Anlage 3 zum Vertrag
Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DS-GVO
(im Folgenden „AVV“)
zwischen der
Stadtbahngesellschaft mbH Bad Homburg v. d. Höhe (SBHG)
De-Saint-Exupéry-Straße 10
60549 Frankfurt am Main
als Auftraggeber/AG (Verantwortlicher),
u n d
als Auftragnehmer/AN (Auftragsverarbeiter)
als Parteien des nachfolgenden Vertrages.
Präambel
Dieser Vertrag konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus der mit der Erbringung der im Vertrag vom XX.XX.XXXX beschriebenen Leistung verbundenen Auftragsverarbeitung ergeben. Sie findet Anwendung auf alle Tätigkeiten, die mit dem Vertrag in Zusammenhang stehen und bei denen Beschäftigte des AN oder durch den AN Beauftragte personenbezogene Daten im Auftrag des AG verarbeiten.
Zur Herstellung einer datenschutzrechtskonformen Datenverarbeitung wird dieser AVV nach Art. 28 Abs. 3 DS-GVO ergänzend zum Hauptvertrag nach den folgenden Maßgaben geschlossen:
- Gegenstand und Dauer dieser Vereinbarung
Zwischen den Parteien besteht folgender Vertrag:
Kommunikationsdienstleistungen für die „Verlängerung der Stadtbahnlinie U2 in den Bahnhof Bad Homburg v. d. Höhe“ (VE7007)
(im Folgenden „Hauptvertrag“ genannt).
Im Rahmen des Hauptvertrages verarbeitet der AN personenbezogene Daten für den AG im Sinne von Art. 4 Nr. 2 und Art. 28 DS-GVO.
Die Verarbeitung ist akzessorisch zum Hauptvertrag; sie beginnt mit Beginn des Hauptvertrags und endet, wenn die Leistungspflichten des Hauptvertrags enden.
Im Falle des Widerspruchs zwischen Regelungen des Hauptvertrages und dieses AVV geht dieser AVV dem Hauptvertrag vor.
2. Ort der Leistungserbringung
Die vertraglich vereinbarte Leistung wird ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des AG und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).
3. Sonderkündigungsrecht
Der AG kann den AVV und den Hauptvertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des AN gegen Datenschutzvorschriften oder die Bestimmungen dieses AVV vorliegt, der AN eine Weisung des AG nach diesem AVV nicht ausführen kann oder will oder der AN Kontrollrechte des AG nach diesem AVV vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in diesem AVV vereinbarten und aus Art. 28 DS-GVO abgeleiteten Pflichten stellt einen schwerwiegenden Verstoß dar.
4. Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen:
Gegenstand des Hauptvertrages ist die Erbringung von Kommunikationsdienstleitungen wie im Hauptvertrag beschrieben.
Dabei hat der AN im Auftrag des AG personenbezogene Daten im Bereich
Kommunikationsdienstleistungen
zu verarbeiten.
Im Einzelnen wird auf den Inhalt der bestehenden Verpflichtungen des Hauptvertrages verwiesen.
Aus datenschutzrechtlicher Sicht hat der AN dabei insbesondere personenbezogene Daten der Mitarbeiter von Bietern und personenbezogene Daten der Mitarbeiter von Referenzgebern zu verarbeiten, die insofern Kategorien betroffener Personen sind.
5. Rechte und Pflichten sowie Weisungsbefugnisse des Auftraggebers
Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DS-GVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DS-GVO ist allein der AG verantwortlich. Gleichwohl ist der AN verpflichtet, alle solche Anfragen, sofern sie erkennbar ausschließlich an den AG gerichtet sind, unverzüglich an diesen weiterzuleiten.
Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam zwischen AG und AN abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.
Der AG erteilt alle Aufträge, Teilaufträge und Weisungen im Sinne dieses AVV in der Regel schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.
Der AG ist berechtigt, sich wie unter Nr. 6 festgelegt vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim AN getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen.
Der AG ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des AN vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.
6. Weisungsberechtigte des Auftraggebers, Weisungsempfänger des Auftragnehmers
Weisungsberechtigte Personen des AG sind:
Herr Horst Amann (Geschäftsführer)
_____________________________________________________________
(Vorname, Name, Organisationseinheit, Telefon, E-Mail, Adresse)
Weisungsempfänger beim AN sind:
Herr/Frau
_____________________________________________________________
(Vorname, Name, Organisationseinheit, Telefon, E-Mail, Adresse)
Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen. Die Weisungen sind für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.
7. Pflichten des Auftragnehmers
Der AN verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des AG, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der AN dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DS-GVO).
Der AN verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des AG nicht erstellt.
Der AN sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die für den AG verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.
