260826 KLK_RV_VE713.Vergabeunterlagen_Anlage 10 - FO_Muster_AVV_05-00.pdf

Vertrag zur Auftragsverarbeitung gem. Art. 28 Abs. 3 DS-GVO

Der Auftragnehmer verarbeitet im Rahmen der Erbringung einer Dienstleistung personenbezogene Daten im

Auftrag und nach Weisung des Auftraggebers. Auf Grundlage von Art. 28 DS-GVO und der in Anlage 1

aufgeführten Vertragsbedingungen zur Auftragsverarbeitung treffen die Parteien nachfolgende Regelungen. Klarstellend halten die Parteien fest, dass Anlagen zum Vertrag wesentlicher Bestandteil des Vertrages sind.

© RKH Regionale Kliniken Holding und Services GmbH Nutzung, Vervielfältigung, Weitergabe und Speicherung nur mit ausdrücklicher Genehmigung

Vertrag zur Auftragsverarbeitung

Seite 2 von 3

Vertrag zur Auftragsverarbeitung

Ort, den ___________________________ Ort, den ___________________________

für den Auftraggeber für den Auftragnehmer

Ort, den ___________________________ Ort, den ___________________________

für den Auftraggeber für den Auftragnehmer

Anlagen:

Anlage 1: Vertragsbedingungen zur Auftragsverarbeitung

Anlage 2: Unterauftragnehmer

Anlage 3: Technische und organisatorische Maßnahmen / Wartungs-/Betriebskonzept

Seite 3 von 3

Vertrag zur Auftragsverarbeitung Anlage 1

Anlage 1 – Vertragsbedingungen zur Auftragsverarbeitung

(3) Verarbeitung im Auftrag Vorbemerkung Verarbeitung im Auftrag ist die Verarbeitung per-

sonenbezogener Daten durch einen Auftragneh- Der Auftraggeber beauftragt den Auftragnehmer auf mer im Auftrag des Auftraggebers. Grundlage eines gesonderten Vertrages mit der Erbringung von (Dienst-)Leistungen (im Folgenden (4) Weisung „Hauptvertrag“ genannt). Im Zuge der Erbringung der Weisung ist die auf einen bestimmten daten- vereinbarten und konkretisierten Leistungen (Services) schutzmäßigen Umgang (zum Beispiel Anonymi- wird der Auftragnehmer als Auftragsverarbeiter im sierung, Sperrung, Löschung, Herausgabe) des Sinne des Art. 28 DS-GVO tätig. Diese Auftragnehmers mit personenbezogenen Daten Vertragsbedingungen konkretisieren die gerichtete schriftliche Anordnung des Auftragge- datenschutzrechtlichen Verpflichtungen der Parteien in bers. Die Weisungen werden anfänglich durch ei- Bezug auf die Auftragsverarbeitung. nen Hauptvertrag festgelegt und können vom Auf-

traggeber danach in schriftlicher Form durch ein-

zelne Weisungen geändert, ergänzt oder ersetzt § 1 Definitionen werden (Einzelweisung).

Es gelten die Begriffsbestimmungen entsprechend

Art. 4 DS-GVO, § 2 und 3 BDSG, § 2 UWG und § 1 § 2 Verantwortlichkeit DDG sowie des Landeskrankenhausgesetzes Baden- Württemberg in der jeweils gültigen Fassung. Sollten in (1) Der Auftraggeber ist „Verantwortlicher“ im Sinne den Artikeln bzw. Paragraphen sich widersprechende des Art. 4 Ziff. 7 DS-GVO und für die Einhaltung Darstellungen finden, gelten die Definitionen in der der sich für ihn gemäß Art. 24 ff DS-GVO sowie Rangfolge DS-GVO, Landesrecht, UWG und DDG. weiterer einschlägiger gesetzlicher Normen erge- Weiterhin gelten folgende Begriffsbestimmungen: benden Pflichten verantwortlich.

(1) Anonymisierung (2) Der Auftragnehmer ist Auftragsverarbeiter i.S.d. Prozess, bei dem personenbezogene Daten ent- Art. 28 DS-GVO. Die Auftragsverarbeitung durch weder vom für die Verarbeitung der Daten Verant- den Auftragnehmer erfolgt entsprechend der für wortlichen allein oder in Zusammenarbeit mit einer ihn geltenden rechtlichen Bestimmungen sowie anderen Partei unumkehrbar so verändert werden, der in dieser Vereinbarung getroffenen Regelun- dass sich die betroffene Person danach weder di- gen. rekt noch indirekt identifizieren lässt. (Quelle: DIN EN ISO 25237) (3) Auftraggeber sowie Auftragnehmer müssen ge-

währleisten, dass sich die zur Verarbeitung der (2) Unterauftragnehmer personenbezogenen Daten befugten Personen Vom Auftragnehmer beauftragter Leistungserbrin- zur Vertraulichkeit verpflichtet haben oder einer ger, dessen Dienstleistung und/oder Werk der Auf- angemessenen gesetzlichen Verschwiegenheits- tragnehmer zur Erbringung der in diesem Vertrag pflicht unterliegen. Dazu müssen alle Personen, beschriebenen Leistungen gegenüber dem Auf- die auftragsgemäß auf personenbezogene Daten traggeber benötigt. des Auftraggebers zugreifen können, zur Wahrung

der Vertraulichkeit und Einhaltung der daten-

schutzrechtlichen Anforderungen verpflichtet und

über ihre Datenschutzpflichten belehrt werden.

