VergabeHero
Kostenlos registrierenAnmelden

Zusatzvereinbarung_WPR.pdf

Rahmenvereinbarung für ein Mitarbeitendenportal (Intranet)

Extrahierter Dokumenttext · Stand: 24.09.2026, 08:33 (Europe/Berlin)

Herkunft: www.deutsche-rentenversicherung-bund.de

Tabellen, Layout und Zeichen können bei der Extraktion abweichen. Maßgeblich ist die Originaldatei.

Originaldatei öffnen

[Seite 1]

Zusatzvereinbarung WPR

Vertragsnummer/Kennung Auftraggeber Vertragsnummer/Kennung Auftragnehmer

Zusatzvereinbarung

Wartung, Pflege, Reparatur, Beratung

Vor Ort

Version 1.3 Stand Juli 2021

zwischen

Deutsche Rentenversicherung Nord Ost West Informationstechnik GmbH (NOW IT GmbH)

(im Folgenden Verantwortlicher genannt),

und

, vertreten durch

(im Folgenden Auftragsverarbeiter genannt)

Allgemeines:

Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen in Form einer Wartung von IT-Systemen. Es besteht dabei für den Auftragsverarbeiter die Notwendigkeit und Mög- lichkeit des Zugriffs auf personenbezogene Daten*. Er verarbeitet also personenbezogene Daten im Sinne des Art. 4 Nr. 2 DSGVO für den Verantwortlichen nach Art. 4 Nr. 8 und Art. 28 DSGVO.

Die Dauer der Vereinbarung (Laufzeit) entspricht der Laufzeit des Wartungsvertrages.

I. Gegenstand und Dauer der Vereinbarung, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien personenbezogener Daten

Diese Vereinbarung umfasst folgende durchzuführende Wartungsarbeiten vor Ort, d. h. in:

(z. B. Hauptverwaltung am Standort)

• Zweck der Verarbeitung (Art. 4 Nr. 2 DSGVO):

ZV WPR Vor Ort Seite - 1 - von 5

[Seite 2]

Zusatzvereinbarung WPR

Vertragsnummer/Kennung Auftraggeber Vertragsnummer/Kennung Auftragnehmer

(z. B. Behebung von Fehlerzuständen, Wartung der xyz-Maschinen)

• Art der personenbezogenen Daten:

Damit verbunden sind folgende Zugriffe:

Es dürfen nur die Zugriffsrechte eingeräumt werden, die für die Durchführung der Wartungs- arbeiten benötigt werden.

Die damit verbundenen Zugriffe auf Sozialdaten und Gesundheitsdaten sind gesondert zu be- schreiben.

• Kategorien betroffener Personen

Beschäftigte, Versicherte, Dritte,

• Beendigungsmöglichkeit (optional)

Der Verantwortliche kann die Vereinbarung jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen Datenschutzvorschriften oder Bestimmungen dieser Vereinbarung vorliegt, der Auftragsverarbeiter eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftragsverarbeiter Kontrollrechte des Verantwortlichen entgegen dieser Vereinbarung verweigert.

II. Rechte und Pflichten sowie Weisungsbefugnisse des Verantwortlichen

  1. Für die Beurteilung der Zulässigkeit der Verarbeitung von personenbezogenen Daten im Rahmen der Wartung sowie für die Wahrung der Rechte der Betroffenen (Art. 12 bis 22 DSGVO) bleibt der Verantwortliche verantwortlich.

  2. Der Verantwortliche hat das Recht, Weisungen über Art, Umfang und Ablauf der Wartung zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.

Weisungsberechtigte Personen des Verantwortlichen sind:

(Name, Organisationseinheit, Funktion, Telefon)

Beauftragte Personen (Weisungsempfänger) des Auftragsverarbeiters sind:

(Name, Organisationseinheit, Funktion, Telefon)

Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner wird dem Vertragspartner unverzüglich schriftlich der Nachfolger bzw. der Vertreter mitge- teilt.

ZV WPR Vor Ort Seite - 2 - von 5

[Seite 3]

Zusatzvereinbarung WPR

Vertragsnummer/Kennung Auftraggeber Vertragsnummer/Kennung Auftragnehmer

  1. Im System des Verantwortlichen werden alle Zugriffe, die für Wartungsarbeiten erfolgen, protokolliert, soweit dies möglich ist. Die Protokollierung muss so erfolgen, dass sie in einer Revision nachvollzogen werden kann. Die Protokollierung darf vom Auftragsverarbeiter nicht abgeschaltet werden.

