Vertrag über die Auftragsverarbeitung personenbezogener Daten

Vertragsparteien

• Auftragnehmer: Course Manager UG (haftungsbeschränkt), Brückenstraße 3, 65719 Hofheim
• Auftraggeber: die Organisation gemäß dem jeweiligen Hauptvertrag, mit Name und Anschrift wie bei der Registrierung bzw. im Hauptvertrag angegeben

1. Einleitung, Geltungsbereich, Definition

1.1 Dieser Vertrag regelt die Rechte und Pflichten der Vertragsparteien (Auftraggeber und -nehmer) bei der Verarbeitung personenbezogener Daten im Auftrag.

1.2 Die Verarbeitung personenbezogener Daten erfolgt im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO.

1.3 Der Vertrag findet auf all die Tätigkeiten Anwendung, bei denen Mitarbeiter des Auftragnehmers oder durch ihn beauftragte Unterauftragsverarbeiter personenbezogene Daten des Auftraggebers in dessen Auftrag verarbeiten.

1.4 Die in diesem Vertrag verwendeten Begriffe beziehen sich auf die Definitionen in der EU-Datenschutzgrundverordnung (DSGVO). Danach versteht sich der Auftraggeber als „Verantwortlicher“ und der Auftragnehmer als „Auftragsverarbeiter“.

1.5 „Course Manager Plattform“ umfasst alle Anwendungen und Oberflächen von Course Manager, derzeit insbesondere die Web-Anwendung, die Course-Manager-App und die Buchungsseiten, über die Kunden des Auftraggebers buchen.

1.6 Nicht im Auftrag, sondern als eigener Verantwortlicher verarbeitet der Auftragnehmer:

• a)die Daten des organisationsübergreifenden Benutzerkontos (Course-Manager-Konto): E-Mail-Adresse, Anmeldedaten sowie Sitzungs- und Sicherheitsdaten. Die Verknüpfung des Kontos mit der Organisation des Auftraggebers sowie Daten, die innerhalb der Organisation des Auftraggebers zu einer Person gespeichert werden, etwa im Mitarbeiter- oder Kundenprofil, verarbeitet der Auftragnehmer dagegen im Auftrag;
• b)Daten zur Durchführung des Hauptvertrags, insbesondere Kontaktdaten von Ansprechpartnern des Auftraggebers sowie Vertrags- und Abrechnungsdaten;
• c)technische Protokoll- und Fehlerdaten, soweit sie für die Sicherheit und Stabilität der Plattform erforderlich sind, mit den in der Anlage genannten Speicherfristen. Enthalten solche Daten im Einzelfall Inhalte, die in der Plattform für den Auftraggeber erfasst wurden, verarbeitet der Auftragnehmer diese Inhalte im Auftrag.

Über diese Verarbeitungen informiert der Auftragnehmer in seiner Datenschutzerklärung.

1.7 Der Auftraggeber kann in der Plattform Dienste Dritter anbinden, mit denen er selbst einen Vertrag schließt, z. B. Zahlungsdienste oder Kontoinformationsdienste. Diese Anbieter sind keine Unterauftragsverarbeiter des Auftragnehmers. Mit der Anbindung weist der Auftraggeber den Auftragnehmer an, die für die Nutzung des Dienstes erforderlichen Daten an den Anbieter zu übermitteln und von ihm zu empfangen. Für die datenschutzrechtliche Zulässigkeit der Nutzung dieser Dienste ist der Auftraggeber verantwortlich. Dienste, die der Auftragnehmer selbst beauftragt, um Funktionen der Plattform zu erbringen, sind dagegen Unterauftragsverarbeiter nach Ziffer 9.

2. Gegenstand und Dauer der Verarbeitung

2.1 Gegenstand

Der Auftragnehmer übernimmt folgende Verarbeitungen: Bereitstellung der Course Manager Plattform.

Im Übrigen ergibt sich der Gegenstand der Auftragsverarbeitung aus dem zugrundeliegenden Hauptvertrag.

Der Verarbeitung liegt der jeweilige Vertrag über die Nutzung der Course Manager Plattform zwischen den Parteien (im Folgenden „Hauptvertrag“) zugrunde.

