Kostenlos starten

Auftragsverarbeitungsvertrag

Zwischen

Auftraggeber1 (Verantwortlicher)

Und

TERRITORY Smart Agency GmbH
Hindenburghaus
Großer Burstah 29/31
20457 Hamburg

Auftragnehmer2 (Auftragsverarbeiter)

Präambel

Mit Abschluss des Hauptvertrags beauftragt der Auftraggeber den Auftragnehmer als Auftragsverarbeiter mit der Verarbeitung von personenbezogenen Daten des Auftraggebers. Dieser Auftragsverarbeitungsvertrag (im Folgenden „AV-Vertrag“) konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien unter Berücksichtigung der EU-Datenschutzgrundverordnung (im Folgenden „DS-GVO“). Er findet Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen, und bei denen durch den Auftragnehmer eingesetzte Personen personenbezogene Daten des Auftraggebers verarbeiten.

1 Name und Anschrift des Auftraggebers sind in Anhang 1 aufgeführt.
2 Name und Anschrift des Auftragnehmers sind in Anhang 1 aufgeführt.

1. Begriffsbestimmungen

Die in diesem AV-Vertrag verwendeten Begriffe wie z.B. „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“ oder „betroffene Person“ entsprechen den Begriffsbestimmungen der DS-GVO, soweit in diesem AV-Vertrag keine anderweitigen Definitionen enthalten sind. Mit „Daten des Auftraggebers“ sind ausschließlich solche personenbezogenen Daten gemeint, die im Zusammenhang mit dem Hauptvertrag entweder dem Auftragnehmer vom Auftraggeber überlassen oder vom Auftragnehmer ausschließlich für den Auftraggeber in dessen Auftrag erhoben wurden.

Sofern im Folgenden von „Schriftform“ oder „Textform“ gesprochen wird, schließt dies in Abweichung von §126 Abs. 1 BGB Emails oder ähnliche Formvarianten mit ein.

2. Gegenstand und Dauer der Verarbeitung; Art, Zweck und Mittel der Verarbeitung; Art der personenbezogenen Daten sowie Kategorien betroffener Personen

2.1

Der Gegenstand und die Dauer der Verarbeitung, die Art, der Zweck und die Mittel der Verarbeitung sowie die Art der personenbezogenen Daten und die Kategorien der betroffenen Personen sind in Anhang 1 dieses AV-Vertrags niedergelegt.

2.2

Der Auftragnehmer ist im Rahmen der Erfüllung des Auftragsgegenstandes unter Einhaltung der Bestimmungen dieses AV-Vertrags zur Durchführung aller erforderlichen Verarbeitungsschritte hinsichtlich der Daten des Auftraggebers (z.B. Duplizieren von Beständen für die Verlustsicherung, Anlegen von Logfiles, Zwischendateien und Arbeitsbereichen) berechtigt, soweit dies nicht zu einer inhaltlichen Umgestaltung der Daten des Auftraggebers führt.

3. Weisungsgebundenheit des Auftragnehmers

3.1

Der Auftragnehmer darf die Daten des Auftraggebers nur im Rahmen des Hauptvertrags, einschließlich dieses AV-Vertrags, und der Weisungen des Auftraggebers – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation im Sinne des Art. 4 Absatz 1 Nr. 26 DS-GVO (z.B. UN) - verarbeiten, sofern er nicht gesetzlich zur Verarbeitung verpflichtet ist. In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen schriftlich oder per E-Mail (Textform) mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2

„Weisungen“ sind die auf eine bestimmte Verarbeitung der Daten des Auftraggebers durch den Auftragnehmer gerichteten, dokumentierten Anordnungen des Auftraggebers. Sie werden anfänglich durch diesen AV-Vertrag festgelegt und können vom Auftraggeber danach durch eine einzelne Weisung geändert, ergänzt oder ersetzt werden (Einzelweisung).

