Auftragsverarbeitungsvertrag

Auf­trags­ver­ar­bei­tungs­ver­trag (AVV)

ABSCHNITT I

Klausel 1: Zweck und Anwen­dungs­be­reich

1. Mit diesen Stan­dard­ver­trags­klau­seln (im Fol­genden »Klau­seln«) soll die Ein­hal­tung von Artikel 28 Absätze 3 und 4 der Ver­ord­nung (EU) 2016/679 des Euro­päi­schen Par­la­ments und des Rates vom 27. April 2016 zum Schutz natür­li­cher Per­sonen bei der Ver­ar­bei­tung per­so­nen­be­zo­gener Daten, zum freien Daten­ver­kehr und zur Auf­he­bung der Richt­linie 95/46/EG (Daten­schutz-Grund­ver­ord­nung) sicher­ge­stellt werden.
2. Die in Anhang I auf­ge­führten Ver­ant­wort­li­chen und Auf­trags­ver­ar­beiter haben diesen Klau­seln zuge­stimmt, um die Ein­hal­tung von Artikel 28 Absätze 3 und 4 der Ver­ord­nung (EU) 2016/679 und/oder Artikel 29 Absätze 3 und 4 der Ver­ord­nung (EU) 2018/1725 zu gewähr­leisten.
3. Diese Klau­seln gelten für die Ver­ar­bei­tung per­so­nen­be­zo­gener Daten gemäß.
4. Die Anhänge I bis IV sind Bestand­teil der Klau­seln.
5. Diese Klau­seln gelten unbe­schadet der Ver­pflich­tungen, denen der Ver­ant­wort­liche gemäß der Ver­ord­nung (EU) 2016/679 und/oder der Ver­ord­nung (EU) 2018/1725 unter­liegt.
6. Diese Klau­seln stellen für sich allein genommen nicht sicher, dass die Ver­pflich­tungen im Zusam­men­hang mit inter­na­tio­nalen Daten­über­mitt­lungen gemäß Kapitel V der Ver­ord­nung (EU) 2016/679 und/oder der Ver­ord­nung (EU) 2018/1725 erfüllt werden.

Klausel 2: Unab­än­der­bar­keit der Klau­seln

1. Die Par­teien ver­pflichten sich, die Klau­seln nicht zu ändern, es sei denn, zur Ergän­zung oder Aktua­li­sie­rung der in den Anhängen ange­ge­benen Infor­ma­tionen.
2. Dies hin­dert die Par­teien nicht daran, die in diesen Klau­seln fest­ge­legten Stan­dard­ver­trags­klau­seln in einen umfang­rei­cheren Ver­trag auf­zu­nehmen und wei­tere Klau­seln oder zusätz­liche Garan­tien hin­zu­zu­fügen, sofern diese weder unmit­telbar noch mit­telbar im Wider­spruch zu den Klau­seln stehen oder die Grund­rechte oder Grund­frei­heiten der betrof­fenen Per­sonen beschneiden.

Klausel 3: Aus­le­gung

1. Werden in diesen Klau­seln die in der Ver­ord­nung (EU) 2016/679 bzw. der Ver­ord­nung (EU) 2018/1725 defi­nierten Begriffe ver­wendet, so haben diese Begriffe die­selbe Bedeu­tung wie in der betref­fenden Ver­ord­nung.
2. Diese Klau­seln sind im Lichte der Bestim­mungen der Ver­ord­nung (EU) 2016/679 bzw. der Ver­ord­nung (EU) 2018/1725 aus­zu­legen.
3. Diese Klau­seln dürfen nicht in einer Weise aus­ge­legt werden, die den in der Ver­ord­nung (EU) 2016/679 oder der Ver­ord­nung (EU) 2018/1725 vor­ge­se­henen Rechten und Pflichten zuwi­der­läuft oder die Grund­rechte oder Grund­frei­heiten der betrof­fenen Per­sonen beschneidet.

Klausel 4: Vor­rang

Im Falle eines Wider­spruchs zwi­schen diesen Klau­seln und den Bestim­mungen damit zusam­men­hän­gender Ver­ein­ba­rungen, die zwi­schen den Par­teien bestehen oder später ein­ge­gangen oder geschlossen werden, haben diese Klau­seln Vor­rang.

