Auftragsverarbeitungsvertrag

1.1 Datenschutzbehörde (AP): Aufsichtsbehörde, wie in Artikel 4 Nr. 21 DSGVO beschrieben.

1.2 DSGVO: die Datenschutz-Grundverordnung.

1.3 Auftragsverarbeiter: Partei, die als IKT-Anbieter im Rahmen der Erfüllung der Vereinbarung personenbezogene Daten als Verarbeiter im Auftrag ihres Auftraggebers verarbeitet.

1.4 Data Pro Statement: Erklärung des Auftragsverarbeiters, in der er unter anderem Informationen über die bestimmungsgemäße Verwendung seines Produkts oder seiner Dienstleistung, die ergriffenen Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Datenschutzverletzungen, Zertifizierungen und den Umgang mit den Rechten der betroffenen Personen bereitstellt.

1.5 Betroffene Person: eine identifizierte oder identifizierbare natürliche Person.

1.6 Auftraggeber: Partei, in deren Auftrag der Auftragsverarbeiter personenbezogene Daten verarbeitet. Der Auftraggeber kann sowohl der Verantwortliche als auch ein weiterer Verarbeiter sein.

1.7 Vereinbarung: die Vereinbarung zwischen Auftraggeber und Auftragsverarbeiter, auf deren Grundlage der IKT-Anbieter dem Auftraggeber Dienstleistungen und/oder Produkte liefert und von der der Auftragsverarbeitungsvertrag ein Teil ist.

1.8 Personenbezogene Daten: alle Informationen über eine identifizierte oder identifizierbare natürliche Person, wie in Artikel 4 Nr. 1 DSGVO beschrieben, die der Auftragsverarbeiter im Rahmen der Erfüllung seiner sich aus der Vereinbarung ergebenden Verpflichtungen verarbeitet.

1.9 Auftragsverarbeitungsvertrag: diese Standardklauseln für die Verarbeitung, die zusammen mit dem Data Pro Statement (oder vergleichbaren Informationen) des Auftragsverarbeiters den Auftragsverarbeitungsvertrag im Sinne von Artikel 28 Absatz 3 DSGVO bilden.

2.1 Diese Standardklauseln für die Verarbeitung gelten für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der Lieferung seiner Produkte und Dienstleistungen durchführt, sowie für alle Vereinbarungen und Angebote. Die Anwendbarkeit eigener Auftragsverarbeitungsverträge des Auftraggebers wird ausdrücklich abgelehnt.

2.2 Das Data Pro Statement und insbesondere die darin enthaltenen Sicherheitsmaßnahmen können vom Auftragsverarbeiter von Zeit zu Zeit an sich ändernde Umstände angepasst werden. Der Auftragsverarbeiter wird den Auftraggeber über wesentliche Änderungen informieren. Kann der Auftraggeber den Änderungen vernünftigerweise nicht zustimmen, ist der Auftraggeber berechtigt, den Auftragsverarbeitungsvertrag innerhalb von 30 Tagen nach Mitteilung der Änderungen schriftlich unter Angabe von Gründen zu kündigen.

2.3 Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten im Auftrag und nach Weisung des Auftraggebers gemäß den mit dem Auftragsverarbeiter vereinbarten schriftlichen Weisungen des Auftraggebers.

2.4 Der Auftraggeber oder dessen Kunde ist der Verantwortliche im Sinne der DSGVO, hat die Kontrolle über die Verarbeitung der personenbezogenen Daten und hat den Zweck der und die Mittel für die Verarbeitung der personenbezogenen Daten festgelegt.

2.5 Der Auftragsverarbeiter ist ein Verarbeiter im Sinne der DSGVO und hat daher keine Kontrolle über den Zweck der und die Mittel für die Verarbeitung der personenbezogenen Daten und trifft folglich keine Entscheidungen über unter anderem die Verwendung der personenbezogenen Daten.

2.6 Der Auftragsverarbeiter setzt die DSGVO wie in diesen Standardklauseln für die Verarbeitung, im Data Pro Statement und in der Vereinbarung dargelegt um. Es obliegt dem Auftraggeber, auf Grundlage dieser Informationen zu beurteilen, ob der Auftragsverarbeiter hinreichende Garantien hinsichtlich der Anwendung geeigneter technischer und organisatorischer Maßnahmen bietet, sodass die Verarbeitung den Anforderungen der DSGVO entspricht und der Schutz der Rechte der betroffenen Personen ausreichend gewahrt ist.

2.7 Der Auftraggeber garantiert dem Auftragsverarbeiter, dass er in Übereinstimmung mit der DSGVO handelt, dass er seine Systeme und Infrastruktur jederzeit angemessen sichert und dass der Inhalt, die Nutzung und/oder die Verarbeitung der personenbezogenen Daten nicht rechtswidrig ist und kein Recht eines Dritten verletzt.