2.2 Dauer

Die Verarbeitung beginnt mit Abschluss des Hauptvertrages und erfolgt auf unbestimmte Zeit. Sie endet mit Beendigung des Hauptvertrags. Dieser Vertrag gilt darüber hinaus fort, solange der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet, insbesondere bis zum Abschluss der Löschung nach Ziffer 11.

3. Spezifizierung der Auftragsverarbeitung

3.1 Art der Verarbeitung

Die Verarbeitung umfasst alle zur Leistungserbringung erforderlichen Vorgänge im Sinne von Art. 4 Nr. 2 DSGVO, insbesondere:

• Erfassen
• Organisation
• Ordnen
• Speichern
• Anpassen
• Verändern
• Offenlegen durch Übermittlung
• Abgleich
• Verknüpfung
• Einschränkung
• Löschen

3.2 Zweck der Verarbeitung

Zweck der Verarbeitung ist die Bereitstellung und der Betrieb der Course Manager Plattform, insbesondere zur Angebots-, Einsatz- und Mitarbeiterverwaltung, zu Buchungen sowie zur Kommunikation und Abrechnung. Ergänzend gilt die Leistungsbeschreibung des Hauptvertrages in ihrer jeweils gültigen Fassung.

3.3 Art der Daten

Es werden folgende Daten verarbeitet:

• Name
• Adressdaten
• Geburtsdaten
• Kommunikationsdaten (z.B. Telefon, E-Mail)
• Nutzungs- und Verbindungsdaten (z. B. IP-Adresse, Zeitstempel)
• Mitarbeiterdaten
• Kundenhistorie
• Profilbilder/Fotos
• Einsatz- und Arbeitszeitdaten (Beschäftigtendaten)
• Buchungs- und Teilnehmerdaten
• Gesundheitsdaten, soweit sie von Nutzer*innen der Plattform eingegeben werden
• Vertragsabrechnungs- und Zahlungsdaten
• Inhalte, deren Art der Auftraggeber selbst bestimmt, z. B. in eigenen Feldern, Notizen oder Dokumenten („freie Inhalte“)
• Jede Datenkategorie, welche der Auftraggeber im Rahmen des Vertragsverhältnisses vom Auftragnehmer verarbeiten lässt

Soweit Nutzer*innen im Rahmen der Plattformnutzung besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (insbesondere Gesundheitsdaten) oder Daten im Sinne des Art. 10 DSGVO eingeben, verarbeitet der Auftragnehmer auch diese ausschließlich im Auftrag und nach Weisung des Auftraggebers. Der Auftraggeber stellt sicher, dass für die Verarbeitung dieser Daten eine Rechtsgrundlage, bei Daten nach Art. 9 DSGVO eine geeignete Ausnahme nach Art. 9 Abs. 2 DSGVO und bei Daten nach Art. 10 DSGVO die Voraussetzungen des Art. 10 DSGVO vorliegen.

3.4 Kategorien der betroffenen Personen

Von der Verarbeitung betroffen sind:

• Mitarbeiter
• Kunden
• Interessenten
• Abonnenten
• Lieferanten
• Ansprechpartner
• Nutzer von Online Angeboten
• Sonstige für den Auftraggeber tätige Personen, z. B. Honorarkräfte und Ehrenamtliche
• Teilnehmer*innen, häufig Minderjährige
• Vereins-/Organisationsmitglieder
• Sonstige Personen in Zahlungsvorgängen, z. B. abweichende Kontoinhaber

3.5 Ort der Verarbeitung

Die Auftragsverarbeitung erfolgt grundsätzlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum. Die Server des Auftragnehmers stehen in Deutschland. Jegliche Verlagerung in ein Drittland darf nur mit Zustimmung des Auftraggebers und unter den in Kapitel V der DSGVO enthaltenen Bedingungen sowie bei Einhaltung der Bestimmungen dieses Vertrags erfolgen. Für Übermittlungen durch Unterauftragsverarbeiter, die nach Ziffer 9.2 oder 9.8 genehmigt sind, erteilt der Auftraggeber hiermit seine Zustimmung und Weisung (Art. 28 Abs. 3 lit. a DSGVO).

