AVV_Vorlage_HZI_de_2024_07.docx

Auftragsverarbeitungsvertrag (AV-Vertrag)

gemäß Artikel 28 Europäische Datenschutz-Grundverordnung (EU-DSGVO)

zwischen

Helmholtz Zentrum für Infektionsforschung GmbH

Inhoffenstr. 7

38124 Braunschweig

vertreten durch die Geschäftsführung

-Verantwortlicher im Sinne der EU-DSGVO,

nachstehend „Auftraggeber“ genannt-

und dem / der

Firma

Straße Hausnummer

PLZ Ort

vertreten durch den Vorstand / die Geschäftsführung / den Kanzler / den Dekan

• Auftragsverarbeiter im Sinne der EU-DSGVO,

nachstehend „Auftragnehmer“ genannt-

-gemeinsam nachstehend „Vertragsparteien“ genannt-

Präambel

[ ] Dieser Auftragsverarbeitungsvertrag (AV-Vertrag) konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der im Vertrag       vom       (im Folgenden Hauptvertrag genannt) beschriebenen Auftragsverarbeitung ergeben. Sämtliche in diesem AV-Vertrag beschriebenen Verpflichtungen finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen Mitarbeiterinnen und Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen bzw. kommen können.

[ ] Dieser Auftragsverarbeitungsvertrag (AV-Vertrag) definiert datenschutzrechtliche Verpflichtungen der Vertragsparteien. Sämtliche in diesem AV-Vertrag beschriebenen Verpflichtungen finden Anwendung auf alle Tätigkeiten, die mit der Auftragserfüllung in Zusammenhang stehen und bei denen Mitarbeiterinnen und Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen bzw. kommen können. Die §§ 669, 670 BGB finden keine Anwendung.

§ 1 Definitionen

Es gelten die Begriffsbestimmungen entsprechend Art. 4 EU-DSGVO, § 2 BDSG, § 2 UWG, § 2 TDDDG und § 2 TMG. Sollten in den Artikeln bzw. Paragraphen sich widersprechende Darstellungen zu finden sein, gelten die Definitionen in der Rangfolge EU-DSGVO, BDSG, UWG, TDDDGG und TMG. Weiterhin gelten folgende Begriffsbestimmungen:

1. Verarbeitung

Jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

1. Unterauftragnehmer

Eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Auftragnehmers verarbeitet und diese Verarbeitung die Erbringung der in diesem AV-Vertrag benannten Leistungen betrifft.

1. Verarbeitung im Auftrag

Verarbeitung im Auftrag ist die Verarbeitung personenbezogener Daten durch einen Auftragnehmer im Auftrag des Auftraggebers.

1. Weisung

Die auf eine bestimmte Verarbeitung personenbezogener Daten des Auftragnehmers mit personenbezogenen Daten gerichtete schriftliche Anordnung des Auftraggebers. Die Weisungen werden anfänglich ggf. durch einen Hauptvertrag festgelegt, in diesem AV-Vertrag präzisiert und können vom Auftraggeber danach in schriftlicher Form durch einzelne Weisungen ergänzt werden (Einzelweisung).

§ 2 Gegenstand des Auftrags

1. Gegenstand der Auftragsverarbeitung ist die Erbringung folgende Leistungen durch den Auftragnehmer

Auftragsdetails: Aufzählung und Beschreibung der vom Auftragnehmer zu erbringenden Leistungen;

Konkretisierung dieser Leistungen und Bezug zum Hauptvertrag

Der Auftragnehmer ist verpflichtet, keine Verfahren durchzuführen (Vernetzen, Vergleichen, Verarbeiten), mit denen sich die Identität einer betroffenen Person ableiten ließe. Falls der Auftragnehmer versehentlich eine betroffene Person identifiziert, ist der Auftraggeber davon unter ausreichend detaillierter Angabe der Umstände, die dazu führten, unverzüglich zu unterrichten. Nach Erhalt einer solchen Unterrichtung wird der Auftraggeber den Auftragnehmer über weitere Maßnahmen oder Unterlassungen informieren. Der Auftragnehmer ist verpflichtet, diese Anweisungen des Auftraggebers zu befolgen, damit die Rechte aus dem Datenschutz der betroffenen Person gesichert sind.

Der Auftragnehmer ist verpflichtet, die Identität einer betroffenen Person nicht gegenüber Dritten offen zu legen und nicht zu versuchen, Kontakt mit ihr aufzunehmen.

Der Auftragnehmer verpflichtet sich, keine Kopien bzw. Duplikate personenbezogener Daten von Betroffenen anzufertigen.