3.3

Die Weisungen des Auftraggebers sind grundsätzlich in Textform zu erteilen; im Ausnahmefall erforderliche mündliche Weisungen sind vom Auftraggeber unverzüglich in Textform zu bestätigen. Weisungsberechtigte Personen auf Seiten des Auftraggebers und empfangsberechtigte Personen auf Seiten des Auftragnehmers werden der jeweils anderen Partei mitgeteilt. Die bei In-Kraft-Treten dieses AV-Vertrages entsprechend befugten Personen seitens des Auftragnehmers sind in Anhang 1 aufgeführt. Die jeweilige Partei wird die andere Partei unverzüglich über einen Wechsel dieser Person in Textform informieren.

3.4

Es besteht keine materiell-rechtliche Prüfpflicht seitens des Auftragnehmers in Hinblick auf vom Auftraggeber erteilte Weisungen. Ist der Auftragnehmer jedoch der Auffassung, dass eine Weisung des Auftraggebers gegen die DS-GVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Auftraggeber unverzüglich. Der Auftragnehmer ist insoweit berechtigt, die Durchführung der vereinbarten Tätigkeit solange auszusetzen, bis der Auftraggeber über das weitere Vorgehen entschieden und den Auftragnehmer in Textform informiert hat. Der Auftraggeber trägt die alleinige Verantwortung für die von ihm getroffene Entscheidung. Hält der Auftraggeber an der erteilten Weisung fest und verlangt deren Umsetzung aus Sicht des Auftragnehmers ihm weiterhin ein rechtswidriges Handeln ab, ist der Auftragnehmer berechtigt, die Verarbeitung nicht durchzuführen.

3.5

Sollte der Auftragnehmer oder dessen Subunternehmer auf Grund der Umsetzung einer Weisung des Auftraggebers (einschließlich der im Hauptvertrag vereinbarten) oder einer Entscheidung gemäß vorstehendem Absatz 3.4 von einem Dritten mit der Behauptung in Anspruch genommen werden, dass ihm wegen eines Verstoßes gegen die DS-GVO ein materieller oder immaterieller Schaden entstanden ist, oder eine Aufsichtsbehörde infolgedessen eine Geldbuße gegen den Auftragnehmer oder dessen Subunternehmer verhängen oder androhen, stellt der Auftraggeber den in Anspruch Genommenen vollumfänglich von einer solchen Inanspruchnahme bzw. der Geldbuße frei. Der Freistellungsanspruch umfasst dabei auch seine angemessenen Kosten der Rechtsverteidigung. Entsprechendes gilt, wenn eine Inanspruchnahme auf eine Verletzung der vertraglichen oder gesetzlichen Pflichten durch den Auftraggeber zurückzuführen ist.

4. Pflichten des Auftragnehmers

4.1

Der Auftragnehmer wird in seinem Verantwortungsbereich technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers treffen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit dieser Auftragsverarbeitung auf Dauer sicherstellen sowie die Fähigkeit haben, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Die vom Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sind in Anhang 2 niedergelegt (im Folgenden „TOMs“).

Dem Auftraggeber sind diese TOMs bekannt. Er trägt die alleinige Verantwortung dafür, dass diese für die Risiken der zu verarbeitenden personenbezogenen Daten ein angemessenes Schutzniveau bieten.

4.2

Eine Änderung der getroffenen TOMs bleibt dem Auftragnehmer vorbehalten, es sei denn, dass das im Anhang 2 niedergelegte Schutzniveau damit unterschritten wird.

4.3

Der Auftragnehmer hat ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der TOMs zur Gewährleistung der Sicherheit der Verarbeitung etabliert.

4.4

Der Auftragnehmer gewährleistet, dass die mit der Verarbeitung der Daten des Auftraggebers befassten Mitarbeiter und anderen für den Auftragnehmer tätige Personen diese Daten nur gemäß den Weisungen des Auftraggebers verarbeiten, sofern sie nicht gesetzlich zur Verarbeitung verpflichtet sind. Der Auftragnehmer gewährleistet ferner, dass sich die von ihm zur Verarbeitung der Daten des Auftraggebers eingesetzten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Verpflichtung besteht auch nach Beendigung des Auftrags fort.

