[Seite 1]
Bitte im Vertragsentwurf als Bieter die rot markierten Felder entsprechend ausfüllen!
Vereinbarung zur Auftragsverarbeitung
nach Art. 28 Abs. 3 DSGVO
zwischen dem
Landkreis Sächsische Schweiz-Osterzgebirge Landratsamt, Amt für Zentrale Dienste Schloßhof 2/4 01796 Pirna
vertreten durch Name
Telefon: 03501/515-____
- nachfolgend Verantwortlicher (Auftraggeber) -
und der/dem
Firma Straße Nr. PLZ Ort
vertreten durch Name
Telefon: ____________
- nachfolgend Auftragsverarbeiter (Auftragnehmer) -
- Gegenstand und Dauer der Vereinbarung
Der Auftrag umfasst Folgendes:
Zwischen den Parteien besteht ein Vertragsverhältnis über die Lieferung, Inbetriebnahme, Wartung und Pflege im Projekt Kauf und Lieferung von 2 fabrikneuen Servern (Vergabe 2026-39) (Gegenstand des Auftrags, konkrete Beschreibung der Dienstleistungen)
Diese Vereinbarung wird hierzu als ergänzende Regelung zur Einhaltung der datenschutz- rechtlichen Vorgaben geschlossen. Der Auftragsverarbeiter verarbeitet dabei personenbezo- gene Daten für den Verantwortlichen im Sinne von Art. 4 Nr. 2 und Art. 28 DS-GVO auf Grund- lage dieser Vereinbarung.
Seite 1 von 10
[Seite 2]
Bitte im Vertragsentwurf als Bieter die rot markierten Felder entsprechend ausfüllen!
Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedsstaat der Eu- ropäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirt- schaftsraum erbracht. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheits- beschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).
Dauer der Vereinbarung Diese Vereinbarung gilt mit Abschluss und für die Dauer der Laufzeit des Hauptvertrages. Die Vereinbarung kann eigenständig von beiden Parteien mit einer Frist von einem Monat gekündigt werden.
Der Verantwortliche kann die Vereinbarung jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegt, der Auftragsverarbeiter eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftragsverarbeiter Kontroll- rechte des Verantwortlichen vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in dieser Vereinbarung vereinbarten und aus Art. 28 DS-GVO abgeleiteten Pflichten stellt ei- nen schweren Verstoß dar.
- Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen: Dienstleistungen im Rahmen eines bestehenden Auftragsverhältnisses (nähere Beschreibung, ggf. Verweis auf Leistungsverzeichnis als Anlage etc.)
Art der Verarbeitung (entsprechend der Definition von Art. 4 Nr. 2 DS-GVO): Beratung, Konfiguration, Support inkl. Fehleranalyse, -prüfung und -behebung
Art der personenbezogenen Daten (entsprechend der Definition von Art. 4 Nr. 1, 13, 14 und 15 DS-GVO): Benutzerdaten, Kommunikationsdaten
Kategorien betroffener Personen (entsprechend der Definition von Art. 4 Nr. 1 DS-GVO): Nutzer, diverse Kommunikationspartner
- Rechte und Pflichten sowie Weisungsbefugnisse des Verantwortlichen
Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DS-GVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DS-GVO ist allein der Verantwortliche verantwortlich. Gleichwohl ist der Auftragsverarbeiter verpflichtet, alle sol- che Anfragen, sofern sie erkennbar ausschließlich an den Verantwortlichen gerichtet sind, un- verzüglich an diesen weiterzuleiten.
Seite 2 von 10
[Seite 3]
Bitte im Vertragsentwurf als Bieter die rot markierten Felder entsprechend ausfüllen!
Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam zwischen Verantwortlichem und Auftragsverarbeiter abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.
Der Verantwortliche erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.
Der Verantwortliche ist berechtigt, sich wie unter Nr. 5 festgelegt vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragsverar- beiter getroffenen technischen und organisatorischen Maßnahmen sowie der in dieser Verein- barung festgelegten Verpflichtungen zu überzeugen.
Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Un- regelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
Der Verantwortliche ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragsver- arbeiters vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieser Vereinbarung bestehen.
