- - - 1. Die Parteien haben einen Vertrag abgeschlossen, nach dem der Auftragnehmer Leistungen für den Auftraggeber erbringt. Einzelheiten zu diesem Hauptvertrag sind in Anhang 1 festgelegt.

Neben dem Auftraggeber sind unter dem Hauptvertrag ggf. auch verbundene Unternehmen des Auftraggebers berechtigt, die Leistungen des Auftragnehmers in Anspruch zu nehmen.

Bei der Leistungserbringung verarbeitet der Auftragnehmer personenbezogene Daten (Artikel 4 Nr. 1 DS-GVO) als Auftragsverarbeiter (Artikel 4 Nr. 8 DS-GVO).

Für die Verarbeitung personenbezogener Daten aus der Sphäre des Auftraggebers handelt der Auftraggeber als Verantwortlicher (Artikel 4 Nr. 7 DS-GVO). Für die Verarbeitung personenbezogener Daten aus der Sphäre von verbundenen Unternehmen handeln der Auftraggeber und die verbundenen Unternehmen entweder als gemeinsam Verantwortliche (Art. 26 DS-GVO) oder handelt der Auftraggeber selbst als Auftragsverarbeiter im Auftrag der verbundenen Unternehmen als Verantwortliche. In letzterem Fall handelt der Auftragnehmer als weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) (Artikel 28 (4) DS-GVO).

- - - 1. Gemäß Artikel 28 (3) DS-GVO muss die Verarbeitung durch den Auftragsverarbeiter auf der Grundlage eines Vertrags erfolgen, der den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betreffender Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag soll insbesondere die Pflichten des Auftragsverarbeiters gemäß Artikel 28 (3) DS-GVO vorsehen.
      2. Der Auftraggeber hat den Auftragnehmer unter dem Gesichtspunkt sorgfältig ausgewählt, dass der Auftragnehmer hinreichende Garantien dafür bietet, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DS-GVO erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.
      3. Mit diesem Auftragsverarbeitungsvertrag beabsichtigen die Parteien, die nötige vertragliche Grundlage für die Verarbeitung personenbezogener Daten durch den Auftragnehmer bei der Erbringung der Leistungen des Auftragnehmers zu schaffen.

Soweit dem Auftragnehmer bei der Erbringung der Leistungen auch Informationen offenbart werden, die einem Berufsgeheimnis unterliegen, soll dieser Auftragsverarbeitungsvertrag dem Auftragnehmer außerdem die zur Wahrung des Berufsgeheimnisses erforderlichen besonderen Verpflichtungen auferlegen.

DIES VORAUSGESCHICKT, vereinbaren die Parteien Folgendes:

Anwendungsbereich, Parteien und ihre jeweiligen Rollen

Anwendungsbereich

Dieser Auftragsverarbeitungsvertrag („AVV“) findet Anwendung auf die Verarbeitung personenbezogener Daten durch den Auftragnehmer bei der im Rahmen des in Anhang 1 dieses AVVs benannten Hauptvertrages („Hauptvertrag“) zu erbringenden Leistungen („Services“).

Parteien und ihre jeweiligen Rollen

- 1. Im Rahmen dieses AVVs ist der Auftraggeber der Verantwortliche und der Auftragnehmer der Auftragsverarbeiter.

Das heißt die Pflichten und Rechte des Verantwortlichen (insbesondere aus Abschnitt 3 dieses AVVs) gelten für den Auftraggeber und die Pflichten des Auftragsverarbeiters (insbesondere aus Abschnitt 4 dieses AVVs) gelten für den Auftragnehmer.

- 1. Soweit der Auftraggeber für personenbezogene Daten, die Gegenstand dieses AVVs sind, selbst lediglich als Auftragsverarbeiter für einen anderen Verantwortlichen handelt, ist der Auftragnehmer ein Unterauftragsverarbeiter.

In diesem Fall gilt folgendes:

- - 1. Die Pflichten des Auftragsverarbeiters aus diesem AVV gelten für den Auftragnehmer als Unterauftragsverarbeiter,
    2. Der Auftraggeber handelt im Namen des jeweiligen Verantwortlichen und gemäß dessen Weisungen als einziger Ansprechpartner für jedwede Kommunikation zwischen dem jeweiligen Verantwortlichen und dem Auftragnehmer bezüglich der Ausübung der Rechte des Verantwortlichen und der Durchsetzung der Datenschutzpflichten des (weiteren) Auftragsverarbeiters. Der Auftraggeber leitet als einziger Ansprechpartner jede Mitteilung, die vom jeweiligen Verantwortlichen an den Auftragnehmer gerichtet ist, unverzüglich an den Auftragnehmer weiter. Der Auftraggeber leitet als einziger Ansprechpartner jede Mitteilung, die vom Auftragnehmer an den jeweiligen Verantwortlichen gerichtet ist, unverzüglich an den jeweiligen Verantwortlichen weiter.
    3. Der Auftragnehmer informiert den Auftraggeber unverzüglich über jegliche Mitteilungen (einschließlich jeglicher Weisungen) und/oder Anfragen (einschließlich Informationsanfragen oder Anfragen zur Durchführung von Überprüfungen – einschließlich Inspektionen), die er unmittelbar vom jeweiligen Verantwortlichen empfängt. Der Auftraggeber koordiniert solche Mitteilungen und/oder Anfragen als einziger Ansprechpartner zwischen dem jeweiligen Verantwortlichen und dem Auftragnehmer und unterstützt den Auftragnehmer beim Umgang mit solchen Mitteilungen und/oder Anfragen.
    4. Der Auftraggeber legt auf Verlangen des Auftragnehmers dem Auftragnehmer eine Liste der jeweiligen Verantwortlichen vor.
    5. Der Auftraggeber erklärt dem Auftragnehmer, dass die Beauftragung des Auftragnehmers als (weiterem) Auftragsverarbeiter sowie die Ausübung der Rechte des Verantwortlichen durch den Auftraggeber und die Durchsetzung der Datenschutzpflichten des Auftragsverarbeiters (einschließlich etwaiger Weisungen) im Namen des jeweiligen Verantwortlichen stets ordnungsgemäß und wirksam vom entsprechenden Verantwortlichen autorisiert ist und bleiben wird.
  1. Die Regelungen der Ziffer 1.2.2 b) bis e) gelten auch für den Fall, dass der Auftraggeber für die Verarbeitung personenbezogener Daten, die Gegenstand dieses AVVs sind, zusammen mit anderen Verantwortlichen gemeinsam verantwortlich ist.

Details der Verarbeitung

Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten und Kategorien betroffener Personen sind in Anhang 2 dieses AVVs festgelegt.

Der Ort der Verarbeitung ist ebenfalls in Anhang 2 dieses AVVs festgelegt.

Pflichten und Rechte des Verantwortlichen

Verantwortlichkeiten des Verantwortlichen

Der Verantwortliche ist für die Einhaltung der nach der DS-GVO auf einen Verantwortlichen anwendbaren Verpflichtungen verantwortlich, insbesondere für die Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten gemäß Kapitel II DS-GVO und die Einhaltung der Rechte der Betroffenen gemäß Kapitel III DS-GVO.

