[Seite 1]

Anlage 9 zum Vertrag vom (Datum)

Vereinbarung über Auftragsverarbeitung i. S. d. Art. 28 Abs. 3

Datenschutz-Grundverordnung (DS-GVO)

zwischen

Hamburg Messe und Congress GmbH Messeplatz 1 202357 Hamburg Deutschland

vertreten durch die Geschäftsführer […]

nachfolgend „HMC“ - und
Auftragsverarbeiter -

Präambel Dieser Auftragverarbeitsungsvertrag konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus der im Vertrag [Bezeichnung des Hauptvertrags, Vertragsnummer oder Datum des Vertrags einfügen] (nachfolgend: „Vertrag“ oder „Leistungsverzeichnis“) in ihren Einzelheiten beschriebenen Auftragsverarbeitung ergeben (Auftragsverarbeitungsvertrag).

Sie findet Anwendung auf Tätigkeiten, die mit dem Vertrag in Zusammenhang stehen und bei denen Beschäftigte des Auftragsverarbeiters oder durch den Auftragsverarbeiter Beauftragte personenbezogene Daten (»Daten«) im Auftrag der HMC verarbeiten.

§ 1 Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung Der Auftragsverarbeiter erhebt und verarbeitet personenbezogene Daten im Auftrag von HMC. Aus dem Vertrag ergeben sich die konkreten Gegenstände des Auftrags sowie Art und Zweck der Verarbeitung. Die Laufzeit dieses Vertrags richtet sich nach den Regelungen aus dem Hauptvertrag. Die Regelungen zur Beendigung oder Kündigung des Nutzungsvertrages gelten entsprechend. Dieser Auftragsverarbeitungsvertrag gilt jedoch insofern über die Laufzeit des Nutzungsvertrages hinaus, sofern der Auftragsverarbeiter dann noch personen- bezogene Daten, die ihm zur Auftragserfüllung übermittelt wurden, speichert.

HMC kann diesen Vertrag jederzeit aus wichtigem Grund ohne Einhaltung einer Frist kündigen. Ein wichtiger Grund liegt u. a. vor, wenn der Auftragsverarbeiter in besonders schwerem Maße gegen die Bestimmung dieses Vertrages verstößt, der Auftragsverarbeiter beharrlich eine Weisung des Auftrag-gebers zu rechtmäßigen Datenverarbeitung nicht ausführen kann oder will oder der Auftragsverarbeiter den Zutritt von HMC zu Kontrollzwecken beharrlich vertragswidrig verweigert.

[Seite 2]

Art und Zweck der Auftragsverarbeitung durch den Auftragsverarbeiter sind in dem Vertrag unter § konkret beschrieben. Hierbei handelt es sich um:

Outsourcing des Rechenzentrums

Durchführung/Erbringung von Cloudleistungen (IaaS, SaaS, PaaS)

Auslagerung der Backup-Sicherheitsspeicherung und anderer Archivierungen

Konzeption/Implementierung/Migration/Wartung/Support, bei denen das Dienstleistende Unternehmen Zugang zu personenbezogenen Daten hat

Erbringung von Lohn- und Gehaltsbuchhaltungs- sowie Reisekostenabrechnungsdienstleistungen

Datenerfassung, Datenkonvertierung oder Einscannen von Dokumenten z.B. Erbringung von Callcenter-Dienstleistungen ohne wesentliche Entscheidungsräume

Adressverarbeitung zu Marketingzwecken wie Newsletter oder personalisierten Postsendungen

Beauftragung eines Callcenters für Kundensupport oder Kundengewinnung

Sicherheitsdienste/-personal, die Daten von Besuchern und Anlieferern erheben

Papier- und Aktenvernichtung einschließlich der Vernichtung von Datenträgern

Sonstiges:

Art der personenbezogenen Daten Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten/- kategorien:

Kontakt- und Identifikationsdaten z.B. Vor- und Nachname, Anschrift, Land, Telefon/Mobilfunk, E-Mail-Adresse, Titel

Beschäftigtendaten z.B. Arbeitsvertragsdaten, Lohn- und Gehaltsabrechnungsdaten, Personalaktendaten, Zeit- und Abwesenheitsdaten, Bewerberdaten, Weiterbildungs- und Qualifikationsdaten, Personalnummer

