Zwischen

Klicken oder tippen Sie hier, um Text einzugeben.

Klicken oder tippen Sie hier, um Text einzugeben.

Klicken oder tippen Sie hier, um Text einzugeben.

– nachfolgend Verantwortlicher genannt –

und

SITS Deutschland GmbH

Konrad-Adenauer-Ring 33

65187 Wiesbaden

– nachfolgend Auftragnehmer genannt –

1	Präambel	3

2	Gegenstand des Auftrags und Konkretisierung des Auftragsinhalts	3

3	Pflichten des Verantwortlichen	4

4	Pflichten des Auftragnehmers	4

5	Technische und organisatorische Maßnahmen (TOM)	5

6	Datengeheimnis, Vertraulichkeit der Daten	6

7	Unterstützung des Verantwortlichen	7

8	Weitere Auftragnehmer	8

9	Aufsichtsbehörden und Verstöße gegen Vorgaben zum Datenschutz	9

10	Löschung und Rückgabe von Daten	9

11	Kontrollpflichten	10

12	Beginn und Ende des Vertrages, Vertragsstrafe	10

13	Schlussbestimmungen	11

Ergänzende Regelungen zu dieser Vereinbarung	11

Kurzreferenz Vorgaben DSGVO	12

Anhang 1: Auflistung der beauftragten Dienstleistungen (Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen)	13

Anhang 2: Liste der beauftragten weiteren Auftragnehmer einschließlich der Verarbeitungsstandorte	14

Anhang 3: Kontaktdaten DSB	15

Anhang 4: Übersicht der technischen und organisatorischen Maßnahmen (TOM)	16

Präambel

Der Verantwortliche beauftragt den Auftragnehmer mit der Verarbeitung personen-bezogener Daten unter Beachtung nachfolgender Regelungen.

Im Rahmen der Leistungserbringung nach dem Hauptvertrag ist es erforderlich, dass der Auftragnehmer mit personenbezogenen Daten des Verantwortlichen umgeht. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit dem Umgang des Auftragnehmers mit Daten des Verantwortlichen zur Durchführung des Hauptvertrags.

Gegenstand des Auftrags und Konkretisierung des Auftragsinhalts

Der Auftrag umfasst ausschließlich die in Anhang 1 zu dieser Vereinbarung beschriebene Dienstleistung (=Gegenstand der Auftragstätigkeit). Art und Zweck der vorgesehenen Verarbeitung personenbezogener Daten sowie die Art der Daten und die Kategorien betroffener Personen ergeben sich aus Anhang 1.

Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedsstaat der Europäischen Union (EU) oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) erbracht. Eine – auch nur teilweise – Verlagerung der Dienstleistung oder eine Auftragserfüllung außerhalb der EU bzw. des EWR bedarf der vorherigen Zustimmung des Verantwortlichen und darf nur erfolgen, wenn die besonderen gesetzlichen Voraussetzungen der Art 44 ff. DSGVO erfüllt sind.

Die Auftragserledigung durch den Auftragnehmer kann bei Bedarf in Privatwohnungen erfolgen. Die schriftliche Zustimmung des Verantwortlichen wird hiermit erteilt. Grundsätzlich ist vorher der Zugang zur Wohnung der Beschäftigten für Kontrollzwecke des Arbeitgebers vertraglich sicher zu stellen; dies gilt auch für die Maßnahmen nach Art. 32 DSGVO.

Pflichten des Verantwortlichen

Der Verantwortliche ist für die Beurteilung der datenschutzrechtlichen Zulässigkeit der Auftragsverarbeitung gemäß Art. 6 Abs. 1 DSGVO, der Einhaltung von gesetzlichen Bestimmungen des Datenschutzes sowie für die Wahrung der Rechte der Betroffenen gemäß Art. 12 bis 22 DSGVO verantwortlich. Der Auftragnehmer ist verpflichtet, alle Anfragen, sofern sie erkennbar ausschließlich an den Verantwortlichen gerichtet sind, unverzüglich an diesen weiter zu leiten.

Der Verantwortliche erteilt alle Weisungen schriftlich oder in Textform. Er hat das Recht, dem Auftragnehmer Weisungen über Art, Umfang und Verfahren der Datenverarbeitung oder diesbezügliche Änderungen zu erteilen.