4.5

Der Ansprechpartner beim Auftragnehmer für im Rahmen des AV-Vertrags anfallende Datenschutzfragen ist in Anhang 1 benannt. Der Auftragnehmer wird den Auftraggeber über einen Wechsel des Ansprechpartners unverzüglich in Textform informieren.

4.6

Der Auftragnehmer ist verpflichtet, ein Verzeichnis mit den Inhalten des Art. 30 Abs. 2 DS-GVO zu führen. Er ist befugt, das diesen AV-Vertrag betreffende Verzeichnis einer Aufsichtsbehörde oder einem Dritten auf deren Anfrage zur Verfügung zu stellen.

4.7

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 32 bis 36 DS-GVO geregelten Pflichten des Auftraggebers.

4.8

Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Auftragnehmer wird den Dritten unverzüglich darüber informieren, dass die Hoheit und das "Eigentum an den Daten" allein beim Auftraggeber liegen.

5. Pflichten des Auftraggebers

5.1

Der Auftraggeber ist alleiniger Herr der Daten und entsprechend Verantwortlicher im Sinne von Art 4 Nr. 7 DS-GVO.

5.2

Der Auftraggeber hat den Auftragnehmer zu informieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.

5.3

Der Ansprechpartner des Auftraggebers für im Rahmen des AV-Vertrags anfallende Datenschutzfragen wird dem Auftragnehmer in Textform oder schriftlich mitgeteilt. Der Auftraggeber wird den Auftragnehmer über einen Wechsel des Ansprechpartners unverzüglich in Textform informieren.

5.4

Dem Auftraggeber obliegt die Evaluierung und Bewertung der Wirksamkeit der getroffenen TOMs zur Gewährleistung der Sicherheit der Verarbeitung. Soweit diese aus Sicht des Auftraggebers zur Gewährleistung der Sicherheit der Verarbeitung nicht ausreichend sind, werden die Parteien entsprechende Änderungen und deren kommerzielle Auswirkungen abstimmen.

5.5

Im Fall einer Inanspruchnahme des Auftragnehmers durch eine betroffene Person oder eine in Art. 80 DSGVO genannte Stelle hinsichtlich etwaiger Ansprüche nach Art. 79 oder 82 DS-GVO verpflichtet sich der Auftraggeber, den Auftragnehmer bei der Abwehr der Ansprüche zu unterstützen. Der Auftragnehmer ist in diesem Zusammenhang berechtigt, Details des AV-Vertrages, der Datenverarbeitung und von Weisungen des Auftraggebers zum Zwecke der Abwehr dieser Ansprüche oder zur Exkulpation nach Art. 82 Abs. 3 DS-GVO gegenüber Dritten offenzulegen.

6. Wahrung von Betroffenenrechten

6.1

Hinsichtlich dieses AV-Vertrags ist der Auftraggeber für die Wahrung der nach Kapitel III der DS-GVO vorgesehenen Betroffenenrechte verantwortlich. Der Auftragnehmer wird den Auftraggeber im Rahmen seiner Möglichkeiten mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner diesbezüglichen Verpflichtungen unterstützen.

6.2

Wendet sich ein Betroffener mit der Geltendmachung von in der DS-GVO geregelten datenschutzrechtlichen Betroffenenrechten (beispielsweise Forderungen zur Datenportabilität, Berichtigung, Löschung oder Auskunft) an den Auftragnehmer, wird der Auftragnehmer den Betroffenen an den Auftraggeber verweisen, sofern eine Zuordnung der Betroffenenanfrage an den Auftraggeber nach den Angaben des Betroffenen möglich ist.

7. Subunternehmer (weitere Auftragsverarbeiter)

Der Auftragnehmer ist nach Maßgabe der in Anhang 1 unter Ziffer 14 getroffenen Regelungen berechtigt, Subunternehmer als weitere Auftragsverarbeiter einzusetzen. Der Auftragnehmer wird die vertraglichen Vereinbarungen mit dem Subunternehmer so gestalten, dass dem Subunternehmer gegenüber dem Auftragnehmer nicht weniger strenge datenschutzrechtliche Verpflichtungen auferlegt werden, als sie der Auftragnehmer gegenüber dem Auftraggeber hat, soweit in diesem AV-Vertrag keine abweichenden Vereinbarungen zu Gunsten eines Subunternehmers vereinbart wurden. Die vorstehende Verpflichtung gilt insbesondere hinsichtlich der Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit hinsichtlich der personenbezogenen Daten. Der Auftraggeber ist berechtigt, vom Auftragnehmer Auskunft über die datenschutzrelevanten Verpflichtungen des Subunternehmers zu erhalten.

