02.07_AVV.docx

Vereinbarung zur Auftragsverarbeitung gem. Art. 28 DSGVO von personenbezogenen Daten im Sinne von Art. 9 DSGVO und zur Wahrung des Berufsgeheimnisses nach § 203 StGB

zwischen der

Labor Berlin – Charité Vivantes GmbH,

Sylter Straße 2, 13353 Berlin,

und

Labor Berlin – Charité Vivantes Services GmbH,

Sylter Straße 2, 13353 Berlin,

– Verantwortlicher –

– nachstehend gemeinsam „Auftraggeber“ genannt –

und der

[Firma und Anschrift des Auftragnehmers]

– Auftragsverarbeiter –

– nachstehend „Auftragnehmer“ genannt –

Hinweis:

Die für das konkrete Dienstleistungsverhältnis zutreffenden Alternativen sind anzukreuzen und ggf. zu ergänzen. Leerfelder sind entsprechend des konkreten Auftrags auszufüllen.

Präambel

Dieser Auftragsverarbeitungs-Vertrag („AV-Vertrag“ oder „AVV“) konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der im Vertrag

Rahmenvereinbarung über Reagenzienleasing für die Analytik mittels Schnell-PCR

(im Folgenden „Hauptvertrag“ genannt) beschriebenen Auftragsverarbeitung ergeben.

Sämtliche in diesem Vertrag beschriebenen Verpflichtungen finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen Mitarbeitende des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen bzw. kommen könnten. Vergütungs- und Haftungsregelungen zu den einzelnen Leistungen des Auftragnehmers werden in dem dieser Vereinbarung zugrundeliegenden Hauptvertragsverhältnis vereinbart.

Definitionen

Es gelten die Begriffsbestimmungen entsprechend Art. 4 DSGVO, § 2 GeschGehG, § 2 TDDDG, Bundesdatenschutzgesetz (BDSG), Strafgesetzbuch (StGB) und Landesdatenschutzgesetz (BlnDSG). Sollten in den Artikeln bzw. Paragraphen sich widersprechende Darstellungen zu finden sein, gelten die Definitionen in der Rangfolge DSGVO, Bundesrecht, Landesrecht, Geschäftsgeheimnisgesetz und TTDSG. Weiterhin gelten folgende Begriffsbestimmungen:

• 1. Transfer Impact Assessment (TIA)

Prüfung und Dokumentation der Risiken eines Drittlandtransfers gemäß den Anforderungen des EuGH-Urteils C-311/17 (Schrems II) und den aktuellen Standardvertragsklauseln der EU-Kommission vom 4. Juni 2021.

• 1. Anonymisierung

Prozess, bei dem personenbezogene Daten entweder vom für die Verarbeitung der Daten Verantwortlichen allein oder in Zusammenarbeit mit einer anderen Partei unumkehrbar so verändert werden, dass sich die betroffene Person danach weder direkt noch indirekt identifizieren lässt (Quelle: DIN EN ISO 25237).

• 1. Pseudonymisierung

Im Sinne diese Vertrages ist Pseudonymisierung die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden.

• 1. Unterauftragnehmer

Vom Auftragnehmer beauftragter Leistungserbringer, dessen Dienstleistung und/oder Werk der Auftragnehmer zur Erbringung der in diesem Vertrag beschriebenen Leistungen gegenüber dem Auftraggeber benötigt.

• 1. Sonstige mitwirkende Personen

Sonstige mitwirkende Person i.S.v. § 203 Abs. 3 S. 2 StGB sind Personen, die an der beruflichen oder dienstlichen Tätigkeit der schweigepflichtigen Person mitwirken, ohne dass sie in die Sphäre des Berufsgeheimnisträgers eingebunden sind.

• 1. Weisung

Weisung ist die auf einen bestimmten Umgang (zum Beispiel Anonymisierung, Löschung, Herausgabe) des Auftragnehmers mit personenbezogenen Daten gerichtete schriftliche oder elektronischer Anordnung des Auftraggebers. Die Weisungen werden anfänglich durch den jeweiligen Hauptvertrag festgelegt und können vom Auftraggeber danach in schriftlicher oder elektronischer Form durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung).