Weisungsrecht

Der Verantwortliche hat das Recht, Weisungen an den Auftragsverarbeiter bezüglich der Verarbeitung personenbezogener Daten unter diesem Auftragsverarbeitungsvertrag zu erteilen.

Die Regelungen dieses AVVs, insbesondere die Bestimmung der Details der Verarbeitung gemäß Abschnitt 2, dienen als allgemeine Weisungen, personenbezogene Daten so zu verarbeiten, wie es für die Erbringung der Services vernünftigerweise erforderlich ist und mit diesem AVV und dem Hauptvertrag vereinbar ist.

Der Verantwortliche ist befugt, Einzelweisungen in Textform zu erteilen.

In dringenden Fällen, ist der Verantwortliche befugt, mündliche Einzelweisungen zu erteilen. Der Verantwortliche muss mündliche Weisungen unverzüglich in Textform bestätigen.

Informationsrecht und Recht auf Durchführung von Überprüfungen, einschließlich Inspektionen

Der Verantwortliche hat das Recht vom Auftragsverarbeiter alle erforderlichen Informationen zum Nachweis der Einhaltung der in Artikel 28 DS-GVO niedergelegten Pflichten zu verlangen und Überprüfungen – einschließlich Inspektionen – beim Auftragsverarbeiter entweder selbst oder durch einen von ihm beauftragten Prüfer durchzuführen.

Überprüfungen – einschließlich Inspektionen – bedürfen keiner Vorankündigung.

Das Recht des Verantwortlichen auf Informationen und auf Durchführung von Überprüfungen, einschließlich Inspektionen, gemäß Abschnitt 3.3 dieses AVV besteht auch nach Beendigung des AVV hinsichtlich der Einhaltung der Pflichten des Auftragsverarbeiters zur Löschung oder Rückgabe der personenbezogenen Daten an den Verantwortlichen nach Abschluss der Erbringung der Verarbeitungsleistungen nach Abschnitt 4.7 dieses AVV fort.

Recht, die Verarbeitung im Falle eines Verstoßes durch den Auftragsverarbeiter auszusetzen

Im Falle eines Verstoßes des Auftragsverarbeiters gegen die in diesem AVV oder in der DS-GVO, insbesondere in Artikel 28 DS-GVO, niedergelegten Pflichten ist der Verantwortliche berechtigt, die Verarbeitung vollständig oder teilweise auszusetzen bis der Verstoß behoben wurde.

Pflichten des Auftragsverarbeiters

Verarbeitung auf dokumentierte Weisung des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten, die Gegenstand dieses AVVs sind, nur auf dokumentierte Weisung des Verantwortlichen ‑ auch in Bezug auf die Übermittlung personenbezogener Daten an ein Land außerhalb der Europäischen Union („EU“) bzw. des europäischen Wirtschaftsraumes („EWR“) („Drittland“) oder eine internationale Organisation ‑ sofern er nicht durch das Recht der EU oder das Recht eines Mitgliedsstaates der EU bzw. des EWR („Mitgliedsstaat“) zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Auftragsverarbeiter stellt sicher, dass jede dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, die Gegenstand dieses AVVs sind, die Daten ausschließlich auf Weisung des Verantwortlichen verarbeitet, es sei denn, dass sie nach dem Recht der EU bzw. des EWR oder eines Mitgliedsstaats zur Verarbeitung verpflichtet ist.

Der Auftragsverarbeiter dokumentiert die Weisungen des Verantwortlichen.

Der Auftragsverarbeiter ist nicht befugt, personenbezogene Daten, die Gegenstand dieses AVVs sind, zu anonymisieren und die anonymisierten Informationen für seine eigenen Zwecke zu verarbeiten.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen die DS-GVO oder andere Datenschutzbestimmungen der EU bzw. des EWR oder eines Mitgliedsstaats verstößt.

Vertraulichkeit der Personen, die zur Verarbeitung der personenbezogenen Daten berechtigt sind

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten, die Gegenstand dieses AVVs sind, befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Sicherheit der Verarbeitung

Der Auftragsverarbeiter ergreift alle gemäß Artikel 32 DS-GVO erforderlichen Maßnahmen.

Die konkreten vom Auftragsverarbeiter zu ergreifenden Maßnahmen sind in Anhang 3 dieses AVVs festgelegt.

Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter ist daher befugt, zusätzliche oder alternative Maßnahmen zu den in Anhang 3 dieses AVVs aufgeführten Maßnahmen zu ergreifen, solange das Sicherheitsniveau der bis dahin festgelegten Maßnahmen nicht unterschritten wird.

Der Auftragsverarbeiter dokumentiert alle Änderungen der Maßnahmen und legt sie dem Verantwortlichen unverzüglich und ohne Aufforderung vor.

Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten, die Gegenstand dieses AVVs sind, bekannt wird, meldet er diese dem Verantwortlichen unverzüglich.

Diese Meldung enthält zumindest die folgenden Informationen:

(a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;

(b) den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle des Auftragsverarbeiters für weitere Informationen;

(d) eine Beschreibung der von dem Auftragsverarbeiter ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Der Auftragsverarbeiter dokumentiert Verletzungen des Schutzes personenbezogener Daten, die Gegenstand dieses AVVs sind, einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, deren Auswirkungen und der ergriffenen Abhilfemaßnahmen, und stellt diese Dokumentation dem Verantwortlichen zur Verfügung.

Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten, die Gegenstand dieses AVVs sind, weder einer Aufsichtsbehörde noch benachrichtigt der Auftragsverarbeiter betroffene Personen über eine Verletzung des Schutzes personenbezogener Daten, die Gegenstand dieses AVVs sind.

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich auch jeden Vorfall, der den Verdacht einer Verletzung des Schutzes personenbezogener Daten begründet, es sei denn, der Auftragsverarbeiter ist absolut sicher, dass der Vorfall tatsächlich nicht zu einer Verletzung des Schutzes personenbezogener Daten führt (z.B. ein Hackerangriff, der nachweislich nicht erfolgreich war). Der Auftragsverarbeiter meldet solche Verdachtsfälle insbesondere auch dann, wenn bezogen auf die Tatsachen, die den Verdacht begründen, und/oder bezogen auf die rechtliche Auslegung des Begriffs der „Verletzung des Schutzes personenbezogener Daten“ im Sinne der DS-GVO Zweifel bestehen. Die Regelungen dieses AVVs zur Meldung und Dokumentation von Verletzungen des Schutzes personenbezogener Daten gelten entsprechend für die Meldung und Dokumentation von Verdachtsfällen.

Beauftragung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter)

Der Auftragsverarbeiter hält die folgenden in Artikel 28 (2) und (4) DS-GVO genannten Bedingungen für die Beauftragung eines weiteren Auftragsverarbeiters ein:

Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Im Fall einer allgemeinen schriftlichen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.

Nimmt der Auftragsverarbeiter die Dienste eines weiteren Auftragsverarbeiters in Anspruch, um bestimmte Verarbeitungstätigkeiten im Namen des Verantwortlichen auszuführen, so werden diesem weiteren Auftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auferlegt, wie sie in diesem AVV festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden müssen, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen der DS-GVO erfolgt.

Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.

Der Vertrag zwischen dem Auftragsverarbeiter und dem Unterauftragsverarbeiter sieht insbesondere vor, dass der Verantwortliche berechtigt ist, die Rechte des Verantwortlichen und die Pflichten des Auftragsverarbeiters aus diesem AVV als Drittbegünstigter direkt gegen jeden Unterauftragsverarbeiter durchzusetzen, den der Auftragsverarbeiter beauftragt hat.

Der Auftragnehmer fungiert als Hauptansprechpartner für jede Kommunikation zwischen dem Auftraggeber und jedem Unterauftragsverarbeiter in Bezug auf die Ausübung der Rechte des Verantwortlichen und die Durchsetzung der Pflichten des (weiteren) Auftragsverarbeiters im Namen des Verantwortlichen und gemäß dessen Weisungen. Der Auftragnehmer leitet als Hauptansprechpartner jede Mitteilung die vom Auftraggeber an einen weiteren Auftragsverarbeiter gerichtet ist, unverzüglich an den jeweiligen Unterauftragsverarbeiter weiter. Der Auftragnehmer leitet als Hauptansprechpartner jede Mitteilung die von einem Unterauftragsverarbeiter an den Auftraggeber gerichtet ist, unverzüglich an den Auftraggeber weiter. Der Auftraggeber bleibt weiterhin berechtigt, direkt mit Unterauftragsverarbeitern zu kommunizieren.

Der Auftraggeber erteilt hiermit die gesonderte Genehmigung, die Unterauftragsverarbeiter, die in Anhang 4 festgelegt sind, unter den in Abschnitt 4.4.1 genannten Bedingungen zu beauftragen.

Der Auftraggeber erteilt keine allgemeine Genehmigung, Unterauftragsverarbeiter zu beauftragen.

Auf Anfrage des Verantwortlichen legt der Auftragsverarbeiter dem Verantwortlichen Kopien der zwischen ihm und etwaigen Unterauftragsverarbeitern gemäß Abschnitt 4.4.1b) geschlossenen Verträge vor.

Der Auftragsverarbeiter führt regelmäßig und auch auf begründeter Anfrage des Verantwortlichen Überprüfungen der Unterauftragsverarbeiter durch, um sicherzustellen, dass der Unterauftragsverarbeiter seinen Pflichten aus Artikel 28 DS-GVO und dem nach Abschnitt 4.4.1b) geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter dokumentiert die Überprüfung und legt dem Verantwortlichen auf Anfrage die Dokumentation vor.

Unterstützung des Verantwortlichen bei der Erfüllung seiner Pflicht, zur Beantwortung von Anträgen auf Wahrnehmung der Rechte des Betroffenen

Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DS-GVO genannten Rechte der betroffenen Personen nachzukommen.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nachdem er Kenntnis von einem Antrag einer betroffenen Person auf Wahrnehmung ihrer Rechte bezüglich personenbezogener Daten erhalten hat, die Gegenstand dieses AVVs sind.

Der Auftragsverarbeiter beantwortet keine Anträge einer betroffenen Person auf Wahrnehmung ihrer Betroffenenrechte bezüglich personenbezogener Daten, die Gegenstand dieses AVVs sind.

Unterstützung des Verantwortlichen bei der Einhaltung seiner Pflichten hinsichtlich der Sicherheit der Verarbeitung, der Dokumentation, der Meldung und Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung und vorheriger Konsultationen

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Einhaltung der in den Artikel 32 bis 36 DS-GVO genannten Pflichten bezüglich personenbezogener Daten, die Gegenstand dieses AVVs sind.

Löschung oder Rückgabe der personenbezogenen Daten an den Verantwortlichen nach Abschluss der Erbringung der Verarbeitungsleistungen

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen entweder alle personenbezogenen Daten, die Gegenstand dieses AVVs sind, oder gibt diese an den Verantwortlichen zurück und löscht die vorhandenen Kopien, sofern nicht nach dem Recht der EU bzw des EWR oder eines Mitgliedsstaats eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. In so einem Fall unterrichtet der Auftragsverarbeiter den Verantwortlichen über diese rechtliche Verpflichtung, es sei denn, dieses Gesetz verbietet eine solche Benachrichtigung aus wichtigen Gründen des öffentlichen Interesses.

Der Auftragsverarbeiter bewahrt seine Unterlagen zum Nachweis der Einhaltung der Pflichten aus Artikel 28 DS-GVO und diesem AVV gemäß den entsprechenden Aufbewahrungsfristen auch nach Abschluss der Erbringung der Verarbeitungsleistungen auf. Der Auftragsverarbeiter ist befugt, dem Verantwortlichen diese Unterlagen nach Abschluss der Erbringung der Verarbeitungsleistungen zu übergeben, um von dieser Verpflichtung freigestellt zu werden.

Bereitstellung von Informationen und Ermöglichung von und Unterstützung bei Überprüfungen, einschließlich Inspektionen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zum Nachweis der Einhaltung der in Artikel 28 DS-GVO niedergelegten Pflichten zur Verfügung und trägt zu Überprüfungen – einschließlich Inspektionen – bei, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden.

Die Regelungen in Abschnitt 3.3 dieses AVVs zum Recht des Verantwortlichen auf Informationen und auf Durchführung von Überprüfungen, einschließlich Inspektionen, finden entsprechende Anwendung auf die Pflicht des Auftragsverarbeiter gemäß diesem Abschnitt 4.8.

Zum Nachweis der Einhaltung seiner Pflichten kann der Auftragsverarbeiter aktuelle Bescheinigungen, Berichte oder Auszüge aus Berichten von unabhängigen Stellen (z.B. Wirtschaftsprüfer, interne Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzprüfer, Qualitätsprüfer) oder eine entsprechende Zertifizierung durch eine IT-Sicherheits- oder Datenschutzüberprüfung (z.B. gemäß dem BSI Grundschutz) vorlegen.

Der Auftragsverarbeiter legt dem Verantwortlichen die notwendigen Informationen auf Aufforderungen unverzüglich vor. Auch ohne Aufforderung legt der Auftragsverarbeiter dem Verantwortlichen die notwendigen Informationen regelmäßig, mindestens einmal im Jahr, vor.

Weitere Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter erfüllt alle weiteren Verpflichtungen der DS-GVO oder anderer Datenschutzbestimmungen der EU bzw. des EWR oder eines Mitgliedsstaats, denen der Auftragsverarbeiter unterliegt und die sich speziell an Auftragsverarbeiter richten.

Insbesondere

benennt der Auftragsverarbeiter, soweit gemäß Artikel 27 DS-GVO erforderlich, schriftlich einen Vertreter in der EU bzw. im EWR.

führt der Auftragsverarbeiter gemäß Artikel 30 (2) DS-GVO ein Verzeichnis zu allen Kategorien von im Auftrag eines Verantwortlichen durchgeführten Verarbeitungstätigkeiten.

arbeitet der Auftragsverarbeiter gemäß Artikel 31 DS-GVO auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

benennt der Auftragsverarbeiter einen Datenschutzbeauftragen gemäß Artikel 37 und 38 DS-GVO, wenn es von der DS-GVO oder einer anderen Datenschutzbestimmung der EU bzw. des EWR oder eines Mitgliedsstaats vorgeschrieben ist.