Dabei ist jede Partei für die Verpflichtung des ei-

genen Personals zuständig. Ferner müssen die

Seite 1 von 11

Vertrag zur Auftragsverarbeitung Anlage 1

eingesetzten Personen darauf hingewiesen wer- geber unmittelbar nach erfolgter Dokumenta-

den, dass die Verpflichtung zur Wahrung der Ver- tion als unterschriebene Kopie zur Verfügung

traulichkeit auch nach Beendigung der Tätigkeit gestellt.

fortbesteht. (3) Änderungen des Verarbeitungsgegenstandes

und Verfahrensänderungen innerhalb der ver- § 3 Dauer des Auftrags traglich vereinbarten Leistungen sind von der

Weisungsbefugnis des Auftraggebers gedeckt (1) Der Vertrag tritt mit Unterzeichnung beider Par- und entsprechend zu dokumentieren. Bei einer teien in Kraft und wird für die Dauer der im wesentlichen Änderung des Auftrags steht dem Hauptvertrag vereinbarten Laufzeit geschlos- Auftragnehmer ein Widerspruchsrecht zu. Be- sen. Er kann von jeder Partei entsprechend der steht der Auftraggeber trotz des Widerspruchs Regelungen im Hauptvertrag gekündigt wer- des Auftragnehmers auf die Änderung, steht den. dem Auftragnehmer ein ordentliches Kündi-

gungsrecht bezüglich des von der Weisung be- (2) Es ist den Vertragspartnern bewusst, dass troffenen AV-Vertrages sowie der von der AV- ohne Vorliegen eines gültigen AV-Vertrages Vereinbarung betroffenen Bestandteile des ent- z. B. bei Beendigung des vorliegenden Ver- sprechenden Hauptvertrages zu. Verweigert tragsverhältnisses, keine (weitere) Auftragsver- der Auftragnehmer, die Änderung durchzufüh- arbeitung durchgeführt werden darf. ren, steht auch dem Auftraggeber ein ordentli-

ches Kündigungsrecht zu. Erfolgt eine Kündi- (3) Das Recht zur fristlosen Kündigung aus wichti- gung, so ist für die restliche Vertragslaufzeit gem Grund bleibt unberührt. weiterhin die vertraglich vereinbarte Leistung

durch den Auftragnehmer zu erbringen. (4) Kündigungen bedürfen zu ihrer Wirksamkeit

der Schriftform. (4) Mündliche Weisungen wird der Auftraggeber

unverzüglich schriftlich oder per E-Mail (in Text-

§ 4 Weisungsbefugnis des Auftraggebers form) bestätigen. Der Auftragnehmer notiert

sich Datum, Uhrzeit und Person, welche die (1) Der Umgang mit den Daten erfolgt ausschließ- mündliche Weisung erteilte.

lich im Rahmen der getroffenen Vereinbarun-

gen und nach dokumentierter Weisung des Auf- § 5 Leistungsort traggebers. Ausgenommen hiervon sind Sach-

verhalte, in denen dem Auftragnehmer eine (1) Die vertraglich vereinbarte Dienstleistung wird Verarbeitung aus zwingenden rechtlichen ausschließlich in einem Mitgliedsstaat der Europä- Gründen auferlegt wird. Der Auftragnehmer un- ischen Union, in einem Vertragsstaat des Abkom- terrichtet soweit ihm möglich in derartigen Situ- mens über den Europäischen Wirtschaftsraum o- ationen den Auftraggeber vor Beginn der Ver- der einem Drittland mit vorliegendem Angemes- arbeitung über die entsprechenden rechtlichen senheitsbeschluss gemäß Art. 45 DS-GVO er- Anforderungen. Der Auftraggeber behält sich bracht. im Rahmen der in dieser Vereinbarung getroffe-

nen Auftragsbeschreibung ein umfassendes (2) Jede Verlagerung der Dienstleistung oder eines Weisungsrecht über Art, Umfang und Verfahren Teils davon in ein Drittland bedarf der vorherigen der Datenverarbeitung vor, das er durch Einzel- Zustimmung des Auftraggebers und darf nur erfol- weisungen konkretisieren kann. gen, wenn die besonderen Voraussetzungen der

Art. 44 ff. DS-GVO erfüllt sind und der Auftragneh- (2) Die Weisungen des Auftraggebers werden vom mer die entsprechenden Nachweise hierüber er- Auftragnehmer dokumentiert und dem Auftrag- bracht hat. Sollen Dienstleistungen aus einem

Seite 2 von 11

Vertrag zur Auftragsverarbeitung Anlage 1

Drittland heraus erbracht werden, für welches kein (2) Der Auftragnehmer wird in seinem Verantwor- Angemessenheitsbeschluss besteht, so sind er- tungsbereich die innerbetriebliche Organisation so gänzend zu dieser Vereinbarung die EU-Stan- gestalten, dass sie den besonderen Anforderun- dardvertragsklauseln abzuschließen; die zur Beur- gen des Datenschutzes gerecht wird. Er wird ge- teilung der Notwendigkeit und Durchführung eines eignete technische und organisatorische Maßnah- Transfer Impact Assessments erforderlichen Un- men zur angemessenen Sicherung der Daten des terlagen stellt der Auftragnehmer bereit. Auftraggebers vor Missbrauch und Verlust treffen,

die den Anforderungen der entsprechenden da- (3) Bei einer Verlagerung des Ortes der Leistungser- tenschutzrechtlichen Bestimmungen gerecht wer- bringung in Länder, die Mitglied der EU / EWR sind den. Der Auftragnehmer hat die Umsetzung der im und über ein diesem Vertrag genügendes und ve- Vorfeld der Auftragsvergabe dargelegten techni- rifiziertes Datenschutzniveau verfügen, wird der schen und organisatorischen Maßnahmen vor Be- Auftraggeber schriftlich informiert. ginn der Verarbeitung, insbesondere hinsichtlich

der konkreten Auftragsdurchführung zu dokumen- (4) Sofern der Auftragnehmer vom Auftraggeber nicht tieren und dem Auftraggeber zur Prüfung zu über- innerhalb einer Frist von vier Wochen nach Zu- geben. Bei Akzeptanz durch den Auftraggeber gang der Mitteilung gemäß Abs. 3 über die Verla- werden die dokumentierten Maßnahmen Grund- gerung über Gründe informiert wird, die eine Ver- lage des Auftrags. Sie sind diesem Vertrag als An- lagerung nicht zulassen, gilt die Zustimmung zu lage 3 beigefügt. Soweit sich aus der Prüfung/dem dieser Verlagerung seitens des Auftraggebers als Audit des Auftraggebers ein Anpassungsbedarf erteilt. ergibt, ist dieser einvernehmlich umzusetzen.

