[Seite 1]
Vereinbarung
über die Verarbeitung personenbezogener Daten im Auftrag
Zwischen dem
Land Berlin, vertreten durch die Polizei Berlin dieser vertreten durch Leiter des Landeskriminalamtes Herrn Christian Steiof Platz der Luftbrücke 6 12101 Berlin
- im folgenden Auftraggeber genannt -
und
Frau / Herrn … …Str. … …Berlin
- im folgenden Auftragnehmerin / Auftragnehmer genannt –
wird folgende Vereinbarung geschlossen:
§ 1 Gegenstand und Dauer der Vereinbarung
Die Auftragnehmerin / Auftragnehmer verarbeitet personenbezogene Daten im Auftrag
des Auftraggebers. Die Auftragserledigung erfolgt gemäß dem gültigen Vertrag über
die Durchführung von Transkriptionen vom … (nachträgliche wortgetreue
Verschriftung (Transkription) von audiovisuellen Vernehmungen des LKA 1 und LKA
42 der Polizei Berlin und Übersendung des Arbeitsergebnisses als Word-Datei)
zwischen dem Auftraggeber und der / dem Auftragnehmerin / Auftragnehmer. Die
Vereinbarung verpflichtet die Vertragsparteien zum Datenschutz bei der
Auftragsverarbeitung. Sie findet Anwendung auf alle Tätigkeiten, die mit dem
zugrundeliegenden Vertrag im Zusammenhang stehen und bei denen Beschäftigte der
1
[Seite 2]
/ dem Auftragnehmerin / Auftragnehmer personenbezogene Daten („Daten“) des
Auftragsgebers verarbeiten.
§ 2 Konkretisierung des Auftragsinhalts
(1) Art und Zweck der Verarbeitung von personenbezogenen Daten durch die
Auftragnehmerin für den Auftraggeber sind konkret beschrieben im genannten
Bezugsvertrag über die Durchführung von Transkriptionen vom …, auf den sich
diese Vereinbarung bezieht.
(2) Gegenstand der Verarbeitung der personenbezogenen Daten sind die mittels
Datenträger übersandten audiovisuellen Vernehmungen des LKA 1 und LKA 42
der Polizei Berlin in dem Zeitraum vom … bis ….
§ 3 Pflichten des Auftraggebers
(1) Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die
Wahrung der Rechte der auf dem Datenträger zu sehenden bzw. sprechenden
Personen ist allein der Auftraggeber verantwortlich. Dieser hat die Einwilligung
der zu sehenden bzw. sprechenden Personen vor Weitergabe an andere als
zur Akteneinsicht berechtigte Stellen im Vorhinein einzuholen und zu
dokumentieren.
(2) Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind
gemeinsam abzustimmen.
(3) Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses
erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherungs-
maßnahmen der / dem Auftragnehmerin / Auftragnehmer vertraulich zu
behandeln. Diese Verpflichtung besteht auch nach Vertragsende unbegrenzte
Zeit weiter.
§ 4 Pflichten der / des Auftragnehmerin / Auftragnehmers und ihr / ihm
übertragene Aufgaben
2
[Seite 3]
(1) Die / der Auftragnehmerin / Auftragnehmer verarbeitet personenbezogene
Daten ausschließlich im Rahmen des § 1 des genannten Vertrages sowie dieser
Vereinbarung. Er verwendet die zur Datenverarbeitung überlassenen Daten für
keine anderen Zwecke. Kopien oder Duplikate werden ohne Wissen und ohne
ausdrückliche Genehmigung des Auftraggebers nicht erstellt.
(2) Die / der Auftragnehmerin / Auftragnehmer sichert zu, dass die verarbeiteten
Daten von sonstigen Datenbeständen strikt getrennt gehalten werden.
(3) Die / der Auftragnehmerin / Auftragnehmer erklärt sich damit einverstanden,
dass der Auftraggeber berechtigt ist, die Einhaltung der Vorschriften über den
Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang
zu kontrollieren, insbesondere durch die Einholung von Auskünften und die
Einsichtnahme in die gespeicherten Daten und Datenverarbeitungsprogramme
gemäß § 7.
