[Seite 1]

Anhang 1

Zur Vereinbarung zur Auftragsverarbeitung im Vergabeverfahren OV-014-2026

zwischen der

Deutsches Institut für Urbanistik gGmbH Zimmerstraße 13–15 10969 Berlin

–nachfolgend „Auftraggeberin (AG)“ –

und

–nachfolgend „Auftragnehmer/in (AN)“ –

[Seite 2]

Seite 2 von 9

Hier sind zu ausgewählten Punkten der „Vereinbarung zur Auftragsverarbeitung“ nachfolgende Informationen durch die Auftragnehmerin/den Auftragnehmer anzugeben:

Zu § 2 Abs. 1 der „Vereinbarung zur Auftragsverarbeitung“

Umfang und Art der Auftragsverarbeitung

Hier bitte die konkrete Art und Weise bzw. die Auswahl der Mittel (z. B. verwendete Software, Standort der Ser- ver/Rechner, gemietete Speicherkapazitäten oder eigene Server etc.) der Auftragsverarbeitung aufführen.

[Seite 3]

Seite 3 von 9

Zu § 2 Abs. 2 der „Vereinbarung zur Auftragsverarbeitung“

Datenkategorien

Hier bitte die konkreten Datenkategorien (z. B. Personalstammdaten usw.) ankreuzen, deren Verarbeitung notwen- dig/erforderlich ist, um die Leistung gemäß Leistungsvereinbarung zu erbringen und ggfs. weitere benennen. Begrün- den Sie dieses bitte, wenn dieses nicht offensichtlich aus der Leistungsvereinbarung hervorgeht.

Erforder- lich? Bitte an- kreuzen.	Datenkategorien inkl. Beispiele	Ggf. Begründung zur Not- wendigkeit der Erhebung/ Verarbeitung
	Personen(stamm)daten (z.B. Vorname, Nachname, Anrede, Geburtsdatum, Geschlecht)
	Adress- und Kontaktdaten (z.B. Institution, Tätigkeit, Position in der Institution, Adresse, (Mobil-)Telefonnum- mern, Telefax, E-Mail)
	Korrespondenzdaten (z.B. Inhalte von E-Mails, Briefen, Kontakthistorie)
	Empirie-Daten (z.B. Umfrage- und Interviewantworten)
	Audio- und Bilddaten (z.B. Foto und Video von Menschen in Nahaufnahme, Sprachaufzeichnungen)
	Vertrags-, Abrechnungs- und Zahlungsdaten (z.B. Bankverbindung, bestellte Waren, Rechnungsdaten, Steuer-ID)
	Log- und Nutzungsdaten (z.B. Benutzerkennung und Passwortdaten, Log-Infos, Aktivierungsinformationen, Gerätekennungen, Telekommunikationsdaten , Verbindungsdaten/Metadaten)
	Authentifikations- und Legitimationsdaten (z.B. digitale Zertifikate, elektronische Signaturen, Unterschriftenprobe, Ausweispa- piere)
	Sonstige personenbezogene Daten (z.B. Themen- bzw. Interessenschwerpunkte)
	Werden weitere Kategorien von Daten verarbeitet? Diese bitte nachfolgend angeben:

[Seite 4]

Seite 4 von 9

Zu § 2 Abs. 3 der „Vereinbarung zur Auftragsverarbeitung“

Betroffene Personen

Hier bitte den Kreis der durch den Umgang mit ihren Daten Betroffenen ankreuzen und ggfs. weitere benennen.

Betroffen? Bitte an- kreuzen.	Kategorien betroffener Personen und Beispiele
	Beteiligte in Difu-Projekten (z.B. Personen, die in irgendeiner Weise in Projekten mitwirken, z.B. Experten, Interviewpartner, Umfrageteilnehmer, Städ- tevertreter)
	Vertragspartner des Difu (z.B. Vertragspartner in Projektzusammenhängen wie Auftraggeber, Unterauftragnehmer; Sonstige Vertragspartner wie Referenten, Einmaldienstleistungen etc).
	Difu-Beschäftigte: Personen, die einen Arbeitsvertrag mit dem Difu haben.
	Difu-Bewerber: Personen, die im Difu tätig werden wollen, auch Studenten, Praktikanten.
	Gibt es weitere betroffene Personen? Diese bitte nachfolgend angeben:

Zu § 4 Abs. 3 der „Vereinbarung zur Auftragsverarbeitung“

Kontaktdaten Datenschutzbeauftragte(r) der/des AN

Hier bitte die Person(en) der Auftragnehmerin/des Auftragnehmers inkl. Kontaktdaten angeben, die als Datenschutzbe- auftragte(r) benannt sind/wurden.

Name, Vorname Kontaktdaten

Nein, wir sind gesetzlich nicht dazu verpflichtet, eine(n) Datenschutzbeauftragte(n) zu bestellen.

[Seite 5]

Seite 5 von 9

Zu § 5 Abs. 1 der „Vereinbarung zur Auftragsverarbeitung“

Technisch-organisatorische Maßnahmen und deren Kontrolle

Hier bitte die konkreten technisch-organisatorischen Maßnahmen angeben, die getroffen werden/wurden, um den Anforderungen des Datenschutzes, insb. der Vorgaben des Art. 32 DSGVO, gerecht zu werden.