- Weisungsberechtigte des Verantwortlichen, Weisungsempfänger des Auftragsverarbeiters
Weisungsberechtigte Personen des Verantwortlichen sind: Referatsleiter IT, Tel: 03501 515 4141, E-Mail: softwarewartung@landratsamt-pirna.de (Vorname, Name, Organisationseinheit, Telefon)
Weisungsempfänger beim Auftragsverarbeiter sind: Geschäftsführer ____________________________, Tel: ___________________________ E-Mail: _________________________ (Vorname, Name, Organisationseinheit, Telefon)
Für Weisung zu nutzende Kommunikationskanäle: vorgenannte Telefonnummern bzw. E-Mailadressen (genaue postalische Adresse/ E-Mail/ Telefonnummer)
Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen. Die Weisungen sind für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.
Seite 3 von 10
[Seite 4]
Bitte im Vertragsentwurf als Bieter die rot markierten Felder entsprechend ausfüllen!
- Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Verantwortlichen, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auf- tragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortli- chen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DS-GVO).
Der Auftragsverarbeiter verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Verantwortlichen nicht erstellt.
Der Auftragsverarbeiter sichert im Bereich der auftragsgemäßen Verarbeitung von personen- bezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er si- chert zu, dass die für den Verantwortlichen verarbeiteten Daten von sonstigen Datenbestän- den strikt getrennt werden.
Die Datenträger, die vom Verantwortlichen stammen bzw. für den Verantwortlichen genutzt werden, sind besonders zu kennzeichnen. Eingang und Ausgang sowie die laufende Ver- wendung werden dokumentiert.
Der Auftragsverarbeiter hat über die gesamte Abwicklung der Dienstleistung für den Verant- wortlichen insbesondere folgende Überprüfungen in seinem Bereich durchzuführen: Einhaltung der erforderlichen technisch-organisatorischen Maßnahmen
Das Ergebnis der Kontrollen ist zu dokumentieren.
Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DS-GVO durch den Verantwortlichen, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Datenschutz-Folgeabschätzungen des Verantwortlichen hat der Auftragsverar- beiter im notwendigen Umfang mitzuwirken und den Verantwortlichen soweit möglich ange- messen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit e und f DS-GVO). Er hat die dazu erforderli- chen Angaben dem Verantwortlichen unverzüglich mitzuteilen.
Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich darauf aufmerksam machen, wenn eine vom Verantwortlichen erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DS-GVO). Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Ver- antwortlichen beim Auftraggeber nach Überprüfung bestätigt oder geändert wird.
Der Auftragsverarbeiter hat personenbezogene Daten aus dem Auftragsverhältnis zu berich- tigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Verantwortliche dies mittels einer Weisung verlangt und berechtigte Interessen des Auftragsverarbeiters dem nicht entgegenstehen. Seite 4 von 10
[Seite 5]
Bitte im Vertragsentwurf als Bieter die rot markierten Felder entsprechend ausfüllen!
Unabhängig davon hat der Auftragsverarbeiter personenbezogene Daten aus dem Auftrags- verhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Wei- sung des Verantwortlichen ein berechtigter Anspruch des Betroffenen aus Art. 16, 17 und 18 DS-GVO zugrunde liegt.
Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Be- troffenen darf der Auftragsverarbeiter nur nach vorheriger Weisung oder Zustimmung durch den Verantwortlichen erteilen.
Der Auftragsverarbeiter erklärt sich damit einverstanden, dass der Verantwortliche - grund- sätzlich nach Terminvereinbarung - berechtigt ist, die Einhaltung der Vorschriften über Daten- schutz und Datensicherheit sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang selbst oder durch vom Verantwortlichen beauftragte Dritte zu kontrol- lieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die ge- speicherten Daten und die Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h DS-GVO).
Der Verantwortliche kann die Einhaltung eines genehmigten Zertifizierungsverfahrens gem. Art. 42 DS-GVO durch den Auftragsverarbeiter als Faktor heranziehen, um die Einhaltung der Vorschriften über Datenschutz und Datensicherheit sowie der vertraglichen Vereinbarungen zu beurteilen.
