Vertrag zur Auftragsverarbeitung

Auftragsverarbeiter

Verantwortlicher
Das im jeweiligen Hauptvertrag bezeichnete Unternehmen des Kunden mit den dort genannten Kontaktdaten.

Dieser Vertrag ergänzt den Hauptvertrag zwischen den Parteien. Bei Widersprüchen zu datenschutzrechtlichen Fragen geht dieser Vertrag dem Hauptvertrag und den Allgemeinen Geschäftsbedingungen vor.

(1) Gegenstand der Verarbeitung ist die Erbringung der im Hauptvertrag vereinbarten Leistungen: Analyse betrieblicher Abläufe, Konzeption, Einrichtung, Steuerung und Begleitung digitaler Lösungen sowie deren Unterstützung im laufenden Betrieb.

(2) Art der Verarbeitung sind insbesondere das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln innerhalb der vereinbarten Systeme, Einschränken und Löschen personenbezogener Daten.

(3) Zweck der Verarbeitung ist ausschließlich die Erfüllung des Hauptvertrags. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

(4) Die Verarbeitung findet in der Regel ortsunabhängig und aus der Ferne statt. Verarbeitungen außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgen nur unter den Voraussetzungen des § 10.

(5) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags.

(1) Verarbeitet werden – abhängig vom jeweiligen Projekt – insbesondere folgende Datenarten:

• Stammdaten (Name, Anschrift, Kundennummer)
• Kontaktdaten (Telefonnummer, E-Mail-Adresse)
• Kommunikationsdaten (Inhalte von Anfragen, Anrufnotizen, Nachrichten, Gesprächsprotokolle)
• Vertrags- und Auftragsdaten (Angebote, Aufträge, Termine, Leistungen)
• Abrechnungs- und Zahlungsdaten, soweit für die Leistung erforderlich
• Nutzungs- und Protokolldaten der eingesetzten Systeme
• Mitarbeiterdaten des Verantwortlichen, soweit für Zugänge, Rollen und Abläufe erforderlich

(2) Kreis der betroffenen Personen:

• Kunden und Interessenten des Verantwortlichen
• Beschäftigte des Verantwortlichen
• Lieferanten, Dienstleister und deren Ansprechpartner
• Bewerber, soweit der Verantwortliche entsprechende Abläufe einbezieht

(3) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nur verarbeitet, wenn dies ausdrücklich in Textform vereinbart und dokumentiert wurde.

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag und der Hauptvertrag sind die Erstweisung.

(2) Weisungen erteilt der Verantwortliche in Textform. Mündliche Weisungen bestätigt er unverzüglich in Textform. Weisungsberechtigt sind die im Hauptvertrag benannten Ansprechpersonen.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

(4) Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Auftragsverarbeiter verpflichtet sich:

• personenbezogene Daten ausschließlich im Rahmen dieses Vertrags und der Weisungen zu verarbeiten,
• alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit zu verpflichten oder deren gesetzliche Verschwiegenheitspflicht sicherzustellen (Art. 28 Abs. 3 lit. b DSGVO),
• die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO umzusetzen und einzuhalten (Anlage 1),
• den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen zu unterstützen (§ 7),
• den Verantwortlichen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde zu unterstützen (Art. 35, 36 DSGVO),
• Verletzungen des Schutzes personenbezogener Daten unverzüglich zu melden (§ 8),
• ein Verzeichnis aller Verarbeitungstätigkeiten im Auftrag zu führen (Art. 30 Abs. 2 DSGVO),
• dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung zu stellen und Überprüfungen zu ermöglichen (§ 9),
• die Daten nach Beendigung des Auftrags zu löschen oder zurückzugeben (§ 11).

Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten zu benennen (Art. 37 DSGVO, § 38 BDSG). Ansprechpartner für den Datenschutz ist Fabian Klees, hallo@standardwerk.com.

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich (Art. 24 DSGVO).

(2) Er informiert den Auftragsverarbeiter unverzüglich, wenn er bei der Prüfung der Ergebnisse Fehler oder Unregelmäßigkeiten feststellt.

(3) Er benennt eine Ansprechperson für Datenschutzfragen und teilt Änderungen mit.

(4) Er stellt sicher, dass die für die Verarbeitung erforderlichen Rechtsgrundlagen, Informationspflichten und – soweit erforderlich – Einwilligungen und mitbestimmungsrechtlichen Beteiligungen vorliegen. Das gilt insbesondere für die Aufzeichnung, Transkription oder automatisierte Bearbeitung von Telefonaten und Nachrichten.

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO). Beim Abschluss dieses Vertrags sind die in Anlage 2 genannten Unterauftragsverarbeiter eingesetzt.

(2) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter einzusetzen oder zu ersetzen, teilt er dies dem Verantwortlichen mindestens 14 Tage vorher in Textform mit. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem, datenschutzrechtlichem Grund widersprechen. Widerspricht er, können beide Seiten den betroffenen Leistungsteil mit einer Frist von einem Monat kündigen, wenn keine einvernehmliche Lösung gefunden wird.

(3) Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus, prüft deren technische und organisatorische Maßnahmen und verpflichtet sie vertraglich auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag entsprechen. Er haftet für deren Verhalten wie für eigenes Verhalten.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Postdienste, Transport, Wartung oder Reinigung sowie die Beauftragung von Beratern. Der Auftragsverarbeiter stellt auch hier den Schutz der Daten sicher.

(5) Anbieter, mit denen der Verantwortliche selbst einen Vertrag schließt – etwa Software-, Telefonie- oder KI-Anbieter, die auf seinen Namen laufen – sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Der Verantwortliche schließt mit diesen Anbietern die erforderlichen Verträge über Auftragsverarbeitung selbst. Der Auftragsverarbeiter unterstützt ihn dabei.

