Source: http://collmex.de/auftragsverarbeitung.html
Timestamp: 2019-04-21 08:11:35+00:00

Document:
Zusatzvereinbarung zur Auftragsvereinbarung
Diese Zusatzvereinbarung konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich durch den Vertragsschluss zur Auftragsverarbeitung gemäß Art. 28 DSGVO ergeben.
(1)	Der Auftragnehmer speichert und verarbeitet im Rahmen des mit dem Auftraggeber geschlossenen Vertrages über Online-Buchhaltung (im weiteren „Hauptvertrag“ genannt) die von dem Kunden erhobenen und in die Software einge-speisten betrieblichen Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers.
(2)	Der Auftragnehmer verarbeitet dabei personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO auf Grundlage dieses Vertrages.
§ 2	Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen
(1)	Die Art der durch den Auftragnehmer und seine Subunternehmer vorgenommenen Datenverarbeitung beschränkt sich auf die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, den Abgleich, die Einschränkung, sowie das Löschen. Das Erheben und Erfassen der Daten erfolgt durch den Auftraggeber.
(2)	Der Auftragnehmer erhält Zugriff auf die personenbezogenen Daten, die von dem Auftraggeber über die Software erfasst werden. Dies sind personenbezogene Daten, wie sie in einer Buchhaltung üblicherweise erfasst werden, wie Namen und Anschriften von Kunden oder Arbeitnehmern, sowie Gesundheitsdaten von Arbeitnehmern. Die Einspeisung von Daten, die sich auf die Gesundheit von natürlichen Personen beziehen (z. B. Daten über eine Erkrankung oder Behinderung eines Arbeitnehmers) in die Software ist nur dann zulässig, wenn die Erfassung und Verarbeitung der Daten in der Unternehmensbuchhaltung sozial- und arbeitsrechtlich zulässig ist oder der Auftragnehmer eine hinreichende Einwilligung des Betroffenen gemäß Art. 9 Abs. 2 a) DSGVO eingeholt hat. Die Einspeisung genetischer oder biometrischer Daten von natürlichen Personen oder von Daten, die sich auf strafrechtliche Verurteilungen und Straftaten beziehen (z. B. das Führungszeugnis eines Mitarbeiters) durch den Auftragnehmer in die Software ist generell unzulässig.
(3)	Der Kreis der betroffenen Personen umfasst jene Personen, deren personenbezogene Daten üblicherweise in einer Unternehmensbuchhaltung erfasst werden, insbesondere Kunden, Interessenten, Abonnenten, Beschäftigte, Lieferanten, Handelsvertreter, Vertriebspartner sowie Ansprechpartner in Unternehmen. Umfang und Zweck der Datenverarbeitung ergeben sich aus dem Hauptvertrag.
§ 3	Weisungsrecht des Auftraggebers
(1)	Der Auftragnehmer speichert, verarbeitet und nutzt die Daten ausschließlich gemäß den Weisungen des Auftraggebers, sofern keine Ausnahme im Sinne von Absatz 3 oder 4 vorliegt. Die Weisungen werden durch Eingabe in der Software erteilt, sie sind vom Auftragnehmer elektronisch zu dokumentieren.
(2)	Die Beurteilung der Zulässigkeit der Datenverarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DSGVO obliegt allein dem Auftraggeber.
(3)	Wird der Auftragnehmer auf der Grundlage von deutschem oder europäischem Recht zu einer von den Weisungen abweichenden Verarbeitung verpflichtet (z. B. aufgrund einer gerichtlichen Anordnung), teilt er dies dem Auftraggeber vor der Verarbeitung mit, sofern ihm eine Mitteilung nicht durch das betreffende Recht untersagt ist.
(4)	Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Bestimmungen verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird. Der Auftragnehmer darf die Durchführung einer rechtswidrigen Weisung ablehnen.
§ 4	Technische und organisatorische Maßnahmen
(1)	Die technischen und organisatorischen Maßnahmen zum Datenschutz sind in Anlage 1 zum Hauptvertrag beschrieben.
(2)	Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt dem Auftragnehmer vorbehalten, wobei er sicherstellt, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.
