Besondere_Vertragsbedingungen.pdf

[Seite 1]

I. Besondere Vertragsbedingungen

§ 1 Vertragsdauer

Der Vertrag tritt mit Zuschlagserteilung in Kraft und endet, außer für die Nutzung der digitalen Matchingplattform, am 31.12.2027, ohne dass es einer Kündigung bedarf. Das Recht zur Kündigung aus wichtigem Grund bleibt unbenommen.

§ 2 Preise

Die Vergütung erfolgt für jeden Baustein als pauschaler Festpreis und richtet sich nach dem im Preisblatt angegebenen Angebot des Auftragnehmers.

§ 3 Rechnungslegung

1. Die jeweilige internen Vergabenummer des Auftraggebers ist auf den Rechnungen anzugeben.

2. Die Rechnungslegung hat nach Abschluss zu erfolgen. Der Auftragnehmer erstellt und versendet sämtliche Rechnungen im jeweils gültigen gesetzlich vorgeschriebenen Format. Wir verweisen in diesem Zusammenhang auf das BMF-Schreiben vom 15.10.2024 „Ausstellung von Rechnungen nach § 14 UStG; Einführung der obligatorischen elektronischen Rechnung bei Umsätzen zwischen inländischen Unternehmern ab dem 1. Januar 2025“; (GZ III C 2 - S 7287-a/23/10001 :007 DOK 2024/0883282); d.h. bis zum 31. Dezember 2026 kann die Rechnung auch in einem zulässigen Übergangsformat (PDF- Datei) an rechnungen@leipzig.ihk.de übermittelt werden.

Rechnungsanschrift:

Zentraler Rechnungseingang c/o IHK zu Leipzig Kommunikation, Veranstaltungen und Marketing Goerdelerring 5 04109 Leipzig

§ 4 Urheber-/Nutzungsrechte

Der Auftragnehmer darf übermittelte Text-, Grafik- und Bildmaterialien nur zur Erfüllung des Vertragszwecks verwenden. Die Urheber- und Nutzungsrechte verbleiben im Übrigen beim Auftraggeber.

An der dem Auftraggeber übergebenen Kreatividee erhält dieser das vollständige, ausschließliche, zeitlich, räumlich und inhaltlich nicht begrenzte Nutzungs- und Verwertungsrecht. Der Auftraggeber darf die Kreatividee selbst weiterverarbeiten und zu Marketing- und Kommunikationszwecken vervielfältigen und in jedem beliebigen Medium veröffentlichen.

Der Auftragnehmer versichert, dass er über die dem Auftraggeber gelieferte Kreatividee frei verfügen darf und dass sie frei von Rechten Dritter ist.

[Seite 2]

Sollte der Auftraggeber hinsichtlich abgenommenen Kreatividee wegen der Verletzung von Urheberrechten oder Persönlichkeitsrechten in Anspruch genommen werden, so sichert der Auftragnehmer die vollkommene Schadenfreistellung gegenüber dem Auftraggeber zu.

Der Auftragnehmer stellt den Auftraggeber auf erstes Anfordern von sämtlichen Ansprüchen Dritter frei, die diese aus etwaig bestehenden Urheber- und / oder verwandten Schutzrechten im Zusammenhang mit den von ihm erstellten Ergebnissen herleiten. Hierzu gehören auch die Kosten einer angemessenen Rechtsverteidigung des Auftraggebers gegenüber Dritten.

Der Auftragnehmer überlässt dem Auftraggeber für die Dauer von 2 Jahren das ausschließliche uneingeschränkte Nutzungsrecht für den weiteren Betrieb der digitalen Matching-Lösung über den ATL hinaus.

§ 5 Vertraulichkeit und Datenschutz

Die Vertragspartner sichern zu, die getroffenen Vereinbarungen streng vertraulich zu behandeln. Sie verpflichten sich, alle nicht offenkundigen, kaufmännischen Einzelheiten, die ihnen durch die Geschäftsbeziehung bekannt werden, als Geschäftsgeheimnisse zu behandeln.

