Auftragsverarbeitungsvereinbarung V6.0.pdf

Anlage [03]: Vereinbarung über die Verarbeitung von Daten im Auftrag

Vertrag über die Auftragsverarbeitung

KRITIS-IT Unterstützungsleistung für das Elektroakustische Lautsprechersystem (ELA) der BVG

AI-Vergabenummer: ITD1-0024-2026

zwischen

Berliner Verkehrsbetriebe (BVG) Anstalt des öffentlichen Rechts

vertreten durch den Vorstand Holzmarktstraße 15-17 10179 Berlin

(nachfolgend „BVG“ oder „Auftraggeber“ genannt)

und

NN Str. Ort

(nachfolgend „Auftragnehmer“ genannt)

BVG und Auftragnehmer werden nachfolgend gemeinsam als die „Parteien“ bezeichnet.

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 1 von 17

1. Definitionen

1.1 „Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

1.2 „Datenverarbeitung im Auftrag“ ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten durch den Auftragnehmer im Auftrag des Auftraggebers.

1.3 „Weisung“ ist die auf eine bestimmte Verarbeitung personenbezogener Daten durch den Auftragnehmer gerichtete Anordnung des Auftraggebers.

2. Gegenstand

2.1 Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Dies umfasst Tätigkeiten, die im Hauptvertrag oder im Lastenheft konkretisiert sind. Die Dauer dieser Vereinbarung entspricht der Dauer des Hauptvertrages auf Basis der o.g. Vergabe mit der AI-Vergabenummer ITD1-0024-2026. Der Auftraggeber ist im Rahmen des Hauptvertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze sowie für die Rechtmäßigkeit der Datenverarbeitung alleinverantwortlich und letztentscheidungsbefugt („Verantwortlicher“).

2.2 Folgende Daten werden verarbeitet:

• Organisatorische Daten (z.B. Unternehmen, Standort, Abteilungen) • Persönliche Daten (z.B. Name, Adresse, E-Mail, Telefonnummer) • Kritis IT Informationen / Systembezogene Daten • K2 und K3 Datenkategorie

2.3 Die Daten beziehen sich auf folgende betroffene Personen:

• Techniker, MA, die Supportfälle melden, Bauleitungen vor Ort, externe gebundene DL (Tätigkeit im Kritis System, Support DL), Schulungsteilnehmer, ggf. weitere mit dem Support betraute Mitarbeiter • Mit dem AN in Kontakt stehende Mitarbeiter der BVG, externe MA Hersteller Support

2.4 Die Verarbeitung der Daten erfolgt zu folgendem Zweck:

• Vertragsadministration • Bearbeitung / Lösung von Problemfällen im KritiS-IT-Umfeld der BVG • Fehleranalyse, Behebung von Problemen bei der Leistungserbringung • Dokumentationen, Protokolle, Schriftverkehr • Einsätze bzw. Leistungen am/im Kundensystem per Fernzugriff. Diese wird vom Kunden individuell im Einzelfall direkt über Fernzugangstools gestattet. (Art. 6, 1, lit. b DSGVO)

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 2 von 17

2.5 Aufgrund der unter Ziffer 2.1 genannten Verantwortlichkeit kann der Auftraggeber jederzeit die Löschung, Sperrung und Herausgabe von Daten verlangen, die der Auftragnehmer im Rahmen seiner Arbeit beim Auftraggeber außerhalb der Systeme des Auftraggebers gespeichert hat.

2.6 Die Inhalte dieser Vertragsanlage gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.

3. Unterauftragsverhältnisse

3.1 Der Auftragnehmer nimmt keinen weiteren Auftragsverarbeiter („Unterauftragnehmer“) ohne vorherige gesonderte schriftliche Genehmigung des Auftraggebers in Anspruch.