Gegenstand und Dauer des Auftrags

2.1 Gegenstand

[ ] Der Gegenstand des Auftrags ergibt sich aus der Leistungsvereinbarung/SLA/................................................. vom ..................., auf die hier verwiesen wird (im Folgenden Leistungsvereinbarung).

oder

[ ] Gegenstand des Auftrags zum Datenumgang ist die Durchführung folgender Aufgaben durch den Auftragnehmer: […].

• 1. Dauer

[ ] Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit der Leistungsvereinbarung.

oder (insbesondere, falls keine Leistungsvereinbarung zur Dauer besteht)

[ ] Der Auftrag wird zur einmaligen Ausführung erteilt.

oder

[ ] Die Dauer dieses Auftrags (Laufzeit) ist befristet bis zum ...................

oder

[ ] Der Auftrag ist unbefristet erteilt und kann von beiden Parteien mit einer Frist von zwei Monaten zum Monatsende gekündigt werden. Die Möglichkeit zur fristlosen Kündigung bleibt hiervon unberührt. Jede Kündigung bedarf der Schriftform.

Es ist den Vertragspartnern bewusst, dass ohne Vorliegen eines gültigen AV-Vertrages z. B. bei Beendigung des vorliegenden Vertragsverhältnisses, keine (weitere) Auftragsverarbeitung durchgeführt werden darf.

Konkretisierung des Auftragsinhalts

• 1. Kategorien personenbezogener Daten

[ ] Die Art der verwendeten personenbezogenen Daten ist in der Leistungsvereinbarung konkret beschrieben unter: .......................

oder

Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten/-kategorien:

Basis-Stammdaten

[ ] Name, Vorname

[ ] Geburtsdatum

[ ] Anschrift

[ ] Kommunikationsdaten (z.B. Telefon, E-Mail)

[ ] Geschlecht

Erweiterte Stammdaten

[ ] Vertragsstammdaten (Vertragsbeziehung, Produkt- bzw. Vertragsinteresse)

[ ] Versicherungsdaten

[ ] Kundenhistorie

[ ] Vertragsabrechnungs- und Zahlungsdaten

[ ] Planungs- und Steuerungsdaten

[ ] Auskunftsangaben (von Dritten, z.B. Auskunfteien, oder aus öffentlichen Verzeichnissen)

[ ] Beschäftigtendaten

Gesundheitsbezogene, biometrische oder besonders sensible Daten im Sinne von Art. 9 DSGVO

[ ] Gesundheitsdaten

[ ] Befundung

[ ] Biomaterialproben (Gewebe, Blut, Ausscheidungen)

[ ] Biometrische Daten

[ ] Genetische Daten

• 1. Kategorien betroffener Personen

[ ] Die Kategorien der durch die Verarbeitung betroffenen Personen sind in der Leistungsvereinbarung konkret beschrieben unter: ..................................

oder

[ ] Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen:

[ ] Kunden / Einsender

[ ] Patienten

[ ] Interessenten

[ ] Beschäftigte

[ ] Ansprechpartner

• 1. Zweck der Verarbeitung

[ ] Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber sind konkret beschrieben in der Leistungsvereinbarung vom ...................

oder

[ ] Zweck der vorgesehenen Verarbeitung ist:

[…]

• 1. Art der vorgesehenen Verarbeitung von Daten

[ ] Art der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber sind konkret beschrieben in der Leistungsvereinbarung vom ...................

oder

Art der vorgesehenen Verarbeitung ist

[ ] Erheben

[ ] Erfassen

[ ] Ordnen

[ ] Speicherung und Aufbewahrung

[ ] Anpassung oder Veränderung

[ ] Verbreitung oder eine andere Form der Bereitstellung

[ ] Abgleich oder Verknüpfung

[ ] Einschränkung, Löschung oder Vernichtung von Daten

• 1. Der Auftragnehmer verarbeitet dabei personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO auf Grundlage dieses Auftragsverarbeitungsvertrages.

Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) erbracht. Jede Verlagerung der Dienstleistung -oder von Teilarbeiten dazu- in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf auch nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z.B. Angemessenheitsbeschluss der EU-Kommission; Standardvertragsklauseln nach Art. 28 Abs. 8 DSGVO oder genehmigte Verhaltensregeln nebst weiterer Gewährleistungen eines zur Herstellung eines dem Datenschutz der EU gleichwertigen Schutzniveaus).

