260907 Anlage 5 AVV.pdf

Auftragsverarbeitungsvereinbarung

im Sinne des Art. 28 Abs. 3 Datenschutz-Grundverordnung (DS-GVO)

zwischen

(…)

– nachfolgend „Auftragnehmer“ genannt –

und

TRON - Translationale Onkologie an der Universitätsmedizin der Johannes Gutenberg- Universität Mainz gemeinnützige GmbH Freiligrathstraße 12 55131 Mainz

– nachfolgend „Auftraggeber“ genannt –

– nachfolgend gemeinsam „Parteien“ und je einzeln „Partei“ genannt –

Präambel

Aufgrund des zwischen den Parteien abgeschlossenen Rahmenvereinbarung über Liefe- rung von Storage- und Softwarekomponenten sowie zugehöriger Services (nachfolgend gemeinsam „Hauptvertrag“ genannt) ist der Auftragnehmer zur Erbringung von unter- schiedlichen Leistungen verpflichtet. Im Rahmen der Leistungserbringung gegenüber dem Auftraggeber nimmt der Auftragnehmer zu diesem Zweck ggfs. Zugriff auf personenbezo- gene Daten.

Die Parteien schließen daher diese Auftragsverarbeitungsvereinbarung (nachfolgend „Vereinbarung“ genannt), um die rechtmäßige Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten durch den Auftragnehmer zu gewährleisten. Die Vereinbarung konkretisiert insoweit die datenschutzrechtlichen Verpflichtungen des Auftragnehmers.

§ 1 Vertragsgegenstand

Der Auftragnehmer erhebt, verarbeitet und nutzt personenbezogene Daten im Auf- trag und auf Weisung des Auftraggebers zur Erfüllung der ihm aufgrund des Haupt- vertrags obliegenden Leistungspflichten. Der Auftraggeber ist im Rahmen dieser Vereinbarung für die Einhaltung der gesetzlichen Bestimmungen der Datenschutz-

Seite | 1

gesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftrag- nehmer sowie für die Rechtmäßigkeit der Datenverarbeitung alleiniger „Verantwort- licher“ im Sinne des Art. 4 Nr. 7 DS-GVO.

§ 2 Pflichten des Auftragnehmers

2.1 Der Auftragnehmer verarbeitet personenbezogene Daten im Rahmen des Haupt- vertrags nur auf dokumentierte Weisung des Auftraggebers. Ohne Weisung des Auftraggebers verarbeitet der Auftragnehmer personenbezogene Daten aus- schließlich, sofern er durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, hierzu verpflichtet ist. In Fällen gemäß Satz 2 teilt der Auf- tragnehmer dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichti- gen öffentlichen Interesses verbietet.

2.2 Umfang und Zweck der Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch den Auftragnehmer sowie die Art der betroffenen Daten ergeben sich aus Anhang 1 und werden bei Bedarf durch entsprechende Weisungen des Auf- traggebers ergänzt. Eine Verarbeitung oder Nutzung der personenbezogenen Da- ten für andere Zwecke, insbesondere eine Nutzung für oder Weitergabe an Dritte sowie eine Nutzung für eigene Zwecke, ist dem Auftragsverarbeiter ausdrücklich untersagt.

2.3 Weisungen des Auftraggebers sind vom Auftragnehmer zu dokumentieren und bedürfen im Regelfall der Schriftform oder der Textform. Der Auftraggeber kann sei- ne Weisungen jederzeit bei Bedarf ändern, ergänzen oder ersetzen.

2.4 Ist der Auftragnehmer der Ansicht, eine Weisung des Auftraggebers verstoße ge- gen die DS-GVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten, hat er den Auftraggeber schriftlich darauf hinzuweisen. Der Auf- tragnehmer ist in diesen Fällen berechtigt, die Durchführung der Weisung auszuset- zen, bis der Auftraggeber die Weisung bestätigt oder abändert. Bestätigt der Auf- traggeber die Weisung trägt ausschließlich er die Verantwortung für eine etwaige Unzulässigkeit der Verarbeitung.

