AVV_Ausschreibung_Arbeitsplatzdrucker.pdf

[Seite 1]

Anlage 4 (zum Vertrag zwischen der Landeshauptstadt München und *#wird nach Zuschlag ergänzt# vom *#wird nach Zuschlag ergänzt# (Datum des Zuschlags)

Vereinbarung (Auftrag) zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DS-GVO

Zwischen

der Landeshauptstadt München, IT-Referat, it@M, Geschäftsleitung, Agnes-Pockels-Bogen 33, 80992 München

• im Folgenden Auftraggeberin (AG) genannt -

und *#wird nach Zuschlag ergänzt#

… ... … ...

• im Folgenden Auftragnehmerin (AN) genannt -

wird folgende Vereinbarung zur Auftragsverarbeitung (im Folgenden „Vereinbarung“ genannt) geschlossen:

Präambel und Glossar

Die AG und die AN verstehen die in den folgenden Vereinbarungen verwendeten Abkürzungen und Begrifflichkeiten im Rahmen dieser Vereinbarungen einheitlich wie folgt:

DS-GVO Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenver- kehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)

1

[Seite 2]

BayDSG Bayerisches Datenschutzgesetz vom 15. Mai 2018 (GVBl. S. 230) BayRS 204-1-I

Verarbeitung Jeder mit oder ohne Hilfe automatisierter Ver- fahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personen- bezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Ver- knüpfung, die Einschränkung, das Löschen oder die Vernichtung (Art. 4 Ziffer 2 DS-GVO).

§ 1 Gegenstand und Dauer der Vereinbarung / Laufzeit der Vereinbarung / Ansprechpersonen der AG / Form der Kommunikation

I. (1) Diese Vereinbarung bezieht sich auf das mit Zuschlag vom … (Datum des Zuschlags) zustande gekommene Vertragsverhältnis zwischen der AG und der AN (Vertragsnummer der AG: …). (2) Gegenstand dieser Vereinbarung ist die Fixierung der Vorgaben zur Verarbeitung aller personenbezogenen Daten im Rahmen des Vertragsverhältnisses (Satz 1).

II. Soweit in dieser Vereinbarung von dem Vertragswerk bzw. Vertrag oder Vertragsverhältnis gesprochen wird, ist der Vertrag zwischen der AG und der AN gemeint, dessen Anlage diese Vereinbarung ist (§ 1 Absatz 1 Satz 1 dieser Vereinbarung).

III. Die AG und die AN sind sich darüber einig, dass es sich bei den unter § 2 Absatz 2 dieser Verein- barung genannten Daten um personenbezogene Daten im Sinne der einschlägigen datenschutz- rechtlichen Bestimmungen handelt.

IV. (1) Die Laufzeit dieser Vereinbarung korrespondiert mit der Laufzeit des Vertragswerkes. (2) Soweit nach dem Vertragswerk oder dieser Vereinbarung abweichende Regelungen für Teilaspekte (z.B. Geheimhaltung) getroffen werden, gehen diese Regelungen der Regelung in Satz 1 vor.

V. (1) Die AG benennt als Hauptansprechperson für diese Vereinbarung:

Datenschutzbeauftragter von it@M aktuell Herr Frank Richter 089-233-782125 / 01525-66-52061 Agnes-Pockels-Bogen 21 80992 München

und als weitere Ansprechpersonen für die Vereinbarung dessen Stellvertreterin als Datenschutzbeauftragter von it@M (unter der gleichen Anschrift) aktuell:

Frau Anja Reisinger (089-233-782126) Frau Vanessa Bauer (01525-79-82239) Frau Miriam Zimmermann (01522-29-55224).

