[Seite 1]
Anlage 08
Vereinbarung zur Auftragsverarbeitung
zum Vergabeverfahren OV-014-2026
–nachfolgend „Leistungsvereinbarung“ –
wird zwischen der
Deutsches Institut für Urbanistik gGmbH Zimmerstr. 13–15 10969 Berlin
–nachfolgend „Auftraggeberin“ (AG) bzw. „Verantwortliche“ –
und
…
–nachfolgend „Auftragnehmer/in“ (AN) bzw. „Auftragsverarbeiter/in“ –
– beide nachfolgend gemeinsam „Vertragsparteien“ –
die folgende Vereinbarung zur Auftragsverarbeitung geschlossen:
Vereinbarung zur Auftragsverarbeitung 1/8
[Seite 2]
Anlage 08
Inhalt
Vereinbarung zur Auftragsverarbeitung 1
Präambel 3
§1 Anwendungsbereich 3
§2 Konkretisierung des Auftragsinhalts 3
§3 Verantwortlichkeit und Weisungsbefugnis 3
§4 Beachtung zwingender gesetzlicher Pflichten durch die/den AN 4
§5 Technisch-organisatorische Maßnahmen und deren Kontrolle 5
§6 Mitteilung bei Verstößen durch die/den AN 6
§7 Löschung und Rückgabe von Daten 6
§8 Unterauftragnehmer 7
§9 Datenschutzkontrolle 7
§10 Schlussbestimmungen 8
Anhang 1
Vereinbarung zur Auftragsverarbeitung 2/8
[Seite 3]
Anlage 08
Präambel
Die Vertragsparteien sind mit der Leistungsvereinbarung ein Auftragsverarbeitungsverhältnis eingegangen. Um die sich hieraus ergebenden Rechte und Pflichten gemäß den Vorgaben der EU-Datenschutz-Grund- verordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) zu konkretisieren, schließen die Ver- tragsparteien die nachfolgende Vereinbarung.
§ 1
Anwendungsbereich
Die Vereinbarung findet Anwendung auf die Erhebung, Verarbeitung und Löschung (im Folgenden: Verar- beitung) aller personenbezogenen Daten (im Folgenden: Daten), die Gegenstand der Leistungsvereinba- rung sind oder im Rahmen von deren Durchführung anfallen oder der/dem Auftragnehmer/in (AN) bekannt werden. Nicht unter den Anwendungsbereich fallen Daten von Mitarbeiterinnen/Mitarbeitern der/des AN, soweit sie ausschließlich das Beschäftigungsverhältnis mit der/dem AN betreffen.
§ 2
Konkretisierung des Auftragsinhalts
(1) Gegenstand und Dauer der Auftragsverarbeitung sowie Umfang, Art und Zweck der vorgesehenen Verarbeitung von Daten bestimmen sich nach der Leistungsvereinbarung und nach Nummer 1 des Anhangs 1 zu dieser Vereinbarung.
(2) Die Datenarten oder -kategorien, die Gegenstand der Verarbeitung durch die/den AN sind, sind in Nummer 2 des Anhangs 1 zu dieser Vereinbarung konkret beschrieben.
(3) Der Kreis der durch den Umgang mit ihren Daten Betroffenen ist in Nummer 3 des Anhangs 1 zu die- ser Vereinbarung konkret beschrieben.
§ 3
Verantwortlichkeit und Weisungsbefugnis
(1) Die Vertragsparteien sind für die Einhaltung der datenschutzrechtlichen Bestimmungen verantwortlich. Die AG kann jederzeit die Herausgabe, Berichtigung, Anpassung, Löschung und Einschränkung der Verarbeitung der Daten verlangen.
(2) Zur Gewährleistung des Schutzes der Betroffenenrechte unterstützt die/der AN die AG angemessen, insbesondere durch die Gewährleistung geeigneter technischer und organisatorischer Maßnahmen.
(3) Soweit sich ein/e Betroffene/r zwecks Geltendmachung eines Betroffenenrechts unmittelbar an die/den AN wendet, wird die/der AN dieses Ersuchen unverzüglich an die AG weiterleiten.
