[Seite 1]
Vereinbarung einer Auftragsvereinbarung, Vergabeverfahren 2026 / 283, Verlängerung Technischer Support www.ludwigshafen.de
Vereinbarung gemäß Art. 28 DS-GVO
Zwischen Stadt Ludwigshafen Rathausplatz 10 67059 Ludwigshafen
Verantwortliche*r und
§ 1 Gegenstand der Vereinbarung
(1) Die/der Auftragsverarbeitende verarbeitet personenbezogene Daten im Auftrag der/des Verantwortlichen.
(2) Der Auftrag umfasst folgende Leistungen durch die/den Auftragnehmenden:
Technischer Support www.ludwigshafen.de § 2 Art und Zweck der Verarbeitung, Art der personenbezogenen Daten und Kategorien betroffener Personen
(1) Art und Zweck der Verarbeitung ist der Support der oben genannten Internetseite. (2) Dabei werden die E-Mailadressen von Nutzerinnen und Redakteurinnen verarbeitet.
Bei der Nutzung der Internetseite: o IP-Adresse; Zugriffszeitpunkte o genutzter Browser o Webseite, von der der Zugang erfolgt o Name des Internet-Zugangs / -Providers
§ 3 Pflichten und Rechte des Verantwortlichen
(1) Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein die/der Verantwortliche verantwortlich.
[Seite 2]
(2) Die/der Verantwortliche erteilt alle Aufträge oder Teilaufträge schriftlich. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und schriftlich festzulegen.
(3) Die/der Verantwortliche hat das Recht, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Mündliche Weisungen sind schriftlich zu bestätigen. Die weisungsberechtigten Personen des Verantwortlichen und die Weisungsempfänger*innen bei der/dem Auftragsverarbeitenden werden in der Anlage 1 mit Name, Organisationseinheit und Kontaktdaten benannt.
Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechperson ist der/dem Vertragspartnerin unverzüglich schriftlich die/der Nachfolgerin bzw. Vertreter*in mitzuteilen und insoweit die Anlage 1 entsprechend zu aktualisieren.
(4) Die/der Verantwortliche informiert die/den Auftragsverarbeitenden unverzüglich, wenn Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse festgestellt werden.
§ 4 Pflichten des Auftragsverarbeitenden
(1) Die/der Auftragsverarbeitende verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen der/des Verantwortlichen, es sei denn, es liegt ein Anwendungsfall von Art. 28 Abs. 3 lit. a DS- GVO vor. Sie/er verwendet die zur Datenverarbeitung überlassenen personenbezogenen Daten für keine anderen Zwecke. Kopien oder Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt. Sie/er beachtet die Bestimmungen der DS-GVO und des Landesdatenschutzgesetzes Rheinland-Pfalz (LDSG) und unterwirft sich hinsichtlich der in diesem Vertrag vereinbarten Leistungen der Kontrolle der/des Landesbeauftragten für den Datenschutz. Eine/ein Auftragsverarbeitender, der unter Verstoß gegen die DS-GVO die Zwecke und Mittel der Verarbeitung bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortliche*r.
(2) Die/derer Auftragsverarbeitende sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsmäßige Abwicklung aller vereinbarten Maßnahmen sowie die Trennung der Daten der/des Verantwortlichen von sonstigen Datenbeständen der/des Auftragsverarbeitenden zu.
(3) Die/der Auftragsverarbeitende erklärt sich damit einverstanden, dass die/der Verantwortliche jederzeit berechtigt ist, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in das Verzeichnis von Verarbeitungstätigkeiten, die gespeicherten Daten und die Datenverarbeitungsprogramme einschließlich einer Inspektion bei der/dem Auftragsverarbeitenden.
(4) Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DS- GVO durch die/den Verantwortlichen, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Datenschutz-Folgenabschätzungen
[Seite 3]
des Verantwortlichen hat die/der Auftragsverarbeitende im notwendigen Umfang mitzuwirken und die/den Verantwortlichen soweit möglich angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit e und f DS-GVO). Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder die betroffene Person darf die/der Auftragsverarbeitende nur nach vorheriger Weisung oder Zustimmung durch die/den Verantwortlichen erteilen.
(5) Die Verarbeitung von Daten in Privatwohnungen ist gestattet. Dabei gelten die technisch-organisatorischen Maßnahmen in Anlage 2 zur Sicherstellung der jeweils geltenden gesetzlichen datenschutzrechtlichen Bestimmungen, die beschrieben sind.
(6) Nicht mehr benötigte Unterlagen mit personenbezogenen Daten und Dateien dürfen erst nach vorheriger Zustimmung durch die/den Verantwortlichen datenschutzgerecht vernichtet werden.