Kommunikations- und Netzwerkdaten z.B. IP-Adresse, Netzwerkidentifikationsinformationen, Passwörter, Telefon- und Internetverbindungsdaten

Finanz- und Versicherungsdaten z.B. Daten zu Bank- und Kreditkartenkonten, Zahlungsdienstdaten, Bonitätsangaben bzw. sonstige Auskunftsangaben (von Dritten, z.B. Auskunfteien, oder aus öffentlichen Verzeichnissen), Versicherungsschadensdaten

[Seite 3]

Besondere Kategorien personenbezogener Daten gem. der Aufzählung in Art. 9 DS-GVO

Weitere personenbezogene Daten (Bitte detailliert aufführen) z.B. Daten aus Umfragen, Reise(buchungs)daten, Verhaltens- und Meinungsdaten oder Daten aus Foren/Social Media/Blogs

Kategorien betroffener Personen Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen:

Beschäftigte (inkl. BewerberInnen)

Beschäftigte von Fremdfirmen (z.B. LeiharbeitnehmerInnen, freie BeraterInnen/Freelancer )

Gesellschafter/Aktionäre

Dienstleistende/LieferantInnen und deren Beschäftigte

Kundschaft (Ausstellende, Besuchende, Teilnehmende) und deren Beschäftigte

InteressentInnen/potenzielle Kundschaft

Multiplikatoren

Sonstige:

§ 2 Anwendungsbereich und Verantwortlichkeit (1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag der HMC. Dies umfasst Tätigkeiten, die im Vertrag und im Leistungsverzeichnis konkretisiert sind. Die HMC ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragsverarbeiter sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich (»Verantwortliche(r)« im Sinne des Art. 4 Nr. 7 DS-GVO).

(2) Die Weisungen werden durch Vertrag/Rahmenvertrag/Leistungsbeschreibung [Alternativfeld] festgelegt und können von der HMC danach schriftlich oder in Textform (z.B. E-Mail) an die vom Auftragsverarbeiter bezeichnete Stelle durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Weisungen, die im Vertrag nicht vorgesehen sind, werden als Antrag auf Leistungsänderung behandelt. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform vom Auftragsverarbeiter zu bestätigen.

§ 3 Pflichten des Auftragsverarbeiters (1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten, die Gegenstand des Auftrags sind, nur im Rahmen des Auftrages und der Weisungen der HMC außer es liegt ein Ausnahmefall im Sinne des Artikel 28 Abs. 3 a) DS-GVO vor und dessen Voraussetzungen werden gewahrt.

[Seite 4]

(2) Der Auftragsverarbeiter informiert die HMC unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Gesetze verstößt. Der Auftragsverarbeiter darf die Umsetzung der Weisung solange aussetzen, bis sie von der HMC bestätigt oder abgeändert wurde.

(3) Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten von HMC , die den Anforderungen der Datenschutz-Grundverordnung (Art. 32 DS-GVO) genügen. Der Auftragsverarbeiter hat insbesondere technische und organisatorische Maßnahmenzu treffen, die gemessen am Risiko für die Rechte und Freiheiten der betroffenen Personen, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer gewährleisten. Hierzu werden die in Anlage 1 genannten Maßnahmen als Mindeststandard verbindlich festgelegt. Der Auftragsverarbeiter hat die erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung zu dokumentieren und der HMC zur Einsicht bereitzustellen. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der in Anlage 1 genannten Maßnahmen nicht unterschritten werden. Die ergriffenen Maßnahmen sind von dem Auftragsverarbeiter nachweisbar zu dokumentieren.

(4) Der Auftragsverarbeiter unterstützt die HMC angemessen bei der Erfüllung der Anfragen und Ansprüche betroffenen Personen gem. Kapitel III der DS-GVO sowie bei der Einhaltung der in Artt. 33 bis 36 DS-GVO genannten Pflichten. Im Falle einer Inanspruchnahme der HMC durch eine betroffene Person hinsichtlich etwaiger Schadensersatzansprüche nach Art. 82 DS-GVO, verpflichtet sich der Auftragsverarbeiter die HMC bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten zu unterstützen.1 Eine Haftung des Auftragnehmers gegenüber HMC wegen Verletzung von Pflichten aus diesem Vertrag oder dem Nutzungsvertrag bleibt hiervon unberührt.

