[Seite 1]
Auftragsverarbeitungsvertrag
(AV-Vertrag)
zwischen
[Bezeichnung des Auftraggebers einfügen]
[Anschrift des Auftraggebers einfügen]
vertreten durch: [vertretungsberechtigte Person/en des Auftraggebers einfügen, z.B. Geschäftsführer Max Mustermann]
(Verantwortlicher im Sinne der DSGVO; nachfolgend auch „Auftraggeber“ genannt)
und
[Bezeichnung des Auftragnehmers einfügen]
[Anschrift des Auftragnehmers einfügen]
vertreten durch: [vertretungsberechtigte Person/en des Auftragnehmers einfügen, z. B. Geschäftsführer Max Mustermann]
(Auftragsverarbeiter im Sinne der DSGVO; nachfolgend auch „Auftragnehmer“ genannt)
- Nachfolgend einzeln auch „Partei“ bzw. gemeinsam auch „Parteien“ genannt -
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 1 / 20
[Seite 2]
Präambel
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Sinne des Art. 28 Datenschutz-Grundverordnung (DSGVO). Dieser Auftragsverarbeitungsvertrag (AV-Vertrag) konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien im Zusammenhang mit der Verarbeitung von personenbezogenen Daten.
Sämtliche in diesem Vertrag beschriebenen Verpflichtungen finden Anwendung auf alle Tätigkeiten, die mit der Auftragserfüllung in Zusammenhang stehen und bei denen Mitarbeiter*innen des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen bzw. kommen können.
Alle Anlagen sind Bestandteil dieses Vertrages; eine Bezugnahme auf den Vertrag stellt gleichzeitig eine Bezugnahme auf die Anlagen dar.
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 2 / 20
[Seite 3]
§ 1 Definitionen
Es gelten die Begriffsbestimmungen der DSGVO sowie aller weiteren einschlägigen datenschutzrechtlichen Regelungen.
§ 2 Gegenstand des Auftrags (Gegenstand der Verarbeitung, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten und Kategorien betroffener Personen)
Der Gegenstand des Auftrags ergibt sich aus dem [Bezeichnung des Hauptvertrages] der Parteien vom [Datum einfügen] (nachstehend „Hauptvertrag“ genannt“) und der darin enthaltenen Leistungsbeschreibung. Im Einzelnen beschrieben sind der Gegenstand der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen in Anlage 1 zu diesem AV-Vertrag.
§ 3 Auftraggeber
Auftraggeber ist jeder Verantwortliche der Helios Kliniken Gruppe, der sich durch Unterzeichnung der Beitrittserklärung (Muster in Anlage 2) bereit erklärt, die Rechte und Pflichten des vorliegenden Vertrages anzuerkennen. Mit Unterzeichnung der Beitrittserklärung kommt dieser AV-Vertrag jeweils mit dem jeweiligen Helios-Unternehmen als Auftraggeber und dem Auftragnehmer separat zu Stande.
§ 4 Dauer des Auftrags
(1) Die Laufzeit dieses AV-Vertrages entspricht im Verhältnis zu jedem Auftraggeber der Laufzeit des jeweiligen Hauptvertrags. Diese Auftragsvereinbarung endet, sofern kein Hauptvertrag mehr zwischen dem Auftragnehmer und einem der Auftraggeber besteht.
(2) Es ist den Parteien bewusst, dass ohne Vorliegen eines gültigen AV-Vertrages keine (weitere) Datenverarbeitung im Auftrag durchgeführt werden darf.
(3) Das Recht zur fristlosen Kündigung aus wichtigem Grund bleibt unberührt.
(4) Kündigungen bedürfen zu ihrer Wirksamkeit der Schriftform.
§ 5 Rechte und Pflichten des Auftraggebers
(1) Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenverarbeitung verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DSGVO). Der Auftraggeber wird in seinem Verantwortungsbereich dafür Sorge tragen, dass die gesetzlich notwendigen Voraussetzungen dafür geschaffen werden, dass der Auftragnehmer die vereinbarten Leistungen rechtsverletzungsfrei erbringen kann.
(2) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er bei der Prüfung der Auftragsergebnisse Unregelmäßigkeiten im Hinblick auf die Anwendung datenschutzrechtlicher Bestimmungen feststellt.
(3) Der Auftraggeber ist für die Wahrung der Betroffenenrechte verantwortlich und wird hierbei von dem Auftragnehmer unterstützt.
(4) Der Auftraggeber ist hinsichtlich der vom Auftragnehmer eingesetzten und vom Auftraggeber genehmigten Verfahren zur automatisierten Verarbeitung personenbezogener Daten
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 3 / 20
[Seite 4]
datenschutzrechtlich verantwortlich und hat die Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten.
(5) Der Auftraggeber legt die Maßnahmen zur Rückgabe der überlassenen Datenträger und/oder Löschung der gespeicherten Daten nach Beendigung des Auftrages vertraglich oder durch Weisung fest.
(6) Der Auftraggeber stellt sicher, dass die aus Art. 32 DSGVO resultierenden Anforderungen bzgl. der Sicherheit der Verarbeitung seinerseits eingehalten werden.
(7) Dem Auftraggeber obliegen die aus den Art. 33, 34 DSGVO resultierenden Informationspflichten gegenüber der Aufsichtsbehörde bzw. den von einer Verletzung des Schutzes personenbezogener Daten Betroffenen.
§ 6 Weisungsbefugnis des Auftraggebers
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Auftraggebers. Ausgenommen sind Sachverhalte in denen auf Grund von gesetzlichen Regelungen der Auftragnehmer ggf. zu einer abweichenden Verarbeitung verpflichtet wird. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen unverzüglich vor der Verarbeitung mit, sofern eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses unzulässig bzw. nicht geboten ist.