Klausel 5: Kopp­lungs­klausel

1. Eine Ein­rich­tung, die nicht Partei dieser Klau­seln ist, kann diesen Klau­seln mit Zustim­mung aller Par­teien jeder­zeit als Ver­ant­wort­li­cher oder als Auf­trags­ver­ar­beiter bei­treten, indem sie die Anhänge aus­füllt und Anhang I unter­zeichnet.
2. Nach Aus­füllen und Unter­zeichnen der unter Nummer 1 genannten Anhänge wird die bei­tre­tende Ein­rich­tung als Partei dieser Klau­seln behan­delt und hat die Rechte und Pflichten eines Ver­ant­wort­li­chen oder eines Auf­trags­ver­ar­bei­ters ent­spre­chend ihrer Bezeich­nung in Anhang I.
3. Für die bei­tre­tende Ein­rich­tung gelten für den Zeit­raum vor ihrem Bei­tritt als Partei keine aus diesen Klau­seln resul­tie­renden Rechte oder Pflichten.

ABSCHNITT II – PFLICHTEN DER PAR­TEIEN

Klausel 6: Beschrei­bung der Ver­ar­bei­tung

Die Ein­zel­heiten der Ver­ar­bei­tungs­vor­gänge, ins­be­son­dere die Kate­go­rien per­so­nen­be­zo­gener Daten und die Zwecke, für die die per­so­nen­be­zo­genen Daten im Auf­trag des Ver­ant­wort­li­chen ver­ar­beitet werden, sind in Anhang II auf­ge­führt.

Klausel 7: Pflichten der Par­teien

7.1. Wei­sungen

1. Der Auf­trags­ver­ar­beiter ver­ar­beitet per­so­nen­be­zo­gene Daten nur auf doku­men­tierte Wei­sung des Ver­ant­wort­li­chen, es sei denn, er ist nach Uni­ons­recht oder nach dem Recht eines Mit­glied­staats, dem er unter­liegt, zur Ver­ar­bei­tung ver­pflichtet. In einem sol­chen Fall teilt der Auf­trags­ver­ar­beiter dem Ver­ant­wort­li­chen diese recht­li­chen Anfor­de­rungen vor der Ver­ar­bei­tung mit, sofern das betref­fende Recht dies nicht wegen eines wich­tigen öffent­li­chen Inter­esses ver­bietet. Der Ver­ant­wort­liche kann wäh­rend der gesamten Dauer der Ver­ar­bei­tung per­so­nen­be­zo­gener Daten wei­tere Wei­sungen erteilen. Diese Wei­sungen sind stets zu doku­men­tieren.
2. Der Auf­trags­ver­ar­beiter infor­miert den Ver­ant­wort­li­chen unver­züg­lich, wenn er der Auf­fas­sung ist, dass vom Ver­ant­wort­li­chen erteilte Wei­sungen gegen die Ver­ord­nung (EU) 2016/679, die Ver­ord­nung (EU) 2018/1725 oder gel­tende Daten­schutz­be­stim­mungen der Union oder der Mit­glied­staaten ver­stoßen.

7.2. Zweck­bin­dung

Der Auf­trags­ver­ar­beiter ver­ar­beitet die per­so­nen­be­zo­genen Daten nur für den/die in Anhang II genannten spe­zi­fi­schen Zweck(e), sofern er keine wei­teren Wei­sungen des Ver­ant­wort­li­chen erhält.

7.3. Dauer der Ver­ar­bei­tung per­so­nen­be­zo­gener Daten

Die Daten werden vom Auf­trags­ver­ar­beiter nur für die in Anhang II ange­ge­bene Dauer ver­ar­beitet.

7.4. Sicher­heit der Ver­ar­bei­tung

1. Der Auf­trags­ver­ar­beiter ergreift min­des­tens die in Anhang III auf­ge­führten tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nahmen, um die Sicher­heit der per­so­nen­be­zo­genen Daten zu gewähr­leisten. Dies umfasst den Schutz der Daten vor einer Ver­let­zung der Sicher­heit, die zur Ver­nich­tung, zum Ver­lust, zur Ver­än­de­rung oder zur unbe­fugten Offen­le­gung führt. Bei der Beur­tei­lung des ange­mes­senen Schutz­ni­veaus tragen die Par­teien dem Stand der Technik, den Imple­men­tie­rungs­kosten, der Art, dem Umfang, den Umständen und den Zwe­cken der Ver­ar­bei­tung sowie den Risiken für die betrof­fenen Per­sonen Rech­nung.
2. Der Auf­trags­ver­ar­beiter gewährt seinem Per­sonal nur inso­weit Zugang zu den per­so­nen­be­zo­genen Daten, als dies für die Durch­füh­rung, Ver­wal­tung und Über­wa­chung des Ver­trags unbe­dingt erfor­der­lich ist. Er gewähr­leistet, dass sich die befugten Per­sonen zur Ver­trau­lich­keit ver­pflichten oder einer gesetz­li­chen Ver­schwie­gen­heits­pflicht unter­liegen.

