Vereinbarung zur Auftragsverarbeitung

1. Vertragsparteien

2. Gegenstand, Dauer sowie Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Verantwortlichen. Gegenstand, Dauer sowie Art und Zweck der Verarbeitung richten sich nach der zugrunde liegenden Leistungsvereinbarung und den nachfolgenden Festlegungen.

3. Kategorien personenbezogener Daten und betroffener Personen

Die konkreten Verarbeitungen ergeben sich aus dem eingesetzten Modul und dem vereinbarten Nutzungsszenario. Typischerweise können insbesondere folgende Datenkategorien betroffen sein:

Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO werden nur verarbeitet, soweit dies durch den Verantwortlichen veranlasst, für den Vertragszweck erforderlich und ausdrücklich vereinbart ist.

4. Weisungsbindung

• Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern keine gesetzliche Verpflichtung zur abweichenden Verarbeitung besteht.
• Weisungen können schriftlich, in Textform oder über dokumentierte Administrations- und Supportprozesse erteilt werden.
• Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf deren Umsetzung bis zur Klärung aussetzen.

5. Vertraulichkeit und Zugriffsbeschränkung

• Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
• Zugriffe auf personenbezogene Daten erfolgen nach dem Need-to-know-Prinzip und rollenbasiert.
• Der Auftragsverarbeiter stellt sicher, dass auch unterstützende Dienstleister nur im Rahmen eines wirksamen Unterauftragsverhältnisses Zugriff erhalten.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Diese orientieren sich am Risiko der Verarbeitung und umfassen insbesondere folgende Bereiche:

• Zutritts-, Zugangs- und Zugriffskontrolle
• Berechtigungsmanagement und Authentifizierung
• Weitergabe-, Eingabe- und Verfügbarkeitskontrolle
• Trennungsgebot, Protokollierung, Backup- und Wiederherstellungsverfahren
• Patch- und Schwachstellenmanagement, Verschlüsselung, Monitoring und Incident-Handling

7. Unterstützungspflichten des Auftragsverarbeiters

• Unterstützung bei der Beantwortung von Betroffenenanfragen, soweit dies unter Berücksichtigung der Art der Verarbeitung möglich und erforderlich ist
• Unterstützung bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Sicherheitsvorfällen, Datenschutz-Folgenabschätzungen und Konsultationen
• Unverzügliche Information über Datenschutzverletzungen oder erhebliche Störungen, die personenbezogene Daten betreffen können
• Bereitstellung der Informationen, die der Verantwortliche zum Nachweis der Einhaltung von Art. 28 DSGVO benötigt

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern, soweit diese für Hosting, Infrastruktur, Support, Wartung, Versand oder vergleichbare technische Nebenleistungen erforderlich sind.

Der Einsatz einzelner Anbieter hängt vom konkret gebuchten Leistungsumfang sowie von der technischen Konfiguration ab. Eine aktuelle Liste wird auf Anforderung bereitgestellt oder als Anlage fortgeschrieben.

• Der Auftragsverarbeiter stellt sicher, dass mit Unterauftragsverarbeitern vertragliche Regelungen bestehen, die den Anforderungen des Art. 28 DSGVO entsprechen.
• Wesentliche Änderungen bei Unterauftragsverarbeitern werden dem Verantwortlichen vorab oder mit angemessener Vorlaufzeit mitgeteilt, sodass ein begründeter Widerspruch möglich ist.
• Eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter kann als Anlage geführt oder auf dokumentiertem Weg bereitgestellt werden.

9. Kontrollrechte und Nachweise

• Der Auftragsverarbeiter weist die Einhaltung der getroffenen Maßnahmen auf angemessene Weise nach, etwa durch Dokumentationen, Selbstauskünfte, Prüfberichte, Zertifizierungen oder Audits.
• Der Verantwortliche ist berechtigt, nach angemessener Vorankündigung Audits oder Prüfungen durchzuführen oder durchführen zu lassen, soweit dies erforderlich und verhältnismäßig ist.
• Betriebs- und Geschäftsgeheimnisse des Auftragsverarbeiters sowie Sicherheitsinteressen Dritter sind dabei angemessen zu schützen.

10. Rückgabe und Löschung

• Nach Abschluss der vertraglichen Leistungen wird der Auftragsverarbeiter personenbezogene Daten nach Wahl des Verantwortlichen löschen oder zurückgeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Gesetzlich aufbewahrungspflichtige oder aus Nachweisgründen vorübergehend erforderliche Daten werden bis zum Ablauf der jeweiligen Frist gesperrt bzw. eingeschränkt verarbeitet.
• Backups und Sicherungskopien werden im Rahmen der üblichen Lösch- und Überschreibzyklen entfernt.

11. Schlussbestimmungen

• Diese Vereinbarung ergänzt den Hauptvertrag und geht im Fall datenschutzrechtlicher Widersprüche dessen Regelungen vor.
• Änderungen und Ergänzungen dieser Vereinbarung bedürfen mindestens der Textform.
• Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt.

Anlage 1: Konkretisierung des Verarbeitungsszenarios

Anlage 2: Technische und organisatorische Maßnahmen (Kurzüberblick)

• Rollen- und Berechtigungskonzept mit personenbezogenen Benutzerkonten
• Protokollierung administrativer und sicherheitsrelevanter Vorgänge nach Maßgabe des eingesetzten Systems
• Transportverschlüsselung bei Zugriffen auf öffentlich erreichbare Systeme
• Datensicherungen, Wiederherstellungsverfahren und Überwachung der Betriebsverfügbarkeit
• Regelmäßige Aktualisierung sicherheitsrelevanter Softwarekomponenten
• Organisatorische Prozesse für Incident-Handling, Berechtigungsentzug und Löschung

Anlage 3: Unterauftragsverarbeiter

Unterschriften