2026-04827_C06_Vereinbarung über Auftragsverarbeitung_Entwurf.pdf

[Seite 1]

VEREINBARUNG ÜBER DIE AUFTRAGSVERARBEITUNG NACH ART. 28 DATENSCHUTZ-GRUNDVERORDNUNG (DS-GVO)

zwischen

dem Oldenburgisch-Ostfriesischer Wasserverband, vertreten durch den Geschäftsführer Karsten Specht, Georgstraße 4, 26919 Brake

• im Folgenden „Auftraggeber“ genannt -

und

• im Folgenden „Auftragnehmer“ genannt -

• im Folgenden (gemeinsam) auch „Vertragspartner“ genannt -

Version 1.1 – Stand 14.10.2026 Seite 1 von 23

[Seite 2]

Inhaltsverzeichnis

Präambel .............................................................................................................................................. 3 § 1 Gegenstand und Dauer der Vereinbarung..................................................................................... 3 § 2 Verantwortlichkeit und Weisungsbefugnis ................................................................................... 4 § 3 Pflichten des Auftragnehmers ....................................................................................................... 4 § 4 Pflichten des Auftraggebers .......................................................................................................... 7 § 5 Nachweis der Einhaltung dieser Vereinbarung ............................................................................ 7 § 6 Weitere Auftragsverarbeiter (Art. 28 Abs. 3 S. 2 lit. d) DS-GVO) ............................................... 8 § 7 Technische und organisatorische Maßnahmen nach Art. 32 DS-GVO ........................................ 9 § 8 Verpflichtungen des Auftragnehmers nach Beendigung dieser Vereinbarung .......................... 10 § 9 Vergütung .................................................................................................................................... 11 § 10 Haftung und Schadenersatz ...................................................................................................... 11 § 11 Schlussbestimmungen ............................................................................................................... 11 Anlage 1.............................................................................................................................................. 13 Anlage 2.............................................................................................................................................. 14 Anlage 3.............................................................................................................................................. 15

Version 1.1 – Stand 14.10.2026 Seite 2 von 23

[Seite 3]

Präambel

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers i. S. d. Art. 4 Nr. 8 und Art. 28 der Verordnung (EU) 2016/679 – Datenschutz-Grundver- ordnung (DS-GVO).

Diese Vereinbarung konkretisiert die Pflichten der Vertragspartner zum Schutz perso- nenbezogener Daten im Zusammenhang mit der Verarbeitung von personenbezogenen Daten. Die Vereinbarung findet Anwendung auf alle Tätigkeiten, bei denen Beschäftigte des Auftragnehmers oder sonstige durch den Auftragnehmer Beauftragte personenbe- zogene Daten des Auftraggebers verarbeiten.

Sofern in diesem Vertrag der Begriff „Datenverarbeitung“ oder „Verarbeitung“ (von Da- ten) benutzt wird, wird die Definition der „Verarbeitung“ i. S. d. Art. 4 Nr. 2 DS-GVO zu- grunde gelegt.

Der Auftraggeber ist Verantwortlicher i. S. d. Art. 4 Nr. 7 DS-GVO für die Verarbeitung von Daten im Auftrag durch den Auftragnehmer.

§ 1 Gegenstand und Dauer der Vereinbarung

(1) Der Auftrag des Auftraggebers an den Auftragnehmer umfasst folgende Leistun- gen:

Siehe Dokument 2026-04827_B01_Leistungsbeschreibung

(2) Dauer auf die Leistungsvereinbarung

Der Vertrag beginnt mit Unterzeichnung und wird auf unbestimmte Zeit geschlos- sen. Er ist mit einer Frist von drei Monaten zum Quartalsende kündbar. Der Auf- traggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen die anzuwendenden Da- tenschutzvorschriften oder gegen Pflichten aus diesem Vertrag vorliegt, der Auf- tragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer den Zutritt des Auftraggebers oder der zuständigen Aufsichts- behörde vertragswidrig verweigert.

Version 1.1 – Stand 14.10.2026 Seite 3 von 23

[Seite 4]

(3) Die Kategorien personenbezogener Daten und betroffener Personen sind in An- lage 1 zu diesem Vertrag festgelegt.

