Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

Präambel

Vertranium verarbeitet personenbezogene Daten des Kunden im Rahmen der Nutzung von Vertranium-Leistungen durch den Kunden auf Grundlage der Allgemeinen Geschäftsbedingungen der Vertranium GmbH sowie weiterer Vereinbarungen der Parteien – insgesamt als „Hauptvertrag“ bezeichnet. Der Hauptvertrag bezieht eine Reihe von Informationen und Anlagen ein, die unter anderem unter https://www.blickwinkel-consulting.com/ abgerufen werden können und die die von Vertranium im Rahmen der Nutzung von Vertranium-Leistungen für den Kunden zu erbringenden Leistungen im Einzelnen spezifizieren. Bei der Erbringung dieser Leistungen werden personenbezogene Daten im Auftrag des Kunden durch Vertranium verarbeitet.

Die Parteien wollen ihren wechselseitigen datenschutzrechtlichen Verpflichtungen nach Art. 28 DSGVO im Rahmen des Hauptvertrags Rechnung tragen und schließen deswegen nachstehende Vereinbarung zur Auftragsverarbeitung:

1.    Gegenstand und Dauer

• Diese Vereinbarung zur Auftragsverarbeitung ergänzt und konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien aus dem Hauptvertrag. Diese Vereinbarung zur Auftragsverarbeitung gilt für sämtliche Tätigkeiten im Zusammenhang mit dem Hauptvertrag, bei denen Beschäftigte und/oder Subunternehmer von Vertranium personenbezogene Daten im Auftrag des Kunden verarbeiten.
• Im Falle von Widersprüchen geht diese Vereinbarung zur Auftragsverarbeitung dem Hauptvertrag vor.
• Diese Vereinbarung tritt mit Unterzeichnung durch beide Parteien in Kraft und endet mit der Beendigung des Hauptvertrages.
  • Beide Parteien sind berechtigt, diese Vereinbarung jederzeit aus wichtigem Grund zu kündigen. Ein solcher wichtiger Grund liegt für Vertranium insbesondere vor, wenn
    • der Kunde Vertranium nicht oder nicht rechtzeitig über Änderungen in den Datenverarbeitungsvorgängen informiert;
    • der Kunde Vertranium entgegen Ziffer 6 trotz nochmaliger Aufforderung von Vertranium nicht anweist, personenbezogene Daten einer betroffenen Person zu löschen, ihre Verarbeitung einzuschränken, zu berichtigen oder hiervon abzusehen oder bei Geltendmachung des Rechts auf Datenübertragbarkeit nach Art. 20 Abs. 1 DSGVO einer betroffenen Person ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung zu stellen.

2.    Kommunikation

• Zu Themen im Zusammenhang mit dem Hauptvertrag und dieser Vereinbarung zur Auftragsverarbeitung kommuniziert Vertranium im Regelfall per E-Mail.
• Der Kunde ist verpflichtet, sicherzustellen, dass die bei Vertranium angegebene E-Mail-Adresse für Kommunikation zu vertragsbezogenen Themen aktuell ist und dass E-Mails an diese Adresse empfangen und in angemessenen Intervallen regelmäßig abgerufen und gelesen werden. Dabei handelt es sich um eine echte vertragliche Verpflichtung gegenüber Vertranium und nicht nur eine Obliegenheit.

