AVV_GMF 2027.pdf

[Seite 1]

Auftragsverarbeitungsvertrag gemäß Art. 28 Abs. 3 DSGVO

Deutsche Welle, Kurt-Schumacher-Str. 3, 53113 Bonn, nachfolgend: „Verantwortlicher“

[Name/Firma], [Anschrift], Kommentiert [IJ1]: Durch den Auftragsverarbeiter auszufüllen nachfolgend: „Auftragsverarbeiter“

schließen folgenden Auftragsverarbeitungsvertrag (nachfolgend: AVV):

§ 1 Gegenstand, Zweck, Art und Dauer des Auftrags

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Bereich Betreibung ei- ner digitalen Plattform für das Global Media Forum 2027 gemäß des Rahmenvertrags, der aus dem Vergabeverfahren DW-[.....] resultiert, auf den hier verwiesen wird (nachfolgend: Haupt- Kommentiert [JA2]: Nummer des Vergabeverfahrens ergänzen, so- vertrag). Teil der Durchführung des Hauptvertrages ist die Verarbeitung von personenbezoge- bald diese final vorliegt. nen Daten im Sinne der Datenschutzgrundverordnung ("DSGVO").

Die vom Auftragsverarbeiter zu erbringenden Leistungen sowie Art und Zweck der Datenverar- beitung, ergeben sich aus dem Hauptvertrag.

(2) Die Dauer der Verarbeitung

☒ entspricht der Laufzeit des Hauptvertrags.

☐ ist befristet bis zum

(3) Der Verantwortliche kann den AVV jederzeit ohne Einhaltung einer Frist kündigen, wenn

ein schwerwiegender Verstoß des Auftragsverarbeiters gegen die DSGVO oder weitere an- wendbare datenschutzrechtliche Bestimmungen oder gegen Pflichten aus diesem AVV vor- liegt, der Auftragsverarbeiter eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftragsverarbeiter den Zutritt des Verantwortlichen oder der zuständigen Aufsichts- behörde vertragswidrig verweigert.

§ 2 Konkretisierung des Auftragsinhalts

(2) Art der personenbezogenen Daten:

☒ Personenstammdaten ☒ Kommunikationsdaten ☒ Vertragsstammdaten ☒ Logdaten ☐ Zahlungs- und Finanzdaten

☐ Planungs- und Steuerungsdaten

☐ Besondere Kategorien personenbezogener Daten gem. Art. 9 DSGVO, und zwar:

[Seite 2]

☒ Sonstige: Reisepass-/Personalausweisdaten, Reisedaten

(3) Betroffene Personen:

☐ Nutzer (TV, Radio, Online) ☒ Beschäftigte ☒ Geschäftspartner

☐ Ansprechpartner, z.B. bei Dienstleistern, Geschäftspartner ☒ Besucher ☒ Sonstige: Teilnehmer des GMF

§ 3 Unterauftragsverarbeiter

(1) Der Auftragsverarbeiter darf Unterauftragsverarbeiter nur nach der vorherigen Zustimmung des Verantwortlichen beauftragen. Voraussetzung für die Unterbeauftragung ist der Abschluss einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2 bis 4 DSGVO, die auch die zwi- schen Verantwortlichen und Auftragsverarbeiter getroffenen Regelungen hinreichend berück- sichtigt, insbesondere das vereinbarte Schutzniveau im Hinblick auf die vereinbarten techni- schen und organisatorischen Maßnahmen nicht unterschreitet.

(2) Sofern die Unterbeauftragung durch den Auftragsverarbeiter nach Abs. 1 zulässig ist, wird die Zustimmung bezüglich folgender Unterauftragsverarbeiter mit Abschluss dieser AVV erteilt: Kommentiert [IJ3]: Durch den Auftragsverarbeiter auszufüllen

(3) Vor einer möglichen Hinzuziehung weiterer oder Ersetzung der in Abs. 2 aufgeführten Unter- auftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen eine angemessene Zeit vorab in Textform (z.B. E-Mail) unter Angabe der erforderlichen Daten gem. der Tabelle in Abs. 2 und unter Vorlage der gem. Abs. 1 notwendigen vertraglichen Vereinbarung. Hat der Verantwortliche gegen die Änderung innerhalb von 14 Tagen ab Information durch den Auf- tragsverarbeiter, in Textform keinen Einspruch erhoben, so gilt der Einsatz des Unteraufragneh- mers als genehmigt.

