[Seite 1]
Vertrag zur Auftragsverarbeitung
zwischen
Kassenärztliche Vereinigung Baden-Württemberg
Albstadtweg 11
70567 Stuttgart
als Verantwortlicher (hier bezeichnet als „KVBW“)
und
als Auftragsverarbeiter (hier bezeichnet als „Auftragnehmer“)
hinsichtlich des Vertragsgegenstandes
ZE_xxxxx / BA0000xxx
Rahmenvertrag über Dienstleistungen im Bereich der PET-Entwicklung
(Bezeichnung des Gegenstandes des Hauptvertrages)
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 1 von 14 Stand: 14.05.2025 Version: 2.0
[Seite 2]
§ 1 Vertragsgegenstand
(1) Der Auftragnehmer erbringt für die KVBW Leistungen im Bereich
(nähere Beschreibung)
auf Grundlage des bestehenden Vertrages („Hauptvertrag“, Anlage 1), der Bestandteil dieses Vertrages ist. Dabei erhält der Auftragnehmer Zugriff auf personenbezogene Daten und verarbeitet diese gem. Art. 4 Nr. 2 und Art. 28 DS-GVO ausschließlich im Auftrag und nach Weisung der KVBW sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DS-GVO). Umfang und Zweck der Datenverarbeitung durch den Auftragnehmer ergeben sich aus dem Hauptvertrag (und der dazugehörigen Leistungsbeschreibung) und werden in (Anlage 2) hinsichtlich der Verarbeitung der Daten, der Betroffenen/Betroffenengruppen sowie der besonders schutzbedürftigen Daten/Datenkategorien konkretisiert.
(2) Zur Konkretisierung der beiderseitigen datenschutzrechtlichen Rechte und Pflichten schließen die Parteien die vorliegende Vereinbarung. Die Regelungen der vorliegenden Vereinbarung gehen im Zweifel den Regelungen des Hauptvertrags vor.
(3) Die Bestimmungen dieses Vertrages finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei der der Auftragnehmer und seine Beschäftigten oder durch den Auftragnehmer Beauftragte mit personenbezogenen Daten in Berührung kommen, die von der KVBW stammen oder für die KVBW erhoben wurden.
(4) Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sowie für die Datensicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung sind gemeinsam zwischen der KVBW und dem Auftragnehmer abzustimmen und schriftlich – durch Ausfertigung neuer Anlagen – festzulegen. Die Anlagen werden versioniert, mit Datum des Inkrafttretens und Unterschrift diesem Vertrag beigefügt.
(5) Die KVBW erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
(6) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrages, sofern sich aus den nachfolgenden Bestimmungen nicht darüberhinausgehende Verpflichtungen oder Kündigungsrechte ergeben.
§ 2 Begriffsbestimmungen
(1) Verantwortlicher ist gem. Art. 4 Nr. 7 DS-GVO die Stelle, die allein oder gemeinsam mit anderen Verantwortlichen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
(2) Auftragsverarbeiter ist gem. Art. 4 Nr. 8 DS-GVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 2 von 14 Stand: 14.05.2025 Version: 2.0
[Seite 3]
(3) Personenbezogene Daten sind gem. Art. 4 Nr. 1 DS-GVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Dabei handelt es sich für die KVBW insbesondere um Mitarbeiterdaten, Daten von Ärzten und Psychotherapeuten, sowie Patientendaten.
(4) Besonders schutzbedürftige personenbezogene Daten sind personenbezogenen Daten gem. Art. 9 DS-GVO, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit von Betroffenen hervorgehen, personenbezogene Daten gem. Art. 10 DS-GVO über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln sowie genetische Daten gem. Art. 4 Nr. 13 DS-GVO, biometrischen Daten gem. Art. 4 Nr. 14 DS-GVO, Gesundheitsdaten gem. Art. 4 Nr. 15 DS-GVO sowie Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.
(5) Als Betriebs- und Geschäftsgeheimnisse werden alle auf ein Unternehmen bezogene Tatsachen, Umstände und Vorgänge verstanden, die nicht offenkundig, sondern nur einem begrenzten Personenkreis zugänglich sind und an deren Nichtverbreitung der Rechtsträger ein berechtigtes Interesse hat. Sie umfassen unter anderem technisches Wissen – wie Prozesswissen, IT-Ausstattung und Verfahren – und kaufmännisches Wissen – wie vertragliche Konstellationen, Partner und Kalkulationen – welches mit der höchstmöglichen Sorgfalt vor unbefugter Kenntnisnahme und Zugriff geschützt werden muss.