4. Weisungsbefugnis des Auftraggebers

• 1. Der Umgang mit den personenbezogenen Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Auftraggebers. Ausgenommen hiervon sind Sachverhalte, in denen dem Auftragnehmer eine Verarbeitung aus zwingenden rechtlichen Gründen auferlegt wird (z.B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden). Der Auftragnehmer unterrichtet in derartigen Situationen den Auftraggeber unverzüglich vor Beginn der Verarbeitung über diese entsprechenden rechtlichen Anforderungen, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Auftraggeber behält sich im Rahmen der in diesem AV-Vertrag getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, dass er durch Einzelweisungen konkretisieren kann.
  2. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam zwischen Auftraggeber und Auftragnehmer abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.
  3. Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format (bspw. E-Mail). Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen. Der Auftragnehmer notiert sich Datum, Uhrzeit und Person, die die mündliche Weisung erteilte, sowie den Grund, warum keine schriftliche Beauftragung erfolgen konnte.
  4. Der Auftragnehmer hat den Auftraggeber unter Angabe einer Begründung unverzüglich zu informieren, wenn er der Meinung ist, eine Meinung verstoße gegen Datenschutzvorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

Verantwortlichkeit und Pflichten des Auftragnehmers

• 1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen des Auftrages und nach Weisungen des Auftraggebers. Weiterführende Verarbeitungen sind im Rahmen dieser Vereinbarung ausgeschlossen.
  2. Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 36 DSGVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:

[ ] Schriftliche Benennung eines Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt.

[ ] Dessen Kontaktdaten werden dem Auftraggeber zum Zweck der direkten Kontaktaufnahme mitgeteilt. Ein Wechsel des Datenschutzbeauftragten wird dem Auftraggeber unverzüglich mitgeteilt.

[ ] Als Datenschutzbeauftragte(r) ist beim Auftragnehmer

[…]

benannt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen.

[ ] Der Auftragnehmer ist nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Als Ansprechpartner beim Auftragnehmer wird Herr/Frau [Eintragen: Vorname, Name, Organisationseinheit, Telefon, E-Mail] benannt.

☐ Da der Auftragnehmer seinen Sitz außerhalb der Europäischen Union hat, benennt er folgenden Vertreter nach Art. 27 Abs. 1 DS-GVO in der Europäischen Union: [Eintragen: Vorname, Name, Organisationseinheit, Telefon, E-Mail].