(5) Der Auftragsverarbeiter gewährleistet, dass es den mit der Verarbeitung der Daten der HMC befassten Beschäftigten und anderen für den Auftragsverarbeiter tätigen Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten. Ferner gewährleistet der Auftragsverarbeiter, dass sich die mit der Verarbeitung der personenbezogenen Daten zuständigen Personen zur Vertraulichkeit verpflichtet haben und diese Vertraulichkeitsverpflichtung auch nach Beendigung des Auftrags fortbesteht.

(6) Der Auftragsverarbeiter unterrichtet die HMC unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten der HMC bekannt werden. Eine Meldung von Datenschutzverletzungen muss mindestens enthalten:

▪ Angaben über den Zeitpunkt des Vorfalls,

1 In dieser Vereinbarung können die Parteien hierzu eine Vergütungsregelung für Unterstützungsleistungen, die nicht in der Leistungsbeschreibung enthalten oder die über die gesetzlichen Pflichten des Processors hinausgehen oder nicht auf ein Fehlverhalten des Processors zurückzuführen sind, treffen.

[Seite 5]

▪ eine Beschreibung des Vorfalls, soweit möglich mit Angabe der Art der Verletzung des Schutzes personenbezogener Daten, Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze

▪ den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen

▪ eine Beschreibung der wahrscheinlichen Folgen des gemeldeten Vorfalls,

▪ eine Beschreibung der ergriffenen Maßnahmen zur Behebung und ggf. Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Der Auftragsverarbeiter ist verpflichtet, für die Meldung eines Datenschutzvorfalls an HMC das in Anlage 3 bereitgestellte Formular zu verwenden. Soweit erforderlich, hat er ergänzende Mitteilungen vorzunehmen.

(7) Der Auftragsverarbeiter nennt der HMC den/die AnsprechpartnerIn für im Rahmen des Vertrages anfallende Datenschutzfragen.

(8) Der Auftragsverarbeiter gewährleistet, ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung einzusetzen (Art. 32 Abs. 1 lit. d DS-GVO).

(9) Während der Vertragslaufzeit berichtigt, löscht oder sperrt der Auftragsverarbeiter auf Weisung der HMC die vertragsgegenständlichen Daten. Sofern eine datenschutzkonforme Löschung dieser Daten nicht möglich ist, stellt der Auftragsverarbeiter eine datenschutzkonforme Vernichtung der Datenträger und Unterlagen, die vertragsgegenständliche Daten enthalten, sicher, einschließlich der dem auftragsverarbeitenden Unternehmen vom Auftragsverarbeiters übergebene Datenträger und verarbeitete Daten einschließlich gefertigter Kopien. In besonderen, von der HMC zu bestimmenden Fällen, erfolgt eine Aufbewahrung bzw. Übergabe. Vergütung und Schutzmaßnahmen hierzu sind gesondert zu vereinbaren, sofern nicht im Vertrag bereits vereinbart.2 Gesetzliche Aufbewahrungsfristen des Auftragsverarbeiters und etwaiger Unterauftragsverarbeiter bleiben unberührt.

(10) Daten, Datenträger sowie sämtliche Dokumente sind nach Auftragsende auf Verlangen (schriftlich oder in Textform) der HMC entweder herauszugeben, sofern sie im Eigentum der HMC sind, oder zu löschen. Im Falle einer Löschung stellt der Auftragsverarbeiter der HMC gemäß Art. 5 Abs. 2 DSGVO eine Löschbescheinigung aus, in der dokumentiert ist, was, wann und wie und durch wen gelöscht wurde. Entstehen zusätzliche Kosten durch abweichende Vorgaben bei der Herausgabe oder Löschung der Daten, so trägt diese die HMC.

§ 4 Pflichten der HMC

2 In dieser Vereinbarung können die Parteien hierzu eine Vergütungsregelung treffen.

[Seite 6]

(1) Die HMC hat den Auftragsverarbeiter unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten feststellt. Dazu kann er das in Anlage 2 enthaltene Formular nutzen.

