Anhang 7 - AVV_AZ 26-143.docx

ZENDAS Version 6.0, 10.02.2025

Vertrag zur Datenverarbeitung im Auftrag

Zwischen

der Universität Stuttgart, Keplerstr. 7, 70174 Stuttgart,

vertreten durch Kanzlerin Mag. iur. Anna Steiger, für das IZUS/ITAP, Allmandring 30, 70569 Stuttgart

- Verantwortlicher -

und

der ABC GmbH, Straße, Ort,

vertreten durch vertretungsberechtigte Person

Vertreter gemäß Art. 27 DS-GVO: [Angabe des Vertreters, sonst gesamten Text löschen]

- Auftragsverarbeiter -

Gegenstand und Dauer, Vergütung, Vorrang dieses Vertrags, Begrifflichkeit

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen auf Grundlage EVB-IT Dienstvertrag in der Version 3.0.0 (Stand: 01.03.2026) vom DD.MM.2026 (im Folgenden: zugrundeliegender Vertrag).

[ ] Der Gegenstand des Auftrags ergibt sich aus dem zugrundeliegenden Vertrag. Ggf. Ergänzungen, z.B. "Eine Verarbeitung im Auftrag findet ausschließlich im Wege der Fernwartung oder vor Ort mit Betriebsmitteln des Verantwortlichen statt."

Oder

[x] Gegenstand dieses Vertrags ist Unterstützung im IT-Betrieb von CAMPUSonline/C@MPUS, insbesondere Abwesenheitsvertretung und Behebung von Störungen, die genaue Bezeichnung der Tätigkeiten erfolgt unter § 2 Abs. 2.

1. Die Bestimmungen dieses Vertrages finden Anwendung auf jede Datenverarbeitung, die mit dem zugrundeliegenden Vertrag im Zusammenhang steht und bei der der Auftragsverarbeiter auf Weisung des Verantwortlichen tätig wird.
2. Die Laufzeit dieser Vereinbarung richtet sich nach den Regelungen des der Auftragserteilung zugrundeliegenden Vertrags. Die vorliegende Vereinbarung bleibt gegebenenfalls darüber hinaus so lange gültig bis eine Löschung oder Übergabe nach § 4 Abs. 14 erfüllt ist.
3. Der Verantwortliche ist zu einer außerordentlichen Kündigung dieses Vertrags und des der Auftragserteilung zugrundeliegenden Vertrags berechtigt, wenn der Auftragsverarbeiter - soweit gesetzlich vorgeschrieben: trotz schriftlicher Aufforderung - die vereinbarten Leistungen nicht ordnungsgemäß erbringt oder Pflichten aus diesem Vertrag, insbesondere nach § 4, verletzt.
4. Eine gesonderte Vergütung erfolgt nicht, es sei denn, dies wird ausdrücklich vereinbart.
5. Soweit dieser Vertrag von dem der Auftragserteilung zugrundeliegenden Vertrag abweichende Regelungen trifft, gehen die Regelungen des Vertrags zur Datenverarbeitung im Auftrag vor.
6. Die datenschutzrechtliche Terminologie dieser Vereinbarung entspricht der der Datenschutz-Grundverordnung (DS-GVO) vom 27.04.2016.

Konkretisierung des Auftragsinhalts hinsichtlich der Art und des Zwecks der Datenverarbeitung, der Art der personenbezogenen Daten und der Kategorien betroffener Personen

[x] Art und Zweck der Datenverarbeitung durch den Auftragsverarbeiter für den Verantwortlichen sind konkret beschrieben im Dokument "Leistungsbeschreibung".

oder

[ ] Art der Datenverarbeitung:

Beschreibung der zu erbringenden Tätigkeiten

Zweck der Datenverarbeitung:

Beschreibung

[x] Die Art der verwendeten Daten ist konkret beschrieben im Dokument "Leistungsbeschreibung".

oder

[ ] Gegenstand der Datenverarbeitung sind folgende Datenarten:

Beschreibung, z.B. Personenstammdaten, Kommunikationsdaten

[ ] Die Kategorien der durch die Datenverarbeitung im Rahmen des Auftrags betroffenen Personen sind konkret beschrieben im hier genaue Bezeichnung des Dokuments mit Datum, Versionsnummer o.ä. eintragen, ggf. mit genauer Fundstelle; z.B. "Leistungsveareinbarung vom..."