Der Auftragsverarbeiter nennt dem Verantwortlichen Namen und Kontaktdaten einer dem Auftragsverarbeiter unterstellten Person, die als Kontaktperson für alle Angelegenheiten bezüglich des Schutzes personenbezogener Daten, die Gegenstand dieses AVVs sind, zur Verfügung steht.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn der Auftragsverarbeiter seinen Pflichten aus diesem AVV oder Artikel 28 DS-GVO nicht nachkommen kann.

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Einhaltung seiner Verpflichtung, gemäß Artikel 30 (1)DS-GVO ein Verzeichnis aller Verarbeitungstätigkeiten bezüglich personenbezogener Daten zu führen, die Gegenstand dieses AVVs sind.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nachdem er Kenntnis über Maßnahmen einer Aufsichtsbehörde, insbesondere über Untersuchungen gemäß Artikel 58 DS-GVO, erlangt hat, die personenbezogene Daten betreffen, die Gegenstand dieses AVVs sind.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung etwaiger von der Aufsichtsbehörde ergriffener Maßnahmen, die Verarbeitungstätigkeiten betreffen, die der Auftragsverarbeiter unter diesem AVV durchführt.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn personenbezogene Daten, die Gegenstand dieses AVVs sind, oder Verarbeitungssysteme oder Speichermedien, auf denen personenbezogene Daten gespeichert werden, die Gegenstand dieses AVVs sind, durch Dritte (z.B. durch Beschlagnahme oder Einziehung), durch Insolvenz- oder Vergleichsverfahren oder andere Ereignisse gefährdet sein könnten.

Übermittlung personenbezogener Daten an Drittländer

Der Auftragnehmer und etwaige vom Auftragnehmer beauftragte Unterauftragsverarbeiter übermitteln und/oder verarbeiten keine personenbezogenen Daten, die Gegenstand dieses AVVs sind, an/in ein Land außerhalb des EWR („Drittland“).

Berufsgeheimnis

Informationen über Patienten können einem Berufsgeheimnis unterliegen.

Besondere Pflichten des Auftragsverarbeiters zum Umgang mit Informationen, die einem Berufsgeheimnis unterliegen, sind in Anhang 5 dieses AVVs festgelegt.

Inkrafttreten, Laufzeit und Beendigung

Inkrafttreten und Laufzeit des AVV

Dieser AVV tritt mit der Unterzeichnung durch beide Parteien in Kraft.

Die Laufzeit dieses AVVs richtet sich nach der Laufzeit des Hauptvertrags.

Sofern die Erbringung der Verarbeitungsleistungen, die Gegenstand dieses AVVs sind, nach Beendigung des Hauptvertrages noch nicht abgeschlossen ist, oder der Auftragsverarbeiter sonst nach Beendigung des Hauptvertrages noch personenbezogene Daten verarbeitet, die Gegenstand dieses AVVs sind, endet die Laufzeit dieses AVVs abweichend von Abschnitt 7.1.2 dieses AVVs erst mit dem Abschluss der Erbringung der Verarbeitungsleistungen und der vollständigen Löschung oder Rückgabe der personenbezogenen Daten an den Verantwortlichen nach Abschluss der Erbringung der Verarbeitungsleistungen gem. Abschnitt 4.7 dieses AVVs.

Außerordentliches Kündigungsrecht des Auftraggebers

Der Auftraggeber kann den Hauptvertrag fristlos ganz oder teilweise kündigen, wenn der Auftragnehmer seinen Pflichten aus diesem AVV nicht nachkommt, Bestimmungen der DS-GVO oder sonstige anwendbare Datenschutzvorschriften vorsätzlich oder grob fahrlässig verletzt oder eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftragnehmer sich den Kontrollrechten des Verantwortlichen auf vertragswidrige Weise widersetzt.

Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt dem Recht des Landes, in dem der Auftraggeber seine Hauptniederlassung hat.

Für alle Streitigkeiten, die im Zusammenhang mit diesem AVV stehen, ist der ausschließliche Gerichtsstand, der Gerichtsstand der Hauptniederlassung des Auftraggebers.

Schlussbestimmungen

Benachrichtigung über Defizite dieses Auftragsverarbeitungsvertrags

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Ansicht ist, dass dieser AVV nicht den Anforderungen der einschlägigen Bestimmungen der DS-GVO und/oder etwaiger Richtlinien, Empfehlungen oder sonstiger Positionen der Aufsichtsbehörden, insbesondere des Europäischen Datenschutzausschusses (EDSA), an einen AVV entspricht. In diesem Fall bemühen sich der Auftraggeber und der Auftragnehmer, diesen AVV an die gesetzlichen und/oder behördlichen Anforderungen anzupassen.

Änderungen und Ergänzungen dieses Auftragsverarbeitungsvertrags

Änderungen und Ergänzungen dieses AVVs bedürfen der Schriftform. Dies gilt auch für den Verzicht auf das Schriftformerfordernis.

Salvatorische Klausel

Sollte eine Regelung dieses AVVs ganz oder teilweise unwirksam oder nicht durchsetzbar sein oder werden, berührt dies nicht die Gültigkeit der übrigen Regelungen. Die Parteien verpflichten sich, die unwirksame oder nicht durchsetzbare Regelung gemeinsam durch eine wirksame Regelung zu ersetzen, die der unwirksamen oder nicht durchsetzbaren Regelung soweit dies möglich ist entspricht. Gleiches gilt für jegliche Regelungslücken dieses AVVs.

Rangfolge

Bei Widersprüchen zwischen diesem AVV und anderen zwischen den Parteien geschlossenen Vereinbarungen, insbesondere dem Hauptvertrag, haben die Regelungen dieses AVVs Vorrang.

Anhänge:

Anhang 1: Hauptvertrag und Einzelheiten zu den Parteien

Anhang 2: Einzelheiten zur Verarbeitung

Anhang 3: Sicherheitsmaßnahmen

Anhang 4: Unterauftragsverarbeiter

Anhang 5: Verpflichtungen zur Wahrung des Berufsgeheimnisses


Die Unterschrift/Unterzeichnung dieser Vereinbarung durch die Parteien ist nicht erforderlich; die Vereinbarung wird mit Zuschlag und Zustandekommen des Hauptvertrags wirksam vereinbart.

