Source: https://lucaas.net/auftragsdatenverarbeitung.html
Timestamp: 2018-05-24 15:26:08+00:00

Document:
ADV - LUCAAS
1.1 Die Bedingungen in Ziffer 11 regeln die Auftragsdatenverarbeitung (ADV). Nachrangig ergänzend gelten die übrigen Regelungen in diesen Vertragsbedingungen.
1.2 Ziffer 11 konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus dem Vertrag gem. § 11 Bundesdatenschutzgesetz (BDSG) ergeben. Sie findet Anwendung auf alle Tätigkeiten, die mit dem Vertrag im Zusammenhang stehen und bei denen Mitarbeiter, Vertreter oder Organe des ISD oder durch den ISD beauftragte Dritte mit personenbezogenen Daten des Kunden oder eines mit dem Kunden gemäß § 15 f. Aktiengesetz verbundenen Unternehmens in Berührung kommen können.
2.2 Datenverarbeitung im Auftrag ist die Speicherung, Veränderung, Übermittlung, Sperrung oder Löschung personenbezogener Daten durch ISD im Auftrag des Kunden.
2.3 Weisung ist die an ISD auf einen bestimmten datenschutzmäßigen Umgang (zum Beispiel Anonymisierung, Sperrung, Löschung, Herausgabe) mit personenbezogenen Daten gerichtete schriftliche Anordnung des Kunden. Die Weisungen werden anfänglich durch diesen Vertrag festgelegt und können vom Kunden danach in schriftlicher Form durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Soweit Weisungen Mehraufwände bei ISD auslösen, sind diese gesondert vom Kunden zu vergüten
3.1 ISD ist verpflichtet, die ihr zur Verfügung gestellten personenbezogenen Daten ausschließlich zur vertraglich vereinbarten Leistung zu verwenden. ISD ist es gestattet, verfahrens- und sicherheitstechnisch erforderliche Zwischen-, Temporär- oder Duplikatsdateien zur leistungsgemäßen Verarbeitung oder Nutzung der personenbezogenen Daten zu erstellen, soweit dies nicht zu einer inhaltlichen Umgestaltung führt. Der Kunde ist im Rahmen dieser Vereinbarung für die Einhaltung der gesetzlichen Bestimmungen des Datenschutzes, insbesondere für die Rechtmäßigkeit der Datenweitergabe an das ISD sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich („verantwortliche Stelle“ im Sinne des § 3 Abs. 7 BDSG).
3.3 Die Inhalte dieses Vertrages gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen im Auftrag vorgenommen wird, und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.
3.4 Die Verarbeitung und Nutzung der Daten durch ISD findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen schriftlichen Zustimmung des Kunden und darf nur erfolgen, wenn die besonderen Voraussetzungen der §§ 4 b, 4 c BDSG erfüllt sind.
3.5 Der Kunde erteilt alle Aufträge oder Teilaufträge schriftlich oder per E-Mail. Mündliche Weisungen wird der Kunde unverzüglich schriftlich oder per E-Mail bestätigen. ISD wird den Kunden unverzüglich darauf aufmerksam machen, wenn eine vom Kunden erteilte Weisung seiner Meinung nach gegen das Bundesdatenschutzgesetz oder eine andere Vorschrift über den Datenschutz verstößt. ISD ist berechtigt, die Erfüllung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen beim Kunden bestätigt oder geändert wird. Mehraufwänden, die durch ergänzende Weisungen des Kunden beim ISD entstehen, sind gesondert zu vergüten.
3.6 Weisungsbefugte Mitarbeiter des Kunden werden in einem gesonderten Dokument benannt.
3.7 Die Mitarbeiter, die beim ISD zur Entgegennahme von Weisungen befugt sind, werden in einem gesonderten Dokument benannt.
3.8 Daten aus Adressbüchern und Verzeichnissen dürfen nur zur Kommunikation im Rahmen der Auftragserfüllung mit dem Kunden verwendet werden. Eine anderweitige Nutzung und Übermittlung für eigene oder fremde Zwecke, einschl. Marketingzwecke, ist nicht gestattet.
