Entwurf_Auftragsverarbeitungsvertrag - Los 4 (Stand 18.08.2026).pdf

[Seite 1]

Maßnahme: Stadt Königs Wusterhausen, Rahmenvereinbarung Postdienstleistungen / hybrider Postversand (4 Lose) Leistung: Dienstleistung Vergabenummer: 2026-051-OV - LOS 4 – Hybrider Postversand

Auftragsverarbeitungsvertrag nach Artikel 28 Absatz 3 DSGVO für Los 4 – Hybrider Postversand im Rahmen der Rahmenvereinbarung Postdienstleistungen einschließlich hybridem Postversand für die Stadt Königs Wusterhausen

zwischen

Stadt Königs Wusterhausen Schlossstraße 3 15711 Königs Wusterhausen – „Auftraggeber“ (Verantwortlicher) –

und

[Name des Auftragsverarbeiters] – „Auftragnehmer“ (Auftragsverarbeiter) –

§ 1 Gegenstand und Dauer der Auftragsverarbeitung

(1) Der Auftrag umfasst den verschlüsselten Empfang und die Verarbeitung von Briefdateien des Auftraggebers für den hybriden Briefversand, die physische Herstellung (Ausdruck, Kuvertierung und Frankierung) der vom Auftraggeber erzeugten Sendungen sowie die Einlieferung bei einem Postdienstleister. (2) Der Auftragnehmer verarbeitet personenbezogene Daten für den Auftraggeber in dessen Auftrag und nach dessen Weisung im Sinne von Artikel 4 Nummer 2 und Artikel 28 DSGVO auf Grundlage dieses Vertrags. (3) Der Vertrag beginnt am 01.01.2027. Die Laufzeit richtet sich nach der Laufzeit des Rahmenvertrages für den hybriden Postversand für die Stadt Königs Wusterhausen (LOS 4), sofern sich aus den nachfolgenden Bestimmungen nicht darüberhinausgehende Verpflichtungen oder Kündigungsrechte ergeben. (4) Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrags vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Artikel 28 DSGVO abgeleiteten Pflichten stellt einen schweren Verstoß dar. (5) Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht. Jede Verlagerung der Dienstleistung oder von Teilarbeiten in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Artikel 44 ff. DSGVO erfüllt sind (z.B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).

Seite 1 von 8

[Seite 2]

Maßnahme: Stadt Königs Wusterhausen, Rahmenvereinbarung Postdienstleistungen / hybrider Postversand (4 Lose) Leistung: Dienstleistung Vergabenummer: 2026-051-OV - LOS 4 – Hybrider Postversand

§ 2 Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen

(1) Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber ergeben sich aus der Rahmenvereinbarung sowie dem Leistungsverzeichnis für Los 4 – Hybrider Postversand. (2) Gegenstand der Verarbeitung sind folgende Kategorien von personenbezogenen Daten: -Beschäftigte des Auftraggebers, soweit sie Verfasser der Briefdateien sind,

• Adressaten der Briefsendungen,
• Dritte, sofern ihre personenbezogenen Daten Gegenstand der Briefdateien sind. (3) Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen ohne Anspruch auf Vollständigkeit:
• Antragsteller,
• Beschäftigte,
• Verbraucher,
• Lieferanten,
• Ansprechpartner,
• Einwohner,
• Grundstückseigentümer,
• Mieter/Pächter,
• Verkehrsteilnehmer
• Firmen/Gewerbetreibende.

§ 3 Weisungsberechtigte des Auftraggebers, Weisungsempfänger des Auftragnehmers

Weisungsberechtigte Personen des Auftraggebers sind:

(Vorname, Name, Organisationseinheit, Telefon)

Weisungsempfänger beim Auftragnehmer sind:

(Vorname, Name, Organisationseinheit, Telefon)

Für Weisung zu nutzende Kommunikationskanäle:

(genaue postalische Adresse/ E-Mail/ Telefonnummer)

Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen. Die Weisungen sind für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.

Seite 2 von 8

[Seite 3]

Maßnahme: Stadt Königs Wusterhausen, Rahmenvereinbarung Postdienstleistungen / hybrider Postversand (4 Lose) Leistung: Dienstleistung Vergabenummer: 2026-051-OV - LOS 4 – Hybrider Postversand

§ 4 Rechte und Pflichten sowie Weisungsbefugnisse des Auftraggebers

(1) Der Auftraggeber oder ein von ihm beauftragter Prüfer ist dazu berechtigt, sich vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen im Rahmen von Überprüfungen, einschließlich Inspektionen, im angemessenen und erforderlichen Umfang zu überzeugen. (2) Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrags bestehen. (3) Der Auftraggeber unterstützt den Auftragnehmer im Rahmen seiner Möglichkeiten im Falle einer Inanspruchnahme des Auftragnehmers durch eine betroffene Person hinsichtlich etwaiger Ansprüche nach Artikel 82 DSGVO bei der Abwehr des Anspruchs.

