§ 1 Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der im Hauptvertrag definierten Leistungen. Die Dauer entspricht der Laufzeit des Hauptvertrags.
§ 2 Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt ausschließlich zur:
- technischen Bereitstellung
- Wartung
- Administration
- Fehleranalyse
- Datensicherung
Eine Verarbeitung zu eigenen Zwecken ist ausgeschlossen.
§ 3 Art der Daten und Kategorien betroffener Personen
Je nach System können verarbeitet werden:
- Stammdaten (Name, Adresse, E-Mail)
- Kontaktdaten
- Benutzerkonten
- Dokumentendaten
- ggf. projektspezifische Daten
Betroffene Personen können sein:
- Mitarbeiter des Auftraggebers
- Kunden des Auftraggebers
- Lieferanten
- Geschäftspartner
§ 4 Weisungsrecht
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Weisungen bedürfen ausschließlich der Textform.
§ 5 Technische und organisatorische Maßnahmen
- Die TOM ergeben sich aus Anlage B.
- Der Auftragnehmer passt diese regelmäßig an den Stand der Technik an.
§ 6 Unterauftragsverarbeiter
- Der Einsatz von Subunternehmern (z. B. Hosting-Provider) ist zulässig.
- Der Auftragnehmer stellt sicher, dass mit Unterauftragnehmern gleichwertige Datenschutzvereinbarungen bestehen.
- Eine aktuelle Liste wird auf Anfrage bereitgestellt.
§ 7 Unterstützungspflichten
Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang bei:
- Betroffenenanfragen
- Datenschutz-Folgenabschätzungen
- Meldungen von Datenschutzverletzungen
Soweit dies über den vertraglich geschuldeten Umfang hinausgeht, erfolgt Vergütung nach Aufwand.
§ 8 Meldung von Datenschutzverletzungen
Der Auftragnehmer informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Datenschutzverletzung. Die weitere Bewertung und Meldepflicht gegenüber Behörden obliegt dem Auftraggeber.
§ 9 Löschung und Rückgabe
Nach Vertragsende:
- Rückgabe der Daten
- Löschung beim Auftragnehmer
- Löschbestätigung auf Anfrage
Gesetzliche Aufbewahrungspflichten bleiben unberührt.
§ 10 Kontrollrechte
Der Auftraggeber ist berechtigt, nach angemessener Vorankündigung Prüfungen durchzuführen oder durchführen zu lassen. Der Aufwand wird angemessen berücksichtigt.
§ 11 Vertraulichkeit
Alle mit der Verarbeitung betrauten Personen sind auf Vertraulichkeit verpflichtet.
§ 12 Haftung
Es gelten die Haftungsregelungen des Hauptvertrags.