3.9 Weitere Einzelheiten zu Umfang, Art und Zweck der Datenerhebung, ‑verarbeitung oder -nutzung, zum Kreis der Betroffenen sowie zu den Datenarten ergeben sich aus dem Vertrag.
4. PFLICHTEN DER ISD GMBH
4.1 ISD darf Daten nur im Rahmen des Auftrages und der Weisungen des Kunden erheben, verarbeiten oder nutzen.
4.2 ISD ist in seinem Verantwortungsbereich zur Umsetzung und Einhaltung der vereinbarten allgemeinen, technischen und organisatorischen Maßnahmen entsprechend § 9 BDSG verpflichtet. Insbesondere wird ISD seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er wird technische und organisatorische Maßnahmen zur angemessenen Sicherung der Daten des Kunden vor Missbrauch und Verlust treffen, die den Forderungen des Bundesdatenschutzgesetzes entsprechen. Dies beinhaltet insbesondere
4.3 Zusätzliche besondere Maßnahmen können von den Parteien vereinbart werden, insbesondere im Hinblick auf die Art des Datenaustausches, die Bereitstellung von Daten und besondere Umstände der Verarbeitung der Daten.
4.4 ISD stellt auf Anforderung dem Kunde die für die Übersicht nach §4g Abs. 2 S. 1 BDSG notwendigen Angaben gegen Kostenerstattung zur Verfügung.
4.5 ISD stellt sicher, dass die mit der Verarbeitung der Daten des Kunden befassten Mitarbeiter gemäß § 5 BDSG (Datengeheimnis) verpflichtet und in die Schutzbestimmungen des Bundesdatenschutzgesetz sowie anderen Vorschriften über den Datenschutz und mit den jeweiligen besonderen Erfordernissen des Datenschutzes durch entsprechende Schulungen vertraut gemacht wurden. Das Datengeheimnis besteht auch nach Beendigung der Tätigkeit fort.
4.6 ISD teilt dem Kunde die Kontaktdaten des betrieblichen Datenschutzbeauftragten mit.
4.7 ISD unterrichtet den Kunde unverzüglich bei schwerwiegenden Störungen des Betriebsablaufes, bei Verdacht auf Datenschutzverletzungen im Sinne § 42a BDSG oder anderen Unregelmäßigkeiten bei der Verarbeitung der Daten des Kunden.
4.8 Überlassene Datenträger sowie sämtliche hiervon gefertigten Kopien oder Reproduktionen verbleiben im Eigentum des Kunden. ISD hat diese sorgfältig zu verwahren, so dass sie Dritten nicht zugänglich sind. ISD ist verpflichtet, dem Kunden jederzeit Auskünfte zu erteilen, soweit seine Daten und Unterlagen betroffen sind. ISD stellt sicher, dass Daten bzw. Datenträger nach Beendigung der Auftragsdatenverarbeitung an den Kunden zurück oder durch eigene Datenvernichter oder Entsorgungsunternehmen vernichtet werden. Die datenschutzkonforme Vernichtung von Test- und Ausschussmaterial übernimmt ISD auf Grund einer Einzelbeauftragung durch den Kunden. In besonderen, vom Kunden zu bestimmenden Fällen erfolgt eine Aufbewahrung bzw. Übergabe.
4.9 Nach Abschluss der vereinbarten Arbeiten oder zuvor nach Aufforderung durch den Kunden – spätestens mit Beendigung des Vertrages – hat ISD sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit der Auftragsdatenverarbeitung stehen, dem Kunden auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Die Durchführung der Löschung ist auf Anforderung zu belegen. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch ISD entsprechend der jeweiligen Aufbewahrungsfristen über die Beendigung der vereinbarten Arbeiten / der Leistungserfüllung hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Beendigung der vereinbarten Arbeiten / der Leistungserfüllung dem Kunden übergeben. Das Verfahren wird in einer zwischen den Parteien zu regelnden Ausstiegsvereinbarung festgelegt. Eine Aufbewahrung der Daten und Dokumente über den Austrittszeitpunkt hinaus erfolgt nur nach Abschluss eines entsprechenden gesondert zu vergütenden Datenvorhaltungsvertrages.