7.5. Sen­sible Daten

Wenn die Ver­ar­bei­tung sen­sible Daten betrifft (rassische/ethnische Her­kunft, poli­ti­sche Mei­nungen, reli­giöse Über­zeu­gungen, Gesund­heits­daten, bio­me­tri­sche Daten etc.), wendet der Auf­trags­ver­ar­beiter zusätz­liche Garan­tien und Beschrän­kungen an.

7.6. Doku­men­ta­tion und Ein­hal­tung

1. Die Par­teien müssen die Ein­hal­tung dieser Klau­seln nach­weisen können.
2. Der Auf­trags­ver­ar­beiter bear­beitet Anfragen des Ver­ant­wort­li­chen bezüg­lich dieser Klau­seln unver­züg­lich und ange­messen.
3. Der Auf­trags­ver­ar­beiter stellt dem Ver­ant­wort­li­chen alle Infor­ma­tionen bereit, die zum Nach­weis der Ein­hal­tung dieser Klau­seln erfor­der­lich sind. Auf Ver­langen gestattet er Prü­fungen der Ver­ar­bei­tungs­tä­tig­keiten. Zer­ti­fi­zie­rungen können berück­sich­tigt werden.
4. Der Ver­ant­wort­liche kann die Prü­fung selbst durch­führen oder einen Prüfer beauf­tragen. Dies kann auch Inspek­tionen vor Ort umfassen.
5. Die Par­teien stellen der zustän­digen Auf­sichts­be­hörde auf Anfrage die Infor­ma­tionen und Prü­fungs­er­geb­nisse zur Ver­fü­gung.

7.7. Ein­satz von Unter­auf­trags­ver­ar­bei­tern

1. Der Ver­ant­wort­liche erteilt eine all­ge­meine Geneh­mi­gung zur Beauf­tra­gung von Unter­auf­trags­ver­ar­bei­tern. Der Auf­trags­ver­ar­beiter infor­miert 14 Tage vorher über Ände­rungen. Wider­spruch ist mög­lich.
2. Unter­auf­trags­ver­ar­beiter müssen ver­trag­lich den­selben Pflichten wie der Auf­trags­ver­ar­beiter unter­liegen.
3. Auf Wunsch stellt der Auf­trags­ver­ar­beiter Kopien der Unter­auf­trags­ver­träge zur Ver­fü­gung (ggf. geschwärzt).
4. Der Auf­trags­ver­ar­beiter haftet voll für die Erfül­lung der Pflichten der Unter­auf­trags­ver­ar­beiter.
5. Es muss eine Dritt­be­güns­tig­ten­klausel ver­ein­bart werden, die dem Ver­ant­wort­li­chen Rechte bei Insol­venz des Auf­trags­ver­ar­bei­ters ein­räumt.

7.8. Inter­na­tio­nale Daten­über­mitt­lungen

1. Die Über­mitt­lung an Dritt­länder erfolgt nur nach doku­men­tierter Wei­sung oder recht­li­cher Ver­pflich­tung und muss Kapitel V DSGVO ent­spre­chen.
2. Wenn Unter­auf­trags­ver­ar­beiter ein­ge­setzt werden und Daten­über­mitt­lungen statt­finden, müssen geeig­nete Garan­tien wie Stan­dard­ver­trags­klau­seln genutzt werden.

Klausel 8: Unter­stüt­zung des Ver­ant­wort­li­chen

1. Der Auf­trags­ver­ar­beiter infor­miert den Ver­ant­wort­li­chen über Anfragen betrof­fener Per­sonen. Er beant­wortet sie nicht eigen­ständig, außer nach aus­drück­li­cher Ermäch­ti­gung.
2. Unter­stüt­zung bei der Beant­wor­tung von Betrof­fe­nen­an­fragen.
3. Unter­stüt­zung bei Daten­schutz-Fol­gen­ab­schät­zungen, Kon­sul­ta­tionen, Daten­rich­tig­keit, Sicher­heit (Art. 32 DSGVO) usw.
4. Tech­ni­sche und orga­ni­sa­to­ri­sche Maß­nahmen hierzu werden in Anhang III defi­niert.