2.5 Der Auftragnehmer hat im Zusammenhang mit der Erfüllung der Meldepflicht des Auftraggebers entsprechend Art. 33 und 34 DS-GVO diesem unverzüglich in Text- form Meldung unter Angabe sämtlicher wesentlicher Informationen zu erstatten in allen Fällen, in denen durch ihn oder die bei ihm beschäftigten Personen oder Un- terauftragsverarbeiter Verstöße gegen Vorschriften zum Schutz personenbezoge- ner Daten des Auftraggebers oder gegen die im Auftrag getroffenen Festlegungen vorgefallen sind. Dies gilt auch im Falle des Abhandenkommens oder der unrecht- mäßigen Übermittlung oder Kenntniserlangung von personenbezogenen Daten und

Seite | 2

bei schwerwiegenden Störungen des Betriebsablaufs, bei Verdacht auf sonstige Verletzungen gegen Vorschriften zum Schutz personenbezogener Daten oder an- deren Unregelmäßigkeiten beim Umgang mit personenbezogenen Daten des Auf- traggebers. Dies gilt weiter auch für den Fall von Kontrollhandlungen und Maßnah- men der Aufsichtsbehörde nach Art. 58 DS-GVO. Dies gilt auch, soweit eine zustän- dige Behörde nach Art. 82, 83 DS-GVO beim Auftragnehmer ermittelt.

2.6 Verstößt der Auftragnehmer schuldhaft gegen seine Mitwirkungspflichten oder kommt er darüber hinaus seinen gesetzlichen Pflichten als Auftragnehmer nicht nach, beachtet er nicht offensichtlich rechtswidrige Anweisungen des Auftragge- bers nicht oder handelt er gegen diese Anweisungen, ist er zum Ersatz des dem Auftraggeber hierdurch entstehenden Schadens sowie zur Freistellung von hier- durch gegen ihn gerichteten Ansprüchen Dritter verpflichtet. Dies gilt nicht, wenn der Auftragnehmer nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.

2.7 Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über Kontrollhand- lungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diese Vereinba- rung beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeiten- oder Strafverfahrens in Bezug auf die Verarbeitung perso- nenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.

2.8 Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffe- nen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, unterstützt ihn der Auftragnehmer nach besten Kräften.

2.9 Der Auftragnehmer wird unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Auftraggeber unentgeltlich bei der Einhaltung der in den Artikeln 32 bis 36 DS-GVO genannten gesetzlichen Pflichten unterstützen. Hierzu gehören u.a. a. die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung so- wie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechts- verletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen, b. die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich an den Auftraggeber zu melden, c. die Verpflichtung, dem Auftraggeber im Rahmen seiner Informationspflicht ge- genüber dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen, d. die Unterstützung des Auftraggebers für dessen Datenschutz-Folgenabschät- zung,

Seite | 3

e. die Unterstützung des Auftraggebers im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde.

2.10 Der Auftraggeber ist jederzeit berechtigt, eine Berichtigung, Löschung und Sper- rung von personenbezogenen Daten zu verlangen. Der Auftragnehmer hat entspre- chende Weisungen des Auftraggebers unverzüglich umzusetzen, sofern nicht eine gesetzliche Verpflichtung des Auftragnehmers zur Speicherung der personenbezo- genen Daten besteht.

2.11 Nach Beendigung der Datenverarbeitung sind personenbezogene Daten bzw. Da- tenträger, die dem Auftragnehmer zur Erfüllung seiner Pflichten aus dem Hauptver- trag übergeben wurden, nach Weisung des Auftraggebers datenschutzgerecht zu vernichten oder zurückzugeben. Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitsko- pien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Auf- bewahrungspflichten erforderlich sind. Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Auftraggeber – spätestens mit Beendigung der Leistungsvereinbarung – hat der Auftragnehmer sämtliche in sei- nen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutz- gerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Ver- tragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsen- de dem Auftraggeber übergeben.

2.12 Der Auftragnehmer dokumentiert die Datenverarbeitung sowie die Einhaltung sämt licher sich aus dieser Vereinbarung und im Zusammenhang hierzu stehenden da- tenschutzrechtlichen Vorschriften ergebenden Pflichten und stellt dem Auftragge- ber die Dokumentation auf Wunsch unverzüglich zur Verfügung.