3.2 Der Auftragnehmer verpflichtet sich im Falle einer Unterbeauftragung, dem Unterauftragnehmer im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht des betreffenden Mitgliedstaats dieselben Datenschutzpflichten aufzuerlegen, die in diesem Vertrag zwischen den Parteien festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden muss, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen dieser Verordnung erfolgt.

3.3 Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes Unterauftragnehmers.

4. Übermittlung von Daten ins Drittland

4.1 Der Auftragnehmer wird Daten grundsätzlich nur innerhalb des Europäischen Wirtschaftsraumes (EWR) verarbeiten.

4.2 Bei der Beauftragung von Unterauftragnehmern, die Daten außerhalb des EWR verarbeiten, verpflichtet sich der Auftragnehmer, Daten dem Unterauftragnehmer nur zugänglich zu machen, wenn die Bedingungen des Kapitel 5 der DSGVO für die Übermittlung von Daten erfüllt sind.

4.3 Sollte im Rahmen der Durchführung des Hauptvertrages ein Datentransfer in Drittländer zwingend erforderlich sein, ist der Auftragnehmer unbeschadet von Ziffer 4.2 dieses Vertrages dazu angehalten, den Auftraggeber vor dem Datentransfer über die Notwendigkeit zu informieren und durch eine Aufführung aller Nationen, der dort jeweils ansässigen Unterauftragnehmer und des entsprechenden Konzepts zur Sicherstellung des

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 3 von 17

Datenschutzniveaus den Datenstrom transparent und nachvollziehbar darzustellen.

4.4 Insbesondere wird der Auftragnehmer sicherstellen, dass das auf den Unterauftragnehmer anwendbare Recht den Unterauftragnehmer nicht daran hindert, die anwendbaren Verpflichtungen aus den gewählten Garantien zur Absicherung der Übermittlung nach Kapitel 5 der DSGVO zu erfüllen, oder sich sonst erheblich nachteilig auf die gebotenen Garantien auswirkt.

4.5 Der Auftragnehmer trifft erforderlichenfalls geeignete zusätzliche Maßnahmen, um ein Schutzniveau für die Daten zu gewährleisten, das dem in der EU garantierten Schutzniveau im Wesentlichen gleichwertig ist. Dazu gehören Schutzmaßnahmen, um jeglichen Zugriff auf die personenbezogenen Daten durch Behörden, einschließlich nationaler Sicherheitsbehörden, gegen die den betroffenen Personen keine durchsetzbaren Rechte und wirksamen Rechtsbehelfe zur Verfügung stehen, zu verhindern. Ferner erfassen diese Schutzmaßnahmen die Implementierung geeigneter technischer und organisatorischer Maßnahmen, mit denen Daten nach Möglichkeit sofort nach Erhalt verschlüsselt und nur unter Verwendung einer Ende- zu-Ende-Verschlüsselung übertragen werden.

5. Pflichten des Auftragnehmers

5.1 Der Auftragnehmer darf die vom Auftraggeber erhaltenen Daten nur für die Zwecke des Auftraggebers nach Ziffer 2 nach dessen dokumentierter Weisung verarbeiten, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich mindestens in Textform (zulässig sind nur E-Mail, Fax, Post). Eine Nutzung für andere Zwecke des Auftragnehmers oder etwaiger Unterauftragnehmer ist ausgeschlossen.

5.2 Der Auftragnehmer erwirbt keine Rechte an den ihm für diese Zwecke zur Verfügung gestellten Daten.

5.3 Dem Auftragnehmer ist bekannt, dass die Daten des Auftraggebers als personenbezogene Daten durch die Vorschriften des Datenschutzrechts geschützt sind. Der Auftragnehmer gewährleistet, dass die Daten nur denjenigen Mitarbeitern zur Verfügung gestellt werden, die sich vor einer Bekanntgabe der Daten zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Mitarbeiter sind darauf hinzuweisen, dass die Verschwiegenheitsverpflichtung auch für die Zeit nach Beendigung ihres Arbeitsverhältnisses gilt.

