Vertrag zur Auftragsverarbeitung

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

Präambel

Der Auftragnehmer erbringt für den Auftraggeber IT-Dienstleistungen gemäß dem Hauptvertrag. Dabei erhält er Zugriff auf personenbezogene Daten, für die der Auftraggeber verantwortlich ist. Dieser Vertrag regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien nach Art. 28 der Datenschutz-Grundverordnung (DSGVO).

Gegenstand, Hauptvertrag und Begriffe

1. Dieser Vertrag gilt für alle Tätigkeiten, bei denen der Auftragnehmer oder von ihm eingesetzte Unterauftragsverarbeiter personenbezogene Daten im Auftrag des Auftraggebers verarbeiten.
2. Grundlage der Verarbeitung ist {{hauptvertrag_bezeichnung}} sowie alle weiteren Aufträge über IT-Dienstleistungen zwischen den Parteien (zusammen „Hauptvertrag“).
3. Die verwendeten Begriffe haben die Bedeutung nach Art. 4 DSGVO. Der Auftraggeber ist Verantwortlicher, der Auftragnehmer ist Auftragsverarbeiter.
4. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor.

Art, Zweck und Umfang der Verarbeitung

1. Der Auftragnehmer erbringt folgende Leistungen, bei denen personenbezogene Daten verarbeitet werden: {{{avv_leistungsliste}}}
2. Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Abgleichen, Einschränken, Löschen und Vernichten (Art. 4 Nr. 2 DSGVO).
3. Zweck: Die Verarbeitung dient ausschließlich der Erbringung der Leistungen nach dem Hauptvertrag. Eine Verarbeitung für eigene Zwecke des Auftragnehmers findet nicht statt.
4. Arten personenbezogener Daten:
   1. Stamm- und Kontaktdaten: Namen, Anschriften, Telefonnummern, E-Mail-Adressen;
   {{#wenn leistung_email}}
   2. Kommunikationsdaten: Inhalte und Anhänge von E-Mails, Adressbücher, Kalendereinträge;
   {{/wenn}}
   3. Formular- und Inhaltsdaten: Eingaben in Formularen, auf Websites oder in Anwendungen veröffentlichte oder gespeicherte Inhalte;
   {{#wenn leistung_cloud}}
   4. Dokumentdaten: in der Cloud abgelegte Dokumente, Dateien, Kalender und Kontakte;
   {{/wenn}} {{#wenn leistung_saas}}
   5. Anwendungsdaten: in der bereitgestellten Software erfasste Datensätze des Auftraggebers;
   {{/wenn}}
   6. Nutzungs- und Protokolldaten: IP-Adressen, Zugriffszeiten, aufgerufene Seiten, Browser- und Geräteinformationen, Server- und Sicherheitsprotokolle;
   {{#wenn leistung_fernwartung}}
   7. technische Gerätedaten bei Fernwartung: Betriebssystem- und Softwarestände, Treiber-, Hardware- und Virenschutzinformationen, Sitzungsprotokolle;
   {{/wenn}} {{#wenn avv_weitere_daten}}
   8. {{avv_weitere_daten}}
   {{/wenn}}
5. Kategorien betroffener Personen:
   1. Beschäftigte, Vertreter und Ansprechpartner des Auftraggebers;
   2. Kunden, Interessenten und Geschäftspartner des Auftraggebers;
   3. Besucher der Websites und Nutzer der Anwendungen des Auftraggebers;
   4. Personen, die mit dem Auftraggeber per E-Mail oder Formular in Kontakt treten;
   {{#wenn avv_weitere_betroffene}}
   5. {{avv_weitere_betroffene}}
   {{/wenn}}
{{#wenn art9}}
6. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden verarbeitet, und zwar: {{art9_beschreibung}}. Der Auftragnehmer trifft hierfür die in {{ref:tom}} gesondert gekennzeichneten zusätzlichen Schutzmaßnahmen. Personen, die Zugriff auf diese Daten erhalten, sind gesondert zur Verschwiegenheit verpflichtet; soweit der Auftraggeber einem Berufsgeheimnis unterliegt, gilt dies auch im Sinne des § 203 Abs. 4 StGB.
{{#sonst}}
7. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nach Kenntnis der Parteien nicht Gegenstand der Verarbeitung. Beabsichtigt der Auftraggeber, solche Daten über die Leistungen des Auftragnehmers zu verarbeiten, teilt er dies vorher in Textform mit. Die Parteien vereinbaren dann die erforderlichen zusätzlichen Schutzmaßnahmen.
{{/wenn}}
8. Ort der Verarbeitung: Die Verarbeitung erfolgt ausschließlich in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers in Textform und ist nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig.

