Vereinbarung zur Auftragsverarbeitung

1. Vertragsparteien und Rollen

Auftragnehmer / Auftragsverarbeiter: Jeremy Teichmann, handelnd unter VLIPS / P2Pilot, Dombóvárstraße 48, 71394 Rommelshausen.

Auftraggeber / Verantwortlicher: [vollständige Firma, Rechtsform, Anschrift, Registergericht, Registernummer und Vertretungsberechtigte ergänzen].

Der Auftraggeber entscheidet über Zwecke und wesentliche Mittel der in Abschnitt 11 beschriebenen Verarbeitung. Der Auftragnehmer verarbeitet diese personenbezogenen Daten ausschließlich als Auftragsverarbeiter. Als eigene Verantwortlichkeit kommen nur Vertragsstamm- und Abrechnungsdaten sowie Daten in Betracht, die nachweislich zur Erfüllung eigener gesetzlicher Aufbewahrungspflichten oder zur Rechtsverteidigung erforderlich sind und keine Auftragsinhalte umfassen. Personenbezogene Sicherheits-, Fehler-, Zugriffs- und Prozessprotokolle aus der beauftragten Leistung bleiben Auftragsdaten, sofern sie in Abschnitt 11.1 nicht für einen konkret benannten Zweck, eine Rechtsgrundlage und eine Frist anders eingeordnet werden.

Auftragsdaten dürfen im Rahmen dieses AVV nicht für Werbung, allgemeine Produktverbesserung, Modelltraining oder sonstige eigene Zwecke verwendet werden. Eine spätere Nutzung außerhalb des Auftrags setzt einen eigenständigen Vertrag voraus, der Zweck, Rollen, Rechtsgrundlage, Transparenz, Betroffenenrechte und Speicherfristen ausdrücklich regelt.

2. Gegenstand, Rangfolge und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten zur Erbringung der im Hauptvertrag und in Abschnitt 11.1 bezeichneten P2Pilot-Leistungen. Art und Zweck der Verarbeitung, Verarbeitungsschritte, Datenarten, betroffene Personen, Systeme, Formate und Umfang werden ausschließlich in diesem Dokument konkretisiert.

Diese Vereinbarung beginnt am [Datum ergänzen] und gilt während der beauftragten Verarbeitung. Sie endet mit Abschluss der Leistung und Rückgabe oder Löschung der aktiven Auftragsdaten nach Abschnitt 10. Für zulässig verbleibende Sicherungen und gesetzlich aufzubewahrende Restbestände gelten Vertraulichkeit, Sicherheit, Zweckbindung und Löschpflicht bis zu deren endgültiger Löschung fort. Bei datenschutzrechtlichen Widersprüchen geht diese Vereinbarung dem Hauptvertrag vor; zwingend erforderliche EU-Standardvertragsklauseln für Drittlandübermittlungen bleiben vorrangig.

3. Dokumentierte Weisungen

Der Auftragnehmer verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Auftraggebers. Als dokumentiert gelten die vollständige unterzeichnete Vertragsfassung, der Hauptvertrag, freigegebene Systemkonfigurationen sowie Weisungen der in Abschnitt 11.5 benannten Personen per vereinbartem Ticket-, Portal- oder E-Mail-Kanal. Weisungen zu Drittlandübermittlungen müssen das Zielland, den Empfänger und den zulässigen Übermittlungsmechanismus erkennen lassen.

Erfordert eine Weisung eine Änderung von Zweck, Datenarten, Betroffenengruppen, Systemen, Sicherheitsmaßnahmen, Unterauftragsverarbeitern oder Regionen, wird sie erst nach dokumentierter Aktualisierung dieses Vertrags ausgeführt. Ist der Auftragnehmer unions- oder mitgliedstaatlich zur Verarbeitung verpflichtet, informiert er den Auftraggeber vorab über diese Pflicht, soweit das Recht dies erlaubt. Hält er eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich, begründet seine Einschätzung und setzt die betroffene Ausführung bis zur Klärung aus.

4. Personal, Vertraulichkeit und Nachweise

• Der Auftragnehmer gewährt Zugriff nur namentlich oder rollenbezogen berechtigten Personen mit tatsächlichem Kenntnisbedarf.
• Diese Personen sind vor dem Zugriff vertraglich zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht und werden ihrer Aufgabe entsprechend zum Datenschutz und zur Informationssicherheit unterwiesen.
• Berechtigungen werden bei Rollenwechsel oder Ende der Tätigkeit unverzüglich entzogen; privilegierte Berechtigungen werden entsprechend Abschnitt 11.3 überprüft.
• Der Auftragnehmer führt die gesetzlich erforderlichen Verzeichnisse und stellt dem Auftraggeber die zur Erfüllung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung.
• Der Auftragnehmer stellt sicher, dass sich sein Personal, seine Unterauftragsverarbeiter und sonstige Erfüllungsgehilfen an diese Vereinbarung halten.

