Die folgende Vereinbarung beschreibt die Regelung der Auftragsverarbeitung im Sinne des Art. 28 DSGVO zwischen den Kunden als Auftraggeber und dem jeweiligen Unternehmen der SIHOT.Group, mit dem der Hauptvertrag geschlossen wurde, als Auftragnehmer. Diese Vereinbarungen stehen in Sinne einer allgemeinen Geschäftsbedingung unter der Bedingung, dass entsprechend des Hauptvertrags eine Verarbeitung von personenbezogenen Daten im Auftrag im Sinne des Art. 28 DSGVO erfolgt. Der Auftraggeber kann dieser Vereinbarung widersprechen, wenn diese keine Auftragsverarbeitung darstellt oder eine andere Vereinbarung zur Einhaltung der datenschutzrechtlichen Pflichten getroffen wurde.
§ 1 Gegenstand und Dauer des Auftrags
(1) Gegenstand
Der Gegenstand des Auftrags im Sinne der Vereinbarung ergibt sich aus dem Hauptvertrag in seiner Ausformung durch die Allgemeinen Geschäftsbedingungen. Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber sind konkret beschrieben im Hauptvertrag. Dies umfasst ebenso den Support durch den Auftragnehmer.
Gegenstand der Verarbeitung personenbezogener Daten sind die Datenarten/-kategorien, welche dem IT-Dienstleister im Rahmen der IT‑Dienstleistung oder Supportleistungen bekannt werden können. Dabei handelt es sich insbesondere, aber nicht zwingend um Personenstammdaten, Kommunikationsdaten, Kundendaten oder Auskunftsangaben. Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen die Daten, die dem IT-Dienstleister im Rahmen der IT‑Dienstleistung bekannt werden können. Hierbei handelt es sich insbesondere, aber nicht zwingend, um Kunden, Interessenten, Abonnementen, Beschäftigte, Lieferanten, Handelsvertreter und Ansprechpartner.
(2) Dauer
Die Laufzeit dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags. Sofern keine Laufzeit im Hauptvertrag bestimmt wurde oder der Hauptvertrag in einer einmaligen Ausführung besteht, gilt der Vertrag als unbefristet und kann von beiden Parteien mit einer Frist von 4 Wochen zum Monatsende gekündigt werden. Die Möglichkeiten zur fristlosen Kündigung bleiben hiervon unberührt.
§ 2 Technisch Organisatorische Maßnahmen
Der Auftragnehmer hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DS-GVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DS-GVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen.
Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.
Der Auftraggeber und der Auftragsverarbeiter sind sich einig, dass die unter der URL https://sihot.com/de/gdpr einsehbaren und definierten aktuellen TOMs ausreichend im Sinne der DSGVO sind. Der Auftragnehmer behält sich vor, die unter dieser URL abrufbaren Informationen von Zeit zu Zeit zu aktualisieren. Der Auftraggeber wird die URL regelmäßig aufrufen, es besteht hier auch die Möglichkeit, sich unter der URL für einen entsprechenden Newsletter-Dienst anzumelden. Die Dokumentation der TOMs beinhaltet auf Aufforderung des Auftraggebers auch Nachweise über das nach Art. 32 Abs. 1 lit. d) einzurichtende Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
§ 3 Berichtigung, Einschränkung und Löschung von Daten
Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
Soweit vom Leistungsumfang umfasst, sind Löschkonzept, Recht auf Vergessen werden, Berichtigung, Datenportabilität und Auskunft nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.
Für geringfügige Ersuchen fallen keine Mehrkosten an. Darüber hinausgehende Aufwendungen hat der Auftraggeber mit einem angemessenen Entgelt entsprechend den konkreten Aufwendungen des Auftragnehmers zu vergüten.
§ 4 Qualitätssicherung und sonstige Pflichten des Auftragnehmers
Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 33 DS-GVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:
§ 5 Unterauftragsverhältnisse
Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Eine Liste der aktuell vom Auftragnehmer in Anspruch genommenen weiteren Auftragsverarbeitern ist unter der https://sihot.com/de/gdpr abrufbar. Diese werden durch den Auftraggeber mit dem Zustandekommen dieses Vertrages akzeptiert. Im Der Auftragnehmer behält sich vor, die unter dieser URL abrufbaren Informationen von Zeit zu Zeit zu aktualisieren. Der Auftraggeber wird zum Erhalt dieser Informationen die URL regelmäßig aufrufen, es besteht hier unter der URL auch die Möglichkeit, sich für einen entsprechenden Newsletter-Dienst anzumelden. Die Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters gilt als genehmigt, wenn der Auftraggeber innerhalb von 1 Monaten nach der online Verfügbarkeit der Information keine Einwände gegenüber dem Auftragnehmer in schriftlicher Form erhebt. Widerspricht der Auftraggeber, so hat er die Gründe für den Widerspruch mitzuteilen. Der Auftragnehmer kann nach eigenem Ermessen aufgrund eines Widerspruchs anstelle des abgelehnten weiteren Auftragsverarbeiters einen anderen weiteren Auftragsverarbeiter vorschlagen oder zur Beseitigung des Widerspruchs des Kunden Maßnahmen ergreifen, welche die Bedenken des Kunden ausräumen. Stehen die beiden Möglichkeiten zur Ausräumung des Widerspruchs nicht zur Verfügung oder ist der Widerspruch des Kunden nicht anderweitig beseitigt worden, kann der Auftragnehmer den Hauptvertrag ganz oder teilweise ohne Einhaltung einer Frist kündigen, z.B. wenn der Widerspruch dazu führt, dass der Auftragnehmer die Erfüllung der nach dem Hauptvertrag geschuldeten Pflichten nicht unerheblich erschwert oder unmöglich wird. Ab der geplanten Hinzuziehung oder Ersetzung eines widersprochenen Auftragsverarbeiters sind etwaige Vereinbarungen über Reaktionszeiten oder Verfügbarkeiten suspendiert und es entfallen insofern sämtliche Ansprüche wegen Schadenersatz statt der Leistung, wegen Vermögensschäden und auf etwaig vereinbarte Vertragsstrafen gegen den Auftragnehmer. Bei einer Teilkündigung der Leistungspflicht des Auftragnehmers bestimmt sich die Vergütung für die nicht von der Teilkündigung betroffenen Leistungen nach den für diese Leistungen beim Auftragnehmer geltenden üblichen listenmäßigen Preisen.
Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Weiteren Auftragsverarbeiters. Der Auftragnehmer haftet jedoch nicht für Schäden oder Ansprüche, die sich aus zusätzlichen oder abweichenden Weisungen des Auftraggebers ergeben.
Zieht der Auftragnehmer einen weiteren Auftragsverarbeiter in einem Drittland (außerhalb der EU/EWR) hinzu, wird der Auftragsverarbeiter insbesondere die Vorgaben gemäß Art. 44 ff. DSGVO beachten. Der Auftragnehmer wird hinreichende Garantien dafür vorsehen, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen der DSGVO erfolgt, den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen und Übermittlungen in ein Drittland und Schutzvorkehrungen gemäß Art. 30 Abs. 2 DSGVO dokumentiert werden.
Soweit der Auftragnehmer durch z.B. EU-Standardvertragsklauseln gemäß der Kommissionsentscheidung 2010/87/EU bzw. Standarddatenschutzklauseln gemäß Art. 46 DSGVO angemessene Garantien vorsieht, erteilt der Auftraggeber dem Auftragnehmer hiermit die Vollmacht, unter Befreiung vom Verbot der Doppelvertretung gemäß § 181 BGB, alle für diesen Vertragsschluss erforderlichen Handlungen im Namen des Kunden vorzunehmen, einschließlich insbesondere der ausdrücklichen oder stillschweigenden Abgabe
§ 6 Kontrollbefugnisse
(1) Der Auftraggeber hat das Recht, die Einhaltung der gesetzlichen Vorschriften zum Datenschutz und/oder die Einhaltung der zwischen den Parteien getroffenen vertraglichen Regelungen und/oder die Einhaltung der Weisungen des Auftraggebers durch den Auftragnehmer im erforderlichen Umfang zu kontrollieren.
(2) Der Auftragnehmer ist dem Auftraggeber gegenüber zur Auskunftserteilung verpflichtet, soweit dies zur Durchführung der Kontrolle i.S.d. Absatzes 1 erforderlich ist.
(3) Der Auftraggeber kann nach vorheriger Anmeldung mit angemessener Frist die Kontrolle im Sinne des Absatzes 1 in der Betriebsstätte des Auftragnehmers zu den jeweils üblichen Geschäftszeiten vornehmen. Eine Kontrolle setzt konkrete Anhaltspunkte des Auftraggebers (beispielsweise Datenschutzvorfälle) voraus, welche eine Kontrolle erforderlich erscheinen lassen. Gegen die Auswahl von Dritten im Zuge einer Kontrolle hat der Auftragnehmer ein Widerspruchsrecht, insofern es sich um einen Mitbewerber des Auftragnehmers handelt. Kontrollen beim Auftragnehmer haben ohne vermeidbare Störungen seines Geschäftsbetriebs zu erfolgen. Soweit nicht aus vom Auftraggeber zu dokumentierenden, dringlichen Gründen anders angezeigt, finden Kontrollen nach angemessener Vorankündigung und zu Geschäftszeiten des Auftragnehmers, sowie nicht häufiger als alle 12 Monate statt. Soweit der Auftragnehmer den Nachweis der korrekten Umsetzung der vereinbarten Datenschutzpflichten wie in diesem Vertrage vorgesehen erbringt, soll sich eine Kontrolle auf Stichproben beschränken.
(4) Der Auftragnehmer ist verpflichtet, im Falle von Maßnahmen der Aufsichtsbehörde gegenüber dem Auftraggeber i.S.d. Art. 58 DSGVO i.V.m. § 40 BDSG, insbesondere im Hinblick auf Auskunfts- und Kontrollpflichten die erforderlichen Auskünfte an den Auftraggeber zu erteilen.