Die Datenträger, die vom AG stammen bzw. für den AG genutzt werden, werden besonders gekennzeichnet. Eingang und Ausgang sowie die laufende Verwendung werden dokumentiert.
Der AN hat über die gesamte Abwicklung der Dienstleistung für den AG geeignete Überprüfungen in seinem eigenen Bereich durchzuführen, um sicherzustellen und nachzuweisen, dass er als AN seinen datenschutzrechtlichen Verpflichtungen nachkommt. Das Ergebnis der Kontrollen ist zu dokumentieren.
Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DS-GVO durch den AG, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Datenschutz-Folgeabschätzungen des AG hat der AN im notwendigen Umfang mitzuwirken und den AG soweit möglich angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit e und f DS-GVO). Er hat die dazu erforderlichen Angaben dem AG unverzüglich an die oben unter Ziff. 6 benannten weisungsberechtigte Person zu übersenden.
Der AN wird den AG unverzüglich darauf aufmerksam machen, wenn eine vom AG erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DS-GVO). Der AN ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim AG nach Überprüfung bestätigt oder geändert wird.
Der AN hat personenbezogene Daten aus dem Auftragsverhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der AG dies mittels einer Weisung verlangt und berechtigte Interessen des AN dem nicht entgegenstehen.
Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Betroffenen darf der AN nur nach vorheriger Weisung oder Zustimmung durch den AG erteilen.
Der AN erklärt sich damit einverstanden, dass der AG– grundsätzlich nach Terminvereinbarung – berechtigt ist, die Einhaltung der Vorschriften über Datenschutz und Datensicherheit sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang selbst oder durch vom AG beauftragte Dritte zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h DS-GVO).
Der AN sichert zu, dass er, soweit erforderlich, bei diesen Kontrollen unterstützend mitwirkt.
Der AN gewährleistet, dass ihm unterstellte natürliche Personen, die Zugang zu Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten. Eine Verarbeitung von Daten außerhalb der Betriebsräume des AN (z. B. Telearbeit, Homeoffice, mobiles Arbeiten) bedarf der vorherigen Zustimmung des Verantwortlichen, die erst nach Festlegung angemessener technischer und organisatorischer Maßnahmen für die Verarbeitungssituation erteilt werden kann. Die Maßnahmen nach Art. 32 DS-GVO sind auch in diesem Fall sicherzustellen.
Der AN bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DS-GVO bekannt sind.
Der AN verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten des AG die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung des Vertrages fort.
Der AN sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DS-GVO). Der AN überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb.
Ein betrieblicher Datenschutzbeauftragter ist beim AN bestellt soweit eine gesetzliche Notwendigkeit für die Bestellung vorliegt.
8. Mitteilungspflichten des Auftragnehmers bei Störungen der Verarbeitung und bei Verletzungen des Schutzes personenbezogener Daten
Der AN teilt dem AG unverzüglich Störungen, Verstöße des AN oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des AG nach Art. 33 und Art. 34 DS-GVO. Der AN sichert zu, den AG erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DS-GVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DS-GVO). Meldungen nach Art. 33 oder 34 DS-GVO für den AG darf der AN nur nach vorheriger Weisung gem. Ziff. 5 dieses Vertrages durchführen.
9. Unterauftragsverhältnisse mit Subunternehmen (Art. 28 Abs. 3 DS-GVO)
Die Beauftragung von Subunternehmen zur Verarbeitung von Daten des AG ist dem AN nur mit Genehmigung des AG gestattet, Art. 28 Abs. 2 DS-GVO, welche über den unter Ziff. 6 genannten Weisungsberechtigten des AG für jedes einzelne Subunternehmen zu kommunizieren ist. Die Genehmigung kann nur erteilt werden, wenn der AN dem AG Namen und Anschrift sowie die vorgesehene Tätigkeit des Subunternehmens mitteilt. Außerdem trägt der AN dafür Sorge, dass er das Subunternehmen unter besonderer Berücksichtigung der Eignung der von diesem getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DS-GVO sorgfältig auswählt. Die relevanten Prüfunterlagen dazu sind dem AG auf Anfrage zur Verfügung zu stellen. Der Einsatz von Subunternehmen ohne Erlaubnis ist unzulässig.
Eine Beauftragung von Subunternehmen in Drittstaaten darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).
Der AN hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwischen AG und AN auch gegenüber Subunternehmen gelten. In dem Vertrag mit dem Subunternehmen sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des AN und des Subunternehmens deutlich voneinander abgegrenzt werden. Werden mehrere Subunternehmen eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Subunternehmen. Insbesondere muss der AG berechtigt sein, im Bedarfsfall angemessene Überprüfungen und Inspektionen, auch vor Ort, bei Subunternehmen durchzuführen oder durch von ihm beauftragte Dritte durchführen zu lassen.