5. Sicherheit der Verarbeitung

Der Auftragnehmer trifft unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken für betroffene Personen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die für den konkreten Auftrag verbindlichen Maßnahmen und offenen Parameter stehen in Abschnitt 11.3.

Der Auftragnehmer überprüft die Wirksamkeit der vereinbarten Maßnahmen regelmäßig sowie nach wesentlichen Änderungen oder Sicherheitsvorfällen. Er darf Maßnahmen weiterentwickeln, wenn das vereinbarte Schutzniveau nicht wesentlich unterschritten wird. Eine beabsichtigte wesentliche Absenkung, ein geänderter Datenweg oder eine geänderte Region wird dem Auftraggeber vorab in Textform mitgeteilt und bedarf seiner Zustimmung.

6. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Erfüllung der Art. 12 bis 22, 32 bis 36 DSGVO und vergleichbarer anwendbarer Pflichten. Anfragen betroffener Personen leitet er unverzüglich, spätestens innerhalb von zwei Werktagen, an den Kontakt des Auftraggebers weiter. Ohne Weisung beantwortet er solche Anfragen nicht selbst, sofern keine gesetzliche Pflicht besteht.

Auf Anforderung stellt der Auftragnehmer verfügbare Informationen zu Verarbeitung, Empfängern, Speicherfristen, Sicherheitsmaßnahmen, Risiken und Vorfällen bereit und unterstützt bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Datenschutz-Folgenabschätzungen, Konsultationen und Behördenanfragen. Er bestätigt den Eingang binnen zwei Werktagen und liefert einfache, verfügbare Informationen grundsätzlich binnen fünf Werktagen. Bei komplexen oder dringenden Vorgängen stimmen die Kontakte in Abschnitt 11.5 unverzüglich einen Ablauf ab, der die gesetzlichen Fristen des Auftraggebers nicht gefährdet; dort eingetragene kürzere Fristen gehen vor.

7. Datenschutz- und Sicherheitsvorfälle

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes von Auftragsdaten oder einen hinreichend begründeten Verdacht darauf unverzüglich, spätestens binnen 24 Stunden nach Kenntnis. Dies gilt auch für entsprechende Meldungen eines Unterauftragsverarbeiters. Die Erstmeldung enthält, soweit zu diesem Zeitpunkt verfügbar, Art und Zeitpunkt des Vorfalls, betroffene Systeme, Datenkategorien und Betroffenengruppen, ungefähre Anzahl betroffener Datensätze und Personen, wahrscheinliche Folgen, bereits ergriffene oder vorgeschlagene Maßnahmen sowie einen erreichbaren Kontakt.

Noch nicht verfügbare Informationen werden ohne unangemessene Verzögerung in dokumentierten Zwischenständen nachgereicht. Der Auftragnehmer wirkt an Eindämmung, Beweissicherung, Ursachenanalyse, Abhilfe und einem Abschlussbericht mit. Er informiert Behörden oder betroffene Personen nur auf dokumentierte Weisung des Auftraggebers, sofern ihn keine eigene gesetzliche Pflicht trifft.

8. Unterauftragsverarbeiter und Drittlandübermittlungen

Der Auftraggeber erteilt eine allgemeine Genehmigung ausschließlich für die in Abschnitt 11.4 vollständig bezeichneten und dort ausdrücklich als eingesetzt bestätigten Unterauftragsverarbeiter. Eine Internetseite dient nur der zusätzlichen Transparenz und ersetzt weder die vertragliche Liste noch eine direkte Änderungsmitteilung.

Der Auftragnehmer informiert den Auftraggeber mindestens 30 Kalendertage vor einer beabsichtigten Hinzuziehung oder Ersetzung direkt in Textform. Die Mitteilung nennt Gesellschaft, Anschrift, Leistung, Datenbezug, Verarbeitungsorte und einschlägigen Transfermechanismus. Der Auftraggeber kann bis zum angekündigten Einsatz aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Können die Parteien den Einwand nicht ausräumen, wird der neue Anbieter für die betroffene Verarbeitung nicht eingesetzt; ist keine zumutbare Alternative möglich, kann jede Partei den betroffenen Leistungsteil zum Einsatztermin beenden. Vor dem ersten Zugriff wird Abschnitt 11.4 mit dem neuen Stand in Textform aktualisiert; bloßes Schweigen ersetzt diese Dokumentation nicht.