Da der Auftragnehmer personenbezogene Daten für den AG verarbeitet, ist zwischen den Partnern ein Vertragsverhältnis geschlossen, das ein Auftragsverarbeitungsverhältnis i. S. des Art. 28 Datenschutzgrundverordnung (DSGVO) darstellt. Die Vertragspartner verpflichten sich, das Sächsische Datenschutzrecht, das Bundesdatenschutzgesetz und die Vorgaben der DSGVO zu beachten.

Die Einzelheiten regelt die unter II. aufgeführte „Vereinbarung über die Verarbeitung von Daten im Auftrag“.

§ 6 Ansprechpartner

Ansprechpartner des AG für die Durchführung des Vertrages ist:

Hauptverantwortlich: Dr. Gert Ziener Telefon: +49 341 1267-1300 E-Mail: gert.ziener@leipzig.ihk.de

§ 7 Sonstige Vertragsbedingungen

Es ist ausschließlich deutsches Recht anwendbar. Nicht ausschließlicher Gerichtsstand ist Leipzig.

Der Auftragnehmer haftet im Übrigen entsprechend den gesetzlichen Vorschriften.

Mündliche Nebenabreden sind nicht getroffen. Ergänzungen und Änderungen dieses Vertrages bedürfen zu ihrer Wirksamkeit der Schriftform.

Sollten einzelne Bestimmungen dieses Vertrages ganz oder teilweise unwirksam sein oder werden, so berührt das die Wirksamkeit des Vertrages im Ganzen nicht. An die Stelle der unwirksamen Bestimmung tritt die gesetzlich zulässige Bestimmung, die dem Gewollten am nächsten kommt. Dies gilt auch im Falle einer unbeabsichtigten Regelungslücke.

[Seite 3]

Dem Auftragnehmer ist es strengstens untersagt, Beschäftigten des Auftraggebers Belohnungen oder Geschenke zu übergeben sowie sonstige Vorteile zu verschaffen.

Dem Auftragnehmer ist es, außer nach gesonderter schriftlicher Zustimmung, nicht gestattet, den AG als Referenz anzugeben.

Ihre Daten werden auf Grundlage von Art. 6 Abs. 1 Buchstabe b DSGVO verarbeitet. Weitere Hinweise zur Verarbeitung Ihrer Daten finden Sie unter: www.leipzig.ihk.de/datenschutz.

II. Vereinbarung über die Verarbeitung von Daten im Auftrag

§ 1 Gegenstand, Verantwortlichkeit und Dauer des Auftrags (Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO))

(1) Aus dem Vertrag ergeben sich Gegenstand und Dauer des Auftrags sowie Art und Zweck der Verarbeitung. Der Auftragnehmer verpflichtet sich, im Auftrag des Auftraggebers die im Vertrag näher spezifizierten personenbezogenen Daten zu den dort dargestellten Zwecken zu verarbeiten. Im Einzelnen sind insbesondere die folgenden Daten Bestandteil der Datenverarbeitung:

☒ Personenstammdaten (z. B. Name, Vorname, Anschrift, Geburtsdatum) ☒ Kommunikationsdaten (z. B. Telefon, E-Mail) ☐ Vertragsstammdaten (z. B. Vertragsbeziehung) ☐ Vertragsabrechnung- und Zahlungsdaten (z. B. Lohn, Gehalt, Reisekosten) ☒ IT Nutzungsdaten (z. B. UserID, Passwörter) ☐ Bankdaten (z. B. Kontoverbindung und Kreditkartennummer) ☐ Bonitätsdaten (z. B. Zahlungsverhalten und Bilanzen) ☐ Sensitive Daten (z. B. ethnische Herkunft, Gewerkschaftszugehörigkeit, politische Meinung, religiöse oder philosophische Überzeugung, Gesundheit) ☒ sonstige: Ausbildungsinteressen

Folgende Kategorien betroffener Personen werden erfasst:

☒ IHK-Zugehörige nebst Vertretern ☒ andere nicht zugehörige Unternehmen nebst Vertretern ☐ Beschäftigte des Auftraggebers ☐ Mitarbeiter von Unternehmen ☐ Bewerber ☒ Interessenten ☐ sonstige: Klicken oder tippen Sie hier, um Text einzugeben.