(4) Der Auftragsverarbeiter wird auf Verlangen dem Verantwortlichen Kopien der Unterauftragsver- träge zur Verfügung stellen.

§ 4 Ort der Datenverarbeitung

☐ Die Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union Kommentiert [IJ4]: Durch den Auftragsverarbeiter auszufüllen oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt.

2

[Seite 3]

☐ Die Datenverarbeitung durch den Auftragsverarbeiter selbst oder seine Unterauftragsverar- beiter gem. § 3 dieses AVV findet in einem oder mehreren Drittländern statt. Die Einhaltung der Vorgaben gem. Kapitel 5 der DSGVO wird sichergestellt durch einen Angemessenheitsbe- schluss sowie ggf. die Zertifizierung des (Unter-)Auftragsverarbeiters (Art. 45 Abs. 3 DSGVO) oder sonstige geeignete Garantien gem. Art. 46 Abs. 2, Abs. 3 DSGVO (z.B. Standarddaten- schutzklauseln, Binding Corporate Rules). Der Auftragnehmer hat sich im Rahmen eines durch- geführten Transfer Impact Assessment mit der Datenverarbeitung im Drittland auseinanderge- setzt und die sich daraus abzuleitenden Maßnahmen ergriffen.

§ 5 Weisungsbindung

(1) Der Auftragsverarbeiter darf die vertragsgegenständlichen personenbezogenen Daten aus- schließlich im Rahmen dieses AVV oder unter Einhaltung der ggf. vom Verantwortlichen erteil- ten ergänzenden Weisungen verarbeiten, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedsstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Eine Verarbeitung für andere Zwecke ist nicht zulässig.

(3) Kopien der Daten werden nur mit Zustimmung des Verantwortlichen erstellt. Hiervon ausge- nommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Da- tenverarbeitung notwendig, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbe- wahrungspflichten erforderlich sind.

(4) Der Verantwortliche hat das Recht, jederzeit ergänzende Weisungen über Art, Umfang und Ver- fahren der Datenverarbeitung gegenüber dem Auftragsverarbeiter zu erteilen. Sie sind in Text- form zu erteilen. Mündlich erteilte Weisungen sind durch den Verantwortlichen unverzüglich in Textform zu dokumentieren.

Weisungsberechtigte Personen des Verantwortlichen sind

Benjamin Pargan, Strategic Partnerships and Engagement, benjamin.pargan@dw.com, +492284292150

Der Verantwortliche kann weitere weisungsberechtigte Personen in Textform gegenüber dem Auftragsverarbeiter festlegen.

3

[Seite 4]

(5) Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich, spätestens aber nach drei Ta- gen, zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen gesetzliche Rege- lungen.

§ 6 Technisch-organisatorische Maßnahmen

(1) Der Auftragsverarbeiter hat die Datensicherheit gem. Art. 25, 32 DSGVO, insbesondere in Ver- bindung mit Art. 5 Abs. 1, Abs. 2 DSGVO, herzustellen. Hierzu setzt der Auftragsverarbeiter die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen um. Die zu treffen- den Maßnahmen dienen der Datensicherheit und der Gewährleistung eines dem Risiko ange- messenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintritts- wahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen.

(2) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit wird der Auftragsverarbeiter die von ihm getroffenen tech- nischen und organisatorischen Maßnahmen regelmäßig sowie anlassbezogen auf ihre Wirk- samkeit kontrollieren. Dem Auftragsverarbeiter ist es gestattet, alternative adäquate Maßnah- men umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen gemäß An- lage 1 nicht unterschritten werden. Wesentliche Änderungen sind mit dem Verantwortlichen vor Durchführung der Änderungen abzustimmen und zu dokumentieren.