4. Pflichten des Auftragnehmers

4.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und der dokumentierten Weisungen des Auftraggebers, auch in Bezug auf Übermittlungen in ein Drittland, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zu einer bestimmten Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4.2 Der Auftragnehmer verwendet die zur Verarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Der Auftraggeber weist den Auftragnehmer jedoch an, Daten zu anonymisieren und in anonymisierter, aggregierter Form für Statistiken sowie zur Verbesserung und Weiterentwicklung der Plattform zu nutzen. Ausgenommen sind Daten nach Art. 9 und 10 DSGVO sowie freie Inhalte (Ziffer 3.3). Ein Rückschluss auf einzelne Personen oder auf den Auftraggeber ist dabei ausgeschlossen.

4.3 Der Auftragnehmer erstellt keine Kopien oder Duplikate der personenbezogenen Daten ohne Einwilligung des Verantwortlichen. Hiervon ausgenommen sind Kopien, soweit sie zur ordnungsgemäßen Leistungserbringung – einschließlich Datensicherungen (Backups) – oder zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind. Ebenfalls ausgenommen sind Kopien für Tests und Fehleranalysen, soweit Daten ohne Personenbezug nicht ausreichen; sie unterliegen denselben Schutzmaßnahmen und werden danach gelöscht.

4.4 Der Auftragnehmer sichert zu, dass er die für den Verantwortlichen verarbeiteten personenbezogenen Daten von seinen anderen Datenbeständen und von den Daten anderer Auftraggeber logisch trennt (Mandantentrennung).

4.5 Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, haben sich schriftlich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.

4.6 Der Auftragnehmer gewährleistet, dass die zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden. Er trägt dafür Sorge, dass die zur Auftragsverarbeitung eingesetzten Personen in Bezug auf die Datenschutzanforderungen stets angemessen angeleitet und überwacht werden. Sie greifen auf die Daten nur zu, soweit dies für Betrieb, Wartung, Fehlerbehebung oder Support erforderlich ist.

4.7 Bei der Erfüllung der datenschutzrechtlichen Pflichten des Auftraggebers, insbesondere bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten, bei Durchführung der Datenschutzfolgeabschätzung und bei einer notwendigen Konsultation der Aufsichtsbehörde hat der Auftragnehmer im erforderlichen Maße mitzuwirken und den Auftraggeber angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Die erforderlichen Angaben und Dokumentationen sind vorzuhalten und dem Auftraggeber auf Anforderung unverzüglich zuzuleiten.

4.8 Der Auftragnehmer verpflichtet sich den Auftraggeber im erforderlichen Umfang zu unterstützen, wenn der Auftraggeber durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen wird oder betroffene Personen ihm gegenüber Rechte geltend machen, soweit die Verarbeitung im Auftrag betroffen ist.

4.9 Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Zustimmung durch den Auftraggeber erteilen. Direkt an ihn gerichtete Anfragen wird er unverzüglich an den Auftraggeber weiterleiten.

4.10 Der Auftragnehmer hat einen Datenschutzbeauftragten benannt, an den sich der Auftraggeber auch direkt wenden kann. Dessen Kontaktdaten stehen in der Datenschutzerklärung des Auftragnehmers. Einen Wechsel teilt der Auftragnehmer dem Auftraggeber mit.

5. Rechte und Pflichten des Auftraggebers

5.1 Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung sowie für die Wahrung der Rechte von Betroffenen ist allein der Auftraggeber verantwortlich. Dazu gehört insbesondere die Information der betroffenen Personen nach Art. 13 und 14 DSGVO.

5.2 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

5.3 Der Auftraggeber ist berechtigt, sich vor Beginn der Verarbeitung und sodann regelmäßig von der Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragnehmer in angemessenem Umfang zu überzeugen. Der Auftragnehmer erbringt den Nachweis vorrangig durch Vorlage aktueller Testate oder Zertifikate unabhängiger Stellen, geeigneter Selbstauskünfte oder aussagekräftiger Dokumentation seiner technischen und organisatorischen Maßnahmen.