1. Folgende personenbezogener Daten werden durch den Auftragnehmer verarbeitet (im Folgenden einzeln oder gemeinsam „personenbezogene Daten“ genannt)

[ ] Personenstammdaten / Kontaktdaten

[ ] Pseudonyme

[ ] Kommunikationsdaten (z. B. IP-Adressen, Telefon, eMail)

[ ] Vertrags-, -anbahnungs- und -abrechnungsdaten, Buchungs- und Zahldaten

[ ] Planungs- und Steuerungsdaten

[ ] Daten aus denen die Leistung / Bewertung von Personen hervorgehen kann

[ ] besondere Kategorien von personenbezogenen Daten

[ ] Daten über die Gesundheit

[ ] Daten über Fragebögen

[ ] Daten aus Testungen

[ ] genetische Daten

[ ] Biomaterialproben

[ ] biometrische Daten

[ ] Bilddaten

[ ] Audiodaten über Ton- / Stimmenaufnahmen

[ ] Videodaten über Ton- und Bildaufnahmen

[ ] Daten über das Sexualleben

[ ] Daten über die sexuelle Orientierung

[ ] Daten über die rassische oder ethnische Herkunft

[ ] Daten über die religiöse Überzeugung

[ ] Daten über die weltanschauliche Überzeugung

[ ] Daten über die politische Meinung

[ ] Daten über die Gewerkschaftszugehörigkeit

sowie die in Absatz 1 genannten Arten personenbezogener Daten

[ ] andere:

1. Der Kreis der durch den Umgang mit ihren personenbezogenen Daten im Rahmen dieses Auftrags betroffener Personen umfasst

[ ] Beschäftigte des Auftraggebers

[ ] Beschäftigte eines Dritten

[ ] Interessenten

[ ] Probanden des Auftraggebers

[ ] andere:

1. Der Zugriff auf personenbezogene Daten erfolgt durch

[ ] Übersendung / Transfer durch den Auftraggeber

Beschreibung der Übersendung, Post, verschlüsselter Datenträger

[ ] Einsichtnahme / Abruf durch den Auftragnehmer

Beschreibung der Einsichtnahme in Studienakten, Software bei (Fern-) Wartung

[ ] Verarbeitung durch den Auftraggeber

Beschreibung der Verarbeitung, Auftragnehmer erhebt und verarbeitet personenbezogene Daten im Namen und Auftrag, z. B. Einschluss und Durchführung von Studien

§ 3 Verantwortlichkeit

1. Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenverarbeitung verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Nr. 7 EU-DSGVO).
2. Auftraggeber sowie Auftragnehmer gewährleisten, dass sich die an der auftragsgemäßen Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben. Dazu werden diese Personen
3. auf das Datengeheimnis verpflichtet und über ihre Datenschutzpflichten belehrt,
4. auf das Fernmeldegeheimnis entsprechend § 3 TDDDG (und ggf. nachfolgenden Gesetzen) verpflichtet und über die sich daraus ergebenden besonderen Geheimhaltungspflichten unterwiesen, sofern diese Auftragsverarbeitung Leistungen der (Fern-) Prüfung und Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen beinhaltet und
5. Dabei ist jede Partei für die Verpflichtung, Unterweisung und Belehrung der eigenen Beschäftigten zuständig.
6. Der Auftraggeber und der Auftragnehmer sind bzgl. der zu verarbeitenden Daten für die Einhaltung der jeweils für sie einschlägigen Datenschutzgesetze verantwortlich.

§ 4 Dauer des Auftrags

1. Der AV-Vertrag wird mit der Unterzeichnung wirksam.

[ ] Er wird zur einmaligen Ausführung erteilt und endet spätestens am      .

[ ] Er läuft auf unbestimmte Zeit. Jede Partei ist berechtigt, den Vertrag mit einer Frist von       Wochen zum Quartalsende zu kündigen.

[ ] Seine Laufzeit richtet sich nach der des Hauptvertrags.

[ ] Er endet am      .

1. Das Recht zur fristlosen Kündigung aus wichtigem Grund bleibt unberührt.
2. Kündigungen bedürfen zu ihrer Wirksamkeit der Schriftform.

§ 5 Weisungsbefugnis des Auftraggebers

1. Der Umgang und die Verarbeitung mit den personenbezogenen Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Auftraggebers. Ausgenommen hiervon sind Sachverhalte, in denen dem Auftragnehmer eine Verarbeitung aus zwingenden rechtlichen Gründen auferlegt wird. Der Auftragnehmer unterrichtet soweit ihm möglich in derartigen Situationen den Auftraggeber vor Beginn der Verarbeitung über die entsprechenden rechtlichen Anforderungen. Der Auftraggeber behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, welches er durch Einzelweisungen konkretisieren kann.
2. Änderungen des § 2 Absatz 1, die diese weiter konkretisieren, sie jedoch nicht maßgeblich modifizieren, sind von der Weisungsbefugnis des Auftraggebers gedeckt und entsprechend zu dokumentieren. Bei einer wesentlichen Änderung des Auftrags steht dem Auftragnehmer ein Widerspruchsrecht zu. Besteht der Auftraggeber trotz des Widerspruchs des Auftragnehmers auf der Änderung, steht dem Auftragnehmer ein ordentliches Kündigungsrecht bezüglich des von der Weisung betroffenen AV-Vertrages sowie der von der AV-Vereinbarung betroffenen Bestandteile des entsprechenden Hauptvertrages zu. Verweigert der Auftragnehmer, die Änderung durchzuführen, steht auch dem Auftraggeber ein ordentliches Kündigungsrecht zu. Erfolgt eine Kündigung, so ist für die restliche Vertragslaufzeit weiterhin die vertraglich vereinbarte Leistung durch den Auftragnehmer zu erbringen.
3. Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder per eMail (in Textform) bestätigen.
4. Die weisungsberechtigten Personen auf Seiten des Verantwortlichen sowie die zum Empfang der Weisungen berechtigten Personen auf Seiten des Auftragsverarbeiters sind in Anlage 3 festgelegt.