3.    Verantwortungsbereiche

• Beide Parteien verpflichten sich, die zur Anwendung kommenden Datenschutzgesetze (insbesondere die Bestimmungen der DSGVO und des BDSG) einzuhalten. Die Parteien gehen davon aus, dass Vertranium als Auftragsverarbeiter im Sinne des Art. 28 DSGVO für den Kunden tätig wird. Wenn und so weit Vertranium jetzt oder künftig Leistungen erbringen soll, die nicht nach dieser Vereinbarung privilegiert sind, werden die Parteien schriftlich ergänzende Bestimmungen zum Datenschutz treffen, insbesondere diese Vereinbarung ergänzen oder eine neue Vereinbarung zur Auftragsverarbeitung abschließen.
• Im Rahmen der Durchführung dieser Vereinbarung gelten nachfolgende Verantwortungsbereiche des Kunden:
  • Der Kunde bestimmt die Zwecke und die Ziele der Verarbeitung der personenbezogenen Daten durch den Hauptvertrag sowie ergänzend durch die nach Ziffer 12 durch den Kunden Vertranium zu erteilenden Weisungen.
  • Der Kunde ist im Hinblick auf den Hauptvertrag und die in dessen Durchführung von Vertranium im Auftrag zu verarbeitenden Daten für die Einhaltung sämtlicher einschlägiger Datenschutzvorschriften, insbesondere der DSGVO und des BDSG, verantwortlich. Der Kunde ist insbesondere für die Rechtmäßigkeit der Datenweitergabe an Vertranium sowie für die Rechtmäßigkeit der Datenverarbeitung und die Zulässigkeit der Datenverarbeitung nach Art. 6 DSGVO sowie die Wahrung der Rechte der betroffenen Personen nach Art. 12–22 DSGVO verantwortlich.
  • Der Kunde behält die volle Kontrolle über die von Vertranium nach dieser Vereinbarung zu verarbeitenden Daten. Sämtliche verarbeiteten Daten stehen ausschließlich dem Kunden zu.
• Im Rahmen der Durchführung dieser Vereinbarung gelten nachfolgende Verantwortungsbereiche von Blickwinkel:
  • Vertranium wird personenbezogene Daten, die Vertranium im Rahmen dieser Vereinbarung im Auftrag für den Kunden verarbeitet, ausschließlich zur Erfüllung des im Vertrag sowie in etwaigen nach Maßgabe dieser Vereinbarung zu erteilenden Weisungen beschriebenen Zwecken verarbeiten.
  • Verlangt der Kunde seine Daten – egal aus welchem Grund – heraus, ist Vertranium verpflichtet, dem Kunden sämtliche Daten in einem strukturierten, gängigen und maschinenlesbaren Format für die automatisierte Übernahme oder direkte Einspielung herauszugeben. Zurückbehaltungsrechte – egal welcher Art – stehen Vertranium an diesen Daten nicht zu.

4.    Art, Ziel und Zweck der Verarbeitung personenbezogener Daten

• Art, Ziel und Zweck der Datenverarbeitung sind im Einzelnen im Hauptvertrag beschrieben und spezifiziert. Die Parteien sind sich einig, dass ausschließlich der Kunde die Zwecke und Ziele der Verarbeitung bestimmt. Dies geschieht durch den Hauptvertrag und die nach Maßgabe dieser Vereinbarung zur Auftragsverarbeitung durch den Kunden Vertranium zu erteilenden Weisungen nach Ziffer 12.
• Gegenstand der Verarbeitung personenbezogener Daten unter dem Hauptvertrag und dieser Vereinbarung zur Auftragsverarbeitung sind folgende Verarbeitungsvorgänge:
  • das Erheben
  • das Erfassen
  • die Organisation
  • das Ordnen
  • die Speicherung
  • das Auslesen
  • das Abfragen
  • die Verwendung
  • die Offenlegung durch Übermittlung
  • die Verbreitung oder eine andere Form der Bereitstellung
  • den Abgleich oder die Verknüpfung
  • die Einschränkung der Verarbeitung
• Im Rahmen des Hauptvertrags verarbeitet Vertranium abhängig von der konkreten Nutzung durch den Kunden folgende Arten von Daten:
  • Personenstammdaten (Name und Vorname, Firma, Geschlecht, Geburtsdatum, Nationalität, Anschrift der Hauptwohnung oder des gewöhnlichen Aufenthaltsortes und, falls abweichend: Anschrift des derzeitigen Aufenthaltsortes)
  • Kommunikationsdaten (zum Beispiel Telefon, E-Mail)
  • Vertragsdaten (von den Kunden der Kunden zur Leistungserbringung übermittelte sonsitge Arten personenbezogener Daten)
  • Vertragsstammdaten (Vertragsbeziehung, Produkte- bzw. Vertragsinteresse)
• Der Kreis der durch die Verarbeitung personenbezogener Daten im Rahmen dieser Vereinbarung betroffenen Personen umfasst:
  • Kunden des Kunden
  • Kunden
  • Beschäftigte des Kunden im Sinne von § 26 Abs. 8 BDSG
  • Dienstleister des Kunden

