§ 12 Datenschutzrecht / IV. Muster: Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO

Rz. 66

Muster 12.5: Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO

Muster 12.5: Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO

Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO

zwischen

dem Verantwortlichen

_____ [Name, Adresse, Postleitzahl und Ort]

("Verantwortlicher")

und

dem Auftragsverarbeiter

_____ [Name, Adresse, Postleitzahl und Ort]

("Auftragsverarbeiter")

Inhalt

1	Präambel der Vereinbarung zur Auftragsverarbeitung
2	Die Rechte und Pflichten des Verantwortlichen
3	Weisungsgebundenheit des Auftragsverarbeiters
4	Vertraulichkeit
5	Sicherheit der Datenverarbeitung
6	Einsatz von Unterauftragsverarbeitern
7	Weitergabe von Daten an Drittländer oder internationale Organisationen
8	Unterstützung des Auftragsverarbeiters für den Verantwortlichen
9	Benachrichtigung bei Verletzung des Schutzes personenbezogener Daten
10	Löschung und Rückgabe von Daten
11	Durchführung von Audits
12	Kontakte/Ansprechpartner einschließlich Datenschutzbeauftragter
13	Beginn und Beendigung

Anhang A

Informationen über die Verarbeitung (Zweck, Art, Gegenstand und Dauer)

Anhang B

Einsatz von Unterauftragsverarbeitern

B.1	Bedingungen für den Einsatz von Unterauftragsverarbeitern durch den Auftragsverarbeiter
B.2	Zugelassene Unterauftragsverarbeiter

Anhang C

Anweisung zum Umgang mit personenbezogenen Daten

C.1	Anweisung für die Verarbeitung
C.2	Sicherheit der Verarbeitung
C.3	Technische und organisatorische Sicherheitsmaßnahmen des Auftragsverarbeiters
C.4	Speicherdauer und Löschung von Daten
C.5	Ort der Datenverarbeitung
C.6	Übermittlung von personenbezogenen Daten in Drittländer
C.7	Verfahren für die Überprüfung von Auftragsverarbeitern
C.8	Verfahren zur Überprüfung von Unterauftragsverarbeitern

1 Präambel der Vereinbarung zur Auftragsverarbeitung

1.

Diese Vereinbarung zur Auftragsverarbeitung ("AVV") legt die Rechte und Pflichten fest, die für den Umgang des Auftragsverarbeiters mit personenbezogenen Daten im Auftrag des Verantwortlichen gelten.

2.

Diese Vereinbarung soll sicherstellen, dass die Parteien Artikel 28 Abs. 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DSGVO) einhalten.

3.

Die Tätigkeit des Auftragsverarbeiters im Rahmen dieser Vereinbarung bestimmt sich nach der Beschreibung von Art und Inhalt der Datenverarbeitung, die sich ergibt

▪	aus der "Leistungsvereinbarung" [Dienstleistungsvereinbarung] der Parteien vom _____ unter_____ [genauer Verweis auf Gegenstand, Art, Zweck und Dauer der Datenvereinbarung]

und/oder

▪	aus Anhang A – sowie ergänzend erteilter Einzelweisungen –, soweit die Leistungsvereinbarung die relevanten Punkte (Gegenstand, Art, Zweck und Dauer der Datenvereinbarung) nicht oder nicht vollständig regelt.

4.

AVV und "Leistungsvereinbarung" sind voneinander abhängig; insbesondere kann die AVV nicht separat gekündigt werden. Die AVV kann jedoch – ohne Kündigung der "Leistungsvereinbarung" – durch eine alternative, gem. Art. 28 Abs. 3 DSGVO gültige AVV ersetzt werden.

5.

Die AVV hat Vorrang vor allen abweichenden Bestimmungen, die in anderen Vereinbarungen zwischen den Parteien, einschließlich der "Leistungsvereinbarung", enthalten sind.

6.

Der AVV sind drei Anhänge ("A", "B" und "C") beigefügt. Die Anhänge bilden integrale Bestandteile dieser AVV.

7.

Anhang A der AVV enthält Einzelheiten über die Verarbeitung sowie über den Zweck und die Art der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien der betroffenen Personen und die Dauer der Verarbeitung, sofern sich dies nicht aus der Leistungsvereinbarung ergibt.

8.

Anhang B der AVV enthält die Bedingungen des Verantwortlichen, die für den Einsatz von Unterauftragsverarbeitern durch den Auftragsverarbeiter gelten, sowie eine Liste der vom Verantwortlichen genehmigten Unterauftragsverarbeiter.

9.

Anhang C der AVV enthält Anweisungen über die Verarbeitung, die der Auftragsverarbeiter im Auftrag des Verantwortlichen durchführen soll, über die Mindestsicherheitsmaßnahmen, die zu implementieren sind, und darüber, wie die Kontrolle mit dem Auftragsverarbeiter und eventuellen Unterauftragsverarbeitern durchzuführen ist.

10.

Die AVV und die dazugehörigen Anlagen werden von beiden Parteien schriftlich oder elektronisch aufbewahrt.

11.

Die AVV befreit den Auftragsverarbeiter nicht von Verpflichtungen, denen der Auftragsverarbeiter gemäß der DSGVO oder anderen Rechtsvorschriften unterliegt.

2 Die Rechte und Pflichten des Verantwortlichen

1.	Der Verantwortliche ist gegenüber außenstehenden Dritten (einschließlich betroffener Personen) dafür verantwortlich, dass die Verarbeitung personenbezogener Daten im Rahmen der DSGVO und sonst anwendbarer Datenschutzgesetze (u.a. BDSG) erfolgt.
2.	Der Verantwortliche hat daher sowohl das Recht als auch die Pflicht, im Rahmen der Zusammenarbeit mit dem Auftragsverarbe...