(4) Die / der Auftragnehmerin / Auftragnehmer ist verpflichtet alle
personenbezogenen Daten nach Abschluss der Erbringung der
Verarbeitungsleistungen nach Wahl des Verantwortlichen zu berichtigen,
zurückzugeben oder zu löschen und bestehende Kopien zu vernichten, wenn
nicht nach einer Rechtsvorschrift eine Verpflichtung zur Speicherung der Daten
besteht. Ist eine datenschutzkonforme Löschung oder eine entsprechende
Einschränkung der Datenverarbeitung nicht möglich, übernimmt die
Auftragnehmerin die datenschutzkonforme Vernichtung von Datenträgern und
sonstigen Materialien auf Grund einer Einzelbeauftragung durch den
Auftraggeber oder gibt diese Datenträger an den Auftraggeber zurück.
Bezüglich der Vergütung für die Übernahme dieser Pflichten durch die
Auftragnehmerin können gesonderte Vergütungsvereinbarungen getroffen
werden.
(5) Nach Abschluss der vertraglichen Arbeiten hat die / der Auftragnehmerin /
Auftragnehmer sämtliche in seinen Besitz gelangten und erstellten
Verarbeitungs- und Nutzungsergebnisse, die im Zusammenhang mit dem
Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen. Die Datenträger
des Auftragnehmers sind danach physisch zu löschen und die Löschung zu
dokumentieren.
3
[Seite 4]
(6) Entscheidungen zur Organisation der Datenverarbeitung und zu den
angewandten Verfahren mit Auswirkungen auf Vertraulichkeit, Integrität,
Verfügbarkeit, Authentizität, Revisionsfähigkeit und Transparenz sind mit dem
Auftraggeber abzustimmen.
(7) Die / der Auftragnehmerin / Auftragnehmer ist verpflichtet, alle im Rahmen des
Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und
Datensicherungsmaßnahmen des Auftraggebers vertraulich zu behandeln.
Diese Verpflichtung besteht auch nach Vertragsende unbegrenzte Zeit weiter.
(8) Die / der Auftragnehmerin / Auftragnehmer handelt nur auf dokumentierte
Weisung des Verantwortlichen; ist der Auftragsverarbeiter der Auffassung, dass
eine Weisung rechtswidrig ist, hat er den Verantwortlichen unverzüglich zu
informieren.
(9) Die / der Auftragnehmerin / Auftragnehmer hat dem Verantwortlichen alle
erforderlichen Informationen, insbesondere die gemäß § 62 BlnDSG erstellten
Protokolle, zum Nachweis der Einhaltung seiner Pflichten zur Verfügung zu
stellen.
(10) §§ 4 und 6 gelten entsprechend, wenn die Wartung automatisierter Verfahren
durch Dritte im Auftrag vorgenommen werden und dabei ein Zugriff auf
personenbezogene Daten nicht ausgeschlossen werden kann.
(11) Ein Auftragsverarbeiter, der die Zwecke und Mittel der Verarbeitung unter
Verstoß gegen diese Vorschrift bestimmt, gilt in Bezug auf diese Verarbeitung
als Verantwortlicher.
§ 5 Subunternehmer (weitere Auftragsverarbeiter)
Die Beauftragung von Subunternehmen ist unzulässig.
§ 6 Sonstige Pflichten der / des Auftragnehmerin / Auftragnehmers
(1) Die / der Auftragnehmerin / Auftragnehmer verpflichtet sich, bei der
auftragsgemäßen Verarbeitung der personenbezogenen Daten des
Auftraggebers das Datengeheimnis gemäß § 38 BlnDSG zu wahren.
4
[Seite 5]
(2) Die Wahrung der Vertraulichkeit ist zu sichern. Die / der Auftragnehmerin /
Auftragnehmer hat daher bei der Durchführung der Arbeiten nur Beschäftigte
einzusetzen, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie
relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden oder
einer angemessenen gesetzlichen Vertraulichkeits- /Verschwiegenheitspflicht
unterliegen. Die Vertraulichkeits-/Verschwiegenheitspflicht besteht auch nach
der Beendigung des Auftrages fort. Die / der Auftragnehmerin / Auftragnehmer
und jede der / dem Auftragnehmerin / Auftragnehmer unterstellte Person, die
Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich
entsprechend der Weisung des Auftraggebers verarbeiten, einschließlich der in
diesem Vertrag eingeräumten Befugnisse.