(5) Sofern die Leistungsverlagerung in ein anderes Diese Maßnahmen muss der Auftragnehmer auf Land nach den vorstehenden Regelungen möglich Anfrage dem Auftraggeber und ggfs. Aufsichtsbe- ist, gilt dies entsprechend für jeglichen Zugriff bzw. hörden gegenüber nachweisen. Dieser Nachweis jegliche Sicht auf die Daten durch den Auftragneh- beinhaltet insbesondere die Umsetzung der aus mer, z. B. im Rahmen von internen Kontrollen oder Art. 32 DS-GVO resultierenden Maßnahmen. zu Zwecken der Entwicklung, der Durchführung

von Tests, der Administration oder der Wartung. Die technischen und organisatorischen Maßnah-

men unterliegen dem technischen Fort-schritt und (6) Sofern die Datenverarbeitung nach dieser Verein- der Weiterentwicklung. Insoweit ist es dem Auf- barung und den gesetzlichen Vorgaben zur Verar- tragnehmer gestattet, alternative, nachweislich beitung personenbezogener Daten im Auftrag adäquate Maßnahmen umzusetzen. Dabei muss bzw. zur Übermittlung personenbezogener Daten sichergestellt sein, dass das vertraglich verein- in das Ausland zulässig außerhalb Deutschlands barte Schutzniveau nicht unterschritten wird. We- erbracht werden darf, wird der Auftragnehmer für sentliche Änderungen sind zu dokumentieren. die Einhaltung und Umsetzung der gesetzlichen

Erfordernisse zur Sicherstellung eines adäquaten (3) Der Auftragnehmer stellt dem Auftraggeber auf Datenschutzniveaus bei Standortverlagerungen dessen Wunsch ein aussagekräftiges und aktuel- und bei grenzüberschreitendem Datenverkehr les Datenschutz- und Sicherheitskonzept für diese Sorge tragen Auftragsverarbeitung zur Verfügung.

(4) Der Auftragnehmer selbst führt für die Verarbei- § 6 Pflichten des Auftragnehmers tung ein Verzeichnis der bei ihm stattfindenden

Verarbeitungstätigkeiten im Sinne des Art. 30 DS- (1) Der Auftragnehmer darf Daten nur im Rahmen des GVO. Er stellt auf Anforderung dem Auftraggeber Auftrages und der Weisungen des Auftraggebers die für die Übersicht nach Art. 30 DS-GVO notwen- verarbeiten. digen Angaben zur Verfügung. Des Weiteren stellt

Seite 3 von 11

Vertrag zur Auftragsverarbeitung Anlage 1

er das Verzeichnis auf Anfrage der Aufsichtsbe- der Daten und zur Minderung möglicher nachteili- hörde zur Verfügung. ger Folgen für die Betroffenen und spricht sich

hierzu unverzüglich mit dem Auftraggeber ab. Der (5) Der Auftragnehmer unterstützt den Auftraggeber Auftragnehmer unterstützt den Auftraggeber bei bei der Datenschutzfolgenabschätzung mit allen der Erfüllung der Informationspflichten gegenüber ihm zur Verfügung stehenden Informationen. Im der jeweils zuständigen Aufsichtsbehörde bzw. Falle der Notwendigkeit einer vorherigen Konsul- den von einer Verletzung des Schutzes personen- tation der zuständigen Aufsichtsbehörde unter- bezogener Daten Betroffenen nach Art. 33, 34 DS- stützt der Auftragnehmer den Auftraggeber auch GVO. hierbei.

(11) Soweit ein Betroffener sich unmittelbar an den (6) Die Wahrung des Fernmeldegeheimnisses ent- Auftragnehmer zwecks Berichtigung oder Lö- sprechend § 3 TDDDG muss vom Auftragnehmer schung seiner Daten wenden sollte, wird der Auf- gewährleistet werden. Dazu muss der Auftragneh- tragnehmer dieses Ersuchen unverzüglich an den mer alle Personen, die auftragsgemäß auf Daten Auftraggeber weiterleiten. des Auftraggebers mittels Mittel der Telekommu- nikation wie Telefon oder E-Mail zugreifen können, (12) Überlassene Datenträger sowie sämtliche hiervon auf das Fernmeldegeheimnis verpflichten und gefertigte Kopien oder Reproduktionen verbleiben über die sich daraus ergebenden besonderen Ge- im Eigentum des Auftraggebers. Der Auftragneh- heimhaltungspflichten belehren. mer hat diese sorgfältig zu verwahren, sodass sie

Dritten nicht zugänglich sind. Der Auftragnehmer (7) Der Auftragnehmer ist verpflichtet, alle im Rahmen ist verpflichtet, dem Auftraggeber jederzeit Aus- des Vertragsverhältnisses erlangten Kenntnisse künfte zu erteilen, soweit seine Daten und Unter- von Betriebsgeheimnissen und Datensicherheits- lagen betroffen sind. maßnahmen des Auftraggebers vertraulich zu be- handeln. (13) Ist der Auftraggeber aufgrund geltender Daten-

schutzgesetze gegenüber einer betroffenen Per- (8) Weiterhin sind alle Personen des Auftragnehmers son verpflichtet, Auskünfte zur Verarbeitung von bzgl. der Pflichten zur Wahrung von Geschäfts- Daten dieser Person zu geben, wird der Auftrag- und Betriebsgeheimnissen des Auftraggebers zu nehmer den Auftraggeber dabei unterstützen, verpflichten und müssen auf das GeschGehG hin- diese Informationen bereitzustellen, vorausge- gewiesen werden. setzt der Auftraggeber hat den Auftragnehmer