§ 6 Leistungsort

1. Der Auftragnehmer wird die vertraglichen Leistungen

[ ] in der Europäischen Union (EU),

[ ] im Europäischen Wirtschaftsraum (EWR),

[ ] in einem Drittland / Drittstaat und/oder

[ ] an den vereinbarten Leistungsstandorten oder

[ ] ausschließlich innerhalb der Verfügungsgewalt des Auftraggebers oder ausschließlich dem Beschlagnahmeschutz unterliegend

erbringen, die zum Zeitpunkt der Beauftragung in Anhang 1 dargestellt sind.

1. Erfolgt eine Leistungserbringung durch den Auftragnehmer und/oder durch einen Unterauftragnehmer in einem Drittland, garantiert der Auftragnehmer die Einhaltung der diesbezüglichen Vorgaben der EU-DSGVO, insbesondere die Art. 45 Abs. 3 und Art. 46 EU-DSGVO, und weist dies auf Verlangen nach.
2. Bei einer Verlagerung des Ortes der Leistungserbringung in Länder, die Mitglied der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) sind und über ein diesem Vertrag genügendes und verifiziertes Datenschutzniveau verfügen, wird der Auftraggeber schriftlich informiert.
3. Bei einer Verlagerung des Ortes der Leistungserbringung in ein Drittland wird der Auftragnehmer zuvor die schriftliche Zustimmung durch den Auftraggeber einholen.

§ 7 Pflichten des Auftragnehmers

1. Der Auftragnehmer darf personenbezogene Daten nur im Rahmen des Auftrages und der Weisungen des Auftraggebers verarbeiten. Er verarbeitet diese Daten für keine anderen Zwecke als die der Vertragserfüllung und setzt auch keine Mittel zur Verarbeitung ein, die nicht vom Auftraggeber zuvor genehmigt wurden.
2. Sofern der Auftragnehmer durch das Recht der Union oder Mitgliedstaaten verpflichtet ist, die Daten auch auf andere Weise zu verarbeiten, so teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit.
3. Personenbezogene Daten, Ergebnisse der Beauftragung (z. B. Analysedaten) Datenträger sowie sämtliche hiervon gefertigten Kopien oder Reproduktionen verbleiben im alleinigen Eigentum des Auftraggebers.
4. Der Auftragnehmer ist verpflichtet, dem Auftraggeber jederzeit Auskünfte zu erteilen, soweit die personenbezogenen Daten, Datenträger und Unterlagen betroffen sind.
5. Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er wird technische und organisatorische Maßnahmen zur angemessenen Sicherung der personenbezogenen Daten des Auftraggebers vor Missbrauch und Verlust treffen, die den Anforderungen der entsprechenden datenschutzrechtlichen Bestimmungen entsprechen; diese Maßnahmen muss der Auftragnehmer auf Anfrage dem Auftraggeber und ggfs. Aufsichtsbehörden gegenüber nachweisen. Dieser Nachweis beinhaltet insbesondere die Umsetzung der aus Art. 24, 25 und 32 EU-DSGVO resultierenden Maßnahmen. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative, nachweislich adäquate Maßnahmen umzusetzen. Dabei muss sichergestellt sein, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren. Eine Darstellung dieser technischen und organisatorischen Maßnahmen erfolgt in Anlage 2 zu diesem Vertrag.
6. Der Auftragnehmer selbst führt für die Verarbeitung ein Verzeichnis der bei ihm stattfindenden Verarbeitungstätigkeiten im Sinne des Art. 30 EU-DSGVO. Er stellt auf Anforderung dem Auftraggeber die für die Übersicht nach Art. 30 EU-DSGVO notwendigen Angaben zur Verfügung. Des Weiteren stellt er das Verzeichnis auf Anfrage der Aufsichtsbehörde zur Verfügung.
7. Der Auftragnehmer unterstützt den Auftraggeber bei der Datenschutzfolgenabschätzung nach Art. 35 EU-DSGVO mit allen ihm zur Verfügung stehenden Informationen. Im Falle der Notwendigkeit einer vorherigen Konsultation nach Art. 36 EU-DSGVO der zuständigen Aufsichtsbehörde unterstützt der Auftragnehmer den Auftraggeber hierbei.
8. Als Datenschutzbeauftragter beim Auftragnehmer nach Art. 37 EU-DSGVO ist derzeit

Name

Auftragnehmer/in

Organisationseinheit - Funktion

Anschrift

Anschrift

Telefon:

Email:

benannt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich schriftlich mitzuteilen. Der Auftragnehmer gewährleistet, dass die Anforderungen an ihn bzgl. der Stellung des Datenschutzbeauftragten und seiner Tätigkeit gemäß Art. 38 EU-DSGVO erfüllt werden. Sofern kein Datenschutzbeauftragter beim Auftragnehmer benannt ist, benennt der Auftragnehmer dem Auftraggeber einen Ansprechpartner.

1. Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich bei Verstößen des Auftragnehmers oder der bei ihm im Rahmen des Auftrags beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder der im Vertrag getroffenen Festlegungen. Er trifft die erforderlichen Maßnahmen zur Sicherung der personenbezogenen Daten und zur Minderung möglicher nachteiliger Folgen für die Rechte und Freiheiten der betroffenen Person und spricht sich hierzu unverzüglich mit dem Auftraggeber ab. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Informationspflichten gegenüber der jeweils zuständigen Aufsichtsbehörde bzw. den von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person nach Art. 33, 34 EU-DSGVO.
2. Soweit sich eine betroffene Person unmittelbar an den Auftragnehmer wegen seiner Betroffenenrechte wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
3. Ist der Auftraggeber aufgrund geltender Datenschutzgesetze gegenüber einer betroffenen Person verpflichtet, Auskünfte zur Verarbeitung von Daten dieser Person zu geben, wird der Auftragnehmer den Auftraggeber dabei unterstützen, diese Informationen bereitzustellen, vorausgesetzt der Auftraggeber hat den Auftragnehmer hierzu schriftlich aufgefordert.
4. Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen, Maßnahmen und Ermittlungen durch die Aufsichtsbehörden oder andere Ermittlungsbehörden.
5. Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
6. Die Erfüllung der vorgenannten Pflichten ist vom Auftragnehmer zu kontrollieren, zu dokumentieren und in geeigneter Weise gegenüber dem Auftraggeber nachzuweisen.
7. Für die Durchführung von Fernzugriffen bei der Prüfung und/oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen oder bei Fernzugriffen für andere Dienstleistungen gelten ergänzend folgende Pflichten des Auftragnehmers:
8. Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten an Arbeitsplatzsystemen werden erst nach Freigabe durch den Auftraggeber durchgeführt.
9. Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten von automatisierten Verfahren oder von Datenverarbeitungsanlagen werden, sofern hierbei ein Zugriff auf personenbezogene Daten nicht sicher ausgeschlossen werden kann, ausschließlich mit Zustimmung des Auftraggebers ausgeführt.
10. Der Auftragnehmer verwendet angemessene Identifizierungs- und Verschlüsselungsverfahren.
11. Fernzugriffe im Rahmen von Prüfungs- und/oder Wartungsarbeiten werden vom Auftragnehmer dokumentiert und protokolliert. Der Auftraggeber ist berechtigt, Prüfungs- und Wartungsarbeiten vor, bei und nach Durchführung zu kontrollieren. Bei Fernzugriffen ist der Auftraggeber - soweit technisch möglich - berechtigt, diese von einem Kontrollbildschirm aus zu verfolgen und jederzeit abzubrechen.
12. Der Auftragnehmer wird von den ihm eingeräumten Zugriffsrechten auf automatisierte Verfahren oder von Datenverarbeitungsanlagen (insb. IT-Systeme, Anwendungen) des Auftraggebers nur in dem Umfang - auch in zeitlicher Hinsicht - Gebrauch machen, wie dies für die ordnungsgemäße Durchführung der beauftragten Wartungs- und Prüfungsarbeiten notwendig ist.
13. Soweit bei der Leistungserbringung Tätigkeiten zur Fehleranalyse erforderlich sind, bei denen eine Kenntnisnahme (z. B. auch lesender Zugriff) oder ein Zugriff auf Wirkdaten (Produktions-/Echtdaten) des Auftraggebers notwendig ist, wird der Auftragnehmer zuvor die schriftliche Zustimmung des Auftraggebers einholen.
14. Tätigkeiten zur Fehleranalyse, bei denen ein Datenabzug (Übermittlung einer Kopie) der Wirkbetriebsdaten erforderlich ist, bedürfen der vorherigen schriftlichen Zustimmung des Auftraggebers. Bei Datenabzug der Wirkbetriebsdaten wird der Auftragnehmer diese Kopien, unabhängig vom verwendeten Medium, nach Bereinigung des Fehlers löschen. Wirkdaten dürfen nur zum Zweck der Fehleranalyse und ausschließlich auf dem bereitgestellten Equipment des Auftraggebers oder auf solchem des Auftragnehmers verarbeitet werden, sofern die vorherige schriftliche Zustimmung des Auftraggebers vorliegt. Wirkdaten dürfen nicht ohne vorherige Zustimmung des Auftraggebers auf mobilen Speichermedien (z.B. Notebooks, PDAs, USB-Speichersticks, CD, DVD oder ähnliche Geräte) verarbeitet werden.