§ 5 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarung und nach Weisungen des Auftraggebers, gem. § 3 dieses Vertrages, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, hierzu verpflichtet ist (zum Beispiel Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden). In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). (2) Der Auftragnehmer verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind. (3) Der Auftragnehmer hat personenbezogene Daten aus dem Auftragsverhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Auftraggeber dies mittels einer Weisung verlangt und berechtigte Interessen des Auftragnehmers dem nicht entgegenstehen. (4) Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). (5) Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen zum angemessenen Schutz der personenbezogenen Daten, die den Anforderungen des Artikel 32 DSGVO genügen. (6) Der Auftragnehmer unterstützt den Auftraggeber im nötigen Umfang und soweit möglich bei der Erfüllung der Rechte der betroffenen Personen nach Artikel 12 bis 22 DSGVO und bei der Einhaltung der in Artikel 32 bis 36 DSGVO genannten Pflichten. (7) Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten der Verarbeitung personenbezogener Daten mit. Dies gilt insbesondere auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Artikel 33 und Artikel 34 DSGVO.

Seite 3 von 8

[Seite 4]

Maßnahme: Stadt Königs Wusterhausen, Rahmenvereinbarung Postdienstleistungen / hybrider Postversand (4 Lose) Leistung: Dienstleistung Vergabenummer: 2026-051-OV - LOS 4 – Hybrider Postversand

Meldungen nach Artikel 33 oder 34 DSGVO für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung, gem. § 3 dieses Vertrages, durchführen. (8) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten im Falle einer Inanspruchnahme des Auftraggebers durch eine betroffene Person hinsichtlich etwaiger Ansprüche nach Artikel 82 DSGVO bei der Abwehr des Anspruches. (9) Der Auftragnehmer ermöglicht und unterstützt Überprüfungen, die vom Auftraggeber oder einem von ihm beauftragten Prüfer beim Auftragnehmer durchgeführt werden. (10) Der Auftragnehmer ist verpflichtet, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten des Auftraggebers die Vertraulichkeit zu wahren. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrags bestehen. (11) Der Auftragnehmer gewährleistet, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DSGVO). (12) Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb. (13) Der Auftragnehmer sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die für den Auftraggeber verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden. (14) Die Datenträger, die vom Auftraggeber stammen bzw. für den Auftraggeber genutzt werden, werden besonders gekennzeichnet. Eingang und Ausgang sowie die laufende Verwendung werden dokumentiert. (15) Der Auftragnehmer weist dem Auftraggeber die Einhaltung der in diesem Vertrag niedergelegten Pflichten auf dessen mündliche oder schriftliche Anforderung innerhalb einer angemessenen Frist durch geeignete Auskünfte und Nachweise nach. Zu diesen Auskünften und Nachweisen zählen insbesondere: Datenschutz- und Sicherheitskonzepte, Liste der zugriffsberechtigten Personen und das Verarbeitungsverzeichnis. (16) Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Weisung oder Zustimmung durch den Auftraggeber erteilen. (17) Der Auftragnehmer bestellt einen Datenschutzbeauftragten:

(Vor- und Nachname, Organisationseinheit, Telefon)

Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen. Soweit kein Datenschutzbeauftragter bestellt ist, nennt der Auftragnehmer dem Auftraggeber schriftlich oder in einem dokumentierten elektronischen Format einen Ansprechpartner für den Datenschutz. Nachfolger und/oder Vertreter sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format mitzuteilen. (18) Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber oder ein von ihm beauftragter Prüfer – grundsätzlich nach Terminvereinbarung – dazu berechtigt ist, sich vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen im Rahmen von Überprüfungen, einschließlich Inspektionen, im angemessenen und erforderlichen Umfang zu überzeugen. Inspektionen werden zu den üblichen Geschäftszeiten ohne Störung des

Seite 4 von 8

[Seite 5]

Maßnahme: Stadt Königs Wusterhausen, Rahmenvereinbarung Postdienstleistungen / hybrider Postversand (4 Lose) Leistung: Dienstleistung Vergabenummer: 2026-051-OV - LOS 4 – Hybrider Postversand

Betriebsablaufs nach Anmeldung unter Berücksichtigung einer angemessenen Vorlaufzeit durchgeführt. (19) Die Verarbeitung von Daten in Privatwohnungen (Tele- bzw. Heimarbeit von Beschäftigten des Auftragnehmers) ist nur mit Zustimmung des Auftraggebers gestattet. Soweit die Daten in einer Privatwohnung verarbeitet werden, ist vorher der Zugang zur Wohnung des Beschäftigten für Kontrollzwecke des Arbeitgebers vertraglich sicher zu stellen. Die Maßnahmen nach Art. 32 DSGVO sind auch in diesem Fall sicherzustellen. (20) Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO bekannt sind. Er verpflichtet sich, auch für diesen Auftrag relevanten Geheimnisschutzregeln zu beachten, die dem Auftraggeber obliegen (z.B. Berufsgeheimnisse nach § 203 StGB, Bankgeheimnisse etc.).