(4) Die/Der AN darf Daten ausschließlich im Rahmen der Weisungen der AG verarbeiten, sofern sie/er nicht zu einer anderen Verarbeitung durch das Recht der Union oder des Mitgliedstaates, dem die/der Auftragsverarbeiter/in unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder
Vereinbarung zur Auftragsverarbeitung 3/8
[Seite 4]
Anlage 08
Staatsschutzbehörden); in einem solchen Fall teilt die/der AN der AG diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichti- gen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Eine Weisung ist die auf ei- nen bestimmten Umgang der/des AN mit personenbezogenen Daten gerichtete schriftliche, elektroni- sche oder mündliche Anordnung der AG. Die Weisungen sind zu dokumentieren. Die Weisungen wer- den zunächst durch die Leistungsvereinbarung definiert und können von der AG danach in schriftlicher Form durch eine einzelne Weisung geändert, ergänzt oder ersetzt werden.
(5) Die/Der AN hat die AG unverzüglich zu informieren, wenn sie/er der Meinung ist, eine Weisung ver- stoße gegen datenschutzrechtliche Vorschriften. Die/Der AN ist berechtigt, die Durchführung der ent- sprechenden Weisung solange auszusetzen, bis sie von Seiten der AG bestätigt oder geändert wird. Die weisungsberechtigten Personen auf Seiten der AG sowie die zum Empfang der Weisungen berech- tigten Personen auf Seiten der/des AN sowie die vorgesehenen Informationswege werden im Rahmen der Vertragsausführung zwischen den Vertragsparteien festgelegt.
(6) Änderungen des Verarbeitungsgegenstandes mit Verfahrensänderungen sind gemeinsam abzustim- men und zu dokumentieren. Auskünfte an Dritte oder die/den Betroffenen darf die/der AN nur nach vor- heriger ausdrücklicher schriftlicher Zustimmung durch die AG erteilen. Die/Der AN verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate werden ohne Wissen der AG nicht erstellt.
(7) Die AG führt das Verzeichnis von Verarbeitungstätigkeiten i. S. d. Art. 30 DSGVO. Die/Der AN stellt der AG auf deren Wunsch Informationen zur Aufnahme in das Verzeichnis zur Verfügung. Die/Der AN führt entsprechend den Vorgaben des Art. 30 Abs. 2 DSGVO ein Verzeichnis zu allen Kategorien von im Auftrag der Auftraggeberin durchgeführten Tätigkeiten der Verarbeitung.
(8) Die Verarbeitung der Daten im Auftrag der AG findet ausschließlich auf dem Gebiet eines Mitgliedstaa- tes der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäi- schen Wirtschaftsraum statt. Eine Verarbeitung in einen Staat außerhalb des in Satz 1 genannten Terri- toriums ist nur zulässig, wenn sichergestellt ist, dass unter Berücksichtigung der Voraussetzungen des Kapitels V der DSGVO das durch die DSGVO gewährleistete Schutzniveau nicht unterlaufen wird und bedarf der vorherigen ausdrücklichen schriftlichen Zustimmung der AG. Die grundlegenden Vorausset- zungen für die Rechtmäßigkeit der Verarbeitung bleiben unberührt.
(9) Die AG und die/der AN stellen sicher, dass ihnen unterstellte natürliche Personen, die Zugang zu Da- ten haben, diese nur auf Anweisung der AG verarbeiten. Eine Verarbeitung von Daten außerhalb der Betriebsräume der/des AN (z. B. Telearbeit, Heimarbeit, Home-Office, mobiles Arbeiten) bedarf der vorherigen ausdrücklichen schriftlichen Zustimmung der AG, die erst nach Festlegung angemessener technischer und organisatorischer Maßnahmen für die Verarbeitungssituation erteilt werden kann.
§ 4
Beachtung zwingender gesetzlicher Pflichten durch die/den AN
(1) Die/Der AN stellt sicher, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulich- keit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und weist dies der AG auf Wunsch nach. Dies umfasst auch die Belehrung über die in diesem Auf- tragsverarbeitungsverhältnis bestehende Weisungs- und Zweckbindung.