• 1. Der Auftragnehmer selbst führt für die Verarbeitung ein Verzeichnis der bei ihm stattfindenden Verarbeitungstätigkeiten im Sinne des Art. 30 DSGVO. Er stellt auf Anforderung dem Auftraggeber die für die Übersicht nach Art. 30 DSGVO notwendigen Angaben zur Verfügung. Des Weiteren stellt er das Verzeichnis auf Anfrage der Aufsichtsbehörde zur Verfügung.
  2. Der Auftragnehmer führt eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO, für die bei ihm im Auftrag durchgeführte Verarbeitungstätigkeit(en), durch, sofern dies notwendig ist.
  3. Der Auftragnehmer unterstützt den Auftraggeber bei einer von diesem durchzuführenden Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO mit allen ihm zur Verfügung stehenden Informationen. Im Falle der Notwendigkeit einer vorherigen Konsultation der zuständigen Aufsichtsbehörde gemäß Art. 36 DSGVO unterstützt der Auftragnehmer den Auftraggeber auch hierbei.
  4. Die Verarbeitung von personenbezogenen Daten durch den Auftragnehmer außerhalb von dessen Räumlichkeiten (z.B. Remote-Access, Home-Office, mobiles Arbeiten, mobile Endgeräte etc.) ist grundsätzlich zulässig, sofern gleichwertige technische und organisatorische Maßnahmen (§ 6 dieses Vertrages) implementiert werden. Der Auftragnehmer hat hierfür ein schriftliches „Remote-Work-Sicherheitskonzept“ vorzuhalten (u.a. VPN mit Multi-Faktor-Authentifizierung, verschlüsselte Endgeräte, Clean Desk, regelmäßige Schulungen). Der Auftraggeber kann bei berechtigtem Interesse eine stichprobenartige Prüfung dieser Maßnahmen verlangen oder seine Zustimmung widerrufen.
  5. Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftraggebers vertraulich zu behandeln, soweit im Hauptvertrag nichts anderweitig vereinbart ist. Der Hauptvertrag ist dieser Vereinbarung in diesem Fall vorrangig.
  6. Außerdem sind, soweit im Hauptvertrag nichts anderweitig vereinbart ist, alle Personen des Auftragnehmers bzgl. der Pflichten zur Wahrung von Geschäfts- und Betriebsgeheimnissen des Auftraggebers zu verpflichten und entsprechend auf § 23 GeschGehG hinzuweisen. Der Hauptvertrag ist dieser Vereinbarung in diesem Fall vorrangig.
  7. Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
  8. Die unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.
  9. Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer nach besten Kräften zu unterstützen.
  10. Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.
  11. Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
  12. Der Auftragnehmer unterstützt den Auftraggeber bei der fristgemäßen Erfüllung der Ansprüche betroffener Personen wie etwa bei Auskunftsansprüchen, Berichtigungs- und Löschbegehren sowie der Geltendmachung eines Widerrufes einer Einwilligung. Der Auftraggeber fordert hierzu den Auftragnehmer in geeigneter, vorzugsweise schriftlicher Weise auf, wobei dieses Erfordernis durch eine einfache Textform (z.B. per E-Mail) gewahrt wird. Sofern dem Auftragnehmer die Daten nur pseudonym vorliegen, erfolgt die entsprechende Kommunikation ausschließlich pseudonym. Weiterhin ist der Auftragnehmer nicht befugt, bei ihm gespeicherte pseudonyme Daten zu de-pseudonymisieren, auch wenn dies technologisch möglich ist, oder Verknüpfungen zu weiteren Daten herzustellen, die einen Rückschluss auf betroffene Personen zulassen. Eine direkte Kontaktaufnahme mit den betroffenen Personen erfolgt in diesem Fall nicht.
  13. Soweit vom Leistungsumfang umfasst, sind Löschkonzept, Recht auf Vergessenwerden, Berichtigung, Datenportabilität und Auskunft nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.
  14. Transparenzpflicht bei der Einbindung von KI-Systemen durch den Auftragnehmer
      1. Setzt der Auftragnehmer zur Erfüllung dieses Auftrags KI-Systeme im Sinne der Verordnung (EU) 2024/1689 (KI-VO) ein, so verpflichtet er sich, den Auftraggeber unverzüglich vor Einsatzbeginn schriftlich darüber zu informieren. Dies gilt insbesondere für Systeme, die gemäß Anhang III KI-VO als Hochrisiko-KI-Systeme einzustufen sind.
      2. Der Auftragnehmer stellt dem Auftraggeber auf Anforderung alle Informationen, Dokumentationen und Nachweise zur Verfügung, die dieser benötigt, um:
         1. seiner Rechenschaftspflicht gegenüber Aufsichtsbehörden oder betroffenen Personen nach der KI-VO und der DSGVO gerecht zu werden,
         2. eine Risikoabschätzung oder Konformitätsbewertung durchführen zu können,
         3. seine Pflichten als Anbieter, Betreiber oder Nutzer nach Art. 24 ff. KI-VO zu erfüllen.
      3. Der Auftragnehmer sichert zu, dass von ihm eingesetzte KI-Systeme den Anforderungen des Kapitels II (Verbotene Praktiken) und ggf. des Kapitels III (Hochrisiko-KI) der KI-VO genügen und bei hochrisikorelevanten Anwendungen eine Konformitätsbewertung durchgeführt wurde oder wird.
      4. Der Auftragnehmer dokumentiert die KI-Systeme einschließlich Hersteller, Modell, Versionsnummer, Zweck der Verwendung und eingesetzte Trainingsdaten (soweit relevant) in einem KI-Einsatzverzeichnis, das dem Auftraggeber auf Anforderung zugänglich gemacht wird.
      5. Der Auftraggeber ist berechtigt, den Einsatz bestimmter KI-Systeme abzulehnen oder von zusätzlichen Schutzmaßnahmen abhängig zu machen, wenn berechtigte Zweifel an deren Rechtmäßigkeit oder Konformität bestehen.