(6) Verarbeitung ist gem. Art. 4 Nr. 2 DS-GVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
(7) Aufsichtsbehörde ist gem. Art. 4 Nr. 21 DS-GVO eine von einem Mitgliedstaat gem. Art. 51 DS-GVO eingerichtete unabhängige staatliche Stelle.
§ 3 Pflichten der KVBW
(1) Für die Beurteilung der Zulässigkeit der Datenverarbeitung gem. Art. 6 Abs. 1 DS-GVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DS-GVO ist allein die KVBW verantwortlich.
(2) Die KVBW ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.
§ 4 Weisungsrecht
(1) Der Auftragnehmer darf Daten nur im Rahmen des Hauptvertrags und gemäß den Weisungen der KVBW erheben, verarbeiten oder nutzen; dies gilt insbesondere in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation. Wird der Auftragnehmer durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zu weiteren Verarbeitungen verpflichtet, teilt er der KVBW diese rechtlichen Anforderungen vor der Verarbeitung mit.
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 3 von 14 Stand: 14.05.2025 Version: 2.0
[Seite 4]
(2) Die Weisungen der KVBW werden anfänglich durch diesen Vertrag festgelegt und können von der KVBW danach in schriftlicher Form oder in Textform durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Die KVBW ist jederzeit zur Erteilung entsprechender Weisungen berechtigt. Dies umfasst Weisungen in Hinblick auf die Berichtigung, Löschung und Sperrung von Daten. Die weisungsberechtigten Personen ergeben sich aus Anlage 5.
(3) Alle erteilten Weisungen sind sowohl von der KVBW als auch vom Auftragnehmer zu dokumentieren. Weisungen, die über die hauptvertraglich vereinbarte Leistung hinausgehen, werden als Antrag auf Leistungsänderung behandelt.
(4) Ist der Auftragnehmer der Ansicht, dass eine Weisung der KVBW gegen datenschutzrechtliche Bestimmungen verstößt, hat er die KVBW unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch die KVBW bestätigt oder geändert wird. Der Auftragnehmer darf die Durchführung einer offensichtlich rechtswidrigen Weisung ablehnen.
(5) Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich – durch die Ausfertigung neuer Anlagen – die Nachfolger bzw. die Vertreter mitzuteilen. § 1 Abs. 4 S. 2 gilt entsprechend. Die Weisungen sind für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.
§ 5 Kontrollrechte der KVBW
(1) Die KVBW überzeugt sich vor der Aufnahme der Datenverarbeitung und sodann regelmäßig jährlich von den technischen und organisatorischen Maßnahmen des Auftragnehmers und eingesetzter Subunternehmer. Hierfür kann er z. B. Auskünfte des Auftragnehmers einholen, sich vorhandene Testate von Sachverständigen, Zertifizierungen oder internen Prüfungen vorlegen lassen oder die technischen und organisatorischen Maßnahmen des Auftragnehmers nach rechtzeitiger Abstimmung zu den üblichen Geschäftszeiten selbst persönlich prüfen bzw. durch einen sachkundigen Dritten prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht. Die KVBW wird Kontrollen nur im erforderlichen Umfang durchführen und die Betriebsabläufe des Auftragnehmers dabei nicht unverhältnismäßig stören.
(2) Der Auftragnehmer verpflichtet sich, der KVBW auf deren mündliche oder schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte und Nachweise zur Verfügung zu stellen, die zur Durchführung einer Kontrolle der technischen und organisatorischen Maßnahmen des Auftragnehmers erforderlich sind.
(3) Die KVBW dokumentiert das Kontrollergebnis und teilt es dem Auftragnehmer mit. Bei Fehlern oder Unregelmäßigkeiten, die die KVBW insbesondere bei der Prüfung von Auftragsergebnissen feststellt, hat er den Auftragnehmer unverzüglich zu informieren. Werden bei der Kontrolle Sachverhalte festgestellt, deren zukünftige Vermeidung Änderungen des angeordneten Verfahrensablaufs erfordern, teilt die KVBW dem Auftragnehmer die notwendigen Verfahrensänderungen unverzüglich mit.
