Vertrag zur Auftragsverarbeitung gem. Art. 28 Abs. 3 DS-GVO
Zwischen der
Landesaufnahmebehörde Niedersachsen, vertreten durch den Präsidenten Klaus Dierker, Petzvalstraße 18, 38104 Braunschweig (Auftraggeberin und Verantwortliche nach der DS-GVO)
und
… … … … (Auftragnehmer und Auftragsverarbeiter)
besteht ein Dienstleistungsvertrag über …(Leistungen bitte einfügen).
§ 1 - Gegenstand und Dauer der Vereinbarung:
Der Auftragnehmer… (Beschreibung des Auftrags sowie der zu erbringenden Dienstleistung/ Titel der Leistungsbeschreibung/ Vertragsart/ Verweisung)
Der Auftragnehmer verarbeitet dabei personenbezogene Daten für die Verantwortliche im Sinne von Art. 4 Nr. 7 und Art. 28 DS-GVO auf Grundlage dieses Vertrages.
Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedstaat der Euro- päischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirt- schaftsraum erbracht.
Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung der Verantwortlichen und darf nur erfolgen, wenn die besonderen Vo- raussetzungen der Art. 44 ff DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kom- mission, Standartdatenschutzklauseln, genehmigte Verhaltensregeln).
Der Vertrag beginnt am … und endet automatisch mit Beendigung des Dienstleistungsvertra- ges.
Eine gesonderte Vergütung erfolgt nicht. Alle mit diesem Vertrag entstehenden Kosten sind durch die Kostenregelung der Vereinbarung über den Betrieb der Einrichtung abgegolten.
Die Verantwortliche kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt, der Auftragsverarbeiter eine Weisung der Verant- wortlichen nicht ausführen kann oder will oder der Auftragsverarbeiter Kontrollrechte der Ver- antwortlichen vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in diesem Ver- trag vereinbarten und aus Art. 28 DS-GVO abgeleiteten Pflichten stellt einen schweren Ver- stoß dar.
1
§ 2 - Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen:
(Beschreibung…)
Art der Verarbeitung (entsprechend der Definition von Art. 4 Nr. 2 DS-GVO):
(Beschreibung…)
Art der personenbezogenen Daten (entsprechend der Definition von Art. 4 Nr. 1, 13, 14 und 15 DS-GVO):
(Beschreibung…)
Kategorien betroffener Personen (entsprechend der Definition von Art. 4 Nr. 1 DS-GVO):
(Beschreibung…)
§ 3 - Rechte und Pflichten sowie Weisungsbefugnisse der Verantwortlichen:
Für die Beurteilung der Rechtmäßigkeit der Verarbeitung gem. Art. 6 Abs. 1 DS-GVO sowie für die Wahrung der Rechte der betroffenen Personen nach Art. 12 bis 23 DS-GVO ist allein die Verantwortliche verantwortlich. Gleichwohl ist der Auftragsverarbeiter verpflichtet, alle sol- che Anfragen, sofern sie erkennbar ausschließlich an die Verantwortliche gerichtet sind, un- verzüglich an diese weiterzuleiten.
Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam zwischen der Verantwortlichen und dem Auftragsverarbeiter abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.
Die Verantwortliche hat das Recht, jederzeit in vollem Umfang Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Sie erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektroni- schen Format zu bestätigen.
Die Verantwortliche ist berechtigt, sich wie unter § 5 festgelegt vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragsverar- beiter getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Ver- trag festgelegten Verpflichtungen zu überzeugen.
Die Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Un- regelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
Die Verantwortliche ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragsver- arbeiters vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.
2
Die Verantwortliche stellt sicher, dass die Informationspflichten aus Art. 33, 34 DS-GVO ge- genüber der Aufsichtsbehörde sowie gegenüber betroffenen Personen eingehalten werden.
§ 4 - Weisungsberechtigte der Verantwortlichen, Weisungsempfänger des Auftragsverarbei- ters:
Weisungsberechtigte Personen der Verantwortlichen sind:
… (Vor- und Nachname, Organisationseinheit, Telefon)
Weisungsempfänger beim Auftragsverarbeiter sind:
… (Vor- und Nachname, Organisationseinheit, Telefon)
Für die Weisung zu nutzende Kommunikationskanäle:
… (genaue postalische Adresse/E-Mail/Telefonnummer)
Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und grundsätzlich schriftlich oder elektronisch die Nachfolger bzw. die Vertreter mitzuteilen. Die Weisungen sind für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.