8. Nachweise des Auftragnehmers, Inspektionen

8.1

Der Auftragnehmer weist dem Auftraggeber die Einhaltung der in diesem AV-Vertrag niedergelegten Pflichten wie in Anhang 1 unter Ziffer 15 beschrieben nach und stellt dem Auftraggeber die hierfür erforderlichen Informationen zur Verfügung.

8.2

Bei einem objektiven Verdacht der Verletzung dies AV-Vertrags durch den Auftragnehmer, hat der Auftraggeber das Recht, nach einer angemessen zeitnahen Vorankündigung – i.d.R. mindestens 4 Wochen - (bei schwerwiegenden Störungen des Betriebsablaufes, bei Verdacht auf Datenschutzverletzungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der Daten des Auftraggebers ohne Vorankündigung) die Betriebs- und Geschäftsräume des Auftragnehmers um die Angemessenheit der Maßnahmen und von der Einhaltung der einschlägigen gesetzlichen und vertraglichen Datenschutzbestimmungen zu prüfen.

Eine solche Prüfung wird nur während der regulären Geschäftszeiten des Auftragnehmers in Beisein der vom Auftragnehmer benannten Mitarbeiter durchgeführt, ohne den laufenden Geschäftsbetrieb zu beeinträchtigen. Die Prüfung unterliegt immer den Vertraulichkeits- und Sicherheitsrichtlinien und -vorgaben des Auftragnehmers. Der Auftragnehmer kann vom Auftraggeber und/oder dessen externen Prüfer, einen Vertraulichkeitsvereinbarung zu unterschreiben, insofern dies notwendig ist, um die Vertraulichkeit von Daten und Informationen anderer Kunden des Auftragnehmers sowie Geschäftsgeheimnisse des Auftragnehmers zu schützen. Wenn der vom Auftraggeber ernannte externe Prüfer ein direkter oder indirekter Wettbewerber des Auftragnehmers oder seiner Subunternehmer ist, hat der Auftragnehmer das Recht, die Prüfung durch diesen Prüfer abzulehnen und diesem den Zugang zu seinen Räumlichkeiten und Systemen u.ä. zu verweigern.

8.3

Der Auftraggeber kann gemäß Absatz 8.1 dieser Ziffer Prüfungen unter folgender Voraussetzung anfordern: Prüfungen dürfen nicht häufiger als alle 12 Monate durchgeführt werden.

9. Rückgabe und Löschung von Daten bei Vertragsbeendigung

9.1

Nach Beendigung des Hauptvertrags wird der Auftragnehmer, sofern technisch möglich und vom Auftraggeber gewünscht, die Daten des Auftraggebers herausgeben. Elektronisch gespeicherte Daten sind auf Wunsch entweder in einem marktüblichen Format auf Datenträgern herauszugeben, wobei der Auftraggeber das Versandrisiko trägt, oder verschlüsselt online dem Auftraggeber zu übermitteln, wobei der Auftraggeber das Übermittlungsrisiko trägt.

9.2

Der Auftragnehmer wird sämtliche elektronisch gespeicherten Daten des Auftraggebers, von denen der Auftraggeber keine Herausgabe gemäß Absatz 9.1 wünscht oder bei denen eine Herausgabe technisch nicht möglich ist, löschen oder im Fall von Backups oder Logfiles eine Beschränkung der Datenverarbeitung bis zum Zeitpunkt der Löschung sicherstellen. Der Auftragnehmer wird dem Auftraggeber die Löschung ggf. in Textform bestätigen.