(2) Der Auftraggeber hat jederzeit das Recht, Änderungen am Verarbeitungsgegenstand und der Art der Verarbeitung vorzunehmen. Entsprechende Änderungen sind zu dokumentieren. Bei einer wesentlichen Änderung des Auftrags steht dem Auftragnehmer ein Widerspruchsrecht zu. Besteht der Auftraggeber trotz des Widerspruchs des Auftragnehmers auf der Änderung, steht dem Auftragnehmer ein ordentliches Kündigungsrecht bezüglich des von der Weisung betroffenen AV-Vertrages sowie der von diesem Vertrag betroffenen Bestandteile des entsprechenden Hauptvertrages zu. Verweigert der Auftragnehmer die Änderung durchzuführen, steht auch dem Auftraggeber ein ordentliches Kündigungsrecht zu. Erfolgt eine Kündigung, so ist für die restliche Vertragslaufzeit weiterhin die ursprünglich vertraglich vereinbarte Leistung durch den Auftragnehmer zu erbringen.
(3) Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn eine vom Auftraggeber erteilte Weisung nach seiner Auffassung gegen gesetzliche Regelungen verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird. Wenn und soweit der Auftragnehmer darlegen kann, dass eine Verarbeitung nach Weisung des Auftraggebers zu einer Haftung des Auftragnehmers nach Art. 82 DSGVO führen kann, hat der Auftragnehmer das Recht, die weitere Verarbeitung insoweit bis zu einer Klärung der haftungsrechtlichen Fragen zwischen den Parteien auszusetzen.
(4) Mündliche Weisungen wird der Auftraggeber unverzüglich mindestens in Textform bestätigen. Der Auftragnehmer notiert sich Datum, Uhrzeit und den Namen der Person, welche die mündliche Weisung erteilte.
(5) Der Auftraggeber kann weisungsberechtigte Personen benennen. Der Auftragnehmer kann dem Auftraggeber die Person(en) benennen, die zum Empfang von Weisungen des Auftraggebers berechtigt sind. Sofern weisungsberechtigte oder weisungsempfangsberechtigte Personen benannt werden sollen, werden diese in der Anlage 1 aufgeführt. Für den Fall, dass sich die weisungsberechtigten oder weisungsempfangsberechtigten Personen ändern, werden die Parteien dies der jeweils anderen Partei in Textform mitteilen.
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 4 / 20
[Seite 5]
§ 7 Kontrollrechte des Auftraggebers
(1) Der Auftraggeber hat den Auftragnehmer unter dem Aspekt ausgewählt, dass dieser hinreichende Garantien dafür bietet, geeignete technische und organisatorische Maßnahmen so durchzuführen, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet. Er dokumentiert das Ergebnis seiner Auswahl.
Hierfür kann er beispielsweise
– datenschutzspezifische Zertifizierungen oder Datenschutzsiegel und -prüfzeichen berücksichtigen,
- Auskünfte des Auftragnehmers einholen,
– sich ein Testat eines Sachverständigen vorlegen lassen oder
– sich nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs persönlich oder durch einen sachkundigen Dritten, der nicht in einem Wettbewerbsverhältnis zum Auftragnehmer stehen darf, von der Einhaltung der vereinbarten Regelungen überzeugen.
(2) Liegt ein Verstoß des Auftragnehmers oder der bei ihm im Rahmen des Auftrags beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder der im Vertrag getroffenen Festlegungen vor, so kann eine darauf bezogene Prüfung auch ohne rechtzeitige Anmeldung vorgenommen werden. Eine Störung des Betriebsablaufs beim Auftragnehmer sollte auch hierbei weitestgehend vermieden werden.
(3) Die Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen durch den Auftraggeber im Hinblick auf die Vertragsausführung bzw. -erfüllung, insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags wird vom Auftragnehmer unterstützt. Insbesondere verpflichtet sich der Auftragnehmer, dem Auftraggeber auf schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte zu geben, die zur Durchführung einer Kontrolle erforderlich sind.
(4) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er bei der Prüfung Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.
§ 8 Leistungsort
[Alt. 1 zu Abs. 1]
(1) Der Auftragnehmer wird die vertraglichen Leistungen vollständig in Deutschland erbringen; etwaige Unterauftragnehmer an den mit dem Auftraggeber in Anlage 3 vereinbarten Leistungsstandorten der Unterauftragnehmer ebenfalls in Deutschland.
[Alt. 2 zu Abs. 1]
(1) Der Auftragnehmer wird die vertraglichen Leistungen in der Europäischen Union (EU) oder im Europäischen Wirtschaftsraum (EWR) erbringen, etwaige Unterauftragnehmer an den mit dem Auftraggeber in Anlage 3 vereinbarten Leistungsstandorten der Unterauftragnehmer in der EU oder im EWR.
[Alt. 3 zu Abs. 1]
(1) Der Auftragnehmer wird die vertraglichen Leistungen ganz oder teilweise in Deutschland erbringen, in jedem Fall innerhalb der Europäischen Union (EU) oder im Europäischen Wirtschaftsraum (EWR). Etwaige Unterauftragnehmer erbringen die sie betreffenden
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 5 / 20
[Seite 6]
Leistungen in der EU oder im EWR oder in einem Drittland. Erfolgt eine Leistungserbringung durch einen Unterauftragnehmer in einem Drittland, garantiert der Auftragnehmer die Einhaltung der diesbezüglichen Vorgaben der DSGVO und weist dies auf Verlangen nach.