§ 3 Technisch-organisatorische Maßnahmen

3.1 Der Auftragnehmer gestaltet die innerbetriebliche Organisation in der Weise, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Der Auftrag- nehmer hat gem. Art. 28 Abs. 3 lit. c. DS-GVO die Sicherheit der Verarbeitung nach Maßgabe des Art. 32 DS-GVO, insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DS-GVO, herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnah- men um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der

Seite | 4

Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Tech- nik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verar- beitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Ri- sikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen. Der Auftragnehmer trifft hierzu insbesondere die in Anhang 2 definierten technischen und organisatorischen Maßnahmen zur ange- messenen Sicherung der personenbezogenen Daten vor Missbrauch und Verlust. Der Auftragnehmer dokumentiert die Umsetzung der Maßnahmen und legt die Do- kumentation dem Auftraggeber auf Anfrage vor.

3.2 Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderun- gen sind zu dokumentieren und dem Auftraggeber schriftlich anzuzeigen. Der Auf- tragnehmer verpflichtet sich zudem, die technischen und organisatorischen Maß- nahmen an die jeweils geltenden gesetzlichen Regelungen anzupassen. Verlangt der Auftraggeber im Übrigen eine Änderung der vertraglich vereinbarten techni- schen und organisatorischen Maßnahmen, werden sich die Parteien über das wei- tere Vorgehen einvernehmlich verständigen. Im Falle einer Änderung ist Anhang 2 entsprechend anzupassen.

§ 4 Unterauftragsverhältnisse

4.1 Die Beauftragung von Unterauftragnehmern durch den Auftragnehmer ohne Ge- nehmigung des Auftraggebers ist unzulässig. Sie darf ausschließlich mit vorheriger schriftlicher Zustimmung des Auftraggebers für den Einzelfall erfolgen. Als Unter- auftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu ver- stehen, die selber eine Auftragsverarbeitung im Sinne des Art. 28 DS-GVO darstel- len und sich grundsätzlich unmittelbar auf die Erbringung der Hauptleistung bezie- hen.

4.3 Stimmt der Auftraggeber dem Einsatz eines Subunternehmens zu, stellt der Auf- tragnehmer sicher, dass das Subunternehmen entsprechend den ihm obliegenden Verpflichtungen aus dieser Vereinbarung entweder schriftlich oder in einem elektro- nischen Format verpflichtet wird und die in Art. 28 Abs. 2 und 4 DS-GVO genannten Bedingungen eingehalten werden. Auf Verlangen des Auftraggebers weist der Auf- tragnehmer die entsprechende datenschutzrechtliche Vereinbarung mit dem Unter- auftragnehmer sowie die Umsetzung der sich daraus ergebenden Verpflichtung in geeigneter Weise nach. Der Auftragnehmer stellt durch Einholung hinreichender Garantien des Subunternehmers sicher, dass dieser die Einhaltung der technischen

Seite | 5

und organisatorischen Maßnahmen gewährleistet. Der Auftragnehmer haftet ge- genüber dem Auftraggeber für die Einhaltung der Pflichten jedes Unterauftragneh- mers.

4.4 Der Auftragnehmer macht regelmäßig von den in diesem Vertrag beschriebenen und in der Unterauftragsvereinbarung zu spiegelnden Kontrollrechten gegenüber jedem Unterauftragnehmer Gebrauch. Der Auftraggeber ist berechtigt, was der Auf- tragnehmer mit jedem Unterauftragnehmer zu vereinbaren hat, die Ausübung der Kontrollbefugnisse durch den Auftragnehmer uneingeschränkt zu überwachen und die Kontrollen gegenüber dem Unterauftragnehmer jederzeit auch selbst vorzuneh- men.

§ 5 Vertraulichkeit

5.1 Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbe- zogenen Daten befugten Personen zur Wahrung datenschutzrechtlicher Grundsät- ze und zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzli- chen Verschwiegenheitspflicht unterliegen. Der Auftragnehmer dokumentiert ent- sprechende Verpflichtungserklärungen oder bestehende gesetzliche Pflichten und weist diese dem Auftraggeber auf Anforderung nach.

5.2 Es ist sicherzustellen, dass die Verpflichtung zur Wahrung der Vertraulichkeit auch nach Beendigung dieser Vereinbarung fortbesteht.