Der Verantwortliche informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

Der Verantwortliche ist verpflichtet, die für die Leistungserbringung erforderlichen Angaben, Daten, Schriftstücke und Datenbestände dem Auftragnehmer rechtzeitig in der im Einzelnen vereinbarten Form zur Verfügung zu stellen.

Der Verantwortliche ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebs- und Geschäftsgeheimnissen und Datensicherheits-maßnahmen des Auftragnehmers vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung des Vertrages bestehen.

Pflichten des Auftragnehmers

Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind. Er gestaltet in seinem Verantwortungsbereich die innerbetriebliche Organisation so, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird und überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb.

Der Auftragnehmer ist für die Beurteilung der datenschutzrechtlichen Zulässigkeit der Auftragsverarbeitung, die Einhaltung von gesetzlichen Bestimmungen – im Rahmen seiner gesetzlichen Verantwortung – des Datenschutzes sowie für die Unterstützung der Wahrung der Rechte der Betroffenen mitverantwortlich.

Soweit gesetzlich vorgeschrieben, bestellt der Auftragnehmer einen Datenschutzbeauftragten sowie, wenn nötig, einen Vertreter im Sinne des Art. 27 DSGVO. Als Datenschutzbeauftragter wird eine Person bestellt, die die gesetzlich vorgeschriebenen Voraussetzungen erfüllt. Die Kontaktdaten des Datenschutzbeauftragten sind im Anhang 3 Vereinbarung aufgeführt.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Verantwortlichen, sofern er nicht zu einer anderen Verarbeitung durch das Recht der EU oder der Mitgliedsstaaten, dem der Auftragnehmer unterliegt, hierzu verpflichtet ist (z.B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden).
In einem solchen Fall teilt der Auftragnehmer dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Der Auftragnehmer dokumentiert sämtliche Weisungen des Verantwortlichen in einer Form, die nachträgliche Änderungen ausschließt.

Technische und organisatorische Maßnahmen (TOM)

Für die auftragsgemäße Verarbeitung der personenbezogenen Daten werden vom Auftragnehmer geeignete technische und organisatorische Maßnahmen (TOM) zum Schutz der Rechte der von der Verarbeitung Betroffenen ausgewählt.

Der Auftragnehmer sichert dem Verantwortlichen zu, die für die beauftragte Tätigkeit erforderlichen TOM zur Einhaltung des Datenschutzes ergriffen zu haben und einzuhalten. Insbesondere wird zugesichert, dass der Auftragnehmer für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet.
Dazu werden die Schutzziele von Art. 32 Abs. 1 DSGVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitung derart berücksichtigt, dass durch geeignete TOM das Risiko auf Dauer eingedämmt wird.

Die beim Auftragnehmer hinsichtlich der beauftragten Tätigkeit relevanten TOM gemäß Art 32 DSGVO sind im Anhang 4 zu dieser Vereinbarung aufgeführt.

Die TOM beim Auftragnehmer können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dürfen aber die vereinbarten Standards nicht unterschreiten. Wesentliche Änderungen muss der Auftragnehmer in dokumentierter Form abstimmen. Solche Abstimmungen sind für die Dauer dieses Vertrages aufzubewahren.

Soweit der Auftragnehmer für den Verantwortlichen Wartungsarbeiten an IT-Systemen durchführt, gelten zusätzlich die folgenden Vereinbarungen:

Der Auftragnehmer darf im Rahmen der Wartung nur auf personenbezogene Daten des Verantwortlichen zugreifen, wenn dies für die Durchführung der Wartung erforderlich ist. Dem Auftragnehmer ist es hierbei untersagt, personenbezogene Daten des Verantwortlichen auf eigenen Systemen oder Datenträgern zu speichern, es sei denn, der Verantwortliche weist ihn hierzu an.

Außerplanmäßige Fernwartungsarbeiten hat der Auftragnehmer dem Verantwortlichen im Vorfeld anzukündigen. Der Verantwortliche ist berechtigt, die Durchführung der Fernwartung mitzuverfolgen. Auf Anfrage und soweit erforderlich, wirkt der Auftragnehmer an der Konfiguration technischer Kontrolleinrichtungen mit.

