Datenschutzvereinbarung mit Dritten
zwischen
| Name inkl. Rechtsform und Sitz der Gewobag-Gesellschaft(en): Gewobag Wohnungsbau-Aktiengesellschaft Berlin Gewobag PB Wohnen in Prenzlauer Berg GmbH Gewobag WB Wohnen in Berlin GmbH |
| vertreten durch (Vorstand / Geschäftsführer): Markus Terboven |
| Kontaktdaten der Gesellschaft: Alt-Moabit 101 A, 10559 Berlin, www.gewobag.de, info@gewobag.de |
| Kontaktdaten des Datenschutzbeauftragten: datenschutz@gewobag.de |
nachfolgend „Gewobag“
und
| Name inkl. Rechtsform und Sitz: |
| vertreten durch: |
| Kontaktdaten: |
| Kontaktdaten des Datenschutzbeauftragten: |
| Vertreter, wenn Dritter seinen Sitz außerhalb der EU/EWR hat: |
nachfolgend „Dritter“
nachfolgend zusammen „Parteien“
§ 1 Gegenstand der Datenübermittlung
Die Gewobag übermittelt dem Dritten personenbezogene Daten / gewährt dem Dritten Zugriff auf personenbezogene Daten:
| Betroffene Personen, deren personenbezogene Daten an den Dritten übermittelt werden: | Die konkret betroffenen Personen ergeben sich später aus den konkret zu definierenden Aufgaben und Projekten. Dies werden im Wesentlichen sein: MieterInnen, Mietinteressenten, Mietergremienmitglieder, ArbeitnehmerInnen inkl. Azubis, PraktikantInnen, Stakeholder auf der politischen oder wirtschaftlichen Ebene, AnsprechpartnerInnen bei Dienstleistern/Lieferanten und Künstlern aus dem Medienbereich (z. B. Foto, Film), Fotomodelle |
| Personenbezogene Daten, die an den Dritten übermittelt werden / auf die der Dritte Zugriff erhält: | Je nach Projekt kann der Umfang erheblich abweichen. Verarbeitet werden im Wesentlichen: Namensangaben, Geburtsdatum, Alter, Anschrift, Kontaktdaten (E-Mail-Adresse, Telefonnummer), Körper- und Kleidergrößen, Mietvertragsnummer, Kunden-/Ansprechpartner-ID, Kfz-Kennzeichen, Bilddaten, Audiodaten, Bewegtbilder |
| Umfang, Art und Zweck sowie Dauer der Datenübermittlung: | Der Umfang, die Art und der Zweck ergeben sich individuell aus konkreten Marketingprojekten, die in der Leistungsbeschreibung und im Leistungsverzeichnis zur Vergabe des Grafikagenturpools genannt sind. Im Mittelpunkt stehen Design-/Grafikarbeiten für Social Media, Flyer, Poster, Eventausstattung, Digitalgrafiken, Infografiken etc. Bei deren Erstellung werden aus Erfahrung wenig personenbezogene Daten verarbeitet, da die Medien sich in der Regel sich an die allgemeine Öffentlichkeit wenden (z. B. auf Social Media Kanälen oder auf der Website) und nicht personalisiert sind. Im Rahmen von MieterInnen-Informationen, Eventeinladungen oder Neukundenwerbung werden RednerInnen-Namen, Ehrengäste-Namen, Anschriften bzw. E-Mailadressen in Mailings eingesetzt. |
| Rechtsgrundlage der Datenübermittlung: | [x] Erfüllung eines Vertrages, Art. 6 Abs. 1 lit. b) DSGVO [ ] Erfüllung einer Rechtsnorm, Art. 6 Abs. 1 lit. c) DSGVO [ ] Berechtigtes Interessen der Gewobag, Art. 6 Abs. 1 lit. f) DSGVO [ ] Berechtigtes Interessen des Dritten, Art. 6 Abs. 1 lit. f) DSGVO [ ] Einwilligung der betroffenen Person, Art. 6 Abs. 1 lit. a) DSGVO [ ] Speziell:………………………………………………………... |
| Wege des Datenaustauschs mit dem Dritten (z.B. per E-Mail, Citrix ShareFile, SFTP-Server etc.): | Im Wesentlichen: E-Mail, ShareFile, Teams |
| Angaben, ob Dritter bestimmte IT-Infrastruktur oder Software benötigt: | Die eingesetzten Datenverarbeitungssysteme wurden bereits bei deren Entwicklung so konstruiert, dass Anforderungen des Datenschutzes (Lösch-, Sperr-, Protokollierungsfunktion, Sicherheitsstandards etc.) standardmäßig implementiert sind (Privacy by Design) und die Voreinstellungen der eingesetzten Datenverarbeitungssysteme derart gewählt sind, dass der mögliche Umfang der Datenverarbeitung auf das erforderliche Maß begrenzt wird (Privacy by Default). |
Diese Vereinbarung regelt die Pflichten des Dritten, wenn ihm personenbezogene Daten übermittelt bzw. Zugriff auf solche Daten gewährt wird.