§ 6 Übermittlung in Nicht-EWR Staaten

6.1 Die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten durch den Auftragnehmer ist räumlich auf einen Mitgliedsstaat der Europäischen Union oder einen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum beschränkt. Die Übermittlung von personenbezogenen Daten durch den Auftrag- nehmer an eine im EWR-Ausland belegene Stelle, d.h. ein Unternehmen mit Sitz außerhalb des EWR, ist nur unter Einhaltung der gesetzlichen Vorschriften und der gesonderten schriftlichen Zustimmung des Auftraggebers möglich. Ausnahmen hiervon sind nur in den in Art. 28 Abs. 3 lit a. DS-GVO genannten Fällen unter den dort genannten zusätzlichen Voraussetzungen möglich.

6.2 Ist der Auftragnehmer nach dem anwendbaren Recht eines Mitgliedstaates oder der Europäischen Union verpflichtet, Daten an eine im EWR-Ausland belegene Stelle zu übermitteln, teilt der Auftragnehmer dies entsprechend seiner Verpflich- tung aus Art. 28 Abs. 3 lit. a DS-GVO dem Auftraggeber vor der Verarbeitung mit, sofern das anwendbare Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Seite | 6

§ 7 Rechte von betroffenen Personen

7.1 Der Auftragnehmer wird den Auftraggeber auf dessen Aufforderung nach besten Kräften bei der Erfüllung der Rechte der betroffenen Personen gemäß Kapitel III der DS-GVO unterstützen, insb. im Hinblick auf das Recht auf Vergessenwerden und das Recht auf Datenübertragbarkeit.

7.2 Macht ein Betroffener Rechte, insbesondere auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten, unmittelbar gegenüber dem Auftragneh- mer geltend, so reagiert dieser nicht selbstständig, sondern verweist den Betroffe- nen unverzüglich an den Auftraggeber und wartet dessen Weisungen ab.

§ 9 Auftragskontrolle

9.1 Der Auftraggeber hat das Recht, vor Beginn der Datenverarbeitung durch den Auf- tragnehmer und sodann regelmäßig, eine Auftragskontrolle in Bezug auf die vom Auftragnehmer vorzunehmenden Datenverarbeitungsprozesse durchzuführen. Er hat das Recht, sich durch Stichprobenkontrollen von der Einhaltung dieser Verein- barung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen. Im Rahmen der Auftragskontrolle gewährt der Auftragnehmer dem Auftraggeber alle notwendigen Auskunfts-, Einsichts- und Zugangsrechte. Die Durchführung einer Vor-Ort-Kontrolle darf der Auftragnehmer von einer vorherigen Anmeldung mit an- gemessener Vorlaufzeit und von der Unterzeichnung einer Verschwiegenheitserklä- rung hinsichtlich der Daten anderer Kunden und der eingerichteten technischen und organisatorischen Maßnahmen abhängig machen.

9.2 Der Auftraggeber ist berechtigt, die Auftragskontrolle ganz oder teilweise durch einen zur Geheimhaltung verpflichteten Bevollmächtigten vorzunehmen. Der Auf- tragnehmer ist verpflichtet, durch den Bevollmächtigten vorgenommene Kontroll- handlungen in derselben Weise zu dulden und zu unterstützen wie Kontrollen durch den Auftraggeber selbst. Sollte der durch den Auftraggeber bestellte Bevollmächtig- te in einem Wettbewerbsverhältnis zu dem Auftragnehmer stehen, hat der Auftrag- nehmer gegen diesen ein Einspruchsrecht.

9.3 Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die zur Durchführung einer umfassenden Auftragskontrolle erforderlichen Auskünfte zu ge- ben und die entsprechenden Nachweise verfügbar zu machen. Der Nachweis der Umsetzung geeigneter Maßnahmen kann auch durch Vorlage aktueller Testate so- wie von Berichten unabhängiger Prüfer (Wirtschaftsprüfer, Revision, Datenschutz- beauftragter, IT-Sicherheitsabteilung, etc.) erbracht werden.

Seite | 7

9.4 Stellt der Auftraggeber im Rahmen der Auftragskontrolle Mängel bei der Einhal- tung der technischen und organisatorischen Maßnahmen fest, beseitigt der Auftrag- nehmer die Mängel unverzüglich.