(4) Die vertraglich vereinbarte Leistung des Auftragnehmers wird ausschließlich in ei- nem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Ab- kommens über den Europäischen Wirtschaftsraum erbracht. Jede Verlagerung der Dienstleistung insgesamt oder von Teilen in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Vo- raussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln oder genehmigte Verhaltensre- geln).

§ 2 Verantwortlichkeit und Weisungsbefugnis

(1) Der Auftraggeber ist im Rahmen dieser Vereinbarung für die Verarbeitung der per- sonenbezogenen Daten i. S. d. Art. 4 Nr. 7 DS-GVO verantwortlich und weisungs- befugt.

(2) Weisungen werden zu Beginn der Auftragsverarbeitung vertraglich festgelegt und können vom Auftraggeber danach in Schrift- oder Textform an die vom Auftrag- nehmer bezeichneten Stellen durch einzelne Weisung geändert, ergänzt oder er- setzt werden.

(3) Weisungen, die in der Vereinbarung nicht vorgesehen sind, werden als Antrag auf Leistungsänderung behandelt. Mündliche Weisungen sind unverzüglich in Schrift- oder Textform zu bestätigen.

(4) Ist der Auftragnehmer der Meinung, dass eine Weisung des Auftraggebers gegen anwendbare Gesetze verstößt, so teilt er dies dem Auftraggeber unverzüglich mit. In einem solchen Fall ist der Auftragnehmer berechtigt, die Umsetzung der Wei- sung solange auszusetzen, bis diese vom Auftraggeber bestätigt oder abgeändert wurde.

§ 3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer darf die personenbezogenen Daten ausschließlich im Rahmen der in dieser Vereinbarung oder dem dieser Vereinbarung zugrunde liegenden Vertragsverhältnis getroffenen Regelungen und nach den Weisungen des Auftrag- gebers verarbeiten, es sei denn, es liegt ein Ausnahmefall i. S. d. Art. 28 Abs. 3 lit.

Version 1.1 – Stand 14.10.2026 Seite 4 von 23

[Seite 5]

a) DS-GVO vor. In einem solchen Fall, teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der Auftragnehmer verarbeitet die personenbezogenen Daten für den Auftragge- ber getrennt von sonstigen Datenbeständen und ausschließlich zur Erfüllung der ihm gegenüber dem Auftraggeber obliegenden Verpflichtungen. Kopien oder Dup- likate der personenbezogenen Daten werden ohne Wissen des Auftraggebers nicht erstellt. Datenträger, die vom Auftraggeber stammen oder für den Auftrag- geber benutzt werden, sind besonders zu kennzeichnen. Eingang und Ausgang so- wie die laufende Verwendung dieser Datenträger werden durch den Auftragneh- mer dokumentiert.

(3) Der Auftragnehmer überwacht die Einhaltung der anwendbaren Datenschutzge- setze sowie dieser Vereinbarung bei der Ausführung der Auftragsverarbeitung. Er macht die bei der Auftragsverarbeitung eingesetzten Personen vor der Aufnahme ihrer Tätigkeiten mit den für sie maßgebenden Bestimmungen der Datenschutz- gesetze sowie dieser Vereinbarung vertraut und stellt sicher, dass die Daten aus- schließlich gemäß den Weisungen des Auftraggebers verarbeitet werden (Art. 29 DS-GVO). Der Auftragnehmer wird zudem die mit der Auftragsverarbeitung be- fassten Personen zur Vertraulichkeit verpflichten bzw. sicherstellen, dass diese ei- ner angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 S. 2 lit. b) DS-GVO). Die Vertraulichkeits- bzw. Verschwiegenheitspflicht muss auch nach Beendigung der Auftragsverarbeitung fortbestehen.

(4) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkei- ten bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen aus Kapi- tel III der DS-GVO sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DS-GVO. Der Auftragnehmer hat insbesondere Sorge dafür zu tragen, dass die insoweit er- forderlichen Informationen unverzüglich an den Auftraggeber erteilt werden, da- mit dieser insbesondere seinen Pflichten aus Art. 12 Abs. 3 DS-GVO nachkommen kann. Auskünfte über personenbezogene Daten aus dem Auftragsverarbeitungs- verhältnis, betroffene Personen oder Dritte darf der Auftragnehmer nur nach vor- heriger Weisung oder Zustimmung des Auftraggebers erteilen.