§ 2 Rechtsgrundlage, Grundsatz der Rechtmäßigkeit
Der Dritte gewährleistet die Einhaltung der gesetzlichen Bestimmungen, insbesondere die Rechtmäßigkeit der durch ihn durchgeführten Datenverarbeitungen, und kann die Datenerhebung bei der oder für die Gewobag auf eine für ihn geltende Rechtsgrundlage stützen.
§ 3 Datenschutzbeauftragter
Der Dritte hat einen Datenschutzbeauftragten benannt, sofern er dazu verpflichtet ist gemäß Art. 37 DSGVO, § 38 BDSG.
[ ] Kontaktdaten des/der Datenschutzbeauftragten:
Name:
E-Mail:
[ ] Ein/e Datenschutzbeauftragte/r muss nicht bestellt werden. Der/Die InhaberIn / GeschäftsführerIn ist unmittelbar verpflichtet den Datenschutz umzusetzen.
§ 4 Zweckbindung und Datenminimierung
Der Dritte beachtet den Grundsatz der Zweckbindung und Datenminimierung im Sinne von Art. 5 Abs. 1 lit. b), c) DSGVO und trägt dafür Sorge, dass er nur personenbezogene Daten bei der Gewobag erhebt, die zwingend erforderlich sind.
§ 5 Informationspflichten
Der Dritte erfüllt die Informationspflichten gegenüber den betroffenen Personen gemäß Art. 13, 14 DSGVO, sofern dies nicht bereits über die Gewobag erfolgt ist, und wird die erforderlichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache unentgeltlich zur Verfügung stellen.
§ 6 Rechte der betroffenen Personen
Der Dritte beachtet die Rechte der betroffenen Personen gemäß Art. 12, 15 bis 22, 7 Abs. 3 DSGVO und wird entsprechende Anfragen / Beschwerden fristgerecht bearbeiten.
§ 7 Auftragsverarbeitung
Der Dritte gewährleistet, dass die von ihm eingesetzten Auftragsverarbeiter i.S.v. Art. 4 Nr. 8 DSGVO sorgfältig ausgewählt wurden, hinreichend technische & organisatorische Maßnahmen ergriffen haben, regelmäßig kontrolliert werden und entsprechende Verträge zur Auftragsverarbeitung i.S.v. Art. 28 Abs. 3 DSGVO abgeschlossen wurden.
§ 8 Datenübermittlung an Dritte
Der Dritte gewährleistet, sofern er personenbezogene Daten an weitere Dritte i.S.v. Art. 4 Nr. 10 DSGVO übermittelt, dass hierfür eine Rechtsgrundlage besteht und, sofern erforderlich, entsprechende Vereinbarungen zum Schutz der Daten abgeschlossen wurden.
§ 9 Datenverarbeitung außerhalb der EU/EWR
Der Dritte gewährleistet, sofern die personenbezogenen Daten in Drittstaaten übermittelt werden oder ein Zugriff auf in der EU/EWR gespeicherte Daten aus Drittstaaten erfolgt oder erfolgen kann, die Art. 44 ff DSGVO erfüllt sind.
§ 10 Technische & organisatorische Maßnahmen
Der Dritte gewährleistet, dass er ausreichende Maßnahmen zum Schutz personenbezogener Daten gemäß Art. 32, 28, 29, 25 DSGVO getroffen und dokumentiert hat.
§ 11 Datenschutzverletzung
Soweit der Dritte bei der Verarbeitung der personenbezogenen Daten eine Datenschutzverletzung i.S.v. Art. 4 Nr. 12, Art. 33 DSGVO feststellt, obliegen ihm die aus Art. 33, 34 DSGVO resultierenden Melde- und Benachrichtigungspflichten gegenüber der Aufsichtsbehörde und den von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen.
§ 12 Datenlöschung
Der Dritte stellt sicher, dass er Regellöschfristen für die personenbezogenen Daten bestimmt hat und die Löschung der Daten vom Datenträger und/oder die Vernichtung der Datenträger selbst datenschutzgerecht erfolgt.
§ 13 Verzeichnis von Verarbeitungstätigkeiten
Der Dritte nimmt die Verarbeitungstätigkeiten in sein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO auf.
§ 14 Datenschutz-Folgenabschätzung
Wenn die Verarbeitungstätigkeit einer Datenschutz-Folgenabschätzung bedarf, führt der Dritte eine Datenschutz-Folgenabschätzung gemäß Art. 35, 36 DSGVO durch.
§ 15 Haftung
Bei Verstoß gegen diese Pflichten, wird der Dritte die Gewobag von jeglichen Ansprüchen der betroffenen Personen oder Bußgeldern der Aufsichtsbehörde freistellen.
§ 16 Schriftformklausel, Rechtswahl
Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile bedürfen einer schriftlichen Vereinbarung, die auch in elektronischer Form erfolgen kann, und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
Es gilt deutsches Recht. Gerichtsstand ist Berlin.
__________________________________ __________________________________
Ort, Datum Unterschrift Gewobag
__________________________________ __________________________________
Ort, Datum Unterschrift Dritter
Hinweis:
Abgabe im Rahmen eines elektronischen Vergabeverfahrens: Das Unterschriftenfeld kann leer bleiben.