§ 6 Unterauftragsverhältnisse mit Subunternehmen

(1) Ein Unterauftragsverhältnis mit Subunternehmern liegt vor, wenn der Auftragnehmer weitere Auftragsverarbeiter mit der ganzen oder einer Teilleistung der im Vertrag vereinbarten Leistungen beauftragt. (2) Der Auftragnehmer bedient sich der Kapazitäten anderer Unternehmen. Zur Ausführung der im Angebot enthaltenen Leistungen werden Art und Umfang der Teilleistungen unter Beauftragung folgender Subunternehmen durchgeführt, für die sich der Auftraggeber einverstanden erklärt:

[vom Bieter auszufüllen]:

(3) Der Vertrag mit dem Subunternehmer muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 4 und Abs. 9 DSGVO). (4) Sofern ein Subunternehmen mit Aufgaben betraut ist, bei der ihm Inhalte der Schriftstücke bekannt werden (Drucken, Ablage, Datenspeicherung u.a.) muss auch eine Verpflichtungserklärung vom Subunternehmen mit dem Auftragnehmer vereinbart werden. (5) Die Weiterleitung von Daten an den Subunternehmer ist erst zulässig, wenn der Subunternehmer die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DSGVO seiner Beschäftigten erfüllt hat. (6) Der Auftragnehmer ist im Rahmen seiner vertraglichen Verpflichtungen zur Ersetzung der unter Absatz 2 aufgeführten Subunternehmer oder Beauftragung weiterer Subunternehmer nur befugt, soweit er den Auftraggeber hiervon vorab in Kenntnis setzt und dieser der Beauftragung des Subunternehmers vorab schriftlich zugestimmt hat. (7) Der Auftragnehmer hat dafür Sorge zu tragen, dass er den Subunternehmer, unter besonderer Berücksichtigung der Eignung der von diesen getroffenen technischen und organisatorischen Maßnahmen im Sinne von Artikel 32 DSGVO, sorgfältig auswählt. Die relevanten Prüfunterlagen dazu sind dem Auftraggeber auf Anfrage zur Verfügung zu stellen.

Seite 5 von 8

[Seite 6]

Maßnahme: Stadt Königs Wusterhausen, Rahmenvereinbarung Postdienstleistungen / hybrider Postversand (4 Lose) Leistung: Dienstleistung Vergabenummer: 2026-051-OV - LOS 4 – Hybrider Postversand

(8) Eine Beauftragung von Subunternehmern in Drittstaaten bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Artikel 44 ff. DSGVO erfüllt sind. (9) Der Auftragnehmer hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwischen Auftraggeber und Auftragnehmer auch gegenüber Subunternehmern gelten. In dem Vertrag mit dem Subunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftragnehmers und des Subunternehmers deutlich voneinander abgegrenzt werden. Werden mehrere Subunternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Subunternehmern. Insbesondere muss der Auftraggeber berechtigt sein, im Bedarfsfall angemessene Überprüfungen, einschließlich Inspektionen, bei Subunternehmern durchzuführen oder durch von ihm beauftragte Prüfer durchführen zu lassen. (10) Der Auftragnehmer informiert den Auftraggeber immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung neuer oder die Ersetzung bisheriger Subunternehmer, wodurch der Auftraggeber die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben (Artikel 28 Abs. 2 Satz 2 DSGVO).

§ 7 Technische und organisatorische Maßnahmen (insbesondere Art. 28 Abs. 3 Satz 2 lit. c und e DSGVO)