oder

[x] Es werden im Rahmen des Auftrags personenbezogene Daten von folgenden Kategorien betroffener Personen verarbeitet:

[x] Studierende

[x] Studienbewerberinnen und -bewerber

[x] Beschäftigte

[ ] Geschäftspartnerinnen und -partner

[ ] Versuchspersonen

[ ] Beschreibung

Beschreibung

[x] Die vertraglich vereinbarte Datenverarbeitung, die der Auftragsverarbeiter selbst ohne Hinzuziehung von weiteren Auftragsverarbeitern im Sinne von Art. 28 Abs. 2 DS-GVO (Unterauftragnehmern) erbringt, erfolgt ausschließlich in einem Mitgliedsstaat des Europäischen Wirtschaftsraums (Mitgliedsstaaten der EU, Island, Liechtenstein, Norwegen).

[ ] Die vertraglich vereinbarte Datenverarbeitung, die der Auftragsverarbeiter selbst ohne Hinzuziehung von weiteren Auftragsverarbeitern im Sinne von Art. 28 Abs. 2 DS-GVO (Unterauftragnehmern) erbringt, erfolgt (ggf. zusätzlich zu einem Mitgliedsstaat des Europäischen Wirtschaftsraums) in den in Anhang 1 genannten Drittländern.

Jede Verlagerung der Datenverarbeitung, die der Auftragsverarbeiter selbst ohne Hinzuziehung von Unterauftragnehmern erbringt, in einen Staat außerhalb des Europäischen Wirtschaftsraums (Drittland) bedarf der vorherigen Zustimmung des Verantwortlichen und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.

Weisungs- und Kontrollrechte

1. Der Verantwortliche bleibt für die Einhaltung der Vorschriften über den Datenschutz, insbesondere des LDSG sowie der DS-GVO, verantwortlich.
2. Der Verantwortliche hat das Recht, dem Auftragsverarbeiter Weisungen zu erteilen hinsichtlich der Verarbeitung der personenbezogenen Daten. Diese sind zu dokumentieren.
3. Weisungsberechtigt auf Seiten des Verantwortlichen ist:

Dr. Nicola Hönle, 0711-685-81226, nicola.hoenle@izus.uni-stuttgart.de, IZUS/ITAP

Empfangsberechtigt für Weisungen auf Seiten des Auftragsverarbeiters ist:

Name, Telefon, E-Mail, ggf. Funktion, ggf. Organisationseinheit

1. Bei einem Wechsel oder einer längerfristigen Verhinderung einer der in Absatz 3 aufgeführten Personen ist der anderen Vertragspartei unverzüglich schriftlich die Nachfolgerin oder der Nachfolger bzw. die Vertreterin oder der Vertreter mitzuteilen.
2. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen die DS-GVO oder andere Datenschutzbestimmungen der Europäischen Union oder des nationalen Rechts verstößt.
3. Weisungen, die die unter § 1 und § 2 dieses Vertrags getroffenen Festlegungen ändern, aufheben oder ergänzen, sind nur zulässig, wenn eine entsprechende neue schriftliche Festlegung erfolgt.
4. Der Verantwortliche ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und die vertraglichen Vereinbarungen im Rahmen des Auftragsverhältnisses im erforderlichen Umfang zu kontrollieren oder durch eine von ihm beauftragte Person kontrollieren zu lassen, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme im Rahmen von Inspektionen. Der Auftragsverarbeiter unterstützt die Kontrollen. Er verpflichtet sich, dem Verantwortlichen auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.

Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter wird dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DS-GVO niedergelegten Pflichten zur Verfügung stellen.
2. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Verantwortlichen. Dies gilt auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern der Auftragsverarbeiter nicht durch das Recht der Europäischen Union oder des nationalen Rechts, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
3. Eine Verarbeitung zu anderen Zwecken ist ausgeschlossen. Der Auftragsverarbeiter hat personenbezogene Daten zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Verantwortliche dies in der getroffenen Vereinbarung oder in einer Weisung verlangt.
4. Der Auftragsverarbeiter sichert im Rahmen des Auftragsverhältnisses die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu.
5. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erstellung und Führung des Verzeichnisses über die Verarbeitungstätigkeiten, insbesondere durch Mitteilung der erforderlichen Angaben.
6. Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DS-GVO.
7. Sofern sich Daten des Verantwortlichen auf Datenträgern des Auftragsverarbeiters befinden, wird folgendes vereinbart:
   1. Eignen sich die Datenträger zur Übergabe, übereignet der Auftragsverarbeiter dem Verantwortlichen zur Sicherung diese Datenträger. Diese Datenträger sind besonders zu kennzeichnen. Der Auftragsverarbeiter verpflichtet sich, mindestens einen Datenträger vorzuhalten, auf dem alle Daten des Verantwortlichen gespeichert werden können und der übereignet werden kann. Der Auftragsverarbeiter verwahrt den Datenträger bis zur Herausgabe an den Verantwortlichen für diesen unentgeltlich.
   2. Eignen sich die Datenträger nicht zur Übergabe, verpflichtet sich der Auftragsverarbeiter in dem Fall, in dem aufgrund von Maßnahmen Dritter (etwa bei Pfändung), bei Insolvenz- oder Vergleichsverfahren oder bei sonstigen Ereignissen die Gefahr besteht, dass diese Daten in die Hände Dritter gelangen, sie auf den Datenträger nach Absatz 7 lit. a Satz 3 zu kopieren und diese Daten auf den von der Maßnahme Dritter bzw. von den Ereignissen betroffenen Datenträgern datenschutzgerecht zu löschen.
8. Sollte das Eigentum oder die Vertraulichkeit der Daten des Verantwortlichen bei dem Auftragsverarbeiter durch Maßnahmen Dritter (etwa durch Pfändung), durch Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragsverarbeiter den Verantwortlichen unverzüglich zu informieren.
9. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich bei schwerwiegenden Störungen des Betriebsablaufs, Verdacht auf Verletzungen des Schutzes personenbezogener Daten, anderen Unregelmäßigkeiten bei der Datenverarbeitung, bei Kontrollhandlungen und Maßnahmen einer Aufsichts- oder Ermittlungsbehörde. Der Auftragsverarbeiter benachrichtigt unverzüglich den Verantwortlichen, wenn die bei ihm getroffenen Sicherheitsmaßnahmen den Anforderungen des Verantwortlichen nicht (mehr) genügen.
10. Im Falle einer Verletzung des Schutzes personenbezogener Daten ergreift der Auftragsverarbeiter im Benehmen mit dem Verantwortlichen angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für betroffene Personen. Er unterstützt den Verantwortlichen bei der Erfüllung von datenschutzrechtlichen Meldepflichten gegenüber der Aufsichtsbehörde und von Benachrichtigungspflichten gegenüber betroffenen Personen.
11. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen beim Treffen der erforderlichen technischen und organisatorischen Maßnahmen, insbesondere nach Art. 32 DS-GVO.
12. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Durchführung einer ggf. notwendigen Untersuchung der Auswirkung der Verarbeitung auf die ‚Rechte und Freiheiten natürlicher Personen, insbesondere im Falle einer gemäß Art. 35 DS-GVO erforderlichen Datenschutzfolgeabschätzung sowie bei Vorliegen der Voraussetzungen des Art. 36 Abs. 1 DS-GVO bei der vorherigen Konsultation der Aufsichtsbehörden.
13. Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung dabei nach Möglichkeit, mit geeigneten technischen und organisatorischen Maßnahmen, seiner Pflicht zur Beantwortung von Anträgen einer betroffenen Person auf Wahrnehmung ihrer in Kapitel III der DS-GVO genannten Rechte nachzukommen (wie transparente Informationen, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung).
14. Nach Abschluss der Erbringung der Verarbeitungsleistungen dürfen beim Auftragsverarbeiter keinerlei im Auftrag verarbeitete personenbezogene Daten mehr verbleiben. Der Auftragsverarbeiter hat daher sämtliche in seinen Besitz gelangten Unterlagen, die Gegenstand der Auftragsverarbeitung sind, sowie daraus resultierende Verarbeitungs- oder Nutzungsergebnisse datenschutzgerecht zu löschen oder auf Wunsch des Verantwortlichen zurückzugeben, sofern nicht nach dem Recht der Europäischen Union oder dem nationalen Recht eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Dem Verantwortlichen ist unaufgefordert eine Bestätigung (mindestens in Textform) mit der Aussage auszustellen, dass keine im Auftrag verarbeiteten personenbezogenen Daten mehr beim Auftragsverarbeiter vorhanden sind. Im Falle einer Löschung muss dabei ausdrücklich die durchgeführte Löschung aller im Auftrag verarbeiteter Daten bestätigt werden. Ein Zurückbehaltungsrecht wird hinsichtlich der verarbeiteten personenbezogenen Daten und der zugehörigen Datenträger ausgeschlossen.