(2) Im Falle einer Inanspruchnahme des Auftragsverarbeiters durch eine betroffene Person hinsichtlich etwaiger Schadensersatzansprüche nach Art. 82 DS-GVO, gilt §3 Abs. 4 entsprechend.

§ 5 Anfragen betroffener Personen Wendet sich eine betroffene Person mit Anträgen gemäß Art. 15 bis 21 DS-GVO an den Auftragsverarbeiter, wird die HMC die betroffene Person unverzüglich an den Auftragsverarbeiter verweisen und leitet den Antrag an den Auftragsverarbeiter weiter.

§ 6 Nachweismöglichkeiten (1) Der Auftragsverarbeiter weist der HMC die Einhaltung der in diesem Vertrag niedergelegten Pflichten mit geeigneten Mitteln nach. Der Auftragsverarbeiter verpflichtet sich, der HMC auf Anforderung die dokumentierten Kontrollen und erforderlichen Auskünfte zur Verfügung zu stellen. Insbesondere ist die Umsetzung der technischen und organisatorischen Maßnahmen gemäß Art 32 DS-GVO nachzuweisen.

(2) Der Nachweis der Einhaltung der in diesem Vertrag niedergelegten Pflichten kann erfolgen durch

aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT- Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren)

Selbstaudits

eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz, ISO 27001, ISO 27018, ISO 27701)

die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO

die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DS-GVO

Vereinbarung zwischen HMC und Auftragnehmer, dass der Nachweis auch durch folgende Unterlagen / Zertifikate erbracht werden kann: ➢ ➢ ➢

(3) Kontrollrechte a. Der Auftragsverarbeiter erklärt sich damit einverstanden, dass HMC jederzeit berechtigt ist, die Einhaltung der Vorschriften über den Datenschutz und die Einhaltung der vertraglichen Pflichten zu kontrollieren. Der Auftragsverarbeiter verpflichtet sich, der HMC bei ihren Prüfungen gemäß Art. 28 Abs. 3 Satz 2 lit. h DS-GVO zur Einhaltung der Vorschriften zum

[Seite 7]

Datenschutz sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang zu unterstützen.

b. Die Prüfungen werden durch die HMC selbst oder einen von ihr beauftragten Dritten durchgeführt. Sollte der durch die HMC beauftragte Dritte in einem Wettbewerbsverhältnis zu dem Auftragsverarbeiter stehen, hat der Auftragsverarbeiter gegen diesen ein Einspruchsrecht. Beauftragte Dritte müssen durch die HMC zur Verschwiegenheit verpflichtet werden. Dem Auftragsverarbeiter steht das Recht zu, die Abgabe einer separaten Verschwiegenheitserklärung des beauftragten Dritten zu verlangen. Dies gilt insbesondere für die Abgabe von Erklärungen zur berufsrechtlichen oder gesetzlichen Verschwiegenheit.

c. Eine Prüfung kann insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch weitere Maßnahmen erfolgen. Zu den weiteren Maßnahmen zählen die Anforderung von Zertifizierungen, Berichte zu Datenschutzaudits und Inspektionen vor Ort. Inspektionen vor Ort nimmt die HMC mit angemessener Vorankündigung während der üblichen Geschäftszeiten vor. Die Prüfungen müssen ohne Störung des Betriebsablaufs sowie unter Wahrung der Sicherheits- und Vertraulichkeitsinteressen des Auftragsverarbeiters durchgeführt und auf eine angemessene Anzahl beschränkt werden. Ausgenommen sind anlassbezogene Kontrollen. Sofern nicht ein wichtiger Grund für eine aktuelle Kontrollmaßnahme vorliegt, ist die Kontrollmaßnahme mit einer Frist von einer Woche anzukündigen. Jede Partei trägt die ihr entstandenen Kosten der Prüfungen in den vorgenannten Fällen (inkl. Nachprüfungen) selbst.

§ 7 Weitere Auftragsverarbeiteren (Unterauftragsverhältnisse) (1) Ein Unterauftragsverhältnis liegt vor, wenn der Auftragsverarbeiter weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) mit im Vertrag vereinbarten Verarbeitung personenbezogener Daten beauftragt. Der Auftragsverarbeiter wird mit diesen Dritten im erforderlichen Umfang Vereinbarungen treffen, um angemessene Datenschutz- und Informationssicherheitsmaßnahmen zu gewährleisten.