(2) Der Auftraggeber stimmt einer Verlagerung des Ortes der Leistungserbringung innerhalb desselben Landes, für das eine Zustimmung besteht, zu, wenn dort nachweislich ein gleiches Datenschutzniveau gegeben ist und keine für den Auftraggeber geltenden gesetzlichen Bestimmungen gegen diese Verlagerung sprechen. Die Nachweispflicht hierzu liegt bei dem Auftragnehmer.
(3) Bei einer Verlagerung des Ortes der Leistungserbringung in Länder, die Mitglied der EU / EWR sind und über ein diesem Vertrag genügendes und verifiziertes Datenschutzniveau verfügen, wird der Auftraggeber schriftlich informiert.
(4) Sofern der Auftragnehmer vom Auftraggeber nicht innerhalb einer Frist von vier Wochen nach Zugang der Mitteilung gemäß Abs. 3 über die Verlagerung über Gründe informiert wird, die eine Verlagerung nicht zulassen, gilt die Zustimmung zu dieser Verlagerung seitens des Auftraggebers als erteilt.
(5) Wenn der Auftragnehmer die geschuldeten Leistungen ganz oder teilweise von einem Standort außerhalb der EU/EWR in einem sog. sicheren „Drittland“ erbringen möchte bzw. die Leistungserbringung dorthin zu verlagern plant, wird der Auftragnehmer zuvor die schriftliche Zustimmung durch den Auftraggeber einholen.
(6) Bei einer Leistungserbringung in einem sicheren Drittstaat wird der Auftraggeber seine Zustimmung zur Verlagerung nicht unbillig verweigern. Die Einhaltung der diesbezüglichen Vorgaben der DSGVO wird durch den Auftragnehmer gewährleistet.
(7) Sofern die Datenverarbeitung nach diesem Vertrag und den gesetzlichen Vorgaben zur Verarbeitung personenbezogener Daten im Auftrag bzw. zur Übermittlung personenbezogener Daten in das Ausland in zulässiger Weise außerhalb Deutschlands erbracht werden darf, wird der Auftragnehmer für die Einhaltung und Umsetzung der gesetzlichen Erfordernisse zur Sicherstellung eines adäquaten Datenschutzniveaus bei Standortverlagerungen und bei grenzüberschreitendem Datenverkehr Sorge tragen.
§ 9 Pflichten des Auftragnehmers
(1) Der Auftragnehmer darf Daten nur im Rahmen des Auftrages und der Weisungen des Auftraggebers gemäß der DSGVO sowie sonstigen einschlägigen datenschutzrechtlichen Bestimmungen verarbeiten.
(2) Der Auftragnehmer verwendet die überlassenen Daten für keine anderen Zwecke als die der Vertragserfüllung und setzt auch keine Mittel zur Verarbeitung ein, die nicht vom Auftraggeber zuvor genehmigt wurden.
(3) Der Auftragnehmer muss gewährleisten, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Dazu müssen alle Personen, die auftragsgemäß auf personenbezogene Daten des Auftraggebers zugreifen können, auf die Vertraulichkeit verpflichtet und über ihre Geheimhaltungspflichten belehrt werden. Ferner müssen die eingesetzten Personen darauf hingewiesen werden, dass die Pflicht zur Geheimhaltung auch nach Beendigung der Tätigkeit fortbesteht.
(4) Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er wird
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 6 / 20
[Seite 7]
technische und organisatorische Maßnahmen zur angemessenen Sicherung der Daten des Auftraggebers vor Missbrauch und Verlust treffen, die den Anforderungen der entsprechenden datenschutzrechtlichen Bestimmungen entsprechen; diese Maßnahmen muss der Auftragnehmer auf Anfrage dem Auftraggeber und ggfs. Aufsichtsbehörden gegenüber nachweisen. Dieser Nachweis beinhaltet insbesondere die Umsetzung der aus Art. 32 DSGVO resultierenden Maßnahmen. Eine Darstellung dieser technischen und organisatorischen Maßnahmen erfolgt in Anlage 4 zu diesem Vertrag.
(5) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der entsprechenden Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative, nachweislich adäquate Maßnahmen umzusetzen. Dabei muss sichergestellt sein, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren und dem Auftraggeber auf Verlangen vorzuzeigen.
(6) Der Auftragnehmer stellt dem Auftraggeber auf dessen Wunsch ein aussagekräftiges und aktuelles Datenschutz- und Sicherheitskonzept für diese Auftragsverarbeitung zur Verfügung.
(7) Überlassene Datenträger sowie sämtliche hiervon gefertigten Kopien oder Reproduktionen verbleiben im Eigentum des Auftraggebers. Der Auftragnehmer hat diese sorgfältig zu verwahren, sodass sie Dritten nicht zugänglich sind.
(8) Der Auftragnehmer ist verpflichtet, den Auftraggeber bei seiner Pflicht, Anträge von Betroffenen nach den Art. 12-23 DSGVO zu bearbeiten, zu unterstützen. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer wenden sollte, um seine Rechte geltend zu machen, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten. Der Auftragnehmer hat insbesondere Sorge dafür zu tragen, dass alle erforderlichen Informationen unverzüglich an den Auftraggeber erteilt werden, damit dieser seinen Pflichten, insbesondere gemäß Art. 12 Abs. 3 DSGVO, nachkommen kann.
(9) Soweit eine Mitwirkung des Auftragnehmers für die Wahrung von Betroffenenrechten - insbesondere auf Auskunft, Berichtigung, Sperrung oder Löschung - durch den Auftraggeber erforderlich ist, wird der Auftragnehmer die jeweils erforderlichen Maßnahmen nach Weisung des Auftraggebers treffen. Der Auftragnehmer wird den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten nachzukommen.