2.8 Ein dem Auftraggeber von der AP auferlegtes Bußgeld kann nicht vom Auftragsverarbeiter zurückgefordert werden.

3.1 Der Auftragsverarbeiter ergreift die technischen und organisatorischen Sicherheitsmaßnahmen, wie in seinem Data Pro Statement beschrieben. Bei der Ergreifung der technischen und organisatorischen Sicherheitsmaßnahmen hat der Auftragsverarbeiter den Stand der Technik, die Implementierungskosten der Sicherheitsmaßnahmen, die Art, den Umfang und den Kontext der Verarbeitung, die Zwecke und die bestimmungsgemäße Verwendung seiner Produkte und Dienstleistungen, die Verarbeitungsrisiken sowie die Risiken unterschiedlicher Eintrittswahrscheinlichkeit und Schwere für die Rechte und Freiheiten der betroffenen Personen berücksichtigt, die er angesichts der bestimmungsgemäßen Verwendung seiner Produkte und Dienstleistungen erwarten konnte.

3.2 Sofern im Data Pro Statement nicht ausdrücklich anders angegeben, ist das Produkt oder die Dienstleistung des Auftragsverarbeiters nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten über strafrechtliche Verurteilungen oder Straftaten oder von staatlichen Stellen ausgegebener personenbezogener Kennnummern ausgelegt.

3.3 Der Auftragsverarbeiter ist bestrebt sicherzustellen, dass die von ihm ergriffenen Sicherheitsmaßnahmen für die bestimmungsgemäße Verwendung des Produkts oder der Dienstleistung durch den Auftragsverarbeiter angemessen sind.

3.4 Die beschriebenen Sicherheitsmaßnahmen bieten nach Auffassung des Auftraggebers unter Berücksichtigung der in Artikel 3.1 genannten Faktoren ein auf das Risiko der Verarbeitung der von ihm verwendeten oder bereitgestellten personenbezogenen Daten abgestimmtes Sicherheitsniveau.

3.5 Der Auftragsverarbeiter kann Änderungen an den ergriffenen Sicherheitsmaßnahmen vornehmen, wenn dies nach seiner Auffassung erforderlich ist, um weiterhin ein angemessenes Sicherheitsniveau zu bieten. Der Auftragsverarbeiter wird wichtige Änderungen festhalten, zum Beispiel in einem angepassten Data Pro Statement, und wird den Auftraggeber über diese Änderungen informieren, sofern relevant.

3.6 Der Auftraggeber kann den Auftragsverarbeiter auffordern, weitergehende Sicherheitsmaßnahmen zu ergreifen. Der Auftragsverarbeiter ist nicht verpflichtet, auf eine solche Aufforderung hin Änderungen an seinen Sicherheitsmaßnahmen umzusetzen. Der Auftragsverarbeiter kann dem Auftraggeber die mit den auf Wunsch des Auftraggebers umgesetzten Änderungen verbundenen Kosten in Rechnung stellen. Erst nachdem die vom Auftraggeber gewünschten geänderten Sicherheitsmaßnahmen schriftlich vereinbart und von den Parteien unterzeichnet wurden, hat der Auftragsverarbeiter die Verpflichtung, diese Sicherheitsmaßnahmen tatsächlich umzusetzen.

4.1 Der Auftragsverarbeiter garantiert nicht, dass die Sicherheitsmaßnahmen unter allen Umständen wirksam sind. Wenn der Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten (wie in Artikel 4 Nr. 12 DSGVO beschrieben) feststellt, wird er den Auftraggeber ohne unangemessene Verzögerung informieren. Das Data Pro Statement (unter dem Protokoll bei Datenschutzverletzungen) legt dar, wie der Auftragsverarbeiter den Auftraggeber über Verletzungen des Schutzes personenbezogener Daten informiert.

4.2 Es obliegt dem Verantwortlichen (Auftraggeber oder dessen Kunde), zu beurteilen, ob die Verletzung des Schutzes personenbezogener Daten, über die der Auftragsverarbeiter informiert hat, der AP oder der betroffenen Person gemeldet werden muss. Die Meldung von Verletzungen des Schutzes personenbezogener Daten, die gemäß den Artikeln 33 und 34 DSGVO der AP und/oder den betroffenen Personen gemeldet werden müssen, bleibt jederzeit in der Verantwortung des Verantwortlichen (Auftraggeber oder dessen Kunde). Der Auftragsverarbeiter ist nicht verpflichtet, Verletzungen des Schutzes personenbezogener Daten der AP und/oder der betroffenen Person zu melden.