[x] Der Auftragsverarbeiter verfügt über eine in Rahmen und Umfang marktübliche Haftpflichtversicherung oder eine vergleichbare Versicherung aus einem Mitgliedsstaat der EU und weist dies dem Verantwortlichen nach. Der Auftragsverarbeiter wird diesen Versicherungsschutz während der gesamten Vertragslaufzeit und bis zur Verjährung von Ansprüchen aufrechterhalten.

Unterauftragsverhältnisse

[ ] Der Auftragsverarbeiter nimmt zum Zeitpunkt des Vertragsschlusses keine Unterauftragnehmer in Anspruch.

oder

[ ] Der Verantwortliche stimmt dem Einsatz der im Anhang 1 bereits zum Zeitpunkt des Vertragsschlusses genannten Unterauftragnehmer zu.

[ ] (Variante 1) Über gegebenenfalls bei Vertragsschluss benannte Unterauftragnehmer hinaus ist der Einsatz von anderen Unterauftragnehmern durch den Auftragsverarbeiter nur mit vorheriger schriftlicher Zustimmung des Verantwortlichen im Einzelfall gestattet.

oder

[ ] (Variante 2) Über gegebenenfalls bei Vertragsschluss benannte Unterauftragnehmer hinaus wird hiermit der Einsatz von folgenden Unterauftragnehmern unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2 bis 4 DS-GVO genehmigt:

Die Unterauftragnehmer

• haben ihren Sitz mit eigener Rechtspersönlichkeit in einem Mitgliedsstaat des Europäischen Wirtschaftsraums (Mitgliedsstaaten der EU, Island, Liechtenstein, Norwegen) oder
• fallen in den Anwendungsbereich eines Angemessenheitsbeschlusses der Kommission (Art. 45 Abs. 3 DS-GVO) oder

[ ] haben Standardvertragsklauseln gemäß Modul 3 des Anhangs des Durchführungsbeschlusses (EU) 2021/914 der Kommission mit dem Auftragsverarbeiter geschlossen.[1]

Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtige Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragnehmern mindestens vier Wochen bevor die Änderung wirksam werden soll. Der Verantwortliche hat das Recht, gegen derartige Änderungen innerhalb von drei Wochen nach Zugang der Information Einspruch zu erheben. Der Einspruch steht einer Beauftragung von Unterauftragnehmern entgegen.

1. Bei der Beauftragung eines Unterauftragnehmers stellt der Auftragsverarbeiter vertraglich sicher, dass die in diesem Vertrag vereinbarten Regelungen (insbesondere die Prüf- und Kontrollrechte des Verantwortlichen) auch gegenüber dem Unterauftragnehmer gelten. Auch müssen insbesondere hinreichende Garantien dafür geboten werden, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen insbesondere der DS-GVO erfolgt. Der Auftragsverarbeiter weist dies dem Verantwortlichen nach. Der Auftragsverarbeiter hat die Einhaltungen der Regelungen durch den von ihm beauftragten Unterauftragnehmer regelmäßig zu überprüfen.
2. Kommt ein Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes Unterauftragnehmers.
3. Der Auftragsverarbeiter teilt dem Verantwortlichen die für das Verzeichnis der Verarbeitungstätigkeiten erforderlichen Informationen zur Datenverarbeitung durch den Unterauftragnehmer mit.
4. Eine weitere Auslagerung durch den Unterauftragnehmer auf weitere Unterauftragnehmer in der Leistungskette

[ ] ist nicht gestattet;

[x] bedarf der ausdrücklichen Zustimmung des Verantwortlichen und der Auferlegung sämtlicher vertraglichen Regelungen in der Vertragskette an den weiteren Unterauftragnehmer.