§ 8 Pflichten des Auftraggebers

1. Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der betroffenen Person ist allein der Auftraggeber verantwortlich. Der Auftraggeber wird in seinem Verantwortungsbereich dafür Sorge tragen, dass die gesetzlich notwendigen Voraussetzungen (Rechtmäßigkeit der Verarbeitung) vorliegen, damit der Auftragnehmer die vereinbarten Leistungen rechtsverletzungsfrei erbringen kann.
2. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.
3. Dem Auftraggeber obliegen die aus Art. 33, 34 EU-DSGVO resultierenden Informationspflichten gegenüber der Aufsichtsbehörde bzw. den von einer Verletzung des Schutzes personenbezogener Daten einer betroffenen Person.
4. Als Datenschutzbeauftragter ist beim Auftraggeber nach Art. 37 EU-DSGVO derzeit

Harald Ohrdorf

Datenschutzbeauftragter

Inhoffenstr. 7

38124 Braunschweig

Telefon: 0531-6181-2050

Email: datenschutzbeauftragter@helmholtz-hzi.de

benannt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftragnehmer unverzüglich schriftlich mitzuteilen. Der Auftraggeber gewährleistet, dass die Anforderungen an ihn bzgl. der Stellung des Datenschutzbeauftragten und seiner Tätigkeit gemäß Art. 38 EU-DSGVO erfüllt werden.

1. Der Auftraggeber legt die Maßnahmen nach § 11 zur Beendigung des Auftrages durch Weisung fest.
2. Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln.

§ 9 Kontrollrechte des Auftraggebers

1. Die Durchführung der Auftragskontrolle mittels Prüfungen durch den Auftraggeber oder von ihm hierzu beauftragter Personen bzw. Institutionen im Hinblick auf die Vertragsausführung bzw. -erfüllung, insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags wird vom Auftragnehmer unterstützt. Insbesondere verpflichtet sich der Auftragnehmer, dem Auftraggeber auf schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte zu geben, die zur Durchführung einer Kontrolle erforderlich sind.
2. Der Auftraggeber hat das Recht zum Zweck der Auftragskontrolle vom Auftragnehmer hinreichende Garantien einzufordern, wie z. B.
3. datenschutzspezifische Zertifizierungen oder Datenschutzsiegel/-prüfzeichen
4. schriftliche Selbstauskünfte des Auftragnehmers
5. Testate von Sachverständigen oder
6. durch persönlich oder einen sachkundigen Dritten stattfindende Kontrollen der vereinbarten Regelungen (nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs). Der sachkundige Dritte darf nicht in einem Wettbewerbsverhältnis zum Auftragnehmer stehen
7. Liegt ein Verstoß des Auftragnehmers oder der bei ihm im Rahmen des Auftrags beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder der im Vertrag getroffenen Festlegungen vor, so kann eine darauf bezogene Prüfung auch ohne rechtzeitige Anmeldung vorgenommen werden. Eine Störung des Betriebsablaufs beim Auftragnehmer sollte auch hierbei möglichst vermieden werden. Der Auftragnehmer wird seine Mitarbeiter anweisen, mit den Genannten zu kooperieren, insbesondere deren Fragen wahrheitsgemäß und vollständig zu beantworten. Die nach Gesetz bestehenden Verschwiegenheitspflichten und Zeugnis-verweigerungsrechte der Genannten bleiben davon unberührt.

§ 10 Löschung und Rückgabe

1. Überlassene Datenträger und Datensätze verbleiben im Eigentum des Verantwortlichen.
2. Nach Abschluss der vertraglichen Arbeiten oder früher nach Aufforderung durch den Auftraggeber, spätestens aber nach Beendigung der Leistungsvereinbarung, hat der Auftragnehmer
3. sämtliche im Rahmen des Auftrags in seinen Besitz gelangte oder angefertigte Unterlagen und/oder Datenträger,
4. erstellte Verarbeitungsergebnisse,
5. Datenbestände, insbesondere personenbezogene Daten, die im Zusammenhang mit dem Auftragsverhältnis stehen

dem Auftraggeber auszuhändigen oder auf Anweisung des Auftraggebers datenschutzkonform zu löschen bzw. zu vernichten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Gleiches gilt für alle Daten, die Betriebs- oder Geschäftsgeheimnisse des Auftraggebers beinhalten. Das Protokoll der Löschung bzw. Vernichtung ist vorzulegen.

1. Soweit ein Transport eines Speichermediums vor Löschung personenbezogener Daten unverzichtbar ist, wird der Auftragnehmer angemessene technische und organisatorische Maßnahmen zu dessen Schutz treffen.
2. In besonderen, vom Auftraggeber zu bestimmenden Fällen, erfolgt eine Aufbewahrung bzw. Übergabe.
3. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