Hauptvertrag und Einzelheiten zu den Parteien

1. Hauptvertrag


Bezeichnung und Datum	EVB-IT Dienstvertrag – Managed Services der IT Infrastruktur für containerisierte Anwendungen– Datum des Zuschlags
Beschreibung der Services	Siehe Leistungsbeschreibung (Anlage 2) zum Hauptvertrags

1. Parteien
  1. Auftraggeber


Name	Sämtliche Klinikträger der Asklepios-Konzerngruppe – Asklepios Kliniken GmbH & Co. KGaA, Einzeln benannt in der Anlage 1 zum Hauptvertrag
Adresse	Siehe Anlage 1 zum Hauptvertrag

- 1. Auftragnehmer – DURCH DEN BIETER AUSZUFÜLLEN


Name	[•]
Adresse	[•]

1. Datenschutzbeauftragter des Auftragnehmers – DURCH DEN BIETER AUSZUFÜLLEN


Name	[•]
Adresse	[•]
Telefon	[•]
Telefax	[•]
E-Mail	[•]

Einzelheiten zur Verarbeitung

1. Gegenstand der Verarbeitung


Der Gegenstand der Verarbeitung ist die Erbringung der Services.

1. Dauer der Verarbeitung


Die Dauer der Verarbeitung ist durch die Dauer der Erbringung der Services bestimmt (siehe Nr. 3.1 Hauptvertrag).

1. Art und Zweck der Verarbeitung


Der Auftragnehmer kann personenbezogene Daten (z.B. Mitarbeiterdaten, Patientendaten) zum Zweck der Erbringung der Managed Services der IT Infrastruktur für containerisierte Anwendungen verarbeiten. Eine Verarbeitung von personenbezogenen Daten durch den Auftragnehmer zu einem anderen Zweck findet nicht statt. Der Managed Service wird im Rechenzentrum der Asklepios-IT erbracht.

1. Art der personenbezogenen Daten

Die Verarbeitung von Mitarbeiterdaten kann z.B. folgende Daten betreffen: * - (Berufliche) E-Mail-Adresse * - Vor- und Nachname * Nutzerdaten (Benutzer-ID, Datum und Zeitpunkt des Zugriffs, Terminal und Aktion des Nutzers) Die Verarbeitung von Patientendaten kann z.B. folgende Daten betreffen: * Vertragsabrechnungsdaten (Diagnosen (ICD-10 Codes), Prozeduren oder Operationen inkl. Zeitstempel (OPS Codes) und DRGs (Entgeltziffern) * unveränderbarer Teil der Krankenversichertennummer nach § 290 Absatz 1 Satz 2 des Fünften Buches Sozialgesetzbuch * Geburtsjahr des Patienten sowie die Postleitzahl und der Wohnort des Patienten, in den Stadtstaaten der Stadtteil, bei Kindern bis zur Vollendung des ersten Lebensjahres außerdem der Geburtsmonat * Geschlecht des Patienten * Aufnahmedatum, Aufnahmegrund und -anlass, aufnehmende Fachabteilung, bei Verlegung die der weiter behandelnden Fachabteilungen, und der dazugehörigen Zeiträume, Zeiträume der Intensivbehandlung, Entlassungs- oder Verlegungsdatum, Entlassungs- oder Verlegungsgrund, bei Kindern bis zur Vollendung des ersten Lebensjahres außerdem das Aufnahmegewicht in Gramm Die Verarbeitung von Lieferantendaten kann z.B. folgende Daten betreffen: * - (Berufliche) E-Mail-Adresse * (Berufliche) Anschrift * - Vor- und Nachname

Besondere Kategorien personenbezogener Daten


[ ]	Daten aus denen die rassische oder ethische Herkunft hervorgeht
[ ]	Daten aus denen die politische Meinung hervorgeht
[x]	Daten aus denen religiöse oder weltanschauliche Überzeugungen hervorgehen
[ ]	Daten aus denen die Gewerkschaftszugehörigkeit hervorgeht
[ ]	Genetische Daten
[ ]	Biometrische Daten
[x]	Gesundheitsdaten
[ ]	Daten zum Sexualleben oder der sexuellen Orientierung einer Person

1. Kategorien der betroffenen Personen


[x]	Patienten
[x]	Beschäftigte des Verantwortlichen
[ ]	Bewerber des Verantwortlichen
[x]	Lieferanten des Verantwortlichen und deren Beschäftigte
[ ]	Besucher des Verantwortlichen
[ ]	Nutzer der Webseite/Apps des Verantwortlichen
[ ]	Andere:

1. Ort der Verarbeitung – DURCH DEN BIETER AUSZUFÜLLEN


Rechenzentrum in Hamburg, verwaltet von der Asklepios-IT

Sicherheitsmaßnahmen

[Angaben zu den Sicherheitsmaßnahmen durch den Auftragsverarbeiter im Folgenden zu ergänzen. Alternativ kann dieser Anhang 3 auch durch eine gesonderte Anlage des Auftragsverarbeiters ersetzt werden, in der die notwendigen Angaben zu den TOMs gem. Art. 32 DS-GVO des Auftragsverarbeiters aufgeführt sind]

1. Vertraulichkeit gem. Artikel 32 (1) (b) DS-GVO – DURCH DEN BIETER AUSZUFÜLLEN
  1. Zutrittskontrolle


Technische Maßnahmen	Organisatorische Maßnahmen
[ ] Alarmanlage	[ ] Schlüsselregelung / Liste
[ ] Automatisches Zugangskontrollsystem	[ ] Empfang / Rezeption / Pförtner
[ ] Biometrische Zugangssperren	[ ] Besucherbuch / Protokoll der Besucher
[ ] Chipkarten / Transpondersysteme	[ ] Mitarbeiter- / Besucherausweise
[ ] Manuelles Schließsystem	[ ] Besucher in Begleitung durch Mitarbeiter
[ ] Sicherheitsschlösser	[ ] Sorgfalt bei Auswahl des Wachpersonals
[ ] Schließsystem mit Codesperre	[ ] Sorgfalt bei Auswahl Reinigungsdienste
[ ] Absicherung der Gebäudeschächte	[ ]
[ ] Türen mit Knauf Außenseite	[ ]
[ ] Klingelanlage mit Kamera	[ ]
[ ] Videoüberwachung der Eingänge	[ ]
[ ]	[ ]
[ ]	[ ]
[ ]	[ ]

- 1. Zugangskontrolle


Technische Maßnahmen	Organisatorische Maßnahmen
[ ] Login mit Benutzername + Passwort	[ ] Verwalten von Benutzerberechtigungen
[ ] Login mit biometrischen Daten	[ ] Erstellen von Benutzerprofilen
[ ] Anti-Viren-Software Server	[ ] Zentrale Passwortvergabe
[ ] Anti-Virus-Software Clients	[ ] Richtlinie „Sicheres Passwort“
[ ] Anti-Virus-Software mobile Geräte	[ ] Richtlinie „Löschen / Vernichten“
[ ] Firewall	[ ] Richtlinie „Clean desk“
[ ] Intrusion Detection Systeme	[ ] Allg. Richtlinie Datenschutz und / oder Sicherheit
[ ] Mobile Device Management	[ ] Mobile Device Policy
[ ] Einsatz VPN bei Remote-Zugriffen	[ ] Anleitung „Manuelle Desktopsperre“
[ ] Verschlüsselung von Datenträgern	[ ]
[ ] Verschlüsselung Smartphones	[ ]
[ ] Gehäuseverriegelung	[ ]
[ ] BIOS Schutz (separates Passwort)	[ ]
[ ] Sperre externer Schnittstellen (USB)	[ ]
[ ] Automatische Desktopsperre	[ ]
[ ] Verschlüsselung von Notebooks / Tablet	[ ]
[ ]	[ ]
[ ]	[ ]