5.    Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Vertranium wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleisten. Dazu werden die Schutzziele von Art. 32 Abs. 1 DSGVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Maßnahmen das Risiko auf Dauer eingedämmt wird. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen.
• Zur Gewährleistung einer dem Risiko der Datenverarbeitung nach dem Hauptvertrag angemessenen Schutzniveau hat Vertranium entsprechende technische und organisatorische Maßnahmen gem. Art. 24, 32 DSGVO („TOM“) getroffen. Vor Abschluss dieser Vereinbarung zur Auftragsverarbeitung und vor Beginn der Verarbeitung personenbezogener Daten durch Vertranium hat Vertranium die Dokumentation der TOM, insbesondere hinsichtlich der konkreten Auftragsdurchführung nach Maßgabe dieser Vereinbarung, dem Kunden zur Prüfung zur Verfügung gestellt und diesem Vertrag als Anlage 1 beigefügt. Der Kunde hat diese Maßnahmen geprüft und akzeptiert.
• Die TOM werden als verbindlich festgelegt, gelten als Anlage zu dieser Vereinbarung und sind Grundlage dieses Auftrags. Die darin beschriebenen Maßnahmen sind passend zum ermittelten Risiko der Verarbeitung zur Erbringung von Vertranium-Leistungen unter Berücksichtigung der Schutzziele nach Stand der Technik und unter besonderer Berücksichtigung der eingesetzten IT-Systeme und Verarbeitungsprozesse spezifiziert. Die TOM beinhalten im Wesentlichen folgende technische und organisatorische Maßnahmen:
  • Maßnahmen zur Pseudonymisierung und Verschlüsselung personenbezogener Daten (Art. 32 Abs. 1 lit. a DSGVO).
  • Maßnahmen zur Gewährleistung der Fähigkeit, die Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO), Integrität (Art. 32 Abs. 1 lit. b DSGVO), Verfügbarkeit und Belastbarkeit der Systeme und Dienste (Art. 32 Abs. 1 lit. b DSGVO) im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen.
  • Maßnahmen zur Gewährleistung der Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen (Art. 32 Abs. 1 lit. c DSGVO).
  • Ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung (Art. 32 Abs. 1 lit. d, Art. 25 Abs. 1 DSGVO).
• Die TOM unterliegen dem technischen Fortschritt und der Weiterentwicklung. Vertranium ist es deshalb gestattet, alternative adäquate Maßnahmen umzusetzen, wenn und soweit das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird. Vertranium wird dem Kunden auf Anforderung die jeweils aktuellen TOM sowie sämtliche Änderungen zur Verfügung stellen, damit dieser seiner Dokumentations- und Nachweisverpflichtung nach Art. 5 Abs. 2 DSGVO nachkommen kann.

6.    Berichtigung, Löschung und Sperrung von Daten

• Die im Auftrag des Kunden verarbeiteten Daten darf Vertranium nur nach Weisung des Kunden berichtigen, löschen, übertragen oder ihre Verarbeitung einschränken. Wenn sich eine betroffene Person zu diesem Zweck direkt an Vertranium wendet, hat Vertranium ein solches Ersuchen unverzüglich und im Regelfall per E-Mail an den Kunden weiterzuleiten.
• Der Kunde wird das Ersuchen prüfen und Vertranium unverzüglich mitteilen, ob es berechtigt war oder nicht und Vertranium anweisen, die Berichtigung, Löschung, Übertragung oder Einschränkung der Verarbeitung vorzunehmen. Die Weisung ist von beiden Parteien zu dokumentieren.