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 4 von 17

5.4 Der Auftragnehmer verpflichtet sich, alle Informationen über Betriebsinterna des Auftraggebers, die ihm im Rahmen der Auftragsbeziehung bekannt werden, auch über das Ende der Auftragsbeziehungen hinaus geheim zu halten und nicht gegenüber Dritten zu offenbaren, solange diese Betriebsinterna nicht öffentlich bekannt oder allgemein zugänglich sind oder gesetzliche Offenlegungspflichten bestehen.

5.5 Der Auftragnehmer ist verpflichtet, dem Auftraggeber jederzeit Auskunft zu erteilen, soweit Daten und Unterlagen des Auftraggebers betroffen sind. Ferner besteht eine Unterrichtungspflicht des Auftragnehmers gegenüber dem Auftraggeber über Entwicklungen, die die ordnungsgemäße Erledigung der Auftragsverarbeitung beeinträchtigen können sowie bei Verdacht auf Datenschutzverletzungen oder andere Unregelmäßigkeiten bei der Verarbeitung der Daten des Auftraggebers.

Die unverzügliche Unterrichtung des Auftraggebers über Datenschutzvorfälle beim Auftragnehmer erfolgt an die folgenden Postfächer unter Nutzung des Meldeformulars in ANHANG 2 dieses Vertrages:

• Empfänger: Datenschutzvorfall@BVG.de

• CC: Support@BVG.de und Datenschutz@BVG.de

5.6 Im Rahmen dieser Unterrichtung ist der Sachverhalt des Datenschutzvorfalls darzustellen, insbesondere Angabe des Zeitpunktes und Umfangs des Vorfalls.

5.7 Nach Abschluss des Auftrags hat der Auftragnehmer alle personenbezogenen Daten, einschließlich die ihm überlassene Datenträger sowie Kopien oder Reproduktionen davon, an den Auftraggeber herauszugeben bzw. zu übermitteln. Nach Erhalt einer schriftlichen Eingangsbestätigung der personenbezogenen Daten durch den Auftraggeber hat der Auftragnehmer diese Daten in datenschutzkonformer Weise permanent zu löschen und die nicht automatisierten Dateien zu vernichten, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Die Eingangsbestätigung des Auftraggebers muss in individualisierter Weise in Text- oder Schriftform erfolgen (zulässig sind nur E-Mail, Fax, Post). Eine automatisiert versandte Lesebestätigung ist keine Eingangsbestätigung im vorgenannten Sinne.

Daten auf seinen Datenträgern hat der Auftragnehmer jedenfalls so zu löschen, dass sie nicht wiederhergestellt werden können. Der Auftraggeber kann schriftlich oder in Textform (zulässig sind nur E-Mail, Fax, Post) anordnen, dass die Löschung / Vernichtung ohne vorherige Übermittlung erfolgen soll. Die Pflicht des Auftragnehmers zur Löschung / Vernichtung von Daten besteht gleichermaßen auch während der Dauer des Auftragsverhältnisses, wenn der

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 5 von 17

Auftraggeber diese anordnet, es sei denn, es besteht eine Verpflichtung zur Speicherung der personenbezogenen Daten nach dem Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt. Eine entsprechende Löschung / Vernichtung kann der Auftraggeber bereits vor Beginn des Auftragsverhältnisses anordnen, indem der Auftraggeber dem Auftragnehmer die konkreten Fristen für die Löschung / Vernichtung der Daten, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Fristen mitteilt.

5.8 Ein Zurückbehaltungsrecht an Daten des Auftraggebers oder Datenträgern des Auftraggebers mit dessen Daten steht dem Auftragnehmer unter keinen Umständen zu.

