Joint Controller Agreement_GMF 2027.pdf

[Seite 1]

Vereinbarung über die gemeinsame Verantwortlichkeit

gemäß Art. 26 DSGVO

Deutsche Welle, Kurt-Schumacher-Str. 3 53113 Bonn, nachfolgend: „Vertragspartei 1“

und

[Name/Firma], [Anschrift], Kommentiert [IJ1]: Durch den Bieter auszufüllen nachfolgend: „Vertragspartei 2“

gemeinsam: „die Vertragsparteien“

Präambel (1) Diese Vereinbarung regelt die gemeinsame Wahrnehmung der Verantwortlichkeit durch die Vertragsparteien in Bezug auf die gemeinsam vorgenommene Verarbeitung von personenbezogenen Daten bei dem Ticketverkauf für das Global Media Forum 2027. Gegenstand dieser Vereinbarung sind die durch die beteiligten Vertragsparteien zu erfüllenden Pflichten zur Erfüllung der gemeinschaftlichen Verpflichtungen aus der Datenschutz-Grundverordnung (DSGVO) als gemeinsam Verantwortliche der Datenverarbeitung (Art. 26 DSGVO). Dies gilt insbesondere für Maßnahmen zur Erfüllung der Rechte der von der gemeinsamen Verarbeitung betroffenen Personen.

(2) Die Vertragsparteien verpflichten sich gegenseitig nach besten Kräften bei Kontrollen von Aufsichtsbehörden, bei Ordnungs- oder Strafverfahren oder bei der Abwehr von Haftungsansprüchen Betroffener zu unterstützen.

§ 1 Gegenstand und Dauer der Vereinbarung (1) Der Gegenstand der Vereinbarung ergibt sich aus dem separat geschlossenen Kommissionsagenturvertrag (im Folgenden „Hauptvertrag“) zur Bereitstellung eines Ticket- Shops für das Global Media Forum (GMF) 2027, auf welchen hier verwiesen wird.

(2) Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrags.

§ 2 Zweck und Mittel der Verarbeitung (1) Der gemeinsame Zweck der Verarbeitung ist: • der Verkauf von Einlasstickets für das Global Media Forum 2027 • die Abwicklung des Zahlungsverkehrs für Ticketkäufe • die elektronische Zusendung von Tickets an Kunden • die Kommunikation mit Kunden • die Erstellung von Reporten über Ticketverkäufe

(2) Die technischen Mittel der Datenverarbeitung sind: • die technische Gestaltung und des Betriebs des Ticket-Shops durch den Kommissionsagenten • die Implementierung der Zahlungsabwicklung durch den Kommissionsagenten

[Seite 2]

§ 3 Betroffene Personen, Art der Daten, Datenverarbeitung (1) Folgende Kategorien von Personen sind von der Verarbeitung betroffen: • Kunden des Ticket-Shops

(2) Folgende Kategorien von Daten werden zur Erreichung der Zwecke der gemeinsamen Verantwortlichkeit von den jeweiligen betroffenen Personen verarbeitet: • Stammdaten: Name, Anschrift, E-Mail-Adresse, Telefonnummer • Vertragsdaten: Bestelldatum, Ticketanzahl, gewählte Ticketkategorie • Zahlungsdaten: Bankverbindung, Kreditkartendaten, PayPal-Daten • Kommunikationsdaten: IP-Adresse, Geräteinformationen

(3) Die gemeinsame Datenverarbeitung charakterisiert sich wie folgt:

Die Datenverarbeitung erfolgt im Rahmen eines Kommissionsgeschäfts, bei dem Vertragspartei 2 in eigenem Namen auf Rechnung von Vertragspartei 1 tätig wird. Dadurch ergibt sich ein Zusammenwirken beider Vertragsparteien im Rahmen des Ticket-Verkaufs, das zur gemeinsamen Verantwortlichkeit bei der Datenverarbeitung führt. Dabei stimmen sich die Vertragsparteien darüber ab, welche personenbezogenen Daten für den Ticket-Verkauf und die Zahlungsabwicklung erforderlich sind und verarbeitet werden. Die Zusammenarbeit umfasst sämtliche Datenverarbeitung im Rahmen der Abwicklung des Ticket-Verkaufs sowie die Bereithaltung der Daten zu diesem Zweck. Die gemeinsame Verantwortung endet, sobald der eigene Bearbeitungsprozess vor Vertragspartei 2 beginnt (“im eigenen Namen”), die im Bereich der Eigenverantwortlichkeit liegt.