  2. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt, die bei der Wartung aufgetreten sind oder die einen Zugriff durch Unbefugte möglich machen.

  3. Der Verantwortliche ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragsverarbeiters geheim zu halten und in keinem Fall Dritten zur Kenntnis zu bringen.

III. Pflichten des Auftragsverarbeiters

  1. Der Auftragsverarbeiter führt die Wartung ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Verantwortlichen durch, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z.B. Ermittlungen von Strafverfolgungsbehörden); in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung (Weiterleitung) mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

  2. Der Auftragsverarbeiter verwendet Daten, die ihm im Rahmen der Erfüllung dieses Vertrags bekannt geworden sind, nur für Zwecke der Wartung. Kopien oder Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt. Soweit möglich und sachgerecht, erfolgt die Wartung ohne Speicherung von Daten in den Systemen des Auftragsverarbeiters. Sollte ausnahmsweise eine Datenspeicherung im System des Auftragsverarbeiters notwendig sein, sichert er zu, dass die verarbeiteten Daten von sonstigen Datenbeständen getrennt gespeichert werden.

  3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er Sachverhalte oder Unregelmäßigkeiten feststellt, die gegen datenschutzrechtliche Vorschriften verstoßen, insbesondere solche, die einen Zugriff durch Unbefugte möglich machen.

  4. Der Auftragsverarbeiter ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Verantwortlichen geheim zu halten und in keinem Fall Dritten zur Kenntnis zu bringen.

  5. Der Auftragsverarbeiter sichert die vertragsmäßige Abwicklung aller vereinbarten Maßnahmen zu.

  6. Falls ausnahmsweise nötig und möglich, sind Datenübertragungen an den Firmensitz des Auftragsverarbeiters zu Zwecken der Wartung nach dem Stand der Technik zu verschlüsseln.

  7. Der Auftragsverarbeiter teilt dem Verantwortlichen vor Beginn der Wartung mit, welche Mitarbeiter er dafür einsetzen wird und wie diese Mitarbeiter sich identifizieren werden.

ZV WPR Vor Ort Seite - 3 - von 5

[Seite 4]

Zusatzvereinbarung WPR

Vertragsnummer/Kennung Auftraggeber Vertragsnummer/Kennung Auftragnehmer

  1. Der Beginn der Wartung ist telefonisch anzukündigen, um dem Verantwortlichen die Möglichkeit zu geben, die Maßnahmen der Wartung zu verfolgen und ggf. Begleitpersonen abzustellen.

  2. Der Auftragsverarbeiter erkennt an, dass der Verantwortliche jederzeit berechtigt ist, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu kontrollieren, insbesondere durch die Einholung von Auskünften. Ergeben sich Zweifel und werden ausnahmsweise personenbezogene Daten beim Auftragsverarbeiter gespeichert, so gestattet der Auftragsverarbeiter die Einsichtnahme in gespeicherte Daten und Datenverarbeitungsprogramme sowie Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

  3. Der Auftragsverarbeiter erklärt sich damit einverstanden, dass die Wartung durch IT- Sachverständige des Verantwortlichen beobachtet werden kann.

  4. Bevor ein Datenträger mit personenbezogenen Daten zu Wartungszwecken oder zur Fehleranalyse die DRV verlässt, ist die Genehmigung einer von dieser hierzu autorisierten Person einzuholen.

  5. Nach Abschluss der vertraglichen Arbeiten hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, o dem Verantwortlichen auszuhändigen oder o datenschutzgerecht zu löschen bzw. zu vernichten/vernichten zu lassen (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Die Löschung bzw. Vernichtung ist dem Verantwortlichen mit Datumsangabe schriftlich zu bestätigen.

  6. Der Auftragsverarbeiter hat im notwendigen Umfang mitzuwirken bei Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DSGVO durch den Verantwortlichen, an der Erstellung des Verzeichnisses der Verarbeitungstätigkeiten, sowie bei erforderlichen Datenschutz-Folgenabschätzungen des Verantwortlichen und hat den Verantwortlichen - soweit möglich - angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. e und f DSGVO).