4.10 ISD ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Kunden vertraulich zu behandeln.
4.11 Die Verarbeitung von Daten im Auftrag außerhalb von Betriebsstätten des ISD oder von Subunternehmern ist nur mit Zustimmung des Kunden zulässig. Eine Verarbeitung von Daten für den Kunde in Privatwohnungen ist nur mit Zustimmung des Kunden im Einzelfall zulässig.
5.1 Der Kunde und ISD sind bzgl. der zu verarbeitenden Daten für die Einhaltung der jeweils für sie einschlägigen Datenschutzgesetze verantwortlich.
5.2 Der Kunde hat ISD unverzüglich und vollständig zu informieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.
5.3 Die Pflicht zur Führung des öffentlichen Verfahrensverzeichnisses (Jedermann-verzeichnis) gem. § 4g Abs. 2 S. 2 BDSG liegt beim Kunden.
5.4 Dem Kunde obliegen die aus § 42a BDSG resultierenden Informationspflichten.
5.5 Der Kunde legt die Maßnahmen zur Rückgabe der überlassenen Datenträger und/oder Löschung der gespeicherten Daten nach Beendigung des Auftrages vertraglich oder durch Weisung fest.
6 ANFRAGEN BETROFFENER AN DEN KUNDE
der Kunde erstattet ISD die durch diese Unterstützung entstandenen Kosten.
7 KONTROLLPFLICHTEN, HAFTUNG
7.1 Der Kunde überzeugt sich vor der Aufnahme der Datenverarbeitung und sodann regelmäßig von den technischen und organisatorischen Maßnahmen der ISD. Der Kunde oder der von ihm beauftragte Datenschutzbeauftragte kann sich nach rechtzeitiger Anmeldung zu Prüfzwecken in den Betriebsstätten zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs von der Angemessenheit der Maßnahmen zur Einhaltung der technischen und organisatorischen Erfordernisse der für die Auftragsdatenverarbeitung einschlägigen Datenschutzgesetze überzeugen. Das Kontrollrecht kann nicht durch Dritte wahrgenommen werden und findet seine Grenze bei Rechte oder Betriebs- oder Geschäftsgeheimnissen der ISD oder Kunden von ISD. Das Ergebnis der Kontrolle wird durch den Kunden jeweils dokumentiert. (Lieferantenaudit). Hierfür kann er Selbstauskünfte der ISD einholen. Dieses Kontrollrecht steht auch einer Aufsichtsbehörde zu, sofern und soweit sie hierfür nach dem geltenden Recht zuständig ist.
7.2 ISD verpflichtet sich, dem Kunde oder dem von ihm beauftragten Datenschutzbeauftragten auf schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte zu geben, die zur Durchführung einer Kontrolle erforderlich sind. ISD hat diese Kontrollen in üblichem Umfang zu dulden und stellt insoweit qualifiziertes Personal zur Verfügung.
8 INFORMATIONSPFLICHTEN, NEBENABREDEN
9.1 Diese Vereinbarung zur Auftragsdatenvereinbarung wird auf unbestimmte Zeit geschlossen und endet spätestens mit Beendigung des Vertrages. Eine separate Kündigung dieser Vereinbarung ist nicht vorgesehen und nur dann möglich, wenn eine entsprechende Neuregelung diese ersetzt.
9.2 Unabhängig von den vorstehenden Regelungen zu den Laufzeiten gelten die Verpflichtungen zum Datengeheimnis, die Geheimhaltungspflicht und vereinbarte Aufbewahrungsfristen über das Vertragsende hinaus.

References: § 11
 § 15
 § 3
 § 9
 §4
 § 5
 § 42
 § 4
 § 42