§ 7 Anfragen betroffener Personen

Wendet sich eine betroffene Person zur Geltendmachung eines datenschutzrechtlichen An- spruchs (z.B. Auskunft, Löschung oder Berichtigung) an den Auftragsverarbeiter, wird dieser die betroffene Person an den Verantwortlichen verweisen. Der Auftragsverarbeiter leitet den Antrag der betroffenen Person zudem unverzüglich, spätestens aber nach drei Tagen, an den Verantwortlichen weiter. Der Auftragsverarbeiter unterstützt den Verantwortlichen, auch bereits im Vorfeld, mit geeigneten technischen und organisatorischen Maßnahmen dabei, der Pflicht des Verantwortlichen zur Beantwortung von Betroffenenanfragen nachzukommen.

§ 8 Vertraulichkeit

(1) Der Auftragsverarbeiter verpflichtet sich, die ihm vom Verantwortlichen zur Verfügung gestellten Unterlagen und Daten sowie die Arbeitsergebnisse vertraulich zu behandeln, insbesondere Un- befugten nicht zugänglich zu machen.

(2) Der Auftragsverarbeiterstellt sicher, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheits- pflicht unterliegen, und weist dies dem Verantwortlichen auf Wunsch nach. Dies umfasst auch die Belehrung über die in diesem Auftragsverarbeitungsverhältnis bestehende Weisungs- und Zweckbindung.

(3) Diese Verpflichtungen bestehen auch nach Beendigung des Vertrages fort.

§ 9 Unterstützungs- und Meldepflichten des Auftragsverarbeiters

4

[Seite 5]

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Führung seines Verarbeitungs- verzeichnisses nach Art. 30 Abs. 1 DSGVO, insbesondere bezüglich der Dokumentation der technischen und organisatorischen Maßnahmen.

(2) Soweit der Verantwortliche einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragsverar- beiter ausgesetzt ist, hat ihn der Auftragsverarbeiter zu unterstützen.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Falle einer Verletzung des Schut- zes personenbezogener Daten, die im Zusammenhang mit der Auftragsverarbeitung steht, bei der Erfüllung seiner diesbezüglichen Pflichten gegenüber der Aufsichtsbehörde sowie der Pflicht zur Dokumentation.

(4) Bei schwerwiegenden Störungen des Betriebsablaufs, bei Verdacht einer Datenschutzverlet- zung oder bei wesentlichen Unregelmäßigkeiten bei der Datenverarbeitung, die den Verant- wortlichen betreffen könnten, informiert der Auftragsverarbeiter unverzüglich, spätestens aber nach 12 Stunden, den Verantwortlichen. Dasselbe gilt, wenn sich eine Aufsichtsbehörde oder Strafverfolgungsorgane bei dem Auftragsverarbeiter melden.

(5) Sollen die Daten des Verantwortlichen beim Auftragsverarbeiter durch Pfändung oder Be- schlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden oder droht eine wesentliche Änderung der Eigen- tumsverhältnisse beim Auftragsverarbeiter, so hat der Auftragsverarbeiter den Verantwortlichen unverzüglich darüber zu informieren. Der Auftragsverarbeiter wird alle in diesem Zusammen- hang involvierten Personen unverzüglich darüber informieren, dass die Hoheit der Daten beim Verantwortlichen liegt.

§ 10 Datenschutzbeauftragte*r/Ansprechperson des Auftragsverarbeiters

☐ Der Auftragsverarbeiter hat einen Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt, bestellt.

Als Datenschutzbeauftragte*r beim Auftragsverarbeiter ist

[Name] [Organisationseinheit] Telefon: [Nummer] E-Mail: [E-Mail]

bestellt. Ein Wechsel des*der Datenschutzbeauftragten ist dem Verantwortlichen unverzüg- lich mitzuteilen.

☐ Der Auftragsverarbeiter ist nicht zur Bestellung eines Datenschutzbeauftragten ver- pflichtet. Als Ansprechperson für Fragen zum Datenschutz und zur Informationssicherheit im Zusammenhang mit diesem Vertrag wird beim Auftragsverarbeiter

[Name] [Organisationseinheit] Telefon: [Nummer]

5

[Seite 6]

E-Mail: [E-Mail]

benannt. Ein Wechsel der Ansprechperson ist dem Verantwortlichen unverzüglich mitzutei- len.