7.    Weitere Pflichten von Blickwinkel

• Neben den Regelungen dieser Vereinbarung zur Auftragsverarbeitung muss Vertranium zusätzlich folgende gesetzliche Pflichten nach Art. 28–33 DSGVO befolgen:
  • die bei Vertranium zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit gemäß Art. 28 Abs. 3 Satz 2 lit. b DSGVO zu verpflichten;
  • angesichts der Art der Verarbeitung den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrung der Rechte der betroffenen Personen (Art. 12–22 DSGVO) nachzukommen (Art. 28 Abs. 3 Satz 2 lit. e DSGVO);
  • für Zwecke der Auswahl durch den Kunden und der Kontrollen und Überprüfungen seines Verhaltens, nachzuweisen, dass er die von dem Kunden geforderten hinreichenden Garantien (Art. 28 Abs. 1 DSGVO) bieten kann, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung personenbezogener Daten im Einklang mit der DSGVO erfolgt und dass der Schutz der Rechte der betroffenen Person gewährleistet wird (Art. 28 Abs. 3 lit. h DSGVO);
  • mit der Aufsichtsbehörde auf deren Anfrage hin bei der Erfüllung ihrer Aufgaben zusammenzuarbeiten.

8.    Verarbeitung von Daten in Drittländern durch Blickwinkel

• Nach dieser Vereinbarung zur Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten durch Vertranium grundsätzlich nur im Gebiet der Bundesrepublik Deutschland sowie der Europäischen Union und des Europäischen Wirtschaftsraumes zulässig.
• Personenbezogene Daten dürfen nur in Drittländern verarbeitet werden, wenn der Kunde zuvor schriftlich oder in einem dokumentierten elektronischen Format zugestimmt hat und wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
• Vor Abschluss dieser Vereinbarung zur Auftragsverarbeitung und vor Beginn der Verarbeitung personenbezogener Daten durch Vertranium hat der Kunde die Möglichkeit gehabt, die durch Vertranium vorgesehenen Verarbeitungsvorgänge sowie die vorgesehenen Maßnahmen gemäß Art. 44 ff. DSGVO zu prüfen und zu akzeptieren. Der Kunde gestattet mit Abschluss dieser Vereinbarung eine Datenverarbeitung in einem Drittland durch Subunternehmer auf dieser Liste.
• Wenn und soweit Vertranium künftig beabsichtigt, die Verarbeitung personenbezogener Daten des Kunden erstmals oder über die bei Abschluss dieser Vereinbarung durch den Kunden gestatteten Verarbeitungsvorgänge hinaus ganz oder teilweise in ein Drittland zu verlagern, hat Vertranium den Kunden mindestens einen Monat vor der geplanten Verlagerung zu unterrichten.
• Vertranium kann den Kunden dazu auffordern, innerhalb einer Frist von einem Monat der beabsichtigten Verlagerung zuzustimmen. Falls der Kunde innerhalb dieser Frist nicht zustimmt, ist Vertranium berechtigt, sowohl den Hauptvertrag als auch diese Vereinbarung zur Auftragsverarbeitung mit einer Frist von einem Monat zum Monatsende zu kündigen.