§ 5 - Pflichten des Auftragsverarbeiters:
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen der Verantwortlichen, sofern er nicht zu ei- ner anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auf- tragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragsverarbeiter der Verantwortli- chen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DS-GVO).
Der Auftragsverarbeiter verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen der Verantwortlichen nicht erstellt.
Der Auftragsverarbeiter sichert im Bereich der auftragsgemäßen Verarbeitung von personen- bezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er si- chert zu, dass die für die Verantwortliche verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.
Die Datenträger, die von der Verantwortlichen stammen bzw. für die Verantwortliche genutzt werden, werden besonders gekennzeichnet. Eingang und Ausgang sowie die laufende Ver- wendung werden dokumentiert.
3
Der Auftragsverarbeiter hat über die gesamte Abwicklung der Dienstleistung für die Verant- wortliche insbesondere folgende Überprüfungen in seinem Bereich durchzuführen:
(hier sind die besprochenen Maßnahmen einzutragen, z.B. Belehrung der Mitarbeiter*innen, Datenschutz-Schulungen, Vertraulichkeitsverpflichtungen etc)
Das Ergebnis der Kontrollen ist zu dokumentieren.
Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 23 DS-GVO durch die Verantwortliche, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Datenschutz-Folgeabschätzungen der Verantwortlichen hat der Auftragsverar- beiter im notwendigen Umfang mitzuwirken und die Verantwortliche soweit möglich angemes- sen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. e und f DS-GVO). Er hat die dazu erforderlichen Angaben der Verantwortlichen unverzüglich an folgende Stelle weiterzuleiten:
Datenschutzbeauftragte der LAB NI (Datenschutz@lab.niedersachsen.de)
Der Auftragsverarbeiter wird die Verantwortliche unverzüglich darauf aufmerksam machen, wenn eine von der Verantwortlichen erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DS-GVO). Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch die Ver- antwortliche bei der Auftraggeberin nach Überprüfung bestätigt oder geändert wird.
Der Auftragsverarbeiter hat personenbezogene Daten aus dem Auftragsverhältnis zu berich- tigen, zu löschen oder deren Verarbeitung einzuschränken, wenn die Verantwortliche dies mit- tels einer Weisung verlangt und berechtigte Interessen des Auftragsverarbeiters dem nicht entgegenstehen.
Unabhängig davon hat der Auftragsverarbeiter personenbezogene Daten aus dem Auftrags- verhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Wei- sung der Verantwortlichen ein berechtigter Anspruch des Betroffenen aus Art. 16, 17 und 18 DS-GVO zugrunde liegt.
Für die Durchführung der Auftragsverarbeitung nicht mehr benötigte Unterlagen mit personen- bezogenen Daten und Dateien dürfen erst nach vorheriger Zustimmung durch die Auftragge- berin datenschutzgerecht vernichtet werden. Gleiches gilt für Test- und Ausschussmaterial. Die Vernichtung ist der Auftraggeberin nachzuweisen.
Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Be- troffenen darf der Auftragsverarbeiter nur nach vorheriger Weisung oder Zustimmung durch die Verantwortliche erteilen.
Der Auftragsverarbeiter erklärt sich damit einverstanden, dass die Verantwortliche - grund- sätzlich nach Terminvereinbarung - berechtigt ist, die Einhaltung der Vorschriften über Daten- schutz und Datensicherheit sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang selbst oder durch von der Verantwortlichen beauftragte Dritte zu kon- trollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h DS-GVO).
4
Die Verantwortliche kann die Einhaltung eines genehmigten Zertifizierungsverfahrens gem. Art. 42 DS-GVO durch den Auftragsverarbeiter als Faktor heranziehen, um die Einhaltung der Vorschriften über Datenschutz und Datensicherheit sowie der vertraglichen Vereinbarungen zu beurteilen. Der Auftragsverarbeiter sichert zu, dass er, soweit erforderlich, bei diesen Kontrollen unter- stützend mitwirkt. Hierzu wird bis auf weiteres folgendes vereinbart:
Die Verarbeitung von Daten außerhalb der Einrichtung ist dem Auftragnehmer nicht gestattet. Hiermit soll gewährleistet werden, dass Unbefugte keinen Zugriff auf personenbezogene Da- ten erlangen können. Die Maßnahmen nach Art. 32 DS-GVO sind auch für den Fall einer Ver- arbeitung von Daten durch Beschäftigte des Auftragsverarbeiters im Rahmen von Tele- bzw. Heimarbeit zu treffen.