5.4 Soweit diese Nachweise im Einzelfall nicht ausreichen, ist der Auftraggeber berechtigt, Kontrollen selbst oder durch einen zur Verschwiegenheit verpflichteten Dritten durchzuführen. Kontrollen erfolgen nach angemessener Vorankündigung, zu den üblichen Geschäftszeiten, ohne vermeidbare Störungen des Geschäftsbetriebs des Auftragnehmers und nicht häufiger als alle 12 Monate; anlassbezogene Kontrollen bei konkreten Anhaltspunkten für Verstöße bleiben unberührt. Der Auftragnehmer ist berechtigt, Kontrollen durch Dritte zu verweigern, soweit diese mit ihm im Wettbewerb stehen oder ähnlich gewichtige Gründe vorliegen. Den durch eine Kontrolle entstehenden angemessenen Aufwand kann der Auftragnehmer dem Auftraggeber in Rechnung stellen, es sei denn, die Kontrolle erfolgt anlassbezogen und bestätigt einen Verstoß des Auftragnehmers. Ein unmittelbarer Zugriff des Auftraggebers oder eines Prüfers auf Systeme, in denen auch Daten anderer Auftraggeber des Auftragnehmers verarbeitet werden, ist ausgeschlossen. Der Nachweis erfolgt insoweit durch Auskünfte, Dokumentation oder Vorführung.

5.5 Der Auftraggeber verwaltet die Zugänge und Rollen seiner Nutzer in der Plattform selbst. Er entzieht Personen, die nicht mehr für ihn tätig sind, den Zugang.

5.6 Für die Sicherheit der Endgeräte, mit denen seine Nutzer auf die Plattform zugreifen, ist der Auftraggeber verantwortlich.

6. Weisungsbefugnis

6.1 Der Auftraggeber behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.

6.2 Der Auftraggeber erteilt Weisungen in dokumentierter Form. In Eilfällen können Weisungen mündlich erteilt werden. Solche Weisungen sind vom Auftraggeber unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen. Weisungen ergeben sich außerdem aus diesem Vertrag, dem Hauptvertrag sowie aus der Nutzung und Konfiguration der Plattform durch den Auftraggeber. Nutzt oder aktiviert der Auftraggeber eine Funktion der Plattform, gilt dies als Weisung, die damit verbundene Verarbeitung durchzuführen. Einzelweisungen sind an info@course-manager.com zu richten. Weisungsberechtigt sind die in der Plattform als Administratoren hinterlegten Personen und die im Hauptvertrag benannten Ansprechpartner.

6.3 Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird.

6.4 Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandeln die Parteien als Antrag auf Leistungsänderung.

7. Technische und organisatorische Maßnahmen

7.1 Der Auftragnehmer gestaltet seine innerbetriebliche Organisation so, dass sie den Anforderungen des Datenschutzes gerecht wird. Er trifft insbesondere geeignete technische und organisatorische Maßnahmen, um einen dem Risiko angemessenen Schutz der Daten des Auftraggebers zu gewährleisten (Art. 32 Abs. 1 DSGVO). Er trifft diese technischen und organisatorischen Maßnahmen so, dass die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sichergestellt sind. Die entsprechenden technischen und organisatorischen Maßnahmen ergeben sich aus der Anlage.

7.2 Die Maßnahmen können der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden, solange das hier vereinbarte Niveau nicht unterschritten wird. Zur Aufrechterhaltung der Informationssicherheit erforderliche Änderungen hat der Auftragnehmer unverzüglich umzusetzen. Der Auftragnehmer stellt dem Auftraggeber die jeweils aktuelle Fassung der Anlage zur Verfügung, z. B. in der Plattform oder auf Anfrage, und teilt wesentliche Änderungen in Textform mit. Eine Aktualisierung der Anlage ist keine Änderung dieses Vertrags.

7.3 Soweit die getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht oder nicht mehr genügen, benachrichtigt der Auftragnehmer den Auftraggeber unverzüglich.

7.4 Der Auftragsverarbeiter darf die Verarbeitung personenbezogener Daten im Rahmen des Auftrags auch durch Mitarbeiter in Privatwohnungen (Remote-Arbeit) durchführen lassen. Dabei verpflichtet sich der Auftragsverarbeiter, sicherzustellen, dass die Vorgaben des Datenschutzes und der Datensicherheit, wie sie in diesem Vertrag und den geltenden gesetzlichen Bestimmungen festgelegt sind, auch bei der Remote-Arbeit eingehalten werden.