(7) Nach Abschluss der vertraglichen Arbeiten hat die/der Auftragsverarbeitende sämtliche in seinen Besitz gelangte Unterlagen und erstellten Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, der/dem Verantwortlichen auszuhändigen.
Seitens der/des Verantwortlichen elektronisch zur Verfügung gestellte Informationen sowie etwaige Testdaten sind nach erklärter Abnahme der Leistung zu löschen. Die Löschung erfolgt derart, dass eine Reproduktion nach dem Stand der Technik nicht möglich ist. Die Löschung bzw. Vernichtung ist der/dem Verantwortlichen schriftlich zu bestätigen.
(8) Die/derer Verantwortliche ist über wesentliche Veränderungen, die die Art der Datenverarbeitung betreffen, rechtzeitig zu unterrichten. Für den Datenschutz oder die Informationssicherheit erhebliche Entscheidungen zur Organisation und Durchführung der Datenverarbeitung und zu den angewandten Verfahren sind mit der/dem Verantwortlichen abzustimmen.
§ 5 Datengeheimnis
(1) Die/der Auftragsverarbeitende verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten für die/den Verantwortlichen das Datengeheimnis gemäß § 8 LDSG zu wahren. Sie/Er verpflichtet sich weiter, über Informationen, die ihm im Rahmen des Auftrags zur Kenntnis gelangen, gegenüber Dritten Verschwiegenheit zu wahren. Die Verschwiegenheitspflicht besteht auch nach Erfüllung des Auftrags weiter.
(2) Die/der Auftragsverarbeitende bestätigt, dass ihr/ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind. Die/der Auftragsverarbeitende sichert zu, dass sie/er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter*innen mit den für sie maßgeblichen Bestimmungen des Datenschutzes vertraut macht. Sie/Er überwacht die Einhaltung der datenschutzrechtlichen Vorschriften.
§ 6
[Seite 4]
Kontrollrechte der/des Landesbeauftragten für den Datenschutz Rheinland- Pfalz
(1) Die/der Auftragsverarbeitende verpflichtet sich, der/dem Landesbeauftragten für den Datenschutz und den von ihr/ihm eingesetzten Bediensteten Zugang zu den Arbeitsräumen zu gewähren und unterwirft sich der Kontrolle nach Maßgabe der DS- GVO bzw. des LDSG in seiner jeweiligen Fassung.
(2) Soweit Daten in einer Privatwohnung verarbeitet werden, ist der Zugang der/des Landesbeauftragten für den Datenschutz und der von ihr/ihm eingesetzten Bediensteten vorher mit der/dem Auftragsverarbeitenden abzustimmen.
§ 7 Datensicherungsmaßnahmen
(1) Die/der Auftragsverarbeitende verpflichtet sich, die nach Art. 32 DS-GVO erforderlichen technisch-organisatorischen Maßnahmen zu treffen und in einem Sicherheitskonzept zu dokumentieren. Das Sicherheitskonzept ist auf Anforderung der/dem Verantwortlichen zur Verfügung zu stellen. Ist eine Zurverfügungstellung des Sicherheitskonzeptes, insbesondere aus Gründen der Informationssicherheit oder der Geheimhaltung ganz oder teilweise nicht möglich, so stellt die/der Auftragsverarbeitende der/dem Verantwortlichen die relevanten Auszüge aus dem Sicherheitskonzept zur Einsichtnahme bei der/dem Auftragsverarbeitenden zur Verfügung.
Eine Übersicht der verbindlichen technischen und organisatorischen Maßnahmen ist unter Anlage 2 aufgeführt.
(2) Die/derer Auftragsverarbeitende beachtet die Grundsätze ordnungsmäßiger Datenverarbeitung. Sie/Er gewährleistet die vertraglich vereinbarten und gesetzlich vorgeschriebenen Datensicherheitsmaßnahmen.
(3) Die technischen und organisatorischen Maßnahmen sind im Laufe des Auftragsverhältnisses im Hinblick auf ihre Wirksamkeit regelmäßig zu überprüfen, zu bewerten und zu evaluieren (Art. 32 Abs. 1 lit. d DS-GVO). Änderungen dürfen die vereinbarten Sicherheitsstandards nicht unterschreiten. Wesentliche Änderungen sind schriftlich zu vereinbaren.
(4) Soweit die bei der/dem Auftragsverarbeitenden getroffenen Sicherheitsmaßnahmen den Anforderungen der/des Verantwortlichen nicht genügen, benachrichtigt er die/den Verantwortlichen unverzüglich. Entsprechendes gilt für Störungen sowie bei Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten. Sie/er unterrichtet den Verantwortlichen unverzüglich, wenn eine von dem/der Verantwortlichen erteilte Weisung nach seiner Meinung zu einem Verstoß gegen gesetzliche Vorschriften führen kann. Die Weisung braucht nicht befolgt zu werden, solange sie nicht durch die/den Verantwortlichen geändert oder ausdrücklich bestätigt wird.