Der Auftragsverarbeiter bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen da- tenschutzrechtlichen Vorschriften der DS-GVO bekannt sind. Er verpflichtet sich, auch fol- gende für diesen Auftrag relevanten Geheimnisschutzregeln zu beachten, die der Verantwort- lichen obliegen:
(bitte eintragen…) (z.B. Bankgeheimnis, Fernmeldegeheimnis, Sozialgeheimnis, Berufsgeheimnisse nach § 203 StGB, z.B. von Ärzten/innen und Sozialarbeitern/innen, etc.)
Der Auftragsverarbeiter verpflichtet sich, bei der auftragsgemäßen Verarbeitung der perso- nenbezogenen Daten der Verantwortlichen die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung des Vertrages fort.
Der Auftragsverarbeiter sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Da- tenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Be- schäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DS-GVO). Der Auftragsverarbeiter überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb.
Beim Auftragsverarbeiter ist als Beauftragte(r) für den Datenschutz Herr/Frau
(Benennung des/der Datenschutzbeauftragten…) (Vor- und Nachname, Organisationseinheit, Telefon)
bestellt. Ein Wechsel des Datenschutzbeauftragten ist der Verantwortlichen unverzüglich mit- zuteilen.
Oder
Ein betrieblicher Datenschutzbeauftragter ist beim Auftragsverarbeiter nicht bestellt, da die gesetzliche Notwendigkeit für eine Bestellung nicht vorliegt.
Sofern einschlägig:
5
Der Auftragsverarbeiter verpflichtet sich, die Verantwortliche über den Ausschluss von geneh- migten Verhaltensregeln nach Art. 41 Abs. 4 DS-GVO und den Widerruf einer Zertifizierung nach Art. 42 Abs. 7 S. 2 DS-GVO unverzüglich zu informieren.
§ 6 - Mitteilungspflichten des Auftragsverarbeiters bei Störungen der Verarbeitung und bei Verletzungen des Schutzes personenbezogener Daten:
Der Auftragsverarbeiter teilt der Verantwortlichen unverzüglich Störungen, Verstöße des Auf- tragsverarbeiters oder der bei ihm beschäftigten Personen sowie gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Daten- schutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten der Verantwortlichen nach Art. 33 und Art. 34 DS-GVO. Der Auftragsverarbeiter sichert zu, die Verantwortliche erforderlichenfalls bei ihren Pflichten nach Art. 33 und 34 DS-GVO angemes- sen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DS-GVO).
§ 7 - Unterauftragsverhältnisse mit Subunternehmern (Art. 28 Abs. 3 Satz 2 lit. d DS-GVO:
Die Beauftragung von Subunternehmern zur Verarbeitung von Daten der Verantwortlichen ist dem Auftragsverarbeiter nur mit Genehmigung der Verantwortlichen gestattet, Art. 28 Abs. 2 DS-GVO, welche auf einem der o. g. Kommunikationswege (§ 4 dieses Vertrages) erfolgen muss. Die Zustimmung kann nur erteilt werden, wenn der Auftragsverarbeiter der Verantwort- lichen Namen und Anschrift sowie die vorgesehene Tätigkeit des Subunternehmers mitteilt. Außerdem muss der Auftragsverarbeiter dafür Sorge tragen, dass er den Subunternehmer unter besonderer Berücksichtigung der Eignung der von diesem getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DS-GVO sorgfältig auswählt. Die rele- vanten Prüfunterlagen dazu sind der Verantwortlichen auf Anfrage zur Verfügung zu stellen.
Eine Beauftragung von Subunternehmern in Drittstaaten darf nur erfolgen, wenn die besonde- ren Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).
Der Auftragsverarbeiter hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwi- schen Verantwortlicher und Auftragsverarbeiter auch gegenüber etwaigen Subunternehmern gelten. In dem Vertrag mit dem Subunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftragsverarbeiters und des Subunternehmers deutlich voneinander abgegrenzt werden. Werden mehrere Subunternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Subunternehmern. Insbesondere muss die Verantwortliche berechtigt sein, im Bedarfsfall angemessene Überprüfungen und Inspektio- nen, auch vor Ort, bei Subunternehmern durchzuführen oder durch von ihm beauftragte Dritte zu den üblichen Geschäftszeiten durchführen zu lassen.
Der Vertrag mit dem Subunternehmer muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 4 und Abs. 9 DS-GVO).