(5) Der Auftragnehmer ist verpflichtet, den Auftraggeber unverzüglich zu unterrich- ten, wenn ihm Verletzungen des Schutzes personenbezogener Daten des Auftrag- gebers bekannt werden. Der Auftragnehmer trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minimierung möglicher nachteiliger Folgen der betroffenen Person und berät sich hierzu unverzüglich mit dem Auftraggeber.

(6) Dem Auftragnehmer ist bekannt, dass für den Auftraggeber eine Meldepflicht nach Art. 33, 34 DS-GVO bestehen kann, die eine Meldung an die

Version 1.1 – Stand 14.10.2026 Seite 5 von 23

[Seite 6]

Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden vorsieht. Der Auftrag- nehmer wird den Auftraggeber bei der Umsetzung der Meldepflichten unterstüt- zen. Der Auftragnehmer wird dem Auftraggeber insbesondere jeden unbefugten Zugriff auf personenbezogene Daten, die im Auftrag des Auftraggebers verarbeitet werden, unverzüglich, spätestens aber binnen 48 Stunden ab Kenntnis des Zugriffs mitteilen. Die Meldung des Auftragnehmers an den Auftraggeber muss insbeson- dere folgende Informationen beinhalten:

• eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Da- ten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze; • eine Beschreibung der von dem Auftragnehmer ergriffenen oder vorgeschlage- nen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezoge- ner Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(7) Der Auftragnehmer gewährleistet die Erfüllung seiner Pflichten aus Art. 32 Abs. 1 lit. d) DS-GVO durch ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

(8) Der Auftragnehmer berichtigt oder löscht personenbezogene Daten aus dem Auf- tragsverarbeitungsverhältnis nach Weisung des Auftraggebers oder schränkt de- ren Verarbeitung ein. Sind eine Löschung oder eine Einschränkung der Verarbei- tung nicht möglich, übernimmt der Auftragnehmer die datenschutzkonforme Ver- nichtung von Datenträgern und sonstigen Materialien, soweit er vom Auftragge- ber eine Weisung hierzu erhält. Andernfalls gibt er die Datenträger an den Auf- traggeber zurück.

(9) Der Auftragnehmer nennt dem Auftraggeber in Schrift- oder Textform einen An- sprechpartner für alle bei der Durchführung dieser Vereinbarung auftretenden Fragen. Ein Wechsel des Ansprechpartners ist dem Auftraggeber unverzüglich in Schrift- oder Textform mitzuteilen.

(10) Wird der Auftraggeber durch eine betroffene Person nach Art. 82 DS-GVO in An- spruch genommen, verpflichtet sich der Auftragnehmer, den Auftraggeber bei der Abwehr des Anspruchs im Rahmen seiner Möglichkeiten zu unterstützen. Er wird den Auftraggeber zudem unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde informieren, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrig- keits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Da- ten bei der Auftragsverarbeitung beim Auftraggeber ermittelt.

Version 1.1 – Stand 14.10.2026 Seite 6 von 23

[Seite 7]

(11) Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbe- zogene Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Schweigepflicht unterliegen (Art. 28 Abs. 3 lit. b DS- GVO).

(12) Der Auftragnehmer bestätigt, dass er einen Datenschutzbeauftragten nach Art. 37 DS-GVO benannt hat, der seine Tätigkeit gemäß Art. 38 und 39 DS-GVO ausübt. Der Auftragnehmer trägt Sorge dafür, dass der Datenschutzbeauftragte über die erforderliche Qualifikation und das erforderliche Fachwissen verfügt. Der Auftrag- nehmer wird dem Auftraggeber den Namen und die Kontaktdaten seines Daten- schutzbeauftragten gesondert in Textform mitteilen. Ein Wechsel des Daten- schutzbeauftragten wird dem Auftraggeber unverzüglich mitgeteilt.