§ 11 Unterauftragnehmer

1. Der Auftragnehmer nimmt keinen Unterauftragnehmer ohne vorherige explizite schriftliche oder allgemeine schriftliche Genehmigung des Auftraggebers in Anspruch. Dies gilt in gleicher Weise für den Fall, dass weitere Unterauftragsverhältnisse durch Unterauftragnehmer begründet werden. Der Auftragnehmer stellt sicher, dass eine entsprechende Genehmigung des Auftragsgebers für alle im Zusammenhang mit der vertragsgegenständlichen Verarbeitung eingesetzten weiteren Unterauftragnehmer vorliegt.
2. Die nachfolgenden Regelungen finden sowohl für den Unterauftragnehmer als auch für alle in der Folge eingesetzten weiteren Unterauftragnehmer entsprechende Anwendung.
3. Im Fall einer allgemeinen schriftlichen Genehmigung informiert der Auftragnehmer den Auftraggeber immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragnehmern, wodurch der Auftraggeber die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben. Verweigert der Auftraggeber durch seinen Einspruch die Zustimmung aus anderen als aus wichtigen Gründen, kann der Auftragnehmer diesen AV-Vertrag zum Zeitpunkt des geplanten Einsatzes des Unterauftragnehmers kündigen.
4. Der Auftraggeber ist damit einverstanden, dass der Auftragnehmer zur Erfüllung seiner vertraglich vereinbarten Leistungen verbundene Unternehmen des Auftragnehmers innerhalb einer Unternehmensgruppe zur Leistungserfüllung heranzieht. Hierbei muss jedoch jeder Unterauftragnehmer (verbundenes Unternehmen) vor Beauftragung dem Auftraggeber schriftlich angezeigt werden, sodass der Auftraggeber bei Vorliegen wichtiger Gründe die Beauftragung untersagen kann.
5. Zum Zeitpunkt des Abschlusses dieser Vereinbarung sind die in der Anlage 1 aufgeführten Unternehmen als Unterauftragnehmer für Teilleistungen für den Auftragnehmer tätig und verarbeiten in diesem Zusammenhang auch unmittelbar die personenbezogenen Daten des Auftraggebers. Für diese Unterauftragnehmer gilt die Genehmigung für das Tätigwerden als erteilt.
6. Der Auftragnehmer muss Unterauftragnehmer unter besonderer Berücksichtigung der Eignung hinsichtlich der Erfüllung der zwischen Auftraggeber und Auftragnehmer vereinbarten technischen und organisatorischen Maßnahmen gewissenhaft auswählen.
7. Ist der Auftragnehmer im Sinne dieser Vereinbarung befugt, die Dienste eines Unterauftragnehmers in Anspruch zu nehmen, um bestimmte Verarbeitungstätigkeiten des Auftraggebers auszuführen, so werden diesem Unterauftragnehmer im Wege eines Vertrags dieselben Pflichten auferlegt, die in diesem AV-Vertrag zwischen dem Auftraggeber und dem Auftragnehmer festgelegt sind, insbesondere hinsichtlich der Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit sowie den beschriebenen Kontroll- und Überprüfungsrechten des Auftraggebers. Hierbei müssen ferner hinreichend Garantien dafür vereinbart werden, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen der EU-DSGVO und diesem AV-Vertrag erfolgt.
8. Durch schriftliche Aufforderung ist der Auftraggeber berechtigt, vom Auftragnehmer Auskunft über die datenschutzrelevanten Verpflichtungen des Unterauftragnehmers zu erhalten, erforderlichenfalls auch durch Einsicht in die relevanten Vertragsunterlagen.
9. Ein zustimmungspflichtiges Unterauftragnehmer-Verhältnis liegt nicht vor, wenn der Auftragnehmer Dritte im Rahmen einer Nebenleistung zur Hauptleistung beauftragt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der personenbezogenen Daten des Auftraggebers auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen. Die Nebenleistungen sind vorab detailliert zu benennen.
10. Kommt der Unterauftragnehmer seinen Pflichten aus dem AV-Vertrag nach Abs. 7 nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für diese Pflichtverletzung des Unterauftragnehmers. Der Auftragsverarbeiter hat in diesem Falle auf Verlangen des Verantwort-lichen die Beschäftigung des Subunternehmens ganz oder teilweise zu beenden oder das Vertragsverhältnis mit dem Subunternehmen zu lösen, wenn und soweit dies nicht unverhält-nismäßig ist.

§ 12 Zurückbehaltungsrecht

Die Einrede des Zurückbehaltungsrechts, gleich aus welchem Rechtsgrund, an personenbezogenen Daten sowie an Unterlagen, Datenträgern, Verarbeitungsergebnissen gem. § 11 Abs. 1 wird ausgeschlossen.

§ 13 Haftung

Auftraggeber und Auftragnehmer haften im Außenverhältnis nach Art. 82 Abs. 1 DSGVO für materielle und immaterielle Schäden, die eine Person wegen eines Verstoßes gegen die DSGVO erleidet.

Sind sowohl der Auftraggeber als auch der Auftragnehmer für einen solchen Schaden gemäß Art. 82 Abs. 2 DSGVO verantwortlich, haften die Parteien im Innenverhältnis für diesen Schaden entsprechend ihres Anteils an der Verantwortung. Nimmt eine Person in einem solchen Fall eine Partei ganz oder überwiegend auf Schadenersatz in Anspruch, so kann diese von der jeweils anderen Partei Freistellung oder Schadloshaltung verlangen, soweit dies ihrem Anteil an der Verantwortung entspricht.

§ 14 Schriftformklausel

Andere als die in diesem AV-Vertrag getroffenen Vereinbarungen bestehen nicht. Mündliche Nebenabreden sind nicht getroffen. Änderungen und Ergänzungen bedürfen der Schriftform. Dies gilt auch für die Schriftformklausel.