Die Fernwartung ist nur von überwachten Systemen des Auftragnehmers aus zulässig. Datenübertragungen zu Zwecken der Fernwartung müssen, dem Stand der Technik entsprechend, in verschlüsselter Form mit hinreichend sicheren Authentisierungsverfahren erfolgen.

Datengeheimnis, Vertraulichkeit der Daten

Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebs- und Geschäftsgeheimnissen sowie Datensicherheitsmaßnahmen des Verantwortlichen vertraulich zu behandeln. Diese Verpflichtung besteht auch nach Beendigung dieses Vertrages fort.

Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten Beschäftigten vor der Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und sie schriftlich zur Verschwiegenheit und Vertraulichkeit – auch nach der Beendigung ihres Beschäftigungsverhältnisses – verpflichtet. Er überwacht die Einhaltung der datenschutzrechtlichen Vorschriften. Die Vertraulichkeitspflichten gelten auch nach Beendigung dieser Vereinbarung fort. Des Weiteren sichert der Auftragnehmer zu, seine Beschäftigten auf die Folgen der Verletzung von Privat-, Betriebs- und Geschäftsgeheimnissen hinzuweisen.

Der Auftragnehmer verwendet die zur Verarbeitung überlassenen bzw. zur Verfügung gestellten personenbezogenen Daten, Schriftstücke und Datenbestände für keine anderen – insbesondere keine eigenen – Zwecke. Datenträger, die vom Verantwortlichen stammen, bzw. für diesen genutzt werden, werden besonders gekennzeichnet. Eingang und Ausgang sowie die laufende Verwendung werden dokumentiert. Ferner wird der Auftragnehmer die Daten des Verantwortlichen strikt von sonstigen Datenbeständen trennen.

Kopien oder Duplikate von personenbezogenen Daten (unabhängig in welcher Form diese vorliegen) werden nicht ohne Wissen und Genehmigung des Verantwortlichen erstellt. Unberührt bleibt die Herstellung von Datensicherungen, wenn die Anfertigung dieser erforderlich ist, um ordnungsgemäß die Daten zu verarbeiten oder um gesetzliche Aufbewahrungspflichten zu erfüllen.

Unterstützung des Verantwortlichen

Auskünfte an Dritte oder an Betroffene darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den, oder aufgrund bestehender Vereinbarung mit dem, Verantwortlichen erteilen. Gleiches gilt für die Herausgabe von Schriftstücken oder Datensätzen.

Der Auftragnehmer hat auf Anfragen des Verantwortlichen unverzüglich zu reagieren, damit die gesetzlichen Fristen bei Informations- und Auskunftspflichten seitens des Verantwortlichen eingehalten werden können.

Soweit ein Betroffener seine Rechte nach der DSGVO, insbesondere nach Kapitel III oder anderer datenschutzrechtlicher Bestimmungen unmittelbar gegenüber dem Auftragnehmer geltend macht, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten und diesen bei der Bearbeitung dieses Ersuchens, wenn nötig, unterstützen. Er unterlässt es, eigenverantwortlich Auskünfte zu erteilen, es sei denn, der Verantwortliche hat ihn zuvor dazu aufgefordert.

Der Auftragnehmer hat personenbezogene Daten aus dem Auftragsverhältnis unverzüglich zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Verantwortliche dies mittels einer Weisung verlangt und berechtigte Interessen des Auftragnehmers dem nicht entgegenstehen.

Der Auftragnehmer benennt eine Kontaktperson, die den Verantwortlichen bei der Erfüllung von gesetzlichen Informations- und Auskunftspflichten, die im Zusammenhang mit der Verarbeitung im Auftrag entstehen, unterstützt und teilt dem Verantwortlichen deren Kontaktdaten unverzüglich mit.

Der Auftragnehmer unterstützt den Verantwortlichen bei einer anstehenden Datenschutz-Folgenabschätzung sowie der Führung des Verzeichnisses von Verarbeitungstätigkeiten im notwendigen Umfang, sofern dies personenbezogene Daten des Verantwortlichen betrifft. Die hierzu notwendigen Angaben stellt er dem Verantwortlichen unverzüglich zur Verfügung.

Der Auftragnehmer führt selbst ein Verzeichnis zu allen Kategorien von im Auftrag des Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung und beachtet hierbei die Vorgaben des Art. 30 Abs. 2 DSGVO.