(2) Bestimmt der Auftragnehmer die Zwecke und Mittel der Verarbeitung unter Verstoß gegen die DSGVO, ist er bezüglich der in dieser Vereinbarung geregelten Verarbeitung selbst Verantwortlicher und haftet entsprechend gemäß Art. 82 DSGVO.

(3) Das Recht zur Kündigung aus wichtigem Grund bleibt unberührt. Der Auftraggeber kann die Vereinbarung insbesondere jederzeit ohne Einhaltung einer Frist

[Seite 4]

kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen die Bestimmungen der DSGVO, des Bundesdatenschutzgesetzes bzw. des Sächsischen Datenschutzdurchführungsgesetzes und weiterer datenschutzrechtlicher Vorschriften oder dieser Vereinbarung vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollen des Auftraggebers oder des Landesdatenschutzbeauftragten vertragswidrig verweigert.

§ 2 Umfang und Ort der Datenverarbeitung

(1) Der Auftragnehmer verwendet die zur Datenverarbeitung überlassenen Daten für keine anderen Zwecke.

(2) Der Auftragnehmer führt innerhalb dieses Auftrags alle technisch für die Sicherstellung des Vertragszwecks sowie die Sicherheit und/oder Verarbeitungen der Daten (z. B. Duplizieren von Beständen für die Verlustsicherung, Anlegen von Log-Files etc.) Maßnahmen durch, soweit diese Verarbeitung nicht zu inhaltlichen Änderungen der Daten führen und sie zur Erfüllung des Auftrags erforderlich sind. Kopien oder Duplikate werden i.ü. ohne Wissen des Auftraggebers nicht erstellt.

(3) Die Verarbeitung der Daten auch durch Unterauftragnehmer findet

☒ in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum

statt.

§ 3 Weisungen (Art. 28 Abs. 3 DSGVO)

(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten nach § 1 Abs. 1 ausschließlich im Rahmen des Auftrages gemäß § 1 und nach Weisungen des Auftraggebers, sofern kein Fall des Art. 28 Abs. 3 Satz 2 lit. a DSGVO vorliegt. Der Auftraggeber ist berechtigt, dem Auftragnehmer jederzeit Weisungen zu erteilen, insbesondere hinsichtlich der Art, des Umfangs und des Zeitpunktes der Verarbeitung von Daten.

Die Weisungen werden anfänglich durch den Vertrag festgelegt und können vom Auftraggeber danach in schriftlicher Form oder in einem elektronischen Format (Textform) an die vom Auftragnehmer bezeichnete Stelle durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Weisungen, die im Vertrag nicht vorgesehen sind, werden als Antrag auf Leistungsänderung behandelt. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen.

(2) Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen das Datenschutzrecht verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Er ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen des Auftraggebers bestätigt oder geändert wird.

(3) Weisungsberechtigt sind für den Auftraggeber

Dr. Gert Ziener Tel: 034112671300 E-Mail: gert.ziener@leipzig.ihk.de.

Bei dem Auftragnehmer sind für die Annahme von Weisungen (wird nach Zuschlagserteilung ausgefüllt)

[Seite 5]

xxxxxx, Tel: xxxx; E-Mail: xxxx

verantwortlich.

Bei einem Wechsel oder einer längerfristigen Verhinderung des Ansprechpartners ist dem Vertragspartner unverzüglich schriftlich der Nachfolger bzw. der Vertreter mitzuteilen.

Werden von dem Auftragnehmer Störungen festgestellt, die eine wesentliche Änderung des Verfahrensablaufes erforderlich machen, ist die entsprechende Verfahrensänderung vor ihrer Durchführung mit dem Auftraggeber abzustimmen. Sie darf nicht ohne dessen in Textform erteilte Einwilligung vollzogen werden.

§ 4 Technische und organisatorische Maßnahmen/Sicherheit der Verarbeitung (Art. 28 Abs. 1, Abs. 3 c, Art. 32 – 36 DSGVO)

(1) Der Auftragnehmer hat technische und organisatorische Maßnahmen zu treffen (Art. 32 DSGVO), die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen. Es wird ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen Personen angemessenes Schutzniveau gewährleistet.

Dazu werden die Schutzziele von Art. 32 Abs.1 DSGVO in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.

Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben.