(2) Die Vertragsparteien unterstützen sich gegenseitig beim Nachweis und der Dokumentation der ihnen obliegenden Rechenschaftspflicht im Hinblick auf die Grundsätze ordnungsgemäßer Datenverarbeitung (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Die/Der AN stellt der AG hierzu bei Bedarf entsprechende Infor- mationen zur Verfügung.
Vereinbarung zur Auftragsverarbeitung 4/8
[Seite 5]
Anlage 08
(3) Die/Der AN hat eine/n Datenschutzbeauftragte/n zu bestellen, die/der ihre/seine Tätigkeit entsprechend den gesetzlichen Vorschriften ausübt, sofern dies gesetzlich erforderlich ist. Die Kontaktdaten der/des Datenschutzbeauftragten wurden der AG zum Zwecke der direkten Kontaktaufnahme in Nummer 4 des Anhangs 1 zu dieser Vereinbarung mitgeteilt.
(4) Die/Der AN informiert die AG unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehör- den oder falls eine Aufsichtsbehörde im Rahmen ihrer Zuständigkeit bei der/dem AN anfragt, ermittelt oder sonstige Erkundigungen einzieht.
§ 5
Technisch-organisatorische Maßnahmen und deren Kontrolle
(1) Die Vertragsparteien vereinbaren die in der Nummer 5 des Anhangs 1 zu dieser Vereinbarung nieder- gelegten konkreten technischen und organisatorischen Sicherheitsmaßnahmen.
(2) Die Vertragsparteien sind verpflichtet, geeignete technische und organisatorische Maßnahmen so durchzuführen, dass die Verarbeitung der Daten im Einklang mit den gesetzlichen Anforderungen er- folgt und der Schutz der Rechte der betroffenen Person in angemessener Form gewährleistet ist.
(3) Die/Der AN wird ihre/seine innerbehördliche oder innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnah- men zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkatego- rien geeignet sind.
(4) Technische und organisatorische Maßnahmen unterliegen dem technischen Fortschritt. Insoweit ist es der/dem AN gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsni- veau der in der Nummer 5 des Anhangs 1 zu dieser Vereinbarung festgelegten Maßnahmen nicht un- terschritten werden. Wesentliche Änderungen sind zu dokumentieren.
(5) Es ist ein Verfahren zu etablieren, das eine regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der zum Einsatz kommenden technischen und organisatorischen Maßnahmen durch die Vertragsparteien ermöglicht.
(6) Die/Der AN wird der AG alle erforderlichen Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung der in dieser Vereinbarung getroffenen und der gesetzlichen Vorgaben erforderlich sind. Sie/Er wird insbesondere Überprüfungen/Inspektionen, die von der AG oder einer/einem anderen von dieser beauftragten Prüfer/in durchgeführt werden, ermöglichen und deren Durchführung unterstützen. Der Nachweis der Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann dabei auch durch Vorlage eines aktuellen Testats, von Berichten hinreichend qualifizierter und unab- hängiger Instanzen (z. B. Wirtschaftsprüfer, unabhängige Datenschutzauditoren), durch die Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO, einer Zertifizierung nach Art. 42 DSGVO oder ei- ner geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z. B. nach BSI-Grund- schutz) erbracht werden. Die/Der AN verpflichtet sich, der AG über den Ausschluss von genehmigten Verhaltensregeln gemäß Art. 41 Abs. 4 DSGVO, den Widerruf einer Zertifizierung gemäß Art. 42 Abs. 7 DSGVO und jede andere Form der Aufhebung oder wesentlichen Änderung der vorgenannten Nach- weise unverzüglich zu unterrichten.
(7) Die AG kann sich jederzeit zu Prüfzwecken in den Betriebsstätten der/des AN zu den üblichen Ge- schäftszeiten ohne Störung des Betriebsablaufs von der Angemessenheit der Maßnahmen zur Einhal- tung der gesetzlichen Vorgaben oder der zur Durchführung dieses Vertrages erforderlichen techni- schen und organisatorischen Erfordernisse überzeugen.