9.3

Daten des Auftraggebers, die nicht in elektronischer Form gespeichert sind (z.B. Daten auf CDs, papierhafte Unterlagen) und von denen der Auftraggeber keine Herausgabe gemäß Absatz 9.1 wünscht, werden durch den Auftragnehmer datenschutzkonform vernichtet.

9.4

Die Verpflichtung zur Herausgabe oder Löschung gemäß dieser Ziffer 9 besteht nicht, wenn der Auftragnehmer gesetzlich zur Aufbewahrung oder sonst zur Speicherung dieser Daten verpflichtet ist.

9.5

Sofern der Auftraggeber eine Aufbewahrung seiner Daten über das Vertragsende hinaus wünscht, werden die entsprechenden Leistungen und kommerziellen Auswirkungen durch die Parteien abgestimmt und ggf. in einer entsprechenden Änderungsvereinbarung festgelegt.

10. Kontrollrechte von Aufsichtsbehörden oder sonstiger hoheitlicher Aufsichtsbehörden des Auftraggebers; Kooperation mit Aufsichtsbehörden; Rechtsstreitigkeiten

10.1

Sollte eine Datenschutzaufsichtsbehörde oder eine sonstige hoheitliche Aufsichtsbehörde des Auftraggebers eine Inspektion bei dem Auftragnehmer vornehmen, gelten grundsätzlich Ziffer 8 Absatz 8.2 des AV-Vertrags entsprechend. Eine Unterzeichnung der Verschwiegenheitsverpflichtung ist in diesem Fall nicht erforderlich.

10.2

Die Vertragsparteien werden sich wechselseitig über sämtliche behördliche Anfragen/Anordnungen und Verfahren, sämtliche Maßnahmen einer der in Art. 80 DS-GVO genannten Stellen (wie z.B. Beschwerden, Abmahnungen, Geltendmachung von Ansprüchen) sowie sämtliche drohenden oder laufenden gerichtlichen Verfahren, die die in diesem AV-Vertrag geregelte Zusammenarbeit zum Gegenstand haben, unverzüglich informieren, im Zusammenhang mit diesen Anfragen, Anordnungen, Maßnahmen oder Verfahren eng zusammenarbeiten und sich wechselseitig alle erforderlichen Unterlagen und Angaben zur Verfügung stellen. Jede Partei ist in diesem Zusammenhang berechtigt, sämtliche diesen AV-Vertrag, einschließlich der Details der Datenverarbeitung, betreffende Informationen und Unterlagen gegenüber der für sie zuständigen Aufsichtsbehörde oder sonstigen Dritten offenzulegen, soweit dies aus Sicht der Partei erforderlich ist.

11. Schlussbestimmungen

11.1

Im Fall eines Widerspruchs zwischen dem Hauptvertrag und dem AV-Vertrag gehen die Regelungen dieses AV-Vertrags vor. Sofern in diesem AV-Vertrag keine abweichenden Abreden getroffen worden sind, gelten die im Hauptvertrag festgelegten Vereinbarungen. Dies gilt insbesondere für die im Hauptvertrag festgelegten Kündigungs- und Haftungsregelungen. Sollten einzelne Teile dieses AV-Vertrags unwirksam sein, so berührt dies die Wirksamkeit des AV-Vertrag im Übrigen nicht.

11.2

Der Auftragnehmer behält sich das Recht vor, nach allgemeinem und uneingeschränktem Ermessen die Bestimmungen dieses AV-Vertrags jederzeit zu ändern oder ergänzen. Änderungen und Ergänzungen dieses AV-Vertrags und seiner Bestandteile bedürfen Textform. Der Auftragnehmer wird die Änderung innerhalb einer angemessenen Frist vor dem geplanten Wirksamwerden in Textform an die bereitgestellte E-Mail-Adresse des Auftraggebers oder in ähnlicher Weise mitteilen.

11.3

Die Parteien vereinbaren für diesen AV-Vertrag die Geltung deutschen Rechts unter Ausschluss der Regelungen des internationalen Privatrechts. Der ausschließliche Gerichtstand für sämtliche Streitigkeiten aus oder im Zusammenhang mit diesem AV-Vertrag ist der Sitz des Auftragnehmers.