A n l a g e 1: Rechte und Pflichten des Auftraggebers und des Auftragsverarbeiters bei der Auftragsdatenverarbeitung zum Vertrag über eine Auftragsdatenverarbeitung nach Art. 28 EU-DSGVO
- Pflichten des Auftragsverarbeiters
1.1.
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur auf dokumen-
tierte Weisung des Auftraggebers - auch in Bezug auf die Übermittlung personenbe-
zogener Daten an ein Drittland oder eine internationale Organisation, sofern er nicht
durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter un-
terliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem
Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das
betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen In-
teresses verbietet.
Der Auftragsverarbeiter wird in seinem Verantwortungsbereich die innerbetriebliche
Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschut-
zes gerecht wird. So trifft er alle nach Art. 32 EU-DSGVO erforderlichen technischen
und organisatorischen Maßnahmen. Art. 32 Abs. 1 EU-DSGVO regelt hierzu:
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unter- schiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemes- senes Schutzniveau zu gewährleisten; diese Maßnahmen schließen unter anderem Folgendes ein: a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten; b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzu- stellen; c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzu- stellen; d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleis- tung der Sicherheit der Verarbeitung.
Der Auftragsverarbeiter unternimmt zudem Schritte, um sicherzustellen, dass ihm un-
terstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben,
1
diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind
nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.
Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnah-
men, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezo-
gene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck
erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobe-
nen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist
und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen,
dass personenbezogene Daten durch Voreinstellungen so gesichert sind, dass diese
Daten nicht ohne aktives Eingreifen einer unbestimmten Zahl von natürlichen ande-
ren Personen zugänglich gemacht werden.
1.2
Der Auftragsverarbeiter stellt dem Auftraggeber zu Beginn dieses Vertrages in An-
lage 2 ein umfassendes und aktuelles Datenschutz- und Sicherheitskonzept für diese
Auftragsdatenverarbeitung zur Verfügung. Dieses Konzept beschreibt nach Art. 32
Abs. 2 EU-DSGVO unter Berücksichtigung des Stands der Technik, der Implementie-
rungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbei-
tung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risi-
kos für die Rechte und Freiheiten natürlicher Personen die vom Auftragsverarbeiter
getroffenen technischen und organisatorischen Maßnahmen, um ein dem Risiko an-
gemessenes Schutzniveau zu gewährleisten. Ferner sind die Voreinstellungen dar-
zustellen, die u. a. gewährleisten, dass grundsätzlich nur personenbezogene Daten,
deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich
ist, verarbeitet werden.
Der Auftragsverarbeiter kontrolliert regelmäßig die internen Prozesse sowie die tech-
nischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verar-
beitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des
geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Per-
sonen gewährleistet wird.
Änderungen in diesem Konzept sind dem Auftraggeber vorher so rechtzeitig anzuzei-
gen, dass diesem genügend Zeit bleibt, um auf Änderungen entsprechend reagieren
zu können. Die jeweils aktuelle Fassung des Konzepts wird dem Auftraggeber zur
2
Kenntnisnahme und Zustimmung mindestens vier Wochen vor Umsetzung des Kon-
zepts übersandt.
1.3.
Der Auftragsverarbeiter stellt dem Auftraggeber die für die Erstellung des Verzeich-
nisses von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 EU-DSGVO programm- bzw.
verarbeitungsspezifischen notwendigen Angaben zur Verfügung (Anlage 2). Der Auf-
traggeber sollte in seinem Verzeichnis der Verarbeitungstätigkeiten auf das gesamte
Vertragswerk zur Auftragsdatenverarbeitung verweisen.
Ferner führt der Auftragsverarbeiter selbst ein Verzeichnis zu allen Kategorien von im
Auftrag des Auftraggebers durchgeführten Tätigkeiten der Verarbeitung nach Art. 30
Abs. 2 EU-DSGVO. Dieses Verzeichnis ist schriftlich zu führen, was auch in einem
elektronischen Format erfolgen kann. Der Auftragsverarbeiter stellt der Aufsichtsbe-
hörde das Verzeichnis auf Anfrage zur Verfügung.
1.4
Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personen-
bezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder ei-
ner angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Das Datenge-
heimnis besteht auch nach Beendigung der Tätigkeit fort.
1.5.
Der Auftragsverarbeiter teilt dem Auftraggeber die Kontaktdaten des betrieblichen o-
der behördlichen Datenschutzbeauftragten mit.
1.6.
Der Auftragsverarbeiter unterrichtet die Auftraggeber unverzüglich bei schwerwie-
genden Störungen des Betriebsablaufes (z. B. technischer Art), im Falle einer Verlet-
zung des Schutzes personenbezogener Daten oder anderen Unregelmäßigkeiten bei
der Verarbeitung der Daten des Auftraggebers (Art. 33 Abs.2 EU-DSGVO).
3
1.7.
Datensicherungen sind vom Auftragsverarbeiter sorgfältig zu verwahren, so dass sie
Dritten nicht zugänglich sind. Der Auftragsverarbeiter ist verpflichtet, dem Auftragge-
ber jederzeit Auskünfte zu erteilen, soweit dessen Daten und Unterlagen betroffen
sind. Die datenschutzkonforme Vernichtung von Datensicherungen übernimmt der
Auftragsverarbeiter in regelmäßigen Abständen, mindestens alle 5 Jahre.
1.8.