§ 15 Salvatorische Klausel

1. Sollten sich einzelne Bestimmungen dieses AV-Vertrages ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen der Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden, bleiben die übrigen Vertragsbestimmungen und die Wirksamkeit des AV-Vertrages im Ganzen hiervon unberührt.
2. Auftraggeber und Auftragnehmer verständigen sich im Falle einer unwirksamen oder undurchführbaren Bestimmung darüber, ob und wie diese durch eine rechtsgültige Bestimmung ersetzt werden kann, die der ungültigen oder undurchführbaren Bestimmung sowie dem ursprünglich Gewollten möglichst nahekommt. Die vorstehenden Bestimmungen gelten entsprechend für den Fall, dass sich der AV-Vertrag als lückenhaft erweist.
3. Existieren mehrere wirksame und durchführbare Bestimmungen, welche die unter Abs. 2 genannte unwirksame Bestimmung ersetzen können, so muss die Bestimmung gewählt werden, welche den Schutz der Rechte und Freiheiten natürlicher Personen am besten gewährleistet.

§ 16 Rechtswahl, Gerichtsstand

1. Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts.
2. Gerichtsstand ist der Sitz des Auftraggebers.

Anlagen

Anlage 1: Unterauftragsverhältnis beim Auftragnehmer zum Zeitpunkt der Auftragsvergabe

Anlage 2: Nachweis der allgemeinen technischen und organisatorischen Maßnahmen.

Anlage 3: Kontaktdaten des Weisungsberechtigten und der Weisungsempfänger

Unterschriften

Anlage 1 zum AV-Vertrag: Unterauftragsverhältnis beim Auftragnehmer zum Zeitpunkt der Auftragsvergabe

Anlage 2 zum AV-Vertrag: Nachweis der allgemeinen technischen und organisatorischen Maßnahmen

Nachstehende Punkte beschreiben beispielhaft den Mindestinhalt der technischen und organisatorischen Maßnahmen.

Vertraulichkeit

Zutrittskontrolle

Maßnahmen, damit Unbefugten der Zutritt zu den Datenverarbeitungsanlagen verwehrt wird, mit denen personenbezogene Daten verarbeitet werden. Als Maßnahmen zur Zutrittskontrolle können zur Gebäude- und Raumsicherung unter anderem automatische Zutrittskontrollsysteme, Einsatz von Chipkarten und Transponder, Kontrolle des Zutritts durch Pförtnerdienste und Alarmanlagen eingesetzt werden. Server, Telekommunikationsanlagen, Netzwerktechnik und ähnliche Anlagen sind in verschließbaren Serverschränken zu schützen. Darüber hinaus ist es sinnvoll, die Zutrittskontrolle auch durch organisatorische Maßnahmen (z.B. Dienstanweisung, die das Verschließen der Diensträume bei Abwesenheit vorsieht) zu stützen.

[ ] Es sind keine Maßnahmen zur Zutrittskontrolle erforderlich, weil      .

[ ] Es existieren keine Maßnahmen zur Zutrittskontrolle, weil      .

[ ] Es existieren folgende Maßnahmen zur Zutrittskontrolle:

Weitere Maßnahmen sind      .

Zugangskontrolle

Maßnahmen, die verhindern, dass Unbefugte die Datenverarbeitungsanlagen und -verfahren benutzen. Mit Zugangskontrolle ist die unbefugte Verhinderung der Nutzung von Anlagen gemeint. Möglichkeiten sind beispielsweise Bootpasswort, Benutzerkennung mit Passwort für Betriebssysteme und eingesetzte Softwareprodukte, Bildschirmschoner mit Passwort, der Einsatz von Chipkarten zur Anmeldung wie auch der Einsatz von CallBack-Verfahren. Darüber hinaus können auch organisatorische Maßnahmen notwendig sein, um beispielsweise eine unbefugte Einsichtnahme zu verhindern (z.B. Vorgaben zur Aufstellung von Bildschirmen, Herausgabe von Orientierungshilfen für die Anwender zur Wahl eines „guten“ Passworts).

[ ] Es sind keine Maßnahmen zur Zugangskontrolle erforderlich, weil      .

[ ] Es existieren keine Maßnahmen zur Zugangskontrolle, weil      .

[ ] Es existieren folgende Maßnahmen zur Zugangskontrolle:

Weitere Maßnahmen sind      .

Zugriffskontrolle

Maßnahmen, die gewährleisten, dass die zur Benutzung der Datenverarbeitungsverfahren Befugten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Die Zugriffskontrolle kann unter anderem gewährleistet werden durch geeignete Berechtigungskonzepte, die eine differenzierte Steuerung des Zugriffs auf Daten ermöglichen. Dabei gilt, sowohl eine Differenzierung auf den Inhalt der Daten vorzunehmen als auch auf die möglichen Zugriffsfunktionen auf die Daten. Weiterhin sind geeignete Kontrollmechanismen und Verantwortlichkeiten zu definieren, um die Vergabe und den Entzug der Berechtigungen zu dokumentieren und auf einem aktuellen Stand zu halten (z.B. bei Einstellung, Wechsel des Arbeitsplatzes, Beendigung des Arbeitsverhältnisses). Besondere Aufmerksamkeit ist immer auch auf die Rolle und Möglichkeiten der Administratoren zu richten.