1. Die Weiterleitung von Daten an den Unterauftragnehmer ist erst zulässig, wenn alle Voraussetzungen für die Unterbeauftragung vorliegen.

Vertraulichkeit, Datengeheimnis, Datenschutzbeauftragte(r)

1. Jede Partei ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der anderen Vertragspartei vertraulich zu behandeln. Diese Pflicht besteht auch nach Vertragsende fort.
2. Die Pflicht zur Vertraulichkeit besteht nicht, wenn die vertrauliche Information bereits öffentlich bekannt war, als sie der jeweils anderen Vertragspartei mitgeteilt wurde, öffentlich wird, nachdem sie der jeweils anderen Vertragspartei mitgeteilt wurde und die Veröffentlichung nicht unter Verletzung vertraglicher oder gesetzlicher Bestimmungen erfolgte, die jeweils andere Vertragspartei auf die Vertraulichkeit verzichtet oder aufgrund behördlicher oder gesetzlicher Anordnung eine Mitteilung an Dritte angeordnet wird .
3. Die Vertragspartei, die sich auf eine der vorgenannten Ausnahmen beruft, trägt die Beweislast dafür, dass der Ausnahmetatbestand, auf den sie sich beruft, erfüllt ist.
4. Den zur Verarbeitung der personenbezogenen Daten befugten Personen ist es untersagt, personenbezogene Daten unbefugt zu verarbeiten (Datengeheimnis). Der Auftragsverarbeiter gewährleistet, dass sich diese Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Etwaige Verpflichtungserklärungen müssen so gefasst sein, dass sie auch nach Beendigung dieses Vertrages oder des Beschäftigungsverhältnisses zwischen dem Auftragsverarbeiter und den bei ihm beschäftigten Personen bestehen bleiben. Dem Verantwortlichen sind die Verpflichtungen auf Verlangen in geeigneter Weise nachzuweisen.
5. Der Auftragsverarbeiter bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften, insbesondere der DS-GVO, des LDSG, BDSG und des Strafgesetzbuchs, bekannt sind, und sichert zu, dass er die bei der Durchführung der Arbeiten Beschäftigten mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht. Er überwacht die Einhaltung der datenschutzrechtlichen Vorschriften.
6. Der Auftragsverarbeiter darf Auskünfte über nach diesem Vertrag im Auftrag verarbeitete personenbezogene Daten an Dritte oder betroffene Personen nur nach vorheriger schriftlicher Zustimmung durch den Verantwortlichen erteilen. Ist der Auftragsverarbeiter gerichtlich oder gesetzlich verpflichtet, Auskunft zu erteilen, so hat er den Verantwortlichen hierüber unverzüglich zu informieren. Der Auftragsverarbeiter darf Auskünfte an den Verantwortlichen nur gegenüber den autorisierten Personen (§ 3 Abs. 3 dieses Vertrags) erteilen.
7. Ist der Auftragsverarbeiter gesetzlich zur Bestellung einer oder eines Datenschutzbeauftragten verpflichtet, so ist diese Person vor Beginn der Vertragsdurchführung zu bestellen. Der Auftragsverarbeiter teilt dem Verantwortlichen deren Kontaktdaten mit. Entsprechendes gilt bei einem Wechsel in der Person der oder des Datenschutzbeauftragten.