2

[Seite 3]

(2) Soweit es bzgl. der Hauptansprechperson oder den weiteren Ansprechpersonen (zusammenge- fasst als Ansprechpersonen der AG bezeichnet) der AG zu personellen Veränderungen kommen sollte, wird die jeweils letztbenannte Hauptansprechperson der AG die letztbenannte Hauptan- sprechperson der AN hierüber unverzüglich informieren. (3) Jede der in Satz 1 genannten Personen ist für die AN im Rahmen dieser Vereinbarung vollwertige Ansprechperson. (4) Die in Satz 1 benann- ten Ansprechpersonen sind zur Vornahme aller Handlungen und Ausübung aller Rechte, insbeson- dere auch der Weisungs- und Kontrollrechte der AG gegenüber der AN im Rahmen dieser Vereinba- rung berechtigt, soweit es sich nicht um eine Vertragsänderung im Sinne des § 13 dieser Vereinba- rung handelt oder im Rahmen dieser Vereinbarung ausdrücklich auf die Hauptansprechperson der AG verwiesen wird.

VI. (1) Die Kommunikation im Zusammenhang mit dieser Vereinbarung ist ausschließlich schriftlich zu führen. (2) Als Kontaktadresse bei der AG ist die Büroanschrift der Ansprechpersonen der AG zu ver- wenden. (3) Der Schriftverkehr ist als vertraulich zu kennzeichnen. (4) Die Ansprechpersonen der AG können anderweitige Kommunikationsmöglichkeiten und Kontaktadressen gegenüber der AN für zulässig erklären.

VII. (1) Diese Vereinbarung besteht aus diesem Dokument (Seite 1 – 10). (2) Soweit in dieser Vereinba- rung keine Regelungen zu einer Thematik getroffen werden, gelten diejenigen des übrigen Ver- tragswerkes (§ 1 Absatz 1 Satz 1 dieser Vereinbarung).

VIII. (1) Die AN unterwirft sich hinsichtlich der von dieser Vereinbarung betroffenen Vorgängen densel- ben datenschutzrechtlichen Anforderungen, die für die AG gelten und damit auch der Kontrolle durch den Bayerischen Landesbeauftragten für den Datenschutz. (2) Die AN hat demnach insbeson- dere die Vorgaben der DS-GVO und des BayDSG zu beachten.

§ 2 Art und Umfang der Auftragsverarbeitung / betroffene personenbezogene Daten / Kreis der Betroffe- nen

I. Im Rahmen dieses Vertragsverhältnisses findet eine Auftragsverarbeitung in folgenden Situationen statt:

II. Folgende Datenarten sind Gegenstand der Auftragsverarbeitung:

3

[Seite 4]

III. Sind besonders schützenswerte personenbezogene Daten von der Auftragsverarbeitung betroffen?

IV. Der Kreis der durch den Umgang mit den personenbezogenen Daten im Rahmen des Vertragswer- kes und dieser Vereinbarung betroffenen Personen umfasst folgende Personenkategorien:

§ 3 Rechte und Pflichten der AG

I. (1) Die AG bleibt unabhängig von der Regelung des § 11 Absatz 3 dieser Vereinbarung gegenüber Dritten für die Einhaltung der datenschutzrechtlichen Vorschriften im Rahmen des Vertragsverhält- nisses und dieser Vereinbarung allein verantwortlich (Artikel 5 Absatz 2 und 24 DS-GVO). (2) Die AG wird von der AN bei der Einhaltung der datenschutzrechtlichen Anforderungen auf schriftliches Ver- langen unterstützt. (3) Dies gilt insbesondere für die Einhaltung der in Artikel 32 bis 36 DS-GVO ge- nannten Pflicht zur Sicherheit personenbezogener Daten, für Meldepflichten bei Datenpannen und bei Datenschutz-Folgeabschätzungen.

II. (1) Die AG informiert die AN unverzüglich, wenn sie Fehler oder Unregelmäßigkeiten bei der Prüfung

4

[Seite 5]

der Auftragsergebnisse feststellt und regelt im Wege ihres Weisungsrechts (§ 5 dieser Vereinba- rung) das weitere Vorgehen. (2) Im Fall einer Inanspruchnahme der AN durch eine betroffene Person nach Artikel 82 DS-GVO verpflichtet sich die AG, die AN bei der Abwehr der Ansprüche zu unterstüt- zen.

III. Die AG räumt der AN keinerlei Nutzungsrechte an urheberrechtlich oder durch sonstige gewerbli- che Schutzrechte geschützten Daten bzgl. der vertragsgegenständlichen personenbezogenen Daten oder sonstigen von der AG stammenden Informationen ein.