8. Regelungen zur Berichtigung, Löschung und Einschränkung der Verarbeitung

8.1 Der Auftragnehmer wird Daten nur entsprechend der getroffenen vertraglichen Vereinbarung oder nach Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken. In der Regel nimmt der Auftraggeber diese Maßnahmen selbst über die Funktionen der Plattform vor.

8.2 Den diesbezüglichen Weisungen wird der Auftragnehmer jederzeit Folge leisten. Dies gilt auch über das Vertragsende hinaus. Für Daten in Datensicherungen, auch bei Unterauftragsverarbeitern, gilt Ziffer 11.5 während der Laufzeit und nach Vertragsende.

8.3 Während der Laufzeit löscht der Auftragnehmer Daten nicht eigenständig. Ausgenommen sind die in der Anlage festgelegten Löschroutinen für Datensicherungen und technische Protokolle.

9. Unterauftragsverarbeiter

9.1 Unterauftragsverhältnisse im Sinne dieses Vertrags sind nur solche Leistungen, die einen direkten Zusammenhang mit der Erbringung der Hauptleistung aufweisen. Nebenleistungen, wie beispielsweise Transport, Wartung und Reinigung sowie die Inanspruchnahme von Telekommunikationsdienstleistungen sind nicht erfasst. Die Pflicht des Auftragnehmers, auch in diesen Fällen die Beachtung von Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.

9.2 Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zur Hinzuziehung weiterer Unterauftragsverarbeiter. Bei der Auslagerung auf Unterauftragsverarbeiter oder bei dem Wechsel bestehender Unterauftragsverarbeiter zeigt der Auftragnehmer eine solche Auslagerung auf Unterauftragsverarbeiter dem Auftraggeber rechtzeitig, in der Regel vier Wochen vor dem geplanten Wechsel, in Textform an die vom Auftraggeber in der Plattform hinterlegte E-Mail-Adresse an. Der Auftraggeber hat daraufhin ein Einspruchsrecht und kann bis zum geplanten Wechsel gegenüber dem Auftragnehmer schriftlich oder in Textform Einspruch gegen die geplante Auslagerung erheben; der Einspruch muss auf nachvollziehbaren datenschutzrechtlichen Gründen beruhen. Im Fall eines Einspruchs bemühen sich die Parteien um eine einvernehmliche Lösung (z. B. Abhilfemaßnahmen des Auftragnehmers oder Verzicht auf den Unterauftragsverarbeiter). Gelingt dies nicht, ist jede Partei berechtigt, diesen Vertrag und den Hauptvertrag mit Wirkung zum Zeitpunkt des Wechsels außerordentlich zu kündigen. Erfolgt kein Einspruch oder keine Kündigung, gilt die Genehmigung des Unterauftragsverarbeiters als erteilt.

9.3 Der Auftraggeber erhält auf Verlangen Einsicht in die relevanten Verträge zwischen Auftragnehmer und Unterauftragsverarbeiter. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).

9.4 Der Auftraggeber kann seine Rechte, insbesondere auch das Kontrollrecht, auch hinsichtlich der Unterauftragsverarbeiter über den Auftragnehmer ausüben. Das Kontrollrecht wird vorrangig durch Zertifikate, Prüfberichte oder sonstige Nachweise der Unterauftragsverarbeiter gewahrt, die der Auftragnehmer auf Anfrage bereitstellt.

9.5 Der Auftragnehmer gewährleistet, bei der Auswahl des Unterauftragsverarbeiters auf dessen Einhalten der erforderlichen technischen und organisatorischen Mindestanforderungen zu achten. Er leitet die im Auftrag verarbeiteten Daten erst dann an den Unterauftragsverarbeiter weiter, wenn er sich davon überzeugt hat, dass der Unterauftragsverarbeiter seine Verpflichtungen vollständig erfüllt hat. Dies hat der Auftragnehmer zu dokumentieren und dem Auftraggeber auf Anforderung vorzulegen.