(3) Auskünfte darf die / der Auftragnehmerin / Auftragnehmer nur im Rahmen der
Aufgabenerledigung an Berechtigte erteilen. Berechtigte sind nur die vom
Auftraggeber der / dem Auftragnehmerin / Auftragnehmer im Bezugsvertrag
benannten Mitarbeitenden des Auftragsgebers.
(4) Auftragnehmerin / Auftragnehmer und Auftraggeber unterrichten sich
gegenseitig über relevante, über die gesetzlichen Regelungen hinausgehende
Sachverhalte, deren Kenntnis aus Gründen des Datenschutzes und der
Geheimhaltung erforderlich ist.
(5) Die / der Auftragnehmerin / Auftragnehmer unterrichtet den Auftraggeber
unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten
des Auftraggebers bekannt werden.
(6) Die / der Auftragnehmerin / Auftragnehmer trifft die erforderlichen Maßnahmen
zur Sicherung der Daten und zur Minderung nachteiliger Folgen der betroffenen
Personen und spricht sich hierzu unverzüglich mit dem Auftraggeber ab.
(7) Die / der Auftragnehmerin / Auftragnehmer nennt dem Auftraggeber seinen
Datenschutzbeauftragten als Ansprechpartner für im Rahmen des Vertrages
anfallende Datenschutzfragen.
(8) Die / der Auftragnehmerin / Auftragnehmer verpflichtet sich, der oder die
Beauftragte für den Datenschutz des Bundeslandes der Bundesrepublik
Deutschland, in dem die Auftragnehmerin seinen Sitz hat, und den von ihm
5
[Seite 6]
eingesetzten Bediensteten Zugang zu den Arbeitsräumen zu gewähren und
unterwirft sich deren Kontrolle.
(9) Die / der Auftragnehmerin / Auftragnehmer unterstützt den Auftraggeber im
Rahmen seiner Möglichkeiten bei der Einhaltung der in §§ 50 bis 53 und 55
BlnDSG genannten Pflichten.
§ 7 Nachweismöglichkeiten der / des Auftragnehmerin / Auftragnehmers,
Kontrollrechte des Auftraggebers
(1) Die / der Auftragnehmerin / Auftragnehmer weist dem Auftraggeber auf dessen
Verlangen die Einhaltung der in diesem Vertrag niedergelegten Pflichten mit
geeigneten Mitteln nach.
(2) Inspektionen durch den Auftraggeber oder einen von diesem beauftragten
Prüfer, werden zu den üblichen Geschäftszeiten und nach Anmeldung unter
Berücksichtigung einer angemessenen Vorlaufzeit durchgeführt. Die
Auftragnehmerin darf diese von der Unterzeichnung einer
Verschwiegenheitserklärung hinsichtlich seiner Geschäftsgeheimnisse und der
eingerichteten technischen und organisatorischen Maßnahmen abhängig
machen. Sollte der durch den Auftraggeber beauftragte Prüfer in einem
Wettbewerbsverhältnis zu der / dem Auftragnehmerin / Auftragnehmer stehen,
hat die / der Auftragnehmerin / Auftragnehmer gegen diesen ein
Einspruchsrecht.
(3) Die / der Auftragnehmerin / Auftragnehmer hat nach seiner Wahl auch das
Recht, selbst einen unabhängigen externen Prüfer zu bestellen und aktuelle
Auditberichte vorzulegen.
(4) Die / der Auftragnehmerin / Auftragnehmer darf für die Unterstützung bei der
Durchführung einer Inspektion eine Vergütung verlangen, die nach Aufwand
und Kosten angemessen ist. Die / der Auftragnehmerin / Auftragnehmer ist im
Falle unangemessener häufiger Inspektionen durch den Auftraggeber bzw.
durch von ihm beauftragte Prüfer, die durch keinerlei Verdachtsmoment
hinsichtlich der Bestimmungen dieses Vertrages begründet sind, berechtigt,
6
[Seite 7]
dem Auftraggeber bzw. dem von ihm beauftragten Prüfer den Zutritt zu seinen
Geschäftsräumen für weitere Inspektionen zu verweigern.
§ 8 Datensicherungsmaßnahmen
(1) Die / der Auftragnehmerin / Auftragnehmer legt gemäß §§ 50, 53 BlnDSG die
technischen und organisatorischen Maßnahmen, die bei der automatisierten
Verarbeitung personenbezogener Daten zu gewährleisten sind, fest. Der
Auftraggeber informiert die / den Auftragnehmerin / Auftragnehmer
unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der
Auftragsergebnisse feststellt.