Nr.	Maßnahme	Umsetzung der Maßnahme
1.	Zutrittskontrolle
	Unbefugten ist der Zutritt zu Da- tenverarbeitungsanlagen, mit de- nen personenbezogene Daten ver- arbeitet werden, zu verwehren. (z. B. Zutrittskontrollsystem, Ausweisle- ser, Magnetkarte, Chipkarte, Schlüssel, Schlüsselvergabe, Werkschutz, Pförtner, Überwachungseinrichtung, Alarmanlage, Türsicherung)	Tech. Maßnahmen Org. Maßnahmen
2.	Zugangskontrolle
	Es ist zu verhindern, dass Daten- verarbeitungssysteme von Unbe- fugten genutzt werden können. (z.B. Technische [Kennwort-/Passwort- schutz] und organisatorische [Benutzer- stammsatz] Maßnahmen hinsichtlich der Benutzeridentifikation und Authentifizie- rung, Verwendung von dem Stand der Technik entsprechenden Verschlüsse- lungsverfahren [Beispiele: Kennwortverfah- ren, automatisches Sperren, Einrichtung eines Benutzerstammsatzes pro User, Ver- schlüsselung von Datenträgern])	Tech. Maßnahmen Org. Maßnahmen
3.	Zugriffskontrolle
	Es ist zu gewährleisten, dass die zur Benutzung eines Datenverar- beitungssystems Berechtigten ausschließlich auf die ihrer Zu- griffsberechtigung unterliegenden Daten zugreifen können und dass personenbezogene Daten bei der Verarbeitung nicht unbefugt gele- sen, kopiert, verändert oder ent- fernt werden können. (z. B. Bedarfsorientierte Ausgestaltung des Berechtigungskonzepts und der Zu- griffsrechte sowie deren Überwachung und Protokollierung, Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren [Beispiele: differenzierte Berechtigungen wie Profile, Rollen etc., Auswertungen, Kenntnis- nahme, Veränderung, Löschung])	Tech. Maßnahmen Org. Maßnahmen

[Seite 6]

Seite 6 von 9

4.	Weitergabekontrolle
	Es ist zu gewährleisten, dass per- sonenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ih- rer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und dass überprüft und festgestellt werden kann, an wel- che Stellen eine Übermittlung per- sonenbezogener Daten durch Ein- richtungen zur Datenübertragung vorgesehen ist. (z. B. Maßnahmen bei Transport, Über- tragung und Übermittlung oder Speiche- rung auf Datenträger [manuell oder elekt- ronisch] so- wie bei der nachträglichen Überprüfung, Verwendung von dem Stand der Technik entsprechenden Ver- schlüsselungsverfahren, elektronische Signatur)	Tech. Maßnahmen Org. Maßnahmen
5.	Eingabekontrolle
	Es ist zu gewährleisten, dass nachträglich überprüft und festge- stellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme einge- geben, verändert oder entfernt worden sind. (z. B. Nachvollziehbarkeit bzw. Dokumen- tation der Datenverwaltung gewährleis- ten, etwa durch Protokollierungs- und Auswertungssysteme)	Tech. Maßnahmen Org. Maßnahmen
6.	Auftragskontrolle
	Es ist zu gewährleisten, dass per- sonenbezogene Daten, die im Auf- trag verarbeitet werden, nur ent- sprechend den Weisungen der AG verarbeitet werden können. (Abgrenzen der Kompetenz zwischen der AG und der/des AN [Beispiel: eindeutige Vertragsgestaltung, Kriterien zur Aus- wahl der/des AN, Kontrolle der Vertrags- ausführung])	Tech. Maßnahmen Org. Maßnahmen

[Seite 7]

Seite 7 von 9

7.	Verfügbarkeitskontrolle
	Es ist zu gewährleisten, dass per- sonenbezogene Daten gegen zu- fällige Zerstörung oder Verlust ge- schützt sind. (z. B. Die Daten sind gegen zufällige Zer- störung oder Verlust zu schützen, Maß- nahmen zur Datensicherung [Beispiel: Backup- Verfahren, Spiegeln von Fest- platten, unter- brechungsfreie Stromver- sorgung, Firewall, Notfallplan])	Tech. Maßnahmen Org. Maßnahmen
8.	Trennungskontrolle
	Es ist zu gewährleisten, dass zu unterschiedlichen Zwecken erho- bene Daten getrennt verarbeitet werden können.	Tech. Maßnahmen Org. Maßnahmen
9.	Datensicherheit bei der Verar- beitung von personenbezoge- nen Daten außerhalb der Be- triebsräume der/des AN
	Es ist zu gewährleisten, dass Da- ten, die außerhalb der Betriebs- räume der/des AN (z. B. im Home- Office, mobiles Arbeiten etc.) ver- arbeitet werden, vor Kenntnis- nahme Dritter und Diebstahl ge- schützt sind.	Tech. Maßnahmen Org. Maßnahmen

Zu § 5 Abs. 8 der „Vereinbarung zur Auftragsverarbeitung“

Information zur Datenschutz-Folgeabschätzung

Hier bitte die Fragen in der nachfolgenden Tabelle beantworten, um festzustellen, ob eine Datenschutz-Folgeab- schätzung gemäß Art. 35 DSGVO erforderlich ist.

