Vereinbarung zur Auftragsverarbeitung

Als Anlage zum Vertrag vom [Datum]

nachfolgend „Leistungsvereinbarung“ -

zwischen der Bundesrepublik Deutschland, vertreten durch das Bundesministerium für Wirtschaft und Energie (BMWE), Scharnhorststr. 34 – 37, 10115 Berlin

nachfolgend „Verantwortlicher“ - und

[Vertragspartner]

nachfolgend „Auftragsverarbeiter“ -
beide nachfolgend gemeinsam „Vertragsparteien“ -

wird die folgende Vereinbarung zur Auftragsverarbeitung geschlossen:

Mustervereinbarung zur Auftragsverarbeitung_BMWE v3.6 Stand 06_26

Seite 2 | 28

Inhalt

Präambel ..................................................................................................... 3

§ 1 Anwendungsbereich .............................................................................. 3

§ 2 Konkretisierung des Auftragsinhalts ..................................................... 3

§ 3 Verpflichtungen und Weisungsbefugnis ................................................ 4

§ 4 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverarbeiter ..................................................................................... 6

§ 5 Technisch-organisatorische Maßnahmen und deren Kontrolle ............... 6

§ 6 Mitteilung bei Verstößen durch den Auftragsverarbeiter ....................... 7

§ 7 Löschung und Rückgabe von Daten ....................................................... 8

§ 8 Subunternehmen ................................................................................... 8

§ 9 Datenschutzkontrolle ............................................................................ 9

§ 10 Haftung und Schadenersatz ............................................................... 10

§ 11 Schlussbestimmungen ....................................................................... 10

Anhang 1 „Weisungsbefugnis“ .................................................................. 11

Anhang 2 „Technisch-organisatorische Maßnahmen (TOM)“ ..................... 12

Anhang 3 „Subunternehmen“ .................................................................... 24

Anhang 4 „Meldungen von Datenschutzverstößen“ ................................... 25

Anhang 5 „Selbsterklärung des Auftragnehmers“ ..................................... 28

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 3 | 28

Präambel

Die Vertragsparteien sind mit der Leistungsvereinbarung ein Auftragsverarbeitungs- verhältnis eingegangen. Um die sich hieraus ergebenden Rechte und Pflichten gemäß den Vorgaben der europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG - DSGVO) und des Bundesdatenschutzgesetzes (BDSG) zu konkretisieren, schließen die Vertragspar- teien die nachfolgende Vereinbarung zur Auftragsverarbeitung (nachfolgend „Verein- barung“) .

§ 1 Anwendungsbereich

(1) Die Vereinbarung findet Anwendung auf die Verarbeitung (Art. 4 Nr. 2 DSGVO) aller personenbezogener Daten (im Folgenden: Daten), die Gegenstand der Leis- tungsvereinbarung sind oder im Rahmen von deren Durchführung anfallen und auf Weisung des Verantwortlichen verarbeitet werden. Nicht unter den Anwendungsbe- reich fallen Daten von Mitarbeitern des Auftragsverarbeiters, soweit sie ausschließlich das Beschäftigungsverhältnis mit dem Auftragsverarbeiter betreffen.

(2) Diese Vereinbarung gilt vorranging vor anderen Vereinbarungen und Abreden zwi- schen dem Verantwortlichen und Auftragsverarbeiter, es sei denn, zwischen den Ver- tragsparteien wird ausdrücklich etwas anderes vereinbart.

§ 2 Konkretisierung des Auftragsinhalts

(1) Gegenstand und Dauer der Auftragsverarbeitung sowie Umfang, Art und Zweck der vorgesehenen Verarbeitung von Daten bestimmen sich nach der Leistungsver- einbarung, die dieser Vereinbarung angefügt ist.

Hiernach unterliegen den Regelungen dieser Vereinbarung folgende Verfahren zur Verarbeitung personenbezogener Daten:

a. Verarbeitung von Personenstamm- und Kontaktdaten (Name, Anschrift, E- Mail-Adresse; Telefonnummer, Funktion usw.) b. Verarbeitung von Werturteilen (z.B. Unterstützungsschreiben einer Firma/Uni- versität/Institution für das Projekt eines Partners unter Nennung von An- sprechpartnern und bewertenden Personen) im Rahmen von Angebots- und Skizzenauswertungen c. Verarbeitung von Kontaktnetzwerken (Namen, Unternehmen/Institutionen, Funktion usw.

Diese Verfahren untergliedern sich in folgende Verarbeitungsschritte:

a. Verarbeitung von Kundendaten, allgemeiner Personendaten und Werturteile im Rahmen der Sichtung und Prüfung von Anträgen bzw. Skizzen b. Verarbeitung von Kontaktnetzwerken im Rahmen von Antrags- bzw. Skizzen- auswertungen sowie im Rahmen der forschungsbegleitenden Leistungen c. Aufbewahrung der Unterlagen gem. der vorgesehenen Fristen

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 4 | 28

Diese Verarbeitungen verfolgen folgende Zwecke:

a. Unterstützung der Abt. II, Referate IIC1 und IIC2 bei der Bewertung von Pro- jektskizzen hinsichtlich der Förderfähigkeit

Die Verarbeitungsverfahren finden in folgendem Zeitraum statt:

Vertragslaufzeit vom 01.01.2027 bis 31.12.2030, ggf. einjährige Laufzeitverlänge- rungsoption.

(2) Folgende Arten personenbezogener Daten sind Gegenstand der Verarbeitung durch den Auftragsverarbeiter:

• Personenstammdaten (z.B. Namen und Vornamen) • dienstliche Kontakt- und Kommunikationsdaten (z.B. Telefon, E-Mail) • Dienstliche Funktion, Tätigkeit, Qualifikation, Organisationszugehörigkeit • Tätigkeitsnachweise, Eingruppierungen, Vergütungsdaten • Benutzerdaten für Videokonferenzsystem • Website-Nutzerdaten • Benutzerdaten (Logs im Skizzenportal, profi)

(3) Der Kreis der durch den Umgang mit ihren Daten betroffenen Personen ist (Ka- tegorien betroffener Personen):

• Ansprechpersonen und sonstige Mitarbeitende der Skizzen-/Antragsteller und Zuwendungsempfänger • Ansprechpersonen der Konsortialpartner und sonstigen Organisationen • Förderinteressenten • Teilnehmende von Veranstaltungen • Newsletter-Abonnenten • Mitarbeitende der befassten Ressorts

(4) Im Rahmen der Auftragsverarbeitung werden keine besonderen Kategorien von Daten verarbeitet.

(5) Die verarbeiteten personenbezogenen Daten haben einen normalen Schutzbe- darf.