(4) Der Auftragnehmer stellt der KVBW auf deren Wunsch ein umfassendes und aktuelles Datenschutz- und Sicherheitskonzept für die Auftragsverarbeitung sowie ein Verzeichnis über zugriffsberechtigte Personen zur Verfügung.
(5) Der Auftragnehmer weist der KVBW die Verpflichtung der Mitarbeiter nach § 8 Abs. 6 auf Verlangen nach.
(6) Der Auftragsverarbeiter darf für die Ausübung der Kontrollrechte durch die KVBW keine Gebühren oder sonstige Kosten in der Rechnung stellen.
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 4 von 14 Stand: 14.05.2025 Version: 2.0
[Seite 5]
§ 6 Einsatz von Subunternehmern
(1) Die vertraglich vereinbarten Leistungen bzw. die nachfolgend beschriebenen Teilleistungen werden unter Einschaltung der in Anlage 4 genannten Subunternehmer durchgeführt. Der Auftragnehmer ist im Rahmen seiner vertraglichen Verpflichtungen zur Begründung von weiteren Unterauftragsverhältnissen mit Subunternehmern („Subunternehmerverhältnis“) befugt, soweit er die KVBW hiervon vorab in Kenntnis setzt und dieser der Beauftragung des Subunternehmers vorab schriftlich zugestimmt hat.
(2) Der Auftragnehmer ist verpflichtet, Subunternehmer sorgfältig nach deren Eignung und Zuverlässigkeit auszuwählen. Der Auftragnehmer hat bei der Einschaltung von Subunternehmern diese entsprechend den Regelungen dieser Vereinbarung zu verpflichten und dabei sicherzustellen, dass die KVBW ihre Rechte aus dieser Vereinbarung (insbesondere seine Prüf- und Kontrollrechte) direkt gegenüber den Subunternehmern wahrnehmen kann. Sofern eine Einbeziehung von Subunternehmern in einem Drittland erfolgen soll, hat der Auftragnehmer sicherzustellen, dass beim jeweiligen Subunternehmer ein angemessenes Datenschutzniveau gewährleistet ist (z. B. Angemessenheitsbeschluss der Kommission, Abschluss einer Vereinbarung auf Basis der EU- Standarddatenschutzklauseln, etc.).
(3) Der Vertrag mit dem Subunternehmer muss in Textform abgefasst werden. In dem Vertrag mit dem Subunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftragnehmers und des Subunternehmers deutlich voneinander abgegrenzt werden. Der Auftragnehmer wird der KVBW auf Verlangen den Abschluss der vorgenannten Vereinbarungen mit seinen Subunternehmern nachweisen.
(4) Ein Subunternehmerverhältnis im Sinne dieser Bestimmungen liegt nicht vor, wenn der Auftragnehmer Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehören z. B. Post-, Transport- und Versandleistungen, Reinigungsleistungen, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für die KVBW erbringt und Bewachungsdienste. Wartungs- und Prüfleistungen stellen zustimmungspflichtige Subunternehmerverhältnisse dar, soweit diese für IT-Systeme erbracht werden, die auch im Zusammenhang mit der Erbringung von Leistungen für die KVBW genutzt werden.
(5) Der Auftragnehmer haftet gegenüber der KVBW dafür, dass der Subunternehmer den Daten- schutzpflichten nachkommt, die ihm durch den Auftragnehmer im Einklang mit dem vorliegenden Vertragsabschnitt vertraglich auferlegt wurden.
§ 7 Pflichten des Auftragnehmers
(1) Die Pflichten des Auftragnehmers ergeben sich insbesondere aus dem Hauptvertrag (Anlage 1) sowie aus diesem Vertrag.
(2) Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse – im Sinne der Begriffsbestimmungen aus § 2 dieses Vertrages – als Geschäftsgeheimnisse vertraulich zu behandeln und mit Datensicherheitsmaßnahmen nach dem Standard der KVBW zu bewehren. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.
