Anlage 4a - Einzelregelung - DS-Bestimmungen (zugleich Anlage 4a zum Vertrag).docx

Datenschutzbestimmungen

§ 1 Gegenstand der Datenschutzbestimmungen

1. Diese Datenschutzbestimmungen sind Bestandteil des Rahmenvertrag Re-Seller GitLAB 2026 (101210) über die Lieferung von GitLab-Lizenzen.

(im Folgenden Hauptvertrag).

Bei der Auftragsleistung handelt es sich grundsätzlich nicht um eine Auftragsverarbeitung im Sinne des Art. 28 EU‑DSGVO bzw. des § 80 SGB X.

1. Im Rahmen des Auftragsverhältnisses ist es jedoch nicht ausgeschlossen, dass der Auftragnehmer zur Erfüllung der Auftragsleistung einen Zugriff auf das Datenverarbeitungssystem des Auftraggebers benötigt und mit personenbezogenen Daten des Auftraggebers (ggf. Sozialdaten) in Berührung kommt.
2. Die Datenschutzbestimmungen regeln die im Rahmen des Auftragsverhältnisses einzuhaltenden datenschutzrechtlichen Anforderungen, Festlegungen und Weisungen bei der auftragsgemäßen Ausführung der vereinbarten Dienstleistung.

§ 2 Pflichten des Auftragnehmers

1. Der Auftragnehmer führt die vereinbarten Leistungen ausschließlich im Rahmen der im Vertragsgegenstand getroffenen Vereinbarungen durch. Er verwendet Daten, die ihm im Rahmen der Erfüllung dieses Vertrages bekannt geworden sind, nur für die vereinbarten Zwecke.
2. Für den Datenschutz und die Datensicherheit erhebliche Entscheidungen zur Durchführung der vereinbarten Leistungen sind mit dem Auftraggeber abzustimmen.
3. Der Auftragnehmer ist verpflichtet, alle erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherungsmaßnahmen des Auftraggebers geheim zu halten und in keinem Fall Dritten zur Kenntnis zu bringen.
4. Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen und Daten sowie erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen. Die Datenträger des Auftragnehmers sind danach physisch zu löschen. Dies gilt auch für Test- und Ausschussmaterial sowie erzeugte Zwischenergebnisse. Über die Löschung ist ebenfalls ein Protokoll zu fertigen, welches dem Auftraggeber vorzulegen ist.
5. Der Auftragnehmer verpflichtet sich, keine Kopien oder Duplikate ohne Wissen des Auftraggebers oder für andere Zwecke zu erstellen.
6. Im Falle eines erforderlichen Fernzugriffs auf die Systeme des Auftraggebers ist der Fernzugang besonders abzusichern und zu überwachen.
7. Notwendige Datenübertragungen zu Zwecken der Leistungserbringung müssen in hinreichend verschlüsselter Form erfolgen, Ausnahmen sind gesondert zu begründen.
8. Der Auftragnehmer teilt dem Auftraggeber vor Beginn des Fernzugriffs mit, welche Mitarbeiter er dafür einsetzen wird und wie diese sich identifizieren werden. Dabei sind hinreichend sichere Identifizierungsverfahren zu verwenden.
9. Die Fernzugriffsverbindung darf nur vom Auftraggeber zeitlich befristet aktiviert werden. Die Aktivitäten des Personals des Auftragnehmers müssen grundsätzlich auf einem Bildschirm beim Auftraggeber nachvollzogen werden können.
10. Der Auftraggeber hat das Recht, den Fernzugriff zu unterbrechen, insbesondere, wenn unbefugt auf Daten bzw. Dateien zugegriffen wird. Die Unterbrechung kann ebenfalls erfolgen, wennein Fernzugriff mit nicht vereinbarten Hard- und Softwarekomponenten festgestellt wird.
11. Auf Wunsch des Auftraggebers gewährt der Auftragnehmer einem Bevollmächtigten des Auftraggebers Einsicht in die für die Auftragsleistung eingesetzten Verfahren sowie technischen und organisatorischen Maßnahmen zum Schutz von Daten.

§ 3 Pflichten des Auftraggebers

1. Der Auftraggeber bleibt für die Beurteilung der Zulässigkeit der vereinbarten Auftragsleistung sowie für die Wahrung der Rechte der Betroffenen verantwortlich.
2. Der Auftraggeber hat das Recht, erforderlichenfalls datenschutzrechtliche Weisungen zu Art, Umfang und Ablauf der vereinbarten Auftragsleistung zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
3. Der Auftraggeber informiert den Auftragnehmer unverzüglich über festgestellte Fehler oder Unregelmäßigkeiten bei der Erbringung der Auftragsleistung.
4. Die im Rahmen des Auftragsverhältnisses weisungs-, empfangs- und kontrollberechtigten Personen sind dem Auftragnehmer vor Ausübung ihrer Tätigkeit vom Auftraggeber schriftlich zu benennen. Sie haben sich bei der Ausübung ihrer Befugnisse zu legitimieren.

§ 4 Unterauftragnehmer

1. Unterauftragnehmer dürfen nur mit vorheriger schriftlicher Genehmigung des Auftraggebers eingeschaltet werden.
2. Die vertraglichen Vereinbarungen zwischen Auftragnehmer und Unterauftragnehmer sind so zu gestalten, dass sie den Bestimmungen des Vertragsverhältnisses zwischen Auftraggeber und Auftragnehmer entsprechen.

§ 5 Haftung

1. Der Auftragnehmer haftet im Rahmen der gesetzlichen Bestimmungen für Schäden, die infolge schuldhaften Verstoßes (vorsätzliches oder grob fahrlässiges Verhalten) gegen die Datenschutzbestimmungen bzw. bei Verletzung vertraglicher Verpflichtungen entstehen.
2. Der Auftragnehmer bestätigt, sich gegen die Inanspruchnahme wegen Verletzung von Datenschutzvorschriften hinreichend versichert zu haben und diesen Versicherungsschutz für die gesamte Laufzeit dieser Datenschutzbestimmungen in vollem Umfang aufrecht zu erhalten. Auf Nachfrage des Auftraggebers wird er dies durch Vorlage geeigneter Dokumente nachweisen.

§ 6 Laufzeit

Der Beginn des Auftragsverhältnisses ist im Hauptvertrag geregelt. Diese Datenschutzbestimmungen werden auf unbestimmte Zeit geschlossen und gelten bis zur vollständigen Erfüllung und Abwicklung aller sich aus § 1 ergebenden Leistungen. Die Geheimhaltungspflicht und Haftung gilt darüber hinaus unbegrenzt.

§ 7 Inkrafttreten

Diese Datenschutzbestimmungen treten mit Inkrafttreten des Hauptvertrages in Kraft. Es gilt die Gerichtsstandvereinbarung des Hauptvertrages.