§ 3 Verpflichtungen und Weisungsbefugnis

(1) Die Vertragsparteien sind verpflichtet, die ihnen durch datenschutzrechtliche Vorschriften (insb. DSGVO) auferlegten Pflichten einzuhalten. Der Verantwortliche kann jederzeit die Herausgabe, Berichtigung, Anpassung, Löschung und Einschrän- kung der Verarbeitung der Daten verlangen.

(2) Zur Gewährleistung des Schutzes der Rechte der betroffenen Personen unterstützt der Auftragsverarbeiter den Verantwortlichen angemessen, insbesondere durch die Gewährleistung geeigneter technischer und organisatorischer Maßnahmen.

(3) Soweit sich eine betroffene Person zwecks Geltendmachung eines Betroffenen- rechts unmittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 5 | 28

dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.

(4) Der Auftragsverarbeiter darf Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen verarbeiten, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder des Mitgliedstaates, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbe- hörden). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses ver- bietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Eine Weisung ist die auf einen bestimmten Umgang des Auftragsverarbeiters mit Daten gerichtete schriftliche, elektronische oder mündliche Anordnung des Verantwortlichen. Die Anordnungen sind zu dokumen- tieren. Die Weisungen werden zunächst durch die Leistungsvereinbarung definiert und können von dem Verantwortlichen danach in dokumentierter Form durch eine einzelne Weisung geändert, ergänzt oder ersetzt werden.

(5) Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vor- schriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechen- den Weisung solange auszusetzen, bis sie von Seiten des Verantwortlichen bestätigt oder geändert wird. Die weisungsberechtigten Personen auf Seiten des Verantwortli- chen sowie die zum Empfang der Weisungen berechtigten Personen auf Seiten des Auftragsverarbeiters sowie die vorgesehenen Informationswege sind im Anhang 1 „Weisungsbefugnis“ festgelegt.

(6) Änderungen des Verarbeitungsgegenstandes mit Verfahrensänderungen sind ge- meinsam abzustimmen und zu dokumentieren.

(7) Auskünfte an Dritte oder die betroffene Person darf der Auftragsverarbeiter nur nach vorheriger ausdrücklicher schriftlicher (oder dokumentierter elektronischer) Zu- stimmung durch den Verantwortlichen erteilen, es sei denn er ist nach dem Unions- recht oder dem Recht eines Mitgliedstaats zur Herausgabe verpflichtet.

(8) Der Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben, es sei denn er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Herausgabe verpflichtet. Kopien und Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt.

(9) Der Verantwortliche führt das Verzeichnis von Verarbeitungstätigkeiten i.S.d. Art. 30 Abs. 1 DSGVO. Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Wunsch Informationen zur Aufnahme in das Verzeichnis zur Verfügung. Der Auf- tragsverarbeiter führt entsprechend den Vorgaben des Art. 30 Abs. 2 DSGVO ein Ver- zeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Tä- tigkeiten der Verarbeitung.

(10) Die Verarbeitung der Daten im Auftrag des Verantwortlichen findet ausschließlich auf dem Gebiet der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsrau- mes (EWR) statt. Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grund- lage schriftlicher (oder dokumentierter elektronischer) Weisungen des Verantwortli- chen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 6 | 28

mit Kapitel V der DSGVO im Einklang stehen. Die grundlegenden Voraussetzungen für die Rechtmäßigkeit der Verarbeitung bleiben unberührt.

(11) Der Auftragsverarbeiter gewährleistet, dass ihm unterstellte natürliche Perso- nen, die Zugang zu Daten haben, diese nur auf Anweisung des Verantwortlichen ver- arbeiten. Eine Verarbeitung von Daten außerhalb der Betriebsräume des Auftragsver- arbeiters (z.B. Telearbeit, Heimarbeit, Home Office, mobiles Arbeiten) bedarf der vor- herigen ausdrücklichen schriftlichen (oder dokumentierten elektronischen) Zustim- mung des Verantwortlichen, die erst nach Festlegung angemessener technischer und organisatorischer Maßnahmen für die Verarbeitungssituation erteilt werden kann.

§ 4 Beachtung zwingender gesetzlicher Pflichten durch den Auftragsverar- beiter

(1) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und weist dies dem Verantwortli- chen auf Wunsch nach. Dies umfasst auch die Belehrung über die in diesem Auf- tragsverarbeitungsverhältnis bestehende Weisungs- und Zweckbindung.

(2) Die Vertragsparteien unterstützen sich gegenseitig beim Nachweis und der Doku- mentation der ihnen obliegenden Rechenschaftspflicht im Hinblick auf die Grundsätze ordnungsgemäßer Datenverarbeitung einschließlich der Umsetzung der notwendigen technischen und organisatorischen Maßnahmen (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Der Auftragsverarbeiter stellt dem Verantwortlichen hierzu bei Bedarf ent- sprechende Informationen zur Verfügung.

(3) Sofern der Auftragsverarbeiter der gesetzlichen Pflicht zur Benennung einer bzw. eines Datenschutzbeauftragten unterliegt, sind die Kontaktdaten der/des Daten- schutzbeauftragten dem Verantwortlichen zum Zwecke der direkten Kontaktauf- nahme mitzuteilen. Unterliegt der Auftragsverarbeiter nicht der Benennungspflicht, teilt er dem Verantwortlichen die Kontaktdaten eines Ansprechpartners für den Da- tenschutz mit. Die Kontaktdaten sind in den Anhang 1 „Weisungsbefugnis“ aufzuneh- men.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kon- trollen und Maßnahmen durch die Aufsichtsbehörden oder falls eine Aufsichtsbehörde im Rahmen ihrer Zuständigkeit bei dem Auftragsverarbeiter anfragt, ermittelt oder sonstige Erkundigungen einzieht.

§ 5 Technisch-organisatorische Maßnahmen und deren Kontrolle

(1) Die Vertragsparteien vereinbaren die in dem Anhang 2 „Technisch-organisatori- sche Maßnahmen“ zu dieser Vereinbarung niedergelegten konkreten technischen und organisatorischen Sicherheitsmaßnahmen. Die Anhänge „Technisch-organisatorische Maßnahmen“ (Anhang 2) und die Selbsterklärung des Auftragsverarbeiters zur wirk- samen Behandlung von Risiken für den Datenschutz (Anhang 5) sind Gegenstand dieser Vereinbarung.

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 7 | 28

(2) Ergibt eine Prüfung des Verantwortlichen einen Anpassungsbedarf der vom Auf- tragsverarbeiter zu ergreifenden technisch-organisatorischen Maßnahmen gemäß Ar- tikel 32 DSGVO, sind die Anpassungen vom Auftragsverarbeiter umzusetzen.