Weitere Auftragnehmer

Die Beauftragung von weiteren Auftragnehmern zur Verarbeitung von Daten des Verantwortlichen ist dem Auftragnehmer nur mit Genehmigung des Verantwortlichen gestattet, Art. 28 Abs. 2 DSGVO, welche in Textform zu erfolgen hat.

Die Zustimmung kann nur dann erteilt werden, wenn der Auftragnehmer dem Verantwortlichen Namen und Anschrift sowie die vorgesehene Tätigkeit des weiteren Auftragnehmers mitteilt. Außerdem muss der Auftragnehmer dafür Sorge tragen, dass er den weiteren Auftragnehmer unter Berücksichtigung der Eignung der von diesen getroffenen TOM im Sinne von Art. 32 DSGVO sorgfältig auswählt.

Eine Beauftragung weiterer Auftragnehmer durch den Auftragnehmer in Drittstaaten darf nur dann erfolgen, wenn die besonderen Voraussetzungen des Art 44 ff. DSGVO erfüllt sind (bspw. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).

Der Auftragnehmer hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwischen Verantwortlichem und Auftragnehmer auch gegenüber dessen weiteren Auftragnehmern gelten. Im Vertrag mit dem weiteren Auftragnehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftragnehmers und dessen weiteren Auftragnehmers deutlich vonein-ander abgegrenzt werden. Werden mehrere weitere Auftragnehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen. Insbesondere muss der Verantwortliche berechtigt sein, im Bedarfsfall angemessene Überprüfungen und Inspektionen, auch vor Ort, bei weiteren Auftragnehmern durchzuführen oder durch von ihm beauftragte Dritte durchführen zu lassen.

Die Verträge mit dem weiteren Auftragnehmer muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 4 und Abs. 9 DSGVO).

Der Auftragnehmer haftet gegenüber dem Verantwortlichen dafür, dass der weitere Auftragnehmer den Datenschutzpflichten nachkommt, die ihm durch den Verantwortlichen im Einklang mit dem vorliegenden Vertragsabschnitt vertraglich auferlegt wurden.

Der Auftragnehmer informiert den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung neuer oder die Ersetzung bisheriger nachgelagerter Auftragnehmer, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben (Art. 28 Abs. 2 Satz 2 DSGVO).

Nicht als weitere Auftragnehmer im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen i.d.R. z.B. Reinigungskräfte oder Telekommunikationsleistungen. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Verantwortlichen auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.

Die vom Auftragnehmer bereits eingesetzten weiteren Auftragnehmer sind im Anhang 2 zu diesem Vertrag aufgeführt. Mit dem Einsatz dieser weiteren Auftragnehmer erklärt sich der Verantwortliche einverstanden.

Aufsichtsbehörden und Verstöße gegen Vorgaben zum Datenschutz

Der Auftragnehmer ist verpflichtet, dem Verantwortlichen Kontrollen oder Ermittlungen durch Aufsichtsbehörden oder durch Revisoren/Prüfer unverzüglich mitzuteilen, sofern dies personenbezogene Daten des Auftraggebers betrifft.

Der Auftragnehmer unterrichtet den Verantwortlichen unverzüglich bei Eintritt von, oder Verdacht auf, Verletzung datenschutzrechtlicher Vorschriften – bzw. den in dieser Vereinbarung getroffenen Festlegungen – sowie bei anderen Fehlern bzw. Unregelmäßigkeiten im Rahmen der Auftragsarbeiten für den Verantwortlichen.

Die entsprechende Meldung des Auftragnehmers hat die Vorgaben aus Art. 33 Abs. 3 DSGVO zu berücksichtigen. Der Auftragnehmer sichert ferner zu, den Verantwortlichen erforderlichenfalls bei seinen Pflichten nach Art. 33 oder 34 DSGVO angemessen zu unterstützen.

Meldungen nach Art. 33 oder 34 DSGVO für den Verantwortlichen darf der Auftragnehmer nur nach vorheriger schriftlicher Weisung durchführen. Der Auftragnehmer wird den Verantwortlichen unverzüglich darauf aufmerksam machen, wenn eine vom Verantwortlichen erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen nach Überprüfung bestätigt oder geändert wird.

Bei Konsultationen der Aufsichtsbehörde wird der Verantwortliche seitens des Auftragnehmers unterstützt.

