Source: https://fisel.de/avv-formular/
Timestamp: 2019-09-16 04:21:42+00:00

Document:
AVV Formular - Fisel GmbH
Im Folgenden "Auftraggeber"
Im Folgenden "Auftragnehmer"
§1 Gegenstand und Dauer der Verarbeitung
Der Auftrag umfasst alle Tätigkeiten, die mit dem/den Hauptvertrag/Haupt¬verträgen in Zusammenhang stehen und bei denen Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen können. Als solche Tätigkeiten kommen insbesondere ein Remotezugriff auf das IT-System des Auftraggebers, der Umgang mit einem Echtdaten enthaltenden Dump/ Backup-Datei – vor allem im Zusammenhang mit Supportanfragen – in Betracht, soweit auf dem IT-System oder in den Echtdaten personenbezogene Daten enthalten sind. Weiterhin fallen hierunter Hosting von Software, ASP, SaaS oder Cloud basierende Angebote der Softwareüberlassung. Der Auftragnehmer verarbeitet dabei personenbezogene Daten für die Verarbeitung im Sinne von Art. 4 Nr. 2 und Art. 28 DS-GVO auf Grundlage dieses Vertrags. Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).
Der Vertrag wird auf unbestimmte Zeit geschlossen und ist mit einer Frist von 31 Tagen kündbar.
Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrags vorliegt, der Auftragnehmer eine Weisung des Verantwortlichen nicht ausführen kann oder will oder der Auftraggeber Kontrollrechte des Verantwortlichen vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DSGVO abgeleiteten Pflichten stellt einen schweren verstoß dar.
§2 Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien der betroffenen Daten
Art der Verarbeitung (gem. Art. 4 Nr. 2 DS-GVO)
Personenbezogene Daten werden ausschließlich nach Weisung durch einen Weisungsbefugten (§4) verarbeitet.
Hierbei umfasst die Verarbeitung die Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Anpassung, Veränderung, Abfrage, Verwendung, Abgleich und das Löschen, sowie die Vernichtung der personenbezogenen Daten.
Eine Offenlegung durch Übermittlung erfolgt nur im Unterauftragsverhältnis mit einem Subunternehmer und nur nach Rücksprache mit dem Auftraggeber.
Art und Kategorien der Personenbezogenen Daten (gem. Art. 4 Nr. 1, 13, 14, 15 DS-GVO)
Verarbeitet werden Informationen, die einer natürlichen Person eindeutig zugeordnet sind oder einer natürlichen Person eindeutig zugeordnet werden können.
Im rahmen dieses Vertrages werden nur Daten verarbeitet, die nicht unter die Kategorie besonderer Personenbezogener Daten (gem. Art. 9 Abs. 1 DS-GVO) fallen.
§3 Rechte und Pflichten sowie Weisungsbefugnisse des Auftraggebers
Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen. Der Auftraggeber ist nach Art. 28 Abs. 3 lit. (h) berechtigt die Einhaltung der in diesem Vertrag festgelegten Regelungen und Richtlinien sowie im Besonderen die der festgelegten Rechte und Pflichten des Auftragsverarbeiters, über eine Anforderung der benötigten Informationen oder durch Inspektionen zu überprüfen.
Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt. Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.
§4	Weisungsberechtigte des Auftraggebers, Weisungsempfänger des Auftragnehmers
Weisungsberechtigte Person 1:
Weisungsberechtigte Person 2:
Weisungsempfangende Personen des Auftragnehmers sind:
Steffen Fisel +49 (0) 7131 120 80 0
Léon Fisel +49 (0) 7131 120 80 0
Für Weisungen zu nutzende Kommunikationskanäle
+49 (0) 7131 120 80 0
Der Auftragnehmer hat über die gesamte Abwicklung der Dienstleistung für den Auftraggeber regelmäßige, interne Überprüfungen durchzuführen. Das Ergebnis dieser Kontrollen ist zu dokumentieren.
Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DS-GVO durch den Auftraggeber, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Datenschutz-Folgeabschätzungen des Auftraggebers hat der Auftragnehmer im notwendigen Umfang mitzuwirken und den Auftraggeber soweit möglich angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit e und f DS-GVO).
Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber - grundsätzlich nach Terminvereinbarung - berechtigt ist, die Einhaltung der in diesem Vertrag festgelegten Regelungen und Richtlinien sowie im Besonderen die der festgelegten Rechte und Pflichten des Auftragsverarbeiters, im angemessenen und erforderlichen Umfang selbst oder durch vom Auftraggeber beauftragte Dritte zu kontrollieren (Art. 28 Abs. 3 Satz 2 lit. h DS-GVO). Hierbei sichert der Auftragnehmer seine Zusammenarbeit mit der kontrollierenden Stelle zu.
Die Verarbeitung von Daten in Privatwohnungen (Tele- bzw. Heimarbeit von Beschäftigten des Auftragnehmers) ist nur mit Zustimmung des Auftraggebers gestattet. Soweit die Daten in einer Privatwohnung verarbeitet werden, ist vorher der Zugang zur Wohnung des Beschäftigten für Kontrollzwecke des Arbeitgebers vertraglich sicher zu stellen.