§ 8 Vertragsdauer
[Seite 5]
(1) Der Vertrag beginnt 1. Januar 2027 und endet am 31. Dezember 2028.
(2) Der Verantwortliche kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß der/des Auftragsverarbeitenden gegen die Bestimmungen der DS-GVO und anderer Datenschutzvorschriften oder dieses Vertrages vorliegt.
§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten
Im Falle einer möglichen Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DS-GVO meldet die/der Auftragsverarbeitende dies unverzüglich, damit der Verantwortliche in die Lage versetzt wird, die Meldefrist von 72 Stunden gegenüber der zuständigen Aufsichtsbehörde einzuhalten.
§ 10 Haftung
(1) Die/der Auftragsverarbeitende haftet der/dem Verantwortlichen für Schäden, die die/der Auftragsverarbeitende, seine Mitarbeiter*innen bzw. die von ihm mit der Vertragsdurchführung Beauftragten bei der Erbringung der vertraglichen Leistung schuldhaft verursachen.
(2) Für den Ersatz von Schäden, die eine betroffene Person wegen einer nach der DS- GVO oder dem LDSG oder anderen Vorschriften für den Datenschutz unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, ist die/der Verantwortliche oder die/der Auftragsverarbeitende gegenüber der betroffenen Person verantwortlich. (3) Die/der Auftragsverarbeitende haftet nur dann, wenn sie/er den ihm auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen der/des Verantwortlichen oder gegen diese Anweisungen gehandelt hat.
§ 11 Vertragsstrafe
Bei einem Verstoß des Auftragnehmers gegen die Abmachungen dieses Vertrages, insbesondere zur Einhaltung des Datenschutzes, wird eine Vertragsstrafe gemäß dem EVB IT Vertrag (Anlage 4) vereinbart.
§ 12 Sonstiges
(1) Sollte das Eigentum des Verantwortlichen bei dem/der Auftragsverarbeitenden durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat die/der Auftragsverarbeitenden die/den Verantwortlichen unverzüglich zu verständigen.
(2) Änderungen oder Ergänzungen zu diesem Vertrag sind nur wirksam, wenn sie schriftlich vereinbart werden. Dies gilt auch für eine Änderung dieser
[Seite 6]
Schriftformklausel. Satz 1 gilt nicht für Anpassungen bezüglich der weisungsberechtigten Personen sowie Weisungsempfänger*innen (Anlage 1). (3) Nebenabreden wurden nicht vereinbart.
(4) Die Einrede des Zurückbehaltungsrechts i.S.v. § 273 BGB wird hinsichtlich der verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen [Diese Klausel muss wegen § 11 Nr. 2 AGB gesondert vereinbart werden].
§ 13 Wirksamkeit der Vereinbarung
Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.
Für die/den Verantwortlichen: Für die/den Auftragsverarbeitenden:
Name Name
(Ort und Datum) (Ort und Datum)
(Unterschrift und Dienstsiegel) (Unterschrift und Stempel)
Anlagen:
Anlage 1: Weisungsberechtigte Person und Weisungsempfänger*innen Anlage 2: Übersicht der technisch-organisatorischen Maßnahmen Anlage 3: Übersicht der Subunternehmen Anlage 4: EVB IT Vertrag
[Seite 7]
Anlage 1: Weisungsberechtigte Person und Weisungsempfänger
Technischer Support für die www.ludwigshafen.de
Bereich Kommunikation und Beteiligung, 1-17 Sigrid Karck Sigrid.Karck@ludwigshafen.de Telefon: 0621 504-2013
Simone Müller Simone.Mueller@ludwigshafen.de Telefon: 0621 504-2223
Isabel Loew Isabel.Loew@ludwigshafen.de Telefon: 0621 504-2224
Gabriele Waidele Gabriele.Waidele@ludwigshafen.de Telefon 0621 504-3076
Auftragnehmer:
Weisungsempfangende Personen:
[Seite 8]
Technischer Support für die www.ludwigshafen.de
Anlage 2: Übersicht der technisch-organisatorischen Maßnahmen
[Seite 9]
Technischer Support für die www.vhs-lu.de, die www.dashaus-lu.de, das Intranet der Stadt Ludwigshafen und die Multi Side fähige Typo Installation „Mandanten Master“
Anlage 3: Übersicht der Subunternehmen