(10) Der Auftragnehmer selbst führt für die Verarbeitung ein Verzeichnis der bei ihm stattfindenden Verarbeitungstätigkeiten im Sinne des Art. 30 Abs. 2, 3 DSGVO. Er stellt auf Anforderung dem Auftraggeber die für die Übersicht nach Art. 30 DSGVO notwendigen Angaben zur Verfügung. Des Weiteren stellt er das Verzeichnis auf Anfrage der Aufsichtsbehörde zur Verfügung.
(11) Der Auftragnehmer unterstützt den Auftraggeber bei der Datenschutzfolgenabschätzung mit allen ihm zur Verfügung stehenden Informationen. Im Falle der Notwendigkeit einer vorherigen Konsultation der zuständigen Aufsichtsbehörde unterstützt der Auftragnehmer den Auftraggeber auch hierbei.
(12) Als Datenschutzbeauftragter ist beim Auftragnehmer derzeit [Name, Kontaktdaten] benannt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich schriftlich mitzuteilen. Der Auftragnehmer gewährleistet, dass die Anforderungen an den Datenschutzbeauftragten und seine Tätigkeit gemäß Art. 38, 39 DSGVO erfüllt werden. Sofern kein Datenschutzbeauftragter beim Auftragnehmer benannt ist, benennt der Auftragnehmer dem Auftraggeber einen Ansprechpartner.
(13) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich bei Verstößen des Auftragnehmers oder der bei ihm im Rahmen des Auftrags beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder der im Vertrag
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 7 / 20
[Seite 8]
getroffenen Festlegungen bzw. einem entsprechenden Verdacht. Er trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die Betroffenen und spricht sich hierzu unverzüglich mit dem Auftraggeber ab. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Informationspflichten gegenüber der jeweils zuständigen Aufsichtsbehörde bzw. den von einer Verletzung des Schutzes personenbezogener Daten Betroffenen gem. Art. 33, 34 DSGVO.
(14) Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde bei dem Auftragnehmer ermittelt.
(15) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren und den jeweiligen Dritten über die Stellung des Auftraggebers als Verantwortlicher in Kenntnis zu setzen.
(16) Sofern der Auftragnehmer durch das Recht der EU oder ihrer Mitgliedstaaten verpflichtet sein sollte, die Daten auch auf andere Weise zu verarbeiten, so teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit. Die Mitteilung hat zu unterbleiben, wenn das einschlägige nationale Recht eine solche Mitteilung aufgrund eines wichtigen öffentlichen Interesses verbietet.
(17) Die Erfüllung der vorgenannten Pflichten ist vom Auftragnehmer zu kontrollieren, zu dokumentieren und in geeigneter Weise gegenüber dem Auftraggeber auf Anforderung nachzuweisen.
[Opt.] § 10 Vereinbarung zur Wahrung des Berufsgeheimnisses nach § 203 StGB
(1) Im Rahmen dieses Auftrages werden auch Daten verarbeitet, die unter ein Berufsgeheimnis im Sinne des § 203 StGB fallen.
(2) Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich Personen, die an der beruflichen Tätigkeit eines Berufsgeheimnisträgers mitwirken und unbefugt ein fremdes Geheimnis offenbaren, das ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt geworden ist, i.S.d. § 203 Abs. 4 S. 1 StGB strafrechtlich relevant verhalten.
(3) Der Auftragnehmer stellt gem. Anlage 5 sicher, dass alle mit der Verarbeitung von dem Berufsgeheimnis unterliegenden Daten des Auftraggebers befassten Mitarbeiter und andere für den Auftragnehmer tätigen Personen, die mit der Vertragsdurchführung befasst sind, sich nachweislich dazu verpflichtet haben, die ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenen Berufsgeheimnisse nicht unbefugt zu offenbaren und sie über den Tatbestand des § 203 Abs. 4 StGB belehrt wurden.
(4) Der Auftragnehmer ist berechtigt, Unterauftragnehmer zur Vertragserfüllung heranzuziehen. Im Ausland dürfen Unterauftragnehmer zur Vertragserfüllung nur dann herangezogen werden, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist.
Der Auftragnehmer wird etwaige Unterauftragnehmer sorgfältig auswählen und diese, soweit sie im Rahmen ihrer Tätigkeit Kenntnis von fremden Geheimnissen im Sinne dieser Vereinbarung erlangen könnten, zur Geheimhaltung verpflichten. Der Auftragnehmer wird ferner etwaige Unterauftragnehmer dazu verpflichten, sämtliche von diesen eingesetzte Personen und etwaige weitere Unterauftragnehmer, die bestimmungsgemäß mit entsprechend schützenwerten Geheimnissen in Berührung kommen oder bei denen dies nicht auszuschließen ist, nach den zuvor genannten Grundsätzen zur Verschwiegenheit zu verpflichten und über die
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 8 / 20
[Seite 9]
Folgen einer Pflichtverletzung zu belehren.
Des Weiteren werden Unterauftragnehmer, über das bestehende Schweigerecht gemäß § 53a StPO sowie den Beschlagnahmeschutz gemäß § 97 StPO informiert; dies beinhaltet auch den Hinweis bzgl. des Rechts des Berufsgeheimnisträgers, über dieses Recht zu entscheiden und der damit verbundenen Pflicht des Auftragnehmers, unverzüglich den Auftraggeber bzgl. der Wahrnehmung dieser Rechte zu kontaktieren.
Diese Verpflichtung gilt für sämtliche weitere Unterbeauftragungen.
(5) Der Auftragnehmer wird darauf hingewiesen, dass Daten, die er im Auftrag eines Berufsgeheimnisträgers verarbeitet u. U. dem Zeugnisverweigerungsrecht von sogenannten mitwirkenden Personen unterliegen (§ 53a StPO). Entsprechend § 53a StPO entscheidet jedoch der Berufsgeheimnisträger über die Ausübung des Schweigerechts. Im Falle einer Befragung wird der Auftragnehmer unter Hinweis auf § 53a StPO dieser widersprechen und unverzüglich den Auftraggeber informieren, der daraufhin bzgl. der Wahrnehmung des Schweigerechts entscheidet.