9.6 Die Beauftragung von Unterauftragsverarbeitern, die Verarbeitungen im Auftrag nicht ausschließlich aus dem Gebiet der EU oder des EWR erbringen, ist nur bei Beachtung der in Kapitel V der DSGVO enthaltenen Bedingungen sowie bei Einhaltung der sonstigen Bestimmungen dieses Vertrages möglich. Sie ist insbesondere nur zulässig, soweit und solange der Unterauftragsverarbeiter angemessene Datenschutzgarantien bietet. Der Auftragnehmer teilt dem Auftraggeber mit, welche konkreten Datenschutzgarantien der Unterauftragsverarbeiter bietet und wie ein Nachweis hierüber zu erlangen ist.

9.7 Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet hierfür der Auftragnehmer gegenüber dem Auftraggeber.

9.8 Die Unterauftragsverarbeiter, die bei Abschluss des Vertrages mit der Verarbeitung personenbezogener Daten beschäftigt sind und mit Abschluss dieses Vertrages als genehmigt gelten, sind hier gelistet:

course-manager.com/subprozessoren

Die Liste nennt ihren Stand. Frühere Fassungen bewahrt der Auftragnehmer auf und stellt sie auf Anfrage zur Verfügung.

10. Mitteilungspflichten

10.1 Der Auftragnehmer teilt dem Auftraggeber unverzüglich mit, wenn der Schutz der im Auftrag verarbeiteten Daten verletzt wurde, insbesondere aufgrund von Verstößen des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen. Dies gilt auch für Verletzungen ohne Verschulden des Auftragnehmers und für Verletzungen bei Unterauftragsverarbeitern (Art. 33 Abs. 2 DSGVO).

10.2 Der Auftragnehmer teilt dem Auftraggeber ebenso unverzüglich begründete Verdachtsfälle auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten mit.

10.3 Die Mitteilung hat unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntniserlangung, an die vom Auftraggeber in der Plattform hinterlegte E-Mail-Adresse zu erfolgen.

10.4 Der Auftragnehmer sichert zu, den Auftraggeber erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Meldungen nach Art. 33 oder 34 DSGVO darf der Auftragnehmer für den Auftraggeber nur nach vorheriger Weisung gem. Nr. 6 dieses Vertrages durchführen.

10.5 Ebenfalls mitzuteilen sind erhebliche Störungen bei der Auftragsverarbeitung.

10.6 Der Auftragnehmer informiert den Auftraggeber unverzüglich über angekündigte oder unangekündigt bereits stattgefundene Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Dritten, soweit ein Bezug zur Auftragsverarbeitung besteht.

11. Beendigung des Auftrags

11.1 Nach Beendigung des Hauptvertrags, bei einem Anbieterwechsel frühestens nach Ablauf des im Hauptvertrag vereinbarten Übergangszeitraums, kann der Auftraggeber seine Daten 30 Tage lang über die Exportfunktionen der Plattform oder auf Anfrage in einem gängigen, maschinenlesbaren Format erhalten. Danach vernichtet der Auftragnehmer die Daten, soweit keine gesetzliche Pflicht zur Speicherung besteht. Die Vernichtung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist. Eine physische Vernichtung erfolgt gemäß DIN 66399.

11.2 Der Auftragnehmer hat die unverzügliche Vernichtung bzw. Rückgabe der personenbezogenen Daten auch bei den Unterauftragsverarbeitern zu erwirken.

11.3 Über die ordnungsgemäße Vernichtung der Daten führt der Auftragnehmer einen dokumentierten Nachweis, den er dem Auftraggeber auf Verlangen jederzeit vorzulegen hat.

11.4 Die Dokumentationen des Auftragnehmers über die ordnungsgemäße Datenverarbeitung hat dieser mindestens bis zum Ablauf des dritten Kalenderjahres nach Vertragsende aufzubewahren.

11.5 Daten in Datensicherungen werden nicht einzeln gelöscht, sondern mit Ablauf der Aufbewahrungsfrist der Sicherungen automatisch entfernt (siehe Anlage). Bis dahin werden sie nur zur Wiederherstellung nach einem Notfall verwendet. Wird eine Sicherung wiederhergestellt, löscht der Auftragnehmer zuvor gelöschte Daten erneut.

