AVV_Muster_2026.pdf

[Seite 1]

Auftragsverarbeitungsvertrag

gemäß Art. 28 Abs. 3 DSGVO

Zweites Deutsches Fernsehen, Rundfunkanstalt, ZDF-Straße 1 55127 Mainz, nachfolgend: „Verantwortlicher“

ggf. als Vertreter der folgenden Rundfunkanstalten/Gemeinschaftseinrichtungen

und

[Name/Firma], [Anschrift], nachfolgend: „Auftragsverarbeiter“

schließen folgenden Auftragsverarbeitungsvertrag (nachfolgend: AVV):

Die vertraglichen Regelungen dieser Vereinbarung zur Auftragsverarbeitung gelten ausschließlich; entgegenstehende oder abweichende Bedingungen des Auftragsverarbeiters werden nicht anerkannt, es sei denn, der Auftraggeber hat ihrer Geltung ausdrücklich schriftlich oder per Textform zugestimmt. Die vertraglichen Regelungen dieser Vereinbarung zur Auftragsverarbeitung gelten auch dann, wenn der Auftraggeber in Kenntnis entgegenstehender oder von dieser Vereinbarung abweichender Bedingungen des Auftragsverarbeiters die Lieferung und Leistung vorbehaltlos annimmt. Mit der Durchführung der Lieferung, Leistung bzw. Datenverarbeitung erkennt der Auftragsverarbeiter diese vertraglichen Bedingungen an.

§ 1 Gegenstand, Zweck, Art und Dauer des Auftrags

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Bereich [Bezeichnung des Verarbeitungsbereichs] gemäß Verfahren ZDF-121-VV-26-015 (nachfolgend: Hauptvertrag). Teil der Durchführung des Hauptvertrages ist die Verarbeitung von personenbezogenen Daten im Sinne der Datenschutzgrundverordnung ("DSGVO"). Die vom Auftragsverarbeiter zu erbringenden Leistungen sowie Art und Zweck der Datenverarbeitung, ergeben sich aus dem Hauptvertrag.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.

(3) Der Verantwortliche kann den AVV jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters gegen die DSGVO oder weitere anwendbare datenschutzrechtliche Bestimmungen oder gegen Pflichten aus diesem AVV vorliegt, der Auftragsverarbeiter eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftragsverarbeiter den Zutritt des Verantwortlichen oder der zuständigen Aufsichts-behörde vertragswidrig verweigert.

§ 2 Konkretisierung des Auftragsinhalts

(1) Art der personenbezogenen Daten: Seite 1 von 8

[Seite 2]

 Personenstammdaten (z.B. Name, Anschrift, Staatsangehörigkeit, Personalnummer, Steuernummer, Daten zur Krankenversicherung, Sozialversicherungsnummer, Tätigkeit im Unternehmen, Bankverbindung)  Kommunikationsdaten (z. B. Telefon, E-Mail, Client IP)  Vertragsstammdaten(z.B. Name, Tätigkeit im Unternehmen, Kontaktdaten)  Logdaten (z.B. Client-IP, Datum, Uhrzeit, Ziel-Adresse, Logon/Logoff Zeit, Account)  Zahlungs- und Finanzdaten (z.B. Bankverbindung, Empfängername, Betrag)  Planungs- und Steuerungsdaten (z.B. Name, Projektname, Gegenstand der Planung)  Besondere Kategorien personenbezogener Daten gem. Art. 9 DSGVO(z. B. Gesundheitsdaten, Religion, Gewerkschaftszugehörigkeit)  Sonstige:

(2) Betroffene Personen:

§ 3 Unterauftragsverarbeiter

(1) Der Auftragsverarbeiter darf Unterauftragsverarbeiter nur nach der vorherigen Zustimmung des Verantwortlichen beauftragen. Voraussetzung für die Unterbeauftragung ist der Abschluss einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2 bis 4 DSGVO, die auch die zwischen Verantwortlichen und Auftragsverarbeiter getroffenen Regelungen hinreichend berücksichtigt. Insbesondere darf das vereinbarte Schutzniveau im Hinblick auf die vereinbarten technischen und organisatorischen Maßnahmen nicht unterschritten werden.