(6) Der Auftragnehmer wird darauf hingewiesen, dass die in seinem Gewahrsam befindlichen Privatgeheinisse dem Beschlagnahmeverbot gemäß § 97 Abs. 2 StPO unterliegen. Die Daten dürfen nicht ohne das Einverständnis des Auftraggebers (Berufsgeheimnisträger) herausgegeben werden. Im Falle einer Beschlagnahme wird der Auftragnehmer dieser widersprechen und unverzüglich den Auftraggeber informieren.
[Opt.] § 11 Fernzugriff bei Prüfung/Wartung eines Systems oder anderen Dienstleistungen über Fernzugriffe
Für die Durchführung von Fernzugriffen bei der Prüfung und/oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen oder bei Fernzugriffen für andere Dienstleistungen gelten ergänzend folgende Rechte/Pflichten des Auftraggebers/Auftragnehmers:
(1) Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten an Arbeitsplatzsystemen werden erst nach Freigabe durch den jeweiligen Berechtigten / zuständigen Mitarbeiter des Auftraggebers durchgeführt.
(2) Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten von automatisierten Verfahren oder von Datenverarbeitungsanlagen werden, sofern hierbei ein Zugriff auf personenbezogene Daten nicht sicher ausgeschlossen werden kann, ausschließlich mit Zustimmung des Auftraggebers ausgeführt.
(3) Die Mitarbeiter des Auftragnehmers verwenden angemessene Identifizierungs- und Verschlüsselungsverfahren.
(4) Vor Durchführung von Fernzugriffen werden sich Auftraggeber und Auftragnehmer über etwaig notwendige Datensicherheitsmaßnahmen in ihren jeweiligen Verantwortungsbereichen verständigen.
(5) Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten werden dokumentiert und protokolliert. Der Auftraggeber ist berechtigt, Prüfungs- und Wartungsarbeiten vor, bei und nach Durchführung zu kontrollieren. Bei Fernzugriffen ist der Auftraggeber - soweit technisch möglich
- berechtigt, diese von einem Kontrollbildschirm aus zu verfolgen und jederzeit abzubrechen.
(6) Der Auftragnehmer wird von den ihm eingeräumten Zugriffsrechten auf automatisierte Verfahren oder von Datenverarbeitungsanlagen (insb. IT-Systeme, Anwendungen) des Auftraggebers nur in dem Umfang - auch in zeitlicher Hinsicht - Gebrauch machen, wie dies für die ordnungsgemäße Durchführung der beauftragten Wartungs- und Prüfungsarbeiten
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 9 / 20
[Seite 10]
notwendig ist.
(7) Soweit bei der Leistungserbringung Tätigkeiten zur Fehleranalyse erforderlich sind, bei denen eine Kenntnisnahme (z. B. auch lesender Zugriff) oder ein Zugriff auf Wirkdaten (Produktions- /Echtdaten) des Auftraggebers notwendig ist, wird der Auftragnehmer die vorherige Einwilligung des Auftraggebers einholen.
(8) Tätigkeiten zur Fehleranalyse, bei denen ein Datenabzug der Wirkbetriebsdaten erforderlich ist, bedürfen der vorherigen Einwilligung des Auftraggebers. Bei Datenabzug der Wirkbetriebsdaten wird der Auftragnehmer diese Kopien, unabhängig vom verwendeten Medium, nach Bereinigung des Fehlers löschen. Wirkdaten dürfen nur zum Zweck der Fehleranalyse und ausschließlich auf dem bereitgestellten Equipment des Auftraggebers oder auf solchem des Auftragnehmers verwendet werden, sofern die vorherige Einwilligung des Auftraggebers vorliegt. Wirkdaten dürfen nicht ohne Zustimmung des Auftraggebers auf mobile Speichermedien kopiert werden bzw. nicht auf sonstige Weise vervielfältigt werden.
(9) Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten sowie sämtliche in diesem Zusammenhang erforderlichen Tätigkeiten, insbesondere Tätigkeiten wie Löschung, Datentransfer oder Fehleranalyse, werden unter Berücksichtigung von technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten durchgeführt. In diesem Zusammenhang wird der Auftragnehmer die technischen und organisatorischen Maßnahmen wie in Anlage 4 beschrieben ergreifen. Insbesondere gilt dies für Fernzugriffe des Auftragnehmers auf die Datenbestände des Auftraggebers.
§ 12 Berichtigung, Beschränkung von Verarbeitung, Löschung und Rückgabe von Datenträgern
(1) Während der laufenden Beauftragung berichtigt, löscht oder sperrt der Auftragnehmer die vertragsgegenständlichen Daten nur soweit dies zur Auftragsdurchführung erforderlich ist oder durch den Auftraggeber angewiesen wurde.
(2) Sofern eine Vernichtung während der laufenden Beauftragung vorzunehmen ist, übernimmt der Auftragnehmer die nachweislich datenschutzkonforme Vernichtung von Datenträgern und sonstiger Materialien nur aufgrund entsprechender Einzelbeauftragung durch den Auftraggeber. Dies gilt nicht, sofern im Hauptvertrag bereits eine entsprechende Regelung getroffen wurde.
(3) In besonderen, vom Auftraggeber zu bestimmenden Fällen, erfolgt eine Aufbewahrung bzw. Übergabe.