Die Weiterleitung von Daten an den Subunternehmer ist erst zulässig, wenn der Subunterneh- mer die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DS-GVO bezüglich seiner Beschäftig- ten erfüllt hat.
6
Der Auftragsverarbeiter hat die Einhaltung der Pflichten des/der Subunternehmer(s) wie folgt zu überprüfen:
Das Ergebnis der Überprüfungen ist zu dokumentieren und der Verantwortlichen auf Verlan- gen zugänglich zu machen.
Der Auftragsverarbeiter trifft mit den Subunternehmern Auftragsvereinbarungen, die den Ver- pflichtungen des Auftragsverarbeiters gemäß § 5 dieses Vertrages entsprechen.
Der Auftragsverarbeiter haftet gegenüber der Verantwortlichen dafür, dass der Subunterneh- mer den Datenschutzpflichten nachkommt, die ihm durch den Auftragsverarbeiter im Einklang mit dem vorliegenden Vertragsabschnitt vertraglich auferlegt wurden.
Zurzeit ist für den Auftragsverarbeiter der nachfolgende Subunternehmer mit der Verarbeitung von personenbezogenen Daten in dem dort genannten Umfang beschäftigt:
(sofern zutreffend, bitte ergänzen oder Hinweis, dass keine Subunternehmen eingesetzt werden)
Mit deren Beauftragung erklärt sich die Verantwortliche einverstanden.
Der Auftragsverarbeiter informiert die Verantwortliche immer über jede beabsichtigte Ände- rung in Bezug auf die Hinzuziehung neuer oder die Ersetzung bisheriger Subunternehmer, wodurch die Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben (§ 28 Abs. 2 Satz 2 DS-GVO).
Sofern die Verantwortliche Einspruch gegen die Hinzuziehung eines neuen oder die Einset- zung eines bisherigen Subunternehmers erhoben hat, ist die Bestellung dieses Subunterneh- mers nicht möglich.
§ 8 - Technische und organisatorische Maßnahmen (insbesondere Art. 28 Abs. 3 Satz 2 lit. c und e DS-GVO:
Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Niveau der Sicherheit der Verarbeitung gewährleistet. Dazu werden einerseits mindestens die Schutzziele von Art. 32 Abs. 1 DS-GVO wie Vertraulichkeit, Verfügbarkeit und Integrität der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnah- men das Risiko auf Dauer eingedämmt wird (Art. 28 Abs. 3 lit. c DS-GVO).
Die Formulierung in Art. 32 Abs. 1 DS-GVO „diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein“ verdeutlicht, dass die dort vorgenommene Aufzählung nicht abschließend ist. Für die Auftragsverarbeitung sind auch technische und organisatorische Maßnahmen umzusetzen, die in Kapitel III der DS-GVO genannten Rechte der betroffenen Personen wahren (Art. 28 Abs. 3 lit. e DS-GVO).
Diese Maßnahmen sollen u. a. sicherstellen, dass Daten nur für den Zweck verarbeitet und ausgewertet werden können, für den sie erhoben werden (Zweckbindung), dass Betroffene,
7
Verantwortliche und Kontrollinstanzen u. a. erkennen können, welche Daten für welchen Zweck in einem Verfahren erhoben und verarbeitet werden, welche Systeme und Prozesse dafür genutzt werden (Transparenz) und dass den Betroffenen die ihnen zustehenden Rechte auf Benachrichtigung, Auskunft, Berichtigung, Sperrung und Löschung jederzeit wirksam ge- währt werden (Intervenierbarkeit). Entsprechend sind auch die Maßnahmenbereiche zu be- rücksichtigen, die vorrangig der Minimierung der Eingriffsintensität in die Grundrechte Betroffe- ner dienen.
Beispiele für typische, bewährte technische und organisatorische Maßnahmen in den einzel- nen Bereichen können den „Hinweisen zum Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO“ (Abschnitte 6.7 bis 6.9) der Datenschutzkonferenz (DSK) entnommen werden. Die Auflistung dort ist nicht vollständig oder abschließend. In Abhängigkeit von den konkreten Ver- arbeitungstätigkeiten können weitere oder andere Maßnahmen geeignet und angemessen sein.
Methodik der Risikobewertung
Für die auftragsgemäße Verarbeitung personenbezogener Daten wird folgende Methodik zur Risikobeurteilung verwendet, welche die Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten berücksichtigt: ……………………………………………………………………………………………………………
Das im Anhang ……….. beschriebene Datenschutz- und Datensicherheitskonzept stellt die Auswahl der technischen und organisatorischen Maßnahmen passend zum Datensicherheits- risiko unter Berücksichtigung der Schutzziele Vertraulichkeit, Verfügbarkeit, Integrität, Zweck- bindung, Transparenz und Intervenierbarkeit detailliert und unter besondere Berücksichtigung der eingesetzten IT-Systeme und Verarbeitungsprozesse beim Auftragsverarbeiter dar.