4.3 Der Auftragsverarbeiter wird, sofern erforderlich, weitere Informationen über die Verletzung des Schutzes personenbezogener Daten bereitstellen und bei der erforderlichen Bereitstellung von Informationen an den Auftraggeber zum Zweck einer Meldung im Sinne der Artikel 33 und 34 DSGVO mitwirken.

4.4 Der Auftragsverarbeiter kann dem Auftraggeber die ihm in diesem Zusammenhang entstehenden angemessenen Kosten zu seinen dann geltenden Tarifen in Rechnung stellen.

5.1 Der Auftragsverarbeiter stellt sicher, dass die Personen, die unter seiner Verantwortung personenbezogene Daten verarbeiten, zur Vertraulichkeit verpflichtet sind.

5.2 Der Auftragsverarbeiter ist berechtigt, die personenbezogenen Daten an Dritte weiterzugeben, wenn und soweit die Weitergabe aufgrund einer gerichtlichen Entscheidung, einer gesetzlichen Bestimmung oder aufgrund einer ordnungsgemäß erteilten Anordnung einer Behörde erforderlich ist.

5.3 Alle Zugangs- und/oder Identifizierungscodes, Zertifikate, Informationen über die Zugangs- und/oder Passwortrichtlinie sowie alle vom Auftragsverarbeiter dem Auftraggeber bereitgestellten Informationen, die den im Data Pro Statement enthaltenen technischen und organisatorischen Sicherheitsmaßnahmen Substanz verleihen, sind vertraulich und werden vom Auftraggeber als solche behandelt und nur autorisierten Mitarbeitern des Auftraggebers bekannt gemacht. Der Auftraggeber stellt sicher, dass seine Mitarbeiter die Verpflichtungen dieses Artikels einhalten.

6.1 Dieser Auftragsverarbeitungsvertrag ist Teil der Vereinbarung und jeder neuen oder weiteren daraus entstehenden Vereinbarung, tritt in Kraft, sobald die Vereinbarung geschlossen wird, und wird auf unbestimmte Zeit geschlossen.

6.2 Dieser Auftragsverarbeitungsvertrag endet von Rechts wegen mit Beendigung der Vereinbarung oder jeder neuen oder weiteren Vereinbarung zwischen den Parteien.

6.3 Im Falle der Beendigung des Auftragsverarbeitungsvertrags wird der Auftragsverarbeiter alle vom Auftraggeber erhaltenen und in seinem Besitz befindlichen personenbezogenen Daten innerhalb der im Data Pro Statement genannten Frist so löschen, dass sie nicht mehr verwendet werden können und nicht mehr zugänglich sind (unzugänglich machen), oder sie, sofern vereinbart, dem Auftraggeber in einem maschinenlesbaren Format zurückgeben.

6.4 Der Auftragsverarbeiter kann dem Auftraggeber die ihm im Zusammenhang mit dem in Artikel 6.3 Genannten entstehenden Kosten in Rechnung stellen. Weitere Vereinbarungen hierzu können im Data Pro Statement festgelegt werden.

6.5 Die Bestimmungen von Artikel 6.3 gelten nicht, wenn eine gesetzliche Regelung den Auftragsverarbeiter daran hindert, die personenbezogenen Daten ganz oder teilweise zu löschen oder zurückzugeben. In einem solchen Fall wird der Auftragsverarbeiter die personenbezogenen Daten nur insoweit weiterverarbeiten, wie dies aufgrund seiner gesetzlichen Verpflichtungen erforderlich ist. Die Bestimmungen von Artikel 6.3 gelten ebenfalls nicht, wenn der Auftragsverarbeiter in Bezug auf die personenbezogenen Daten der Verantwortliche im Sinne der DSGVO ist.

7.1 Der Auftragsverarbeiter wird, sofern möglich, angemessenen Anfragen des Auftraggebers nachkommen, die sich auf Rechte betroffener Personen beziehen, die von betroffenen Personen beim Auftraggeber geltend gemacht werden. Wird der Auftragsverarbeiter unmittelbar von einer betroffenen Person kontaktiert, wird er diese, sofern möglich, an den Auftraggeber verweisen.

7.2 Sofern der Auftraggeber dazu verpflichtet ist, wird der Auftragsverarbeiter nach einer angemessenen Anfrage bei einer Datenschutz-Folgenabschätzung (DSFA) oder einer anschließenden vorherigen Konsultation im Sinne der Artikel 35 und 36 DSGVO mitwirken.

7.3 Der Auftragsverarbeiter wird bei Anfragen des Auftraggebers zur Löschung personenbezogener Daten mitwirken, soweit der Auftraggeber dies nicht selbst tun kann.