Daraus ergibt sich bei der konkreten Verarbeitung folgender Datenfluss: • Vertragspartei 2 wickelt im Rahmen des Kommissionsgeschäfts den Ticketverkauf unter Beachtung der vereinbarten TOM ab und übermittelt anschließend die zuvor zwischen den Vertragsparteien abgestimmten Daten an Vertragspartei 1. • Vertragspartei 2 informiert Vertragspartei 1 unverzüglich über etwaige Zahlungsausfälle oder sonstige Besonderheiten. • Vertragspartei 1 übermittelt personenbezogene Daten zu Freiticketempfängern an Vertragspartei 2 zur weiteren Verarbeitung im Rahmen des Ticketverkaufs. • Widerrufe aufgrund eines fernabsatzrechtlichen oder vertraglichen Widerrufsrechts sowie Rückgaben von Tickets werden von den Vertragsparteien gemeinschaftlich bearbeitet.

§ 4 Auftragsverarbeiter/ Subunternehmen (1) Die Vertragsparteien verpflichten sich, beim Einsatz von Auftragsverarbeitern im Anwendungsbereich dieser Vereinbarung einen Vertrag nach Art. 28 DSGVO abzuschließen und die andere Vertragspartei darüber schriftlich zu informieren.

(2) Keine Information ist erforderlich, soweit die Vertragsparteien Dienstleistungen bei Dritten als Nebenleistung zur Unterstützung der Auftragsdurchführung in Anspruch nehmen, beispielsweise Telekommunikationsdienstleistungen und Wartungen. Bei Nebenleistungen achten die Vertragsparteien eigenverantwortlich auf gesetzes- und datenschutzkonforme vertragliche Vereinbarungen.

(3) Ein Auftragsverarbeiter muss seine vertraglichen Leistungen in der Europäischen Union (EU) oder im Europäischen Wirtschaftsraum (EWR) erbringen. Erfolgt eine Leistungserbringung durch einen Unterauftragnehmer in einem Drittland, so müssen die Vertragsparteien ihre vorherige Zustimmung hierzu erteilen und sicherstellen, dass die Einhaltung der Vorgaben gem. Kapitel 5

[Seite 3]

der DSGVO sichergestellt wird durch einen Angemessenheitsbeschluss sowie ggf. die Zertifizierung des (Unter-)Auftragsverarbeiters (Art. 45 Abs. 3 DSGVO) oder sonstige geeignete Garantien gem. Art. 46 Abs. 2, Abs. 3 DSGVO (z.B. Standardvertragsklauseln, Binding Corporate Rules und ausreichendes Datenschutzniveau).

§ 5 Verantwortlichkeit für die Erfüllung der Informationspflichten nach Art. 13, 14 DSGVO Die Vertragsparteien verpflichten sich, der betroffenen Person die gemäß Art. 13 und 14 DSGVO erforderlichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache unentgeltlich zur Verfügung zu stellen. Die Zurverfügungstellung dieser Informationen erfolgt durch die Vertragspartei 2. Diese stimmt die Informationen mit der Vertragspartei 1 ab. Vertragspartei 1 unterstützt ihrerseits die ausführende Vertragspartei.

§ 6 Verantwortlichkeit für die Bearbeitung von Betroffenenrechten Betroffene Personen können ihre Rechte (Art. 15-22 DSGVO) bei jeder der Vertragsparteien geltend machen. Soweit die Auskunftsanfrage die gemeinsame Verantwortlichkeit betrifft, bearbeiten die Vertragsparteien das Ersuchen gemeinsam und stellen eine einheitliche Antwort diesbezüglich sicher. Die Antwort erfolgt innerhalb der gesetzlichen Fristen durch die empfangende Vertragspartei; im Übrigen, d.h. bzgl. der Eigenverantwortlichkeiten, beauskunftet die jeweils verantwortliche Partei gesondert.

