Auftragsverarbeitungsvertrag nach Art. 28 DS-GVO

Auftragsverarbeiter (Auftragnehmer):

EDV-Optik-Partner GmbH, Höhlenweg 12, 38642 Goslar

Verantwortlicher (Auftraggeber):

1. Gegenstand und Dauer der Vereinbarung

Gegenstand, Art und Zweck des Auftrags

Der Auftrag umfasst im Rahmen von Hardware-Support-Verträgen oder Software-Support-Verträgen oder im einzelnen Auftragsfall jeweils vom Auftraggeber jeweils konkret beauftragte Support-Aufgaben wie Hardwarewartung, Software-Support, Aufbereitung von Datenbanken, Fehlerbehebungen, Konvertierung von Datenbanken, Schulungen und ggf. ähnliche Leistungen in Absprache mit dem Verantwortlichen. Der Auftragsverarbeiter erhält hierbei auf jeweils einzelne Weisung des Verantwortlichen per Fernwartung oder vor Ort Zugriff auf dessen Kundendatenbanken zum Organisieren, Ordnen, Aufarbeiten, Reparieren, Anpassen, Auslesen, Übertragen oder ähnliche Service-Dienstleistungen.
Die Weisung des Verantwortlichen kann auch durch dessen Mitarbeiter erfolgen. Wenn nur bestimmte Mitarbeiter einen Fernzugriff anweisen dürfen, ist dies dem Auftragsverarbeiter per E-Mail an info@opa.de mitzuteilen.
Der Auftragsverarbeiter verarbeitet dabei personenbezogene Daten für den Verantwortlichen im Sinne von Art. 4 Nr. 2 und Art. 28 DS-GVO auf Grundlage dieses Vertrages.
Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht.

Art der personenbezogenen Daten

Stammdaten, Gesundheitsdaten und biometrische Daten

Kategorien betroffener Personen

Lieferanten, Mitarbeiter, Interessenten und Kunden des Verantwortlichen

Dauer des Auftrags

Der Vertrag beginnt mit dem Abschluss des Software-Service-Vertrags bzw. bei bestehendem Software-Service-Vertrag mit dem Tag des Abschlusses dieses Vertrags und endet automatisch mit der Kündigung des Software-Service-Vertrags. Beide Vertragsparteien können den Vertrag jederzeit grundlos und ohne Einhaltung einer Frist schriftlich kündigen.

2. Rechte und Pflichten sowie Weisungsbefugnisse des Verantwortlichen

Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DS-GVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DS-GVO, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung ist allein der Verantwortliche verantwortlich.
Falls eine Informationspflicht gegenüber Dritten nach Art. 33, 34 DSGVO oder einer sonstigen gesetzlichen Meldepflicht besteht, ist der Auftraggeber für deren Einhaltung verantwortlich.
Der Verantwortliche erteilt alle über die übliche Wartung hinausgehenden Aufträge und Weisungen schriftlich oder in einem dokumentierten elektronischen Format.
Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
Der Verantwortliche ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragsverarbeiters vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Verantwortlichen, sofern er nicht zu einer anderen Verarbeitung durch gesetzliche Regelungen hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er wird technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers treffen, die den Anforderungen der Datenschutz-Grundverordnung (Art. 32 DS-GVO) genügen und diese dem Verantwortlichen auf Anfrage bereitstellen. Der Auftragnehmer trifft technische und organisatorische Maßnahmen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen.
Der Auftragsverarbeiter erlaubt dem Verantwortlichen nach Terminvereinbarung, die Einhaltung der Vorschriften über Datenschutz sowie der vertraglichen Vereinbarungen im erforderlichen Umfang selbst zu kontrollieren.
Der Auftragnehmer unterstützt soweit vereinbart den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Anfragen und Ansprüche betroffener Personen gem. Kapitel III der DS-GVO sowie bei der Einhaltung der in Art. 33 bis 36 DS-GVO genannten Pflichten.
Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich darauf aufmerksam machen, wenn eine vom Verantwortlichen erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen nach dessen Überprüfung bestätigt oder geändert wird.
Der Auftragsverarbeiter hat personenbezogene Daten aus dem Auftragsverhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Verantwortliche dies mittels einer Weisung verlangt und berechtigte Interessen des Auftragsverarbeiters dem nicht entgegenstehen. Der Auftragsverarbeiter bestätigt, dass ihm die geltenden datenschutzrechtlichen Vorschriften bekannt sind.
Der Auftragsverarbeiter sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet. Der Auftragsverarbeiter überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb.
Der Auftragnehmer bestätigt, dass er einen Datenschutzbeauftragten benannt hat. Der Auftragnehmer trägt Sorge dafür, dass der Datenschutzbeauftragte über die erforderliche Qualifikation und das erforderliche Fachwissen verfügt. Der Datenschutzbeauftragte ist per E-Mail unter dsb@opa.de zu erreichen.
Der Auftragsverarbeiter verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten des Verantwortlichen die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung des Vertrages fort. Nach Abschluss der vertraglichen Arbeiten hat der Auftragsverarbeiter sämtliche in seinen Besitz sowie an Subunternehmen gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, entsprechend der technisch organisatorischen Maßnahmen zu löschen bzw. zu vernichten.

4. Unterauftragsverhältnisse mit Subunternehmern

Eine Weitergabe von Aufträgen im Rahmen der in dem Vertrag vereinbarten Tätigkeiten an Subunternehmer durch den Auftragnehmer erfolgt in der Regel nicht. Ausnahmen hiervon sind möglich, wenn der Auftraggeber schriftlich oder in elektronischer Form zustimmt, dass der Auftragnehmer explizit genannte Subunternehmer hinzuzieht. Diese Zustimmung kann der Auftraggeber jederzeit widerrufen.

5. Schlussbestimmungen

Auftraggeber und Auftragnehmer haften gegenüber betroffenen Personen entsprechend der in Art. 82 DS-GVO getroffenen Regelung.
Änderungen sind in dokumentierter Form (schriftlich, elektronisch) abzustimmen.
Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

EDV-Optik-Partner GmbH – Jochen Hirschfelder – 29.05.2018