5.9 Soweit die Daten des Auftraggebers vom Auftragnehmer durch Pfändung, Beschlagnahme, Insolvenz- oder Vergleichsverfahren oder sonstige Ereignisse, Maßnahmen Dritter oder Maßnahmen von Behörden gefährdet werden, wird der Auftragnehmer den Auftraggeber unverzüglich über solche Umstände informieren. Der Auftragnehmer wird alle an solchen Maßnahmen Beteiligten unverzüglich darüber informieren, dass die Daten im Auftrag des Auftraggebers verarbeitet werden und dass sämtliche Rechte an diesen Daten beim Auftraggeber als Verantwortlichen liegen.

5.10 Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn eine vom Auftraggeber erteilte Weisung nach seiner Meinung zu einem Verstoß gegen gesetzliche Vorschriften des Datenschutzrechts führt. Der Auftragnehmer ist zur Befolgung der Weisung verpflichtet, wenn sie vom Auftraggeber ausdrücklich schriftlich oder in Textform (zulässig sind nur E-Mail, Fax, Post) bestätigt wird. Dies gilt jedoch insbesondere dann nicht, wenn sich der Auftragnehmer durch die Befolgung strafbar machen oder gegenüber dem Betroffenen schadensersatzpflichtig machen würde.

5.11 Der Auftragnehmer hat die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der datenschutzrechtlichen Vorschriften zu gewährleisten; insbesondere um sicherzustellen, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet. Hierzu wird ergänzend auf ANHANG 1 verwiesen, der Vertragsbestandteil ist.

5.12 Soweit die Verarbeitung personenbezogener Daten automatisiert erfolgt, hat der Auftragnehmer unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung Maßnahmen zu ergreifen, die gewährleisten, dass

• personenbezogene Daten jederzeit ihrem Ursprung zugeordnet werden können; • festgestellt werden kann, wer wann welche personenbezogenen Daten in welcher Weise verarbeitet hat;

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 6 von 17

• die Verfahrensweisen bei der Verarbeitung personenbezogener Daten vollständig, aktuell und in einer Weise dokumentiert sind, dass sie in zumutbarer Zeit nachvollzogen werden können; und • bei der Bereitstellung personenbezogener Daten eine Trennung der Daten nach den jeweils verfolgten Zwecken und betroffenen Personen möglich ist.

5.13 Soweit dies gesetzlich erforderlich ist, wird der Auftragnehmer schriftlich einen Datenschutzbeauftragten bestellen. Der Auftragnehmer teilt dem Auftraggeber die Kontaktdaten mit.

5.14 Vor Beginn der Datenverarbeitung stellt der Auftragnehmer dem Auftraggeber ein umfassendes und aktuelles Datenschutz- und Sicherheitskonzept für diese Auftragsverarbeitung zur Verfügung, das den Anforderungen der anwendbaren Vorschriften (insbesondere des Datenschutzrechts) genügt. Der Auftragnehmer hat das Konzept regelmäßig (mindestens einmal pro Jahr) zu aktualisieren.

5.15 Soweit der Auftragnehmer die Wartung von Systemen und Diensten der automatisierten Datenverarbeitung im Auftrag des Auftraggebers vornimmt und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann, stellt der Auftragnehmer durch geeignete technische und organisatorische Maßnahmen sicher, dass nur auf die für die Wartung erforderlichen personenbezogenen Daten zugegriffen werden kann. Diese Maßnahmen müssen insbesondere Folgendes gewährleisten:

• die Wartung darf nur durch autorisiertes Personal erfolgen; • jeder Wartungsvorgang darf nur mit Wissen und Wollen des Auftraggebers erfolgen; • die unbefugte Entfernung oder Übertragung personenbezogener Daten im Rahmen der Wartung ist zu verhindern; und • es ist sicherzustellen, dass alle Wartungsvorgänge kontrolliert und nach der Durchführung nachvollzogen werden können.

Der Auftragnehmer, der die Wartung von Systemen und Diensten der automatisierten Datenverarbeitung im Auftrag des Auftraggebers vornimmt, wird keine personenbezogenen Daten, die ihm zur Kenntnis gelangen, an andere Stellen, insbesondere solche außerhalb der Europäischen Union, übermitteln.