6. Technisch-organisatorische Maßnahmen

• 1. Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben. Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage des Auftrags. Soweit die Prüfung / ein Audit des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.
  2. Der Auftragnehmer hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DSGVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen [Einzelheiten in Anlage 1].
  3. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Änderungen sind zu dokumentieren.

7. Vereinbarung zur Wahrung des Berufsgeheimnisses nach § 203 StGB

• 1. Im Rahmen dieses Auftrages können auch Daten verarbeitet werden, die unter ein Berufsgeheimnis (im Sinne von § 203 StGB) fallen. Der Auftragnehmer verpflichtet sich, über Berufsgeheimnisse Stillschweigen zu bewahren und sich nur insoweit Kenntnis von diesen Daten zu verschaffen, wie dies zur Erfüllung der ihm zugewiesenen Aufgaben erforderlich ist.
  2. Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung von dem Berufsgeheimnis unterliegenden Daten des Auftraggebers befassten Beschäftigten und andere für den Auftragnehmer tätigen Personen (z. B. Subunternehmer), die damit befasst sind, sich in Textform dazu verpflichtet haben, die ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenen Berufsgeheimnisse nicht unbefugt zu offenbaren und sie über die mögliche Strafbarkeit nach § 203 Abs. 4 StGB belehrt wurden.
  3. Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich eine mitwirkende Person nach § 203 Abs. 4 S. 2 StGB strafbar macht, sollte sie sich einer weiteren mitwirkenden Person bedienen, die ihrerseits unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, und die mitwirkende Person nicht dafür Sorge getragen hat, dass die weitere mitwirkende Person zur Geheimhaltung verpflichtet wurde.
  4. Der Auftragnehmer wird darauf hingewiesen, dass Daten, die er im Auftrag eines Berufsgeheimnisträgers verarbeitet u.U. dem Zeugnisverweigerungsrecht von sogenannten mitwirkenden Personen unterliegen (§ 53a StPO). Entsprechend § 53a StPO entscheidet jedoch der Berufsgeheimnisträger über die Ausübung des Schweigerechts. Im Falle einer Befragung wird der Auftragnehmer unter Hinweis auf § 53a StPO dieser widersprechen und unverzüglich den Auftraggeber informieren, der dann bzgl. der Wahrnehmung des Schweigerechts entscheidet.
  5. Der Auftragnehmer wird darauf hingewiesen, dass die in seinem Gewahrsam befindlichen Geheimnisschutzdaten dem Beschlagnahmeverbot gemäß § 97 Abs. 2 StPO unterliegen. Die Daten dürfen nicht ohne das Einverständnis des Auftraggebers (Berufsgeheimnisträger) herausgegeben werden. Im Fall einer Beschlagnahme wird der Auftragnehmer dieser widersprechen und unverzüglich den Auftraggeber informieren.

8. Verantwortlichkeit und Pflichten des Auftraggebers

• 1. Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenverarbeitung verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Ziff. 7 DSGVO).
  2. Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich. Der Auftraggeber wird dafür Sorge tragen, dass die gesetzlich notwendigen Voraussetzungen (z. B. durch Einholung von Einwilligungserklärungen für die Verarbeitung der personenbezogenen Daten) geschaffen werden, damit der Auftragnehmer die vereinbarten Leistungen zulässig erbringen kann.
  3. Der Auftraggeber hat den Auftragnehmer zu informieren, wenn er bei der Prüfung der Vertragsverpflichtungen des Auftragnehmers Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt und zu einer unverzüglichen Klärung der Fehler bzw. Unregelmäßigkeiten aufzufordern.

8.4 Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln, soweit im Hauptvertrag nichts anderweitig geregelt ist. Der Hauptvertrag ist dieser Vereinbarung in diesem Fall vorrangig.

9. Kontrollrechte des Auftraggebers

• 1. Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen.
  2. Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DSGVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.
  3. Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch

[ ] die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO;

[ ] die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO;

[ ] aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren);

[ ] einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz).