(5) Eine Kontrolle kann durch die Vorlage von Zertifikaten oder Auditierungen durch den Auftragnehmer ersetzt werden.
§ 7 Fernwartung
Der Auftragnehmer und der Auftraggeber vereinbaren, dass dem Auftragnehmer die Leistung im Sinne des Hauptvertrags auch im Rahmen einer sogenannten Fernwartung nach Maßgabe der Anlage 2 gestattet wird.
§ 8 Verantwortung des Auftraggebers
Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung sowie für die Wahrung der Rechte von Betroffenen ist allein der Auftraggeber verantwortlich. Der Auftraggeber erteilt alle Aufträge, Teilaufträge oder Weisungen dokumentiert. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
§ 9 Kostenteilung
Die Kosten, die dem Auftragnehmer im Zusammenhang mit seinen Pflichten oder den Rechten des Auftraggebers entstehen, können dem Auftraggeber gegenüber geltend gemacht werden. Dies betrifft insbesondere die Unterstützung im Zusammenhang mit Betroffenenrechten und den Kontrollbefugnissen des Auftraggebers. Für geringfügige Ersuchen und Aufgaben im Sinne dieses Paragraphen fallen keine Mehrkosten an. Die Grenze der Geringfügigkeit wird vom Auftragnehmer nach billigem Ermessen bestimmt und kann im Streitfall von einem zuständigen Gericht auf deren Angemessenheit hin überprüft werden. Darüberhinausgehende Aufwendungen hat der Auftraggeber mit einem angemessenen Entgelt entsprechend der konkreten Aufwendungen des Auftragnehmers zu vergüten.
§ 10 Haftung
Auftraggeber und Auftragnehmer haften gegenüber betroffenen Personen entsprechend der in Art. 82 DSGVO getroffenen Regelungen. Der vom Auftragnehmer zu leistende Schadenersatz an den Auftraggeber oder an Dritte wird auf die Höhe der Haftpflicht-Versicherungssumme des Auftragnehmers bzw. sofern keine solche besteht auf deren branchenübliche Höhe, beschränkt. Eine eventuell zwischen den Parteien im Hauptvertrag vereinbarte Haftungsregelung gilt auch für die Auftragsverarbeitung. In diesem Fall entfällt die Beschränkung der Schadenersatzhöhe auf die Haftpflicht-Versicherungssumme des Auftragnehmers bzw. deren branchenübliche Höhe.
§ 11 Beendigung
Nach Beendigung des Vertrages hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, Daten und erstellten Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis nach Wahl des Auftraggebers entweder zu löschen oder zurückzugeben und die vorhandenen Kopien zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.
§ 12 Änderungen
Dieser Auftragsverarbeitungsvertrag kann durch Erklärung des Auftragnehmers geändert werden. Jeder Änderung bedarf der Genehmigung durch den Auftraggeber. Die Genehmigung gilt als erteilt, wenn der Auftraggeber nicht innerhalb eines Monats seinen schriftlichen Widerspruch gegen die Änderung an den Auftragnehmer richtet. Nach erfolgtem Widerspruch kann der Auftragnehmer nach seiner Wahl die Änderung zurücknehmen oder den Vertrag binnen einer Monatsfrist kündigen.
§ 13 Konkurrenzregelung
Diese Regelung ersetzt alle eventuell bestehenden vorhergehenden Vereinbarungen zur Auftragsverarbeitung mit dem Auftragnehmer als eigenständige Vereinbarung zur Auftragsverarbeitung im angegebenen Regelungsbereich.
§ 14 Schlussbestimmungen
Sollten einzelne Bestimmungen dieses Vertrages unwirksam oder undurchführbar sein oder nach Vertragsschluss unwirksam oder undurchführbar werden, bleibt davon die Wirksamkeit des Vertrages im Übrigen unberührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll diejenige wirksame und durchführbare Regelung treten, deren Wirkungen der wirtschaftlichen Zielsetzung am nächsten kommen, die die Vertragsparteien mit der unwirksamen bzw. undurchführbaren Bestimmung verfolgt haben. Die vorstehenden Bestimmungen gelten entsprechend für den Fall, dass sich der Vertrag als lückenhaft erweist.
Für Streitigkeiten aus diesem Auftragsverarbeitungsvertrag gilt der Gerichtsstand, wie er im Hauptvertag bestimmt wurde.
Kontakt Datenschutzbeauftragter
Der Datenschutzbeauftragte der Gubse AG ist über die folgenden Kontaktdaten zu erreichen:
Datenschutzbeauftragter:
HJP Datentechnik GmbH
Robert Jungk Straße 1
66459 Limbach
Telefon: 06841-9816-0
Telefax: 06841-9816-29
Bei Fragen zum Datenschutz und der Datenverarbeitung steht unser Datenschutzbeauftragter für Ihre Fragen und Ersuchen gerne zur Verfügung.
Vereinbarung zur Fernwartung
Auftraggeber und Auftragnehmer vereinbaren die folgenden Bedingungen bezüglich des Fernzugriffs auf die IT-Systeme bzw. die Software des Auftraggebers zum Zwecke der IT-Dienstleistung.