(13) Die Pflicht zur Benennung eines Datenschutzbeauftragten nach Absatz 12 kann im Ermessen des Auftraggebers entfallen, wenn der Auftragnehmer nachweisen kann, dass er gesetzlich nicht verpflichtet ist, einen Datenschutzbeauftragten zu benennen und der Auftragnehmer nachweisen kann, dass betriebliche Regelun- gen bestehen, die eine Verarbeitung personenbezogener Daten unter Einhaltung der gesetzlichen Vorschriften, der Regelungen dieses Vertrages sowie etwaiger weiterer Weisungen des Auftraggebers gewährleisten.

§ 4 Pflichten des Auftraggebers

(1) Der Auftraggeber hat den Auftragnehmer unverzüglich zu informieren, wenn er bei der Durchführung dieser Vereinbarung von Fehlern oder Unregelmäßigkeiten in der Auftragsverarbeitung Kenntnis erlangt.

(2) Wird der Auftragnehmer durch eine betroffene Person nach Art. 82 DS-GVO in An- spruch genommen, verpflichtet sich der Auftraggeber, den Auftragnehmer bei der Abwehr des Anspruchs im Rahmen seiner Möglichkeiten zu unterstützen.

(3) Der Auftraggeber nennt dem Auftragnehmer einen Ansprechpartner für alle bei der Durchführung dieser Vereinbarung auftretenden Fragen. Ein Wechsel des An- sprechpartners ist dem Auftragnehmer unverzüglich in Schrift- oder Textform mit- zuteilen.

§ 5 Nachweis der Einhaltung dieser Vereinbarung

(1) Der Auftragnehmer weist dem Auftraggeber die Einhaltung der Pflichten aus die- ser Vereinbarung mit geeigneten Mitteln nach.

Version 1.1 – Stand 14.10.2026 Seite 7 von 23

[Seite 8]

(2) Der Auftraggeber ist berechtigt, sich vor Beginn der Auftragsverarbeitung sowie in regelmäßigen Abständen von der Einhaltung der beim Auftragnehmer betroffenen technischen und organisatorischen Maßnahmen sowie der in dieser Vereinbarung festgelegten Verpflichtungen zu überzeugen. Soweit er hierzu die Durchführung von Inspektionen (selbst oder durch einen von ihm beauftragten Prüfer) beabsich- tigt, teilt er dies dem Auftragnehmer mit angemessener Vorlaufzeit mit. Inspekti- onen haben grundsätzlich zu den üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zu erfolgen. Soweit erforderlich, ist der Auftraggeber oder ein von ihm beauftragter Prüfer verpflichtet, eine Verschwiegenheitserklärung hinsicht- lich der Daten anderer Kunden des Auftragnehmers oder der eingerichteten tech- nischen organisatorischen Maßnahmen abzugeben. Sollte der durch den Auftrag- geber beauftragte Prüfer in einem Wettbewerbsverhältnis zu dem Auftragnehmer stehen, hat der Auftragnehmer gegen diesen beauftragten Prüfer ein Einspruchs- recht.

§ 6 Weitere Auftragsverarbeiter (Art. 28 Abs. 3 S. 2 lit. d) DS-GVO)

(1) Der Auftragnehmer nimmt keinen weiteren Auftragsverarbeiter bei der Erfüllung seiner vertraglichen Verpflichtungen gegenüber dem Auftraggeber ohne vorhe- rige schriftliche Zustimmung des Auftraggebers in Anspruch. Der Auftragnehmer wird alle bereits zum Vertragsschluss bestehenden Unterauftragsverhältnisse in der Anlage 2 zu diesem Vertrag angeben.

(2) Nimmt der Auftragnehmer die Dienste eines weiteren Auftragsverarbeiters in An- spruch, um bestimmte Verarbeitungstätigkeiten im Namen des Verantwortlichen auszuführen, so werden diesem weiteren Auftragsverarbeiter im Wege eines Ver- trags dieselben Pflichten auferlegt, die in dieser Vereinbarung zwischen dem Auf- traggeber und dem Auftragnehmer vereinbart sind. Dabei müssen insbesondere hinreichende Garantien dafür geboten werden, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbei- tung entsprechend den Anforderungen der DS-GVO erfolgt. Der Vertrag wird in Schriftform geschlossen. Dem Auftraggeber ist der Auftragsverarbeitungsvertrag auf Anfrage in Kopie zu übermitteln.