Unterauftragsverarbeiter werden vor dem ersten Zugriff schriftlich zu mindestens gleichwertigen Pflichten verpflichtet. Der Auftragnehmer bleibt dem Auftraggeber gegenüber für deren Pflichterfüllung voll verantwortlich.

Eine Übermittlung außerhalb des EWR erfolgt nur auf dokumentierte Weisung und nach vollständiger Eintragung in Abschnitt 11.4. Erforderlich sind insbesondere ein anwendbarer Angemessenheitsbeschluss oder die passenden EU-Standardvertragsklauseln, eine dokumentierte Prüfung des Übermittlungsrisikos und erforderliche ergänzende Schutzmaßnahmen. Dieser AVV ersetzt kein zusätzlich gesetzlich notwendiges Transferinstrument.

9. Informationen, Kontrollen und Abhilfe

Der Auftragnehmer stellt alle Informationen bereit, die erforderlich sind, um die Einhaltung dieser Vereinbarung und Art. 28 DSGVO nachzuweisen. Der Auftraggeber oder ein von ihm beauftragter, unabhängiger und zur Vertraulichkeit verpflichteter Prüfer darf Dokumentenprüfungen, Remote-Prüfungen und Inspektionen der für den Auftrag relevanten Bereiche durchführen. Geeignete vorhandene Nachweise können zur Vorbereitung und Eingrenzung einer Prüfung verwendet werden, beschränken das gesetzliche Inspektionsrecht aber nicht.

Planbare Prüfungen werden mindestens zehn Werktage vorher angekündigt und so durchgeführt, dass Betrieb, Schutz anderer Kunden und Geschäftsgeheimnisse nicht unangemessen beeinträchtigt werden. Bei einem erheblichen Vorfall, begründetem Verdacht auf einen Verstoß oder einer behördlichen Anordnung gilt keine Mindestankündigung. Der Auftragnehmer wirkt mit, legt einen angemessenen Abhilfeplan für festgestellte Mängel vor und setzt vereinbarte Korrekturen fristgerecht um.

10. Rückgabe und Löschung

Nach Abschluss der Leistung gibt der Auftragnehmer nach Wahl des Auftraggebers alle Auftragsdaten in dem in Abschnitt 11.5 festgelegten Format zurück und löscht anschließend sämtliche verbleibenden Kopien oder löscht sie unmittelbar. Dies gilt auch für Arbeitskopien, Protokolle und Daten bei Unterauftragsverarbeitern. Die aktive Löschung erfolgt, soweit in Abschnitt 11.5 nichts Kürzeres vereinbart ist, innerhalb von 30 Kalendertagen.

Daten in Sicherungen werden bis zur dort festgelegten endgültigen Überschreibung gesperrt, nicht weiter genutzt und weiterhin nach dieser Vereinbarung geschützt. Gesetzlich aufzubewahrende Daten werden getrennt, im Zugriff beschränkt und nach Ende der Pflicht gelöscht. Die Schutz- und Löschpflichten gelten für solche Restbestände über das Vertragsende hinaus. Der Auftragnehmer bestätigt Rückgabe und Löschung in Textform; gesetzlich untersagte Löschungen und die jeweilige Rechtsgrundlage werden dokumentiert.

12. Schlussbestimmungen und Unterzeichnung

Dieses Dokument enthält den vollständigen AVV einschließlich seiner projektspezifischen Festlegungen; separate Anlagen sind nicht Bestandteil dieses Musters. Änderungen und Ergänzungen bedürfen der Textform, soweit nicht zwingendes Recht eine strengere Form verlangt. Unterzeichnung in Gegenstücken und mit zulässiger elektronischer Signatur ist möglich.

Bei einem wesentlichen Verstoß kann der Auftraggeber die betroffene Verarbeitung bis zur Abhilfe aussetzen. Wird der Verstoß trotz angemessener Frist nicht behoben oder besteht eine unmittelbare erhebliche Gefahr, kann er den betroffenen Leistungsteil außerordentlich beenden. Der Auftragnehmer darf eine Verarbeitung aussetzen, soweit dies zur Vermeidung einer rechtswidrigen Weisung erforderlich ist. Die gesetzliche Verantwortlichkeit und Haftung, insbesondere nach Art. 82 DSGVO, bleiben unberührt.

Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an ihre Stelle tritt die gesetzliche Regelung. Im Übrigen gelten die Rechtswahl und der Gerichtsstand des Hauptvertrags.