§ 8 Schutzmaßnahmen des Auftragnehmers
(1) Der Auftragnehmer ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich der KVBW erlangten Informationen nicht an Dritte weiterzugeben oder deren Zugriff auszusetzen. Unterlagen und Daten sind gegen die Kenntnisnahme durch Unbefugte unter Berücksichtigung des Stands der Technik zu sichern. Eine Verarbeitung der Daten für andere als dem Vertragszweck dienenden ist strengstens untersagt. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen der KVBW nicht erstellt.
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 5 von 14 Stand: 14.05.2025 Version: 2.0
[Seite 6]
(2) Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dazu werden die Schutzziele von Art. 32 Abs. 1 DS-GVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.
Er trifft alle erforderlichen technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Daten der KVBW gem. Art. 32 DS-GVO, insbesondere mindestens die in Anlage 3 aufgeführten Maßnahmen der
a) Zutrittskontrolle
b) Zugangskontrolle
c) Zugriffskontrolle
d) Weitergabekontrolle
e) Eingabekontrolle
f) Auftragskontrolle
g) Verfügbarkeitskontrolle
h) Trennungskontrolle
i) Maßnahmen zur Gewährleistung der Wirksamkeitskontrolle
Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt dem Auftragnehmer vorbehalten, wobei er sicherstellt, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird und die verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.
(3) Der Auftragnehmer hat bei gegebenem Anlass, mindestens aber jährlich, eine Überprüfung, Bewertung und Evaluation der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen (Art. 32 Abs. 1 lit. d DS-GVO). Das Ergebnis samt vollständigem Auditbericht ist der KVBW mitzuteilen.
(4) Die Datenträger, die von der KVBW stammen bzw. für die KVBW genutzt werden, werden besonders gekennzeichnet. Eingang und Ausgang sowie die laufende Verwendung werden dokumentiert.
(5) Beim Auftragnehmer ist als betrieblicher Datenschutzbeauftragter/als Ansprechpartner für den Datenschutz (sofern ein Datenschutzbeauftragter nach Art. 37 Abs. 1 DS-GVO benannt werden muss) benannt:
Datenschutzbeauftragter/Ansprechpartner beim Auftragnehmer ist:
(Vorname, Name, Organisationseinheit, Telefon)
Der Auftragnehmer veröffentlicht die Kontaktdaten des Datenschutzbeauftragten auf seiner Internetseite und teilt sie der Aufsichtsbehörde mit. Veröffentlichung und Mitteilung weist der Auftragnehmer auf Anforderung der KVBW in geeigneter Weise nach.
(6) Den bei der Datenverarbeitung durch den Auftragnehmer beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen. Der Auftragnehmer wird alle Personen, die von ihm mit der Bearbeitung und der Erfüllung dieses Vertrages betraut werden (im folgenden Mitarbeiter genannt), entsprechend mit den einschlägigen datenschutz- rechtlichen Vorschriften der DS-GVO bekannt machen, verpflichten (Verpflichtung zur Vertraulichkeit, Art. 28 Abs. 3 lit. b DS-GVO) und mit der gebotenen Sorgfalt die Einhaltung dieser Verpflichtung sicherstellen.
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 6 von 14 Stand: 14.05.2025 Version: 2.0
[Seite 7]
Diese Verpflichtungen müssen so gefasst sein, dass sie auch nach Beendigung dieses Vertrages oder des Beschäftigungsverhältnisses zwischen dem Mitarbeiter und dem Auftragnehmer bestehen bleiben. Der KVBW sind die Verpflichtungen auf Verlangen in geeigneter Weise nachzuweisen.
(7) Der Auftragnehmer verpflichtet sich, auch folgende für diesen Auftrag relevanten Geheimnisschutzregeln zu beachten, die der KVBW obliegen:
(z. B. Fernmeldegeheimnis, Sozialgeheimnis, Berufsgeheimnisse nach § 203 StGB etc.)