(2) Der Einsatz von Unterauftragsverarbeitern ist nur zulässig, wenn der Auftragsverarbeiter vorher ausdrücklich zugestimmt hat.

(3) Beauftragung von Unterauftragsverarbeitern Die HMC kann eine allgemeine und jederzeit widerrufliche Zustimmung, dass der Auftragsverarbeiter Unterauftragsverarbeiter hinzuzieht erteilen. Vor Hinzuziehung oder Ersetzung der SubunternehmerInnen informiert der Auftragsverarbeiter die HMC. Die HMC kann dem Unterauftragsverhältnis – innerhalb einer angemessenen Frist – sachlichem Gründen, nach billigem Ermessen – gegenüber dem Auftragsverarbeiter widersprechen. Erfolgt kein Widerspruch innerhalb der Frist gilt die Zustimmung zur Änderung als gegeben. Sofern eine einvernehmliche Lösungsfindung zwischen den Parteien nicht möglich ist, wird der HMC ein Sonderkündigungsrecht eingeräumt, sofern sie einen berechtigten Grund für dien Widerspruch anführen kann. Soweit sich die tatsächlichen oder rechtlichen Umstände bei der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters ändern, gilt die vorgenannte Einspruchsfrist entsprechend; in diesem Fall kann

[Seite 8]

HMC also erneut innerhalb einer Frist von zwei Wochen unter Berücksichtigung billigen Ermessens gegen den Einsatz des Unterauftragsverarbeiters Einspruch erheben.

(4) Der Auftragsverarbeiter muss den Unterauftragsverarbeiter sorgfältig auswählen. Erteilt der Auftragsverarbeiter Aufträge an SubunternehmerInnen, so obliegt es dem Auftragsverarbeiter, seine datenschutzrechtlichen Pflichten aus diesem Vertrag dem/der SubunternehmerIn zu übertragen.

Die nachfolgend zu diesem Vertrag aufgeführten SubunternehmerInnen gelten als genehmigt. Name und Anschrift SubunternehmerIn Beschreibung der Teilleistungen

§ 8 Übermittlung in Drittstaaten Option 1 : Es findet keine Übermittlung in Drittstaaten statt.

(1) Option 2 : Eine Übermittlung findet nur auf dokumentierte Weisung des Verantwortlichen in Drittstaaten außerhalb der EU und des EWR statt, sofern die Voraussetzungen nach Art. 44ff DS-GVO eingehalten werden.

(2) Die Vertragsparteien halten in diesem Vertrag fest, auf welche Art und Weise das angemessene Schutzniveau für die Verarbeitung im Drittstaat sichergestellt ist. Das angemessene Schutzniveau in [Land eintragen] wird eingehalten durch (eine Variante wählen):

durch einen Angemessenheitsbeschluss der Kommission (Art. 45 Abs. 3 DS- GVO);

wird hergestellt durch verbindliche interne Datenschutzvorschriften ggf. inklusive zusätzlicher Schutzmaßnahmen (Artt. 46 Abs. 2 lit. b i.V.m. 47 DS- GVO

wird hergestellt durch entsprechend modulierte Standarddatenschutzklauseln ggf. inklusive zusätzlicher Schutzmaßnahmen (Art. 46 Abs. 2 litt. c und d DS-GVO);

wird hergestellt durch genehmigte Verhaltensregeln (Artt 46 Abs. 2 lit. e i.V.m. 40 DS-GVO);

wird hergestellt durch einen genehmigten Zertifizierungsmechanismus (Art. 46 Abs. 2 lit. f i.V.m. 42 DS-GVO);

wird hergestellt durch sonstige Maßnahmen: (Art. 46 Abs 2 lit. a, Abs. 3 litt. a und b DS-GVO)

Der Auftragsverarbeiter ist berechtigt, das angemessene Schutzniveau auch auf andere in Art. 44ff DS-GVO vorgesehene Art und Weise sicherzustellen. Er informiert die HMC hierüber vorab.