(3) Technische und organisatorische Maßnahmen unterliegen dem technischen Fort- schritt. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maß- nahmen umzusetzen. Dabei darf das Sicherheitsniveau der in dem Anhang 2 „Tech- nisch-organisatorische Maßnahmen (TOM)“ festgelegten Maßnahmen nicht unter- schritten werden. Wesentliche Änderungen sind zu dokumentieren.

(4) Der Auftragsverarbeiter wird dem Verantwortlichen alle erforderlichen Informati- onen zur Verfügung stellen, die zum Nachweis der Einhaltung der in dieser Vereinba- rung getroffenen und der gesetzlichen Vorgaben erforderlich sind. Er wird insbeson- dere Überprüfungen/ Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, ermöglichen und deren Durchführung un- terstützen.

(5) Die Überprüfung kann auch auf der Grundlage vorgelegter aktueller Testate, von Berichten hinreichend qualifizierter und unabhängiger Instanzen (z.B. Wirtschafts- prüfer, unabhängige Datenschutzauditoren), durch die Einhaltung genehmigter Ver- haltensregeln nach Art. 40 DSGVO, einer Zertifizierung nach Art. 42 DSGVO oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit erfolgen. Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen über den Ausschluss von genehmigten Verhaltensregeln gemäß Art. 41 Abs. 4 DSGVO, den Widerruf einer Zertifizierung gemäß Art. 42 Abs. 7 DSGVO und jede andere Form der Aufhebung oder wesentlichen Änderung der vorgenannten Nachweise unverzüglich zu unterrich- ten.

(6) Die Überprüfung kann auch durch eine Inspektion vor Ort erfolgen. Der Verant- wortliche kann sich hierzu in den Betriebsstätten des Auftragsverarbeiters zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs von der Angemessenheit der Maßnahmen zur Einhaltung der gesetzlichen Vorgaben oder der zur Durchführung dieser Vereinbarung erforderlichen technischen und organisatorischen Erfordernisse überzeugen.

(7) Der Auftragsverarbeiter stellt dem Verantwortlichen darüber hinaus alle erforder- lichen Informationen zur Verfügung, die er für die Prüfungen nach Absatz 4 sowie für eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz der Daten (Datenschutz-Folgenabschätzung i.S.d. Art. 35 DSGVO) benötigt.

(8) Der Auftragsverarbeiter hat im Benehmen mit dem Verantwortlichen alle erfor- derlichen Maßnahmen zur Sicherung der Daten bzw. der Sicherheit der Verarbeitung, insbesondere auch unter Berücksichtigung des Stands der Technik sowie zur Minde- rung möglicher nachteiliger Folgen für Betroffene, zu ergreifen.

§ 6 Mitteilung bei Verstößen durch den Auftragsverarbeiter

Der Auftragsverarbeiter unterrichtet den Verantwortlichen umgehend bei schwerwie- genden Störungen seines Betriebsablaufes, bei Verdacht auf Verstöße gegen diese Vereinbarung sowie gesetzliche Datenschutzbestimmungen, bei Verstößen gegen sol- che Bestimmungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der Daten des Verantwortlichen. Dies gilt insbesondere im Hinblick auf die Meldepflicht nach Art.

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 8 | 28

33 Abs. 2 DSGVO sowie auf korrespondierende Pflichten des Verantwortlichen nach Art. 33 und Art. 34 DSGVO. Der Auftragsverarbeiter sichert zu, den Verantwortlichen erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen. Der Auftragsverarbeiter sichert insbesondere zu, in diesen Fällen den Anhang 4 „Meldung von Datenschutzverstößen“ unverzüglich auszufüllen und dem Verantwortlichen zu übersenden. Meldungen nach Art. 33 oder 34 DSGVO für den Verantwortlichen darf der Auftragsverarbeiter nur nach vorheriger Weisung gem. § 3 dieser Vereinbarung durchführen.

§ 7 Löschung und Rückgabe von Daten

(1) Überlassene Datenträger und Datensätze verbleiben im Eigentum des Verantwort- lichen.

(2) Nach Abschluss der vertraglich vereinbarten Leistungen oder früher nach Auffor- derung durch den Verantwortlichen, jedoch spätestens mit Beendigung der Leistungs- vereinbarung, hat der Auftragsverarbeiter sämtliche im Auftrag des Verantwortlichen verarbeitete personenbezogene Daten dem Verantwortlichen zurückzugeben oder nach vorheriger Zustimmung des Verantwortlichen datenschutzgerecht zu löschen bzw. zu vernichten. Dies umfasst insbesondere dem Auftragsverarbeiter überlassene Daten, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände (wie auch hiervon gefertigte Kopien oder Reproduktionen), die im Zusammenhang mit dem Auftragsverhältnis stehen. Eine weitere Speicherung ist nur zulässig, wenn hierzu eine Verpflichtung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats besteht. Gleiches gilt für Test- und Ausschussmaterial. Ein Löschungsprotokoll ist dem Verantwortlichen auf Anforderung vorzulegen.

(3) Der Auftragsverarbeiter kann Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, entsprechend der jeweiligen Auf- bewahrungsfristen bis zu deren Ende auch über das Vertragsende hinaus aufbewah- ren. Alternativ kann er sie zu seiner Entlastung bei Vertragsende dem Verantwortli- chen übergeben. Für die nach Satz 1 aufbewahrten Daten gelten nach Ende der Auf- bewahrungsfrist die Pflichten nach Absatz 2.

§ 8 Subunternehmen

(1) Der Auftragsverarbeiter darf weitere Auftragsverarbeiter (Subunternehmen) nur nach einem der nachfolgenden Verfahren einsetzen:

☐ Der Auftragsverarbeiter darf keinen seiner Verarbeitungsvorgänge, die er im Auftrag des Verantwortlichen gemäß dieser Vereinbarung durchführt, ohne vor- herige gesonderte schriftliche (oder dokumentierte elektronische) Genehmi- gung des Verantwortlichen an einen Subunternehmer untervergeben. Der Auf- tragsverarbeiter reicht den Antrag für die gesonderte Genehmigung mindes- tens vier Wochen vor der Beauftragung des betreffenden Subunternehmers zusammen mit den Informationen ein, die der Verantwortliche benötigt, um über die Genehmigung zu entscheiden. Die Liste der vom Verantwortlichen ge- nehmigten Subunternehmer findet sich im Anhang 3 „Subunternehmen“. Die Vertragsparteien halten diesen Anhang jeweils auf dem neuesten Stand.

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 9 | 28

☒ Der Auftragsverarbeiter erhält die allgemeine Genehmigung des Verantwortli- chen für die Beauftragung von Subunternehmen, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Subunternehmen und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des betreffenden Subunternehmens Einwände gegen diese Änderungen erheben zu können. Der Auftragsverarbeiter stellt dem Ver- antwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.