Vereinbarung zur Auftragsverarbeitung 5/8
[Seite 6]
Anlage 08
(8) Die/Der AN stellt der AG darüber hinaus in Nummer 6 des Anhangs 1 zu dieser Vereinbarung alle er- forderlichen Informationen zur Verfügung, die sie für eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz der Daten (Datenschutz-Folgeabschätzung i. S. d. Art. 35 DSGVO) benötigt.
(9) Die/Der AN hat im Benehmen mit der AG alle erforderlichen Maßnahmen zur Sicherung der Daten bzw. der Sicherheit der Verarbeitung, insbesondere auch unter Berücksichtigung des Stands der Technik, sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen.
§ 6
Mitteilung bei Verstößen durch die/den AN
(1) Die/Der AN unterrichtet die AG unverzüglich bei schwerwiegenden Störungen ihres/seines Betriebsab- laufes, bei Verdacht auf Verstöße gegen diese Vereinbarung sowie gesetzliche Datenschutzbestim- mungen, bei Verstößen gegen solche Bestimmungen oder anderen Unregelmäßigkeiten bei der Verar- beitung der Daten der AG. Dies gilt insbesondere im Hinblick auf die Meldepflicht nach Art. 33 Abs. 2 DSGVO sowie auf korrespondierende Pflichten der AG nach Art. 33 und Art. 34 DSGVO. Die/Der AN sichert zu, die AG erforderlichenfalls bei ihren Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen. Meldungen nach Art. 33 oder 34 DSGVO für die AG darf die/der AN nur nach vorheriger Weisung gemäß § 3 dieses Vertrages durchführen.
(2) Der Inhalt der Unterrichtung entspricht dem Meldebogen an die Aufsichtsbehörde.
(3) Die vorgenannte Unterrichtung der AG muss durch die/den AN innerhalb von 48 Stunden per E-Mail an folgende Adressen erfolgen:
• 114@difu.de • datenschutz@difu.de
§ 7
Löschung und Rückgabe von Daten
(1) Überlassene Datenträger und Datensätze verbleiben im Eigentum der AG.
(2) Nach Abschluss der vertraglich vereinbarten Leistungen oder früher nach Aufforderung durch die AG, jedoch spätestens mit Beendigung der Leistungsvereinbarung, hat die/der AN sämtliche in ihren/seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände (wie auch hiervon gefertigte Kopien oder Reproduktionen), die im Zusammenhang mit dem Auftrags- verhältnis stehen, der AG auszuhändigen oder nach vorheriger Zustimmung der AG datenschutzge- recht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Ein Löschungsprotokoll ist der AG auf Anforderung vorzulegen.
(3) Die/Der AN kann Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenver- arbeitung dienen, entsprechend der jeweiligen Aufbewahrungsfristen bis zu deren Ende auch über das Vertragsende hinaus aufbewahren. Alternativ kann sie/er sie zu ihrer Entlastung bei Vertragsende der AG übergeben. Für die nach Satz 1 aufbewahrten Daten gelten nach Ende der Aufbewahrungsfrist die Pflichten nach Absatz 2.
Vereinbarung zur Auftragsverarbeitung 6/8
[Seite 7]
Anlage 08
§ 8
Unterauftragnehmer
(1) Die zur Erfüllung dieses Vertrages hinzugezogenen weiteren Auftragsverarbeiter (Unterauftragnehmer) sind in Nummer 7 des Anhangs zu dieser Vereinbarung im Einzelnen bezeichnet; mit deren Beauftra- gung erklärt sich die AG einverstanden. Der AN darf weitere Unterauftragnehmer nur mit vorheriger ausdrücklicher schriftlicher Zustimmung des AG in Anspruch nehmen. Sofern es sich um eine allge- meine schriftliche Zustimmung handelt, informiert die/der AN die AG unverzüglich über jede beabsich- tigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragnehmern. Die AG kann gegen derartige Änderungen Einspruch erheben. Nicht als Leistungen von Unterauftragnehmern im Sinne dieser Regelung gelten Dienstleistungen, die die/der AN bei Dritten als Nebenleistung zur Un- terstützung der Auftragsdurchführung in Anspruch nimmt, beispielsweise Telekommunikationsdienst- leistungen und Wartungen. Die/Der AN ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten der AG auch bei fremd vergebenen Nebenleistungen angemessene und ge- setzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.