- 1. Zugriffskontrolle


Technische Maßnahmen	Organisatorische Maßnahmen
[ ] Aktenschredder (mind. Stufe 3, cross cut)	[ ] Einsatz Berechtigungskonzepte
[ ] Externer Aktenvernichter (DIN 32757)	[ ] Minimale Anzahl an Administratoren
[ ] Physische Löschung von Datenträgern	[ ] Datenschutztresor
[ ] Protokollierung von Zugriffen auf Anwendungen, konkret bei der Eingabe, Änderung und Löschung von Daten	[ ] Verwaltung Benutzerrechte durch Administratoren
[ ]	[ ]
[ ]	[ ]

- 1. Trennungskontrolle


Technische Maßnahmen	Organisatorische Maßnahmen
[ ] Trennung von Produktiv- und Test- umgebung	[ ] Steuerung über Berechtigungskonzept
[ ] Physikalische Trennung (Systeme / Datenbanken / Datenträger)	[ ] Festlegung von Datenbankrechten
[ ] Mandantenfähigkeit relevanter Anwendungen	[ ] Datensätze sind mit Zweckattributen ver- sehen
[ ]	[ ]
[ ]	[ ]

- 1. Pseudonymisierung (Artikel 32 (1) (a) DS-GVO; Art. 25 Abs. 1 DS-GVO)


Technische Maßnahmen	Organisatorische Maßnahmen
[ ] Im Falle der Pseudonymisierung: Trennung der Zuordnungsdaten und Auf- bewahrung in getrenntem und abge- sicherten System (mögl. verschlüsselt)	[ ] Interne Anweisung, personenbezogene Daten im Falle einer Weitergabe oder auch nach Ablauf der gesetzlichen Löschfrist möglichst zu anonymisieren / pseudonymi- sieren
[ ]	[ ]
[ ]	[ ]

1. Integrität (Artikel 32 (1) (b) DS-GVO) – DURCH DEN BIETER AUSZUFÜLLEN
  1. Weitergabekontrolle


Technische Maßnahmen	Organisatorische Maßnahmen
[ ] Email-Verschlüsselung (S/MIME / PGP) [ ] Email-Signatur (S/MIME / PGP)	[ ] Dokumentation der Datenempfänger sowie der Dauer der geplanten Über- lassung bzw. der Löschfristen
[ ] Einsatz von VPN	[ ] Übersicht regelmäßiger Abruf- und Übermittlungsvorgängen
[ ] Protokollierung der Zugriffe und Abrufe	[ ] Weitergabe in anonymisierter oder pseudonymisierter Form
[ ] Sichere Transportbehälter	[ ] Sorgfalt bei Auswahl von Transport- Personal und Fahrzeugen
[ ] Bereitstellung über verschlüsselte Verbindungen wie sftp, https	[ ] Persönliche Übergabe mit Protokoll
[ ] Nutzung von Signaturverfahren	[ ]
[ ]	[ ]
[ ]	[ ]

- 1. Eingabekontrolle


Technische Maßnahmen	Organisatorische Maßnahmen
[ ] Technische Protokollierung der Eingabe, Änderung und Löschung von Daten	[ ] Übersicht, mit welchen Programmen welche Daten eingegeben, geändert oder gelöscht werden können
[ ] Manuelle oder automatisierte Kontrolle der Protokolle	[ ] Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch Individuelle Benutzernamen (nicht Benutzergruppen)
[ ]	[ ] Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts
[ ]	[ ] Aufbewahrung von Formularen, von denen Daten in automatisierte Verar- beitungen übernommen wurden
[ ]	[ ] Klare Zuständigkeiten für Löschungen

1. Verfügbarkeit und Belastbarkeit (Artikel 32 (1) (b) DS-GVO) – DURCH DEN BIETER AUSZUFÜLLEN
  1. Verfügbarkeitskontrolle


Technische Maßnahmen	Organisatorische Maßnahmen
[ ] Feuer- und Rauchmeldeanlagen	[ ] Backup & Recovery-Konzept (ausformuliert)
[ ] Feuerlöscher Serverraum	[ ] Kontrolle des Sicherungsvorgangs
[ ] Serverraumüberwachung Temperatur und Feuchtigkeit	[ ] Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse
[ ] Serverraum klimatisiert	[ ] Aufbewahrung der Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums
[ ] USV	[ ] Keine sanitären Anschlüsse im oder oberhalb des Serverraums
[ ] Schutzsteckdosenleisten Serverraum	[ ] Existenz eines Notfallplans (z.B. BSI IT Grundschutz 100-4)
[ ] Datenschutztresor (S60DIS, S120DIS, andere geeignete Normen mit Quell- dichtung etc.)	[ ] Getrennte Partitionen für Betriebs- systeme und Daten
[ ] RAID System / Festplattenspiegelung	[ ]
[ ] Videoüberwachung Serverraum	[ ]
[ ] Alarmmeldung bei unberechtigtem Zutritt zu Serverraum	[ ]
[ ]	[ ]
[ ]	[ ]
[ ]	[ ]

1. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung (Artikel 32 (1) (d) DS-GVO) – DURCH DEN BIETER AUSZUFÜLLEN
  1. Datenschutz-Management


Technische Maßnahmen	Organisatorische Maßnahmen
[ ] Software-Lösungen für Datenschutz- Management im Einsatz	[ ] Interner / externer Datenschutzbeauftragter
[ ] Zentrale Dokumentation aller Verfahrens- weisen und Regelungen zum Datenschutz mit Zugriffsmöglichkeit für Mitarbeiter nach Bedarf / Berechtigung (z.B. Wiki, Intranet …)	[ ] Mitarbeiter geschult und auf Vertraulichkeit / Datengeheimnis verpflichtet
[ ] Sicherheitszertifizierung nach ISO 27001, BSI IT-Grundschutz oder ISIS12 [ ] Alternatives Informationssicherheits- konzept	[ ] Regelmäßige Sensibilisierung der Mitarbeiter Mindestens jährlich
[ ] Anderweitiges dokumentiertes Sicherheits- Konzept	[ ] Interner / externer Informationssicherheits-Beauf- tragter Name / Firma Kontakt
[ ] Eine Überprüfung der Wirksamkeit der Technischen Schutzmaßnahmen wird mind. jährlich durchgeführt	[ ] Die Datenschutz-Folgenabschätzung (DSFA) wird bei Bedarf durchgeführt
[ ]	[ ] Die Organisation kommt den Informationspflichten nach Art. 13 und 14 DSGVO nach
[ ]	[ ] Formalisierter Prozess zur Bearbeitung von Auskunftsanfragen seitens Betroffener ist vorhanden
[ ]	[ ]
[ ]	[ ]