§ 9 Informationspflichten des Auftragnehmers
(1) Bei Störungen, Verdacht auf Datenschutzverletzungen oder Verletzungen vertraglicher Verpflichtungen des Auftragnehmers, Verdacht auf sicherheitsrelevante Vorfälle oder andere Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten durch den Auftragnehmer, bei ihm im Rahmen des Auftrags beschäftigten Personen oder durch Dritte wird der Auftragnehmer die KVBW – hier die weisungsberechtigte Person und das Funktionspostfach datenschutzbeauftragter@kvbawue.de – unverzüglich in Schriftform oder Textform informieren. Dasselbe gilt für Prüfungen des Auftragnehmers durch die Datenschutz-Aufsichtsbehörde. Die Meldung über eine Verletzung des Schutzes personenbezogener Daten enthält zumindest folgende Informationen:
a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der Zahl der betroffenen Personen, der betroffenen Kategorien und der Zahl der betroffenen personenbezogenen Datensätze;
b) eine Beschreibung der von dem Auftragnehmer ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
(2) Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen, informiert hierüber die KVBW und ersucht um weitere Weisungen. Melde- und Benachrichtigungspflichten nach Art. 33 und Art. 34 DS-GVO werden ausschließlich durch die KVBW wahrgenommen.
(3) Der Auftragnehmer ist darüber hinaus verpflichtet, der KVBW jederzeit Auskünfte zu erteilen, soweit deren Daten von einer Verletzung nach Absatz 1 betroffen sind. Insbesondere unterstützt der Auftragnehmer bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DS-GVO und darüber hinaus bei den Meldungen nach Art. 33 und 34 DS-GVO sowie § 83a SGB X durch die KVBW.
(4) Sollten die Daten der KVBW beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer die KVBW unverzüglich darüber zu informieren, sofern ihm dies nicht durch gerichtliche oder behördliche Anordnung untersagt ist. Der Auftragnehmer wird in diesem Zusammenhang alle zuständigen Stellen unverzüglich darüber informieren, dass die Entscheidungshoheit über die Daten ausschließlich bei der KVBW als „Verantwortlichem“ im Sinne der DS-GVO liegen.
(5) Über wesentliche Änderung der Sicherheitsmaßnahmen nach § 8 Abs. 2 hat der Auftragnehmer die KVBW unverzüglich zu unterrichten.
(6) Ein Wechsel in der Person des betrieblichen Datenschutzbeauftragten/Ansprechpartners für den Datenschutz ist der KVBW unverzüglich mitzuteilen.
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 7 von 14 Stand: 14.05.2025 Version: 2.0
[Seite 8]
(7) Der Auftragnehmer und gegebenenfalls sein Vertreter führen ein Verzeichnis zu allen Kategorien von im Auftrag der KVBW durchgeführten Tätigkeiten der Verarbeitung das alle Angaben gem. Art. 30 Abs. 2 DS-GVO enthält. Das Verzeichnis ist der KVBW auf Anforderung zur Verfügung zu stellen.
(8) An der Erstellung von Datenschutz-Folgeabschätzungen und Verfahrensverzeichnisses durch die KVBW hat der Auftragnehmer im angemessenen Umfang mitzuwirken. Er hat der KVBW die jeweils erforderlichen Angaben in geeigneter Weise mitzuteilen.
§ 10 Anfragen und Rechte Betroffener,
(1) Der Auftragnehmer unterstützt die KVBW nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung ihrer Pflichten nach Art. 12–22 sowie 32 und 36 DS- GVO.
(2) Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten, unmittelbar gegenüber dem Auftragnehmer geltend, so reagiert dieser nicht selbstständig, sondern verweist den Betroffenen unverzüglich an die KVBW und wartet deren Weisungen ab.
§ 11 Haftung
(1) Für den Ersatz von Schäden, die ein Betroffener wegen einer rechtswidrigen Datenverarbeitung erleidet, ist im Außenverhältnis die KVBW gegenüber dem Betroffenen verantwortlich. Die KVBW stellt auf der Grundlage des Hauptvertrages sicher, dass die jeweilige Datenverarbeitung auf einer Rechtsgrundlage im Sinne der DSG-VO beauftragt wird.
(2) Im Innenverhältnis zum Auftragnehmer wird auf dessen Pflichten aus diesem Vertrag verwiesen, für deren Verletzung allein der Auftragnehmer verantwortlich zeichnet und für die der Auftragnehmer die KVBW gegenüber dem Betroffenen freistellt. Freizustellen ist die KVBW auch bzgl. Bußgeldern der Datenschutzbehörden, die aus der Risikosphäre des Auftragnehmers stammen.
(3) Die Parteien stellen sich im Übrigen von der Haftung frei, die eindeutig der Risikosphäre eines der Vertragspartnern zuzuordnen ist.