Die Maßnahmen nach Art. 32 DS-GVO sind auch in diesem Fall sicherzustellen. Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DS-GVO bekannt sind. Der Auftragnehmer verpflichtet sich zudem für den Auftrag relevante Geheimhaltungsregeln, die dem Auftraggeber obliegen zu beachten. Folgendes ist hierbei zusätzlich zu beachten:
Der Auftragnehmer verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten des Auftraggebers die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung des Vertrages fort. Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DSGVO). Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb.
§6 Mitteilungspflichten des Auftragnehmers bei Störungen der Verarbeitung und bei Verletzung des Schutzes personenbezogener Daten
§7	Unterauftragsverhältnis mit Subunternehmern (Art. 28 Abs. 3 Satz 2 lit. d DS-GVO)
Die Beauftragung von Subunternehmern zur Verarbeitung von Daten des Auftraggebers ist dem Auftragnehmer nur mit Genehmigung des Auftraggebers gestattet, Art. 28 Abs. 2 DS-GVO, welche auf einem der o. g. Kommunikationswege (Ziff. 4) mit Ausnahme der mündlichen Gestattung erfolgen muss. Die Zustimmung kann nur erteilt werden, wenn der Auftragnehmer dem Auftraggeber Namen und Anschrift sowie die vorgesehene Tätigkeit des Subunternehmers mitteilt. Außerdem muss der Auftragnehmer dafür Sorge tragen, dass er den Subunternehmer unter besonderer Berücksichtigung der Eignung der von diesem getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DS-GVO sorgfältig auswählt.
Der Auftragnehmer hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwischen Auftraggeber und Auftragnehmer auch gegenüber Subunternehmern gelten. In dem Vertrag mit dem Subunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftragnehmers und des Subunternehmers deutlich voneinander abgegrenzt werden. Werden mehrere Subunternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Subunternehmern. Dem, Auftraggeber muss die Möglichkeit gegeben werden, im Bedarfsfall durch angemessene Überprüfungen und Inspektionen die Einhaltung der Vertraglichen Verpflichtungen bei Subunternehmern durchzuführen oder durch von ihm beauftragte Dritte durchführen zu lassen. Der Vertrag mit dem Subunternehmer muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 4 und Abs. 9 DS-GVO).
Die Weiterleitung von Daten an den Subunternehmer ist erst zulässig, wenn der Subunternehmer die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DS-GVO bezüglich seiner Beschäftigten erfüllt hat. Der Auftragnehmer hat die Einhaltung der Pflichten der Subunternehmer regelmäßig zu überprüfen und die Ergebnisse dieser zu dokumentieren.
Zurzeit sind für den Auftragnehmer die in Anlage 3 mit Namen, Anschrift, Kontaktmöglichkeit, Ansprechpartner und Auftragsinhalt bezeichneten Subunternehmer mit der Verarbeitung von personenbezogenen Daten in dem dort genannten Umfang beschäftigt. Mit deren Beauftragung erklärt sich der Auftraggeber einverstanden.
§8 Technische und organisatorische Maßnahmen nach Art. 32 DS-GVO (Art. 28 Abs. 3 Satz 2 lit. c DS-GVO)
Das im Anhang 3 beschriebene Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der datenschutzkonformen Verarbeitung wird als verbindlich festgelegt.
Der Auftragnehmer hat bei gegebenem Anlass, mindestens aber alle 24 Monate, eine Überprüfung, Bewertung und Evaluation der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen (Art. 32 Abs. 1 lit. d DS-GVO). Das Ergebnis der Überprüfung ist dem Auftraggeber auf Anfrage mitzuteilen.
§9 Verpflichtung des Auftragnehmers nach Beendigung des Auftrags (gem. Art. 28 Abs. 3 Satz 2 lit. g DS-GVO)
Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer sämtliche in seinen Besitz sowie an Subunternehmen gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, datenschutzgerecht zu löschen bzw. zu vernichten/vernichten zu lassen.
Es wird auf Artikel 82 der DSGVO verwiesen.
Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungsunterlagen (auch zu Subunternehmen) sind von beiden Vertragspartnern für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.
Vertragsversion 2018-10-02
Name des Vertragsschließenden*
E-Mail Adresse des Vertragsschließenden*
Vertragschluss*
Ich bestätige, dass ich zum Abschluss berechtigt bin und und schließe hiermit einen Auftragsverarbeitungsvertrag (AVV) mit der Fisel GmbH

References: §1
 Art. 4
 Art. 28
 Art. 44
 Art. 28

§2
 Art. 4
 Art. 4
 Art. 9

§3
 Art. 28

§4
 Art. 12
 Art. 32
 Art. 29

§6

§7
 Art. 28
 Art. 32
 Art. 29
 Art. 32

§8
 Art. 32

§9
 Art. 28