Die technisch-organisatorischen Maßnahmen des Auftragnehmers sind im Konzept zur Vergabe gesondert festgeschrieben und Bestandteil des Vertrages.

(2) Der Auftragnehmer stellt sicher, ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung einzusetzen.

(3) Der Auftragnehmer verpflichtet sich, die technischen und organisatorischen Maßnahmen dem Stand der Technik anzupassen, soweit dies erforderlich und wirtschaftlich zumutbar ist (Art. 32 DSGVO). Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen.

Es ist dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren. Der Auftraggeber ist über wesentliche Änderungen vorab zu informieren.

[Seite 6]

Die Änderungen sind schriftlich festzuhalten und werden Vertragsbestandteil. Vorschläge des Auftraggebers hat der Auftragnehmer zu prüfen und den Auftraggeber über das Ergebnis zu informieren.

(4) Der Auftragnehmer gewährleistet die im Rahmen der ordnungsgemäßen Abwicklung der Arbeiten erforderlichen technischen und organisatorischen Maßnahmen in Zusammenarbeit mit den Unterauftragnehmern.

§ 5 Berichtigung, Einschränkung der Verarbeitung und Löschung von Daten, Auskunft über Daten (Art. 28 Abs. 1, Abs. 3g DSGVO)

Der Auftragnehmer hat nur nach dokumentierter Weisung des Auftraggebers die Daten, die im Auftrag verarbeitet werden, zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken.

§ 6 Kontrollen und sonstige Pflichten des Auftragnehmers (Art. 28 Abs. 3 Satz 2 b, h, 29, 30, 32 – 36 DSGVO)

(1) Der Auftragnehmer hat die Beachtung der datenschutzrechtlichen Vorschriften im Hinblick auf das Auftragsverhältnis sicherzustellen. Stellt der Auftragnehmer Unregelmäßigkeiten fest, wird er unverzüglich den Auftraggeber informieren.

(2) Der Auftragnehmer verpflichtet sich, bei der Verarbeitung personenbezogener Daten des Auftraggebers die Vertraulichkeit sowie etwaige berufliche Verschwiegenheits- verpflichtungen zu wahren und dem Auftraggeber nachzuweisen. Er hat bei der Verarbeitung ausschließlich Beschäftigte einzusetzen, die entsprechend verpflichtet und geschult sind.

Er hat insbesondere mit der gebotenen Sorgfalt darauf hinzuwirken, dass alle Personen, die von ihm mit der Bearbeitung oder Erfüllung dieses Vertrages betraut sind, sorgfältig ausgewählt werden, die gesetzlichen Bestimmungen über den Datenschutz beachten und die aus dem Bereich des Auftraggebers erlangten Informationen nicht unbefugt an Dritte weitergeben oder sonst verwerten.

(3) Der Auftragnehmer hat (wird nach Zuschlagserteilung ausgefüllt)

xxxxxx, Tel: xxxx; E-Mail: xxxx

als betrieblichen Datenschutzbeauftragten bestellt.

Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen. Dessen aktuelle Kontakt-daten sind auf der Homepage des Auftragnehmers leicht zugänglich hinterlegt.

(4) Der Auftragnehmer verpflichtet sich, ein Verarbeitungsverzeichnis gemäß Art. 30 Abs. 2 DSGVO zu führen.

Bei Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Datenschutz-Folgeabschätzungen des Auftraggebers hat der Auftragnehmer im notwendigen Umfang mitzuwirken und den Auftraggeber soweit möglich angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit e und f DSGVO).

Er hat die dazu erforderlichen Angaben jeweils unverzüglich an folgende Stelle des Auftraggebers weiterzuleiten:

[Seite 7]

Dr. Gert Ziener, E-Mail: gert.ziener@leipzig.ihk.de . (5) Der Auftragnehmer verpflichtet sich, dem Landesdatenschutzbeauftragten und den von ihm eingesetzten Bediensteten Zugang zu den Arbeitsräumen zu gewähren und unterwirft sich der Kontrolle nach Maßgabe des Landesdatenschutzgesetzes in seiner jeweiligen Form.