§ 4 Pflichten der AN

I. Die AN darf personenbezogene Daten nur im Rahmen der im Vertragswerk festgelegten Rahmenbe- dingungen und der darüber hinaus erteilten Weisungen der AG (§ 5 dieser Vereinbarung) verarbei- ten, soweit nicht ein Ausnahmefall im Sinne des Artikel 28 Absatz 3 Satz 2 lit. a DS-GVO vorliegt oder die AN in sonstiger Weise gesetzlich zur Verarbeitung verpflichtet ist.

II. (1) Die AN sichert zu, dass die Verarbeitung der personenbezogenen Daten ausschließlich mittels von der AN gemanagten und durch sie zu Verfügung gestellten vertrauenswürdigen IT-Systemen erfolgen wird (kein „bring your own device“). (2) Weiter sichert die AN die Einhaltung aller weiteren in dieser Vereinbarung getroffenen technischen und organisatorischen Maßnahmen, insbesondere der Vorgaben in § 4 Absatz 10 Satz 2 und 3, ausdrücklich zu.

III. (1) Die AN benennt unverzüglich nach Vertragsschluss gegenüber der Hauptansprechperson der AG eine Hauptansprechperson und (soweit gewünscht) eine oder mehrere weitere Ansprechper- son/en. (2) Die AG darf darauf vertrauen, dass der bzw. den von der AN benannten Personen die gleichen Befugnisse auf Seiten der AN zustehen, wie sie in § 1 Absatz 5 dieser Vereinbarung für die Ansprechpersonen der AG geregelt sind.

IV. (1) Die AN bestellt – soweit dies gesetzlich vorgeschrieben ist – einen Datenschutzbeauftragten (ex- tern oder betrieblich), der seine Tätigkeit nach den jeweils einschlägigen datenschutzrechtlichen Vorgaben, insbesondere gemäß Artikel 38 und 39 DS-GVO, ausüben kann. (2) Die Kontaktdaten des Datenschutzbeauftragten der AN sind der Hauptansprechperson der AG zur Ermöglichung einer direkten Kontaktaufnahme nach Abschluss dieser Vereinbarung unverzüglich zu übermitteln.

V. (1) Die AN verpflichtet sich zur Wahrung des Datengeheimnisses. (2) Weiter wird die AN alle Beschäf- tigten, die bei der Verarbeitung von personenbezogenen Daten im Sinne dieser Vereinbarung tätig sind oder von diesen Daten unter Umständen Kenntnis nehmen könnten, auf das Datengeheimnis verpflichten. (3) Die Verpflichtung der Beschäftigten hat schriftlich zu erfolgen.

VI. (1) Die AN versichert, dass ihr die maßgeblichen datenschutzrechtlichen Vorschriften bekannt sind. (2) Weiter sichert die AN zu, dass sie alle bei der Vertragsabwicklung beteiligten Beschäftigten recht- zeitig mit den für sie maßgeblichen Vorschriften vertraut gemacht hat. (3) Die AN ist zur ständigen Überwachung der Einhaltung der datenschutzrechtlichen Vorschriften verpflichtet.

VII. Die AN erteilt Auskünfte über personenbezogene Daten, welche sie im Rahmen des Vertragsver- hältnisses und dieser Vereinbarung verarbeitet, erst nach vorheriger Zustimmung durch eine An- sprechperson der AG.

VIII. Die AN wird personenbezogene Daten, die im Rahmen des Vertragsverhältnisses und dieser Verein- barung von der AN verarbeitet werden, auf und gemäß der Weisung der AG unverzüglich berichti- gen, sperren oder löschen.

5

[Seite 6]

IX. (1) Die Verarbeitung der personenbezogenen Daten durch die AN im Rahmen dieser Vereinbarung findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Euro- päischen Union oder des Europäischen Wirtschaftsraums (EWR) statt. (2) Jede Verlagerung in ein Drittland bedarf der vorherigen schriftlichen Zustimmung durch eine Ansprechperson der AG, die nur erteilt werden kann, wenn die Voraussetzungen der Artikel 44 ff. DS-GVO vorliegen.