10. Unterauftragsverhältnisse

• 1. Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z.B. als Telekommunikationsleistungen, Post-/Transportdienstleistungen, Wartung und Benutzerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
  2. Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher schriftlicher bzw. dokumentierter Zustimmung des Auftraggebers beauftragen.
  3. Eine Unterbeauftragung ist unzulässig.

[ ] Der Auftraggeber stimmt der Beauftragung der nachfolgenden Unterauftragnehmer zu unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO:

• 1. Die Auslagerung auf Unterauftragnehmer oder

[ ] der Wechsel des bestehenden Unterauftragnehmers sind zulässig,

soweit:

1. der Auftragnehmer eine solche Auslagerung auf Unterauftragnehmer dem Auftraggeber eine angemessene Zeit (allerdings nicht später als zwei Monate) vorab schriftlich oder in Textform anzeigt und
2. der Auftraggeber nicht bis zum Zeitpunkt der Übergabe der Daten gegenüber dem Auftragnehmer schriftlich oder in Textform Einspruch gegen die geplante Auslagerung erhebt und
3. eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO zugrunde gelegt wird.
   1. Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung, die seitens des Auftragnehmers zu dokumentieren sind, gestattet.
   2. Erbringt der Unterauftragnehmer die vereinbarte Leistung außerhalb der EU/des EWR stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit zwingend durch entsprechende Garantien nach Kapitel V DSGVO sicher. Hierzu gehört stets:
4. Abschluss der EU-Standardvertragsklauseln (2021/914/EU) oder – soweit verfügbar – ein Angemessenheitsbeschluss,
5. Erstellung eines Transfer Impact Assessments (TIA) gem. EDSA-Empfehlung 1/2020,
6. Implementierung zusätzlicher technischer Schutzmaßnahmen (z.B. Ende-zu-Ende-Verschlüsselung, Zero-Knowledge-Prinzip).
   1. Eine weitere Auslagerung durch den Unterauftragnehmer

[ ] ist nicht gestattet;

[ ] bedarf der ausdrücklichen Zustimmung des Hauptauftraggebers (mind. Textform);

[ ] bedarf der ausdrücklichen Zustimmung des Hauptauftragnehmers (mind. Textform);

sämtliche vertraglichen Regelungen in der Vertragskette sind auch dem weiteren Unterauftragnehmer aufzuerlegen.

• 1. Sämtliche vertraglichen Regelungen in der Vertragskette sind auch sämtlichen etwaigen weiteren Unterauftragnehmer aufzuerlegen.
  2. Der Auftraggeber ist berechtigt, jederzeit von dem Auftragnehmer die Technisch-organisatorischen Maßnahmen eines oder mehrerer Unterauftragnehmer anzufordern. Der Auftragnehmer ist verpflichtet, diese dem Auftraggeber zur Verfügung zu stellen.

11. Mitteilung bei Verstößen des Auftragnehmers

• 1. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 34 der DSGVO genannten Pflichten. Hierzu gehören u.a.

1. die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen
2. die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich an den Auftraggeber zu melden
3. die Verpflichtung, dem Auftraggeber im Rahmen seiner Informationspflicht gegenüber dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen.
   1. Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich – spätestens innerhalb von 24 Stunden – bei der Kenntnis oder einem begründeten Verdacht von erheblichen Unregelmäßigkeiten im Rahmen der Datenverarbeitung bei ihm oder beauftragten Dritten oder bei Verstößen des Auftragnehmers – oder der bei ihm im Rahmen des Auftrags beschäftigten Personen – gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder der im Vertrag getroffenen Festlegungen. Den Auftragnehmer trifft insoweit eine Nachforschungspflicht, wenn ihm Anhaltspunkte hierfür bekannt werden. Er trifft nachweislich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die Betroffenen, spricht sich hierzu unverzüglich mit dem Auftraggeber ab und macht Vorschläge für weitere zu treffende notwendige Maßnahmen.
   2. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Informationspflichten gegenüber der jeweiligen Aufsichtsbehörde bzw. gegenüber den Betroffenen nach Art. 33, 34 DSGVO. Eine Prüfung des Auftragnehmers, ob eine eigene Verpflichtung zur Meldung an eine Aufsichtsbehörde vorliegt, bleibt hiervon unberührt.