hierzu schriftlich aufgefordert. (9) Sofern beim Auftragnehmer ein Datenschutzbe- auftragter benannt ist, ist dem Auftraggeber ein (14) Der Auftragnehmer informiert den Auftraggeber Wechsel unverzüglich schriftlich mitzuteilen. Der unverzüglich über Kontrollen und Maßnahmen Auftragnehmer gewährleistet, dass die Anforde- durch die Aufsichtsbehörden oder falls eine Auf- rungen an den Datenschutzbeauftragten und sichtsbehörde bei dem Auftragnehmer ermittelt, seine Tätigkeit gem. Art. 38 DS-GVO erfüllt wer- sofern eine solche sich auf Daten oder Verfahren den. des Auftraggebers bezieht oder eine Relevanz für

den Auftraggeber darstellt oder möglich ist. (10) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich bei Verstößen des Auftragnehmers (15) Der Auftragnehmer wird den Auftraggeber unver- oder der bei ihm im Rahmen des Auftrags beschäf- züglich darauf aufmerksam machen, wenn eine tigten Personen gegen Vorschriften zum Schutz vom Auftraggeber erteilte Weisung seiner Mei- personenbezogener Daten des Auftraggebers o- nung nach gegen gesetzliche Vorschriften ver- der der im Vertrag getroffenen Festlegungen. Er stößt. Der Auftragnehmer ist berechtigt, die Durch- trifft die erforderlichen Maßnahmen zur Sicherung führung der entsprechenden Weisung solange

Seite 4 von 11

Vertrag zur Auftragsverarbeitung Anlage 1

auszusetzen, bis sie durch den Auftraggeber be- nur insoweit Kenntnis von diesen Daten zu ver- stätigt oder geändert wird. schaffen, wie dies zur Erfüllung der ihm zugewie-

senen Aufgaben erforderlich ist. (16) Sollten die Daten des Auftraggebers beim Auftrag- nehmer durch Pfändung oder Beschlagnahme, Der Auftraggeber weist den Auftragnehmer darauf durch ein Insolvenz- oder Vergleichsverfahren hin, dass sich Personen, die an der beruflichen Tä- oder durch sonstige Ereignisse oder Maßnahmen tigkeit eines Berufsgeheimnisträgers mitwirken Dritter gefährdet werden, so hat der Auftragneh- und unbefugt ein fremdes Geheimnis offenbaren, mer den Auftraggeber unverzüglich darüber zu in- das ihnen bei der Ausübung oder bei Gelegenheit formieren. Der Auftragnehmer wird alle in diesem ihrer Tätigkeit bekannt geworden ist, strafbar ma- Zusammenhang Verantwortlichen unverzüglich chen nach § 203 Abs. 4 S. 1 StGB.

darüber informieren, dass die Hoheit und das Ei- gentum an den Daten ausschließlich beim Auftrag- (22) Der Auftragnehmer stellt sicher, dass alle mit der geber als Verantwortlichen im Sinne der DS-GVO Verarbeitung von dem Berufsgeheimnis unterlie- liegen. genden Daten des Auftraggebers befassten Be- schäftigten und andere für den Auftragnehmer tä-

(17) Der Auftragnehmer verwendet die überlassenen tigen Personen, die damit befasst sind, sich in Daten für keine anderen Zwecke als die der Ver- Textform dazu verpflichtet haben, über die ihnen tragserfüllung und setzt auch keine Mittel zur Ver- bei der Ausübung oder bei Gelegenheit ihrer Tä- arbeitung ein, die nicht vom Auftraggeber zuvor tigkeit bekannt gewordenen Berufsgeheimnisse genehmigt wurden. Stillschweigen zu bewahren und diese über die

mögliche Strafbarkeit nach § 203 Abs. 4 StGB be- (18) Der Auftragnehmer speichert keine Patientenda- lehrt wurden. Der Auftraggeber weist den Auftrag- ten auf Systemen, die außerhalb der Verfügungs- nehmer darauf hin, dass sich eine mitwirkende gewalt des Auftraggebers liegen. Person nach § 203 Abs. 4 S. 2 StGB strafbar

macht, sollte sie sich einer weiteren mitwirkenden (19) Sofern der Auftragnehmer durch das Recht der Person bedienen, die ihrerseits unbefugt ein frem- Union oder Mitgliedstaaten verpflichtet ist, die Da- des, ihr bei der Ausübung oder bei Gelegenheit ih- ten auch auf andere Weise zu verarbeiten, so teilt rer Tätigkeit bekannt gewordenes Geheimnis of- der Auftragnehmer dem Auftraggeber diese recht- fenbart, und nicht dafür Sorge getragen hat, dass lichen Anforderungen vor der Verarbeitung mit. diese zur Geheimhaltung verpflichtet wurde. Die Mitteilung hat zu unterbleiben, wenn das ein- schlägige nationale Recht eine solche Mitteilung (23) Der Auftragnehmer wird darauf hingewiesen, dass aufgrund eines wichtigen öffentlichen Interesses er bzgl. der Berufsgeheimnisdaten ein Schweige- verbietet. recht gemäß § 53s StPO hat. Entsprechend § 53a

StPO entscheidet jedoch der Berufsgeheimnisträ- (20) Die Erfüllung der vorgenannten Pflichten ist vom ger über die Ausübung des Schweigerechts. Im Auftragnehmer zu kontrollieren, zu dokumentieren Falle einer Befragung wird der Auftragnehmer un- und in geeigneter Weise gegenüber dem Auftrag- ter Hinweis auf § 53a StPO dieser widersprechen geber auf Anforderung nachzuweisen. und unverzüglich den Auftraggeber informieren,

der daraufhin bzgl. der Wahrnehmung des (21) Sofern im Rahmen dieses Auftrages auch Daten Schweigerechts entscheidet. verarbeitet werden, die unter das Berufsgeheimnis

im Sinne von § 203 StGB fallen, gilt folgendes: (24) Der Auftragnehmer wird darauf hingewiesen, dass

die sich in seinem Gewahrsam befindenden Ge- Der Auftragnehmer verpflichtet sich, über Berufs- heimnisschutzdaten dem Beschlagnahmeverbot geheimnisse Stillschweigen zu bewahren und sich gemäß § 97 Abs. 2 StPO unterliegen. Die Daten

werden nicht ohne das Einverständnis des Auf-

Seite 5 von 11

Vertrag zur Auftragsverarbeitung Anlage 1

traggebers (Berufsgeheimnisträger) herausgege- c) Zugriffe von Mitarbeitern des (Unter-)Auftrag- ben. Im Falle einer Beschlagnahme wird der Auf- nehmers beim Auftraggeber vor Ort.

tragnehmer dieser widersprechen und unverzüg- lich den Auftraggeber informieren. Näheres regelt das Wartungs-/Betriebskonzept, das dem Vertrag als Anlage 3 beigefügt ist.