(1) Wendet sich eine betroffene Person mit einem Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung solcher Anträge nachzukommen, und berichtigt, löscht oder sperrt Daten auf dessen Weisung.

(3) Aufwand, der über die übliche Unterstützung hinausgeht und nicht auf einem Verschulden des Auftragsverarbeiters beruht, wird nach den im Hauptvertrag vereinbarten Sätzen vergütet.

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

(3) Der Auftragsverarbeiter ergreift unverzüglich angemessene Maßnahmen zur Sicherung der Daten und zur Begrenzung nachteiliger Folgen und unterstützt den Verantwortlichen bei Meldungen nach Art. 33 und 34 DSGVO. Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt der Verantwortliche vor.

(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, insbesondere durch aktuelle Dokumentation der technischen und organisatorischen Maßnahmen, durch Selbstauskunft oder durch Zertifikate und Testate von Prüfstellen.

(2) Reicht das nicht aus, ermöglicht der Auftragsverarbeiter dem Verantwortlichen oder einem von diesem beauftragten, zur Verschwiegenheit verpflichteten und nicht im Wettbewerb stehenden Prüfer eine Überprüfung. Sie erfolgt nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und in der Regel höchstens einmal jährlich; bei konkretem Anlass auch darüber hinaus.

(3) Für den Aufwand einer Überprüfung, die über Absatz 1 hinausgeht und nicht durch ein Verschulden des Auftragsverarbeiters veranlasst ist, kann dieser eine angemessene Vergütung verlangen.

(1) Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss der Europäischen Kommission oder durch Standardvertragsklauseln nebst erforderlicher zusätzlicher Maßnahmen.

(2) Der Auftragsverarbeiter dokumentiert die Grundlage einer solchen Übermittlung und teilt sie dem Verantwortlichen auf Anfrage mit.

(1) Nach Abschluss der Leistung löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, einschließlich vorhandener Kopien.

(2) Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Beendigung mit. Ohne Mitteilung werden die Daten nach Ablauf dieser Frist gelöscht.

(3) Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, sowie Daten, die gesetzlichen Aufbewahrungspflichten unterliegen, darf der Auftragsverarbeiter über das Vertragsende hinaus aufbewahren. Er schränkt ihre Verarbeitung entsprechend ein.

(4) Die Löschung wird auf Anfrage in Textform bestätigt.

(1) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO dem nicht entgegensteht.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieses Textformerfordernisses.

(3) Ist eine Bestimmung dieses Vertrags unwirksam, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(4) Es gilt deutsches Recht. Gerichtsstand ist – soweit zulässig – Frankfurt am Main.

Vertraulichkeit. Zugang zu Arbeitsgeräten nur mit Festplattenverschlüsselung und Bildschirmsperre. Zugriff auf Systeme ausschließlich über persönliche Konten mit starken, in einem Passwortmanager verwalteten Zugangsdaten und – wo verfügbar – Zwei-Faktor-Authentifizierung. Zugriffsrechte werden nach dem Grundsatz der Erforderlichkeit vergeben und bei Wegfall des Zwecks entzogen. Daten verschiedener Kunden werden logisch getrennt abgelegt.

Integrität. Übertragung personenbezogener Daten ausschließlich verschlüsselt (TLS). Kein Versand personenbezogener Daten über unverschlüsselte Kanäle. Änderungen an Systemen des Verantwortlichen erfolgen nachvollziehbar und werden dokumentiert. Protokollierung sicherheitsrelevanter Zugriffe, soweit die eingesetzten Systeme dies vorsehen.

Verfügbarkeit und Belastbarkeit. Regelmäßige Sicherung der Arbeitsergebnisse, Schutz der Geräte durch aktuelle Betriebssysteme und Sicherheitsupdates, Virenschutz und Firewall. Für Systeme des Verantwortlichen gelten dessen Sicherungskonzepte; der Auftragsverarbeiter weist auf erkennbare Lücken hin.

Verfahren zur Überprüfung und Bewertung. Überprüfung der Maßnahmen mindestens jährlich und anlassbezogen. Führung eines Verzeichnisses der Verarbeitungstätigkeiten im Auftrag. Verpflichtung aller eingesetzten Personen auf Vertraulichkeit vor Aufnahme der Tätigkeit. Auswahl von Dienstleistern nach Datenschutzkriterien.

Auftragskontrolle. Verarbeitung ausschließlich nach dokumentierter Weisung, schriftliche Fixierung der Weisungsbefugten, Kontrolle der Unterauftragsverarbeiter, geregeltes Verfahren für Löschung und Rückgabe.

Der Stand der Maßnahmen wird fortgeschrieben. Maßgeblich ist die jeweils aktuelle Fassung, die auf Anfrage in Textform zur Verfügung gestellt wird. Änderungen dürfen das Schutzniveau nicht unterschreiten.

Zum Stand dieses Vertrags sind folgende Unterauftragsverarbeiter eingesetzt:

• ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland: Hosting der Website und Betrieb der E-Mail-Postfächer. Verarbeitungsort Deutschland.

Weitere Unterauftragsverarbeiter, die im Rahmen eines konkreten Projekts erforderlich werden, teilt der Auftragsverarbeiter nach § 6 Abs. 2 vor ihrem Einsatz mit. Eine jederzeit aktuelle Liste stellt er auf Anfrage zur Verfügung.

Dieser Vertrag wird wirksam mit beiderseitiger Unterzeichnung in Textform oder mit der ausdrücklichen Bestätigung im Hauptvertrag. Die unterschriftsreife Fassung – mit den Angaben Ihres Unternehmens, Ihrer Ansprechperson und dem Datum – erhalten Sie unter hallo@standardwerk.com.