Löschung und Rückgabe von Daten

Eine Berichtigung, Löschung oder Sperrung von Daten erfolgt ausschließlich im Rahmen der schriftlichen Weisung des Verantwortlichen.

Sofern Daten(-sätze) des Verantwortlichen auf Systemen des Auftragnehmers gespeichert wurden, sind diese Daten(-sätze) nach Abschluss der jeweiligen Auftragstätigkeiten dem Verantwortlichen in einer migrationsfähigen Form auszuhändigen, bzw. nach Weisung des Verantwortlichen unverzüglich zu Löschen. Das Löschen der Daten(-sätze) hat so zu erfolgen, dass eine Rekonstruktion der Datensätze ausgeschlossen werden kann, oder nur mit unverhältnismäßig hohem Aufwand möglich ist. Der Verantwortliche bestätigt in Textform die Rückgabe der Daten in einem migrationsfähigen Format.

Nach Abschluss der jeweiligen Auftragsarbeiten hat der Auftragnehmer dem Verantwortlichen sämtliche in seinen Besitz gelangten Unterlagen und Datensätze, die im unmittelbaren Zusammenhang mit dem Auftragsverhältnis stehen, auszuhändigen, bzw. weisungsgemäß zu löschen, und dies im Falle der Löschung unter Angabe des Löschdatums in Textform zu bestätigen.

Dem Auftragnehmer ist es untersagt, im Rahmen der Auftragsarbeiten verarbeitete personenbezogene Daten länger zu speichern, als dies mit dem Verantwortlichen schriftlich vereinbart ist. Dies gilt nicht für Daten in der Datensicherung, die nur mit unverhältnismäßigen Aufwand gelöscht werden können. Diese Daten werden für die weitere Verarbeitung gesperrt.

Unterliegen vom Auftragnehmer zu Zwecken der Dokumentation der Auftragstätigkeiten angefertigte Unterlagen gesetzlichen Aufbewahrungspflichten, sind diese durch den Auftragnehmer bis zum Ablauf der geforderten Frist datenschutzrechtlich zu sperren.

Kontrollpflichten

Der Auftragnehmer erklärt sich damit einverstanden, dass der Verantwortliche, bzw. ein von ihm beauftragter Dritter, während der üblichen Betriebs- und Geschäftszeiten und ohne Störung des Betriebsablaufs berechtigt ist, die Einhaltung der Vorschriften über den Datenschutz, die Datensicherheit, bzw. der vertraglichen Vereinbarungen sowie die Angemessenheit der zugesicherten TOM, in den Geschäftsräumen des Auftragnehmers zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Hiervon ausgenommen ist der Zugang zu Privatwohnungen der Beschäftigten des Auftragnehmers. Ein Zugangsrecht zu diesen wurde ausschließlich benannten Personen des Auftragsnehmers t zur Kontrolle der Maßnahmen nach Art. 32 DSGVO eingeräumt.

Der Auftragnehmer sichert zu, dass er bei Erforderlichkeit bei diesen Kontrollen unterstützend mitwirkt.

Der Auftragnehmer verpflichtet sich, auf schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte zu geben, Nachweise zu erbringen und Einsichtnahmen zu gewähren, die zur Durchführung einer Auftragskontrolle, bei der die Wirksamkeit der TOM überprüft wird, erforderlich sind.

Beginn und Ende des Vertrages, Vertragsstrafe

Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages.

Der Verantwortliche kann das Auftragsverhältnis jederzeit ohne Einhaltung einer Frist kündigen, wenn der Auftragnehmer in schwerwiegender Weise gegen die Bestimmungen dieses Vertrages oder gegen gesetzliche Bestimmungen verstößt, der Auftragnehmer eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Verantwortlichen vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DSGVO abgeleiteten Pflichten stellt einen schwerwiegenden Verstoß dar.

Schlussbestimmungen

Sofern eine Vertragspartei besonderen, oben nicht genannten, Geheimnisschutzregeln unterliegt und sie dies der anderen Partei zu Vertragsbeginn schriftlich mitteilt, ist auch diese Partei verpflichtet, die Geheimnisschutzregelungen zu beachten.

Sollten einzelne Teile des Vertrages unwirksam sein, so berührt dies die Wirksamkeit des Vertrages im Übrigen nicht.