(25) Sofern der Auftraggeber dem Einsatz von Unter- auftragnehmern zur Datenverarbeitung im Rah- (1) Die Mitarbeiter des (Unter-)Auftragnehmers ver- men der Dienstleistung zugestimmt hat, stellt der wenden angemessene Identifizierungs- und Ver- Auftragnehmer sicher, dass von ihm eingesetzte schlüsselungsverfahren, die dem Stand der Tech- Subunternehmen darauf verpflichtet werden, über nik entsprechen.

Berufsgeheimnisse Stillschweigen zu bewahren (2) Der Auftragnehmer wird von den ihm eingeräum- und alle mit der Verarbeitung der Daten des Auf- ten Zugriffsrechten auf automatisierte Verfahren traggebers befassten Mitarbeiter und andere für oder von Datenverarbeitungsanlagen (insb. IT- sie tätige Personen in Textform darauf zu ver- Systeme, Anwendungen) des Auftraggebers nur in pflichten, über ihnen bei Ausübung oder bei Gele- dem Umfang - auch in zeitlicher Hinsicht - Ge- genheit ihrer Tätigkeit bekannt gewordenen Be- brauch machen, wie dies für die ordnungsgemäße rufsgeheimnisse Stillschweigen zu bewahren. Durchführung der beauftragten Wartungs- und (26) Des Weiteren werden Subunternehmen über das Prüfungsarbeiten notwendig ist.

bestehende Schweigerecht gemäß §53s StPO so- (3) Der Auftraggeber ist im Vorfeld über geplante Zu- wie den Beschlagnahmeschutz gemäß § 97 StPO griffe zu informieren. Soweit nicht im Rahmen des informiert; dies beinhaltet auch Hinweise bzgl. des Wartungs- bzw. Betriebskonzeptes generelle Re- Rechtes des Berufsgeheimnisträgers über dieses gelungen über die Zulässigkeit von Zugriffen ge- Recht zu entscheiden und der damit verbundenen troffen wurden, bedürfen Zugriffe, bei denen eine Pflicht, unverzüglich den Auftraggeber bzgl. der Kenntnisnahme oder ein Zugriff auf personenbe- Wahrnehmung dieser Rechte zu kontaktieren. zogene Daten nicht ausgeschlossen werden kann, (27) Der Einsatz von Subunternehmern im Ausland ist der vorherigen Einwilligung des Auftraggebers.

nur zulässig, wenn sichergestellt ist, dass der dort (4) Tätigkeiten, bei denen ein Datenabzug erforderlich bestehende Geheimnisschutz mit dem Schutz im ist (insbesondere zur Fehleranalyse), bedürfen je- Inland vergleichbar ist. weils einer gesonderten Einwilligung des Auftrag-

gebers. Der Auftragnehmer hat die Daten nach § 7 Weitere Pflichten im Zusammenhang mit der Bereinigung des Fehlers unverzüglich zu löschen. Prüfung und / oder Wartung des Systems Die Daten dürfen nicht ohne Zustimmung des Auf- oder Support der Anwender traggebers auf mobile Speichermedien (PDAs, USB-Speichersticks oder ähnliche Geräte) kopiert Soweit im Zusammenhang mit der Prüfung und oder werden. Wartung des Systems oder Support der Anwender Zu- griffe auf personenbezogene Daten erfolgen, gelten er- (5) Der Auftragnehmer verpflichtet sich Zugriffe und gänzend die folgenden Rechte und Pflichten des Auf- die in diesem Zusammenhang erforderlichen Tä- traggebers bzw. Auftragnehmers, wobei folgende Fall- tigkeiten nur von hierzu autorisierten Mitarbeitern gestaltungen zugrunde liegen können: durchführen zu lassen.

a) Fernzugriffe auf ein System bzw. die Server (6) Zugriffe sowie sämtliche in diesem Zusammen- des Auftraggebers hang erforderlichen Tätigkeiten, insbesondere Tä-

tigkeiten wie Löschen, Datentransfer oder eine b) Zugriffe auf Systeme bzw. Server die beim Fehleranalyse, werden unter Berücksichtigung Auftragnehmer gehostet sind

Seite 6 von 11

Vertrag zur Auftragsverarbeitung Anlage 1

von technischen und organisatorischen Maßnah- beitung personenbezogener Daten datenschutz-

men zum Schutz personenbezogener Daten rechtlich verantwortlich und hat – neben der eige-

durchgeführt. In diesem Zusammenhang wird der nen Verpflichtung des Auftragnehmers – ebenfalls

Auftragnehmer die technischen und organisatori- die Pflicht zur Führung eines Verzeichnisses von

schen Maßnahmen wie im Anhang 3 beschrieben Verarbeitungstätigkeiten.

ergreifen. (4) Dem Auftraggeber obliegen die aus Art. 33, 34 DS-

(7) Soweit unter datenschutzrechtlichen Gesichts- GVO resultierenden Informationspflichten gegen-

punkten erforderlich, insbesondere bei hohem Ri- über der Aufsichtsbehörde bzw. den von einer

siko für personenbezogene Daten, werden sich Verletzung des Schutzes personenbezogener Da-

Auftraggeber und Auftragnehmer über etwaig not- ten Betroffenen.