(2) Sofern die Unterbeauftragung durch den Auftragsverarbeiter nach Abs. 1 zulässig ist, wird die Zustimmung bezüglich folgender Unterauftragsverarbeiter mit Abschluss dieser AVV erteilt:

(3) Vor einer möglichen Hinzuziehung weiterer oder Ersetzung der in Abs. 2 aufgeführten Unterauftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen eine angemessene Zeit vorab in Textform (z.B. E-Mail) unter Angabe der erforderlichen Daten gem. der Tabelle in Abs. 2. Hat der Verantwortliche gegen die Änderung innerhalb von 14 Tagen ab Information durch den Auftragsverarbeiter, in Textform keinen Einspruch erhoben, so gilt der Einsatz des Unteraufragnehmers als genehmigt. Erst nach Ablauf der 14 tägigen Informationsfrist oder nach ausdrücklicher Zustimmung des Verantwortlichen dürfen weitere hinzugezogene Unterauftragsverarbeiter mit der Leistungserbringung beginnen.

(4) Der Auftragsverarbeiter wird auf Verlangen dem Verantwortlichen Kopien der Unterauftragsverträge zur Verfügung stellen.

Seite 2 von 8

[Seite 3]

§ 4 Ort der Datenverarbeitung

§ 5 Weisungsbindung

(1) Der Auftragsverarbeiter darf die vertragsgegenständlichen personenbezogenen Daten ausschließlich im Rahmen dieses AVV oder unter Einhaltung der ggf. vom Verantwortlichen erteilten ergänzenden Weisungen verarbeiten, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedsstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Eine Verarbeitung für andere Zwecke ist nicht zulässig.

(3) Kopien der Daten werden nur mit Zustimmung des Verantwortlichen erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung notwendig, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

(4) Der Verantwortliche hat das Recht, jederzeit ergänzende Weisungen über Art, Umfang und Verfahren der Datenverarbeitung gegenüber dem Auftragsverarbeiter zu erteilen. Sie sind in Textform zu erteilen. Mündlich erteilte Weisungen sind durch den Verantwortlichen unverzüglich in Textform zu dokumentieren.

Weisungsberechtigte Personen des Verantwortlichen sind

[Name, Organisationseinheit, E-Mail, Telefon]

Seite 3 von 8

[Seite 4]

[Name, Organisationseinheit, E-Mail, Telefon]

Der Verantwortliche kann weitere weisungsberechtigte Personen in Textform gegenüber dem Auftragsverarbeiter festlegen.

(5) Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich, spätestens aber nach drei Tagen, zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen gesetzliche Regelungen.

§ 6 Technisch-organisatorische Maßnahmen

(1) Der Auftragsverarbeiter hat die Datensicherheit gem. Art. 25, 32 DSGVO, insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO, herzustellen. Hierzu setzt der Auftragsverarbeiter die in Anlage 1 („ZDF-Checkliste EXTERN Sicherheitsanforderungen“) beschriebenen technischen und organisatorischen Maßnahmen um und legt das Konzept zur Umsetzung vor. Die zu treffenden Maßnahmen dienen der Datensicherheit und der Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen.

(2) Zur Definition eines dem Risiko angemessenen Schutzniveaus hat der Verantwortliche den Schutzbedarf festgelegt, der durch den Auftragsverarbeiter bei der Umsetzung der technisch- organisatorischen Maßnahmen sichergestellt werden muss:

Vertraulichkeit Integrität Verfügbarkeit

☐ Normal ☐ Normal ☐ Normal ☐ Hoch ☐ Hoch ☐ Hoch ☐ Sehr Hoch ☐ Sehr Hoch ☐ Sehr Hoch

(3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit wird der Auftragsverarbeiter die von ihm getroffenen technischen und organisatorischen Maßnahmen regelmäßig sowie anlassbezogen auf ihre Wirksamkeit kontrollieren. Dem Auftragsverarbeiter ist es gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen gemäß Anlage 1 nicht unterschritten werden. Wesentliche Änderungen sind mit dem Verantwortlichen vor Durchführung der Änderungen abzustimmen und zu dokumentieren.