  7. Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich darauf aufmerksam machen, wenn eine vom Verantwortlichen erteilte Weisung seiner Meinung nach gegen die gesetzlichen Vorschriften verstößt (Art 28 Abs. 3 Satz 3 DSGVO).

  8. Falls zutreffend: Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen über den Ausschluss von genehmigten Verhaltensregeln nach Art. 41 Abs. 4 DSGVO und den Widerruf einer Zertifizierung nach Art. 42 Abs. 7 DSGVO unverzüglich zu informieren

IV. Datengeheimnis

  1. Der Auftragsverarbeiter bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO sowie der allgemeinen Datenschutzgesetze (BDSG, Landesdatenschutzgesetze) bekannt sind. Er verpflichtet sich auch folgende, für diesen Auftrag relevanten Datenschutzregelungen, zu beachten, die der Verantwortliche einzuhalten hat:

§ 88 TKG – Fernmeldegeheimnis § 206 StGB – Verletzung des Post- oder Fernmeldegeheimnisses § 17 UWG – Verrat von Geschäfts- und Betriebsgeheimnissen

ZV WPR Vor Ort Seite - 4 - von 5

[Seite 5]

Zusatzvereinbarung WPR

Vertragsnummer/Kennung Auftraggeber Vertragsnummer/Kennung Auftragnehmer

(z.B. Telekommunikationsgesetz, SGB I, X).

  1. Sind von der Wartungstätigkeit möglicherweise Daten betroffen, die dem Arztgeheimnis unterliegen, wird jeder Mitarbeiter des Auftragsverarbeiters, der diese zur Kenntnis nehmen kann, von diesem explizit auf das ärztliche Berufsgeheimnis und die damit verbundene besondere Schweigepflicht verpflichtet (§ 203 Abs. 4 StGB).

  2. Der Auftragsverarbeiter sichert zu, die Wartung nur von Beschäftigten durchführen zu lassen, die vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut gemacht wurden und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet wurden (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DSGVO).

V. Unterauftragsverhältnisse mit Subunternehmern

Die Beauftragung von Subunternehmern zur Durchführung der Wartung ist dem Auftragsver- arbeiter nur mit ausdrücklicher und schriftlicher Genehmigung des Verantwortlichen gestattet (Art. 28 Abs. 2 DSGVO). Die Zustimmung kann nur erteilt werden, wenn der Auftragsverarbei- ter dem Verantwortlichen Namen und Anschrift sowie die vorgesehene Tätigkeit des Subun- ternehmers mitteilt. Außerdem muss der Auftragsverarbeiter dafür Sorge tragen, dass er den Subunternehmer unter Berücksichtigung des Art. 32 DSGVO sorgfältig auswählt. Der Auf- tragsverarbeiter hat vertraglich sicher zu stellen, dass die vereinbarten Regelungen zwischen Verantwortlichem und Auftragsverarbeiter auch gegenüber Subunternehmern gelten. Der Ver- trag mit dem Subunternehmer muss schriftlich abgefasst sein.

Zurzeit sind für den Auftragsverarbeiter die in Anlage mit Namen, Anschrift und Auf- tragsinhalt bezeichneten Subunternehmer mit der Fernwartung beschäftigt. Mit deren Beauf- tragung ist der Verantwortliche einverstanden.

VI. Technisch-organisatorische Maßnahmen nach Art 32 DSGVO

Bei Durchführung der Wartung werden die Schutzziele des Art. 32 Abs. 1 DSGVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitung derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko durch die Wartung auf Dauer eingedämmt wird (Art. 28 Abs. 3 S. 2 lit. c DSGVO). Dies gilt für den Auftragsverarbeiter insbesondere auch dann, falls ausnahmsweise bei diesem Daten des Verantwortlichen gespeichert sind. In diesen Fällen schützt der Auftragsverarbeiter die Daten vor unbefugten Zugriffen Dritter.

Die getroffenen technischen und organisatorischen Maßnahmen sind in der Anlage beschrieben.

VII. Haftung

Auf Art. 82 DSGVO wird verwiesen.

VIII. Wirksamkeit der Vereinbarung

Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

ZV WPR Vor Ort Seite - 5 - von 5

Alle Unterlagen dieser Ausschreibung