Nicht als Leistungen von Subunternehmen im Sinne dieser Regelung gelten Dienst- leistungen, die der Auftragsverarbeiter bei Dritten als Nebenleistung zur Unterstüt- zung der Auftragsdurchführung in Anspruch nimmt, beispielsweise Telekommunikati- onsdienstleistungen. Der Auftragsverarbeiter ist jedoch verpflichtet, zur Gewährleis- tung des Schutzes und der Sicherheit der Daten des Verantwortlichen auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Ver- einbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.

(2) Wenn Subunternehmen durch den Auftragsverarbeiter eingeschaltet werden, hat der Auftragsverarbeiter sicherzustellen, dass seine vertraglichen Vereinbarungen mit dem Subunternehmen so gestaltet sind, dass das Datenschutzniveau mindestens der Vereinbarung zwischen dem Verantwortlichen und dem Auftragsverarbeiter entspricht und alle vertraglichen und gesetzlichen Vorgaben beachtet werden; dies gilt insbe- sondere auch im Hinblick auf den Einsatz geeigneter technischer und organisatori- scher Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus der Verarbeitung.

(3) Dem Verantwortlichen sind in der vertraglichen Vereinbarung mit dem Subunter- nehmen Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung einzu- räumen. Ebenso ist der Verantwortliche berechtigt, auf schriftliche (oder dokumen- tierte elektronische) Anforderung vom Auftragsverarbeiter Auskunft über den Inhalt des mit dem Subunternehmen geschlossenen Vertrages und die darin enthaltene Um- setzung der datenschutzrelevanten Verpflichtungen des Subunternehmens zu erhal- ten.

(4) Kommt das Subunternehmen seinen datenschutzrechtlichen Verpflichtungen nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Ein- haltung der Pflichten des Subunternehmens. Der Auftragsverarbeiter hat in diesem Falle auf Verlangen des Verantwortlichen die Beschäftigung des Subunternehmens ganz oder teilweise zu beenden oder das Vertragsverhältnis mit dem Subunterneh- men zu lösen, wenn und soweit dies nicht unverhältnismäßig ist.

§ 9 Datenschutzkontrolle

Der Auftragsverarbeiter verpflichtet sich, der/dem Datenschutzbeauftragten des Ver- antwortlichen zur Erfüllung ihrer bzw. seiner jeweiligen gesetzlichen zugewiesenen Aufgaben im Zusammenhang mit diesem Auftrag Zugang zu den üblichen Geschäfts- zeiten zu gewähren. Er duldet insbesondere Betretungs-, Einsichts- und Fragerechte einschließlich der Einsicht in durch Berufsgeheimnisse geschützte Unterlagen. Er wird seine Mitarbeiterinnen und Mitarbeiter anweisen, mit dem/ der Datenschutzbeauf- tragten zu kooperieren, insbesondere ihre bzw. seine Fragen wahrheitsgemäß und

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 10 | 28

vollständig zu beantworten. Die nach Gesetz bestehenden Verschwiegenheitspflichten und Zeugnisverweigerungsrechte der Genannten bleiben davon unberührt.

§ 10 Haftung und Schadenersatz

Auf Artikel 82 DSGVO wird bezüglich der Haftung und des Rechts auf Schadenersatz verwiesen.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile - einschließlich etwaiger Zusicherungen des Auftragsverarbeiters - bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

(2) Sollten einzelne Regelungen dieser Vereinbarung unwirksam oder undurchführbar sein, wird davon die Wirksamkeit der übrigen Regelungen nicht berührt. Anstelle der unwirksamen oder undurchführbaren Regelung tritt die entsprechende gesetzliche Regelung. Soweit eine solche Regelung nicht existiert, gilt diejenige Regelung als ver- einbart, die dem von den Vertragsparteien bei sachgerechter Abwägung ihrer beider- seitigen Interessen nach Treu und Glauben redlicherweise gewollten Inhalt am nächs- ten kommt (ergänzende Vertragsauslegung). Die vorstehenden Bestimmungen gelten entsprechend für den Fall, dass sich die Vereinbarung als lückenhaft erweist.

Datum, Ort Datum, Ort

Unterschrift (Verantwortlicher) Unterschrift (Auftragsverarbeiter)

Name, Vorname, Funktion Name, Vorname, Funktion

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 11 | 28

Anhang 1 „Weisungsbefugnis“

zur Vereinbarung zur Auftragsverarbeitung vom [Datum] zwischen dem Bundesministerium für Wirtschaft und Energie und [Vertragspartner]

§ 3 Abs. 5 S. 3 der Vereinbarung zur Auftragsverarbeitung verweist zur Konkretisie- rung der weisungsberechtigten und empfangsberechtigten Personen auf diesen An- hang.

Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie von Seiten des Verantwortlichen bestätigt oder geändert wird. Die weisungsberechtigten Personen auf Seiten des Verantwortlichen sowie die zum Empfang der Weisungen berechtigten Personen auf Seiten des Auftragsverarbei- ters sowie die vorgesehenen Informationswege sind nachfolgend festgelegt.

Weisungsberechtigte Personen auf Seiten des Verantwortlichen:

 Herr von der Hude (IIC2)  Herr Noll (IIC2)  Frau Weström (IIC1)

Zum Empfang der Weisungen berechtigte Personen auf Seiten des Auf- tragsverarbeiters:

 Y (für … Bereich)  YY (für … Bereich)  YYY (Stellvertreter)  …

Vorgesehene Informationswege, wenn Weisung nach Meinung des Auf- tragsverarbeiters gegen datenschutzrechtliche Vorschriften verstößt:

☒ schriftliche und/oder

☒ elektronische und/oder

☐ mündliche Information

Weisungen (auch mündliche Weisungen) sind durch die Vertragsparteien zu doku- mentieren. Änderungen bei den weisungsbefugten Personen, den zum Weisungsemp- fang berechtigten Personen und bei den vorgesehenen Informationswegen sind dem Vertragspartner entsprechend unverzüglich anzuzeigen.

Kontaktdaten Datenschutzbeauftragte/r oder Ansprechperson für den Da- tenschutz beim Auftragsverarbeiter:

Mustervereinbarung zur Auftragsverarbeitung_BMWE v3.6 Stand 06_26

Seite 12 | 28

Anhang 2 „Technisch-organisatorische Maßnahmen (TOM)“

zur Vereinbarung zur Auftragsverarbeitung vom [Datum] zwischen dem Bundesministerium für Wirtschaft und Energie und [Vertragspartner]

§ 5 der Vereinbarung zur Auftragsverarbeitung verweist zur Konkretisierung der tech- nisch-organisatorischen Maßnahmen auf diesen Anhang.