X. (1) Die Verarbeitung der personenbezogenen Daten im Rahmen des Vertragswerkes und dieser Ver- einbarung soll grundsätzlich an der/den Betriebsstätte/n der AG stattfinden. (2) Die Verarbeitung von personenbezogenen Daten in Privatwohnungen von Beschäftigten der AN ist der AG vorab un- ter detaillierter Darlegung der diesbezüglich getroffenen technischen und organisatorischen Maß- nahmen anzuzeigen. (3) Teil der vorgenannten Maßnahmen muss zwingend die vertragliche Absi- cherung des Zugangs der AN für datenschutzrechtliche Kontrollzwecke zu den Privatwohnungen der Beschäftigten der AN sein. (4) Die AG kann der Verarbeitung in Privatwohnungen jederzeit wi- dersprechen.

XI. Für die Sicherheit der personenbezogenen Daten erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren, welche die AN zur Umsetzung der Vorga- ben dieser Vereinbarung ergreift, sind mit einer Ansprechperson der AG abzustimmen.

XII. Die AN verpflichtet sich, hinreichende Maßnahmen zur Katastrophenvorsorge zu treffen.

XIII. Soweit die AG einer Kontrolle durch Aufsichtsbehörden, einem Ordnungswidrigkeits- oder Strafver- fahren, einem Haftungs- oder Auskunftsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung bei der AN ausgesetzt ist, hat die AN sie nach besten Kräften zu unterstützen. (2) Die AN hat der AG alle erforderlichen An- gaben und Dokumente auf Anfrage offenzulegen.

XIV. Die AN führt ein Verzeichnis im Sinne des Artikel 30 Absatz 2 DS-GVO und unterstützt die AG auf Anfrage bei der Erstellung und der Aktualisierung des Verzeichnisses von Verarbeitungstätigkeiten der AG.

§ 5 Weisungsbefugnis der AG

I. (1) Die AN ist verpflichtet, allen zur Verarbeitung von personenbezogenen Daten im Rahmen des Vertragsverhältnisses und dieser Vereinbarung erteilten Weisungen der AG Folge zu leisten und diese unverzüglich umzusetzen. (2) Die Regelung des § 5 Absatz 3 dieser Vereinbarung geht vor.

II. (1) Weisungen im Sinne dieser Vereinbarung darf jede Ansprechperson der AG erteilen. (2) Die An- sprechpersonen der AG können gegenüber der AN jederzeit weitere weisungsberechtigte Personen benennen. (3) Die AN darf bis zu einer gegenteiligen Information durch die Ansprechpersonen der AG darauf vertrauen, dass die weiteren benannten Personen tatsächlich weisungsbefugt sind. (4) Den so ernannten Personen steht das Recht zur Benennung weiterer weisungsberechtigter Per- sonen nicht zu.

III. Soweit die AN der Ansicht ist, dass eine Weisung gegen gesetzliche Vorschriften verstößt, so ist sie berechtigt, die Umsetzung der Weisung bis zur schriftlichen Entscheidung einer weisungsbefugten Person der AG auszusetzen.

§ 6 Kontrollrechte der AG

I. (1) Die AN erklärt sich damit einverstanden, dass der AG das jederzeitige Recht zur Durchführung

6

[Seite 7]

von datenschutzrechtlichen Kontrollhandlungen zusteht. (2) Die Ansprechpersonen der AG können sich zur Durchführung der Kontrollmaßnahmen weiterer (auch externer) Personen bedienen. (3) Der AN wird mit der Ankündigung der Kontrollmaßnahmen durch eine der Ansprechpersonen der AG auch der Name der Person/-en mitgeteilt, welche die Kontrollmaßnahme federführend vornehmen wird/ werden. (4) Für den Fall, dass die AG beabsichtigt, ein externes Unternehmen mit der Vor- nahme einer Kontrollhandlung zu beauftragen, wird die AG darauf achten, dass sie kein Unterneh- men beauftragt, das mit der AN in einem Wettbewerbsverhältnis steht. (5) Sollte die AG ein entspre- chendes Wettbewerbsverhältnis im Ausnahmefall nicht erkennen, steht der AN das Recht zu, die Durchführung der Kontrollmaßnahme durch das von der AG beauftragte Unternehmen unter An- gabe einer detaillierten Begründung gegenüber der Hauptansprechperson der AG abzulehnen.