wendige Datensicherheitsmaßnahmen in ihren je- weiligen Verantwortungsbereichen gesondert ver- (5) Der Auftraggeber legt die Maßnahmen zur Rück- ständigen. gabe der überlassenen Datenträger und/oder Lö- schung der gespeicherten Daten nach Beendi-

(8) Die Zugriffe werden – einschließlich der Person gung des Auftrages vertraglich oder durch Wei-

des/der jeweils ausführenden Mitarbeiter(s) - do- sung fest.

kumentiert und protokolliert. Der Auftraggeber ist berechtigt, Prüfungs- und Wartungsarbeiten vor, (6) Der Auftraggeber ist verpflichtet, alle im Rahmen bei und nach Durchführung zu kontrollieren. des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheits-

(9) Der Auftraggeber ist - soweit technisch möglich - maßnahmen des Auftragnehmers vertraulich zu

berechtigt, Zugriffe jederzeit zu verfolgen, Aktivitä- behandeln.

ten aufzuzeichnen und den Zugriff jederzeit zu be- enden. (7) Der Auftraggeber stellt sicher, dass die aus Art. 32 DS-GVO resultierenden Anforderungen bzgl. der

Sicherheit der Verarbeitung seinerseits eingehal- § 8 Pflichten des Auftraggebers ten werden. Insbesondere gilt dies für Fernzugriffe

des Auftragnehmers auf die Datenbestände des (1) Für die Beurteilung der Zulässigkeit der Datenver- Auftraggebers. arbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwort- (8) Erteilt der Auftraggeber Einzelweisungen, die über lich. Der Auftraggeber wird in seinem Verantwor- den vertraglich vereinbarten Leistungsumfang hin- tungsbereich dafür Sorge tragen, dass die gesetz- ausgehen, sind die dadurch begründeten Kosten lich notwendigen Voraussetzungen (z. B. durch vom Auftraggeber zu tragen. Sofern der verein- Einholung von Einwilligungserklärungen für die barte Leistungsumfang überschritten wird, ist Verarbeitung der Daten) geschaffen werden, da- hierzu vorab eine gesonderte schriftliche Verein- mit der Auftragnehmer die vereinbarten Leistun- barung zu treffen. gen rechtsverletzungsfrei erbringen kann.

(2) Der Auftraggeber hat den Auftragnehmer unver- § 9 Kontrollrechte des Auftraggebers züglich und vollständig zu informieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder (1) Der Auftraggeber hat den Auftragnehmer unter Unregelmäßigkeiten bzgl. datenschutzrechtlicher dem Aspekt ausgewählt, dass dieser hinreichend Bestimmungen feststellt. Garantien dafür bietet, geeignete technische und organisatorische Maßnahmen so durchzuführen,

(3) Der Auftraggeber ist hinsichtlich der vom Auftrag- dass die Verarbeitung im Einklang mit den Anfor- nehmer eingesetzten und vom Auftraggeber ge- derungen der DS-GVO erfolgt und den Schutz der nehmigten Verfahren zur automatisierten Verar- Rechte der betroffenen Person gewährleistet. Er

dokumentiert das Ergebnis seiner Auswahl.

Seite 7 von 11

Vertrag zur Auftragsverarbeitung Anlage 1

Hierfür kann er beispielsweise § 10 Berichtigung, Beschränkung von

Verarbeitung, Löschung und Rückgabe von • datenschutzspezifische Zertifizierungen oder Datenträgern Datenschutzsiegel und -prüfzeichen berück- sichtigen, (1) Während der laufenden Beauftragung berichtigt, löscht oder sperrt der Auftragnehmer die vertrags- • schriftliche Selbstauskünfte des Auftragneh- gegenständlichen Daten nur auf Anweisung des mers einholen, Auftraggebers.

• sich ein Testat eines Sachverständigen vor- (2) Sofern eine Vernichtung während der laufenden legen lassen oder Beauftragung vorzunehmen ist, übernimmt der

Auftragnehmer die nachweislich datenschutzkon- • sich nach rechtzeitiger Anmeldung zu den forme Vernichtung von Datenträgern und sonsti- üblichen Geschäftszeiten ohne Störung des ger Materialien nur aufgrund entsprechender Ein- Betriebsablaufs persönlich oder durch einen zelbeauftragung durch den Auftraggeber. Dies gilt sachkundigen Dritten, der nicht in einem nicht, sofern im Hauptvertrag bereits eine entspre- Wettbewerbsverhältnis zum Auftragnehmer chende Regelung getroffen worden ist. stehen darf, von der Einhaltung der verein- barten Regelungen überzeugen. (3) In besonderen, vom Auftraggeber zu bestimmen- den Fällen, erfolgt eine Aufbewahrung bzw. Über- (2) Liegt ein Verstoß des Auftragnehmers oder der bei gabe. ihm im Rahmen des Auftrags beschäftigten Perso- nen gegen Vorschriften zum Schutz personenbe- (4) Nach Abschluss der Erbringung der Verarbei- zogener Daten des Auftraggebers oder der im Ver- tungsleistungen muss der Auftragnehmer alle per- trag getroffenen Festlegungen vor, so kann eine sonenbezogenen Daten nach Wahl des Auftrag- darauf bezogene Prüfung auch ohne rechtzeitige gebers entweder löschen oder diesem zurückge- Anmeldung vorgenommen werden. Eine Störung ben, sofern nicht nach dem Unionsrecht oder dem des Betriebsablaufs beim Auftragnehmer sollte für den Auftragnehmer geltendem nationalen auch hierbei weitestgehend vermieden werden. Recht eine Verpflichtung zur Speicherung der per- sonenbezogenen Daten besteht. Gleiches gilt für (3) Die Durchführung der Auftragskontrolle mittels re- alle Daten, die Betriebs- oder Geschäftsgeheim- gelmäßiger Prüfungen durch den Auftraggeber im nisse des Auftraggebers beinhalten. Das Protokoll Hinblick auf die Vertragsausführung bzw. -erfül- der Löschung ist auf Anforderung vorzulegen. lung, insbesondere Einhaltung und ggf. notwen- dige Anpassung von Regelungen und Maßnah- (5) Sofern zusätzliche Kosten durch abweichende men zur Durchführung des Auftrags wird vom Auf- Vorgaben bei der Herausgabe oder Löschung der tragnehmer unterstützt. Insbesondere verpflichtet Daten entstehen, bedarf es einer vorherigen sich der Auftragnehmer, dem Auftraggeber auf schriftlichen Vereinbarung über die Kostentra- schriftliche Anforderung innerhalb einer angemes- gung.