- 1. Incident-Response-Management


Technische Maßnahmen	Organisatorische Maßnahmen
[ ] Einsatz von Firewall und regelmäßige Aktualisierung	[ ] Dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen / Datenpannen (auch im Hin blick auf Meldepflicht gegenüber Aufsichtsbehörde)
[ ] Einsatz von Spamfilter und regelmäßige Aktualisierung	[ ] Dokumentierte Vorgehensweise zum Umgang mit Sicherheitsvorfällen
[ ] Einsatz von Virenscanner und regelmäßige Aktualisierung	[ ] Einbindung von [ ] DSB und [ ] ISB in Sicherheitsvorfälle und Datenpannen
[ ] Intrusion Detection System (IDS)	[ ] Dokumentation von Sicherheitsvorfällen und Datenpannen z.B. via Ticketsystem
[x] Intrusion Prevention System (IPS)	[ ] Formaler Prozess und Verantwortlichkeiten zur Nach- bearbeitung von Sicherheitsvorfällen und Daten- pannen
[ ]	[ ]
[ ]	[ ]
[ ]	[ ]

- 1. Datenschutzfreundliche Voreinstellung (Art. 25 Abs.2 DS-GVO)


Technische Maßnahmen	Organisatorische Maßnahmen
[ ] Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erfor- derlich sind	[ ]
[ ] Einfache Ausübung des Widerrufrechts des Betroffenen durch technische Maß- nahmen	[ ]
[ ]	[ ]
[ ]	[ ]

- 1. Auftragskontrolle (Outsourcing an Dritte)


Technische Maßnahmen	Organisatorische Maßnahmen
[ ]	[ ] Vorherige Prüfung der vom Auftrag- nehmer getroffenen Sicherheitsmaß- nahmen und deren Dokumentation
[ ]	[ ] Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (gerade in Bezug auf Datenschutz und Datensicher- heit
[ ]	[ ] Abschluss der notwendigen Vereinbarung zur Auftragsverarbeitung bzw. EU Standard- Vertragsklauseln
[ ]	[ ] Schriftliche Weisungen an den Auftrag- nehmer
[ ]	[ ] Verpflichtung der Mitarbeiter des Auftrag- nehmers auf Datengeheimnis
[ ]	[ ] Verpflichtung zur Bestellung eines Daten- schutzbeauftragten durch den Auftrag- nehmer bei Vorliegen Bestellpflicht
[ ]	[ ] Vereinbarung wirksamer Kontrollrechte gegenüber dem Auftragnehmer
[ ]	[ ] Regelung zum Einsatz weiterer Sub- unternehmer
[ ]	[ ] Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags
[ ]	[ ] Bei längerer Zusammenarbeit: Laufende Überprüfung des Auftragnehmers und seines Schutzniveaus

– DURCH DEN BIETER AUSZUFÜLLEN Unterauftragsverarbeiter


Name und Adresse des Unterauftragsverarbeiters	Umfang, Art und Zweck der Unterauftragsverarbeitung	Kategorien der betroffenen Personen	Kategorien der personenbezogenen Daten	Dauer der Unterauftragsverarbeitung	Ort der Unterauftragsverarbeitung
[•]	[•]	[•]	[•]	[•]	[•]

Verpflichtungen zur Wahrung des Berufsgeheimnisses

Der Auftraggeber ist Teil eines Klinikkonzerns. Die bei dem Auftraggeber und/oder seiner verbundenen Unternehmen als Angestelltetätigen Ärzte, Zahnärzte, Apotheker, Angehörige anderer Heilberufe oder Berufspsychologen unterliegen damit der berufsrechtlichen Verschwiegenheitspflicht nach § 203 Abs. 1 StGB.

Nach § 203 Abs. 3 Satz 2 StGB dürfen Berufsgeheimnisträger fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist. Der Auftragnehmer, seine Mitarbeiter sowie etwaige Unterauftragsverarbeiter und deren Mitarbeiter sind, soweit sie mit Geheimnissen des Auftraggebers in Berührung kommen, solche sonstigen mitwirkenden Personen.

Der Auftraggeber und der Auftragnehmer sind sich darüber einig, dass der Auftragnehmer (einschließlich aller sonstiger mitwirkender Personen), soweit er mit Geheimnissen des Auftraggebers in Berührung kommt, denselben strafrechtlichen Pflichten unterliegt wie die Berufsgeheimnisträger.

Gegenstand dieser Anlage ist die Behandlung von Informationen des Auftraggebers, die einem Berufsgeheimnis unterliegen, durch den Auftragnehmer, unabhängig davon, ob es sich dabei um personenbezogene Daten handelt oder nicht.

1. Weitere Begriffsbestimmungen

Für die Zwecke dieser Anlage finden ergänzend zu den Definitionen des AVVs die nachfolgenden Begriffsbestimmungen Anwendung.