II. (1) Gegenstand der Kontrollhandlungen ist die Einhaltung der gesetzlichen Vorschriften zum Daten- schutz und der hierzu in dieser Vereinbarung geschlossenen Regelungen (insbesondere – aber nicht ausschließlich – der technischen und organisatorischen Maßnahmen). (2) Denkbare Kontrollhand- lungen sind beispielsweise die Einsichtnahme in das Datenschutz- und IT-Sicherheitskonzept der AN, die Einsichtnahme in bereits erfolgte Datenschutzaudits bzw. deren Beauftragung, die Einsicht- nahme in Prüfberichte und Zertifizierungen (Artikel 40 DS-GVO) der AN oder auch die Inaugen- scheinnahme vor Ort. (3) Die Inaugenscheinnahme vor Ort bei der AN erfolgt nur in Ausnahmefäl- len, wenn sich die AG ansonsten keinen hinreichenden Überblick verschaffen kann. (4) Die Entschei- dung darüber, ob eine entsprechende Situation im Sinne des Satzes 3 vorliegt, trifft ausschließlich die AG.

III. (1) Soweit sich die AG zu einer Inaugenscheinnahme vor Ort bei der AN entscheiden sollte, ist die AN verpflichtet, der AG den Zutritt zu den Arbeitsräumen und dem Serverraum/ Rechenzentrum – zu- mindest in Begleitung – zu ermöglichen. (2) Weiter wird die AN im Hinblick auf den unter Absatz 2 Satz 1 beschriebenen Kontrollgegenstand vollumfänglich Auskunft und Einblick in die für die AG er- hobenen, verarbeiteten und genutzten personenbezogenen Daten und die Datenverarbeitungspro- gramme gewähren. (3) Schließlich legt die AN nach Aufforderung auch einen Nachweis über die Ver- pflichtung ihrer Beschäftigten auf die Vertraulichkeit und weitere einschlägige Verpflichtungserklä- rungen vor. (4) Die Kontrollhandlungen finden in der Regel während der gewöhnlichen Geschäftszei- ten der AG statt (Mo - Do ca. zwischen 08.00 und 18.00 Uhr / Fr ca. zwischen 08.00 und 14.00 Uhr). (5) Die AG wird darauf achten, dass der Betriebsablauf der AN durch die Kontrollhandlungen so ge- ring wie möglich gestört wird.

IV. (1) Die AN ist zur Unterstützung der AG bei den Kontrollhandlungen verpflichtet und hat die Maß- nahmen zu dulden. (2) Soweit die AG Unterlagen bei ihr anfordert, hat sie diese der AG (Absatz 1 Satz 3) innerhalb von 10 Kalendertagen zu übermitteln, soweit die AG keine längere Frist vorgibt. (3) Soweit die AG die Inaugenscheinnahme vor Ort beabsichtigt, kündigt die AG (Absatz 1 Satz 3) dies der AN grundsätzlich mindestens 10 Kalendertage vorher an, es sei denn, dass der AG konkrete Anhaltspunkte für erhebliche Datenschutzverstöße bei der AN vorliegen. (4) Im letztgenannten Fall des Satzes 3 ist die Inaugenscheinnahme durch die AG unverzüglich, zumindest innerhalb von drei Kalendertagen, durch die AN zu ermöglichen. (5) Die Entscheidung darüber, ob eine entsprechende Situation im Sinne des Satzes 4 vorliegt, trifft ausschließlich die AG.

V. Für die Ermöglichung von Kontrollen durch die AG und die Unterstützung und Begleitung der AG dabei kann die AN keinen Vergütungsanspruch, keine Aufwandsentschädigung oder auch sonstigen Kostenbeitrag geltend machen.