(3)	Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen, insbesondere mit Informationen auf der Homepage, sowie mit Auskünften bei der Erfüllung von dessen Pflichten nach Art. 12–22 sowie 32 bis 36 DSGVO.
§ 5	Weitere Schutzmaßnahmen und Pflichten des Auftragnehmers
(1)	Der Auftragnehmer verpflichtet sich zur Bestellung eines Datenschutzbeauftragten. Die Kontaktdaten des Datenschutzbeauftragten sind auf der Website veröffentlicht.
(2)	Den bei der Datenverarbeitung durch den Auftragnehmer beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen. Der Auftragnehmer wird alle Personen, die von ihm mit der Bearbeitung und der Erfüllung dieses Vertrages betraut werden (im folgenden Mitarbeiter genannt), entsprechend verpflichten (Verpflichtung zur Vertraulichkeit, Art. 28 Abs. 3 b) DSGVO) und mit der gebotenen Sorgfalt die Einhaltung dieser Verpflichtung sicherstellen. Diese Verpflichtungen müssen so gefasst sein, dass sie auch nach Beendigung dieses Vertrages oder des Beschäftigungsverhältnisses zwischen dem Mitarbeiter und dem Auftragnehmer bestehen bleiben. Dem Auftraggeber sind die Verpflichtungen auf Verlangen in geeigneter Weise nachzuweisen.
(3)	Der Auftragnehmer verpflichtet sich, Daten ausschließlich auf Servern innerhalb der europäischen Union zu speichern und zu verarbeiten.
(4)	Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen sowie gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO. Der Auftragnehmer sichert zu, den Auftraggeber erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 f) DSGVO). Meldungen nach Art. 33 oder 34 DSGVO für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung durchführen.
(1)	Die vertraglichen Leistungen des Auftragnehmers werden unter Einschaltung der in Anlage 1 zum Hauptvertrag genannten Subunternehmer durchgeführt.
(2)	Der Auftragnehmer ist im Rahmen seiner vertraglichen Verpflichtungen zur Begründung von weiteren Unterauftragsverhältnissen mit Subunternehmern oder zur Ersetzung von Subunternehmern durch andere Subunternehmer befugt. Er setzt den Auftraggeber hiervon unverzüglich, spätestens jedoch 30 Tage vor Umsetzung der Maßnahme in Kenntnis. Ist der Auftraggeber mit der Änderung nicht einverstanden, ist er berechtigt, binnen 14 Tagen ab der Mitteilung gemäß Satz 2 Einspruch einzulegen. Möchte der Auftragnehmer den neuen Subunternehmer gleichwohl beauftragen, hat der Auftraggeber das Recht, den diesen Vertrag sowie den Hauptvertrag gemäß § 8 Abs. 2 außerordentlich zu kündigen.
(3)	Der Auftragnehmer ist verpflichtet, Subunternehmer sorgfältig nach deren Eignung und Zuverlässigkeit auszuwählen.
(4)	Der Auftragnehmer hat bei der Einschaltung von Subunternehmern diese entsprechend den Regelungen dieser Vereinbarung zu verpflichten und dabei sicherzustellen, dass der Auftraggeber seine Rechte aus dieser Vereinbarung (insbesondere seine Prüf- und Kontrollrechte) auch direkt gegenüber den Subunternehmern wahrnehmen kann. Der Auftragnehmer wird dem Auftraggeber auf Verlangen den Abschluss der vorgenannten Vereinbarungen mit seinen Subunternehmern nachweisen.
(5)	Die Einbeziehung von Subunternehmern außerhalb der Europäischen Union ist ausgeschlossen.
§ 7	Kontrollrechte des Auftraggebers
(1)	Der Auftraggeber hat das Recht, sich vor Beginn der Datenverarbeitung und sodann regelmäßig von den technischen und organisatorischen Maßnahmen des Auftragnehmers zu überzeugen.
(2)	Dem Auftraggeber steht hierzu die Dokumentation der Technischen und Organisatorischen Maßnahmen, Anlage 1 zum Hauptvertrag, zur Verfügung.
(3)	Der Auftraggeber hat ferner das Recht, sich ggf. vorhandene Zertifizierungen und Dokumentationen der Organisatorischen Maßnahmen der Subunternehmer des Auftragsnehmers vorlegen zu lassen oder die technischen und organisatorischen Maßnahmen des Auftragnehmers nach rechtzeitiger Abstimmung zu den üblichen Geschäftszeiten selbst persönlich prüfen bzw. durch einen sachkundigen Dritten prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht. Der Auftraggeber wird Kontrollen nur im erforderlichen Umfang durchführen und die Betriebsabläufe des Auftragnehmers dabei nicht unverhältnismäßig stören.