[Seite 9]

(3) Ist hierzu nichts im Vertrag vereinbart, ist die Verarbeitung in einem Drittstaat nur mit vorheriger ausdrücklicher Zustimmung der HMC zulässig. Der Auftragsverarbeiter teilt der HMC vorab mit, um welche(n) Drittstaat(en) es sich handelt und auf welche Weise das angemessene Schutzniveau im Sinne von Art. 44 ff DS-GVO für die Verarbeitung dort sichergestellt ist.

(4) Der Auftragsverarbeiter stellt einen Kontakt zur Verfügung, den die HMC Betroffenen als Stelle mitteilen kann, bei dem die Garantien verfügbar sind bzw. eine Kopie der Garantie angefordert werden kann. Kontakt:

§ 9 Haftung gegenüber Dritten Variante 1 HMC und Auftragsverarbeiter haften gegenüber betroffener Personen entsprechend der in Art. 82 DS-GVO getroffenen Regelung.

Variante 2 Eine zwischen den Parteien im Leistungsvertrag (Hauptvertrag zur Leistungserbringung) vereinbarte Haftungsregelung gilt auch für die Auftragsverarbeitung.

§ 10 Informationspflichten, Schriftformklausel, Rechtswahl, Kündigung (1) Dieser Vertrag tritt mit beiderseitiger Unterzeichnung in Kraft.

(2) Sollten die Daten von HMC beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragsverarbeiter die HMC unverzüglich darüber zu informieren. Der Auftragsverarbeiter wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich bei der HMC als »Verantwortliche(r)« im Sinne der DS-GVO liegen.

(3) Änderungen und Ergänzungen dieses Auftragverarbeitsungsvertrags und aller ihrer Bestandteile – einschließlich etwaiger Zusicherungen des Auftragsverarbeiters – bedürfen einer schriftlichen Vereinbarung, die auch in einem elektronischen Format (Textform) erfolgen kann, und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

(4) Bei etwaigen Widersprüchen gehen Regelungen dieses Auftragverarbeitsungsvertrags den Regelungen des Vertrages vor. Sollten einzelne Teile dieses Auftragverarbeitsungsvertrags unwirksam sein, so berührt dies die Wirksamkeit dieses Auftragverarbeitsungsvertrags im Übrigen nicht.

(5) Es gilt ausschließlich deutsches Recht einschließlich der DS-GVO unter Ausschluss des UN Kaufrechts und des deutschen Kollisionsrechts. Gerichtsstand ist für beide Parteien Hamburg, sofern es sich bei dem Auftragsverarbeiter um einen Kaufmann, eine juristische Person des öffentlichen Rechts oder ein öffentlich- rechtliches Sondervermögen handelt oder sofern der Auftragsverarbeiter im Inland keinen allgemeinen Gerichtsstand hat.

[Seite 10]

(6) Dieser Vertrag wird in einer deutschen und in einer englischen Fassung erstellt. Bei Auslegungsschwierigkeiten oder Widersprüche ist allein die deutsche Fassung maßgebend.

(7) Die HMC kann den zugrundeliegenden Hauptvertrag und den AVV jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmenden gegen Datenschutzvorschriften oder die Bestimmungen dieses AVV vorliegt.

xxx, den xx.xx.20xx Hamburg, den xx.xx.20xx

……………………………………….. ………………………………………………. Auftragsverarbeiter Hamburg Messe und Congress GmbH vertreten durch: vertreten durch:

[Seite 11]

Anlage 1 zur Vereinbarung über Auftragsverarbeitung i. S. d. Art. 28 Abs. 3 Datenschutz-Grundverordnung (DS-GVO)

Technischen und organisatorischen Maßnahmen

a. VERTRAULICHKEIT (Art. 32 (1) lit. B DS-GVO)

Zutrittskontrolle Kein unbefugter Zutritt zur Datenverarbeitungsanlagen, z.B. durch: Zutrittskontrollsystem wie Ausweisleser, Magnetkarte, Chipkarte, Schlüssel / Schlüsselvergabe, Türsicherung (elektrische Türöffner usw.), Werkschutz, Pförtner, Überwachungseinrichtung wie Alarmanlage, Video- / Fernsehmonitor Maßnahme(n): (bitte ausfüllen)