§ 7 Mitteilungspflichten der AN

I. Die AN unterrichtet eine Ansprechperson der AG – unter Berücksichtigung der Verpflichtungen nach Artikel 33 und 34 DS-GVO – unverzüglich:

7

[Seite 8]

• und unabhängig davon, ob diese Aktivitäten im Zusammenhang mit der Auftragsverarbei- tung für die AG stehen, bei Kontrollhandlungen, Maßnahmen oder Ermittlungen des baye- rischen Landesbeauftragten für Datenschutz oder anderen Aufsichtsbehörden (Daten- schutz) bei ihr über den Umstand;

• und detailliert unter Benennung der Regelung, gegen die verstoßen wurde und der be- troffenen personenbezogenen Daten, wenn durch sie, eine bei der AN beschäftigte Person oder einen Unterauftragsverarbeiterin Verstöße gegen Vorschriften zum Schutz perso- nenbezogener Daten, die im Auftrag der AG verarbeitet wurden oder werden, oder gegen die in dieser Vereinbarung getroffenen Festlegungen verursacht wurden;

• wenn es unabhängig von der Verantwortlichkeit der AN zu schweren Betriebsstörungen bei der AN oder einereinem Unterauftragsverarbeiterin gekommen ist und nicht ausge- schlossen werden kann, dass Unbefugte Zugriff auf die personenbezogenen Daten erlangt haben könnten, die im Auftrag für die AG verarbeitet wurden oder werden;

• wenn unabhängig von der unmittelbaren Betroffenheit der Daten, die für die AG verarbei- tet werden, zu befürchten ist, dass Unbefugte im Verantwortungsbereich der AN oder ei- nereines Unterauftragsverarbeiterin Kenntnis von personenbezogenen Daten nehmen konnten;

• wenn die personenbezogenen Daten, die im Auftrag der AG verarbeitet werden, durch Maßnahmen von sonstigen Dritten, etwa durch Pfändungen, Beschlagnahme, Insolvenz- oder Vergleichsverfahren oder sonstige Ereignisse mittelbar betroffen sein könnten;

• wenn sie oder eine Unterauftragsverarbeiterin den Wechsel der Betriebsstätte beab- sichtigt.

II. (1) Die Information hat unverzüglich telefonisch an eine Ansprechperson der AG zu erfolgen. (2) Zu- sätzlich übermittelt die AN der Hauptansprechperson der AG zumindest nachträglich die Dokumen- tation des jeweiligen Vorgangs (wenn nicht Rechte Dritter entgegenstehen), wenn die Ansprechper- sonen der AG nicht im Rahmen des Weisungs- und Kontrollrechts andere oder weitergehende An- forderungen an die AN stellen.

III. Die AN hat in den Fällen des § 7 Absatz 1 dieser Vereinbarung das weitere Vorgehen im Rahmen des Vertrages mit einer Ansprechperson der AG abzustimmen und unverzüglich alle Maßnahmen einzuleiten, die erforderlich sind, um eine weitere Gefährdung aller personenbezogenen Daten aus- zuschließen.

§ 8 Aufbewahrungs-, Lösch- und Rückgabekonzept

I. (1) Die AN wird die von ihr im Rahmen des Vertragsverhältnisses und dieser Vereinbarung verarbeiteten personenbezogen Daten sorgsam und gemäß den Vorgaben dieser Vereinbarung aufbewahren. (2) Die AN bewahrt die personenbezogenen Daten nicht länger auf, als dies die AG bestimmt.

II. (1) Die AN wird ohne vorherige Zustimmung der AG keine Kopien oder Reproduktionen erstellen. (2) Ausgenommen hiervon sind die Erstellung von Sicherungsdateien und solchen Sicherungen, die für die Umsetzung der Vorgaben dieser Vereinbarung oder gesetzlichen Aufbewahrungspflichten zwingend erforderlich sind. (3) Überlassene Datenträger und sämtliche hiervon gefertigte Kopien und Reproduktionen durch die AN verbleiben im Eigentum der AG.

8

[Seite 9]

III. (1) Nicht mehr benötigte Unterlagen mit personenbezogenen Daten dürfen erst nach vorheriger Zustimmung der AG unter Berücksichtigung der einschlägigen Normen datenschutzgerecht vernichtet werden oder sind an die AG auf deren Verlangen auszuhändigen. (2) Gleiches gilt für die Löschung von personenbezogen Daten im Sinne dieser Vereinbarung auf Speichermedien der AN, sowie Ausschuss- und Testmaterial, welches personenbezogene Daten enthält.