§ 12 Außerordentliches Kündigungsrecht
Die KVBW kann den Hauptvertrag fristlos ganz oder teilweise kündigen, wenn der Auftragnehmer seinen Pflichten aus diesem Vertrag nicht nachkommt, Bestimmungen der DS-GVO vorsätzlich oder grob fahrlässig verletzt oder eine Weisung der KVBWs nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte der KVBW vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DS-GVO abgeleiteten Pflichten stellt einen schweren Verstoß gegen die vertraglichen Pflichten dar. Bei einfachen – also weder vorsätzlichen noch grob fahrlässigen – Verstößen setzt die KVBW dem Auftragnehmer eine angemessene Frist, innerhalb welcher der Auftragnehmer den Verstoß abstellen kann.
§ 13 Beendigung des Hauptvertrages
(1) Der Auftragnehmer wird der KVBW nach Beendigung des Hauptvertrages oder jederzeit auf deren Anforderung alle ihm überlassenen Unterlagen, Daten und Datenträger löschen mit personenbezogenen Daten aushändigen oder auf Anweisung der KVBW datenschutzkonform löschen bzw. vernichten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht.
(2) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung. Er ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, und trägt zu ihrer Durchführung bei.
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 8 von 14 Stand: 14.05.2025 Version: 2.0
[Seite 9]
(3) Der Auftragnehmer ist verpflichtet, auch über das Ende des Hauptvertrags hinaus die ihm im Zusammenhang mit dem Hauptvertrag bekannt gewordenen Daten vertraulich zu behandeln. Die vorliegende Vereinbarung bleibt über das Ende des Hauptvertrags hinaus solange gültig, wie der Auftragnehmer über personenbezogene Daten verfügt, die ihm von der KVBW zugeleitet wurden oder die er für diese erhoben hat.
§ 14 Angabe der zuständigen Datenschutz-Aufsichtsbehörde
(1) Zuständige Aufsichtsbehörde für die KVBW ist:
Landesbeauftragter für den Datenschutz und die Informationsfreiheit in Baden-Württemberg Königstraße 10a 70173 Stuttgart
(2) Zuständige Aufsichtsbehörde für den Auftragnehmer ist:
(Bitte ausfüllen)
(3) Die KVBW und der Auftragnehmer und gegebenenfalls deren Vertreter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
§ 15 Schlussbestimmungen
(1) Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer im Sinne des § 273 BGB hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger ausgeschlossen ist.
(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Der Vorrang individueller Vertragsabreden bleibt hiervon unberührt.
(3) Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise nicht rechtswirksam oder nicht durchführbar sein oder werden, so wird hierdurch die Gültigkeit der jeweils übrigen Bestimmungen nicht berührt.
(4) Diese Vereinbarung unterliegt deutschem Recht. Ausschließlicher Gerichtsstand ist Stuttgart.
Stuttgart, den ??.??.???? [Ort], den ??.??.????
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 9 von 14 Stand: 14.05.2025 Version: 2.0
[Seite 10]
Anlage 1 Hauptvertrag
Sollte der Originalvertrag bereits vorliegen wird er hier abgebildet.
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 10 von 14 Stand: 14.05.2025 Version: 2.0
[Seite 11]
Anlage 2 – Beschreibung der Verarbeitung, Betroffenen/Betroffenengruppen sowie der besonders schutzbedürftigen Daten/Datenkategorien
Einvernehmliche Bestimmung der Datenkategorien zwischen Auftragnehmer und Auftraggeber.
Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen:
(nähere Beschreibung, ggf. Verweis auf Leistungsverzeichnis als Anlage etc.)
Art der Verarbeitung (entsprechend der Definition von Art. 4 Nr. 2 DS-GVO):
(z.B. erheben, erfassen, organisieren, speichern, verändern, offenlegen, verknüpfen, löschen, etc.)