Laufzeit und Kündigung

1. Dieser Vertrag tritt mit Unterzeichnung durch beide Parteien in Kraft. Er gilt, solange der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, mindestens für die Dauer des Hauptvertrags.
2. Mit Beendigung des Hauptvertrags endet auch dieser Vertrag. Die Pflichten zur Rückgabe und Löschung ({{ref:loeschung}}) sowie zur Vertraulichkeit gelten über das Vertragsende hinaus.
3. Der Auftraggeber kann diesen Vertrag und den Hauptvertrag außerordentlich kündigen, wenn der Auftragnehmer schwerwiegend gegen diesen Vertrag oder gegen Datenschutzvorschriften verstößt, eine rechtmäßige Weisung nicht ausführt oder Kontrollrechte vertragswidrig verweigert. Bei weniger schwerwiegenden Verstößen setzt der Auftraggeber zuvor eine angemessene Frist zur Abhilfe.

Weisungen

1. Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland (Art. 28 Abs. 3 lit. a DSGVO). Ist er gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vorher mit, sofern das Gesetz eine solche Mitteilung nicht verbietet.
2. Die Weisungen ergeben sich zunächst aus diesem Vertrag und dem Hauptvertrag. Einzelweisungen erteilt der Auftraggeber in Textform. In Eilfällen sind mündliche Weisungen zulässig; der Auftraggeber bestätigt sie unverzüglich in Textform.
3. Die weisungsberechtigten Personen und Ansprechpartner benennen die Parteien in {{ref:kontakte}}. Änderungen teilen sie einander unverzüglich in Textform mit.
4. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.
5. Der Auftragnehmer dokumentiert erteilte Weisungen und ihre Umsetzung.
6. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, gelten als Änderungswunsch. Der dadurch entstehende Mehraufwand wird nach den Sätzen des Hauptvertrags vergütet.

Pflichten des Auftragnehmers

1. Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und der Weisungen des Auftraggebers. Er verwendet sie nicht für eigene Zwecke.
2. Der Auftragnehmer wahrt die Vertraulichkeit. Alle Personen, die Zugriff auf die Daten erhalten, sind vor Beginn ihrer Tätigkeit zur Vertraulichkeit verpflichtet und mit den maßgeblichen Datenschutzvorschriften vertraut gemacht worden, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
3. Kopien und Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Ausgenommen sind Datensicherungen, soweit sie zur ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie technisch notwendige, vorübergehende Kopien.
4. Der Auftragnehmer hält die Daten des Auftraggebers von Daten anderer Auftraggeber logisch getrennt.
5. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Wenden sich Betroffene direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter. Auskünfte an Betroffene oder Dritte erteilt er nur nach vorheriger Weisung des Auftraggebers.
6. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und der vorherigen Konsultation der Aufsichtsbehörde (Art. 28 Abs. 3 lit. f DSGVO).
7. Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
8. {{avv_dsb_text}}
9. Der Auftragnehmer darf die Daten in seinen Geschäftsräumen, im Homeoffice und mit betrieblich genutzten Endgeräten verarbeiten, sofern die Maßnahmen nach {{ref:tom}} eingehalten werden.
10. Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie diesen Auftrag betreffen.

Technische und organisatorische Maßnahmen

1. Der Auftragnehmer trifft die in {{ref:tom}} beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Sie sind Bestandteil dieses Vertrags.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber in Textform mit.
3. Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen regelmäßig, mindestens einmal jährlich, und weist sie dem Auftraggeber auf Anfrage nach.
4. Genügen die Maßnahmen den Anforderungen des Auftraggebers nicht mehr, benachrichtigt der Auftragnehmer den Auftraggeber unverzüglich.

Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in {{ref:unterauftragsliste}} aufgeführten Unterauftragsverarbeiter.
2. Der Auftragnehmer darf weitere Unterauftragsverarbeiter einsetzen oder bestehende ersetzen (allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO). Er informiert den Auftraggeber darüber mindestens 30 Tage vorher in Textform. Der Auftraggeber kann innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.
3. Widerspricht der Auftraggeber, suchen die Parteien eine einvernehmliche Lösung. Kommt keine Lösung zustande, kann jede Partei die betroffene Leistung mit einer Frist von einem Monat kündigen.
4. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO). Er wählt Unterauftragsverarbeiter sorgfältig unter Berücksichtigung ihrer technischen und organisatorischen Maßnahmen aus und überprüft sie regelmäßig.
5. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten (Art. 28 Abs. 4 Satz 2 DSGVO).
6. Keine Unterauftragsverhältnisse im Sinne dieses Vertrags sind Nebenleistungen wie Telekommunikations-, Post- und Transportdienste sowie die Wartung von Hardware ohne Zugriff auf Daten des Auftraggebers. Der Auftragnehmer sorgt auch hierbei für einen angemessenen Datenschutz.

Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis kann auch durch aktuelle Selbstauskünfte, Prüfberichte oder Zertifikate, etwa der Unterauftragsverarbeiter, erbracht werden.
2. Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf Kontrollen beim Auftragnehmer durchführen. Kontrollen vor Ort finden nach Anmeldung mit einer Frist von mindestens 14 Tagen zu den Geschäftszeiten des Auftragnehmers statt, ohne vermeidbare Störung seines Betriebs und in der Regel höchstens einmal jährlich. Bei Datenschutzverletzungen ist eine anlassbezogene Kontrolle auch kurzfristig möglich.
3. Der Auftragnehmer darf Prüfer ablehnen, die mit ihm im Wettbewerb stehen.
4. Die Kosten einer Kontrolle trägt jede Partei selbst.

Meldung von Datenschutzverletzungen

1. Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, möglichst innerhalb von 24 Stunden, spätestens innerhalb von 48 Stunden. Dies gilt auch für begründete Verdachtsfälle. Die Meldung geht an die in {{ref:kontakte}} genannte Adresse.
2. Die Meldung enthält, soweit bekannt:
   1. eine Beschreibung der Art der Verletzung, möglichst mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
   2. Name und Kontaktdaten einer Anlaufstelle für weitere Informationen;
   3. eine Beschreibung der wahrscheinlichen Folgen;
   4. eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung.
3. Fehlende Angaben reicht der Auftragnehmer unverzüglich nach, sobald sie vorliegen.
4. Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen (Art. 33, 34 DSGVO) nimmt der Auftraggeber vor. Der Auftragnehmer unterstützt ihn dabei.
5. Der Auftragnehmer teilt dem Auftraggeber außerdem erhebliche Störungen der Auftragserfüllung sowie Verstöße gegen diesen Vertrag unverzüglich mit.

Berichtigung, Löschung und Rückgabe

1. Der Auftragnehmer berichtigt, löscht oder schränkt die Verarbeitung von Daten nur auf Weisung des Auftraggebers ein.
2. Nach Abschluss der Leistungen gibt der Auftragnehmer nach Wahl des Auftraggebers alle Daten zurück oder löscht sie, sofern keine gesetzliche Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format. Trifft der Auftraggeber innerhalb von vier Wochen nach Aufforderung keine Wahl, löscht der Auftragnehmer die Daten.
3. Daten in Datensicherungen werden im regulären Sicherungszyklus gelöscht, spätestens {{avv_backup_tage}} Tage nach Vertragsende.
4. Löschungen erfolgen so, dass eine Wiederherstellung mit vertretbarem Aufwand nicht möglich ist. Datenträger des Auftragnehmers werden nach DIN 66399 in einer dem Schutzbedarf angemessenen Sicherheitsstufe vernichtet.
5. Die Löschung bestätigt der Auftragnehmer auf Anfrage in Textform.
6. Dokumentationen zum Nachweis der ordnungsgemäßen Verarbeitung bewahrt der Auftragnehmer bis zum Ende des dritten Kalenderjahres nach Vertragsende auf.

Haftung

1. Für Schäden, die einer betroffenen Person wegen einer nicht datenschutzkonformen Verarbeitung entstehen, haften die Parteien nach Art. 82 DSGVO.
2. Im Innenverhältnis trägt jede Partei den Schaden, soweit er auf ihren Verantwortungsbereich zurückzuführen ist (Art. 82 Abs. 5 DSGVO). Der Auftragnehmer haftet insbesondere nicht für Schäden, die auf der Umsetzung von Weisungen des Auftraggebers beruhen.
3. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

Schlussbestimmungen

1. Dieser Vertrag wird schriftlich oder in einem elektronischen Format geschlossen (Art. 28 Abs. 9 DSGVO), etwa durch elektronische Unterzeichnung. Änderungen und Ergänzungen bedürfen der Textform (§ 126b BGB); dies gilt auch für einen Verzicht auf dieses Formerfordernis.
2. Beide Parteien behandeln Geschäftsgeheimnisse und Informationen über Sicherheitsmaßnahmen der jeweils anderen Partei auch nach Vertragsende vertraulich.
3. Ein Zurückbehaltungsrecht des Auftragnehmers an den Daten des Auftraggebers und an zugehörigen Datenträgern ist ausgeschlossen.
4. Werden Daten des Auftraggebers beim Auftragnehmer durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder ähnliche Ereignisse gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich.
5. Es gilt das Recht der Bundesrepublik Deutschland.{{#wenn b2b}} Gerichtsstand ist, soweit gesetzlich zulässig, {{anbieter_gerichtsstand}}.{{/wenn}}
6. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO und dem wirtschaftlichen Zweck der Bestimmung am nächsten kommt.
7. Bestandteile dieses Vertrags sind die Anlagen: {{ref:tom}} (Technische und organisatorische Maßnahmen), {{ref:unterauftragsliste}} (Genehmigte Unterauftragsverarbeiter) und {{ref:kontakte}} (Weisungsberechtigte Personen und Kontaktdaten).

Ergänzende Vereinbarungen

Technische und organisatorische Maßnahmen

Genehmigte Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:

Weisungsberechtigte Personen und Kontaktdaten