IV. (1) Bei jeglicher Beendigung des Vertragsverhältnisses oder dieser Vereinbarung händigt die AN sämtliche in ihren Besitz gelangten Unterlagen und Speichermedien der AG und von ihr erstellte Verarbeitungs- und Nutzungsergebnisse, die im Zusammenhang mit der Auftragsverarbeitung stehen, der AG unverzüglich aus. (2) Die von der AN im Rahmen des Vertragswerkes und dieser Vereinbarung verarbeiteten personenbezogenen Daten sind ebenfalls der AG bei jeglicher Beendigung des Vertragsverhältnisses oder dieser Vereinbarung in geeigneter, von der AG zu bestimmender Form zu überlassen. (3) Anschließend sind alle personenbezogen Daten, welche der AN im Rahmen des Vertragsverhältnisses oder dieser Vereinbarung verarbeitet hat, überlassen oder von ihr erhoben wurden und sich auf Speichermedien befinden, unwiederbringlich und daten- schutzgerecht zu löschen. (4) Dies gilt auch für alle Archivierungs- und Sicherungsdateien. (5) Soweit die personenbezogenen Daten in sonstiger Form weiterhin bei der AN vorhanden sind, bietet sie diese der AG zur kostenlosen Überlassung an oder vernichtet diese nach Aufforderung durch die AG datenschutzgerecht. (6) Die Geltendmachung etwaiger Zurückbehaltungsrechte aus § 273 BGB oder sonstigen gesetzlichen oder vertraglichen Regelungen wird hiermit bzgl. der Daten und Datenträger der AG ausdrücklich ausgeschlossen.

V. (1) Die Löschung sämtlicher personenbezogener Daten ist von der AN zu dokumentieren. (2) Die Dokumentation muss zumindest Angaben zu Anzahl und Art der gelöschten Daten, das jeweils eingesetzte Löschverfahren und den Zeitpunkt der Löschung enthalten. (3) Die Dokumentation wird von der AN auf dem aktuellen Stand gehalten und der AG auf Verlangen unverzüglich die Einsichtnahme ermöglicht.

VI. (1) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung dienen, sind durch die AN entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. (2) Die AN kann diese Dokumentationen zu ihrer Entlastung bei Vertragsende der AG übergeben.

§ 9 Unterauftragsverhältnisse

I. Die Beauftragung von Unterauftragsverarbeiter*innen durch die AN ist nach Maßgabe der folgenden Absätze, insbesondere der vorherigen schriftlichen Zustimmung (Einwilligung) durch die AG (Absatz 2), grundsätzlich zulässig.

II. (1) Soweit die AN Teile der von ihr nach dem Vertragswerk geschuldeten Leistung durch Unterauf- tragsverarbeiterinnen erbringen lassen will und hierdurch der Regelungsgehalt dieser Verein- barung betroffen ist, darf die AN dieden Unterauftragsverarbeiterin nur nach ausdrücklicher vorheriger schriftlicher Zustimmung der AG hiermit beauftragen. (2) Hinsichtlich der im Vergabe- verfahren bereits benannten Unterauftragsverarbeiterinnen der AN wird die Zustimmung hiermit erteilt. (3) Jede Änderung (anderes Unternehmen oder anderer Aufgabenzuschnitt) hinsichtlich derjenigen Unterauftragsverarbeiterinnen, deren Beauftragung die AG nach Satz 1 und 2 bereits zugestimmt hat, unterliegt wiederum dem Zustimmungsvorbehalt nach Satz 1. (4) Soweit sich die AN nicht an die vorgenannten Vorgaben hält oder trotz noch nicht erteilter oder verweigerter Zustimmung einn Dritten einsetzt, ist die AG berechtigt, die Leistung der AN und derdes Dritten im betroffenen Bereich zu unterbinden und zurückzuweisen. (5) Insbesondere ist die AG in den im Satz 4 genannten Fällen nicht zur Bezahlung der betroffenen Leistungen verpflichtet.