6. Kontrollrechte

6.1 Die Erfüllung der Pflichten aus dem Hauptvertrag und der ANHANG 1 ist vom Auftragnehmer zu kontrollieren und zu protokollieren. Dieses Protokoll hat er auf Anfrage dem Auftraggeber

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 7 von 17

zu übergeben.

6.2 Der Auftraggeber darf vor der Aufnahme der Datenverarbeitung und sodann regelmäßig die technischen und organisatorischen Maßnahmen des Auftragnehmers – auch vor Ort – kontrollieren. Hierfür kann er nach eigener Wahl Selbstauskünfte des Auftragnehmers einholen, einen Sachverständigen eine Untersuchung durchführen und einen Untersuchungsbericht erstellen lassen oder sich nach zweitägiger vorheriger Anmeldung zu den üblichen Geschäftszeiten persönlich überzeugen.

6.3 Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung innerhalb einer angemessenen Frist alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Vertrag niedergelegten Pflichten zur Verfügung zu stellen und Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, zu ermöglichen und dazu beizutragen.

6.4 Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung seiner Pflichten nach der DSGVO bei Anfragen oder Kontrollen durch die jeweilige Aufsichtsbehörde für den Datenschutz, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, bei der Benachrichtigung der von einer Verletzung der Schutzes personenbezogener Daten betroffener Personen, bei der Durchführung von Datenschutz- Folgeabschätzungen und bei der Konsultation der Aufsichtsbehörde hinsichtlich von Verarbeitungen, die ein hohes Risiko zur Folge haben.

6.5 Der Auftragnehmer übermittelt dem Auftraggeber vor dem Beginn der Verarbeitung von personenbezogenen Daten und danach in regelmäßigen Abständen die Dokumentation über die ergriffenen technischen und organisatorischen Schutzmaßnahmen. Hierzu kann er auf Gutachten von öffentlich bestellten und vereidigten Sachverständigen (wie beispielsweise des Technischen Überwachungs-Vereins, TÜV) zurückgreifen. Die Kontrollrechte des Auftraggebers bleiben hiervon unberührt.

6.6 Der Auftragnehmer stellt sicher, dass Informations-, Prüfungs- und/oder Kontrollrechte der Innenrevision und der Jahresabschlussprüfer des Auftraggebers oder bei sonstigen gesetzlich oder behördlich angeordnete Prüfungen gewährleistet werden. Der Auftragnehmer wird derartige Prüfungen gestatten und sie nicht erschweren oder behindern.

7. Anfragen Betroffener

Soweit der Auftraggeber verpflichtet ist, Anträgen auf Wahrnehmung der datenschutzrechtlichen Rechte der betroffenen Personen nachzukommen, wird der

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 8 von 17

Auftragnehmer ihn auf Aufforderung in Text- oder Schriftform (zulässig sind nur E-Mail, Fax, Post) dabei unterstützen, soweit er im Rahmen des Auftragsverhältnisses die entsprechenden Daten erhalten hat. Die Rechte des Betroffenen im Hinblick auf personenbezogene Daten sind insbesondere die Rechte auf Auskunft, Berichtigung, Löschung (Recht auf Vergessenwerden), Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

8. Haftung und Freistellung

8.1 Es gilt die gesetzliche Haftung.

8.2 Der Auftragnehmer stellt den Auftraggeber – ungeachtet von Ziffer 8.1 – von durch Dritte geltend gemachten Ansprüchen auf Schadensersatz sowie Kosten- und Aufwandserstattung (jeweils einschließlich der angemessenen Kosten der Rechtsverteidigung) frei, sofern die entsprechenden Ansprüche auf eine Pflichtverletzung des Auftragnehmers zurückgehen. Der Auftragnehmer unterstützt den Auftraggeber in diesen Fällen in angemessenem Umfang bei der Rechtsverteidigung.

