Vereinbarung zur Auftragsverarbeitung

1. Vertragsparteien

Auftragnehmer: Jeremy Teichmann e.K., VLIPS / P2Pilot, Dombóvárstraße 48, 71394 Rommelshausen, vertreten durch Jeremy Teichmann.

Verantwortlicher / Auftraggeber: [Firma, Rechtsform, Anschrift und Vertretung ergänzen].

2. Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Hauptvertrag beschriebenen P2Pilot-Leistungen. Gegenstand, Zweck, Dauer, Datenarten, Kategorien betroffener Personen und Verarbeitungsschritte werden in Anlage 1 für das jeweilige Projekt festgelegt. Diese Vereinbarung gilt für die Dauer der beauftragten Verarbeitung.

3. Weisungsgebundene Verarbeitung

Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich Weisungen zu Übermittlungen in Drittländer. Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich und kann die Ausführung bis zur Klärung aussetzen. Gesetzlich verpflichtende Verarbeitungen werden dem Auftraggeber vorab mitgeteilt, soweit dies zulässig ist.

4. Pflichten des Auftragnehmers

• Vertraulichkeitsverpflichtung aller befugten Personen
• angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO
• Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Konsultationen
• unverzügliche Information über Verletzungen des Schutzes personenbezogener Daten
• Bereitstellung erforderlicher Informationen und Ermöglichung angemessener Prüfungen
• Führen der gesetzlich erforderlichen Verzeichnisse und Nachweise

Art, Umfang und Fristen der Unterstützung werden im Hauptvertrag und in den Anlagen konkretisiert.

5. Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung für die in der aktuellen Unterauftragsverarbeiterliste genannten Anbieter. P2Pilot informiert über beabsichtigte Änderungen mit angemessener Vorlaufzeit. Der Auftraggeber kann aus berechtigten datenschutzrechtlichen Gründen widersprechen. Unterauftragsverarbeiter werden mindestens zu gleichwertigen Datenschutzpflichten verpflichtet.

Soweit Daten außerhalb des EWR verarbeitet werden, wird vor Beginn der Verarbeitung ein zulässiger Übermittlungsmechanismus vereinbart und dokumentiert.

6. Rückgabe und Löschung

Nach Ende der Leistung werden personenbezogene Daten nach Wahl des Auftraggebers zurückgegeben oder gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Projektbezogene Fristen, Exportformate und Nachweise werden in Anlage 1 festgelegt. Für P2Pilot-eigene technische Protokolldaten gilt, soweit nichts Abweichendes vereinbart ist, eine Löschfrist von 30 Tagen. Aufbewahrungsfristen technischer Metadaten der eingesetzten Dienstleister richten sich nach den jeweils vereinbarten Vertrags- und Datenschutzbedingungen.

7. Projektspezifische Anlagen

Anlage 1

Beschreibung der Verarbeitung, Datenarten und Betroffenengruppen

Anlage 2

Technische und organisatorische Maßnahmen (TOMs)

Anlage 3

Genehmigte Unterauftragsverarbeiter und Regionen

Anlage 4

Lösch-, Rückgabe-, Incident- und Kontaktregeln

[Ort, Datum und Unterschriften beider Parteien ergänzen]