Der Auftragsverarbeiter sichert zu, dass er, soweit erforderlich, bei diesen Kontrollen unter- stützend mitwirkt. Hierzu wird bis auf weiteres folgendes vereinbart:
Die Verarbeitung von Daten in Privatwohnungen (Tele- bzw. Heimarbeit von Beschäftigten des Auftragsverarbeiters) ist nur mit vorheriger Zustimmung des Verantwortlichen gestattet. Soweit die Daten in einer Privatwohnung verarbeitet werden, ist vorher der Zugang zur Wohnung des Beschäftigten für Kontrollzwecke des Arbeitgebers vertraglich sicher zu stellen. Die Maßnah- men nach Art. 32 DS-GVO sind auch in diesem Fall sicher zu stellen.
Der Auftragsverarbeiter bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen da- tenschutzrechtlichen Vorschriften der DS-GVO bekannt sind. Er verpflichtet sich, auch fol- gende für diesen Auftrag relevanten Geheimnisschutzregeln zu beachten, die dem Verant- wortlichen obliegen:
(z. B. Bankgeheimnis, Fernmeldegeheimnis, Sozialgeheimnis, etc.)
Berufsgeheimnisträger haben zu gewährleisten, dass die durch den Auftragsverarbeiter zur Verarbeitung der personenbezogenen Daten befugten Personen zusätzlich zu dieser Verein- barung zur Geheimhaltung nach § 203 Abs. 4 StGB verpflichtet werden.
Der Auftragsverarbeiter verpflichtet sich, bei der auftragsgemäßen Verarbeitung der perso- nenbezogenen Daten des Verantwortlichen die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung der Vereinbarung fort. Seite 5 von 10
[Seite 6]
Bitte im Vertragsentwurf als Bieter die rot markierten Felder entsprechend ausfüllen!
Der Auftragsverarbeiter sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Da- tenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Be- schäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DS-GVO). Der Auftragsverarbeiter überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Unternehmen.
☐ Beim Auftragsverarbeiter ist als Beauftragte(r) für den Datenschutz Herr/Frau
(Vorname, Name, Organisationseinheit, Telefon)
benannt. Ein Wechsel des Datenschutzbeauftragten ist dem Verantwortlichen unver- züglich mitzuteilen.
☐ Ein betrieblicher Datenschutzbeauftragter ist beim Auftragsverarbeiter nicht benannt, da die gesetzliche Notwendigkeit für eine Benennung nicht vorliegt.
- Mitteilungspflichten des Auftragsverarbeiters bei Störungen der Verarbeitung und bei Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter teilt dem Verantwortlichen unverzüglich Störungen, Verstöße des Auf- tragsverarbeiters oder der bei ihm beschäftigten Personen sowie gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Daten- schutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Verantwortlichen nach Art. 33 und Art. 34 DS-GVO. Der Auftragsverarbeiter sichert zu, den Verantwortlichen erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DS-GVO an- gemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DS-GVO). Meldungen nach Art. 33 oder 34 DS-GVO für den Verantwortlichen darf der Auftragsverarbeiter nur nach vorheriger Wei- sung gem. Ziffer 4 dieser Vereinbarung durchführen.
- Unterauftragsverhältnisse mit Subunternehmern (Art. 28 Abs. 3 Satz 2 lit. d DS-GVO)
Die Beauftragung von Subunternehmern zur Verarbeitung von Daten des Verantwortlichen ist dem Auftragsverarbeiter nur mit Genehmigung des Verantwortlichen gestattet, Art. 28 Abs. 2 DS-GVO, welche auf einem der o. g. Kommunikationswege (Ziffer 4) mit Ausnahme der münd- lichen Gestattung erfolgen muss. Die Zustimmung kann nur erteilt werden, wenn der Auf- tragsverarbeiter dem Verantwortlichen Namen und Anschrift sowie die vorgesehene Tätigkeit des Subunternehmers mitteilt. Außerdem muss der Auftragsverarbeiter dafür Sorge tragen, dass er den Subunternehmer unter besonderer Berücksichtigung der Eignung der von diesem getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DS-GVO sorgfältig auswählt. Die relevanten Prüfunterlagen dazu sind dem Verantwortlichen auf An- frage zur Verfügung zu stellen.
Seite 6 von 10
[Seite 7]
Bitte im Vertragsentwurf als Bieter die rot markierten Felder entsprechend ausfüllen!