Seite 4 von 8

[Seite 5]

§ 7 Anfragen betroffener Personen

Wendet sich eine betroffene Person zur Geltendmachung eines datenschutzrechtlichen Anspruchs (z.B. Auskunft, Löschung oder Berichtigung) an den Auftragsverarbeiter, wird dieser die betroffene Person an den Verantwortlichen verweisen. Der Auftragsverarbeiter leitet den Antrag der betroffenen Person zudem unverzüglich, spätestens aber nach drei Tagen, an den Verantwortlichen weiter. Der Auftragsverarbeiter unterstützt den Verantwortlichen, auch bereits im Vorfeld, mit geeigneten technischen und organisatorischen Maßnahmen dabei, der Pflicht des Verantwortlichen zur Beantwortung von Betroffenenanfragen nachzukommen.

§ 8 Vertraulichkeit

(1) Der Auftragsverarbeiter verpflichtet sich, die ihm vom Verantwortlichen zur Verfügung gestellten Unterlagen und Daten sowie die Arbeitsergebnisse vertraulich zu behandeln, insbesondere Unbefugten nicht zugänglich zu machen.

(2) Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und weist dies dem Verantwortlichen auf Wunsch nach. Dies umfasst auch die Belehrung über die in diesem Auftragsverarbeitungsverhältnis bestehende Weisungs- und Zweckbindung.

(3) Diese Verpflichtungen bestehen auch nach Beendigung des Vertrages fort.

§ 9 Unterstützungs- und Meldepflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Führung seines Verarbeitungsverzeichnisses nach Art. 30 Abs. 1 DSGVO, insbesondere bezüglich der Dokumentation der technischen und organisatorischen Maßnahmen.

(2) Soweit der Verantwortliche einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragsverarbeiter ausgesetzt ist, hat ihn der Auftragsverarbeiter zu unterstützen.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Falle einer Verletzung des Schutzes personenbezogener Daten, die im Zusammenhang mit der Auftragsverarbeitung steht, bei der Erfüllung seiner diesbezüglichen Pflichten gegenüber der Aufsichtsbehörde sowie der Pflicht zur Dokumentation.

(4) Bei schwerwiegenden Störungen des Betriebsablaufs, bei Verdacht einer Datenschutzverletzung oder bei wesentlichen Unregelmäßigkeiten bei der Datenverarbeitung, die den Verantwortlichen betreffen könnten, informiert der Auftragsverarbeiter unverzüglich, spätestens aber nach 12 Stunden, den Verantwortlichen. Dasselbe gilt, wenn sich eine Aufsichtsbehörde oder Strafverfolgungsorgane bei dem Auftragsverarbeiter melden.

(5) Sollen die Daten des Verantwortlichen beim Auftragsverarbeiter durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden oder droht eine wesentliche Änderung der Eigentumsverhältnisse beim Auftragsverarbeiter, so hat der Auftragsverarbeiter den Verantwortlichen unverzüglich darüber zu informieren. Der Auftragsverarbeiter wird alle in

Seite 5 von 8

[Seite 6]

diesem Zusammenhang involvierten Personen unverzüglich darüber informieren, dass die Hoheit der Daten beim Verantwortlichen liegt.

§ 10 Datenschutzbeauftragte*r/Ansprechperson des Auftragsverarbeiters

 Der Auftragsverarbeiter hat einen Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt, bestellt.

Als Datenschutzbeauftragte*r beim Auftragsverarbeiter ist

[Name] [Organisationseinheit] Telefon: [Nummer] E-Mail: [E-Mail]

bestellt. Ein Wechsel des*der Datenschutzbeauftragten ist dem Verantwortlichen unverzüglich mitzuteilen.

 Der Auftragsverarbeiter ist nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Als Ansprechperson für Fragen zum Datenschutz und zur Informationssicherheit im Zusammenhang mit diesem Vertrag wird beim Auftragsverarbeiter

[Name] [Organisationseinheit] Telefon: [Nummer] E-Mail: [E-Mail]

benannt. Ein Wechsel der Ansprechperson ist dem Verantwortlichen unverzüglich mitzuteilen.