§ 1 Technische und organisatorische Sicherheitsmaßnahmen Die Vertragspartner sind verpflichtet, geeignete technische und organisatorische Maßnahmen so durchzuführen, dass die Verarbeitung der Daten im Einklang mit den gesetzlichen Anforderungen erfolgt und der Schutz der Rechte der betroffenen Person in angemessener Form gewährleistet ist.

§ 2 Innerbehördliche oder innerbetriebliche Organisation des Auftragsver- arbeiters Der Auftragsverarbeiter wird seine innerbehördliche oder innerbetriebliche Organisa- tion so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden Daten oder Datenkategorien geeignet sind.

§ 3 Konkretisierung der Einzelmaßnahmen (1) Im Einzelnen werden folgende Maßnahmen bestimmt, die der Umsetzung der Vorgaben des Art. 32 DSGVO dienen:

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 13 | 28

	Nr.			Maßnahme			Umsetzung der Maßnahme
1.			Maßnahmen der Pseudonymisie- rung und Verschlüsselung perso- nenbezogener Daten			- Netzwerkanbindung per verschlüsselter VPN-Verbindung - Ausschließliche Nutzung von VPN-Zu- gängen zur Realisierung des entfernten Zugriffs - Einsatz einer Festplattenverschlüsse- lung auf den Client-Rechnern - Richtlinie zur Entsorgung von Datenträ- gern - Data Hashing (Transformierung von perso-nenbezogenen Daten in eine be- stimmte Zeichenfolge) insb. für Pass- wörter und Schlüssel - Nutzung von kryptografischen Tools - Schutz von geheimen Schlüsseln durch starke Passwörter - SSL-Zertifikate von vertrauenswürdigen Zertifizierungsstellen - Verschlüsselung (asymmetrisch/sym- metrisch) nach Stand der Technik - Verschlüsselung von Systemen - Verschlüsselung von Speichermedien - Verschlüsselung von Datenträgern - Verschlüsselung der Kommunikation (z.B. E-Mail-Verschlüsselung, Telefonie & Videokonferenz) - Regelmäßige Mitarbeiterunter- weisungen

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 14 | 28

Maßnahmen zur fortdauernden Si- - Verpflichtung auf das Datengeheimnis cherstellung der Vertraulichkeit, und Vertraulichkeitsverpflichtung der Integrität, Verfügbarkeit und Be- Mitarbeiter lastbarkeit der Systeme und - Vorhandensein einer geeigneten Orga- Dienste im Zusammenhang mit der nisationsstruktur für Informationssi- Verarbeitung cherheit

Abschluss von Verträgen zur Auf- tragsverarbeitung gem. Art. 28 DSGVO mit Dienstleistern, Vertraulichkeitsver- einbarung mit Dienstleistern
Relevante Richtlinien werden aktuell gehalten und sind leicht auffindbar (z.B. im Intranet)
Nutzung zertifizierter Clouddienst-An- bieter
Externer Speicher / Backup-Server
Einsatz geeigneter Firewalls, Support- verträge mit Dritten
Regelmäßige Datensicherung
Geeignete Maßnahmen zur Datensiche- rung: 3-2-1-Prinzip, Ausgelagerte Ar- chivierung der Backup-Bänder
Redundante Systeme
Überwachung von Systemen und Diens- ten
RAID-Systeme
Netzgebundener Speicher (NAS)
Wartungsverträge
Load-Balancing
Einsatz von Verfahren zur Zwei- oder Mehr-Faktor-Authentifizierung bei Ver- arbeitungstätigkeiten mit hohem Risiko
Erstellung von Rollenprofilen/Festle- gung funktioneller Verantwortlichkeiten
Verwendung von Zugriffsrechten
Durchführung von regelmäßigen Back- Ups
Verwendung eines Virenschutzes
Feuerhemmende Schränke/Tresore zur Lagerung essentieller Komponenten (z.B. Backup-Bänder, wichtige Original- dokumente)
Klimatisierung von Serverräumen
Brand- und Löschwasserschutz
Unterbrechungsfreie Stromversorgung (USV)
Verwendung von Feuer- und Rauchmel- deanlagen
Automatisches Einspielen von Sicher- heitsupdates des Betriebssystems, der installierten Software

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 15 | 28

		- Fortlaufendes Inventarisieren von Soft- wareversionen oder Komponenten so- wie deren Abhängigkeiten - Regelmäßige Auswertung von Informa- tionen zu Sicherheitslücken der einge- setzten Software
3.	Maßnahmen zur Sicherstellung der Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physi- schen oder technischen Zwischen- fall rasch wiederherzustellen	- Ausstattung von Räumen mit zentralen Datenverarbeitungsanlagen mit unter- brechungsfreier Stromversorgung, Überspannungsschutz, Klimaanlage, Feuer- und Rauchmelder, Feuerlösch- geräten - Serverräume sind zugangsgeschützt durch personalisierte Berechtigungen - Systemsicherungen vor Durchführung notwendiger Wartungs- oder Repara- turarbeiten sowie Funktionsüberprü- fung im Nachgang - Durchführung von regelmäßigen Back- Ups des gesamten Systems - Vertretungsregelungen - Speicherung auf mehreren Systemen - Durchführung regelmäßiger Tests zur Datenwiederherstellung - Geeignete Maßnahmen zur Datensiche- rung: 3-2-1-Prinzip, Ausgelagerte Ar- chi-vierung der Backup-Bänder - Hardware-Support- und Servicever- träge - Regelmäßige Tests, ob alle relevanten Daten im Back-Up Prozess enthalten sind und die Wiederherstellung funktio- niert
4.	Verfahren zur regelmäßigen Über- prüfung, Bewertung und Evaluie- rung der Wirksamkeit der techni- schen und organisatorischen Maß- nahmen zur Gewährleistung der Si- cherheit der Verarbeitung	- Festlegung der Rollen und Verantwort- lichkeiten im Rahmen der Sicherstel- lung der TOMs - Überprüfung der IT-Prozesse - Regelmäßige Überprüfung und Aktuali- sierung der Verarbeitungstätigkeiten und TOMs - Durchführung von Datenschutzfolgen- abschätzungen - Check Datenschutz durch Technikge- staltung und Voreinstellungen - Implementierung von Verbesserungs- vorschlägen - Regelmäßige Sensibilisierung der Mitar- beiter (mind. jährlich) - Dokumentierte Vorgehensweise zum Umgang mit Sicherheitsvorfällen

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 16 | 28

Maßnahmen zur Identifizierung - Benutzer werden über einen Identity- und Autorisierung der Nutzer Provider authentifiziert