(3) Der Auftragnehmer ist verpflichtet, durch vertragliche Regelungen sicherzustellen, dass die Kontrollbefugnisse (§ 5 (2) dieses Vertrages) des Auftraggebers und von Aufsichtsbehörden auch gegenüber dem Unterauftragnehmer gelten und entspre- chende Kontrollrechte von Auftraggeber und Aufsichtsbehörden vereinbart wer- den. Es ist zudem vertraglich zu regeln, dass der Unterauftragnehmer diese Kon- trollmaßnahmen und etwaige Vor-Ort-Kontrollen zu dulden hat.

Version 1.1 – Stand 14.10.2026 Seite 8 von 23

[Seite 9]

(4) Der Auftragnehmer ist verpflichtet, vor der Beauftragung eines weiteren Auf- tragsverarbeiters die Eignung der von dem weiteren Auftragsverarbeiter getroffe- nen technischen und organisatorischen Maßnahmen i. S. v. Art. 32 DS-GVO zu prü- fen. Die relevanten Prüfungsunterlagen sind dem Auftraggeber auf dessen Verlan- gen hin zur Verfügung zu stellen.

(5) Eine Beauftragung von weiteren Auftragsverarbeitern in Drittstaaten darf nur er- folgen, soweit die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind und der Auftraggeber über den Umstand informiert ist und dem zugestimmt hat. Der Auftragnehmer hat die datenschutzrechtliche Zulässigkeit durch entspre- chende Maßnahmen sicherzustellen.

(6) Die Übermittlung von personenbezogenen Daten an den weiteren Auftragsverar- beiter ist erst zulässig, wenn der weitere Auftragsverarbeiter die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DS-GVO bezüglich seiner Beschäftigten erfüllt hat.

(7) Nicht als Unterauftragsverhältnisse i. S. d. Absätze 1 bis 5 sind Dienstleistungen anzusehen, die der Auftragnehmer bei Dritten als reine Nebenleistung in Anspruch nimmt, um die geschäftliche Tätigkeit auszuüben. Dazu gehören beispielsweise Reinigungsleistungen, reine Telekommunikationsleistungen ohne konkreten Be- zug zu Leistungen, die der Auftragnehmer für den Auftraggeber erbringt, Post- und Kurierdienste, Transportleistungen und Bewachungsdienste. Der Auftragnehmer ist gleichwohl verpflichtet, auch bei Nebenleistungen, die von Dritten erbracht werden, Sorge dafür zu tragen, dass angemessene Vorkehrungen und technische und organisatorische Maßnahmen getroffen wurden, um den Schutz personenbe- zogener Daten zu gewährleisten. Die Wartung und Pflege von IT-Systemen oder Applikationen stellt ein zustimmungspflichtiges Unterauftragsverhältnis und eine Auftragsverarbeitung i. S. d. Art. 28 DS-GVO dar, wenn die Wartung und Prüfung solche IT-Systeme betrifft, die auch im Zusammenhang mit der Erbringung von Leistungen für den Auftraggeber genutzt werden und sofern bei der Wartung per- sonenbezogene Daten zur Kenntnis genommen werden können, die im Auftrag des Auftraggebers verarbeitet werden.

§ 7 Technische und organisatorische Maßnahmen nach Art. 32 DS-GVO

(1) Der Auftragnehmer hat die Umsetzung der nach Art. 32 DS-GVO erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, ins- besondere hinsichtlich der konkreten Auftragsdurchführung zu dokumentieren. Soweit der Auftraggeber den technischen und organisatorischen Maßnahmen zu- stimmt, werden diese Grundlage dieser Vereinbarung.