(1) Für die Sicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren sind zwischen Auftragnehmer und Auftraggeber abzustimmen. Solche Abstimmungen sind zu dokumentieren und für die Dauer dieses Vertrags aufzubewahren. (2) Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen Personen angemessenes Schutzniveau gewährleistet. Dazu werden die Schutzziele von Artikel 32 Absatz 1 DSGVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird (Art. 28 Abs. 3 lit. c DSGVO). (3) Für die Auftragsverarbeitung werden auch technische und organisatorische Maßnahmen umgesetzt, die die in Kapitel III der DSGVO genannten Rechte der betroffenen Personen wahren (Art. 28 Abs. 3 lit. e DSGVO). (4) Diese Maßnahmen sollen u. a. sicherstellen, dass Daten nur für den Zweck verarbeitet und ausgewertet werden können, für den sie erhoben werden (Zweckbindung), dass Betroffene, Verantwortliche und Kontrollinstanzen u. a. erkennen können, welche Daten für welchen Zweck in einem Verfahren erhoben und verarbeitet werden und welche Systeme und Prozesse dafür genutzt werden (Transparenz) und dass den Betroffenen die ihnen zustehenden Rechte auf Benachrichtigung, Auskunft, Berichtigung, Sperrung und Löschung jederzeit wirksam gewährt werden (Intervenierbarkeit). Entsprechend sind auch die Maßnahmenbereiche zu berücksichtigen, die vorrangig der Minimierung der Eingriffsintensität in die Grundrechte Betroffener dienen. (5) Das vom Auftragnehmer beschriebene Datenschutz- und Datensicherheitskonzept ist Anhang 1 zur AVV und stellt die technischen und organisatorischen Maßnahmen passend zum ermittelten Risiko unter Berücksichtigung der Schutzziele Vertraulichkeit, Verfügbarkeit, Integrität, Zweckbindung, Transparenz und Intervenierbarkeit nach Stand der Technik detailliert und unter besonderer Berücksichtigung der eingesetzten IT- Systeme und Verarbeitungsprozesse beim Auftragnehmer dar.

Seite 6 von 8

[Seite 7]

Maßnahme: Stadt Königs Wusterhausen, Rahmenvereinbarung Postdienstleistungen / hybrider Postversand (4 Lose) Leistung: Dienstleistung Vergabenummer: 2026-051-OV - LOS 4 – Hybrider Postversand

(6) Das vom Auftragnehmer beschriebene Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der datenschutzkonformen Verarbeitung ist als Anhang 2 zur AVV verbindlich festgelegt, sofern ein solches Verfahren nicht bereits im Datenschutzkonzept gemäß Absatz 5 beschrieben ist. (7) Der Auftragnehmer hat bei gegebenem Anlass, mindestens aber jährlich, gemäß Artikel 32 Absatz 1 Buchstabe d DSGVO eine Überprüfung, Bewertung und Evaluation der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen. Das Ergebnis samt vollständigem Bericht ist dem Auftraggeber mitzuteilen. (8) Die Datensicherheitsmaßnahmen beim Auftragnehmer können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dürfen aber die vereinbarten Sicherheitsstandards nicht unterschreiten. Wesentliche Änderungen sind vom Auftragnehmer mit dem Auftraggeber in dokumentierter Form (schriftlich, elektronisch) abzustimmen. Solche Abstimmungen sind für die Dauer dieses Vertrages aufzubewahren.

§ 8 Anfragen und Rechte betroffener Personen

(1) Macht eine betroffene Person ihre Rechte gemäß Artikel 15 ff. DSGVO gegenüber dem Auftragnehmer geltend, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten. (2) Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken.

§ 9 Verpflichtungen des Auftragnehmers nach Beendigung des Auftrags, Art. 28 Abs. 3 Satz 2 lit. g DSGVO

(1) Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer sämtliche in seinen Besitz sowie an Subunternehmen gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung des Auftraggebers datenschutzgerecht zu löschen bzw. zu vernichten oder vernichten zu lassen. (2) Die Löschung bzw. Vernichtung ist dem Auftraggeber mit Datumsangabe schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen. (3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

§ 10 Haftung

Auftraggeber und Auftragnehmer haften gegenüber betroffenen Personen entsprechend Artikel 82 DSGVO.

§ 11 Schlussbestimmungen

Seite 7 von 8

[Seite 8]

Maßnahme: Stadt Königs Wusterhausen, Rahmenvereinbarung Postdienstleistungen / hybrider Postversand (4 Lose) Leistung: Dienstleistung Vergabenummer: 2026-051-OV - LOS 4 – Hybrider Postversand

(1) Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer im Sinne des § 273 BGB hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger ausgeschlossen ist. (2) Sollte das Eigentum oder die zu verarbeitenden personenbezogenen Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu verständigen. (3) Änderungen und Ergänzungen dieses Vertrags bedürfen einer schriftlichen Vereinbarung, die auch in einem dokumentierten elektronischen Format erfolgen kann. Dies gilt auch für den Verzicht auf dieses Formerfordernis. [Anmerkung: Der Vertrag muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann (Artikel 28 Absatz 9 DSGVO).] (4) Sollten einzelne Bestimmungen dieses Vertrags ganz oder teilweise nicht rechtswirksam oder nicht durchführbar sein oder werden, so wird hierdurch die Wirksamkeit der jeweils übrigen Bestimmungen nicht berührt. (5) Diese Vereinbarung unterliegt deutschem Recht.

(Ort, Datum, Unterschrift Auftragnehmer)

Anhänge zur AVV:

• Anhang 1 – Datenschutz- und Datensicherheitskonzept
• Anhang 2 – Verfahren zur regelmäßigen Überprüfung Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der datenschutzkonformen Verarbeitung

Seite 8 von 8