9.    Einschaltung von Subunternehmern

• Die Auslagerung auf Subunternehmer, der Wechsel eines bestehenden Subunternehmers oder die Änderung eines Unterauftragsverhältnisses sind zulässig, wenn und soweit eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2–4 DSGVO mit dem Subunternehmer zugrunde gelegt wird, von der Vertranium dem Kunden auf Verlangen eine Kopie vorlegt, und der Kunde keinen Einspruch gegen die Änderungen erhebt. Vertranium hat eine Auslagerung auf einen Subunternehmer, einen Wechsel von Subunternehmern oder eine Änderung eines Unterauftragsverhältnisses dem Kunden eine angemessene Zeit, spätestens vier Wochen vorab, in Textform anzuzeigen. Der Kunde kann innerhalb von vier Wochen ab der Anzeige oder bis zum Zeitpunkt der Übergabe der Daten, je nachdem, welcher Termin früher eintritt, gegenüber Vertranium in Textform Einspruch gegen die geplante Auslagerung erheben.
  • Der Kunde wird einen solchen Einspruch nicht unbillig erheben.
  • Im Falle eines Einspruchs ist Vertranium berechtigt, sowohl den Hauptvertrag als auch diese Vereinbarung zur Auftragsverarbeitung mit einer Frist von einem Monat zum Monatsende zu kündigen.
  • Die Liste der bei Abschluss dieser Vereinbarung für Vertranium tätigen Subunternehmer ist diesem Vertrag als Anlage 2 beigefügt. Vor Abschluss dieser Vereinbarung zur Auftragsverarbeitung und vor Beginn der Verarbeitung personenbezogener Daten durch Vertranium hat der Kunde Möglichkeit gehabt, die diese Liste zu prüfen und zu akzeptieren. Die Subunternehmer auf dieser Liste gelten deshalb mit Abschluss dieser Vereinbarung als genehmigt.
• Schaltet Vertranium mit Zustimmung des Kunden oder aufgrund der allgemeinen Genehmigung des Kunden Subunternehmer ein, so wird Vertranium seine vertraglichen Vereinbarungen mit den Subunternehmern so gestalten und entsprechend dokumentieren, dass sie den Anforderungen zu Vertraulichkeit, Datenschutz und Datensicherheit wie sie im Verhältnis zwischen Vertranium und dem Kunden bestehen, entsprechen (Art. 28 Abs. 4 DSGVO). Zudem sind Subunternehmern zumindest die gleichen Pflichten aufzuerlegen, die Vertranium nach den Regelungen dieser Vereinbarung zur Auftragsverarbeitung treffen.
• Dem Kunden sind Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung zur Auftragsverarbeitung einzuräumen, um festzustellen, ob der Subunternehmer geeignete technische und organisatorische Maßnahmen ergriffen hat, die sicherstellen, dass die Datenverarbeitung durch ihn den Anforderungen der DSGVO entspricht. Der Kunde ist zu diesem Zweck berechtigt, Auskunft über den Vertragsinhalt und die Umsetzung der datenschutzrelevanten Verpflichtungen des Subunternehmers zu erhalten, erforderlichenfalls auch durch Einsicht in die relevanten Vertragsunterlagen. Vertranium kann dem Kunden die Umsetzung geeigneter technischer und organisatorischer Maßnahmen zur Erfüllung der Anforderungen der DSGVO auch durch Einhaltung von genehmigten Verhaltensregeln im Sinne von Art. 40 DSGVO und/oder Zertifizierungen im Sinne von Art. 42 DSGVO nachweisen.
• Die Weitergabe von personenbezogenen Daten des Kunden an den Subunternehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestattet.
• Erbringt der Subunternehmer die vereinbarte Leistung außerhalb der EU/des EWR, stellt Vertranium die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen gemäß Ziffer 8 sicher.

10.  Kontroll- und Zutrittsrechte des Kunden, Mitwirkungspflichten von Blickwinkel

• Im Hinblick auf die Nachweispflichten des Kunden nach Art. 5 Abs. 2 DSGVO und dessen Überprüfungsrechte nach Art. 28 Abs. 3 Satz 2 lit. h DSGVO vor Beginn der Datenverarbeitung und während der Laufzeit dieser Vereinbarung zur Auftragsverarbeitung stellt Vertranium sicher, dass sich der Kunde überzeugen kann, dass die getroffenen technischen und organisatorischen Maßnahmen eingehalten werden.
• Der Kunde hat das Recht, im Benehmen mit Vertranium Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen während der im Hauptvertrag für den Support durch Vertranium festgelegten Zeiten, die Vertranium rechtzeitig anzukündigen sind, von der Einhaltung dieser Vereinbarung zur Auftragsverarbeitung durch Vertranium im Geschäftsbetrieb von Vertranium zu überzeugen.
• Der Auftraggeber verpflichtet sich, die durch eine Vor-Ort-Kontrolle bei Vertranium oder durch Kontrollen bei einem Subunternehmer verursachten Kosten zu tragen. Die Höhe der angefallenen Kosten hat Vertranium nachzuweisen. Soweit zwischen den Parteien nichts anderes vereinbart wurde, wird für die Vergütung der Tätigkeit von Vertranium oder Mitarbeitern von Vertranium der in den „Kunden-Nutzungsbedingungen für Vertranium-Leistungen“ vereinbarte Stundensatz für sonstige Leistungen zugrunde gelegt.
• Vertranium stellt sicher, dass sich der Kunde von der Einhaltung der Pflichten von Vertranium nach Art. 28 DSGVO überzeugen kann. Vertranium verpflichtet sich, dem Kunden auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.
• Der Nachweis solcher Maßnahmen, die nicht nur die konkrete Auftragsverarbeitung betreffen, kann erfolgen durch
  • die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO;
  • die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO;
  • aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (zum Beispiel Wirtschaftsprüfer, Revision, Datenschutzbeauftragter);
  • eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudits (zum Beispiel nach BSI-Grundschutz, ISO 27001 und SOC 2).