§ 10 Vertragsdauer / Außerordentliche Kündigung des Hauptvertrages

10.1 Die Vereinbarung tritt mit ihrer Unterzeichnung durch die Parteien in Kraft und läuft auf unbestimmte Zeit. Die Vereinbarung endet mit Beendigung des Hauptver- trags, der der Datenverarbeitung durch den Auftragnehmer zugrunde liegt, ohne dass es einer gesonderten Kündigung der Vereinbarung bedarf.

10.3 Der Auftraggeber kann den Hauptvertrag fristlos ganz oder teilweise kündigen, wenn der Auftragnehmer seinen Pflichten aus diesem Vertrag nicht nachkommt, Bestimmungen der DS-GVO vorsätzlich oder grob fahrlässig verletzt und/oder eine Weisung des Auftraggebers nicht ausführen kann oder will. Bei einfachen – also we- der vorsätzlichen noch grob fahrlässigen – Verstößen setzt der Auftraggeber dem Auftragnehmer eine angemessene Frist, innerhalb welcher der Auftragnehmer den Verstoß abstellen kann.

§ 11 Haftung

Der Auftragnehmer haftet für Verletzungen seiner datenschutzrechtlichen Pflichten, die sich aus dem Gesetz oder dieser Vereinbarung ergeben, ohne Beschränkung nach den gesetzlichen Vorschriften.

§ 12 Sonstiges

12.1 Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonsti- ge Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als „Verantwortlicher“ im Sinne der DS-GVO liegen.

12.2 Bei Änderungen der tatsächlichen Ausgestaltung der Leistungsbeziehungen zwi- schen den Parteien werden die Parteien die Anlagen entsprechend anpassen und einvernehmlich austauschen. Mit Unterzeichnung der geänderten Anlage durch die Parteien wird diese wirksam und ersetzt insoweit die bislang geltende Anlage.

12.3 Auf die Vereinbarung findet das Recht der Bundesrepublik Deutschland Anwen- dung. Gerichtsstand für alle Streitigkeiten in Zusammenhang mit dieser Vereinba- rung ist Mainz.

Seite | 8

11.4 Änderungen oder Ergänzungen der Vereinbarung bedürfen der Schriftform. Dies gilt für Änderung oder Aufhebung des vorstehenden Schriftformerfordernisses ent- sprechend.

11.5 Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder wer- den, bleibt die Wirksamkeit der Vereinbarung im Übrigen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame Regelung, die in ihrem wirtschaft- lichen Gehalt der unwirksamen Bestimmung möglichst nahe kommt. Entsprechen- des gilt im Falle von Regelungslücken.

Ort, Datum: ________ Ort, Datum: ________

Unterschrift Auftragnehmer Unterschrift Auftraggeber

Anhang 1: Betroffene Personenbezogene Daten und Zweck der Datenverarbeitung Anhang 2: Technische und organisatorische Maßnahmen

Seite | 9

Anhang 1: Betroffene Personenbezogene Daten und Zweck der Datenverarbeitung

Der Auftragnehmer verarbeitet die Personenbezogenen Daten folgender betroffener Per- sonen1:

 Mitarbeitenden des Auftraggebers  Lieferanten des Auftraggebers

Der Auftragnehmer verarbeitet im Rahmen des Hauptvertrags ggfs. die folgenden Perso- nenbezogenen Daten2:

 Kontaktdaten  Nutzungsdaten

Die Datenverarbeitung durch den Auftragnehmer erfolgt ausschließlich für folgende Zwe- cke

 Erbringung der vertraglich geschuldeten Leistungen gegenüber dem Auftraggeber,

1 Hinweis: Die aufgeführten Punkte sind lediglich beispielhaft zu verstehen. Bitte tragen Sie hier die Perso- nen bzw. Personengruppen ein, die im Rahmen der Leistungserbringung betroffen sind. 2 Hinweis: Die aufgeführten Punkte sind lediglich beispielhaft zu verstehen. Bitte tragen Sie hier die perso- nenbezogenen Daten ein, auf die Sie im Rahmen der Leistungserbringung ggf. Zugriff haben.