Authentisierung mit Benutzername / Passwort
Einsatz von Verfahren zur Zwei- oder Mehr-Faktor-Authentifizierung bei Ver- arbeitungstätigkeiten mit hohem Risiko
Erstellung von Rollenprofilen/Festle- gung funktioneller Verantwortlichkei- ten, Verwendung von Zugriffsrechten (Berechtigungskonzept)
Rollentrennung von Test- und Produk- tivsystem
Regelmäßige Prüfung von Berechtigun- gen
Verwaltung der Rechte durch einen Ad- min, Begrenzung der Anzahl und Rechte der Admins
Identifikation von neuen Mitarbeitern
Passwort-Richtlinie
Sperrung des Rechners nach fünfmali- ger Falscheingabe des Passwortes (Passwortrücksetzung nach vorge- schriebenem und dokumentiertem Ab- lauf, inkl. persönlicher Legimitation)
Einsatz einer zentralen Netzwerk-Fire- wall
Einsatz einer Software-Firewall auf den Clients
Geräte werden nach zehn Minuten In- aktivität automatisch gesperrt
Anti-Viren-Software Server und Clients
Einsatz eines Web-Proxy für den Zugriff auf das Internet
Intrusion-Detection-System im internen Netzwerk
Netzwerkanbindung per verschlüsselter VPN-Verbindung
Ausschließliche Nutzung von VPN-Zu- gängen zur Realisierung des entfernten Zugriffs
Client-Systeme erfüllen Mindeststan- dards für Sicherheit (aktuelle Anti-Vi- ren-Software, Aktualisierungen des Be- triebssystems, Host-Firewall einge- stellt)
Einsatz einer Festplattenverschlüsse- lung auf den Client-Rechnern
Verschlüsselung von mobilen Datenträ- gern (USB-Sticks)
Richtlinie zur Entsorgung von Datenträ- gern

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 17 | 28

		- Regelmäßige Mitarbeiterunterweisun- gen (z. B. zur Informationssicherheit, Entsorgung Datenträger, Nutzung Pass- wort-Manager, manuelle Aktivierung der Bildschirmsperre)
6.	Maßnahmen zum Schutz der Daten während der Übermittlung	- Einsatz von Verschlüsselungstechnolo- gien - Verwendung einer SASE-Plattform - Protokollierung von Aktivitäten und Er- eignissen - Verwendung nicht öffentlicher Lauf- werke, passwortgeschützter Dokumen- tenaus-tausch per BSCW-Server oder e- Akte - E-Mail-Verschlüsselung (TLS 1.2 oder 1.3) - Ermöglichung der Datenübertragbarkeit, z.B. durch passwortgeschütztem Doku- mentenaustausch per BSCW-Server des Bundes oder Austauschplattform des Auftragnehmers als private Cloud, Da- tenübertragung zwischen Systemen mittels (API) Schnittstellen, Datenbe- reitstellung als Ex-port mit standardi- siertem Datenformat z.B. CSV, XML - Begleitung und Beaufsichtigung externer IT-Dienstleister während sämtlicher Tä- tigkeiten - Nutzung von qualifizierten, elektroni- schen Signaturen in verschiedenen An- wendungen/Systemen - Regelmäßige Mitarbeitendenunterwei- sung (z. B. Nutzung mobiler Datenträ- ger)

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 18 | 28

Maßnahmen zum Schutz der Daten - Verschlüsselung von Systemen, Ver- während der Speicherung schlüsselung von Speichermedien, Ver- schlüsselung von Datenträgern

Erstellung von Rollenprofilen/Festlegung funktioneller Verantwortlichkeiten, Ver- wendung von Zugriffsrechten (Berechti- gungskonzept)
Protokollierung von Aktivitäten und Er- eignissen
Begrenzung der Anzahl und Rechte der Admins
Geeignete Maßnahmen zur Datensiche- rung: 3-2-1-Prinzip, Ausgelagerte Archi- vierung der Backup-Bänder
Sicherheitstüren (IT-Räume)
Einsatz geeigneter Firewalls
Updates und Patches werden nach zent- raler Prüfung über ein Softwarevertei- lungssystem zeitnah auf allen erforder- lichen Systemen eingespielt
Systemsicherungen vor Durchführung notwendiger Wartungs- oder Reparatur- arbeiten sowie Funktionsüberprüfung im Nachgang

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 19 | 28

8.	Maßnahmen zur Gewährleistung der physischen Sicherheit von Or- ten, an denen personenbezogene Daten verarbeitet werden	- Zugangskontrolle über ein Transponder- system (Gebäude und Büroetagen) - Zufahrt zur Tiefgarage zusätzlich zu Transponderöffnung mit einer Klingel und Videoanlage (Gäste) - IT-Räume (z.B. Serverräume) und sons- tige sensible Bereiche (z.B. Personal, BR und Geschäftsführung) verfügen über ein gesondertes manuelles Schließsys- tem, nur ausgewählte Beschäftigte ha- ben Zutritt. - Verschließbare Aktenschränke - Zugang für Besucher durch Emp- fang/Pförtner (Klingelanlage), Protokol- lierung der Besucher durch Empfang, Abholung und Begleitung der Besucher durch Mitarbeitende, Vertraulichkeits- verpflichtung für Dienstleister mit Transponder (optischer Erkennbarkeit) - Vertraulichkeitsverpflichtung des Reini- gungspersonals und Sicherheitsperso- nals - Feuerhemmende Schränke/Tresore zur Lagerung essentieller Komponenten (z.B. Backup-Bänder, wichtige Original- dokumente) - Klimatisierung von Serverräumen - Brand- und Löschwasserschutz - Unterbrechungsfreie Stromversorgung (USV) - Verwendung von Feuer- und Rauch- melde-anlagen - Sicherheitstüren zu IT-Räumen mit ei- nem Knauf auf der Außenseite
9.	Maßnahmen zur Gewährleistung der Protokollierung von Ereignissen	- Zugriffsprotokollierung auf Serversys- teme über die Windows-Protokollierung Gesicherte Aufbewahrung von Backup- Medien (Safe) - Updates und Patches werden nach zent- raler Prüfung über ein Softwarevertei- lungs-system zeitnah auf allen erforder- lichen Systemen eingespielt - Alarmierung bei kritischen Schwellwer- ten der IT-Komponenten aus dem Moni- toring-System - Protokollierung der Vergabe von dienstli- chen Geräten - Besucher-Protokollierung - Personenbezogene Konten mit Protokol- lierung der Zugriffe in der Datenbank „profi“