7.4 Auf Wunsch kann der Auftragsverarbeiter die Einhaltung seiner Verpflichtungen aus dem Auftragsverarbeitungsvertrag durch ein gültiges Data Pro Certificate oder ein mindestens gleichwertiges Zertifikat oder einen Prüfbericht (Third Party Memorandum) eines unabhängigen Sachverständigen nachweisen, sofern er über ein solches Zertifikat oder einen solchen Prüfbericht verfügt.

7.5 Darüber hinaus wird der Auftragsverarbeiter auf Anfrage des Auftraggebers alle weiteren Informationen zur Verfügung stellen, die vernünftigerweise erforderlich sind, um die Einhaltung der in diesem Auftragsverarbeitungsvertrag getroffenen Vereinbarungen nachzuweisen. Hat der Auftraggeber dennoch Grund zu der Annahme, dass die Verarbeitung personenbezogener Daten nicht in Übereinstimmung mit dem Auftragsverarbeitungsvertrag erfolgt, kann er höchstens einmal pro Jahr auf eigene Kosten eine Prüfung durch einen unabhängigen, zertifizierten, externen Sachverständigen durchführen lassen, der nachweislich Erfahrung mit der Art der auf Grundlage der Vereinbarung durchgeführten Verarbeitung hat. Die Prüfung beschränkt sich auf die Überprüfung der Einhaltung der Vereinbarungen bezüglich der Verarbeitung der personenbezogenen Daten, wie in diesem Auftragsverarbeitungsvertrag festgelegt. Der Sachverständige ist in Bezug auf seine Feststellungen zur Vertraulichkeit verpflichtet und wird dem Auftraggeber nur dasjenige berichten, was eine Unzulänglichkeit bei der Erfüllung der Verpflichtungen darstellt, die der Auftragsverarbeiter aufgrund dieses Auftragsverarbeitungsvertrags hat. Der Sachverständige stellt dem Auftragsverarbeiter eine Kopie seines Berichts zur Verfügung. Der Auftragsverarbeiter kann eine Prüfung oder eine Anweisung des Sachverständigen ablehnen, wenn dies nach seiner Auffassung im Widerspruch zur DSGVO oder anderen Rechtsvorschriften steht oder eine unzulässige Beeinträchtigung der von ihm ergriffenen Sicherheitsmaßnahmen darstellt.

7.6 Die Parteien werden sich so bald wie möglich über die Ergebnisse des Berichts beraten. Die Parteien werden die im Bericht festgelegten vorgeschlagenen Verbesserungsmaßnahmen umsetzen, soweit dies vernünftigerweise von ihnen erwartet werden kann. Der Auftragsverarbeiter wird die vorgeschlagenen Verbesserungsmaßnahmen umsetzen, soweit sie nach seiner Auffassung angemessen sind, unter Berücksichtigung der mit seinem Produkt oder seiner Dienstleistung verbundenen Verarbeitungsrisiken, des Stands der Technik, der Implementierungskosten, des Marktes, in dem er tätig ist, und der bestimmungsgemäßen Verwendung des Produkts oder der Dienstleistung.

7.7 Der Auftragsverarbeiter hat das Recht, dem Auftraggeber die ihm im Zusammenhang mit dem in diesem Artikel Genannten entstehenden Kosten in Rechnung zu stellen.

8.1 Der Auftragsverarbeiter hat im Data Pro Statement angegeben, ob und, wenn ja, welche Dritten (Unterauftragsverarbeiter) der Auftragsverarbeiter bei der Verarbeitung der personenbezogenen Daten einsetzt.

8.2 Der Auftraggeber erteilt dem Auftragsverarbeiter die Erlaubnis, andere Unterauftragsverarbeiter einzusetzen, um seine sich aus der Vereinbarung ergebenden Verpflichtungen zu erfüllen.

8.3 Der Auftragsverarbeiter wird den Auftraggeber über eine Änderung der vom Auftragsverarbeiter eingesetzten Dritten informieren, zum Beispiel mittels eines angepassten Data Pro Statements. Der Auftraggeber hat das Recht, der vorgenannten Änderung durch den Auftragsverarbeiter zu widersprechen. Der Auftragsverarbeiter stellt sicher, dass sich die von ihm eingesetzten Dritten zu demselben Sicherheitsniveau hinsichtlich des Schutzes der personenbezogenen Daten verpflichten wie das Sicherheitsniveau, an das der Auftragsverarbeiter gegenüber dem Auftraggeber auf Grundlage des Data Pro Statements gebunden ist.

Diese Standardklauseln für die Verarbeitung bilden zusammen mit dem Data Pro Statement einen integralen Bestandteil der Vereinbarung. Alle Rechte und Pflichten aus der Vereinbarung, einschließlich der geltenden Allgemeinen Geschäftsbedingungen und/oder Haftungsbeschränkungen, gelten daher auch für den Auftragsverarbeitungsvertrag.