Zugangskontrolle Keine unbefugte Systembenutzung, z.B. durch: (sichere) Kennwörter, automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern Maßnahme(n): (bitte ausfüllen)

Zugriffskontrolle Kein unbefugte Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, z.B. durch: Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen Maßnahme(n): (bitte ausfüllen)

Trennungskontrolle Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, z.B. durch: Mandantenfähigkeit, Sandboxing (= isolierter Bereich) Maßnahme(n): (bitte ausfüllen)

Pseudonymisierung Verarbeitung von Daten so, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen Person zugeordnet werden können. Maßnahme(n): (bitte ausfüllen)

b. INTEGRITÄT (Art. 32 (1) lit. b DS-GVO)

Weitergabekontrolle Kein unbefugte Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport, z.B. durch: Verschlüsselung, Tunnelverbindung (VPN = Virtual Private Network, elektronische Signatur Maßnahme(n): (bitte ausfüllen)

Eingabekontrolle

[Seite 12]

Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, z.B. durch: Protokollierung, Dokumentenmanagement Maßnahme(n): (bitte ausfüllen)

c. VERFÜGBARKEIT und BELASTBARKEIT (Art. 32 (1) lit. b DS-GVO)

Verfügbarkeitskontrolle Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z.B. durch: Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne, rasche Wiederherstellbarkeit (Art. 32 (1) lit. C DS-GVO) Maßnahme(n): (bitte ausfüllen) Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DS-GVO)

d. VERFAHREN ZUR REGELMÄSSIGEN ÜBERPRÜFUNG, BEWERTUNG UND EVALUIERUNG (Art. 32 (1) lit. D, Art. 25 (1) DS-GVO)

Datenschutz-Management-System (DMS) Gesamtheit aller dokumentierten und implementierten Regelungen, Prozesse und Maßnahmen dar, mit denen der datenschutzkonforme Umgang mit personenbezogenen Daten im Unternehmen systematisch gesteuert und kontrolliert wird, z.B.: Rechenschaftspflicht, Zuweisung von Verantwortlichkeiten, Verzeichnis von Verarbeitungstätigkeiten, Mitarbeiterverpflichtung auf Vertraulichkeit und Integrität, Datenschutz- Folgeabschätzung, Auftragsverarbeitung, Melde- und Benachrichtigungspflichten Maßnahme(n): (bitte ausfüllen)

Incident-Response-Management (= Notfallmanagement) Notfallplan inklusive Kommunikationsmanagement z.B. Wissen zu den Meldepflichten, datenschutzkonformes Reporting Maßnahme(n): (bitte ausfüllen)

Datenschutzfreundliche Voreinstellungen (Art. 25 (2) DS-GVO) z.B. durch Double-Opt-in-Verfahren oder Checkboxen ohne gesetzten Haken Maßnahme(n): (bitte ausfüllen)

Auftragskontrolle Keine Auftragsverarbeitung ohne entsprechende Weisung des Auftraggebers, z.B. durch: eindeutige Vertragsgestaltung, strenge Auswahl des Dienstleisters, Nachkontrollen, Vorabüberzeugungspflicht, formalisiertes Auftragsmanagement Maßnahme(n): (bitte ausfüllen)

[Seite 13]

Anlage 2 zur Vereinbarung über Auftragsverarbeitung i. S. d. Art. 28 Abs. 3 Datenschutz-Grundverordnung (DS-GVO)

Mustervorlage Meldebogen Datenschutzvorfall – Vorlage für HMC (Verantwortliche) – nur auszufüllen bei Datenschutzvorfall während des Vertragszeitraums

Meldende Person:

Telefon:

E-Mail-Adresse:

Verantwortliche(r) (Name, Adresse): Hamburg Messe und Congress GmbH, Messeplatz 1, 20357 Hamburg

Auftragsverarbeiter (Name, Adresse):

Datenschutzbeauftragte(r) beim Auftragsverarbeiter:

AnsprechpartnerIn für weitere Fragen:

Bericht zum Vorfall:

Beschreibung des Vorfalls:
Kategorie der Betroffenen:
Anzahl bzw. ungefähre Zahl der Betroffenen:
Anzahl bzw. ungefähre Zahl der Daten/Datensätze:
Betroffene Daten:
Mögliche/wahrscheinliche Folgen des Vorfalles:
Sofern eingeleitete Maßnahmen zur Behebung des Vorfalles oder Reduzierung des Risikos:
Besteht eine Meldepflicht gegenüber der Aufsichtsbehörde? Bitte begründen Sie Ihre Einschätzung:
Falls eine Meldepflicht gegenüber der Aufsichtsbehörde besteht, wann (Datum und Uhrzeit) und in welcher Form wurde die Aufsichtsbehörde informiert?