senen Frist alle Auskünfte zu geben, die zur Durchführung einer Kontrolle erforderlich sind. (6) Soweit ein Transport des Speichermediums vor Löschung unverzichtbar ist, wird der Auftragneh- (4) Der Auftraggeber hat den Auftragnehmer unver- mer angemessene Maßnahmen zu dessen züglich und vollständig zu informieren, wenn er bei Schutz, insbesondere gegen Entwendung, unbe- der Prüfung Fehler oder Unregelmäßigkeiten bzgl. fugtem Lesen, Kopieren oder Verändern, treffen. datenschutzrechtlicher Bestimmungen feststellt. Die Maßnahmen und die anzuwendenden Lösch- verfahren werden bei Bedarf ergänzend zu den

Leistungsbeschreibungen konkretisierend verein-

bart.

Seite 8 von 11

Vertrag zur Auftragsverarbeitung Anlage 1

(7) Dokumentationen, die dem Nachweis der auf- (3) Im Fall einer allgemeinen schriftlichen Genehmi- trags- und ordnungsgemäßen Datenverarbeitung gung informiert der Auftragnehmer den Auftragge- dienen, sind durch den Auftragnehmer entspre- ber immer über jede beabsichtigte Änderung in chend der jeweiligen Aufbewahrungsfristen über Bezug auf die Hinzuziehung oder die Ersetzung das Vertragsende hinaus aufzubewahren. Er kann von Unterauftragnehmern, wodurch der Auftrag- sie zu seiner Entlastung bei Vertragsende dem geber die Möglichkeit erhält, gegen derartige Än- Auftraggeber übergeben. derungen Einspruch zu erheben. Verweigert der

Auftraggeber durch seinen Einspruch die Zustim- (8) Der Auftraggeber kann jederzeit, d. h. sowohl wäh- mung aus anderen als aus wichtigen Gründen, rend der Laufzeit als auch nach Beendigung des kann der Auftragnehmer den Vertrag zum Zeit- Vertrages, die Berichtigung, Löschung, Verarbei- punkt des geplanten Einsatzes des Unterauftrag- tungseinschränkung („Sperrung“) und Heraus- nehmers kündigen. gabe von Daten durch den Auftragnehmer verlan- gen, solange der Auftragnehmer die Möglichkeit (4) Der Auftraggeber ist damit einverstanden, dass hat, diesem Verlangen zu entsprechen. der Auftragnehmer zur Erfüllung seiner vertraglich

vereinbarten Leistungen verbundene Unterneh- (9) Der Auftragnehmer berichtigt, löscht oder sperrt men des Auftragnehmers zur Leistungserfüllung die vertragsgegenständlichen Daten, wenn der heranzieht. Hierbei muss jedoch jeder Unterauf- Auftraggeber dies anweist. Soweit ein Betroffener tragnehmer (verbundenes Unternehmen) vor Be- sich unmittelbar an den Auftragnehmer zwecks auftragung dem Auftraggeber schriftlich angezeigt Berichtigung oder Löschung seiner Daten wenden werden, sodass der Auftraggeber bei Vorliegen sollte, wird der Auftragnehmer dieses Ersuchen wichtiger Gründe die Beauftragung untersagen unverzüglich an den Auftraggeber weiterleiten. kann.

(10) Im Falle von Test- und Ausschussmaterialien ist (5) Die Leistungserbringung durch Unterauftragneh- eine Einzelbeauftragung bzgl. einer Löschung mer erfolgt ausschließlich in einem Mitgliedsstaat nicht erforderlich, diese müssen gelöscht werden. der Europäischen Union, in einem Vertragsstaat

des Abkommens über den Europäischen Wirt-

schaftsraum oder einem Drittland mit vorliegen- § 11 Unterauftragnehmer dem Angemessenheitsbeschluss gemäß Art. 45

DS-GVO. Soll eine Leistungserbringung aus- Sofern Unterauftragnehmer eingesetzt werden, gelten nahmsweise in einem Drittland ohne Angemes- folgende Regelungen: senheitsbeschluss erfolgen, so bedarf dies der (1) Der Auftragnehmer nimmt keinen Unterauftrag- vorherigen ausdrücklichen Zustimmung des Auf- nehmer ohne vorherige Genehmigung des Auf- traggebers. Der Auftragnehmer sichert in diesem traggebers in Anspruch; diese hat mindestens in Fall die Einhaltung der Voraussetzungen der Art. Textform zu erfolgen. Dies gilt in gleicher Weise 44 ff. DS-GVO zu; er bestätigt, dass er das not- für den Fall, dass weitere Unterauftragsverhält- wendige Transfer Impact Assessment für seine nisse durch Unterauftragnehmer begründet wer- Unterauftragnehmer durchgeführt und in diesem den. Der Auftragnehmer stellt sicher, dass eine Zusammenhang geprüft hat, dass die geplante entsprechende Genehmigung des Auftragsgebers Datenverarbeitung zulässig ist. Der Auftragneh- für alle im Zusammenhang mit der vertragsgegen- mer schließt mit seinem Unterauftragnehmer die ständlichen Verarbeitung eingesetzten weiteren EU-Standardvertragsklauseln ab. Auf Anforde- Unterauftragnehmer vorliegt. rung legt der Auftragnehmer dem Auftraggeber die

entsprechende Dokumentation hierzu vor. (2) Die nachfolgenden Regelungen finden sowohl für den Unterauftragnehmer, als auch für alle in der (6) Zum Zeitpunkt des Abschlusses dieser Vereinba- Folge eingesetzten weiteren Unterauftragnehmer rung werden die vertraglich vereinbarten Leistun- entsprechende Anwendung.

