Source: https://realgarant.24h-serviceline.de/avv
Timestamp: 2020-07-09 07:06:28
Document Index: 344140781

Matched Legal Cases: ['Art. 28', 'Art. 44', 'Art. 28', 'Art. 4', 'Art. 4', 'Art. 4', 'Art. 28', 'Art. 12', 'Art. 30', 'Art. 28', 'Art. 28', 'Art. 28', 'Art. 29', 'Art. 42', 'Art. 33', 'Art. 34', 'Art. 33', 'Art. 28', 'Art. 33', 'Art. 28', 'Art. 32', 'Art. 28', 'Art. 32', 'Art. 28', 'Art. 82', '§ 11', 'Art. 28', 'Art 28', '§ 64', 'Art. 32', 'Art. 32', 'Art. 25', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 25', 'Art. 25', 'Art. 28']

24h-Serviceline – Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DS-GVO
zur Beauftragung der „24h-Serviceline“
(nachfolgend als „Hauptvertrag“ bezeichnet)
dem Auftraggeber der 24h-Serviceline
- Verantwortlicher, nachstehend „Auftraggeber“ genannt -
- Auftragsverarbeiter, nachstehend „Auftragnehmer“ genannt -
- einzeln und/oder gemeinsam nachstehend als „Vertragspartner“ genannt-
Der Auftrag, die konkrete Beschreibung der Dienstleistung sowie die Dauer sind im Annex „Ergänzung zum Auftragsverarbeitungsvertrag“ (Annex 1) geregelt.
Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedstaat der Europäischen Union erbracht. Sofern die Dienstleistung außerhalb der Europäischen Union (nicht sicheres Drittland) erbracht wird, werden die besonderen Voraussetzungen der Art. 44 ff. DS-GVO (z.B. Angemessenheitsbeschluss der Kommission, Standardvertragsklauseln, genehmigte Verhaltensregeln) beachtet.
Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will, oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert, oder gegen aus Art. 28 DS-GVO abgeleitete Pflichten verstoßen wird.
Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen:
Einzelheiten zum Zweck, zur Art der Verarbeitung (gem. Art. 4 Nr. 2 DS-GVO), zur Art der personenbezogenen Daten (gem. Art. 4 Nr. 1, 13, 14 und 15 DS-GVO) und Kategorien betroffener Personen (gem. Art. 4 Nr. 1 DS-GVO) ergeben sich ebenfalls aus Annex 1.
Änderungen der Regelungsinhalte des Annex 1 und Verfahrensänderungen sind gemeinsam zwischen Auftraggeber und Auftragnehmer abzustimmen und schriftlich oder in einem elektronischen Format festzulegen.
Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in einem elektronischen Format zu bestätigen.
Der Auftraggeber ist berechtigt, sich wie unter Ziffer 5. dieses Vertrages festgelegt vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen.
Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Ergebnisse der Verarbeitung feststellt.
Weisungsberechtigte des Auftraggebers, Weisungsempfänger des Auftragnehmers:
Die Einzelheiten hierzu sind ebenfalls in Annex 1 geregelt.
Bei einem Wechsel oder einer längerfristigen Verhinderung der Weisungsberechtigten sind dem jeweiligen Vertragspartner unverzüglich und grundsätzlich schriftlich, was auch in einem elektronischen Format erfolgen kann, die Nachfolger bzw. die Vertreter mitzuteilen.
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsnehmer unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragsnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DS-GVO).
Der Auftragnehmer verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen als die in Annex 1 geregelten Zwecke, insbesondere nicht für eigene Zwecke.
Der Auftragnehmer ist für die gesamte Abwicklung seiner Dienstleistung für den Auftraggeber verantwortlich. Er hat dabei insbesondere regelmäßige Überprüfungen in seinem Betrieb durchzuführen und zu dokumentieren.
Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DS-GVO durch den Auftraggeber, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten (Art. 30 DS-GVO) sowie bei erforderlichen Datenschutz-Folgeabschätzungen des Auftraggebers hat der Auftragnehmer im notwendigen Umfang mitzuwirken und den Auftraggeber soweit möglich und angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit e und f DS-GVO). Er hat die dazu erforderlichen Angaben jeweils unverzüglich an folgende Stelle des Auftraggebers weiterzuleiten: Weisungsberechtigter gem. Annex 1
Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Weisung oder schriftlicher Zustimmung durch den Auftraggeber erteilen
Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber - grundsätzlich nach Terminvereinbarung - berechtigt ist, die Einhaltung der Vorschriften über Datenschutz und Datensicherheit sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang selbst oder durch vom Auftraggeber beauftragte Dritte, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen im Sinne von Art. 28 Abs. 3 Satz 2 lit. h DS-GVO, zu kontrollieren.
Der Auftragnehmer wird, soweit erforderlich und angemessen, bei diesen Kontrollen unterstützend mitwirken.
Der Auftragnehmer gewährleistet, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DS-GVO). Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb.
Beim Auftragnehmer ist als Beauftragter für den Datenschutz bestellt: Herr Werner Polwein, dsb-mail@adac.de
Eine Änderung in der Person des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich anzuzeigen.
Der Auftragnehmer verpflichtet sich, den Auftraggeber über den Widerruf einer Zertifizierung nach Art. 42 Abs. 7 DS-GVO unverzüglich zu informieren.