Der Vertrag mit dem Subunternehmen muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 4 und Abs. 9 DS-GVO).
Die Weiterleitung von Daten an das Subunternehmen ist erst zulässig, wenn das Subunternehmen die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DS-GVO bezüglich seiner Beschäftigten erfüllt hat.
Der AN wird dem AG vor der Erteilung der Genehmigung schriftlich mitteilen, wie er die Einhaltung der Pflichten des/der Subunternehmen(s) überprüfen wird. Das Ergebnis der Überprüfungen ist zu dokumentieren und dem AG auf Verlangen zugänglich zu machen.
Der AN haftet gegenüber dem AG dafür, dass das Subunternehmen den Datenschutzpflichten nachkommt, die ihm durch den AN im Einklang mit dem vorliegenden Vertragsabschnitt vertraglich auferlegt wurden.
10. Technische und organisatorische Maßnahmen nach Art. 32 DS-GVO (Art. 28 Abs. 3 Satz 2 lit. c DS-GVO)
Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Dazu werden mindestens die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität der Systeme und Dienste, sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.
Für die auftragsgemäße Verarbeitung personenbezogener Daten wird vom AN eine Risikobewertung verwendet, welche die Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten angemessen berücksichtigt.
Das im Anhang 1 beschriebene Datenschutzkonzept des AN stellt die Auswahl der technischen und organisatorischen Maßnahmen passend zum ermittelten Risiko unter Berücksichtigung der Schutzziele nach Stand der Technik detailliert und unter besonderer Berücksichtigung der eingesetzten IT-Systeme und Verarbeitungsprozesse beim AN dar. In dem Konzept ist ein wirksames Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der datenschutzkonformen Verarbeitung enthalten. Die im Konzept dargelegten Standards sind für den AN verbindlich.
Der AN hat bei gegebenem Anlass, mindestens aber alle 3 Jahre, eine Überprüfung, Bewertung und Evaluation der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen (Art. 32 Abs. 1 lit. d DS-GVO). Das Ergebnis samt vollständigem Auditbericht ist dem AG mitzuteilen.
Für die Sicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren sind zwischen AN und AG abzustimmen.
Soweit die beim AN getroffenen Maßnahmen den Anforderungen des AG nicht genügen, benachrichtigt er den AG unverzüglich.
Die Maßnahmen beim AN können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dürfen aber die vereinbarten Standards nicht unterschreiten.
Wesentliche Änderungen muss der AN mit dem AG in dokumentierter Form (schriftlich, elektronisch) abstimmen. Solche Abstimmungen sind für die Dauer dieses Vertrages aufzubewahren.
11. Verpflichtungen des Auftragnehmers nach Beendigung des Auftrags, Art. 28 Abs. 3 Satz 2 lit. g DS-GVO
Nach Abschluss der vertraglichen Arbeiten hat der AN sämtliche in seinen Besitz sowie an Subunternehmen gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, datenschutzgerecht zu löschen bzw. zu vernichten/vernichten zu lassen.
Die Löschung bzw. Vernichtung ist dem AG mit Datumsangabe schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.
Dies gilt nicht, sofern nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.
12. Vergütung
Die Vergütung für die in diesem AVV geregelten Pflichten ist mit der Vergütung für den Hauptvertrag abgegolten.
13. Haftung
Auf Art. 82 DS-GVO wird verwiesen.
Im Fall einer Inanspruchnahme des AG oder des AN durch eine betroffene Person hinsichtlich etwaiger Ansprüche nach Art. 82 DS-GVO, verpflichtet sich jede Partei die jeweils andere Partei bei der Abwehr des Anspruchs im Rahmen ihrer Möglichkeiten zu unterstützen.
Im Übrigen wird folgendes vereinbart:
14. Vertragsstrafe
Bei schuldhaftem Verstoß des AN gegen die Regelungen dieses AVV, insbesondere zur Einhaltung des Datenschutzes, verwirkt er eine vom AG nach billigem Ermessen unter Berücksichtigung des konkreten Einzelfalls festzulegende und vom zuständigen Amts- oder Landgericht überprüfbare Vertragsstrafe. Maßgeblich für die Höhe der Vertragsstrafe sind Schwere und Ausmaß der Zuwiderhandlung, ihre Folgen für den AG sowie das Verschulden des AN.
15. Sonstiges
Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungsunterlagen (auch zu Subunternehmen) sind von beiden Vertragspartnern für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.
Für Nebenabreden ist die Schriftform oder ein dokumentiertes elektronisches Format erforderlich.
Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der für den AG verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.
Für den Auftraggeber Für den Auftragnehmer
_______________________ ________________________
Datum, Person des Erklärenden Datum, Person des Erklärenden