9. Schlussbestimmungen

9.1 Der Auftraggeber kann den Vertrag jederzeit aus wichtigem Grund kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen datenschutzrechtliche Bestimmungen im Zusammenhang mit der Durchführung des Auftrags vorliegt. Die Kündigung bedarf der Schriftform.

9.2 Änderungen oder Ergänzungen dieses Vertrags bedürfen der Schriftform. Dies gilt auch für eine Änderung des Schriftformerfordernisses selbst.

9.3 Auf diesen Vertrag findet deutsches Recht Anwendung.

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 9 von 17

9.4 Sollten einzelne Bestimmungen dieses Vertrags ganz oder teilweise unwirksam sein oder werden oder sollte sich in diesem Vertrag eine Lücke befinden, wird hierdurch die Gültigkeit der übrigen Bestimmungen nicht berührt. Anstelle der unwirksamen Bestimmung gilt diejenige wirksame Bestimmung als vereinbart, welche dem Sinn und Zweck der unwirksamen entspricht. Im Falle einer Lücke gilt diejenige Bestimmung als vereinbart, die dem entspricht, was nach Sinn und Zweck des Vertrags vereinbart worden wäre, hätte man die Angelegenheit von vorneherein bedacht.

Ort, Datum: _______________________________________________________________

Auftraggeber Auftragnehmer

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 10 von 17

ANAHNG 1 Ergänzungen zum Datenverarbeitungsvertrag

Technische und organisatorische Maßnahmen

1. Zugangskontrolle

Welche Maßnahmen werden hinsichtlich des Verwehrens des Zugangs zu den zentralen DV-technischen Anlagen, dezentralen Technikräumen oder zu Archivräumen (Akten) technisch und organisatorisch erwartet bzw. sind vorhanden?

2. Datenträgerkontrolle

Welche Maßnahmen werden zum Schutz gegen Missbrauch der Datenträger technisch und organisatorisch erwartet bzw. sind vorhanden?

3. Speicherkontrolle

Welche Maßnahmen werden hinsichtlich des Schutzes von gespeicherten personenbezogenen Daten technisch und organisatorisch erwartet bzw. sind vorhanden?

4. Benutzerkontrolle

Welche Maßnahmen werden hinsichtlich der unbefugten Nutzung von Verarbeitungssystemen technisch und organisatorisch erwartet bzw. sind vorhanden?

5. Zugriffskontrolle

Welche Maßnahmen werden erwartet bzw. sind vorhanden, um die unerlaubte Tätigkeit in DV- Systemen außerhalb eingeräumter Berechtigungen zu verhindern?

6. Übertragungskontrolle

Welche Regelungen werden erwartet bzw. sind vorhanden bezüglich der Weitergabe personenbezogener Daten (elektronische Übertragung, physischer Datentransport, Übermittlungskontrolle)?

7. Eingabekontrolle

Welche Maßnahmen werden insbesondere zur Protokollierung bei Änderungen in den Datenverarbeitungssystemen erwartet bzw. sind vorhanden?

8. Transportkontrolle

Welche Maßnahmen werden für die sichere Datenübertragung von personenbezogenen Daten erwartet bzw. sind vorhanden?

9. Wiederherstellbarkeit

Welche Maßnahmen werden für die Wiederherstellung der Systeme oder Daten technisch und organisatorisch erwartet bzw. sind vorhanden?

10. Zuverlässigkeit

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 11 von 17

Welche Maßnahmen werden für die Sicherung der Zuverlässigkeit der Systeme technisch und organisatorisch erwartet bzw. sind vorhanden?

11. Datenintegrität

Welche Maßnahmen werden hinsichtlich der Richtigkeit der Daten technisch und organisatorisch erwartet bzw. sind vorhanden?

12. Auftragskontrolle

Welche Maßnahmen und Vereinbarungen werden im Umgang mit Auftragnehmern erwartet bzw. sind vorhanden?