[ ] Es sind keine Maßnahmen zur Zugriffskontrolle erforderlich, weil      .

[ ] Es existieren keine Maßnahmen zur Zugriffskontrolle, weil      .

[ ] Es existieren folgende Maßnahmen zur Zugriffskontrolle:

Weitere Maßnahmen sind      .

Trennungskontrolle

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Dieses kann beispielsweise durch logische und physikalische Trennung der Daten gewährleistet werden.

[ ] Es sind keine Maßnahmen zur Trennungskontrolle erforderlich, weil      .

[ ] Es existieren keine Maßnahmen zur Trennungskontrolle, weil      .

[ ] Es existieren folgende Maßnahmen zur Trennungskontrolle:

Weitere Maßnahmen sind      .

Pseudonymisierung

Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen.

[ ] Es sind keine Maßnahmen zur Pseudonymisierung erforderlich, weil      .

[ ] Es existieren keine Maßnahmen zur Pseudonymisierung, weil      .

[ ] Es existieren folgende Maßnahmen zur Pseudonymisierung:

Weitere Maßnahmen sind      .

Integrität

Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.

Zur Gewährleistung der Vertraulichkeit bei der elektronischen Datenübertragung können z.B. Verschlüsselungstechniken und Virtual Private Network eingesetzt werden. Maßnahmen beim Datenträgertransport bzw. Datenweitergabe sind Transportbehälter mit Schließvorrichtung und Regelungen für eine datenschutzgerechte Vernichtung von Datenträgern.

[ ] Es sind keine Maßnahmen zur Weitergabekontrolle erforderlich, weil      .

[ ] Es existieren keine Maßnahmen zur Weitergabekontrolle, weil      .

[ ] Es existieren folgende Maßnahmen zur Weitergabekontrolle:

Weitere Maßnahmen sind      .

Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in DV-Systeme eingegeben, verändert oder entfernt worden sind. Eingabekontrolle wird durch Protokollierungen erreicht, die auf verschiedenen Ebenen (z.B. Betriebssystem, Netzwerk, Firewall, Datenbank, Anwendung) stattfinden können. Dabei ist weiterhin zu klären, welche Daten protokolliert werden, wer Zugriff auf Protokolle hat, durch wen und bei welchem Anlass/Zeitpunkt diese kontrolliert werden, wie lange eine Aufbewahrung erforderlich ist und wann eine Löschung der Protokolle stattfindet

[ ] Es sind keine Maßnahmen zur Eingabekontrolle erforderlich, weil      .

[ ] Es existieren keine Maßnahmen zur Eingabekontrolle, weil      .

[ ] Es existieren folgende Maßnahmen zur Eingabekontrolle:

Weitere Maßnahmen sind      .

Verfügbarkeit und Belastbarkeit

Verfügbarkeitskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind: Hier geht es um Themen wie eine unterbrechungsfreie Stromversorgung, Klimaanlagen, Brandschutz, Datensicherungen, sichere Aufbewahrung von Datenträgern, Virenschutz, Raidsysteme, Plattenspiegelungen etc.

[ ] Es sind keine Maßnahmen zur Verfügbarkeitskontrolle erforderlich, weil      .

[ ] Es existieren keine Maßnahmen zur Verfügbarkeitskontrolle, weil      .

[ ] Es existieren folgende Maßnahmen zur Verfügbarkeitskontrolle:

Weitere Maßnahmen sind      .

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Datenschutzmanagement

[ ] Es sind keine Maßnahmen zum Datenschutzmanagement erforderlich, weil      .

[ ] Es existieren keine Maßnahmen zum Datenschutzmanagement, weil      .

[ ] Es existieren folgende Maßnahmen zum Datenschutzmanagement:

Weitere Maßnahmen sind      .

Datenschutzfreundliche Voreinstellungen

Privacy by Design / Default

[ ] Es sind keine Maßnahmen zu datenschutzfreundlichen Voreinstellungen Management erforderlich, weil      .

[ ] Es existieren keine Maßnahmen zu datenschutzfreundlichen Voreinstellungen Management, weil      .

[ ] Es existieren folgende Maßnahmen zu datenschutzfreundlichen Voreinstellungen Management:

Weitere Maßnahmen sind      .

Auftragskontrolle (Outsourcing an Dritte)

Die weisungsgemäße Auftragsverarbeitung ist zu gewährleisten. Unter diesen Punkt fällt neben der Datenverarbeitung im Auftrag auch die Durchführung von Wartung und Systembetreuungsarbeiten sowohl vor Ort als auch per Fernwartung. Sofern der Auftragnehmer Dienstleister im Sinne einer Auftragsverarbeitung einsetzt, sind die folgenden Punkte stets mit diesen zu regeln.

[ ] Es sind keine Maßnahmen zur Auftragskontrolle erforderlich, weil      .

[ ] Es existieren keine Maßnahmen zur Auftragskontrolle, weil      .

[ ] Es existieren folgende Maßnahmen zur Auftragskontrolle:

Weitere Maßnahmen sind      .

Anlage 3 zum AVV: Kontaktdaten des Weisungsberechtigten und der Weisungs-empfänger

Weisungsberechtigte und Weisungsempfänger