Auftragsverarbeitungsvertrag

(1) Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1 sowie aus dem zugrunde liegenden Hauptvertrag.

(2) Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Eine Verarbeitung in einem Drittland findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages, sofern sich aus den Bestimmungen dieses AVV nicht darüber hinausgehende Pflichten ergeben.

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist zur Verarbeitung gesetzlich verpflichtet.

(2) Weisungen erfolgen grundsätzlich in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(1) Der Auftragsverarbeiter verarbeitet die Daten nur zu den vertraglich vereinbarten Zwecken und gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).

(2) Der Auftragsverarbeiter trifft die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 2) und hält diese während der Vertragslaufzeit auf einem angemessenen Stand.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

(4) Der Auftragsverarbeiter benennt auf Anfrage einen Ansprechpartner für Datenschutzfragen. Ein gesetzlich vorgeschriebener Datenschutzbeauftragter wird auf Anfrage mitgeteilt.

(5) Der Auftragsverarbeiter führt ein Verzeichnis zu allen Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(1) Der Auftragsverarbeiter setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen um und weist deren Einhaltung auf Verlangen nach.

(2) Die Maßnahmen können im Laufe des Vertragsverhältnisses weiterentwickelt und angepasst werden, dürfen jedoch das vereinbarte Schutzniveau nicht unterschreiten.

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragnehmer) einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragnehmer sind in Anlage 3 aufgeführt und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter. Der Verantwortliche kann einer Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragnehmer auf ein Datenschutzniveau, das den Anforderungen dieses AVV entspricht (Art. 28 Abs. 4 DSGVO).

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs- und Übertragungsansprüchen betroffener Personen.

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 48 Stunden.

(2) Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit dem Auftragsverarbeiter verfügbar. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

(1) Der Verantwortliche hat das Recht, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu kontrollieren.

(2) Der Auftragsverarbeiter weist die Einhaltung vorrangig durch geeignete Nachweise (z. B. aktuelle Testate, Zertifizierungen, Dokumentation der Maßnahmen) nach. Vor-Ort-Kontrollen erfolgen mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebsablaufs.

(1) Nach Abschluss der Verarbeitungstätigkeiten löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht.

(2) Die Löschung wird auf Verlangen in Textform bestätigt. Datensicherungen werden im Rahmen der üblichen Löschzyklen entfernt.

(1) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrages.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

(3) Änderungen und Ergänzungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland.

Gegenstand der Verarbeitung

Erbringung der im Hauptvertrag vereinbarten Software-, Automatisierungs- und Betriebsleistungen.

Art der Verarbeitung

Erheben, Erfassen, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln, Löschen im Rahmen des Betriebs der bereitgestellten Lösungen.

Zweck der Verarbeitung

Bereitstellung, Betrieb, Wartung und Support der vereinbarten Anwendungen und Automatisierungen für den Verantwortlichen.

Art der personenbezogenen Daten

Stammdaten, Kontaktdaten, Vertrags- und Kommunikationsdaten, Nutzungs- und Protokolldaten; besondere Kategorien (Art. 9 DSGVO) nur, sofern im Einzelfall ausdrücklich vereinbart.

Kategorien betroffener Personen

Kunden, Interessenten, Beschäftigte und Ansprechpartner des Verantwortlichen sowie Nutzer der bereitgestellten Systeme.

Dauer der Verarbeitung

Für die Laufzeit des Hauptvertrages zzgl. gesetzlicher Aufbewahrungsfristen.

Zum Zeitpunkt des Vertragsschlusses sind folgende Unterauftragnehmer eingesetzt und genehmigt:

Weitere, projektspezifische Unterauftragnehmer werden — soweit eingesetzt — dem Verantwortlichen mitgeteilt und in die jeweilige Auftragsdokumentation aufgenommen.