Die Verarbeitung der Daten findet ausschließlich im Gebiet der Bundesrepublik
Deutschland statt. Die Verarbeitung der Daten in einem Mitgliedstaat der Europäi-
schen Union oder einem anderen Vertragsstaat des Abkommens über den Europäi-
schen Wirtschaftsraum bedarf der vorherigen Zustimmung des Auftraggebers.
1.9
Nach Ende der Verarbeitung muss der Auftragsverarbeiter nach Wahl des Auftragge-
bers diesem alle personenbezogene Daten entweder zurückgeben oder spätestens
innerhalb eines Monats löschen. Sofern die personenbezogenen Daten zurückgege-
ben werden, muss der Auftragsverarbeiter diese anschließend bei sich löschen. Der
Auftragsverarbeiter hat dem Auftraggeber die Löschung umgehend schriftlich zu be-
stätigen.
Die Bestimmungen des Landesarchivgesetzes sind zu beachten.
- Pflichten des Auftraggebers
2.1.
Der Auftraggeber hat den Auftragsverarbeiter unverzüglich und vollständig zu infor-
mieren, wenn er bei Nutzung der IT-Services Fehler oder Unregelmäßigkeiten be-
züglich datenschutzrechtlicher Bestimmungen feststellt.
2.2.
Der Auftraggeber, als für den Datenschutz Verantwortlicher, ist für die Erstellung des
Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 EU-DSGVO zustän-
dig.
4
2.3.
Dem Auftraggeber obliegt die Einhaltung der in den Artikeln 32 bis 36 EU-DSGVO
genannten Pflichten. Der Auftragsverarbeiter wird unter Berücksichtigung der Art der
Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortli-
chen bei der Einhaltung der in den Artikeln 32 bis 36 genannten Pflichten unterstüt-
zen.
Ferner obliegen dem Auftraggeber die aus den Artikeln 15 bis 21 EU-DSGVO resul-
tierenden Pflichten gegenüber den Betroffenen, insbesondere über Auskunft, Berich-
tigung und Löschung. Der Auftragsverarbeiter wird den Auftraggeber nach Möglich-
keit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstüt-
zen, dessen Pflichten zur Beantwortung von Anträgen auf Wahrnehmung der in Kapi-
tel III EU-DSGVO genannten Rechte der betroffenen Person nachzukommen.
- Kontrollmaßnahmen und Weisungsbefugnis
Der Auftraggeber überzeugt sich in regelmäßigen Abständen von den technischen
und organisatorischen Maßnahmen des Auftragsverarbeiters und kann sich dazu
vom Auftragsverarbeiter deren Einhaltung schriftlich bestätigen lassen. Der Auftrag-
geber oder dessen Beauftragter kann sich hierüber auch vor Ort selbst überzeugen.
Der Auftragsverarbeiter räumt dem Auftraggeber oder dessen Beauftragten insofern
ein Zutrittsrecht während der üblichen Arbeitszeit für die Räumlichkeiten und Einrich-
tungen des Auftragsverarbeiters ein.
Der Nachweis dafür, dass die geeigneten technischen und organisatorischen Maß-
nahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Vorgaben
der EU-DSGVO erfolgt, kann der Auftragsverarbeiter auch durch Vorlage einer Be-
stätigung eines anerkannten lizenzierten Auditors, dass genehmigte Verhaltensre-
geln gemäß Artikel 40 EU-DSGVO oder ein genehmigtes Zertifizierungsverfahrens
gemäß Artikel 42 EU-DSGVI durch den Auftragsverarbeiter eingehalten werden, er-
bringen.
5
Der Auftragsverarbeiter muss dem Verantwortlichen alle erforderlichen Informationen
zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Ver-
fügung stellen sowie Überprüfungen - einschließlich Inspektionen -, die vom Verant-
wortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden,
ermöglichen und dazu beitragen.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, falls er der Auf-
fassung ist, dass eine Weisung gegen die EU-DSGVO oder gegen andere Daten-
schutzbestimmungen der Europäischen Union oder der Mitgliedstaaten verstößt.
Der Auftraggeber hat gegenüber dem Auftragsverarbeiter Weisungsbefugnis hin-
sichtlich der Verarbeitung der personenbezogenen Daten. Der Auftragsverarbeiter
erteilt dem Auftraggeber die hierfür notwendigen Auskünfte und ermöglicht die Über-
prüfung der vom Auftragsverarbeiter getroffenen technischen und organisatorischen
Maßnahmen in geeigneter Weise. Im Falle einer Überprüfung durch den Landesbe-
auftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg gilt
dies entsprechend. Der Auftragsverarbeiter gestattet dem Landesbeauftragten für
den Datenschutz und die Informationsfreiheit gemäß Art. 58 Abs. 1 lit. e EU-DSGVO
jederzeit Zutritt zu den Räumen, in denen er Daten des Auftraggebers im Auftrag ver-
arbeitet, und Zugang zu allen personenbezogenen Daten und Informationen, die zur
Erfüllung dessen Aufgaben notwendig sind.
- Informationspflicht
Sollten die Daten des Auftraggebers beim Auftragsverarbeiter durch Pfändung oder
Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige
Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragsverarbeiter
den Auftraggeber unverzüglich darüber zu informieren. Der Auftragsverarbeiter wird
alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren,
dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber
als „verantwortliche Stelle“ im Sinne der EU-DSGVO liegen.
6
- Sonstiges
Die Vertragspartner vereinbaren, die datenschutzrechtlichen Bestimmungen einzu-
halten und ihre Mitarbeiterinnen und Mitarbeiter hierzu zu verpflichten.
7