Eine Beauftragung von Subunternehmern in Drittstaaten darf nur erfolgen, wenn die besonde- ren Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).
Der Auftragsverarbeiter hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwi- schen Verantwortlichem und Auftragsverarbeiter auch gegenüber Subunternehmern gelten. In dem Vertrag mit dem Subunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftragsverarbeiters und des Subunternehmers deutlich voneinan- der abgegrenzt werden. Werden mehrere Subunternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Subunternehmern. Insbesondere muss der Verantwort- liche berechtigt sein, im Bedarfsfall angemessene Überprüfungen und Inspektionen, auch vor Ort, bei Subunternehmern durchzuführen oder durch von ihm beauftragte Dritte durchführen zu lassen.
Der Vertrag mit dem Subunternehmer muss schriftlich abgefasst werden, was auch in einem dokumentierten elektronischen Format erfolgen kann (Art. 28 Abs. 4 und Abs. 9 DS-GVO).
Die Weiterleitung von Daten an den Subunternehmer ist erst zulässig, wenn der Subunterneh- mer die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DS-GVO bezüglich seiner Beschäftig- ten erfüllt hat.
Der Auftragsverarbeiter hat die Einhaltung der Pflichten des/der Subunternehmer(s) wie folgt zu überprüfen: Stichprobenprüfung
Das Ergebnis der Überprüfungen ist zu dokumentieren und dem Verantwortlichen auf Verlan- gen zugänglich zu machen.
Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen dafür, dass der Subunterneh- mer den Datenschutzpflichten nachkommt, die ihm durch den Auftragsverarbeiter im Einklang mit dem vorliegenden Abschnitt vertraglich auferlegt wurden.
Zurzeit sind für den Auftragsverarbeiter keine Subunternehmer mit der Verarbeitung von per- sonenbezogenen Daten in dem dort genannten Umfang beschäftigt.
Der Auftragsverarbeiter informiert den Verantwortlichen immer über jede beabsichtigte Ände- rung in Bezug auf die Hinzuziehung neuer oder die Ersetzung bisheriger Subunternehmer, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben (§ 28 Abs. 2 Satz 2 DS-GVO).
Seite 7 von 10
[Seite 8]
Bitte im Vertragsentwurf als Bieter die rot markierten Felder entsprechend ausfüllen!
- Technische und organisatorische Maßnahmen (insbesondere Art. 28 Abs. 3 Satz 2 lit. c und e DS-GVO)
Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Niveau der Sicherheit der Verarbeitung gewährleistet. Dazu werden einerseits mindestens die Schutzziele von Art. 32 Abs. 1 DS-GVO wie Vertraulichkeit, Verfügbarkeit und Integrität der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Ver- arbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Ab- hilfemaßnahmen das Risiko auf Dauer eingedämmt wird (Art. 28 Abs. 3 lit. c). Die Formulierung in Art. 32 Abs. 1 DS-GVO „diese Maßnahmen schließen unter anderem Folgendes ein“ ver- deutlicht andererseits, dass die dort vorgenommene Aufzählung nicht abschließend ist. Für die Auftragsverarbeitung sind auch technische und organisatorische Maßnahmen umzuset- zen, die in Kapitel III der DS-GVO genannten Rechte der betroffenen Personen wahren (Art. 28 Abs. 3 lit. e). Diese Maßnahmen sollen u. a. sicherstellen, dass Daten nur für den Zweck verarbeitet und ausgewertet werden können, für den sie erhoben werden (Zweckbindung), dass Betroffene, Verantwortliche und Kontrollinstanzen u. a. erkennen können, welche Daten für welchen Zweck in einem Verfahren erhoben und verarbeitet werden, welche Systeme und Prozesse dafür genutzt werden (Transparenz) und dass den Betroffenen die ihnen zustehen- den Rechte auf Benachrichtigung, Auskunft, Berichtigung, Sperrung und Löschung jederzeit wirksam gewährt werden (Intervenierbarkeit). Entsprechend sind auch die Maßnahmenbe- reiche zu berücksichtigen, die vorrangig der Minimierung der Eingriffsintensität in die Grund- rechte betroffener Personen dienen.