(2) Wenn Unterauftragnehmer durch die/den AN eingeschaltet werden, hat die/der AN sicherzustellen, dass ihre/seine vertraglichen Vereinbarungen mit dem Unterauftragnehmer so gestaltet sind, dass das Datenschutzniveau mindestens der Vereinbarung zwischen der AG und der/dem AN entspricht und alle vertraglichen und gesetzlichen Vorgaben beachtet werden; dies gilt insbesondere auch im Hinblick auf den Einsatz geeigneter technischer und organisatorischer Maßnahmen zur Gewährleistung eines ange- messenen Sicherheitsniveaus der Verarbeitung.
(3) Der AG sind in der vertraglichen Vereinbarung mit dem Unterauftragnehmer Kontroll- und Überprü- fungsrechte entsprechend dieser Vereinbarung einzuräumen. Ebenso ist die AG berechtigt, auf schriftli- che Anforderung von der/dem AN Auskunft über den Inhalt des mit dem Unterauftragnehmer geschlos- senen Vertrages und die darin enthaltene Umsetzung der datenschutzrelevanten Verpflichtungen des Unterauftragnehmers zu erhalten.
(4) Kommt der Unterauftragnehmer seinen datenschutzrechtlichen Verpflichtungen nicht nach, so haftet die/der AN gegenüber der AG für die Einhaltung der Pflichten des Unterauftragnehmers. Die/Der AN hat in diesem Falle auf Verlangen der AG die Beschäftigung des Unterauftragnehmers ganz oder teil- weise zu beenden oder das Vertragsverhältnis mit dem Unterauftragnehmer zu lösen, wenn und soweit dies nicht unverhältnismäßig ist.
§ 9
Datenschutzkontrolle
Die/Der AN verpflichtet sich, der/dem Datenschutzbeauftragten der AG sowie der zuständigen Aufsichtsbe- hörde zur Erfüllung ihrer jeweiligen gesetzlichen zugewiesenen Aufgaben im Zusammenhang mit diesem Auftrag jederzeit Zugang zu den üblichen Geschäftszeiten zu gewähren. Die/Der AN unterwirft sich zusätz- lich zu der für ihr/ihn bestehenden gesetzlichen Datenschutzaufsicht der Kontrolle der für die AG bestehen- den Datenschutzaufsicht (hier. die/der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit) und der Kontrolle durch die/den Datenschutzbeauftragten der AG mit Ausnahme der Bereiche, die keinerlei Bezug zur Auftragserfüllung haben. Sie/Er duldet insbesondere Betretungs-, Einsichts- und Fragerechte der Genannten einschließlich der Einsicht in durch Berufsgeheimnisse geschützte Unterlagen. Sie/Er wird ihre/seine Mitarbeiter/innen anweisen, mit den Genannten zu kooperieren, insbesondere deren Fragen wahrheitsgemäß und vollständig zu beantworten. Die nach Gesetz bestehenden Verschwiegenheitspflich- ten und Zeugnisverweigerungsrechte der Genannten bleiben davon unberührt.
Vereinbarung zur Auftragsverarbeitung 7/8
[Seite 8]
Anlage 08
§ 10
Schlussbestimmungen
(1) Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile – einschließlich etwai- ger Zusicherungen der/des AN – bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
(2) Der Anhang 1 ist Bestandteil dieses Vertrages.
(3) Sollten einzelne Regelungen dieser Vereinbarung unwirksam oder undurchführbar sein, wird davon die Wirksamkeit der übrigen Regelungen nicht berührt. An die Stelle der unwirksamen oder undurchführba- ren Regelung tritt diejenige wirksame und durchführbare Regelung, deren Wirkung der Zielsetzung am nächsten kommt, die die Vertragsparteien mit der unwirksamen oder undurchführbaren Bestimmung verfolgt haben. Die vorstehenden Bestimmungen gelten entsprechend für den Fall, dass sich die Ver- einbarung als lückenhaft erweist.
Berlin, den
Ort, Datum Ort, Datum
Unterschrift der AG Unterschrift der/des AN
Name, Vorname Name, Vorname
Vereinbarung zur Auftragsverarbeitung 8/8