Vertrag über eine Auftragsdatenverarbeitung nach Art. 28 der

Europäischen Datenschutz-Grundverordnung (EU-DSGVO)

zwischen

Landesmedienzentrum Baden-Württemberg

Standort Stuttgart:

Rotenbergstraße 111, 70190 Stuttgart

Standort Karlsruhe:

Moltkestraße 64, 76133 Karlsruhe

vertreten durch

Direktor Michael Zieher

– nachstehend Auftraggeber genannt –

und

FIRMENNAME RECHTSFORM

Telefon:

E-Mail:

vertreten durch

VORNAME, NACHNAME VERTRETUNGSBERECHTIGTE PERSON, FUNKTION

– nachstehend Auftragsverarbeiter genannt –

1. Gegenstand, Art und Zweck der Verarbeitung, Art der personenbezogenen

Daten, Kategorien betroffener Personen (Auftrag)

Der Auftraggeber nutzt die vom Auftragsverarbeiter angebotenen IT-Services zur Durchführung der fol- genden Auftragsdatenverarbeitung:

• Dienstleistungen bei XXXXXXXXXXXXXXXXXXX

• Dabei werden personenbezogene Daten von folgenden betroffenen Personen verarbeitet:

• Lehrkräfte an Schulen: Lehrer, Schulleiter, stellv. Schulleiter

• Mitarbeiter in Ämtern (Schulamt, Landratsamt, Gemeindeverwaltung)

• Mitarbeiter von Dienstleistern (Händler)

• Mitarbeiter des LMZ, die mit dem System arbeiten und hierfür ein Systemkonto benötigen.

Dabei handelt es sich folgende personenbezogenen Daten:

alle Benutzer:

Zugriffsdaten (Log-Files)
Datum und Uhrzeit der Nutzung
IP-Adresse des anfragenden Systems
User-Agent (Browser und Version, Betriebssystem)

registrierte Benutzer:

Benutzername
Kennwort (Hash-Wert)
Vorname
Nachname
E-Mail
Datum der Registrierung

freiwillige Angabe von

Firma
Adresse
Externe Links
Blog
Kommentar
Kontaktinformationen
Telefon
Adresse

Log-Dateien werden 30 Tage gespeichert.

Es gelten die Begriffsbestimmungen gemäß EU-DSGVO.

2. Dauer der Verarbeitung

Die Verarbeitung beginnt mit dem Zeitpunkt der Bereitstellung der IT-Services und endet mit dem Errei- chen des vereinbarten Zeitpunkts zu Abschluss des Projektes.

Eine Vertragspartei kann jeweils mit einer Frist von einem Monat zum Monatsende kündigen.

Darüber hinaus können die Vertragspartner den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß einer Vertragspartei vorliegt (außerordentliche Kündigung).

3. Anwendungsbereich

3.1. Der Umfang der Datenverarbeitung, die erfassten Zugangsdaten (z. B. Account) sowie die Daten- arten, die im Rahmen der Nutzung verarbeitet werden, entstehen (z. B. Log-Daten) bzw. entstehen kön- nen, sind unter Punkt 1 dokumentiert.

3.2. Betroffen von dieser Datenverarbeitung ist der unter Nr. 1 dieses Vertrages aufgeführte Personen- kreis.

3.3. Der Auftragsverarbeiter stellt für die unter Nr. 1 aufgeführten Dienste die notwendigen Server so- wie die notwendige Infrastruktur bereit. Die Server des Auftragsverarbeiters werden regelmäßig gesi- chert.

4. Verantwortung für personenbezogene Daten

4.1 Damit diese Dienste genutzt werden können, müssen die oben beschriebenen Datenarten auf den Servern des Auftragsverarbeiters verarbeitet werden. Der Auftraggeber ist verantwortlich für die Daten im Sinne des Datenschutzrechts (Art. 4 Nr. 7 EU-DSGVO). Um dieser Verantwortung gerecht zu wer- den, enthält dieser Vertrag eine detaillierte Darstellung der Datenverarbeitungspflichten des Auf- tragsverarbeiters sowie der Rechte und Pflichten des Auftraggebers. Diese sind in der Anlage 1 des Vertrages ausführlich dargestellt.

4.2. Der Auftragsverarbeiter hat umfangreiche technische und organisatorische Maßnahmen zu ergrei- fen und aufrecht zu erhalten, um die Daten vor dem Zugriff Dritter oder Datenverlust zu schützen. Die Maßnahmen ergeben sich aus der Anlage 2.

5. Pflichten und Rechte der Vertragsparteien

5.1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der ge- troffenen Vereinbarungen. Der Auftragsverarbeiter verwendet die zur Datenverarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt.