Das im Anhang ………. beschriebene Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Ge- währleistung der Sicherheit der Verarbeitung wird als verbindlich festgelegt.
Folgende Möglichkeit für den Nachweis durch Zertifizierung bestehen (bitte ankreuzen):
o Variante 1
Die Bewertung des Risikos samt der Auswahl der geeigneten technischen und organisatori- schen Datensicherheitsmaßnahmen des Auftragsverarbeiters wurden am …… durch folgende unabhängige externe Stellen auditiert/zertifiziert gemäß den Zertifizierungen nach Art. 42 DS- GVO: ……………………………………………………………………………………………………………
Diese vollständigen Prüfunterlagen und Auditberichte können von der Verantwortlichen jeder- zeit eingesehen werden.
o Variante 2
Der Auftragsverarbeiter hat anlassbezogen auf Verlangen der Verantwortlichen eine Überprü- fung, Bewertung und Evaluation der Wirksamkeit der technischen und organisatorischen Maß- nahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen (§ 8) und das Er- gebnis samt vollständigem Auditbericht der Verantwortlichen mitzuteilen.
8
Für die Sicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren sind mit der Verantwortlichen abzustimmen.
Soweit die beim Auftragsverarbeiter getroffenen Sicherheitsmaßnahmen den Anforderungen der Verantwortlichen nicht genügen, benachrichtigt er die Verantwortliche unverzüglich. Die Datensicherheitsmaßnahmen beim Auftragsverarbeiter können im Laufe des Auftragsver- hältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dür- fen aber die vereinbarten Sicherheitsstandards nicht unterschreiten.
Wesentliche Änderungen sind vom Auftragsverarbeiter mit der Verantwortlichen in schriftlich dokumentierter Form abzustimmen. Die Abstimmung kann auch in einem elektronischen For- mat erfolgen. Solche Abstimmungen sind für die Dauer dieses Vertrages aufzubewahren.
§ 9 - Verpflichtungen des Auftragsverarbeiters nach Beendigung des Auftrags, Art. 28 Abs. 3 Satz 2 lit. g DS-GVO
Nach Abschluss der vertraglichen Arbeiten hat der Auftragsverarbeiter – so vorhanden – sämt- liche in seinen Besitz sowie an Subunternehmen gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen (inklusive aller Datenträger) der Verantwortlichen nach Wahl der Verantwortlichen
in einem bearbeitbarem Dateiformat/im Dateiformat XY (bitte gewünschte Option auswählen und ggf. Format eintragen) auszuhändigen oder
wie folgt datenschutzgerecht zu löschen bzw. zu vernichten/vernichten zu lassen:
Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der für die Ver- antwortliche verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.
Eine Papiervernichtung ist mindestens mit einem Shredder Stufe P4, Entsorgung von Papier und Datenträgern über zertifizierte Anbieter zu gewährleisten.
Die Löschung bzw. Vernichtung ist der Verantwortlichen mit Datumsangabe schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.
§ 10 - Haftung:
Auf Art. 82 DS-GVO wird verwiesen.
§ 11 - Vertragsstrafe:
Bei Verstoß des Auftragsverarbeiters gegen die Regelungen dieses Vertrages, insbesondere zur Einhaltung des Datenschutzes wird abhängig von der Schwere des Verstoßes eine Ver- tragsstrafe von bis zu 10.000, -- Euro vereinbart.
9
§ 12 - Sonstiges:
Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungsunterlagen (auch zu Subunternehmen) sind von beiden Vertragspartnern für ihre Gel- tungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.
Sollte das Eigentum oder die zu verarbeitenden personenbezogenen Daten der Verantwortli- chen beim Auftragsverarbeiter durch Maßnahmen Dritter (etwa durch Pfändung oder Be- schlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragsverarbeiter die Verantwortliche unverzüglich zu verstän- digen.
Für Nebenabreden ist grundsätzlich die Schriftform oder ein dokumentiertes elektronisches Format erforderlich.
Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.
(Ort, Datum) (Ort, Datum)
Im Auftrag
Unterschrift Verantwortliche Unterschrift Auftragsverarbeiter
10