Beispiele für typische, bewährte technische und organisatorische Maßnahmen in den einzel- nen Bereichen können den „Hinweisen zum Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO“ (Ziffern 6.7 bis 6.9 der [Anlage 1]) entnommen werden. Die Auflistung dort ist nicht vollständig oder abschließend. In Abhängigkeit von den konkreten Verarbeitungstätigkeiten können weitere oder andere Maßnahmen geeignet und angemessen sein.
Die im Anhang [Anlage 2] beschriebenen technischen und organisatorischen Maßnahmenan- forderungen sind vom Auftragsverarbeiter in geeigneter Form, passend zum Datensicherheits- risiko unter Berücksichtigung der Schutzziele Vertraulichkeit, Verfügbarkeit, Integrität, Zweck- bindung, Transparenz und Intervenierbarkeit, umzusetzen.
Der Auftragsverarbeiter hat bei gegebenem Anlass, mindestens aber jährlich, eine Überprü- fung, Bewertung und Evaluation der Wirksamkeit der technischen und organisatorischen Maß- nahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen (siehe Ziffer 8) und das Ergebnis samt vollständigem Auditbericht dem Verantwortlichen auf Anforderung mit- zuteilen.
Für die Sicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren sind mit dem Verantwortlichen abzustimmen.
Soweit die beim Auftragsverarbeiter getroffenen Sicherheitsmaßnahmen den Anforderungen des Verantwortlichen nicht genügen, benachrichtigt er den Verantwortlichen unverzüglich.
Seite 8 von 10
[Seite 9]
Bitte im Vertragsentwurf als Bieter die rot markierten Felder entsprechend ausfüllen!
Die Datensicherheitsmaßnahmen beim Auftragsverarbeiter können im Laufe des Auftragsver- hältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dür- fen aber die vereinbarten Sicherheitsstandards nicht unterschreiten.
Wesentliche Änderungen sind vom Auftragsverarbeiter mit dem Verantwortlichen schriftlich oder in einem dokumentierten elektronischen Format abzustimmen. Solche Abstimmungen sind für die Dauer dieser Vereinbarung aufzubewahren.
- Verpflichtungen des Auftragsverarbeiters nach Beendigung des Auftrags, Art. 28 Abs. 3 Satz 2 lit. g DS-GVO
Nach Abschluss der vertraglichen Arbeiten hat der Auftragsverarbeiter sämtliche in seinen Be- sitz sowie an Subunternehmen gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verant- wortlichen auszuhändigen oder datenschutzgerecht zu löschen bzw. zu vernichten/vernichten zu lassen.
Die Löschung bzw. Vernichtung ist dem Verantwortlichen mit Datumsangabe schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.
- Haftung
Auf Art. 82 DS-GVO wird verwiesen.
- Sonstiges
Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungsunterlagen (auch zu Subunternehmen) sind von beiden Vertragspartnern für ihre Gel- tungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.
Für Nebenabreden ist grundsätzlich die Schriftform oder ein dokumentiertes elektronisches Format erforderlich.
Sollte das Eigentum oder die zu verarbeitenden personenbezogenen Daten des Verantwortli- chen beim Auftragsverarbeiter durch Maßnahmen Dritter (etwa durch Pfändung oder Be- schlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragsverarbeiter den Verantwortlichen unverzüglich zu ver- ständigen.
Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der für den Ver- antwortlichen verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
Seite 9 von 10
[Seite 10]
Bitte im Vertragsentwurf als Bieter die rot markierten Felder entsprechend ausfüllen!
Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. Die Parteien verpflichten sich, die unwirksame Regelung durch eine wirksame Regelung zu ersetzen, die dem datenschutzrechtlichen Zweck der un- wirksamen Regelung am nächsten kommt.
- Anhang • Hinweise zum Verzeichnis von Verarbeitungstätigkeiten der Datenschutzkonferenz vom Februar 2018 [Anlage 1] • Technisch-organisatorische Maßnahmen des Auftragnehmers [Anlage 2]
, Pirna , Ort Datum Ort Datum
Auftragnehmer Auftraggeber
Unterschrift Auftragnehmer (Name in Druckschrift) Unterschrift Auftraggeber (Name in Druckschrift)
Seite 10 von 10