Als Hintergrund: Die Datenschutz-Folgeabschätzung ist ein spezielles Instrument zur Beschreibung, Bewertung und Eindämmung von ho- hen Risiken für die Rechte und Freiheiten von Personen bei der Verarbeitung personenbezogener Daten. Solche Risiken können durch ei- nen besonders riskanten Verarbeitungsvorgang, insbesondere bei Verwendung neuer Technologien, oder bei der Verarbeitung besonders sensibler „Risikodaten“ entstehen. Ein Schaden kann zum Beispiel dann entstehen, wenn die Verarbeitung zu einer Diskriminierung, einem Identitätsdiebstahl oder -betrug, einem finanziellen Verlust, einer Rufbeschädigung oder anderen erheblichen wirtschaftlichen oder gesell- schaftlichen Nachteilen von Betroffenen führen kann.

[Seite 8]

Seite 8 von 9

Nr.	Frage	Antwort (bitte begründen)
1.	Neue Technologien
1.1.	Werden bei der Verarbeitung der personen-
	bezogenen Daten neue Technologien ver-
	wendet, die ein hohes Risiko für die Rechte
	und Freiheiten der Betroffenen mit sich brin-
	gen?
	Neue Technologien sind z. B. Hard- und Software,
	Prozesse und Methoden der IT- Technik, neue Ent-
	wicklungen, wie Smart Car, Smart Health, Big Data-
	und Trackingverfahren sowie neue Sicherheits- und
	Überwachungstechnik.
1.2.	Wurde für diese neue Technologie bereits
	eine Datenschutz-Folgeabschätzung durch-
	geführt?
1.3.	Ermöglicht die neue Technologie die Verar-
	beitung großer Mengen von personenbezo-
	genen Daten auf regionaler, nationaler oder
	übernationaler Ebene?
1.4.	Ermöglicht die neue Technologie die Verar-
	beitung von Daten einer großen Anzahl von
	Personen?
2.	Erschwerte Rechtsausübung
	Werden Verarbeitungsverfahren eingesetzt,
	die den betroffenen Personen die Ausübung
	ihrer Rechte erschweren?
	Das ist z. B. anzunehmen bei komplexen und intrans-
	parenten Verfahren, einer Vielzahl von für die Verar-
	beitung verantwortlichen Personen, bei geheimen und
	anlasslosen Verarbeitungen insbesondere im Rahmen
	von Überwachungs- und Sicherheitsmaßnahmen.
3.	Profiling
3.1.	Werden Daten zu persönlichen Aspekten au-
	tomatisiert verarbeitet?
	(z.B. Arbeitsleistung, wirtschaftliche Lage, Gesundheit,
	persönliche Vorlieben oder Interessen, Zuverlässig-
	keit, Verhalten, Aufenthaltsort oder Ortswechsel)
3.2.	Werden diese Daten systematisch und um-
	fassend bewertet, um daraus persönliche
	Profile zu erstellen?
3.3.	Werden diese persönlichen Profile herange-
	zogen, um Entscheidungen zu treffen, die
	Rechtswirkung gegenüber Personen entfal-
	ten?
4.	Besonders sensible Daten

[Seite 9]

Seite 9 von 9

4.1.	Werden personenbezogene Daten verarbei-
	tet, aus denen die rassische oder ethnische
	Herkunft, politische Meinungen, religiöse o-
	der weltanschauliche Überzeugungen oder
	die Gewerkschaftszugehörigkeit hervor- ge-
	hen?
4.2.	Werden genetische Daten, biometrische Da-
	ten zur eindeutigen Identifizierung einer na-
	türlichen Person, Gesundheitsdaten, Daten
	zum Sexualleben oder zur sexuellen Orientie-
	rung erhoben?
4.3.	Werden personenbezogene Daten über straf-
	rechtliche Verurteilungen und Straftaten oder
	damit zusammenhängenden Sicherungs-
	maßregeln verarbeitet?
5.	Videoüberwachung
	Erfolgt eine systematische umfangreiche
	Überwachung öffentlich zugänglicher Berei-
	che, insbesondere mittels Videokameras?
6.	Sonstiges
	Erfolgt ein Datentransfer außerhalb der EU?
	Erfolgt ein Vergleich oder eine Kombination
	von Datensätzen?

Zu § 8 Abs. 1 der „Vereinbarung zur Auftragsverarbeitung“

Unterauftragnehmer

Hier bitte Ihre Unterauftragnehmer aufführen, die Sie zur Erfüllung des Auftrags hinzuziehen werden.

Firma, Anschrift	Beschreibung der	Zu verarbeitenden	Kategorien betroffener
	Verarbeitung und	Datenkategorien	Personen
	dessen Zweck

, den

Ort, Datum Unterschrift, Firmenstempel

08a_Anhang zu AVV Difu.pdf