(4) Nach Abschluss der vertraglichen Arbeiten oder nach Aufforderung durch den Auftraggeber – hat der Auftragnehmer
a. sämtliche im Rahmen des Auftrags in seinen Besitz gelangte Unterlagen oder Datenträger,
b. erstellte Verarbeitungsergebnisse,
c. Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen
dem Auftraggeber auszuhändigen oder auf Anweisung des Auftraggebers datenschutzkonform zu löschen bzw. zu vernichten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Das Protokoll der Löschung ist auf Anforderung vorzulegen.
(5) Soweit ein Transport des Speichermediums vor Löschung unverzichtbar ist, wird der Auftragnehmer angemessene Maßnahmen zu dessen Schutz, insbesondere gegen Entwendung, unbefugtem Lesen, Kopieren oder Verändern, treffen. Die Maßnahmen und die anzuwendenden Löschverfahren werden bei Bedarf ergänzend zu den Leistungsbeschreibungen konkretisierend vereinbart.
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 10 / 20
[Seite 11]
(6) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.
(7) Der Auftraggeber kann jederzeit, d. h. sowohl während der Laufzeit als auch nach Beendigung des Vertrages, die Berichtigung, Löschung, Verarbeitungseinschränkung (Sperrung) und Herausgabe von Daten durch den Auftragnehmer verlangen, solange der Auftragnehmer die Möglichkeit hat, diesem Verlangen zu entsprechen.
(8) Der Auftragnehmer berichtigt, löscht oder sperrt die vertragsgegenständlichen Daten, wenn der Auftraggeber dies anweist. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
(9) Sollte dem Auftraggeber eine Rücknahme der Daten nicht möglich sein, wird er den Auftragnehmer rechtzeitig mindestens in Textform entsprechend informieren. Der Auftragnehmer ist dann berechtigt, personenbezogene Daten im Auftrag des Auftraggebers zu löschen.
(10) Im Falle von Test- und Ausschussmaterialien ist die Einzelbeauftragung einer Löschung nicht erforderlich; diese müssen in jedem Fall gelöscht werden.
§ 13 Unterauftragnehmer
(1) Der Auftragnehmer nimmt keinen Unterauftragnehmer ohne vorherige explizite schriftliche oder allgemeine schriftliche Genehmigung des Auftraggebers in Anspruch. Dies gilt in gleicher Weise für den Fall, dass weitere Unterauftragsverhältnisse durch Unterauftragnehmer begründet werden. Der Auftragnehmer stellt sicher, dass eine entsprechende Genehmigung des Auftragsgebers für alle im Zusammenhang mit der vertragsgegenständlichen Verarbeitung eingesetzten weiteren Unterauftragnehmer vorliegt.
(2) Die nachfolgenden Regelungen finden sowohl für den Unterauftragnehmer als auch für alle in der Folge eingesetzten weiteren Unterauftragnehmer entsprechende Anwendung.
(3) Im Fall einer allgemeinen schriftlichen Genehmigung informiert der Auftragnehmer den Auftraggeber stets über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragnehmern, wodurch der Auftraggeber die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben. Verweigert der Auftraggeber durch seinen Einspruch die Zustimmung aus anderen als aus wichtigen Gründen, kann der Auftragnehmer den Vertrag zum Zeitpunkt des geplanten Einsatzes des Unterauftragnehmers kündigen.
(4) Der Auftraggeber ist damit einverstanden, dass der Auftragnehmer zur Erfüllung seiner vertraglich vereinbarten Leistungen verbundene Unternehmen des Auftragnehmers zur Leistungserfüllung heranzieht. Hierbei muss jedoch jeder Unterauftragnehmer (verbundenes Unternehmen) vor Beauftragung dem Auftraggeber schriftlich angezeigt werden, sodass der Auftraggeber bei Vorliegen wichtiger Gründe die Beauftragung untersagen kann.
(5) Zum Zeitpunkt des Abschlusses dieser Vereinbarung sind die in der Anlage 3 aufgeführten Unternehmen als Unterauftragnehmer für Teilleistungen für den Auftragnehmer tätig und verarbeiten in diesem Zusammenhang auch unmittelbar die Daten des Auftraggebers. Für diese Unterauftragnehmer gilt die Einwilligung für das Tätigwerden als erteilt.
(6) Der Auftragnehmer muss Unterauftragnehmer unter besonderer Berücksichtigung der Eignung hinsichtlich der Erfüllung der zwischen Auftraggeber und Auftragnehmer vereinbarten
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 11 / 20
[Seite 12]
technischen und organisatorischen Maßnahmen gewissenhaft auswählen.
(7) Ist der Auftragnehmer im Sinne dieser Vereinbarung befugt, die Dienste eines Unterauftragnehmers in Anspruch zu nehmen, um bestimmte Verarbeitungstätigkeiten im Namen des Auftraggebers auszuführen, so schließt er mit dem Unterauftragnehmer einen AV- Vertrag, der den Anforderungen des Art. 28 DSGVO entspricht. Der Auftragnehmer ist verpflichtet dem Unterauftragnehmer im Wege des AV-Vertrags dieselben Pflichten aufzuerlegen, die in dieser Vereinbarung zwischen dem Auftraggeber und dem Auftragnehmer festgelegt sind, insbesondere hinsichtlich der Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit zwischen den Vertragspartnern dieses Vertrages sowie den in diesem AV- Vertrag beschriebenen Kontroll- und Überprüfungsrechten des Auftraggebers. Hierbei müssen ferner hinreichend Garantien dafür geboten werden, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen der DSGVO erfolgt.
(8) Durch schriftliche Aufforderung ist der Auftraggeber berechtigt, vom Auftragnehmer Auskunft über die datenschutzrelevanten Verpflichtungen des Unterauftragnehmers zu erhalten, erforderlichenfalls auch durch Einsicht in die relevanten Vertragsunterlagen.