11.  Mitzuteilende Verstöße

• Vertranium unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch Vertranium-Leistungen und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde (Art. 33 DSGVO) und zur Benachrichtigung der betroffenen Personen (Art. 34 DSGVO).
• Vertranium meldet gemäß Art. 33 Abs. 2 DSGVO Verletzungen des Schutzes personenbezogener Daten ohne Ansehen der Verursachung unverzüglich dem Kunden, sobald diese Vertranium bekannt werden. Entsprechend stellen solche Mitteilungen auch kein Eingeständnis eines Verschuldens durch Vertranium dar. Im Regelfall erfolgen solche Meldungen per E-Mail.
• Vertranium hat im Benehmen mit dem Kunden angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen. Insbesondere ist Vertranium verpflichtet, unverzüglich die Ursache für die Verletzung des Schutzes personenbezogener Daten zu beseitigen. Soweit den Kunden Melde- und Benachrichtigungspflichten nach Art. 33 Abs. 1 oder 34 Abs. 1 DSGVO gegenüber der Aufsichtsbehörde und den betroffenen Personen treffen, wird Vertranium ihn hierbei im Sinne des Art. 28 Abs. 3 Satz 2 lit. f DSGVO unterstützen.
• Der Kunde als Verantwortlicher bleibt allein im Sinne der Art. 33, 34 DSGVO verantwortlich. Er entscheidet deswegen allein, ob aufgrund der ihm von Vertranium über einen Vorfall zur Verfügung gestellten Informationen die Aufsichtsbehörde und ggf. die Betroffenen benachrichtigt werden müssen oder ob darauf im Ausnahmefall verzichtet werden kann. Er ist allein für die Einhaltung der 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO verantwortlich. Der Kunde haftet allein und vollumfänglich, sollte er eine erforderliche Meldung im vorgenannten Sinne trotz unverzüglicher Information durch Vertranium unterlassen oder die 72-Stunden-Frist versäumt haben.

12.  Datenschutzfolgeabschätzung

• Vertranium unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch Vertranium-Leistungen und der ihm zur Verfügung stehenden Informationen bei der Datenschutzfolgenabschätzung gemäß Art. 35, 36 DSGVO.
• Sollte diese Unterstützung darüber hinaus gehen, dem Kunden alle Vertranium vorliegenden relevanten Informationen zur Verfügung zu stellen, verpflichtet sich der Auftraggeber, die durch die Datenschutzfolgeabschätzung bei Vertranium oder bei einem Subunternehmer verursachten Kosten zu tragen. Die Höhe der angefallenen Kosten hat Vertranium nachzuweisen. Soweit zwischen den Parteien nichts anderes vereinbart wurde, wird für die Vergütung der Tätigkeit von Vertranium oder Mitarbeitern von Vertranium der in den „Allgemeinen Geschäftsbedingungen der Vertranium GmbH“ vereinbarte Stundensatz für sonstige Leistungen zugrunde gelegt.