13. Verfügbarkeitskontrolle

Welche Maßnahmen werden erwartet bzw. sind vorhanden, um zu kontrollieren, dass die Daten angemessen verfügbar bereitstehen?

14. Trennungskontrolle

Welche Maßnahmen werden erwartet bzw. sind vorhanden um zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten nur zum jeweiligen Zweck verarbeitet werden können?

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 12 von 17

ANHANG 2 zum Vertrag über die Auftragsverarbeitung – Vorab-Meldung Datenschutzvorfall an Auftraggeber –

Um die ordnungsgemäße und fristwahrende Bearbeitung von Datenschutzvorfällen sicherzustellen, verwenden Sie zur unverzüglichen Meldung von Datenschutzvorfällen gegenüber dem Auftraggeber ausschließlich diesen Anhang und übersenden diese an folgende E-Mail-Adressen:

An: Datenschutzvorfall@BVG.de CC: Support@BVG.de; Datenschutz@BVG.de (zwingend beide in CC nehmen)

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 13 von 17

ANHANG 3 zum Vertrag über die Auftragsverarbeitung – Löschbestätigung / Bestätigung der Datenrückgabe / Vernichtung für Auftragsverarbeiter –

Bei Auftragsverarbeitungen ist nach Art. 28 Abs. 3 S. 2 lit. g DSGVO vorgesehen, dass der Auftragsverarbeiter nach Abschluss der Verarbeitung personenbezogene Daten nach Wahl des Verantwortlichen löscht oder zurückgibt und vorhandene Kopien löscht, soweit keine gesetzliche Speicherpflicht entgegensteht.

1. Verantwortlicher / Auftraggeber

BVG – Berliner Verkehrsbetriebe

Holzmarktstr. 15 – 17

110179 Berlin

Geschäftseinheit: BP-FE

2. Auftragsverarbeiter (Löschverpflichteter)

[Einfügen]

Kontaktperson / Funktion: [Einfügen]

3. Anlass der Löschung

☐Beendigung des Vertrags-/Leistungsverhältnisses:

☐Ende des Vertrages

☐Abschluss des Projekts / Vorgangs

☐Ablauf des Verarbeitungszwecks bzw. der Speicherfrist

☐Weisung des Verantwortlichen

☐sonstiger Anlass:

4. Von der Löschung betroffene Daten

Datenkategorien Löschung / Rückgabe betrifft folgende Datenkategorien (Mehrfachauswahl zulässig):

☐Stammdaten (Name, Vorname, Geburtsdatum, Kundennummer, etc.)

☐Kontaktdaten (E-Mail-Adresse, Telefonnummer, Mobilfunknummer, Postanschrift)

☐Vertrags-/Kundendaten

☐Beschäftigtendaten

☐Nutzungs-/Protokolldaten

☐Zahlungs-/Abrechnungsdaten

☐Kommunikationsdaten

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 14 von 17

☐besondere Kategorien personenbezogener Daten i.S.d. Art. 9 DSGVO

☐sonstige Daten:

Betroffene Personengruppen (Mehrfachauswahl zulässig):

☐Kunden / Fahrgäste

☐Beschäftigte

☐Bewerber

☐externe Kontaktpersonen

☐sonstige: [bitte ergänzen]

5. Durchgeführte Maßnahmen

Es wird bestätigt, dass folgende Maßnahmen durchgeführt wurden:

5.1 Rückgabe von Daten

☐die personenbezogenen Daten wurden an den Aufraggeber zurückgegeben und etwaige Kopien

vernichtet

Hier eintragen, welcher Datenträger oder Übergabeweg genutzt wurde:

5.2 Löschung von Daten (Mehrfachauswahl zulässig):

☐die personenbezogenen Daten vollständig wurden gelöscht;

☐vorhandene Kopien wurden gelöscht;

☐Daten aus Produktivsystemen wurden gelöscht;

☐Daten aus Test-/Entwicklungs-/Staging-Systemen wurden gelöscht;

☐lokale Kopien, Exporte, temporäre Dateien und Arbeitsdateien wurden gelöscht;

☐Backups wurden nach dem regulären Backup-/Löschzyklus überschrieben oder zur

Wiederherstellung gesperrt.