12. Löschung und Rückgabe von personenbezogenen Daten

12.1 Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind (Grundsatz der Verfügbarkeit), sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

12.2 Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Auftraggeber – spätestens mit Beendigung der Leistungsvereinbarung – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen. Die Löschung erfolgt nach DIN 66399. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

13. Zurückbehaltungsrecht

Die Einrede des Zurückbehaltungsrechts – gleich aus welchem Rechtsgrund – an den vertrags-gegenständlichen Daten sowie an evtl. vorhandenen Datenträgern wird ausgeschlossen.

14. Haftung

• 1. Für alle datenschutzrechtlichen Haftungsfragen der Vertragsparteien gelten die gesetzlichen Bestimmungen, insbesondere die DSGVO. Soweit Dritte Ansprüche gegen den Auftraggeber geltend machen, die ihre Ursache in einem schuldhaften Verstoß des Auftragnehmers gegen eine ihn unmittelbar treffende gesetzliche Datenschutzverpflichtung haben, stellt der Auftragnehmer den Auftraggeber von diesen Ansprüchen auf erstes Anfordern frei.
  2. Der Auftragnehmer trägt die Beweislast dafür, dass etwaige Schäden nicht auf einem von ihm zu vertretenden Umstand beruhen, soweit die jeweilige Ursache in der Verarbeitung von Daten, für deren Verarbeitung der Auftraggeber der Verantwortliche ist, in der Zuständigkeitssphäre des Auftragnehmers liegen.
  3. Soweit der Auftraggeber zum Schadensersatz gegenüber dem Betroffenen verpflichtet ist, bleibt ihm der Rückgriff auf den Auftragnehmer vorbehalten.
  4. Im Innenverhältnis zwischen Auftraggeber und Auftragnehmer haftet der Auftragnehmer für den durch eine Verarbeitung verursachten Schaden jedoch nur, wenn er

1. seinen ihm speziell durch die DSGVO auferlegten Pflichten nicht nachgekommen ist oder
2. unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Auftraggebers oder gegen diese Anweisungen gehandelt hat.
   1. Weitergehende Haftungsansprüche nach den allgemeinen Gesetzen bleiben unberührt.

15. Informationspflichten, Schriftformklausel

• 1. Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit an den Daten beim Auftraggeber liegt.
  2. Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile – einschließlich etwaiger Zusicherungen des Auftragnehmers – bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Regelungen handelt. Das Schriftformerfordernis gilt auch für den Verzicht auf dieses Formerfordernis.

16. Schlussbestimmungen

• 1. Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen der Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden, bleiben die übrigen Vertragsbestimmungen und die Wirksamkeit des Vertrages im Ganzen hiervon unberührt.
  2. An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichtigen Bestimmung möglichst nahekommt.
  3. Erweist sich der Vertrag als lückenhaft, gelten die Bestimmungen als vereinbart, die dem Sinn und Zweck des Vertrages entsprechen und im Falle des Bedachtwerdens vereinbart worden wären.
  4. Existieren mehrere wirksame und durchführbare Bestimmungen, welche die unter Ziffer 16.1 genannte unwirksame Regelung ersetzen können, so muss die Bestimmung gewählt werden, welche den Schutz der Patienten- und/oder Beschäftigtendaten im Sinne dieses Vertrages am besten gewährleistet.
  5. Der Gerichtsstand ist der Sitz des Auftraggebers.
  6. Diese Vereinbarung zur Auftragsverarbeitung ersetzt alle bisherigen Vereinbarungen gem. Art. 28 DSGVO oder § 11 BDSG (alt) zu dem in der Präambel genannten Hauptvertrag und tritt mit Unterzeichnung des Hauptvertrags in Kraft.

Anlagen:

Anlage 1: Nachweis der technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 S. 2 lit. c i.V.m. Art. 32, Art. 30 Abs. 2 lit. d und g DSGVO

[von der Auftragnehmerin bereitzustellen und anzufügen]

Berlin, ________________________ Ort, ______________________

______________________________ _______________________________

Labor Berlin – Charité Vivantes GmbH Auftragnehmer

vertreten durch __________________ vertreten durch __________________

Funktion: _______________________ Funktion: _______________________

Berlin, ________________________

______________________________

Labor Berlin – Charité Vivantes Services GmbH

vertreten durch __________________

Funktion: _______________________