(9) Ein zustimmungspflichtiges Unterauftragnehmerverhältnis liegt nicht vor, wenn der Auftragnehmer Dritte im Rahmen einer Nebenleistung zur Hauptleistung beauftragt, wie beispielsweise bei Personal-, Post- und Versanddienstleistungen.
Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Auftraggebers auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen. Die Nebenleistungen sind vorab detailliert zu benennen.
(10) Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes Unterauftragnehmers.
§ 14 Zurückbehaltungsrecht
Die Einrede des Zurückbehaltungsrechts, gleich aus welchem Rechtsgrund, an den vertragsgegenständlichen Daten sowie an evtl. vorhandenen Datenträgern wird ausgeschlossen.
§ 15 Haftung
(1) Auftraggeber und Auftragnehmer haften für den Schaden, der durch eine nicht der DSGVO entsprechende Verarbeitung verursacht wird gemeinsam im Außenverhältnis gegenüber der jeweiligen betroffenen Person.
(2) Der Auftragnehmer haftet ausschließlich für Schäden, die auf einer von ihm durchgeführten Verarbeitung beruhen, bei der
a. er den aus der DSGVO resultierenden und speziell Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder
b. er unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Auftraggebers handelte oder
c. er gegen die rechtmäßig erteilten Anweisungen des Auftraggebers gehandelt hat.
(3) Soweit der Auftraggeber zum Schadensersatz gegenüber dem Betroffenen verpflichtet ist, bleibt ihm der Rückgriff auf den Auftragnehmer vorbehalten.
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 12 / 20
[Seite 13]
(4) Im Innenverhältnis zwischen Auftraggeber und Auftragnehmer haftet der Auftragnehmer für den durch eine Verarbeitung verursachten Schaden jedoch nur, wenn er
a. seinen ihm speziell durch die DSGVO auferlegten Pflichten nicht nachgekommen ist oder
b. unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Auftraggebers oder gegen diese Anweisungen gehandelt hat.
(5) Weitergehende Haftungsansprüche nach den allgemeinen Gesetzen bleiben unberührt.
§ 16 Geheimhaltung
Die Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei vertraulich zu behandeln.
§ 17 Schriftformklausel
Änderungen und Ergänzungen dieses Vertrages und aller seiner Bestandteile – einschließlich etwaiger Zusicherungen des Auftragnehmers – bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Regelungen handelt.
§ 18 Salvatorische Klausel
(1) Sollten sich einzelne Bestimmungen dieses Vertrages ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen der Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden, bleiben die übrigen Vertragsbestimmungen und die Wirksamkeit des Vertrages im Ganzen hiervon unberührt.
(2) An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichtigen Bestimmung möglichst nahekommt.
(3) Erweist sich der Vertrag als lückenhaft, gelten die Bestimmungen als vereinbart, die dem Sinn und Zweck des Vertrages entsprechen.
(4) Existieren mehrere wirksame und durchführbare Bestimmungen, welche die unter § 18 Abs. 1 genannte unwirksame Regelung ersetzen können, so muss die Bestimmung gewählt werden, welche den Schutz personenbezogener Daten im Sinne dieses Vertrages am besten gewährleistet.
§ 19 Rechtswahl, Gerichtsstand
(1) Es gilt deutsches Recht.
(2) Gerichtsstand ist der Sitz des Auftraggebers.
Ort, Datum Ort, Datum
Auftraggeber Auftragnehmer
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Se-it-e- 1-3- /- -2-0 ---------------------------------------- ------------------------------------------------ Auftraggeber Auftragnehmer
[Seite 14]
Anlage(n)
Anlage 1: Gegenstand des Auftrags und weisungsberechtigte Personen
Anlage 2: Muster Beitrittserklärung zum AV-Vertrag für Unternehmen der Helios Gruppe
Anlage 3: Unterauftragsverhältnis beim Auftragnehmer zum Zeitpunkt der Auftragsvergabe
Anlage 4: Nachweis der allgemeinen technischen und organisatorischen Maßnahmen
Anlage 5: Verpflichtung zur Geheimhaltung von Berufsgeheimnissen gem. § 203 Strafgesetzbuch (hier: Unternehmen)
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 14 / 20
[Seite 15]
Anlage 1
- Gegenstand des Auftrags
a. Gegenstand und Zweck der Verarbeitung
Der Auftrag des Auftraggebers an den Auftragnehmer umfasst im Einzelnen Folgendes:
[Die vom Auftragnehmer zu erbringenden Leistungen sowie der Zweck sollen hier möglichst konkret beschrieben werden.]
b. Art(en) der personenbezogenen Daten
Folgende Datenarten sind regelmäßig Gegenstand der Verarbeitung:
[Die Datenarten/Datenfelder nach Möglichkeit bitte möglichst konkret benennen, z.B. Name, Vorname, Geburtsdatum etc.]
c. Kategorien betroffener Personen
Kreis der von der Datenverarbeitung betroffenen Personen:
[Bitte angeben, z.B. Patienten, Mitarbeiter, Kunden, Auftraggeber etc.]
- Weisungsberechtigte Personen
a. Weisungsberechtigte Personen des Auftraggebers
[Hier ggf. Personen benennen oder Passage streichen.]
b. Weisungsempfangsberechtigte Personen des Auftragnehmers
[Hier ggf. Personen benennen oder Passage streichen.]