12. Haftung

12.1 Es gelten die Haftungsregelungen gemäß Art. 82 DSGVO.

12.2 Im Innenverhältnis haften die Parteien einander nach Maßgabe ihrer jeweiligen Verantwortungsanteile (Art. 82 Abs. 5 DSGVO).

12.3 Im Hauptvertrag vereinbarte Haftungsbeschränkungen gelten auch für Ansprüche im Zusammenhang mit diesem Vertrag, soweit dies gesetzlich zulässig ist. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

13. Sonderkündigungsrecht

13.1 Bei einem schwerwiegenden Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder diese Vereinbarung kann der Auftraggeber den Hauptvertrag und diese Vereinbarung jederzeit ohne Einhaltung einer Frist kündigen („außerordentliche Kündigung“). Ein schwerwiegender Verstoß liegt insbesondere vor, wenn der Auftragnehmer die vereinbarten technischen und organisatorischen Maßnahmen in erheblichem Maße nicht erfüllt, eine rechtmäßige Weisung im Rahmen des vereinbarten Leistungsumfangs nicht ausführt oder Kontrollrechte des Auftraggebers vertragswidrig verweigert.

13.2 Handelt es sich nicht um einen schwerwiegenden Verstoß, sondern vielmehr um einen unerheblichen, setzt der Auftraggeber dem Auftragnehmer zunächst eine angemessene Frist zur Abhilfe. Erfolgt die Abhilfe nicht rechtzeitig, so ist der Auftraggeber zur außerordentlichen Kündigung wie in diesem Abschnitt beschrieben berechtigt.

14. Sonstiges

14.1 Die Einrede des Zurückbehaltungsrechts i.S.d. § 273 BGB, gleich aus welchem Rechtsgrund, an den vertragsgegenständlichen Daten sowie an evtl. vorhandenen Datenträgern, wird ausgeschlossen.

14.2 Auftraggeber und Auftragnehmer verpflichten sich, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages hinaus vertraulich zu behandeln. Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie bis zur schriftlichen Freigabe durch die andere Partei als vertraulich zu behandeln.

14.3 Sollten die im Auftrag verarbeiteten Daten beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit an den personenbezogenen Daten des Auftraggebers bei dem Auftraggeber liegt.

14.4 Für Nebenabreden ist grundsätzlich die Schriftform oder ein dokumentiertes elektronisches Format erforderlich.

14.5 Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

14.6 Bei Widersprüchen zwischen diesem Vertrag und den Regelungen des Hauptvertrages (einschließlich etwaiger Allgemeiner Geschäftsbedingungen) gehen hinsichtlich der Verarbeitung personenbezogener Daten die Regelungen dieses Vertrages vor.

14.7 Dieser Vertrag wird mit Abschluss des Hauptvertrages in dokumentierter elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO); einer Unterschrift bedarf es zu seiner Wirksamkeit nicht. Der Auftragnehmer dokumentiert den Abschluss und stellt dem Auftraggeber den Vertrag dauerhaft abrufbar zur Verfügung.

14.8 Der Auftragnehmer kann diesen Vertrag mit Wirkung für die Zukunft ändern, soweit dies wegen einer Änderung der Rechtslage, behördlicher Vorgaben oder der Leistungen erforderlich ist und das Schutzniveau für die Daten des Auftraggebers nicht sinkt. Er teilt Änderungen mindestens vier Wochen vor ihrem Wirksamwerden in Textform an die vom Auftraggeber in der Plattform hinterlegte E-Mail-Adresse mit. Widerspricht der Auftraggeber nicht bis zum Wirksamwerden, gilt die Änderung als angenommen; auf diese Folge weist der Auftragnehmer in der Mitteilung hin. Widerspricht er, kann jede Partei den Hauptvertrag zum Zeitpunkt des Wirksamwerdens kündigen.

Anlage

Technische und organisatorische Maßnahmen (Ziffer 7). Die jeweils aktuelle Fassung stellt der Auftragnehmer dem Auftraggeber in der Plattform oder auf Anfrage zur Verfügung.