§ 7 Zusammenarbeit (1) Soweit sich eine betroffene Person an eine der Vertragsparteien in Wahrnehmung ihrer Betroffenenrechte wendet, insbesondere wegen Auskunft oder Berichtigung und Löschung ihrer personenbezogenen Daten, verpflichten sich die Vertragsparteien, dieses Ersuchen unverzüglich unabhängig von der Pflicht zur Gewährleistung des Betroffenenrechtes an die andere Vertragspartei weiterzuleiten. Diese ist verpflichtet, der anfragenden Vertragspartei die zur Auskunftserteilung notwendigen Informationen aus ihrem Wirkbereich unverzüglich zur Verfügung zu stellen, soweit es die gemeinsame Verantwortlichkeit betrifft.

(2) Die Vertragsparteien informieren sich gegenseitig unverzüglich und vollständig, wenn sie bei der Prüfung der Verarbeitungstätigkeiten [und/oder der Auftragsergebnisse] Fehler oder Unregelmäßigkeiten hinsichtlich datenschutzrechtlicher Bestimmungen feststellen.

§ 8 Zur Verfügung stellen des wesentlichen Inhalts Vertragspartei 2 verpflichtet sich, den wesentlichen Inhalt der Vereinbarung über die gemeinsame datenschutzrechtliche Verantwortlichkeit den betroffenen Personen zur Verfügung zu stellen (Art. 26 Abs. 2 DSGVO).

§ 9 Meldung von Datenschutzverletzungen Art. 33, 34 DSGVO (1) Liegt ein Datenschutzverstoß im Sinne der Art. 33 und 34 DSGVO vor oder besteht der dringende Verdacht eines solchen Verstoßes, so muss die jeweilige Vertragspartei die anderen Vertragsparteien unverzüglich informieren, damit die Vertragsparteien ihrer gemeinschaftlichen Verantwortung rechtzeitig nachkommen können. Die betreffende Information hat den Sachverhalt, die betroffenen Daten, mögliche Folgen und die bereits getroffenen oder vorgeschlagenen Gegenmaßnahmen zu enthalten.

(2) Sollte nach Konsultation zwischen allen Verantwortlichen der Schluss gezogen werden, dass eine Meldung nach Art. 33, 34 DSGVO notwendig ist, so unterstützen sich die Vertragsparteien gegenseitig beim Erstellen der notwendigen Informationen und bei der Koordinierung des weiteren Vorgehens. Besteht zwischen den Vertragsparteien keine Einigkeit über die Notwendigkeit einer Meldung, so ist eine Meldung vorzunehmen.

[Seite 4]

§ 10 TOMs/ Sicherheit der Verarbeitung, Art. 32 DSGVO Vertragspartei 2 übernimmt die technisch-organisatorische Absicherung der Verarbeitung der Daten im Rahmen der gemeinsamen Verantwortlichkeit und gewährleistet ein angemessenes Datenschutzniveaus bei Verarbeitungen mit Drittlandbezug.

§ 11 Verarbeitungsverzeichnis (1) Jede Vertragspartei führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO. Die Vertragsparteien verpflichten sich dazu, dass sie sich dabei gegenseitig – insbesondere durch Austausch von Informationen - unterstützen.

(2) Die Vertragsparteien nehmen die Verarbeitungstätigkeiten in das Verarbeitungsverzeichnis auf, auch und insbesondere mit einem Vermerk zur Natur des Verarbeitungsverfahrens in gemeinsamer oder alleiniger Verantwortung.)

§ 12 Datenschutzfolgenabschätzungen Ist eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO erforderlich, unterstützen sich die Vertragsparteien gegenseitig.

§ 13 Benennung eines Datenschutzbeauftragten bzw. eines Ansprechpartners für den Datenschutz (1) Jede Partei benennt schriftlich einen Datenschutzbeauftragten. Sofern für eine der Parteien keine gesetzliche Pflicht besteht, benennt sie einen Ansprechpartner für den Datenschutz.

Für den Datenschutzbeauftragten der Vertragspartei 1 besteht folgende Kontaktmöglichkeit: datenschutz@dw.com.

