1. Vertragsgegenstand
- Gegenstand dieses Auftragserarbeitungsvertrages gemäß Art. 28 DSGVO (nachstehend „AVV“ genannt) bzw. der Allgemeinen Ergänzungsbedingungen zur Auftragsverarbeitung („AErgB Auftragsverarbeitung“) ist die Verarbeitung personenbezogener Daten (nachstehend „Daten“ genannt) durch den Auftragnehmer für den Auftraggeber in dessen Auftrag und nach dessen Weisung.
- Die Beauftragung durch den Auftraggeber wird durch einen oder mehrere Hauptverträge bestimmt. Dies können z.B. Dienstleistungsverträge oder beauftragte Angebote bzw. Leistungsbeschreibungen sein (nachstehend „Hauptvertrag“ genannt).
- Art und Zweck der Datenverarbeitung, die Art der Daten sowie die Übersicht der Kategorien betroffener Personen sind der Anlage zum AVV zu entnehmen.
- Der AVV gilt auch für alle verbundenen Unternehmen des Auftraggebers, sofern zutreffend. Verbundene Unternehmen sind eine Unternehmensgruppe im Sinne des Art. 4 Nr. 19 DSGVO.
- Die Inhalte des AVV gelten entsprechend, wenn der Auftragnehmer bereits vor dem Abschluss eines Hauptvertrages mit erforderlichen Analyse- und/oder Beratungsdienstleistungen durch den Auftraggeber beauftragt wird und ein Zugriff auf Daten des Auftraggebers oder eines verbundenen Unternehmens des Auftraggebers nicht ausgeschlossen werden kann.
2. Verantwortlichkeit
- Der Auftraggeber ist im Rahmen dieses AVV für die Einhaltung der gesetzlichen Bestimmungen als Verantwortlicher der Verarbeitung im Sinne des Art. 4 Nr. 7 DSGVO allein verantwortlich. Dieses gilt insbesondere für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte betroffener Personen nach den Artt. 12 bis 22 DSGVO.
- Der Auftraggeber informiert den Auftragnehmer unverzüglich und vollständig, wenn er im Rahmen der Auftragsverarbeitung Abweichungen zu datenschutzrechtlichen Bestimmungen feststellen sollte.
- Der Auftragnehmer ist für die Einhaltung der jeweils für ihn als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO einschlägigen Datenschutzvorschriften, insbesondere des Art. 28 DSGVO, verantwortlich.
3. Weisungsbefugnis des Auftraggebers
- Die Weisungen werden anfänglich durch den Hauptvertrag festgelegt und können vom Auftraggeber danach in schriftlicher Form oder in Textform durch einzelne Weisungen geändert, ergänzt oder ersetzt werden.
- Im Rahmen der täglichen bzw. regulären Zusammenarbeit können Weisungen auch mündlich erteilt werden. Solche Weisungen bestätigt der Auftraggeber im Nachgang unverzüglich (z.B. in Textform per E-Mail oder Ticket-System).
- Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung, solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
4. Pflichten des Auftragnehmers
- Vertraulichkeit
Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der Daten befugten Beschäftigten des Auftragnehmers zur Vertraulichkeit verpflichtet haben. Diese und weitere ggf. einschlägige Vertraulichkeitspflichten bestehen auch nach Beendigung des Hauptvertrages sowie des Beschäftigungsverhältnisses beim Auftragnehmer fort. - Sicherheitsmaßnahmen
Der Auftragnehmer hat die Umsetzung der erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung zu dokumentieren und dem Auftraggeber zur Verfügung zu stellen. Die dokumentierten Maßnahmen sind Grundlage des Auftrags und der Anlage zum AVV zu entnehmen. - Unterstützung
Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artt. 32 bis 36 der DSGVO genannten Pflichten zur Sicherheit der Datenverarbeitung, Meldepflichten bei Datenpannen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der zuständigen Aufsichtsbehörde. - Betroffenenrechte
Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Auftraggeber dazu ermächtigt. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragnehmer den Auftraggeber bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. - Löschung
Nach Abschluss der vertraglichen Arbeiten – oder früher nach Aufforderung durch den Auftraggeber – hat der Auftragnehmer- sämtliche im Rahmen des Auftrags in seinen Besitz gelangte Unterlagen oder Datenträger,
- erstellte Verarbeitungsergebnisse,
- Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen
dem Auftraggeber auszuhändigen oder auf Anweisung des Auftraggebers datenschutzkonform zu löschen bzw. zu vernichten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Gleiches gilt für alle Daten, die Betriebs- oder Geschäftsgeheimnisse des Auftraggebers beinhalten. Die Einrede des Zurückbehaltungsrechts, gleich aus welchem Rechtsgrund, an den vertragsgegenständlichen Daten sowie an evtl. vorhandenen Datenträgern wird ausgeschlossen.
- Datenschutzbeauftragter
Der Auftragnehmer hat einen Datenschutzbeauftragten bestellt. Die Kontaktdaten des Datenschutzbeauftragten sind stets auf der Webseite des Auftragnehmers abrufbar.
5. Unterauftragsverhältnisse (weitere Auftragsverarbeiter)
- Der Auftraggeber ist mit der Unterbeauftragung der in der Anlage zum AVV genannten Unterauftragsverarbeiter einverstanden.
- Der Auftragnehmer versichert, dass er die Unterauftragsverarbeiter sorgfältig und gewissenhaft ausgewählt hat und zukünftige Unterauftragsverarbeiter entsprechend auswählen wird, sodass deren Einsatz die ordnungsgemäße Vertragsdurchführung im Verhältnis zum Auftraggeber nicht beeinträchtigt. Insbesondere stellt er durch geeignete vertragliche Regelungen sicher, dass der Unterauftragsverarbeiter die erforderlichen technischen und organisatorischen Maßnahmen zum Schutz der Datenverarbeitung getroffen hat.
- Erfolgt die Unterauftragsverarbeitung außerhalb des Europäischen Wirtschaftsraumes (EU-Staaten zzgl. Island, Liechtenstein, Norwegen), stellt der Auftragnehmer sicher, dass die einschlägigen Anforderungen der Artt. 44 bis 50 DSGVO eingehalten werden.
- Die Auswahl zusätzlicher Unterauftragsverarbeiter ist zulässig, sofern der Auftragnehmer den Auftraggeber vorab informiert und der Auftraggeber nicht innerhalb von vier Wochen gegenüber dem Auftragnehmer Einspruch gegen die geplante Unterauftragsverarbeitung erhebt.
6. Kontrollrechte des Auftraggebers
- Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer, Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieses AVV durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen.
- Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DSGVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.
- Als Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann der Auftragnehmer auch Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutz-/Qualitätsauditoren) oder eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit vorlegen.
- Soweit dem Auftragnehmer für die Ermöglichung von Kontrollen durch den Auftraggeber Aufwände entstehen, die über einen Tag im Kalenderjahr hinausgehen, kann er hierfür eine angemessene Vergütung verlangen.
7. Haftung
- Die Haftung im Zusammenhang mit dem AVV richtet sich nach Art 82 DSGVO. Etwaige Haftungsregelungen des Hauptvertrages bleiben hiervon unberührt.
- Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes Unterauftragsverarbeiters.
8. Schlussbestimmungen
- Sollte das Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird die Gläubiger über die Tatsache, dass es sich um Daten handelt, die im Auftrag verarbeitet werden, unverzüglich informieren.
- Sollten einzelne Teile dieses AVV unwirksam sein, so berührt dies die Wirksamkeit der übrigen Regelungen des AVV nicht.
- Im Übrigen gelten die Schlussbestimmungen des Hauptvertrages.