(4)	Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf dessen mündliche oder schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte und Nachweise zur Verfügung zu stellen, die zur Durchführung einer Kontrolle der technischen und organisatorischen Maßnahmen des Auftragnehmers erforderlich sind.
(5)	Der Auftraggeber dokumentiert das Kontrollergebnis und teilt es dem Auftragnehmer mit. Bei Fehlern oder Unregelmäßigkeiten, die der Auftraggeber insbesondere bei der Prüfung von Auftragsergebnissen feststellt, hat er den Auftragnehmer unverzüglich zu informieren. Werden bei der Kontrolle Sachverhalte festgestellt, deren zukünftige Vermeidung Änderungen des angeordneten Verfahrensablaufs erfordern, teilt der Auftraggeber dem Auftragnehmer die notwendigen Verfahrensänderungen unverzüglich mit.
§ 8	Kündigung, Dauer des Vertrages
(1)	Die Dauer dieses Vertrages ist abhängig von der Dauer des Hauptvertrages, sofern sich aus den nachfolgenden Bestimmungen nicht darüberhinausgehende Verpflichtungen oder Kündigungsrechte ergeben.
(2)	Der Auftraggeber kann den Hauptvertrag fristlos ganz oder teilweise kündigen, wenn der Auftragnehmer seinen Pflichten aus diesem Vertrag nicht nachkommt, Bestimmungen der DSGVO vorsätzlich oder grob fahrlässig verletzt, einen Subunternehmer bestellen will, gegen dessen Bestellung der Auftraggeber gemäß § 6 Abs. 2 Einspruch eingelegt hat oder eine Weisung des Auftraggebers nicht ausführen kann oder will. Bei einfachen – also weder vorsätzlichen noch grob fahrlässigen – Verstößen setzt der Auftraggeber dem Auftragnehmer eine angemessene Frist, innerhalb welcher der Auftragnehmer den Verstoß abstellen kann.
(3)	Der Auftragnehmer wird mit dem Auftraggeber nach Kündigung des HauptVertrags oder jederzeit auf dessen Anforderung eine Vereinbarung treffen, ob die Daten bei Beendigung des Hauptvertrages an ihn oder einen Dritten herausgegeben werden sollen oder ob auf eine Herausgabe der Daten verzichtet wird. Nach Beendigung des Hauptvertrages oder jederzeit auf Anforderung des Auftraggebers wird der Auftragnehmer alle ihm überlassenen Daten – sofern keine gesetzliche Verpflichtung zur Speicherung der personenbezogenen Daten besteht – löschen, nachdem die Herausgabe der Daten gemäß Satz 1 erfolgt ist, oder der Auftraggeber auf eine Herausgabe der Daten verzichtet hat. Dies betrifft auch etwaige Datensicherungen beim Auftragnehmer. Der Auftragnehmer hat den dokumentierten Nachweis der ordnungsgemäßen Löschung noch vorhandener Daten zu führen. Der Auftraggeber hat das Recht, die vollständige und vertragsgerechte Löschung der Daten beim Auftragnehmer in geeigneter Weise zu kontrollieren.
(1)	Auf diesen Vertrag findet deutsches Recht Anwendung.
(2)	Gerichtsstand ist Saarbrücken.
(3)	Sollten einzelne Bestimmungen dieses Vertrages ganz oder teilweise unwirksam sein oder werden, oder sollte sich in dem Vertrag eine Lücke befinden, so soll hierdurch die Gültigkeit der übrigen Bestimmungen nicht berührt werden. Anstelle der unwirksamen Bestimmung oder zur Ausfüllung der Lücke soll eine angemessene Regelung treten, die, soweit rechtlich möglich, dem am nächsten kommt, was die Vertragsparteien gewollt haben oder nach dem Sinn und Zweck dieses Vertrags gewollt haben würden, wenn sie den Punkt bedacht hätten.
Laut Art. 28 DSGVO muss die Auftragsverarbeitung auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments erfolgen. Wenn Sie die Auftragsverarbeitung statt über diese Zusatzvereinbarung zu unseren AGB lieber in einem schriftlichen Vertrag regeln möchten, dann drucken Sie den Vertrag zweimal aus und senden Sie uns beide Exemplare unterschrieben zu. Wir schicken Ihnen dann ein Exemplar von uns unterschrieben zurück.

References: Art. 28
 Art. 4
 Art. 28

§ 2
 Art. 9

§ 3
 Art. 6
 Art. 12

§ 4
 Art. 12

§ 5
 Art. 28
 Art. 33
 Art. 34
 Art. 33
 Art. 33
 § 8

§ 7

§ 8
 § 6
 Art. 28