Für den Datenschutzbeauftragten der Vertragspartei 2 besteht folgende Kontaktmöglichkeit: [Kontaktdaten]. Kommentiert [IJ2]: Durch den Bieter auszufüllen

Die jeweils aktuellen Kontaktdaten der Datenschutzbeauftragten sind auf der Homepage der Parteien leicht zugänglich hinterlegt.

(2) Ein Wechsel des Datenschutzbeauftragten oder des Ansprechpartners wird der anderen Partei unverzüglich mitgeteilt.

§ 14 Verpflichtung zur Vertraulichkeit (1) Die Vertragsparteien stellen innerhalb ihres Wirkbereiches sicher, dass alle mit der Datenverarbeitung befassten Mitarbeitenden die Vertraulichkeit der Daten gemäß den Artikeln 28 Abs. 3, 29 und 32 DSGVO für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses wahren und dass diese vor Aufnahme ihrer Tätigkeit entsprechend auf das Datengeheimnis verpflichtet sowie in die für sie relevanten Bestimmungen zum Datenschutz eingewiesen werden.

(2) Die Vertragsparteien haben eigenständig dafür Sorge zu tragen, dass sie sämtliche in Bezug auf die Daten bestehenden gesetzlichen Aufbewahrungspflichten einhalten. Sie haben hierzu angemessene Datensicherheitsvorkehrungen (Art. 32 ff. DSGVO) zu treffen. Dies gilt insbesondere im Falle der Beendigung der Zusammenarbeit.

(3) Die Implementierung, Voreinstellung und der Betrieb der Systeme sind unter Beachtung der Vorgaben der DSGVO und anderer Regelungswerke, insbesondere unter Beachtung der Grundsätze des Datenschutzes durch Design und datenschutzfreundliche Voreinstellungen sowie unter Verwendung von dem Stand der Technik entsprechenden geeigneten technischen und organisatorischen Maßnahmen durchzuführen.

[Seite 5]

§ 15 Verpflichtung zur gegenseitigen Unterstützung und Information (1) Die Vertragsparteien unterstützen sich nach besten Kräften bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherigen Konsultationen. Hierzu gehören u. a.: a) die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen b) die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich allen für die Verarbeitung gemeinsam Verantwortlichen unverzüglich mitzuteilen c) die Verpflichtung, die betroffene Vertragspartei im Rahmen ihrer Informationspflicht gegenüber der betroffenen Person zu unterstützen und ihr in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen d) die Unterstützung bei Erstellung einer Datenschutz-Folgenabschätzung e) die Unterstützung im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde

(2) Die Vertragsparteien unterstützen sich nach besten Kräften, wenn eine Vertragspartei einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Verarbeitung ausgesetzt ist. Sie stellen der jeweils anderen Vertragspartei sämtliche relevante Informationen unverzüglich zur Verfügung.

(3) Die Vertragsparteien unterstützen sich nach besten Kräften bei der Einhaltung der Pflichten, wenn eine betroffene Person ihre Rechte gem. Art. 15, 16, 17, 18, 20, 21 DSGVO geltend macht. Sie stellen der jeweils anderen Vertragspartei sämtliche relevanten Informationen, die zur Erfüllung der Pflichten erforderlich sind, unverzüglich zur Verfügung.

§ 16 Haftung Die Parteien haften bei aus der gemeinschaftlichen Datenverarbeitung entstehenden Schäden als Gesamtschuldner (Art. 82 Abs. 4 DSGVO). Der Ausgleich im Innenverhältnis erfolgt nach der Verantwortlichkeit der Vertragsparteien für die Verursachung des jeweiligen Schadens.

§ 17 Schlussbestimmungen (1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform.

(2) Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Für dieses Vertragsverhältnis und seine gesamten Rechtsfolgen einschließlich seiner Entstehung, Wirksamkeit, Durchführung, Beendigung sowie für alle daraus resultierenden Ansprüche zwischen den Vertragsparteien gilt das Recht der Bundesrepublik Deutschland unter Aus-schluss des internationalen Privatrechts und des UN-Kaufrechts (CISG).

(4) Gerichtsstand ist Bonn.

________________, _______________ ________________________________ (Ort) (Datum) (Unterschrift)

[Seite 6]

________________, _______________ ________________________________ (Ort) (Datum) (Unterschrift)