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 20 | 28

10.	Maßnahmen zur Gewährleistung der Systemkonfiguration, ein- schließlich der Standardkonfigura- tion	- Datenschutzgerechte Voreinstellungen - DSB an Konfiguration beteiligt - IT Sicherheitsbeauftragter an Konfigura- tion beteiligt - Protokollierung von Konfigurationsände- rungen - Beachtung der Empfehlungen des Her- stellers - Check der Standardkonfigurationen - Definition von Standardkonfigurationen - Konfiguration durch Systemadministra- tor
11.	Maßnahmen für die interne Gover- nance und Verwaltung der IT und der IT-Sicherheit	- Vorhandensein einer geeigneten Organi- sationsstruktur für IT-Sicherheit - Firewall-Einsatz und regelmäßige Aktua- lisierung - Einsatz von Spamfiltern - IT-Sicherheitsleitlinie - Regelmäßige Systemprüfung/ -bewer- tung - Schulung der Mitarbeiter zur Daten- und IT-Sicherheit - IT-Team mit klaren Rollen / Verantwort- lichkeiten - Risikobewertung und Maßnahmen zum Risikomanagement auf allen Stufen und Ebenen (im Aufbau) - Regelmäßige Mitarbeiterunterweisungen - Passwort-Richtlinie
12.	Maßnahmen zur Zertifizie- rung/Qualitätssicherung von Pro- zessen und Produkten	- Kenntnisse der für Dienstleistungen und Prozesse geltenden Bestimmungen - Regelmäßige interne externe Audits, Zu- weisung von Audit-Verantwortlichkeiten an zertifizierte Experten - Überprüfung auf neue Voraussetzungen und Erneuerung von Zertifikaten

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 21 | 28

13.	Maßnahmen zur Gewährleistung der Datenminimierung	- Identifikation des Zwecks der Verarbei- tung, Bewertung des Zusammenhangs zwischen Verarbeitung und Zweck (Do- kumentation im Verarbeitungsverzeich- nis) - Beurteilung des Umfangs und der Quali- tät der verarbeiteten Daten in Bezug auf den Zweck - Identifikation der geltenden Aufbewah- rungsfristen (Dokumentation im Verar- beitungsverzeichnis) - Sichere Löschung der Daten nach Ablauf der Aufbewahrungsfrist - Physische Löschung von Datenträgern vor Wiederverwendung - Nutzung von Aktenvernichtern und Da- ten-schutztonnen - Richtlinie zur Entsorgung von Datenträ- gern - Datenträgerentsorgung nach BSI-Stan- dard (Löschung durch Überschreiben) oder Entsorgung durch externen Dienst- leister (z.B. Datenschutztonnen für Pa- pierunterlagen)
14.	Maßnahmen zur Gewährleistung der Datenqualität	- Protokollierung von Dateneingaben und Datenänderungen - Aufbewahrung von Protokollen - Rechtevergabe zur Dateneingabe - Nachvollziehbarkeit der Benutzer bei Eingabe, Änderung von Daten (keine Benutzergruppen) - Nutzung von qualifizierten, elektroni- schen Signaturen in verschiedenen An- wendungen/Systemen - E-Mail-Verschlüsselung erfolgt standard- mäßig per Transportverschlüsselung (TLS), Client-Mail-Verschlüsselung per Public-Key-Verfahren S/MIME mit eige- nen Zertifikaten möglich (z. B. bei be- sonderen personenbezogenen Daten)

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 22 | 28

15.	Maßnahmen zur Gewährleistung ei- ner begrenzten Speicherdauer	- DSB berät zu Datenspeicherfristen - Regelmäßige Prüfung und Bewertung der gespeicherten Daten - Regelmäßige Datenschutzschulungen - Einhaltung von Aufbewahrungsfristen - Entsorgung von vertraulichen Unterla- gen / Unterlagen mit personenbezoge- nen Daten in Papiershredder der Klasse P5 - Sichere Datenträgervernichtung ge- währleistet durch Beauftragung eines Dienstleisters mit zertifiziertem Daten- vernic-tungsnachweis
16.	Maßnahmen zur Gewährleistung der Rechenschaftspflicht	- Aufbau eines Datenschutzteams, Bestel- lung eines Datenschutzbeauftragten - Anleitung und Unterstützung für Mitar- beiter im Tagesgeschäft - Implementierung unternehmensinterner Datenschutz-Richtlinien - Abschluss von Verträgen zur Auf- tragsverarbeitung und Standardver- tragsklauseln bei Datentransfers in Drittländer - Erstellung von Verarbeitungsverzeich- nissen einschl. Dokumentation von Rechtsgrundlagen, Speicherdauern, Empfängern und TOMs - Erstellung und Dokumentation der Da- tenschutzinformationen gem. Art. 13 / 14 DSGVO - Durchführung von Datenschutzschulun- gen für alle Mitarbeiter (einschließlich regelmäßiger Auffrischungsschulungen für bestehendes Personal) - Konsequente Einbindung des Daten- schutzbeauftragten (DSB) bei Sicher- heitsfragen - Beantwortung von Anfragen Betroffener - Auditberichte und Maßnahmen sind do- kumentiert, regelmäßiges Reaudit - Einwilligungsmanagement einschl. Auf- bewahrung von Einwilligungserklärun- gen

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 23 | 28

17.	Maßnahmen zur Ermöglichung der Datenübertragbarkeit und zur Ge- währleistung der Löschung	- Ermöglichung der Datenübertragbarkeit, z.B. durch passwortgeschütztem Doku- mentenaustausch per BSCW-Server des Bundes oder Austauschplattform des Auftragnehmers als private Cloud, Da- tenübertragung zwischen Systemen mittels (API) Schnittstellen, Datenbe- reitstellung als Export mit standardisier- tem Datenformat z.B. CSV, XML - Einhaltung von Aufbewahrungsfristen - Entsorgung von vertraulichen Unterla- gen / Unterlagen mit personenbezoge- nen Daten in Papiershredder der Klasse P5 - Sichere Datenträgervernichtung ge- währleistet durch Beauftragung eines Dienstleisters mit zertifiziertem Daten- vernichtungsnachweis - Richtiger Umgang mit Betroffenenrech- ten durch Implementierung eines Pro- zesses und entsprechender Dokumenta- tion zum fristgemäßen Umgang mit den Ersuchen Betroffener gem. DSGVO, insb. für Auskunfts- und Löschersuchen; Bereitstellung von Kopien über Aus- tauschplattformen gem. Ziff. 6 oder per Post; sichere Löschung, sofern keine Rechtsgrundlage mehr vorliegt, z.B. bei Widerruf einer Einwilligung oder Wider- spruch im Rahmen eines berechtigten Interesses.
18.	Ggf. Beschreibung der spezifischen technischen und organisatorischen Maßnahmen, die der Auftragsver- arbeiter zur Unterstützung des Ver- antwortlichen ergreifen muss	- Implementierung der ISO 27001 – Ma- nagement der Informationssicherheit durch (Unter-) Auftragsverarbeiter

(2) Es ist ein Verfahren zu etablieren, das eine regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der zum Einsatz kommenden technischen und or- ganisatorischen Maßnahmen durch die Vertragsparteien ermöglicht.