[ ] Der Auftragsverarbeiter ist nicht in der Union niedergelassen und benennt daher gemäß Art. 27 DS-GVO folgenden Vertreter:

Name, Organisation, Telefon, E-Mail

Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter erstellt ohne Wissen des Verantwortlichen keine Kopien oder Duplikate der im Auftrag verarbeiteten Daten.
2. Der Auftragsverarbeiter verarbeitet personenbezogene Daten in seinen Geschäftsräumen oder im Wege des mobilen Arbeitens unter den Voraussetzungen des § 8.
3. Der Auftragsverarbeiter hat Test- und Ausschussmaterial in verkörperter Form unverzüglich datenschutzgerecht zu vernichten oder dem Verantwortlichen auszuhändigen. Testdaten in digitaler Form hat der Auftragsverarbeiter unverzüglich datenschutzgerecht zu vernichten. Die Löschung bzw. Vernichtung ist dem Verantwortlichen mit Datumsangabe schriftlich zu bestätigen.
4. Der Auftragsverarbeiter sichert zu, dass die verarbeiteten Daten des Verantwortlichen von sonstigen Datenbeständen getrennt werden.
5. Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DS-GVO zur Sicherheit der Verarbeitung erforderlichen Maßnahmen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen. Die Maßnahmen sind in folgendem Dokument festgelegt: Bezeichnung des Dokuments. Die in diesem Dokument festgelegten technischen und organisatorischen Maßnahmen sind Bestandteil dieser Vereinbarung.
6. Die in diesem Vertrag vereinbarten technischen und organisatorischen Maßnahmen können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden. Änderungen und Ergänzungen der vereinbarten technischen und organisatorischen Maßnahmen bedürfen einer schriftlichen Mitteilung an die weisungsberechtigte(n) Person(en) des Verantwortlichen und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Maßnahmen handelt*.* Wesentliche Änderungen der technischen und organisatorischen Maßnahmen bedürfen der Zustimmung des Verantwortlichen. Bei allen Änderungen der technischen und organisatorischen Maßnahmen durch den Auftragsverarbeiter darf das Sicherheitsniveau der vereinbarten Maßnahmen nicht unterschritten werden.

Mobile-Arbeit“- Regelung

1. Der Auftragsverarbeiter darf seinen Beschäftigten, die mit der Verarbeitung von personenbezogenen Daten für den Verantwortlichen beauftragt sind, die Verarbeitung personenbezogener Daten außerhalb der Geschäftsräume unter Einhaltung der Regelungen der nachfolgenden Absätze erlauben.
2. Der Auftragsverarbeiter hat sicherzustellen, dass die Einhaltung der vertraglich vereinbarten technischen und organisatorischen Maßnahmen auch im „Mobilen Arbeiten“ der Beschäftigten des Auftragsverarbeiters gewährleistet ist. Abweichungen von einzelnen vertraglich vereinbarten technischen und organisatorischen Maßnahmen sind vorab mit dem Verantwortlichen abzustimmen und von diesem in Textform zu genehmigen.
3. Der Auftragsverarbeiter trägt insbesondere Sorge dafür, dass bei einer Verarbeitung von personenbezogenen Daten außerhalb der Geschäftsräume die Speicherorte so konfiguriert werden, dass eine lokale Speicherung von Daten auf IT-Systemen, die im „Mobilen Arbeiten“ verwendet werden, ausgeschlossen ist. Sollte dies nicht möglich sein, hat der Auftragsverarbeiter Sorge dafür zu tragen, dass die lokale Speicherung ausschließlich verschlüsselt erfolgt und andere im Haushalt befindliche Personen keinen Zugriff auf diese Daten erhalten.
4. Der Auftragsverarbeiter ist verpflichtet, Sorge dafür zu tragen, dass eine wirksame Kontrolle der Verarbeitung personenbezogener Daten im Auftrag im „Mobilen Arbeiten“ durch den Verantwortlichen möglich ist. Dabei sind die Persönlichkeitsrechte der Beschäftigten sowie der weiteren im jeweiligen Haushalt lebenden Personen angemessen zu berücksichtigen.
5. Die Parteien sind sich darüber einig, dass die Kontrollmaßnahmen bei einer Verarbeitung von personenbezogenen Daten im „Mobilen Arbeiten“ zur Wahrung der Persönlichkeitsrechte von Beschäftigten des Auftragsverarbeiters und etwaiger weiterer Personen im jeweiligen Haushalt primär durch eine Kontrolle der Sicherstellung der von dem Auftragsverarbeiter nach den Absätzen 2 und 3 zu treffenden Maßnahmen erfolgt. Anlassbezogen hat der Auftragsverarbeiter dem Verantwortlichen auch eine Kontrolle im „Mobilen Arbeiten“ von Beschäftigten zu ermöglichen. Der Auftragsverarbeiter kann verlangen, dass die Kontrolle im "Mobilen Arbeiten" nur in seinem Beisein erfolgt.