13.  Weisungsbefugnisse

• Vertranium wird Weisungen des Kunden, die sich auf die Beachtung der einschlägigen datenschutzrechtlichen Bestimmungen sowie Zweck und Ziel der Verarbeitung beziehen, beachten. Vertranium und jede Vertranium unterstellte Person wird die personenbezogenen Daten ausschließlich nach den Weisungen des Kunden, einschließlich der in dieser Vereinbarung eingeräumten Befugnisse, verarbeiten und nutzen. Etwas anderes gilt nur dann, wenn Vertranium durch das Recht der Union oder des Mitgliedsstaates, in dem er seinen Sitz hat, hierzu verpflichtet ist (Art. 28 Abs. 3 Satz 2 lit. a, Art. 29 DSGVO). In diesem Fall wird Vertranium dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mitteilen, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet, Art. 28 Abs. 3 Satz 2 lit. a DSGVO.
• Mit Abschluss des Hauptvertrags weist der Kunde Vertranium an, im Rahmen der im Hauptvertrag getroffenen Auftragsbeschreibung personenbezogene Daten zu verarbeiten. Der Kunde behält sich im Rahmen der im Hauptvertrag getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang, Ziele und Zweck der Datenverarbeitung vor. Dieses kann der Kunde durch Einzelweisungen konkretisieren. Weisungen, Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und schriftlich oder in einem elektronischen Format zu dokumentieren (Art. 28 Abs. 3 Satz 2 lit. a, Art. 29 DSGVO). Auskünfte an Dritte oder betroffene Personen darf Vertranium nur nach vorheriger schriftlicher Zustimmung oder elektronischer Zustimmung des Kunden erteilen. Die Zustimmung ist zu dokumentieren.
• Mündliche Weisungen wird der Kunde unverzüglich in Textform bestätigen. Im Übrigen erteilt der Kunde alle Aufträge, Teilaufträge und Weisungen grundsätzlich in Textform. Vertranium hat die Weisungen des Kunden zu dokumentieren und in geeigneter Weise festzuhalten. Vertranium verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate werden ohne Wissen des Kunden nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
• Vertranium ist bekannt, dass Vertranium selbst als Verantwortlicher gilt, wenn von der vertraglichen Vereinbarung oder den Weisungen des Verantwortlichen abgewichen wird. Die Weisungen sind für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.
• Sofern Vertranium der Auffassung ist, dass die Ausführung von Weisungen des Kunden, auch von solchen in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, zu einer Verletzung von Datenschutzbestimmungen führen könnte oder rechtswidrig ist, ist Vertranium verpflichtet, den Kunden hierauf unverzüglich, vor der Verarbeitung bzw. Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation hinzuweisen, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Vertranium ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Kunden bestätigt oder geändert wird. Die Weisung des Kunden und die Ablehnung von Vertranium sind zu dokumentieren.

14.  Rückgabe von Datenträgern und Löschung von Daten

• Mit Beendigung des Auftrags oder vorher auf Verlangen des Kunden ist Vertranium verpflichtet, dem Kunden die Bestände personenbezogener Daten, die Gegenstand der Auftragsverarbeitung sind, nach Wahl des Kunden zu löschen oder dem Kunden zurückzugeben (Art. 28 Abs. 3 Satz 2 lit. g DSGVO), wobei zu löschende Daten nach Wahl von Vertranium auch vernichtet werden können. Vertranium wird die personenbezogenen Daten unverzüglich nach einem entsprechenden Verlangen des Kunden oder nach der Übergabe an den Kunden löschen.
  • Nach Beendigung des Auftragsverhältnisses dürfen keinerlei personenbezogene Daten, die Vertranium durch den Kunden zur Verarbeitung überlassen worden sind oder Ergebnis der Verarbeitung sind, bei Vertranium verbleiben.
  • Die Verpflichtung gilt nicht, sofern Vertranium nach dem Unionsrecht oder dem Recht des Mitgliedstaates, in dem er seinen Sitz hat, zur Aufbewahrung personenbezogener Daten verpflichtet ist. Das Protokoll der Löschung bzw. Vernichtung ist dem Kunden vorzulegen. Entsprechendes gilt für die Versicherung der vollständigen Aushändigung sämtlicher in Zusammenhang mit dem Hauptvertrag und dieser Vereinbarung zur Auftragsverarbeitung stehenden Unterlagen sowie Verarbeitungs- und Nutzungsergebnisse.
• Vertranium ist berechtigt, Dokumentationen, die benötigt werden, um die Auftrags- und ordnungsgemäße Datenverarbeitung nachweisen zu können, gemäß den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Vertranium kann sie dem Kunden zur Entlastung bei Vertragsende übergeben.