(2) Die / der Auftragnehmerin / Auftragnehmer hat alle gemäß § 50 BlnDSG
erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen.
(3) Nimmt die / der Auftragnehmerin / Auftragnehmer für die Wartung
automatisierter Verfahren Dritte in Anspruch und es ist nicht ausgeschlossen,
dass durch die Wartung ein Zugriff auf personenbezogene Daten erfolgt, so hat
die / der Auftragnehmerin / Auftragnehmer die vorherige Zustimmung des
Auftraggebers einzuholen. Es obliegt der / dem Auftragnehmerin /
Auftragnehmer vertraglich sicherzustellen, dass die Bestimmungen dieses
Vertrages auch gegenüber dem Dritten gelten. Des Weiteren muss der Vertrag
zwischen der / dem Auftragnehmerin / Auftragnehmer und Dritten
(Wartungsverantwortlichen) sicherstellen
- dass die technische Verbindung von der / dem Auftragnehmerin /
Auftragnehmer hergestellt wird, sofern dies nicht möglich ist, ist ein
Rückrufverfahren verbindlich festzulegen,
- und die Anwesenheit des Systemverwalters möglichst sicherzustellen ist.
Ist bei Wartungsarbeiten nur ein Zugriff auf Daten in verschlüsselter,
pseudonymisierter oder anonymisierter Form gegeben, so dass die mit der
Wartung beauftragte Stelle Betroffene nicht reidentifizieren kann, so ist nur Art
und Umfang der Wartung und eine Protokollierungspflicht bei der / dem
Auftragnehmerin / Auftragnehmer und die Verpflichtung des
Wartungsverantwortlichen, Weisungen der / des Auftragnehmerin /
7
[Seite 8]
Auftragnehmers zum Umgang mit den Daten auszuführen und sich an dessen
Weisungen zu halten, vertraglich zu vereinbaren.
(4) Darüber hinaus sind Datenverarbeitungssysteme so zu gestalten, dass bei
einer Wartung möglichst nicht auf personenbezogene Daten zugegriffen
werden kann. Sofern ein Zugriff möglich ist, ist durch technische und
organisatorische Maßnahmen sicherzustellen, dass nur auf die für die Wartung
unbedingt erforderlichen Daten zurückgegriffen werden kann. Es ist
insbesondere
-
sicherzustellen, dass nur dafür autorisiertes Personal die Wartung vornimmt,
-
sicherzustellen, dass jeder Wartungsvorgang nur mit Wissen und Wollen des
Auftraggebers erfolgen kann,
- sicherzustellen, dass alle Wartungsvorgänge während der Durchführung vom
Auftraggeber kontrolliert werden können,
- zu verhindern, dass personenbezogene Daten im Rahmen der Wartung
unbefugt entfernt oder übertragen werden,
- sicherzustellen, dass alle Wartungsvorgänge nach der Durchführung
nachvollzogen werden können,
- zu verhindern, dass bei der Wartung Programme unbefugt abgerufen werden
können, die für die Wartung nicht benötigt werden,
- zu verhindern, dass bei der Wartung Datenverarbeitungsprogramme
unbefugt verändert werden können, und
- die Wartung so zu organisieren und zu gestalten, dass sie den besonderen
Anforderungen des Datenschutzes gerecht wird.
(5) Die / der Auftragnehmerin / Auftragnehmer gewährleistet die vertraglich
vereinbarten und gesetzlich vorgeschriebenen Datensicherungsmaßnahmen
insbesondere durch
Verwendung ausgetesteter DV-Programme
Einsatz von Sicherheitsmaßnahmen nach dem jeweils neusten Stand
der Technik
8
[Seite 9]
sichere Speicherung und Aufbewahrung der Daten als besonderen
Schutz vor dem Zugriff Unberechtigter
gesicherte Anmeldeverfahren durch qualitativ hochwertige Maßnahmen
Vergabe von Zugriffsrechten unter besonderer Berücksichtigung
detailliert definierter Verantwortlicher
Verhinderung von unberechtigtem Eindringen in die Datenbestände
durch geeignete Maßnahmen und technische Komponenten, wie z.B.
Firewall, Intrusion Detection Systems usw.