(3) Falls vorhanden, werden folgende Nachweise dieser Vereinbarung angefügt:

☐ Einhaltung von Verhaltensregeln nach Artikel 40 DSGVO ☐ Zertifizierung nach Artikel 42 DSGVO ☐ Prüfberichte, Testate etc. unabhängiger Prüfer, bspw. Wirtschaftsprüfer, Audi- toren, Datenschutzbeauftragte etc. ☒ geeignete Zertifizierung durch einen Auditprozess

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 24 | 28

Anhang 3 „Subunternehmen“

§ 8 Abs. 1 der Vereinbarung zur Auftragsverarbeitung verweist hinsichtlich der vom Verantwortlichen genehmigten Subunternehmer auf diesen Anhang.

Nach § 8 Abs. 1 S. 2 der Vereinbarung sind die zur Erfüllung dieser Vereinbarung bereits hinzugezogenen Subunternehmen zu bezeichnen. Gem. § 8 Abs. 1 S. 3 der Vereinbarung erklärt sich der Verantwortliche mit deren Beauftragung einverstanden.

Subunternehmen Datum des Ab- (Teil-)Leistungsge- Datenschutzbeauf- (Name, Anschrift schlusses der Ver- genstand im Rah- tragte/r des Subun- bzw. Sitz) einbarung zur Auf- men der Auf- ternehmers (Name, tragsverarbeitung tragsverarbeitung Anschrift)

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 25 | 28

Anhang 4 „Meldungen von Datenschutzverstößen“

Meldung von Datenschutzverstößen (Art. 33 DSGVO)

Bitte befüllen Sie jedes Feld, da dies zu einer besseren Ersteinschätzung des Sachverhalts beiträgt.

Auftragsverarbeiter Bezeichnung und dienstliche Kontaktdaten
Ansprechpartner und Organisationseinheit im BMWE Fachreferat, Name und dienstliche Kontaktda- ten
Beschreibung der Datenpanne Bitte beschreiben Sie den Sachverhalt präzise. Schildern sie auch den zeitlichen Hergang. Bitte versuchen Sie den Vorfall zu kategorisieren, z.B.:  Diebstahl oder Verlust von Datenträ- gern/IT-Komponenten  Diebstahl, Verlust oder unsichere Auf- bewahrung von Ausdrucken  Diebstahl oder unberechtigter Zugriff auf Post- oder Kuriersendungen  Hacking  Befall mit Schadsoftware  Unzureichende Vernichtung von Pa- pierakten  Unzureichendes Löschen elektronisch gespeicherter Daten  Unbefugte/unbeabsichtigte Veröffentli- chung  Versand an falsche Empfänger  Unbefugte Offenlegung (auch münd- lich)
Welche Datenarten sind betroffen? Bitte beschreiben Sie die betroffenen Datenka- tegorien wie z.B.  Beschäftigtendaten  Informationen zu Personenidentitäten (Name, Vorname, Geburtsdaten, Identi- fikationsnummern etc.)  Bankverbindungsdaten  Gesundheitsdaten  weitere Beispiele unter: [pbD]

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 26 | 28

Die Daten welches Personenkreises sind be- troffen?  Mitarbeiter/Mitglieder  Nutzer  Bürger  Politiker  Patienten  Kinder/Minderjährige  Personen des öffentlichen Lebens  Sonstige
Welche Folgen sind aufgrund der Daten- schutzverletzung eingetreten?  Verlust der Vertraulichkeit der Daten  Einschränkung der Verfügbarkeit der Daten  Verlust der Integrität der Daten
Möglichen Folgen für die betroffenen Perso- nen:  Diskriminierung  Identitätsdiebstahl oder –betrug  Lebensgefährdung  Finanzieller Schaden  Rufschädigung  Existenzgefährdung  Bloßstellung  Verlust des Arbeitsplatzes  Geheimnisoffenbarung  Unbefugte Aufhebung von Pseudony- misierung  Gesellschaftliche Nachteile  Wirtschaftliche Nachteile  Sonstiges
Die Daten wie vieler Personen sind betroffen? Falls die Zahl der Betroffenen nicht genau be- kannt ist, geben Sie bitte eine geschätzte Anzahl an.
Gegenmaßnahmen (vorläufig): Bitte beschreiben Sie Maßnahmen, die zur Be- hebung oder Minimierung der Folgen einer Da- tenschutzverletzung unmittelbar ergriffen wur- den oder noch geplant sind.

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 27 | 28

Sie können sich an der nachstehenden beispiel- haften Liste orientieren:  Sperrung von IT-Geräten  Rückruf von E-Mails  Sensibilisierung von Mitarbeitern  Benachrichtigung von Betroffenen  Einbeziehung DSB und IT-Referat
Risikoeinschätzung (vorläufig) Wie hoch schätzen Sie das Risiko für den Be- troffenen ein? Risikostufen:  gering  normal  hoch
Sonstiges

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

Seite 28 | 28

Anhang 5 „Selbsterklärung des Auftragsverarbeiters“

Hinweis:

Die Selbsterklärung des Auftragsverarbeiters zur methodischen Herleitung der TOM i.S.d. Anhangs 2 ist vom Auftragsverarbeiter mit Briefkopf zu versehen und zu unterschreiben.

Die Unterzeichnung erfolgt durch den Auftragsverarbeiter nach gesetzlichen Vertre- tungsregelungen einschließlich Prokura. Die Selbsterklärung wird Anhang der AV-V.

Betreff: Selbsterklärung zur wirksamen Behandlung von Datenschutzrisiken (Anhang 5 zur Vereinbarung zur Auftragsverarbeitung vom xxx)

Sehr geehrte Damen und Herren,

hiermit bestätigt die/der xxx, dass die nach den üblichen Methodiken (z.B. SDM i.V.m. ISO 2700X, BSI IT-Grundschutz) ermittelten Risiken bei der Datenverarbeitung mittels Implementierung geeigneter technischer und organisatorischer Maßnahmen („TOM“) wirksam behandelt werden, dass diese den Stand der Technik berücksichtigen und ein dem Risiko angemessenes Schutzniveau gewährleisten. Der/Die xxx dokumentiert dies nachweislich, überprüft dies regelmäßig und nimmt bei Bedarf Anpassungen vor.“

Datum, Unterschrift

Mustervereinbarung zur Auftragsverarbeitung_BMWE v.3.6 Stand 06_26

05_Vereinbarung_Auftragsverarbeitung.pdf

Vereinbarung zur Auftragsverarbeitung

Inhalt

Meldung von Datenschutzverstößen (Art. 33 DSGVO)