- 1. „Berufsgeheimnisträger“ sind angestellte Ärzte, Zahnärzte, Apotheker, Angehörige anderer Heilberufe oder Berufspsychologen des Auftraggebers und/oder seiner verbundenen Unternehmen.
  2. „Berufsmäßig tätige Gehilfen“ sind alle Angestellten des Auftraggebers und/oder seiner verbundenen Unternehmen, die nicht als Ärzte, Angehörige anderer Heilberufe oder Berufspsychologenzugelassen sind, einschließlich Personen, die beim Auftraggeber und/oder seinen verbundenen Unternehmen als nichtmedizinisches Personal tätig sind.
  3. „Geheimnis“ im Sinne dieser Anlage sind Tatsachen, die einem Berufsgeheimnisträger oder einem Berufsmäßig tätigen Gehilfen in dessen beruflicher Eigenschaft anvertraut oder sonst bekannt geworden sind, die nur einem einzelnen oder einem beschränkten Personenkreis bekannt oder zugänglich sind und von denen angenommen werden kann, dass die Patientensie aus diesem Kreis nicht herausgelangen lassen wollen oder bei Kenntnis der Tatsache nicht würden hinausgelangen lassen wollen, und an deren Geheimhaltung die Patientenein schutzwürdiges Interesse haben. Hierzu zählen insbesondere persönliche Daten der Patientenund Angaben über die mit ihnen bestehenden Behandlungsverhältnisse. Auch die Angabe, dass überhaupt ein Behandlungsverhältnismit dem Auftraggeber seinen verbundenen Unternehmen oder einzelnen Berufsgeheimnisträgern des Auftraggebers und/oder seiner verbundenen Unternehmen besteht, ist ein Geheimnis in diesem Sinne.
  4. „Berechtigte Mitarbeiter“ sind die mit dem Auftragnehmer arbeits- oder dienstvertraglich verbundenen oder dem Auftragnehmer im Rahmen einer Arbeitnehmerüberlassung nach dem Arbeitnehmerüberlassungsgesetz (AÜG) überlassenen Mitarbeiter, die mit Geheimnissen in Berührung kommen und deren Tätigkeitsbereich dies erfordert oder bei denen wegen ihrer bestimmungsgemäßen Tätigkeit nicht auszuschließen ist, dass sie mit Geheimnissen in Berührung kommen.
1. Umgang mit Geheimnissen
  1. Der Auftraggeber weist den Auftragnehmer darauf hin, dass er und sämtliche bei ihm tätige Personen, die mit Geheimnissen in Berührung kommen, sich strafbar machen, wenn sie Geheimnisse unbefugt Dritten gegenüber offenbaren. Gemäß § 203 Abs. 4 Satz 1 StGB wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person bekannt geworden ist
  2. Der Auftragnehmer verpflichtet sich deshalb, die Geheimnisse geheim zu halten und dafür Sorge zu tragen, dass diese Dritten gegenüber nicht bekannt werden. Das gilt auch bei Vernehmungen oder Befragungen durch Gerichte, Staatsanwaltschaften, Polizeidienststellen oder sonstige Behörden, sofern der Betroffene den Auftragnehmer nicht ausdrücklich von der Pflicht zur Verschwiegenheit entbunden hat. Der Auftragnehmer ist deshalb verpflichtet, angemessene technische und organisatorische Maßnahmen treffen, um den unberechtigten Zugang Dritter zu den Geheimnissen zu verhindern.
  3. Der Auftragnehmer ist verpflichtet seine Berechtigten Mitarbeiter entsprechend Ziffer 2.2 zur Vertraulichkeit zu verpflichten. Auf Anforderung wird der Auftragnehmer dem Auftraggeber hierüber Nachweis erbringen.
  4. Der Auftragnehmer verpflichtet sich, durch angemessene Maßnahmen sicherzustellen, dass er sich von den Geheimnissen nur insoweit Kenntnis verschafft, als dies für die Erfüllung der Services erforderlich ist. Bei der Einschaltung von Berechtigten Mitarbeitern verpflichtet sich der Auftragnehmer durch angemessene Maßnahmen dafür zu sorgen, dass diese nur insoweit von den Geheimnissen Kenntnis erlangen, wie dies für die Erfüllung der ihnen jeweils zugewiesenen Aufgaben erforderlich ist.
  5. Der Auftragnehmer verpflichtet sich, seinen organisatorischen Aufbau so zu gestalten, dass nur die Berechtigten Mitarbeiter mit den Geheimnissen in Berührung kommen. Bei allen übrigen Mitarbeitern ist durch geeignete technische Zugangsbeschränkungen sicherzustellen, dass diese keine Kenntnis von den Geheimnissen nehmen können. Der Auftragnehmer verpflichtet sich, zusätzlich zu den technischen Zugangsbeschränkungen durch entsprechende Ausübung des Direktionsrechts gegenüber seinen Mitarbeitern und bei Verstoß durch arbeitsrechtliche Sanktionen (Abmahnung, verhaltensbedingte Kündigung) sicherzustellen, dass diese Zugangsbeschränkungen von einzelnen seiner Mitarbeiter nicht überwunden werden.
  6. Der Auftragnehmer verpflichtet sich, die Berechtigten Mitarbeiter entsprechend Ziffer 2.1 über die mögliche Strafbarkeit nach § 203 (4) Satz 1 StGB zu belehren.
  7. Der Auftragnehmer verpflichtet sich, die Berechtigten Mitarbeiter ordnungsgemäß auszuwählen und bei ihrer Tätigkeit ordnungsgemäß zu beaufsichtigen. Hat er Anhaltspunkte dafür, dass einzelne Berechtigte Mitarbeiter ihren Verpflichtungen nicht ordnungsgemäß nachkommen, wird er diesen Anhaltspunkten nachgehen und, soweit erforderlich, diesen Personen den Zugang zu den Geheimnissen entziehen. Über solche Maßnahmen wird er den Auftraggeber in Textform informieren.
  8. Der Auftragnehmer wird Leistungen im Zusammenhang mit den Geheimnissen nur mit ausdrücklicher vorheriger Zustimmung des Auftraggebers außerhalb von Deutschland erbringen und insbesondere Dokumente und elektronische Daten, die Geheimnisse erhalten, ohne ausdrückliche vorherige Zustimmung des Auftraggebers nicht außerhalb von Deutschland aufbewahren.
  9. Nach Beendigung des Auftrags sind alle überlassenen Geheimnisse nach der Wahl des Auftraggebers entweder vollständig an den Auftraggeber zurückzugeben und beim Auftragnehmer vollständig zu löschen oder nur beim Auftragnehmer vollständig zu löschen.
2. Einsatz weiterer mitwirkender Personen
  1. Der Auftragnehmer verpflichtet sich, Geheimnisse nicht ohne ausdrückliche Zustimmung des Auftraggebers an andere Personen als die Berechtigten Mitarbeiter mitzuteilen. Dies gilt auch dann, wenn diese andere Person ihrerseits einer vertraglichen oder gesetzlichen Verschwiegenheitspflicht unterliegt oder die vertraglich geschuldete Leistung des Dritten gegenüber dem Auftragnehmer Kenntnis der Geheimnisse erfordert. Eine etwaige allgemeine schriftliche Genehmigung im Sinne der Ziffer 4.4.1a) Satz 2 des AVVs findet insoweit keine Anwendung.
  2. Wird die Zustimmung des Auftraggebers erteilt, darf der Auftragnehmer Geheimnisse nur an weitere mitwirkende Personen weitergeben, wenn er diese zuvor in Textform entsprechend Ziffer 2.6 über eine Strafbarkeit nach § 203 Abs. 4 Satz 1 StGB belehrt hat.
  3. Der Auftragnehmer hat die weiteren eingesetzten Personen entsprechend Ziffer 2.2 in Textform zur Verschwiegenheit zu verpflichten. Er hat die weiteren eingesetzten Personen entsprechend Ziffer 2.4 dazu zu verpflichten, durch angemessene Maßnahmen sicherzustellen, dass diese sich von den Geheimnissen nur insoweit Kenntnis verschafft, als dies für die Erfüllung der Leistungen nach der Vereinbarung mit dem Auftragnehmer erforderlich ist.
  4. Der Auftragnehmer hat die weiteren mitwirkenden Personen ordnungsgemäß auszuwählen. Er wird die berechtigten Mitarbeiter und die weiteren mitwirkenden Personen ordnungsgemäß beaufsichtigen. Hat er Anhaltspunkte dafür, dass einzelne berechtigte Mitarbeiter und die weiteren mitwirkenden Personen ihren Verpflichtungen nicht ordnungsgemäß nachkommen, wird er diesen Anhaltspunkten nachgehen und, soweit erforderlich, diesen Personen den Zugang zu den Geheimnissen entziehen. Über solche Maßnahmen wird er den Auftraggeber in Textform informieren.
3. Kündigung

Der Auftraggeber kann den Hauptvertrag und den AVV jederzeit ohne Einhaltung einer Frist kündigen, wenn der Auftragnehmer, Berechtigte Mitarbeiter oder weitere vom Auftragnehmer eingesetzte Personen schwerwiegender gegen die Regelungen dieses Anhangs verstoßen. Ein Verstoß ist insbesondere als schwerwiegend anzusehen, wenn aufgrund zurechenbaren Verschuldens des Auftragnehmers Geheimnisse Unbefugten zur Kenntnis gelangen.

14_AVV (Vertragsanlage 4)_V.1.0.docx