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 15 / 20
[Seite 16]
Anlage 2
Helios Gesellschaft
Straße
PLZ, Ort
Beitrittserklärung zum AV-Vertrag [Bezeichnung AV-
Vertrag einfügen]
zwischen Helios Kliniken GmbH (Auftraggeber)
und [Bezeichnung Auftragnehmer einfügen] (Auftragnehmer)
Mir ist der AV-Vertrag [Bezeichnung AV-Vertrag einfügen] vom [Datum einfügen] bekannt. Mit meiner Unterschrift erkenne ich die sich hieraus für die [Helios Gesellschaft einfügen] als Auftraggeber ergebenden Rechte und Pflichten an.
Die entsprechende Verarbeitungstätigkeit wird vor Durchführung der Dienstleistung in das Verzeichnis von Verarbeitungstätigkeiten der vorgenannten Gesellschaft aufgenommen.
Ort, Datum ___________________
Unterschrift Geschäftsführer:in Unterschrift Geschäftsführer:in
[Helios Gesellschaft einfügen] [Helios Gesellschaft einfügen]
Zur Kenntnis genommen:
Ort, Datum ___________________
Unterschrift Datenschutzbeauftragte/r der
[Helios Gesellschaft einfügen]
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 16 / 20
[Seite 17]
Anlage 3
Unterauftragsverhältnis beim Auftragnehmer zum Zeitpunkt der Auftragsvergabe
| Name und Anschrift des | Beschreibung der | Ort der | ||||||
|---|---|---|---|---|---|---|---|---|
| Unterauftragnehmers | Datenverarbeitung | Datenverarbeitung |
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 17 / 20
[Seite 18]
Anlage 4
Nachweis der allgemeinen technischen und organisatorischen Maßnahmen
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 18 / 20
[Seite 19]
Anlage 5
Verpflichtung zur Geheimhaltung von Berufsgeheimnissen gem. § 203 Abs. 4 Strafgesetzbuch (hier: Unternehmen)
Name des Unternehmens: [XXXXXX]
Ihre Mitarbeiter kommen bei der Ausübung ihrer Tätigkeit mit u.a. strafrechtlich geschützten Daten von Berufsgeheimnisträgern in Berührung und können daher Kenntnis von entsprechenden Informationen erlangen.
Ihre Mitarbeiter dürfen sich nur insoweit Kenntnis von fremden Geheimnissen verschaffen, als dies zur Erfüllung der ihnen zugewiesenen Aufgaben erforderlich ist. Ferner sind Ihre Mitarbeiter verpflichtet, über die ihnen bei Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenen Geheimnisse Stillschweigen zu bewahren und diese keinesfalls unbefugt Dritten zugänglich zu machen.
Sie sind dazu verpflichtet, Ihre Mitarbeiter gem. § 203 Absatz 4 Satz 1 Strafgesetzbuch zu verpflichten. Ihre Mitarbeiter verhalten sich strafrechtlich relevant, wenn sie unbefugt ein fremdes Geheimnis offenbaren, das ihnen bei Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt geworden ist. Ein Verstoß gegen § 203 Absatz 4 Satz 1 StGB kann mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe geahndet werden.
Die Pflicht zur Verschwiegenheit erstreckt sich nicht nur auf fremde Geheimnisse, sondern auf alle Tatsachen, die Ihren Mitarbeitern in Ausübung oder aus Anlass ihrer Tätigkeit anvertraut oder bekannt werden.
Die Pflicht zur Verschwiegenheit besteht gegenüber jedermann, so z. B. auch gegenüber Familienangehörigen oder Kollegen, soweit eine Offenbarung nicht aus dienstlichen Gründen erforderlich ist.
Die Pflicht zur Verschwiegenheit besteht auch nach Beendigung der Beauftragung uneingeschränkt und zeitlich unbefristet fort.
Darüber hinaus kann die Verwertung fremder Geheimnisse gem. § 204 StGB mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe geahndet werden.
Sofern Sie autorisiert sind, in eigener Verantwortung dritte Personen außerhalb des Unternehmens (z. B. Unterauftragnehmer) in die Durchführung der Tätigkeit einzubeziehen und diese im Rahmen ihrer Tätigkeit Kenntnis von fremden Geheimnissen erlangen können, haben Sie dafür Sorge zu tragen, dass auch diese Personen bzw. Unterauftragnehmer unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit verpflichtet werden. Des Weiteren haben Sie dafür Sorge zu tragen, dass diese Verpflichtungen auch für etwaige Unterbeauftragungen Gültigkeit haben.
Kommen Sie Ihrer Verantwortung zur Weitergabe der Geheimhaltungsverpflichtungen nicht nach, können Sie sich gem. § 203 Absatz 4 Satz 2 Nr. 2 StGB strafbar machen, wenn dritte Personen außerhalb des Unternehmens (z. B. Unterauftragnehmer), die Sie eingeschaltet haben, ein ihnen bei Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis unbefugt offenbaren.
Wir weisen darauf hin, dass im Hinblick auf die Tätigkeit für den Berufsgeheimnisträger ein Zeugnisverweigerungsrecht nach § 53a Strafprozessordnung (StPO) besteht. Über das Zeugnisverweigerungsrecht entscheidet der Berufsgeheimnisträger. Kann eine Entscheidung des
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 19 / 20
[Seite 20]
Berufsgeheimnisträgers nicht in absehbarer Zeit herbeigeführt werden, empfiehlt es sich, einen Rechtsbeistand hinzuzuziehen.
Ort, Datum
Vorname, Name (Verpflichtender) Vorname, Nachname (Verpflichteter)
Vorname, Name (Verpflichtender) Vorname, Nachname (Verpflichteter)
Mit Ihrer Unterschrift bestätigen Sie zugleich den Empfang einer Kopie dieser Niederschrift nebst Anlage.
Auftragsverarbeitungsvertrag zwischen Auftraggeber [Text einfügen] und Auftragnehmer [Text einfügen]
ZD Datenschutz | Stand: 11/2023
Seite 20 / 20