 Sofern der Auftragsverarbeiter seinen Sitz außerhalb der Union hat, benennt er gem. Art. 27 Abs. 1 DSGVO folgenden Vertreter in der Union:

[Name] Telefon: [Nummer] E-Mail: [E-Mail]

§ 11 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, Überprüfungen durchzuführen oder durch beauftragte Dritte durchführen zu lassen, um sich von der Umsetzung und Einhaltung dieser AVV, insbesondere bezüglich der technischen und organisatorischen Maßnahmen, durch den Auftragsverarbeiter in dessen Geschäftsbetrieb zu überzeugen. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen, insbesondere zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten, zur Verfügung. Die Überprüfung kann in begründeten Fällen auch durch eine Vor-Ort-Inspektion stattfinden, z.B. im Zusammenhang mit möglichen Datenschutzvorfällen. Der Verantwortliche teilt dem Auftragsverarbeiter in diesen Fällen rechtzeitig (in der Regel vier Wochen vorher) den Termin der Überprüfung mit. Außerordentliche oder behördlich verfügte Überprüfungen sind hiervon ausgenommen.

Seite 6 von 8

[Seite 7]

(2) Der Nachweis von Maßnahmen gemäß Absatz 1, kann in der Regel erfolgen durch:

• Die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO;
• die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO;
• aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheits-abteilung, Datenschutzauditoren, Qualitätsauditoren);
• eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz).

(3) Eine gesonderte Vergütung des Auftragsverarbeiters für die Ermöglichung der Kontrollen gem. Abs. 1 fällt nicht an.

§ 12 Haftung

(1) Der Auftragsverarbeiter haftet für die ordnungsgemäße Ausführung des Auftrags nach den gesetzlichen Bestimmungen. Machen betroffene Personen Ansprüche gegenüber dem Verantwortlichen wegen unzulässiger oder unrichtiger Datenverarbeitung geltend, so hat der Auftragsverarbeiter den Verantwortlichen zu unterstützen und im Innenverhältnis zu beweisen, dass die fehlerhafte Datenverarbeitung nicht in seinem eigenen Verantwortungsbereich liegt.

(2) Weitergehende Haftungsansprüche nach den allgemeinen Gesetzen bleiben unberührt.

(3) Der Auftragsverarbeiter haftet für Verschulden eines weiteren Auftragsverarbeiters bzw. Subunternehmers wie für eigenes Verschulden.

§ 13 Zurückbehaltungsrecht

Die Einrede des Zurückbehaltungsrechts an Daten und Unterlagen des Verantwortlichen ist ausgeschlossen.

§ 14 Rückgabe und Löschung

(1) Nach Abschluss der vertraglich vereinbarten Datenverarbeitung oder jederzeit nach Aufforderung durch den Verantwortlichen, spätestens aber mit Beendigung des Hauptvertrages, hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verantwortlichen auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedsstaaten eine

Seite 7 von 8

[Seite 8]

Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen.

(2) Im Falle einer Löschung durch physische Vernichtung muss diese regelkonform und dem Stand der Technik entsprechend gewährleistet sein, ein Transport in verschlossenen Behältern vorgenommen werden und die erfolgreiche Vernichtung unter Angabe der Schutzklasse und Sicherheitsstufe protokolliert und dokumentiert sein.

(3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragsverarbeiter entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Verantwortlichen übergeben.

§ 15 Schlussbestimmungen

(1) Der ausschließliche Gerichtsstand ist Mainz, Deutschland. (2) Vertragsänderungen bedürfen der Textform. Bei Änderungsverlangen ist jeweils der der konkrete Verweis aufzunehmen, welcher Vertragsteil geändert werden soll. Mündliche Vereinbarungen über die Aufhebung der Textform sind nichtig. (3) Die in diesem Vertrag in Bezug genommenen Anlagen sind Bestandteil des AVV. Sollte eine der Bestimmungen dieses AVV unwirksam sein oder werden, so wird die Gültigkeit der übrigen Bestimmungen hierdurch nicht berührt. Im Falle eines Widerspruchs zwischen dem Vertragstext und dem Inhalt der Anlagen ist der Vertragstext maßgebend.

Mainz, den [Datum] [Ort], den [Datum]

Zweites Deutsches Fernsehen (Auftragsverarbeiter)

Seite 8 von 8