Seite | 10

Anhang 2: Technische und organisatorische Maßnahmen (Stand […])

Der Auftragnehmer ist zur Sicherstellung des Datenschutzes verpflichtet. Er hat die folgen- den technischen und organisatorischen Maßnahmen während der Laufzeit des Vertrages zu ergreifen und aufrechtzuerhalten:3

1. Zutrittskontrolle Angemessene Maßnahmen zur Verhinderung des Zutritts unautorisierter Personen zum Datenverarbeitungsequipment, (durch den AN zu beschreiben, insbesondere durch)  Zutrittskontrolle für Mitarbeitende und Dritte;  Schlüsselregelung

2. Zugangskontrolle Angemessene Maßnahmen, die sicherstellen, dass diejenigen, die bei der Daten- verarbeitung eingesetzt werden, lediglich Zugang zu solchen Daten haben, die von ihrer jeweiligen Zugangsautorisierung abgedeckt sind:

 Regelungen für die Benutzerberechtigung;  Einsatz von Verschlüsselungsverfahren.

3. Zugriffskontrolle Angemessene Maßnahmen, die den Zugriff unautorisierter Personen auf die Da- tenverarbeitungssysteme verhindern, durch:  Automatische Abschaltung der User ID bei mehrmaliger fehlerhafter Ein- gabe des Passworts;  Verschließbarkeit der Einrichtungen zur Datenverarbeitung (Räume, Ge- bäude, Computerhardware und zugehöriges Equipment);  Kontrolle der Dateien, kontrollierte und dokumentierte Vernichtung von Datenträgern;  Einsatz von Verschlüsselungsverfahren.

4. Weitergabekontrolle Angemessene Maßnahmen, die bei einer weiteren Übermittlung der Daten (elektro- nisch oder auch Transport auf Datenträgern) sicherstellen, dass keine unbefugten Dritten die Daten lesen, löschen, ändern, kopieren durch:  Bestimmung der befugten Personen und Autorisierungsrichtlinien;  Dokumentation der Stellen, an die eine Übermittlung vorgesehen ist, sowie der Übermittlungswege;  Einsatz von Verschlüsselungsverfahren.

3 Hinweis: Die Aufzählungen sind nur beispielhaft und sollten entsprechend den bei Ihnen tatsächlich um- gesetzten technischen und organisatorischen Maßnahmen angepasst werden.

Seite | 11

5. Eingabekontrolle Der Auftragnehmer trägt dafür Sorge, dass nachträglich geprüft und festgestellt wer- den kann, ob und wann personenbezogene Daten in Datenverarbeitungssysteme eingegeben worden sind, durch:  Nachweis der bei dem Auftragnehmer organisatorisch festgelegten Zu- ständigkeiten für die Eingabe;  Verwendung von Logfiles.

6. Auftragskontrolle Die von dem Auftragnehmer verarbeiteten und genutzten Daten dürfen ausschließ- lich in Übereinstimmung mit den Weisungen des Auftraggebers verarbeitet werden. Dies wird sichergestellt durch:  Eindeutige vertragliche Regelungen;  Überprüfung der Einhaltung der vertraglichen Regelungen;  Bindende Richtlinien und Verfahren, die vorab von dem Auftraggeber frei- gegeben worden sind.

7. Verfügbarkeitskontrolle Angemessene Maßnahmen, die die Daten gegen zufällige Zerstörung oder Verlust schützen, durch:  Interne Datenverarbeitungsrichtlinien und -verfahren, Guidelines, Arbeits- anweisungen;  Tägliche Backups;  Formulierung eines Notfallplans/ Business Continuity Plan.

8. Kontrolle der Trennung von Daten Angemessene Maßnahmen, die die separate Verarbeitung von Daten, die für ver- schiedene Zwecke übermittelt wurden bzw. auf die zugegriffen wird, gewährleisten, durch:  Backup der Daten  Einrichtung von Anti-virus/ Firewall-Systemen  Speicherung der Daten in getrennten Archiven.

9. Pseudonymisierung und Verschlüsselung Maßnahmen zur Pseudonymisierung und Verschlüsselung

10. Maßnahmen zur raschen Wiederherstellung der Verfügbarkeit der personenbezo genen Daten und den Zugang zu Ihnen bei einem physischen oder technischen Zwi- schenfall [Durch den Auftragnehmer auszufüllen]

Seite | 12

11. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewähr- leistung der Sicherheit der Verarbeitung [Durch den Auftragnehmer auszufüllen]

Seite | 13