Art der besonderen Kategorien von personenbezogenen Daten (entsprechend der Definition von Art. 9 Abs. 1 DS- GVO):
(z.B. Gesundheitsdaten, rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person)
Art der personenbezogenen Daten (entsprechend der Definition von Art. 4 Nr. 1, 13, 14 und 15 DS- GVO): □ Personenstammdaten: □ Name; □ Vorname; □ Anrede; □ Geburtsort; □ Personalnummer; □ Geburtsdatum; □ Familienstand; □ Staatsangehörigkeit; □ Sonstige: _____________________; □ Kontaktdaten: □ Telefonnummer; □ E-Mail-Adresse; □ Adresse; □ Abrechnungs-Zahlungsdaten : □ Kontodaten; □ Sonstige: _____________________;
□
Sozialdaten: □ BNSR; □ LANR; □ Sonstige: _____________________;
□
Angaben zur vertragsärztlichen Tätigkeit;
□
Sonstige: ___________________________;
Kategorien betroffener Personen (entsprechend der Definition von Art. 4 Nr. 1 DS-GVO):
□ □ □
Beschäftigte; Mitglieder (Ärzte, Psychotherapeuten); Patienten;
□
Sonstige: ___________________________
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 11 von 14 Stand: 14.05.2025 Version: 2.0
[Seite 12]
Anlage 3 – Technische und organisatorische Maßnahmen des Auftragnehmers
Komplett durch den Auftragsverarbeiter auszufüllen/mit bestehendem Dokument zu ergänzen.
Die folgenden Themenkomplexe müssen beschrieben werden:
a) Zutrittskontrolle
a) Zugangskontrolle
b) Zugriffskontrolle
c) Weitergabekontrolle
d) Eingabekontrolle
f) Auftragskontrolle
g) Verfügbarkeitskontrolle und Belastbarkeitskontrolle
h) Trennungskontrolle
i) Maßnahmen zur Gewährleistung der Wirksamkeitskontrolle
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 12 von 14 Stand: 14.05.2025 Version: 2.0
[Seite 13]
Anlage 4 – Genehmigte Subunternehmer (vgl. auch Subunternehmererklärung der Ausschreibung)
Komplett durch den Auftragsverarbeiter auszufüllen/mit bestehendem Dokument zu ergänzen.
Als Subunternehmer ist folgendes Unternehmen vorgesehen:
Es erbringt folgende (Teil-)Leistungen:
Verarbeitung der sensiblen Daten nach Art. 9 Abs. 1 DSGVO oder Sozialdaten:
(Bitte ausfüllen, sofern der Subunternehmer diese Daten verarbeiten kann (z.B. auf diese Daten zugreifen kann))
Als Subunternehmer ist folgendes Unternehmen vorgesehen:
Es erbringt folgende (Teil-)Leistungen:
Verarbeitung der sensiblen Daten nach Art. 9 Abs. 1 DSGVO oder Sozialdaten:
(Bitte ausfüllen, sofern der Subunternehmer diese Daten verarbeiten kann (z.B. auf diese Daten zugreifen kann))
Als Subunternehmer ist folgendes Unternehmen vorgesehen:
Es erbringt folgende (Teil-)Leistungen:
Verarbeitung der sensiblen Daten nach Art. 9 Abs. 1 DSGVO oder Sozialdaten:
(Bitte ausfüllen, sofern der Subunternehmer diese Daten verarbeiten kann (z.B. auf diese Daten zugreifen kann))
Als Subunternehmer ist folgendes Unternehmen vorgesehen:
Es erbringt folgende (Teil-)Leistungen:
Verarbeitung der sensiblen Daten nach Art. 9 Abs. 1 DSGVO oder Sozialdaten:
(Bitte ausfüllen, sofern der Subunternehmer diese Daten verarbeiten kann (z.B. auf diese Daten zugreifen kann))
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 13 von 14 Stand: 14.05.2025 Version: 2.0
[Seite 14]
Anlage 5 – Weisungsberechtigte Personen/Weisungsempfänger
Jeweils durch den Auftraggeber/Auftragsverarbeiter auszufüllen.
Weisungsberechtigte Personen der KVBW sind:
(Vorname, Name, Organisationseinheit, Telefon)
Weisungsempfänger beim Auftragnehmer sind:
(Vorname, Name, Organisationseinheit, Telefon)
Für Weisung zu nutzende Kommunikationskanäle:
(genaue postalische Adresse/ E-Mail/ Telefonnummer)
ZE_xxxxx / BA0000xxx Kassenärztliche Vereinigung Baden-Württemberg Seite 14 von 14 Stand: 14.05.2025 Version: 2.0