Version 1.1 – Stand 14.10.2026 Seite 9 von 23

[Seite 10]

(2) Der Auftragnehmer gestaltet seine innerbetriebliche Organisation so, dass sie den geltenden Anforderungen des Datenschutzes gerecht wird. Er wird technische und organisatorische Maßnahmen zum angemessenen Schutz der zu verarbeitenden Daten des Auftraggebers treffen, die insbesondere den Anforderungen der Art. 28 Abs. 3 lit c, 32 DS-GVO i. V. m. Art. 5 Abs. 1, 2 DS-GVO genügen. Zu diesem Zweck trifft der Auftragnehmer technische und organisatorische Maßnahmen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen. Dem Auftraggeber sind diese technischen und organisatorischen Maßnahmen bekannt und er trägt die Verantwortung dafür, dass diese für die Risiken der zu verarbei- tenden Daten ein angemessenes Schutzniveau bieten. Die Einzelheiten hierzu er- geben sich aus Anlage 3 zu dieser Vereinbarung.

(3) Der Auftragnehmer wird die von ihm getroffenen technischen und organisatori- schen Maßnahmen regelmäßig und auch anlassbezogen auf ihre Wirksamkeit kon- trollieren. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftrag- nehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden.

(4) Der Auftraggeber kann jederzeit die aktuelle Dokumentation der vom Auftragneh- mer getroffenen technischen und organisatorischen Maßnahmen anfordern.

(5) Wesentliche Änderungen der vom Auftragnehmer getroffenen organisatorischen und technischen Maßnahmen sind dem Auftraggeber in Schrift- oder Textform mitzuteilen. Etwaige Korrespondenz zwischen Auftragnehmer und Auftraggeber über die Änderung der technischen und organisatorischen Maßnahme sind für die Dauer dieser Vereinbarung aufzubewahren.

§ 8 Verpflichtungen des Auftragnehmers nach Beendigung dieser Vereinbarung

(1) Sämtliche personenbezogenen Daten sowie Datenträger und sonstige Materialien sind nach Beendigung dieser Vereinbarung dem Auftraggeber herauszugeben o- der nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Dies gilt auch für Dokumentationen, die dem Nachweis der Auftragsverarbeitung dienen.

(2) Der Auftragnehmer verpflichtet sich, auch über die Beendigung dieser Vereinba- rung hinaus die Vertraulichkeit zu wahren.

(3) Für den Fall der Beendigung der Vereinbarung zur Auftragsverarbeitung, gleich aus welchen Rechtsgründen, hat der Auftragnehmer die erforderlichen

Version 1.1 – Stand 14.10.2026 Seite 10 von 23

[Seite 11]

Übergangsdienstleistungen für den Auftraggeber zu erbringen. Der Auftragneh- mer ist verpflichtet, bei der Übermittlung der personenbezogenen Daten an einen anderen Auftragnehmer redlich und schnellstmöglich Unterstützung zu leisten o- der die Daten an den Auftraggeber zurückzugeben.

§ 9 Vergütung

Die Vergütung des Auftragnehmers wird gesondert vereinbart. Ein Anspruch auf eine darüber hinaus gehende Vergütung aus dieser Vereinbarung besteht nicht.

§ 10 Haftung und Schadenersatz

Die Vertragspartner haften gegenüber betroffenen Personen entsprechend der in Art. 82 DS-GVO getroffenen Regelung.

§ 11 Schlussbestimmungen

(1) Für den Fall, dass die Daten des Auftraggebers beim Auftragnehmer durch Pfän- dung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, hat der Auf- tragnehmer den Auftraggeber unverzüglich zu informieren.

(2) Der Auftragnehmer verpflichtet sich, in diesem Zusammenhang alle Verantwortli- chen unverzüglich darüber zu informieren, dass die Hoheit und das Eigentum an den personenbezogenen Daten ausschließlich beim Auftraggeber als Verantwort- lichem im Sinne der DS-GVO liegen.

(3) Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten und der zugehörigen Datenträger ausge- schlossen.

(4) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform, wo- bei auch die elektronische Form zulässig ist. Mündliche Nebenabreden bestehen nicht.