Hinweis: Die Löschung umfasst grundsätzlich auch Kopien und Nebenbestände. Soweit Daten in

Backups nicht sofort physisch gelöscht werden können, sollte dokumentiert werden, dass diese nicht

mehr produktiv genutzt und nach Ablauf des Backup-Zyklus überschrieben bzw. gelöscht werden. Dies

entspricht den praktischen Anforderungen an eine nachvollziehbare Beendigung von

Auftragsverarbeitungen.

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 15 von 17

5.3 Vernichtung von Daten

☐Papierunterlagen wurden datenschutzgerecht konform vernichtet;

☐Datenträger wurden sicher gelöscht oder datenschutzkonform vernichtet;

5.4 Anonymisierung

☐Daten wurden anonymisiert

Beschreibung der Anonymisierung (Technik und Verfahren):

5. Nachweise

Folgende Nachweise sind beigefügt oder können auf Anforderung vorgelegt werden:

☐Löschprotokoll

☐Ticket / Change-Dokumentation

☐Vernichtungsnachweis

☐Screenshot / Systemprotokoll

☐Bestätigung Unterauftragnehmer

☐Backup-/Retention-Konzeptauszug

☐sonstiger Nachweis: [bitte ergänzen]

6. Zeitpunkt der Löschung / Rückgabe der Daten

Löschdatum / Zeitraum:

Rückgabedatum:

Löschmethode (z.B. Datenbanklöschung, physische Vernichtung Datenträger):

Umgang mit Sicherungskopien/Backups:

☐Keine relevanten Sicherungskopien vorhanden

☐Sicherungskopien werden spätestens bis zum __________ gelöscht

☐Sonstiges: ___________________________

7. Ausnahme: gesetzliche oder vertragliche Aufbewahrungspflichten

☐ Es bestehen keine weiteren Aufbewahrungspflichten.

☐ Folgende Daten konnten aufgrund gesetzlicher / vertraglicher Aufbewahrungspflichten nicht

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 16 von 17

gelöscht werden:

Die betreffenden Daten werden ausschließlich für den genannten Zweck gesperrt bzw.

zugriffsbeschränkt aufbewahrt und nach Ablauf der Frist gelöscht.

Hinweis: Eine Ausnahme von der Löschpflicht kommt insbesondere in Betracht, wenn nach Unionsrecht

oder nationalem Recht eine Speicherpflicht besteht.

8. Eingesetzte Unterauftragnehmer / weitere interne Stellen

☐Es wurden keine Unterauftragnehmer / weiteren internen Stellen eingebunden.

☐Folgende Unterauftragnehmer / interne Stellen waren beteiligt und haben die Löschung ebenfalls

bestätigt:

9. Bestätigung des Auftragsverarbeiters

Hiermit bestätigen wir als Auftragsverarbeiter gemäß Art. 28 DSGVO, dass die oben bezeichneten

personenbezogenen Daten des Auftraggebers vollständig und fachgerecht gelöscht bzw. vernichtet

wurden, entsprechend den vertraglichen Vereinbarungen zur Auftragsverarbeitung und den

einschlägigen Datenschutzbestimmungen (insbesondere DSGVO, BDSG, Berliner Datenschutzgesetz),

und dass eine weitere Verarbeitung dieser Daten durch uns nicht stattfindet.

Verbleibende technische oder rechtliche Einschränkungen (z.B. Aufbewahrungsfristen,

systembedingte Protokolle) sind oben unter Ziff. 4 angegeben.

10. Ort, Datum, Unterschrift

AVV zwischen BVG und [Einfügen] - V6.0 – Stand: 07/2026 Seite 17 von 17