(6) Der Auftragnehmer hat den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach der DSGVO, dem BDSG und SächsDSDG zu informieren. Dies gilt auch, soweit eine zuständige Behörde wegen Verstößen bei dem Auftragnehmer ermittelt.

(7) Wenden sich Personen, die durch die Datenverarbeitung bei dem Auftragnehmer in ihren Rechten betroffen sind, an diesen, so hat der Auftragnehmer diese Personen unverzüglich an den Auftraggeber zu verweisen. Der Auftraggeber ist verantwortlich für die Wahrung dieser Rechte.

Der Auftragnehmer hat alles zu tun, damit der Auftraggeber die Rechte der Betroffenen, insbesondere auf Benachrichtigung, Auskunftserteilung, Berichtigung, Einschränkung der Verarbeitung (Sperrung), Löschung von Daten, Einlegung des Widerspruchs und das Recht auf Datenportabilität erfüllen kann, vorausgesetzt, die für die Auskunftserteilung notwendige Mitwirkungshandlung ist dem Auftragnehmer nicht unmöglich.

(8) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 36 der DSGVO genannten Pflichten.

Hierzu gehören u.a.

a) die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen

b) die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich an den Auftraggeber zu melden

c) die Unterstützung des Auftraggebers für dessen Datenschutz-Folgenabschätzung und

d) die Unterstützung des Auftraggebers im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde.

(9) Der Auftragnehmer erstattet unverzüglich in allen Fällen dem Auftraggeber eine Meldung, wenn durch ihn oder die bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers, gegen die sich aus diesem Vertrag ergebenden Verschwiegenheitsverpflichtungen oder gegen die im Auftrag getroffenen Festlegungen verstoßen wurde.

(10) Insbesondere bei eventuell bestehenden Informationspflichten im Falle des Abhandenkommens oder der unrechtmäßigen Übermittlung oder Kenntniserlangung von personenbezogenen Daten gemäß Art. 33 DSGVO sind solche Vorfälle ohne Ansehen

[Seite 8]

der Verursachung unverzüglich dem Auftraggeber mitzuteilen.

Dies gilt insbesondere bei schwerwiegenden Störungen des Betriebsablaufs, bei IT-Sicherheitsvorfällen, bei Verdacht auf Verletzungen von Vorschriften zum Schutz personenbezogener Daten oder anderen Unregelmäßigkeiten beim Umgang mit personenbezogenen Daten des Auftraggebers.

Der Auftragnehmer hat im Benehmen mit dem Auftraggeber angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung bzw. zum Ausschluss möglicher nachteiliger Folgen für die Betroffenen zu ergreifen. Insbesondere soweit den Auftraggeber Pflichten aufgrund bestehender Informationspflichten im Falle des Abhandenkommens oder der unrechtmäßigen Übermittlung oder Kenntniserlangung von personenbezogenen Daten treffen, hat der Auftragnehmer ihn hierbei zu unterstützen.

(11) Im Falle der Inanspruchnahme des Auftraggebers durch eine betroffene Person hinsichtlich etwaiger Ansprüche nach Art. 82 DSGVO, verpflichtet sich der Auftragnehmer den Auftraggeber bei der Abwehr des Anspruchs im Rahmen seiner Möglichkeiten zu unterstützen.

§ 7 Unterauftragsverhältnisse (Art. 28 Abs. 2, Abs. 3 d, Abs. 4 DSGVO)

(1) Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer als Dienstleistungen (z. B. als Telekommunikationsleistungen, Post-/Transportdienstleistungen, Benutzerservice oder die Entsorgung von Datenträgern) sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt.

Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen. (2) ☒ Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher schriftlicher bzw. dokumentierter Zustimmung des Auftraggebers beauftragen.

☐ Die Auslagerung auf Unterauftragnehmer oder

☐ der Wechsel des bestehenden Unterauftragnehmers

sind zulässig, soweit der Auftragnehmer eine solche Auslagerung auf Unterauftragnehmer dem Auftraggeber eine angemessene Zeit vorab schriftlich oder in Textform anzeigt und der Auftraggeber nicht bis zum Zeitpunkt der Übergabe der Daten gegenüber dem Auftragnehmer schriftlich oder in Textform Einspruch gegen die geplante Auslagerung erhebt und eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO zugrunde gelegt wird.