Version 1.1 – Stand 14.10.2026 Seite 11 von 23

[Seite 12]

(5) Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

Ort, Datum Ort, Datum

OOWV (Unterschrift 1) Auftragnehmer

OOWV (Unterschrift 2) Auftragnehmer

Version 1.1 – Stand 14.10.2026 Seite 12 von 23

[Seite 13]

Anlage 1

1. Art(en) der personenbezogenen Daten

Folgende Datenarten sind regelmäßig Gegenstand der Verarbeitung: ☒ Personenstammdaten ☒ Kommunikationsdaten (z. B. Telefon, E-Mail) ☒ Vertragsstammdaten (Vertragsbeziehung, Produkt- bzw. Vertragsinteresse) ☒ Vertragsabrechnungs- und Zahlungsdaten  Planungs- und Steuerungsdaten  Auskunftsangaben (z. B. von Auskunfteien, oder aus öffentlichen Verzeichnissen)

2. Kategorien betroffener Person Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen: ☐ Beschäftigte ☒ Kunden ☒ Interessenten ☐ Lieferanten ☒ Marktplatzpartner

3. Weisungsberechtigte Personen des Auftraggebers

Jacek Zielinski, zielinski@oowv.de

Jens Wittkopf, wittkopf@niedersachen-wasser.de

4. Weisungsempfangsberechtigte Personen des Auftragnehmers

Hier ggf. Personen benennen oder Passage streichen.

Version 1.1 – Stand 14.10.2026 Seite 13 von 23

[Seite 14]

Anlage 2

Unterauftragnehmer

Der Auftragnehmer nimmt für die Verarbeitung von Daten im Auftrag des Auftraggebers Leistungen von Dritten in Anspruch, die in seinem Auftrag Daten verarbeiten („Unterauftragnehmer“).

Dabei handelt es sich um nachfolgende(s) Unternehmen:

[Hier sind alle Unternehmen mit Namen, Rechtsform, Kontaktdaten und ladungsfähiger Anschrift vom Auftragnehmer anzugeben. Ferner ist die Art der Leistung kurz zu beschreiben.]

Version 1.1 – Stand 14.10.2026 Seite 14 von 23

[Seite 15]

Anlage 3

Technische und organisatorische Maßnahmen

I. Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)

A. Zutrittskontrolle Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbe- zogene Daten verarbeitet oder genutzt werden, zu verwehren.

Version 1.1 – Stand 14.10.2026 Seite 15 von 23

[Seite 16]

B. Zugangskontrolle Verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können.

Version 1.1 – Stand 14.10.2026 Seite 16 von 23

[Seite 17]

C. Zugriffskontrolle

Gewährleistung, dass die zum Datenverarbeitungssystem Zugangsberechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Version 1.1 – Stand 14.10.2026 Seite 17 von 23

[Seite 18]

D. Trennungskontrolle Gewährleistung der getrennten Verarbeitung von Daten, die zu unterschiedli- chen Zwecken erhoben wurden.

E. Pseudonymisierung

Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hin- zuziehen zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen ge- sondert aufbewahrt werden und entsprechende technischen und organisatori- schen Maßnahmen unterliegen.

II. Integrität (Art. 32 Abs.1 lit. b) DS-GVO)

A. Weitergabekontrolle

Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen personenbezogener Daten bei elektronischer Übertragung oder Transport.

Version 1.1 – Stand 14.10.2026 Seite 18 von 23

[Seite 19]

Version 1.1 – Stand 14.10.2026 Seite 19 von 23

[Seite 20]

B. Eingabekontrolle

Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingege- ben, verändert oder entfernt worden sind.

III. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b) DS-GVO); Rasche Wie- derherstellbarkeit (Art. 32 Abs. 1 lit. c) DS-GVO)

A. Verfügbarkeitskontrolle Gewährleistung, dass personenbezogene Daten gegen zufällige oder mutwil- lige Zerstörung bzw. Verluste geschützt sind.

Version 1.1 – Stand 14.10.2026 Seite 20 von 23

[Seite 21]

IV. Organisationskontrolle, Rechenschaftspflicht und Wirksamkeitsnachweis (Art. 32 Abs. 1 lit. d; Art. 25 Abs. 1 DS-GVO)

A. Datenschutzmanagement

Version 1.1 – Stand 14.10.2026 Seite 21 von 23

[Seite 22]

B. Incident-Response-Management

Version 1.1 – Stand 14.10.2026 Seite 22 von 23

[Seite 23]

Version 1.1 – Stand 14.10.2026 Seite 23 von 23