15.  Haftung

• Wird eine der Parteien von einer betroffenen Person wegen eines Verstoßes gegen datenschutzrechtliche Bestimmungen auf Schadensersatz in Anspruch genommen, wird die andere Partei von der in Anspruch genommenen Partei unverzüglich informiert.
  • Die Haftung der Parteien für solche Schadensersatzansprüche im Innenverhältnis der Parteien sowie im Außenverhältnis zu der betroffenen Person richtet sich nach Art. 82 DSGVO.
  • Soweit dies die rechtliche Position der Parteien gegenüber Dritten, gegenüber Aufsichtsbehörden und/oder im Verhältnis zueinander nicht beeinträchtigt, werden sich die Parteien gegenseitig dabei unterstützen, Schadensersatzansprüche einer betroffenen Person abzuwehren.
  • Ansprüche der Parteien gemäß Art. 82 Abs. 5 DSGVO verjähren innerhalb von einem Jahr nach Kenntnis oder grob fahrlässiger Unkenntnis der den Anspruch begründenden Umstände.
• Für die Haftung von Vertranium aufgrund anderer Rechtsgrundlagen gelten, soweit die Parteien nichts Abweichendes vereinbart haben, die Regelungen der „Allgemeinen Geschäftsbedingungen der Vertranium GmbH“.

Anlage 1 – Technische und organisatorische Maßnahmen

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)

• Zutrittskontrolle
  Der Zutritt zu den Räumlichkeiten der Vertranium GmbH und den dort betriebenen Datenverarbeitungsanlagen ist nur mit dem passenden Schlüssel möglich.
• Zugangskontrolle
  Die IT-Systeme der Vertranium GmbH sind gegen unbefugte Systembenutzung durch sichere Kennwörter, automatische Sperrmechanismen und Verschlüsselung von Datenträgern gesichert.
• Zugriffskontrolle
  Vertranium-Leistungen sind gegen unbefugtes Lesen, Kopieren, Verändern oder Entfernen von Daten innerhalb des Systems durch Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte sowie Protokollierung von Zugriffen geschützt.
• Trennungskontrolle
  Daten, die für die Verarbeitung mit Vertranium-Leistungen wurden, werden getrennt von Daten verarbeitet, die zu anderen Zwecken erhoben wurden. Die Systeme für Vertranium-Leistungen sind mandantenfähig. Ein Zugriff auf Daten anderer Kunden ist innerhalb des Systems nicht möglich.

2. Integrität (Art. 32 Abs. 1 lit. b DS-GVO)

• Weitergabekontrolle
  Gegen unbefugtes Lesen, Kopieren, Verändern oder Entfernen von Daten bei elektronischer Übertragung oder Transport ist Vertranium-Leistungen durch Verwendung verschlüsselter Verbindungen, Virtual Private Networks (VPN) und elektronische Signaturen geschützt.
• Eingabekontrolle
  Für die Vertranium-Leistungen werden Eingaben, Löschung und Änderung von personenbezogenen Daten protokolliert, Berechtigungen zur Dateneingabe werden über ein Rollenkonzept beschränkt.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)

• Die mit Vertranium-Leistungen verarbeiteten und gespeicherten Daten sind in Rechenzentren gegen zufällige oder mutwillige Zerstörung bzw. Verlust durch ausreichende Backups, unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne geschützt.
• Die rasche Wiederherstellbarkeit der Daten ist gewährleistet (Art. 32 Abs. 1 lit. c DS-GVO);

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)

• Im Rahmen des Datenschutz-Managements der Vertranium GmbH wird die Wirksamkeit der technischen und organisatorischen Maßnahmen regelmäßig geprüft und evaluiert.
• Durch datenschutzfreundliche Voreinstellungen wird sichergestellt, dass personenbezogene Daten nur in der Menge, der Dauer und dem Umfang erhoben und verarbeitet werden, die für die mit Vertranium-Leistungen verfolgten Zwecke erforderlich sind.
• Auftragskontrolle
  Auftragsdatenverarbeitung im Sinne von Art. 28 DS-GVO erfolgt nicht ohne entsprechende Weisung der Vertranium GmbH als Auftraggeber. Die Verträge mit den Auftragsverarbeitern sind entsprechend ausgestaltet. Vor dem Abschluss eines Vertrages mit einem Auftragsverarbeiter und während der Vertragslaufzeit wird geprüft, ob die Voraussetzungen für die Verarbeitung von personenbezogenen Daten für Vertranium-Leistungen erfüllt werden.

Anlage 2 – Unterauftragnehmer