10.Besteht eine Meldepflicht gegenüber den Betroffenen? Bitte begründen Sie Ihre Einschätzung:

Falls eine Meldepflicht gegenüber den Betroffenen besteht, wann (Datum und Uhrzeit) und in welcher Form wurde die Aufsichtsbehörde informiert?
Meldepflicht gemäß Art. 33/34 DS-GV - bitte Zutreffendes ankreuzen:

Interne Dokumentation gemäß Art. 33 Abs. 5 DS-GVO

[Seite 14]

Meldung an Aufsichtsbehörde

Benachrichtigung der Betroffenen

Maßnahmen, die ergriffen werden/wurden, um zukünftige Vorfälle derselben Art zu verhindern:

Bericht erstellt von/ am

[Seite 15]

Anlage 3 zur Vereinbarung über Auftragsverarbeitung i. S. d. Art. 28 Abs. 3 Datenschutz-Grundverordnung (DS-GVO)

Mustervorlage Meldebogen Datenschutzvorfall – Vorlage für Auftragsverarbeiter - nur auszufüllen bei Datenschutzvorfall während des Vertragszeitraums

Meldende Person:

Telefon:

E-Mail-Adresse:

Auftragsverarbeiter (Name, Adresse):

Datenschutzbeauftragte(r) beim Auftragsverarbeiter:

AnsprechpartnerIn für weitere Fragen:

Bericht zum Vorfall:

Wann (Datum/Uhrzeit) ist der Datenschutzvorfall aufgetreten und wann (Datum/Uhrzeit) wurde er von wem festgestellt?
Wer (Name/Position/ArbeitgeberIn) hat den Datenschutzvorfall festgestellt?
Was ist konkret vorgefallen, was haben Sie festgestellt (Ursache, Auswirkung)?
Welche Systeme oder Verfahren sind betroffen?
Sind externe Dienstleistungsunternehmen (z.B. für Kuvertierung/Druck) o.ä. involviert? Bitte benennen:
Bitte kategorisieren Sie die betroffenen Daten (bitte ankreuzen): Namen von natürlichen Personen, gegebenenfalls auch Personenstandsdaten, Kontaktdaten, Vertragsdaten

rassische oder ethnische Herkunft

politische Meinung

religiöse oder weltanschauliche Überzeugungen

Gewerkschaftszugehörigkeit

genetische / biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person

Gesundheitsdaten

Sexualleben oder sexuelle Orientierung einer natürlichen Person

[Seite 16]

Daten über strafrechtliche Verurteilungen und Straftaten andere Daten, nämlich:

Anzahl der betroffenen Personen/Datensätze (falls bekannt oder abschätzbar):
Besteht das Problem weiterhin?
Wurden bereits Maßnahmen zur Abmilderung von möglichen nachteiligen Auswirkungen eingeleitet?

JA NEIN

Wenn ja, welche und wann (Datum/Uhrzeit) wurden diese Maßnahmen eingeleitet?

Wurden bereits Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten eingeleitet?

JA NEIN

Wenn ja, welche und wann (Datum/Uhrzeit) wurden diese Maßnahmen eingeleitet?

Besteht ein Missbrauchsrisiko oder ein Risiko für die Rechte und Freiheiten natürlicher Personen? (bitte kurz begründen)

Bericht erstellt von/ am

Anlage 9 zum Vertrag Vereinbarung zur Auftragsverarbeitung 2024_D_final.pdf

Vereinbarung über Auftragsverarbeitung i. S. d. Art. 28 Abs. 3

Datenschutz-Grundverordnung (DS-GVO)