☐ Eine Unterbeauftragung ist unzulässig.

(3) Die Weitergabe von personenbezogenen Daten des Auftraggebers an den

[Seite 9]

Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestattet.

(4) Erbringt der Unterauftragnehmer die vereinbarte Leistung außerhalb der EU/des EWR, stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen sicher. Gleiches gilt, wenn Dienstleister im Sinne von Abs. 1 Satz 2 eingesetzt werden sollen.

(5) Eine weitere Auslagerung durch den Unterauftragnehmer

☒ ist nicht gestattet.

Sämtliche vertraglichen Regelungen in der Vertragskette sind auch dem weiteren Unterauftragnehmer aufzuerlegen.

(6) Der Auftragnehmer hat dem Unterauftragnehmer dieselben Pflichten, die er selbst gegenüber dem Auftraggeber zu erfüllen hat, aufzuerlegen, soweit es für die Auftragserfüllung relevant ist.

Bei Einschaltung eines Unterauftragnehmers muss garantiert sein, dass der Unterauftragnehmer sorgfältig ausgewählt und die Beachtung der Datenschutz- vorschriften durch ihn gewährleistet ist, dieser die geeigneten technischen und organisatorischen Maßnahmen getroffen hat oder bis zur Aufnahme der Tätigkeit treffen wird, die Erfüllung der Pflichten des Auftragnehmers aus diesem Vertrag nicht beeinträchtigt werden und der Landesdatenschutzbeauftragte sein Kontroll- und Überprüfungsrecht auch gegenüber dem Unterauftragnehmer ausüben kann.

(7) Der Auftragnehmer haftet gegenüber dem Auftraggeber vollumfänglich für Datenverstöße seiner Unterauftragnehmer.

§ 8 Kontrollrechte des Auftraggebers (Art. 28 Abs. 3 h DSGVO)

(1) Der Auftraggeber hat vor Beginn der Verarbeitung und sodann regelmäßig das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen.

Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen.

Hierbei wird sich der Auftraggeber regelmäßig von der Einhaltung der bei dem Auftragnehmer sowie den Unterauftragnehmern getroffenen technischen und organisatorischen Maßnahmen überzeugen und das Ergebnis dokumentieren.

Der Auftraggeber bestellt für diese Auftragskontrolle verantwortliche Personen und benennt diese vorab gegenüber dem Auftragnehmer. Ein Wechsel in der Person ist dem Auftragnehmer unverzüglich mitzuteilen.

(2) Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DSGVO überzeugen kann. Hierzu weist der Auftragnehmer dem Auftraggeber auf Anfrage insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO nach.

[Seite 10]

Dabei kann der Nachweis der Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, auch durch Vorlage eines aktuellen Testats oder von Berichten oder Berichtsauszügen unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren), durch die Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO oder durch eine Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO erbracht werden.

(3) Falls der Auftragnehmer und/oder die von ihr beauftragten Unterauftragnehmer sich genehmigter Verhaltensregeln unterworfen haben oder ein genehmigtes Zertifizierungsverfahren erfolgreich durchlaufen haben, sind sie verpflichtet, dem Auftraggeber dies nachzuweisen. Zertifikate sind zu aktualisieren. Der Auftraggeber ist hierüber zu informieren.

§ 9 Löschung von Daten und Rückgabe von Datenträgern (Art. 28 Abs. 3 g DSGVO)

(1) Unverzüglich nach Abschluss der vertraglichen Arbeiten oder früher nach Aufforderung durch den Auftraggeber, spätestens aber mit Beendigung der Zusammenarbeit hat der Auftragnehmer sämtliche in seinen Besitz gelangte Unterlagen mit personenbezogenen Daten, erstellte Verarbeitungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung des Auftraggebers datenschutzgerecht zu vernichten. Ausgenommen hiervon sind Sicherungskopien.

In diesem Fall hat der Auftragnehmer für eine die Vertraulichkeit sichernde Aufbewahrung zu sorgen. Das Protokoll der Löschung ist auf Anforderung vorzulegen. Ein Zurückbehaltungsrecht ist ausgeschlossen.

(2) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der für den betroffenen Dienst geltenden Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Diese kann er zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.