu unterstützen (insb. Art. 15 bis 21 DSGVO) und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen
die Unterstützung des Auftraggebers für dessen Datenschutzfolgenabschätzung und/ oder
die Unterstützung des Auftraggebers im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde.

§ 11 – Löschung und Rückgabe von personenbezogenen Daten

(1) Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

(2) Nach Abschluss der vertraglich vereinbarten Arbeiten – spätestens mit Beendigung der Leistungsvereinbarung – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das schriftliche Protokoll der Löschung ist dem Auftraggeber nach Beendigung der Arbeiten vorzulegen.

(3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

§ 12 – Kontrolle vor Ort und Zusammenarbeit mit der/ dem zuständigen

Landesdatenschutzbeauftragte/n (vgl. auch Art 31 DSGVO)

Der Auftragnehmer unterwirft sich der Kontrolle durch die/ den zuständige Landesdatenschutzbeauftragte/n.
Der Auftraggeber und der Auftragnehmer arbeiten bei der Erfüllung ihrer vertraglich vereinbarten Aufgaben vertrauensvoll und konstruktiv mit der/ dem zuständigen Landesdatenschutzbeauftragte/n zusammen.
Der Auftragnehmer und Auftragnehmer informieren sich gegenseitig unverzüglich über Kontrollhandlungen bzw. Maßnahmen durch die/ den Landesdatenschutzbeauftragte/n.

§ 13 – Schadensersatz und Haftung

(1) Der Auftragnehmer haftet dem Auftraggeber für Schäden, die er, seine Mitarbeiter bzw. die von ihm mit der Vertragsdurchführung Beauftragten oder seine Unterauftragnehmer bei der Erbringung der vertraglichen Leistung schuldhaft verursachen.

(2) Der Auftragnehmer stellt den Auftraggeber frei von Ansprüchen nach Maßgabe des Art. 82 Abs. 1 DSGVO die dem Auftraggeber in Durchführung dieses Vertrages durch den Auftragnehmer als Daten verarbeitende Stelle entstehen, soweit er diese zu vertreten hat.

§ 14 – Vereinbarungsdauer; Kündigung

(1) Diese Vereinbarung wird im Falle der Zuschlagserteilung geschlossen.

(2) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Auftraggeber und Auftragnehmer können diese Vereinbarung jederzeit ohne Einhaltung einer Frist (außerordentlich) kündigen, wenn ein schwerwiegender Verstoß des jeweils anderen gegen datenschutzrechtliche Bestimmungen oder ein schwerwiegender Verstoß gegen andere Festlegungen dieser Vereinbarung vorliegt.

§ 15 – Schriftform

Änderungen des Vertrages bedürfen der Schriftform. Dies gilt auch für das Schriftformerfordernis selbst.

§ 16 – Wirksamkeit der Vereinbarung

Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

__________________ __________________

Unterschrift/ Datum Unterschrift/ Datum

Auftragnehmer Auftraggeber

Anlage 3b_MV_Auftragsverarbeitung nach DSGVO_Los 2.docx