Klausel 9: Mel­dung von Ver­let­zungen des Schutzes per­so­nen­be­zo­gener Daten

Im Falle einer Daten­panne unter­stützt der Auf­trags­ver­ar­beiter den Ver­ant­wort­li­chen, um Mel­de­pflichten gemäß Art. 33 und 34 DSGVO zu erfüllen.

9.1. Ver­let­zung der vom Ver­ant­wort­li­chen ver­ar­bei­teten Daten

1. Unter­stüt­zung bei der Mel­dung an Auf­sichts­be­hörden.
2. Bereit­stel­lung der gesetz­lich erfor­der­li­chen Infor­ma­tionen (Art, Umfang, Folgen, Maß­nahmen).
3. Unter­stüt­zung bei der Infor­ma­tion betrof­fener Per­sonen (Art. 34 DSGVO).

9.2. Ver­let­zung der vom Auf­trags­ver­ar­beiter ver­ar­bei­teten Daten

1. Beschrei­bung der Ver­let­zung.
2. Kon­takt­stelle für Rück­fragen.
3. Infor­ma­tionen zu Folgen und ergrif­fenen Maß­nahmen.
4. Nach­rei­chung feh­lender Infor­ma­tionen ohne unan­ge­mes­sene Ver­zö­ge­rung.

ABSCHNITT III – SCHLUSS­BE­STIM­MUNGEN

Klausel 10: Ver­stöße gegen die Klau­seln und Been­di­gung des Ver­trags

1. Falls der Auf­trags­ver­ar­beiter seinen Pflichten gemäß diesen Klau­seln nicht nach­kommt, kann der Ver­ant­wort­liche die Ver­ar­bei­tung per­so­nen­be­zo­gener Daten aus­setzen, bis der Auf­trags­ver­ar­beiter diese Klau­seln ein­hält oder der Ver­trag beendet ist. Der Auf­trags­ver­ar­beiter unter­richtet den Ver­ant­wort­li­chen unver­züg­lich, wenn er aus irgend­einem Grund nicht in der Lage ist, die Klau­seln ein­zu­halten.
2. Der Ver­ant­wort­liche ist berech­tigt, den Ver­trag – soweit er die Ver­ar­bei­tung per­so­nen­be­zo­gener Daten gemäß diesen Klau­seln betrifft – zu kün­digen, wenn:
   1. der Ver­ant­wort­liche die Ver­ar­bei­tung gemäß Nummer 1 aus­ge­setzt hat und die Ein­hal­tung der Klau­seln nicht inner­halb einer ange­mes­senen Frist, spä­tes­tens jedoch inner­halb eines Monats, wie­der­her­ge­stellt wurde;
   2. der Auf­trags­ver­ar­beiter in erheb­li­chem Umfang oder wie­der­holt gegen diese Klau­seln ver­stößt oder seine Pflichten gemäß der Ver­ord­nung (EU) 2016/679 bzw. der Ver­ord­nung (EU) 2018/1725 nicht erfüllt;
   3. der Auf­trags­ver­ar­beiter einer bin­denden Ent­schei­dung eines zustän­digen Gerichts oder einer zustän­digen Auf­sichts­be­hörde, die seine Pflichten gemäß diesen Klau­seln betrifft, nicht nach­kommt.
3. Der Auf­trags­ver­ar­beiter ist berech­tigt, den Ver­trag – soweit er die Ver­ar­bei­tung per­so­nen­be­zo­gener Daten gemäß diesen Klau­seln betrifft – zu kün­digen, wenn der Ver­ant­wort­liche auf der Durch­füh­rung von Wei­sungen besteht, nachdem der Auf­trags­ver­ar­beiter ihn darauf hin­ge­wiesen hat, dass diese Wei­sungen gegen gel­tendes Recht ver­stoßen (gemäß Klausel 7.1(b)).
4. Nach Been­di­gung des Ver­trags löscht der Auf­trags­ver­ar­beiter nach Wahl des Ver­ant­wort­li­chen alle per­so­nen­be­zo­genen Daten, die er im Auf­trag des Ver­ant­wort­li­chen ver­ar­beitet hat, und bestä­tigt dem Ver­ant­wort­li­chen die Löschung, oder er gibt alle Daten an den Ver­ant­wort­li­chen zurück und löscht vor­han­dene Kopien, sofern keine gesetz­liche Spei­cher­pflicht besteht. Bis zur Löschung oder Rück­gabe der Daten gewähr­leistet der Auf­trags­ver­ar­beiter wei­terhin die Ein­hal­tung dieser Klau­seln.