Haftung

1. Verantwortlicher und Auftragsverarbeiter haften gegenüber betroffenen Personen entsprechend der in Art. 82 DS-GVO getroffenen Regelung. Der Auftragsverarbeiter stimmt eine etwaige Erfüllung von Haftungsansprüchen mit dem Verantwortlichen ab.
2. Der Auftragsverarbeiter stellt den Verantwortlichen auf erstes Anfordern von sämtlichen Ansprüchen frei, die betroffene Personen gegen den Verantwortlichen wegen der Verletzung einer dem Auftragsverarbeiter durch die DS-GVO auferlegten Pflicht oder der Nichtbeachtung oder Verletzung einer vom Verantwortlichen in diesem Vertrag zur Datenverarbeitung im Auftrag oder einer gesondert erteilten Anweisung geltend machen.
3. Die Parteien stellen sich jeweils von der Haftung frei, wenn / soweit eine Partei nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden bei einer betroffenen Person eingetreten ist, verantwortlich ist. Im Übrigen gilt Art. 82 Absatz 5 DS-GVO.
4. Sofern vorstehend nicht anders geregelt, entspricht die Haftung im Rahmen dieses Vertrages der des zugrundeliegenden Vertrages.

Sonstiges

1. Änderungen, Ergänzungen und Nebenabreden dieses Vertrages bedürfen der Schriftform.
2. Sollten in dieser Vereinbarung eine oder mehrere Bestimmungen unwirksam oder undurchführbar sein oder werden, so wird die Wirksamkeit der übrigen Vertragsbestimmungen hierdurch nicht berührt. Die Vertragsparteien werden die unwirksame oder undurchführbare Bestimmung durch eine Bestimmung ersetzen, die deren Sinn und Zweck am nächsten kommt. Gleiches gilt für den Fall einer ungewollten Regelungslücke.

Ort, Datum Ort, Datum

_______________________ _________________________

Unterschrift Verantwortlicher Unterschrift Auftragsverarbeiter

Anhänge

Anhang 1 (zu § 2 Abs. 4 und § 5 Abs. 1):

Übersicht über Verarbeitung in einem Drittland und/oder Unterauftragnehmer

Anhang 2 (zu § 7 Abs. 5):

Titel des TOM-Dokuments wie in § 7 Abs. 5

ggf. weitere Anhänge

1. Bitte diese Option in der Variante 2 nur auswählen, wenn der Hochschule folgendes bewusst ist: Beim Abschluss der genannten Standardvertragsklauseln (SCC) bestehen für die abschließenden Parteien (hier: Auftragsverarbeiter und weiterer Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 DS-GVO (hier bezeichnet als "Unterauftragnehmer")) umfassende Prüfpflichten im Hinblick auf die Rechtslage des Drittlands, in das Daten übermittelt werden - sogenanntes Transfer Impact Assessment (siehe ausführlich unter https://www.zendas.de/themen/drittlandstransfer/Standarddatenschutzklauseln.html). Zu dieser Prüfung sind die Parteien nach Klausel 14 der SCC verpflichtet. Je nach Rechtslage des Drittlands reicht aber ggf. der Abschluss der SCC alleine nicht aus und es muss dann weiter geprüft werden, ob weitere Maßnahmen implementiert werden können, die die „Datenschutzdefizite“ in dem Drittland ausgleichen können. Dies kann im Einzelfall eine komplexe Prüfung und Bewertung mit sich bringen. Die Hochschule muss sich bei dieser Option in der Variante 2 der allgemeinen Genehmigung dann darauf verlassen, dass die Rechtslage in dem entsprechenden Drittland vom Auftragsverarbeiter und dessen Unterauftragnehmer umfassend geprüft und „richtig“ bewertet wurde. Nur dann ist die Übermittlung der Daten in das Drittland gerechtfertigt und datenschutzkonform. Verantwortlicher im Sinne von Art. 4 Nr. 7 DS-GVO bleibt in der gesamten Vertragskette die Hochschule. Daher sollte diese Option nur im Ausnahmefall gewählt werden. ↑