☐ Sofern der Auftragsverarbeiter seinen Sitz außerhalb der Union hat, benennt er gem. Art. 27 Abs. 1 DSGVO folgenden Vertreter in der Union:

[Name] Telefon: [Nummer] E-Mail: [E-Mail] Kommentiert [IJ5]: Durch den Auftragsverarbeiter auszufüllen

§ 11 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, Überprüfungen, durchzuführen oder durch beauftragte Dritte durchführen zu lassen, um sich von der Umsetzung und Einhaltung dieser AVV, insbe- sondere bezüglich der technischen und organisatorischen Maßnahmen, durch den Auf- tragsverarbeiter in dessen Geschäftsbetrieb zu überzeugen. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen, insbesondere zum Nachweis der Einhal- tung der in Art. 28 DSGVO niedergelegten Pflichten, zur Verfügung. Die Überprüfung kann in begründeten Fällen auch durch eine Vor-Ort-Inspektion stattfinden, z.B. im Zusammenhang mit möglichen Datenschutzvorfällen. Der Verantwortliche teilt dem Auftragsbearbeiter in die- sen Fällen rechtzeitig (in der Regel vier Wochen vorher) vor den Termin der Überprüfung mit. Außerordentliche oder behördlich verfügte Überprüfungen sind hiervon ausgenommen.

(2) Eine gesonderte Vergütung des Auftragsverarbeiters für die Ermöglichung der Kontrollen gem. Abs. 1 fällt nicht an.

(3) Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch:

• Die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO;
• die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO;
• aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschafts- prüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren);
• eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI- Grundschutz).

(4) Der Auftragsverarbeiter unterwirft sich auch der Kontrolle durch die für d en Verant- wortlichen zuständigen Aufsichtsbehörden, soweit Daten des Verantwortlichen betroffen sind.

§ 12 Haftung

Der Auftragsverarbeiter haftet für die ordnungsgemäße Ausführung des Auftrags nach den ge- setzlichen Bestimmungen. Machen betroffene Personen Ansprüche gegenüber dem Verant- wortlichen wegen unzulässiger oder unrichtiger Datenverarbeitung geltend, so hat der Auf- tragsverarbeiter den Verantwortlichen zu unterstützen und im Innenverhältnis zu beweisen, dass die fehlerhafte Datenverarbeitung nicht in seinem eigenen Verantwortungsbereich liegt.

§ 13 Zurückbehaltungsrecht

Die Einrede des Zurückbehaltungsrechts an Daten und Unterlagen des Verantwortlichen ist ausgeschlossen.

6

[Seite 7]

§ 14 Rückgabe und Löschung

(1) Nach Abschluss der vertraglich vereinbarten Datenverarbeitung oder jederzeit nach Aufforde- rung durch den Verantwortlichen, spätestens aber mit Beendigung des Hauptvertrages, hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsver- hältnis stehen, dem Verantwortlichen auszuhändigen oder nach vorheriger Zustimmung daten- schutzgerecht zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitglieds- staaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzule- gen.

(2) Im Falle einer Löschung durch physische Vernichtung muss diese regelkonform und dem Stand der Technik entsprechend gewährleistet sein, ein Transport in verschlossenen Behältern vor- genommen werden und die erfolgreiche Vernichtung unter Angabe der Schutzklasse und Si- cherheitsstufe protokolliert und dokumentiert sein.

(3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragsverarbeiter entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertrags- ende dem Verantwortlichen übergeben.

§ 15 Schlussbestimmungen

(1) Der ausschließliche Gerichtsstand ist Bonn, Deutschland.

(2) Die in diesem Vertrag in Bezug genommenen Anlagen sind Bestandteil des AVV. Sollte eine der Bestimmungen dieses AVV unwirksam sein oder werden, so wird die Gültigkeit der übrigen Bestimmungen hierdurch nicht berührt. Im Falle eines Widerspruchs zwischen dem Vertragstext und dem Inhalt der Anlagen ist der Vertragstext maßgebend.

[Ort], den [Datum] [Ort], den [Datum]

(Verantwortlicher) (Auftragsverarbeiter)

7