5.2. Im Übrigen ergeben sich die Rechte und Pflichten der Vertragsparteien aus der Anlage 1.

6. Unterauftragsverhältnisse mit Subunternehmern

6.1. Die Beauftragung von Subunternehmern zur Verarbeitung von Daten des Auftraggebers ist dem Auftragnehmer nur mit Genehmigung des Auftraggebers gestattet. Die Zustimmung kann nur erteilt werden, wenn der Auftragnehmer dem Auftraggeber Namen und Anschrift sowie die vorgesehene Tä- tigkeit des Subunternehmers mitteilt. Außerdem muss der Auftragnehmer dafür Sorge tragen, dass er den Subunternehmer unter besonderer Berücksichtigung der Eignung der von diesem getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 EU-DSGVO sorgfältig auswählt. Die relevanten Prüfunterlagen dazu sind dem Auftraggeber auf Anfrage zur Verfügung zu stellen.

6.2. Eine Beauftragung von Subunternehmern in Drittstaaten darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. EU-DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommis- sion, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).

6.3. Der Auftragnehmer hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwischen Auftraggeber und Auftragnehmer auch gegenüber Subunternehmern gelten. In dem Vertrag mit dem Subunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftrag- nehmers und des Subunternehmers deutlich voneinander abgegrenzt werden. Werden mehrere Subun- ternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Subunterneh- mern. Insbesondere muss der Auftraggeber berechtigt sein, im Bedarfsfall angemessene Überprüfun- gen und Inspektionen, auch vor Ort, bei Subunternehmern durchzuführen oder durch von ihm beauf- tragte Dritte durchführen zu lassen.

6.4. Der Vertrag mit dem Subunternehmer muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann.

6.5. Die Weiterleitung von Daten an den Subunternehmer ist erst zulässig, wenn der Subunternehmer die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 EU-DSGVO bezüglich seiner Beschäftigten erfüllt hat.

6.6. Der Auftragnehmer ist verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicher- heit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und geset- zeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen. Das Ergebnis der Überprüfungen ist zu dokumentieren und dem Auftraggeber auf Verlangen zugänglich zu machen.

6.7. Der Auftragnehmer haftet gegenüber dem Auftraggeber dafür, dass der Subunternehmer den Da- tenschutzpflichten nachkommt, die ihm durch den Auftragnehmer im Einklang mit dem vorliegenden Vertragsabschnitt vertraglich auferlegt wurden.

6.8. Zurzeit sind die Auftragnehmer folgende Firmen als Subunternehmer mit der Verarbeitung von personenbezogenen Daten betraut:

• Dienstleistungen im Zusammenhang mit dem Betrieb XXXXXXXXXXXXXXXXXXX

• Das Hosting erfolgt in der Cloud durch den Hoster XXXXXXXXXXXXXXXXX

•

Mit der Beauftragung der Subunternehmer erklärt sich der Auftraggeber ausdrücklich einverstanden. Dem Auftragsverarbeiter wird allgemein gestattet, weitere Subunternehmer als Unterauftragsverarbei- ter in Anspruch zu nehmen. Der Auftragsverarbeiter muss dies gegenüber dem Auftragsgeber inner- halb von vier Wochen vor Beginn der Verarbeitung durch einen Subunternehmer schriftlich anzeigen. Der Auftraggeber kann dagegen Einspruch erheben

7. Sonstiges

Änderungen oder Ergänzungen dieses Vertrages bedürfen nach Art 28 Abs. 9 EU-DSGVO der Schrift- form. Gleiches gilt für die Aufhebung des Schriftformerfordernisses selbst.

Sollte eine Regelung dieses Vertrages nichtig sein oder werden oder sich eine Lücke herausstellen, bleibt der Vertrag im Übrigen gültig. Es soll das gelten, was die Parteien vereinbart hätten, wenn die Unwirksamkeit oder die Lücke bekannt gewesen wäre.

Die Vertragsparteien prüfen dann gemeinsam, ob Änderungen oder Ergänzungen dieses Vertrages er- forderlich sind. Kommen sie zu dem Ergebnis, dass eine Änderung oder Ergänzung des Vertrages er- forderlich ist, oder wird von einer Vertragspartei eine Änderung oder Ergänzung dieses Vertrages be- antragt, so nehmen sie unverzüglich Verhandlungen auf.

,___ ,______

Ort Datum Ort Datum

i.V._______________________________ _____________________________

Auftraggeber Auftragsverarbeiter

Anlage 1

"Rechte und Pflichten des Auftraggebers und des Auftragsverarbeiters bei der Auftragsdatenverarbei- tung" („ADV Anlage 1.pdf“)

Anlage 2

"Datenschutz, Sicherheitskonzept und Katalog der getroffenen Technischen und Organisatorischen Maß- nahmen" des Auftragsverarbeiters sind Bestandteil dieses Vertrages.

Auftragsverarbeitungsvereinbarung.pdf