Seite 9 von 11

Vertrag zur Auftragsverarbeitung Anlage 1

gen bzw. die nachfolgend beschriebenen Leis- nen Nebenleistungen angemessene und geset- tungsteile unter Einschaltung eines Unterauftrag- zeskonforme vertragliche Vereinbarungen zu tref- nehmers durchgeführt und sind in Anlage 2 auf- fen sowie Kontrollmaßnahmen zu ergreifen. Die gelistet. Nebenleistungen sind vorab detailliert zu benen-

nen. (7) Der Auftragnehmer muss Unterauftragnehmer un- ter besonderer Berücksichtigung der Eignung hin- (11) Kommt der Unterauftragnehmer seinen Daten- sichtlich der Erfüllung der zwischen Auftraggeber schutzpflichten nicht nach, so haftet der Auftrag- und Auftragnehmer vereinbarten technischen und nehmer gegenüber dem Auftraggeber für die Ein- organisatorischen Maßnahmen gewissenhaft aus- haltung der Pflichten jenes Unterauftragnehmers.

wählen.

(8) Ist der Auftragnehmer im Sinne dieser Vereinba- § 12 Zurückbehaltungsrecht

rung befugt, die Dienste eines Unterauftragneh- Die Einrede des Zurückbehaltungsrechts, gleich aus mers in Anspruch zu nehmen, um bestimmte Ver- welchem Rechtsgrund, an den vertragsge- arbeitungstätigkeiten im Namen des Auftragge- genständlichen Daten sowie an evtl. vorhandenen bers auszuführen, so werden diesem Unterauf- Datenträgern wird ausgeschlossen. tragnehmer im Wege eines Vertrags dieselben

Pflichten auferlegt, die in dieser Vereinbarung zwi-

schen dem Auftraggeber und dem Auftragnehmer § 13 Haftung festgelegt sind, insbesondere hinsichtlich der An-

forderungen an Vertraulichkeit, Datenschutz und Sofern keine vertraglichen Haftungsregelungen Datensicherheit zwischen den Vertragspartnern vereinbart wurden, gelten die gesetzlichen dieses Vertrages sowie den in diesem AV-Vertrag Bestimmungen; insbesondere wird auf Art. 82 DS-GVO beschriebenen Kontroll- und Überprüfungsrechten verwiesen. des Auftraggebers. Hierbei müssen ferner hinrei-

chend Garantien dafür geboten werden, dass die geeigneten technischen und organisatorischen § 14 Schlussbestimmungen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen (1) Nebenabreden, Änderungen und Ergänzungen zu der DS-GVO erfolgt. dieser Vereinbarung bedürfen der Schriftform. Durch eine vom Vertragstext abweichende Übung (9) Durch schriftliche Aufforderung ist der Auftragge- werden keine Rechte und Pflichten begründet. ber berechtigt, vom Auftragnehmer Auskunft über die datenschutzrelevanten Verpflichtungen des (2) Sollten einzelne Bestimmungen dieser Vereinba- Unterauftragnehmers zu erhalten, erforderlichen- rung unwirksam sein oder werden, wird hierdurch falls auch durch Einsicht in die relevanten Ver- die Wirksamkeit der übrigen Bestimmungen nicht tragsunterlagen. berührt. Die Parteien verpflichten sich, anstelle der unwirksamen Bestimmungen rückwirkend eine (10) Ein zustimmungspflichtiges Unterauftragneh- wirksame Regelung zu vereinbaren, die dem von merverhältnis liegt nicht vor, wenn der Auftragneh- den Parteien Gewollten unternehmerisch, organi- mer Dritte im Rahmen einer Nebenleistung zur satorisch und wirtschaftlich in rechtlich zulässiger Hauptleistung beauftragt, wie beispielsweise bei Weise am nächsten kommt. Entsprechendes gilt, Personal-, Post- und Versanddienstleistungen. sollte sich bei der Umsetzung bzw. Durchführung

des Vertrages eine Lücke ergeben. Die Parteien Der Auftragnehmer ist jedoch verpflichtet, zur Ge- verpflichten sich in diesem Fall rückwirkend eine währleistung des Schutzes und der Sicherheit der Regelung zu vereinbaren, die dem am nächsten Daten des Auftraggebers auch bei fremd vergebe- kommt, was die Vertragsschließenden nach dem

Seite 10 von 11

Vertrag zur Auftragsverarbeitung Anlage 1

Sinn und Zweck des Vertrages bestimmt hätten,

wenn der Punkt von ihnen bedacht worden wäre.

(3) Die an externe Partner und Auftragnehmer der

RKH Regionale Kliniken Holding und Services

GmbH sowie ihrer Tochter- und Enkelgesellschaf-

ten gerichtete Information „Konzernregelung Cor-

porate Governance – Information für externe Part-

ner und Auftragnehmer“, einsehbar auf den Inter-

netseiten der RKH unter https://www.rkh-gesund-

heit.de/ueber-uns/corporate-governance, ist Be-

standteil dieser Vereinbarung; dies gilt im Beson-

deren aber nicht ausschließlich für die in Ziffer IV

enthaltene Antikorruptionsklausel.

Seite 11 von 11

Vertrag zur Auftragsverarbeitung - Anlage 2

Anlage 2 – Unterauftragnehmer

Die vertraglich vereinbarten Leistungen bzw. die nachfolgend beschriebenen Leistungsteile werden unter

Einschaltung eines Unterauftragnehmers durchgeführt, nämlich

Name und Anschrift des Beschreibung der Leistungsort

Unterauftragnehmers Teilleistungen

Seite 1 von 1

Vertrag zur Auftragsverarbeitung - Anlage 3

Anlage 3 – Technische und organisatorische Maßnahmen / Wartungs-/ Betriebskonzept

• vom Auftragnehmer vorzulegen -

Seite 1 von 1