Verhinderung der unberechtigten Kenntnisnahme von Daten durch
Servicemitarbeitende im Rahmen von Wartung und Pflege der
Datenbank und der eingesetzten Hard- und Softwarekomponenten
Dokumentation in Form exakter Protokollierung von Erfassung,
Veränderung und Löschung personenbezogener Daten, die dem
Auftraggeber auf Wunsch kurzfristig vom Auftragnehmer zur Verfügung
gestellt wird
Schutz der DV-Systeme vor zufälliger Zerstörung und Sabotage
Einhaltung der vertraglich festgelegten Verfügbarkeit der
personenbezogenen Daten für den Kreis der Zugriffsberechtigten.
(6) Die technischen und organisatorischen Maßnahmen können im Laufe des
Auftragsverhältnisses der technischen und organisatorischen
Weiterentwicklung angepasst werden. Wesentliche Änderungen sind schriftlich
zu vereinbaren.
(7) Soweit die bei der / dem Auftragnehmerin / Auftragnehmer getroffenen
Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht genügen,
benachrichtigt die / der Auftragnehmerin / Auftragnehmer den Auftraggeber
unverzüglich. Entsprechendes gilt für Störungen sowie bei Verdacht auf
Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung
personenbezogener Daten.
9
[Seite 10]
§ 9 Verantwortliche Personen
(1) Die verantwortlichen Personen für die Durchführung dieser Vereinbarung sind
auch die Personen, die für die Durchführung des in § 2 genannten Vertrags
benannt werden. Die dort getroffenen Verfahrensregelungen gelten ergänzend
zu dieser Vereinbarung.
(2) Die verantwortlichen Personen beraten und unterstützen sich im Rahmen der
entsprechenden Vereinbarungen des in § 1 genannten Vertrages. Dabei
getroffene Grundsatzentscheidungen sind schriftlich zu fixieren und der jeweils
anderen Vertragspartei zur schriftlichen Bestätigung vorzulegen.
§ 10 Informationspflichten, Schriftformklausel, Rechtswahl
(1) Sollten die Daten des Auftraggebers bei der / dem Auftragnehmerin /
Auftragnehmer durch Pfändung oder Beschlagnahme, durch Insolvenz- oder
Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter
gefährdet werden, so hat die / der Auftragnehmerin / Auftragnehmer den
Auftraggeber unverzüglich darüber zu informieren. Die / der Auftragnehmerin /
Auftragnehmer wird diesen Dritten unverzüglich darüber informieren, dass die
Hoheit und das Eigentum der Daten ausschließlich beim Auftraggeber als
„Verantwortlicher“ im Sinne des Berliner Datenschutzgesetzes liegen.
(2) Änderungen und Ergänzungen dieser Anlage und aller ihrer Bestandteile
- einschließlich etwaiger Zusicherungen der / des Auftragnehmerin /
Auftragnehmers - bedürfen einer Vereinbarung, die schriftlich oder auch in
elektronischem Format (Textform) erfolgen kann, und des ausdrücklichen
Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser
Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses
Formerfordernis.
(3) Es gilt deutsches Recht unter Ausschluss des internationalen Privatrechts
sowie des UN-Kaufrechts (United Nations Convention on Contracts for the
International Sale of Goods - CISG).
10
[Seite 11]
§ 11 Dauer der Vereinbarung
(1) Diese Vereinbarung ist eine Nebenabrede zum in § 1 genannten Vertrag und
tritt ohne weiteres wie dieser in und außer Kraft.
(2) Der Auftraggeber kann den in § 1 genannten Vertrag jederzeit ohne Einhaltung
einer Frist kündigen, wenn ein schwerwiegender Verstoß der Auftragnehmerin
gegen die Bestimmungen des jeweiligen Landesdatenschutzgesetzes, des
Berliner Datenschutzgesetzes oder dieses Vertrages vorliegt oder die
Auftragnehmerin den Zutritt des jeweiligen Landesbeauftragten für Datenschutz
vertragswidrig verweigert.
§ 12 Wirksamkeit der Vereinbarung
Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die
Wirksamkeit der Vereinbarung im Übrigen nicht.
Berlin, den _______________ _______________ den, _______________
Auftragnehmerin / Auftragnehmer
Herr Christian Steiof (Unterschrift und ggf. Firmenstempel) Polizei Berlin Leiter LKA Berlin
11