Ergänzungen oder Änderungen zu diesem Vertrag unterliegen der Schriftform.

Ergänzende Regelungen zu dieser Vereinbarung

Anhang 1: Auflistung der beauftragten Dienstleistungen (Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen)

Anhang 2: Liste der beauftragten weiteren Auftragnehmer einschließlich der Verarbeitungsstandorte

Anhang 3: Kontaktdaten DSB

Anhang 4: Beschreibung der beim Auftragnehmer ergriffenen technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO zum Schutz der Daten des Verantwortlichen im Rahmen der vereinbarten Tätigkeit(en).

Klicken oder tippen Sie hier, um Text einzugeben., den Klicken oder tippen Sie hier, um Text einzugeben.	Klicken oder tippen Sie hier, um Text einzugeben., den Klicken oder tippen Sie hier, um Text einzugeben.
______________________________________ Name/Position/Unterschrift Verantwortlicher	______________________________________ Name/Position/Unterschrift Auftragnehmer
______________________________________ Name/Position/Unterschrift Verantwortlicher	______________________________________ Name/Position/Unterschrift Auftragnehmer

Kurzreferenz Vorgaben DSGVO

Vorschrift der DSGVO	Ziffer(n) in diesem Vertrag
Art. 28 Abs. 2 S. 1	8.1
Art. 28 Abs. 2 S. 2	8.7
Art. 28 Abs. 3 S. 1	2
Art. 28 Abs. 3 S. 2 lit a)	4.4
Art. 28 Abs. 3 S. 2 lit b)	6.2
Art. 28 Abs. 3 S. 2 lit d)	7.7
Art. 28 Abs. 3 S. 2 lit e)	7.3
Art. 28 Abs. 3 S. 2 lit f)	7.6; 9.3; 9.4
Art. 28 Abs. 3 S. 2 lit g)	10
Art. 28 Abs. 3 S. 2 lit h)	11
Art. 28 Abs. 4	8.4

Anhang 1: Auflistung der beauftragten Dienstleistungen (Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen)

– Durch Auftraggeber auszufüllen –

Dienstleistung	Klicken oder tippen Sie hier, um Text einzugeben.
Art der personen-bezogenen Daten	Klicken oder tippen Sie hier, um Text einzugeben.
Kategorien betroffener Personen	Klicken oder tippen Sie hier, um Text einzugeben.
Art und Zweck der Verarbeitung der personen-bezogenen Daten	Klicken oder tippen Sie hier, um Text einzugeben.

Anhang 2: Liste der beauftragten weiteren Auftragnehmer einschließlich der Verarbeitungsstandorte

Weitere Auftragnehmer (Name, Rechtsform, Sitz der Gesellschaft)	Verarbeitungsstandort (wenn abweichend)	Art der Dienstleistung
Microsoft Ireland Operations Limited 70 Sir Rogerson's Quay Dublin 2 Irland	EU Rechenzentren	Datenspeicherung
NetCologne Gesellschaft für Telekommunikation mbH Am Coloneum 9 50829 Köln	Köln	RZ-Dienstleister
DOKOM Gesellschaft für Telekommunikation mbH Stockholmer Allee 24 44269 Dortmund	Dortmund	RZ-Dienstleister
euNetworks GmbH Theodor-Heuss-Allee 112 60486 Frankfurt am Main	Frankfurt/Main	RZ-Dienstleister
REISSWOLF Köln Akten- und Datenvernichtung GmbH Wankelstr. 14-16 50996 Köln	Köln	Datenvernichtung

Anhang 3: Kontaktdaten DSB

Kontaktdaten der Datenschutzbeauftragten (DSB) des Auftragnehmers gem. Art 38 und 39 DSGVO:

Frau Dr. Bettina Kraft
SITS Germany Holding GmbH
Konrad-Adenauer-Ring 33
65187 Wiesbaden
Tel.: +49 (611) 945881-99
E-Mail: dpo@sits-group.ch

Anhang 4: Übersicht der technischen und organisatorischen Maßnahmen (TOM)

Die anwendbaren technischen und organisatorischen Maßnahmen (TOM) hängen von der in Anhang 1 spezifizierten beauftragten Dienstleistung und der damit beauftragten Verarbeitung personenbezogener Daten ab. Sie sind in einem separaten Dokument aufgeführt.