9

[Seite 10]

III. (1) Wenn Unterauftragsverarbeiterinnen durch die AN nach der Zustimmung nach Absatz 2 eingeschaltet werden, hat die AN sicherzustellen, dass ihre Vereinbarung mit derdem Unterauftragsverarbeiterin so gestaltet ist, dass das Datenschutzniveau mindestens demjenigen der Vereinbarung zwischen der AG und der AN entspricht und der AG in der Vereinbarung unmittelbar die Kontroll- und Überprüfungsrechte (entsprechend § 6 dieser Vereinbarung) auch gegenüber derdem Unterauftragsverarbeiterin zustehen. (2) Weiter hat die AN im Verhältnis zu derdem Unterauftragsverarbeiterin sicherzustellen, dass die AN auf Anforderung der AG berechtigt ist, Auskunft über den wesentlichen Vertragsinhalt und die Umsetzung der datenschutz- relevanten Verpflichtungen derdes Unterauftragsverarbeiterin zu erteilen. (3) Schließlich hat die AN sicherzustellen, dass es derdem Unterauftragsverarbeiterin verboten ist, selbst weitere Unter-Unterauftragsverarbeiterinnen zu beauftragen. (4) Kommt dieder Unterauftrags- verarbeiterin den im Sinne dieses Absatzes begründeten Datenschutzpflichten nicht nach, haftet die AN gegenüber der AG insoweit (Artikel 28 Absatz 4 Satz 2 DS-GVO).

§ 10 Geheimhaltung / Vertragsstrafe / Haftung

I. (1) Die AN ist verpflichtet, die Informationen über alle personenbezogenen Daten im Sinne dieser Vereinbarung streng vertraulich zu behandeln, soweit die Offenlegung nicht vertraglich geschuldet ist. (2) Diese Verpflichtung gilt auch nach Beendigung des Vertragsverhältnisses und dieser Vereinbarung fort.

II. (1) Für jeden Fall der schuldhaften Zuwiderhandlung der AN gegen eine Regelung dieser Vereinbarung hat die AN der AG eine Vertragsstrafe zu zahlen, deren jeweilige Höhe die AG nach billigem Ermessen festsetzt und die im Streitfalle vom zuständigen Gericht überprüft werden kann. (2) Die Geltendmachung der Vertragsstrafe lässt die Geltendmachung weitergehender Ansprüche (z.B. auf Schadensersatz) unberührt. (3) Eine verwirkte Vertragsstrafe wird auf einen etwaigen Schadensersatzanspruch angerechnet. (4) Die verwirkte Vertragsstrafe stellt den Mindestbetrag des Schadens dar.

III. (1) Die AN und die AG haften für Schadensersatzansprüche Dritter gemäß der in Artikel 82 DS-GVO getroffenen Regelung. (2) Eine Haftungsbeschränkung zu Gunsten der AN gibt es im Anwendungsbereich dieser Vereinbarung zur Auftragsverarbeitung weder im Hinblick auf Schadensersatzansprüche noch auf Bußgelder.

§ 11 Sonderkündigungsrecht

Die AG ist berechtigt, den Vertrag und diese Vereinbarung jederzeit und ohne Einhaltung einer Frist zu kündigen/ beenden, wenn die AN schwerwiegend gegen eine Bestimmung dieser Vereinbarung verstößt, einer Weisung der AG unberechtigt nicht Folge leistet, Kontrollmaßnahmen im Sinne des § 6 dieser Vereinbarung verweigert oder die AN gegen die Regelung des § 4 Absatz 9 und 10 dieser Vereinbarung verstößt.

§ 12 Schlussbestimmungen

(1) Mündliche Nebenabreden zu dieser Vereinbarung wurden nicht getroffen. (2) Änderungen, Ergän- zungen und Zusätze dieser Vereinbarung außerhalb der Befugnisse der Ansprechpersonen der AG und der AN haben nur Gültigkeit, wenn sie zwischen AG und AN schriftlich vereinbart und auf Sei- ten der AG von derdem Referentin oder derdem Stadtdirektorin des IT-Referats unterzeichnet wurden. (3) Dies gilt auch für die Änderung der Regelungen des § 12 Absatz 1 Satz 1 und 2 dieser Vereinbarung selbst.

10