Weisungen des Auftraggebers sind für ihre Geltungsdauer und anschließend noch für drei (3) volle Kalenderjahre aufzubewahren
Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DS-GVO. Der Auftragnehmer wird den Auftraggeber – soweit erforderlich bei seinen Pflichten nach Art. 33 und 34 DS-GVO angemessen unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DS-GVO). Meldungen nach Art. 33 oder 34 DS-GVO für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung gem. Ziffer 4 dieses Vertrages durchführen.
Unterauftragsverhältnisse mit Subunternehmern (Art. 28 Abs. 3 Satz 2 lit. d DS-GVO)
Dem Auftraggeber ist bewusst, dass der Auftragnehmer im Rahmen der vertraglich geschuldeten Leistungserbringung Subunternehmer beauftragt, deren Auswahl dem Auftragnehmer obliegt. Die Subunternehmer werden ausschließlich in einem Mitgliedstaat der Europäischen Union. eingesetzt
Der Auftragnehmer hat die Einhaltung der Pflichten des/der Subunternehmer(s) zu überprüfen. Das Ergebnis der Überprüfungen ist zu dokumentieren.
Der Auftragnehmer haftet gegenüber dem Auftraggeber dafür, dass der Subunternehmer den Datenschutzpflichten nachkommt.
Zurzeit werden von dem Auftragnehmer die in Annex 3) mit Namen, Anschrift und Auftragsinhalt bezeichneten Subunternehmer mit der Verarbeitung von personenbezogenen Daten in dem dort genannten Umfang eingesetzt. Mit deren Beauftragung erklärt sich der Auftraggeber einverstanden.
Technische und organisatorische Maßnahmen nach Art. 32 DS-GVO (Art. 28 Abs. 3 Satz 2 lit. c DS-GVO)
Der Auftragnehmer gewährleistet für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau. Dazu werden die Schutzziele von Art. 32 Abs. 1 DS-GVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.
Zur Gewährleistung der datenschutzkonformen Verarbeitung wird der Auftragnehmer seine Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen verbindlich regeln.
Der Auftragnehmer weist die technisch-organisatorischen Maßnahmen über die ausgefüllte Checkliste gemäß Annex 2 nach.
Verpflichtungen des Auftragnehmers nach Beendigung des Auftrags, Art. 28 Abs. 3 Satz 2 lit. g DS-GVO)
Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer auf Aufforderung des Auftraggebers sämtliche in seinen Besitz sowie an Subunternehmen gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber entweder auszuhändigen oder datenschutzgerecht zu löschen bzw. zu vernichten/vernichten zu lassen. Diese Verpflichtung besteht nicht, sofern nach dem Unionsrecht oder dem anwendbaren nationalen Recht eine Verpflichtung zur Speicherung von der Daten besteht, worunter insbesondere abgabenrechtliche und handelsbilanzielle Aufbewahrungspflichten fallen.
Im Falle der Löschung bzw. Vernichtung ist dem Auftraggeber mit Datumsangabe schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.
Für die Haftung der Vertragspartner gilt Art. 82 DS-GVO.
Folgende Annexe sind fester Bestandteil dieses Vertrages:
Annex 1 Ergänzung zum Auftragsverarbeitungsvertrag
Annex 2 TOM vom 01.09.2019
Annex 3 Liste Subunternehmer
Die Annexe können angepasst werden; die jeweils neue Version wird dabei automatisch Vertragsbestandteil.
Eventuell zwischen den Vertragspartner bestehende frühere Vereinbarungen über den Auftrag zur Datenverarbeitung gemäß § 11 BDSG werden aufgehoben und durch diesen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DS-GVO ersetzt.
Änderungen oder Ergänzungen dieses Vertrages sind schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann. Mündliche Nebenabreden bestehen nicht.
Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfunterlagen (auch zu Subunternehmen) gem. Ziffer 7.1 und 8.3 dieses Vertrages sind von beiden Vertragspartnern für die Dauer der Auftragsverarbeitung und anschließend noch für drei (3) volle Kalenderjahre aufzubewahren.
Dieser Auftragsverarbeitungsvertrag wird nach Art 28 Abs 9 DSGVO in einem elektronischen For-mat abgeschlossen und bedarf daher keiner Unterschrift. Dies gilt ungeachtet einer etwaigen Schriftformklausel im Auftrag.
Annex 1 Ergänzung zum Auftragsverarbeitungsvertrag zwischen Auftraggeber der 24h-Serviceline und ADAC Service GmbH
Gegenstand und Zweck des Auftrags
Weisungsberechtigte des Auftraggebers und Weisungs-empfänger des Auftragneh-mers
Übermittlung von Kundenanliegen und eines Rückrufwunsches an den Auftraggeber Personen- und Kommunikationsdaten Kunden und Interessenten Unbegrenzt. Beendigung durch Kündi-gung GF des Auftraggebers und GF des Auftragneh-mers.
Checkliste technisch organisatorische Maßnahmen (TOM)
Datenschutz bzw. Datensicherheit nach DS-GVO & BDSG
Die beigefügte TOM-Checkliste wurde vom Auftragnehmer, der personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, ausgefüllt und dient der Dokumentation der bestehenden Umsetzung der gesetzlichen Vorgaben gem. Artikel 32 DS-GVO und § 64 Bundesdatenschutzgesetz (BDSG) auf Seiten des Auftragnehmers.
1. Vertraulichkeit (Art. 32 Abs. 1 b) DSGVO)
Kein unbefugter Zutritt zu Datenverarbeitungsanlagen, z. B.:
Zutritt Serverräume permanent verschlossen, Sonderberechtigung notwendig
Schlüsselausgabe protokolliert
Keine unbefugte Nutzung von Datenverarbeitungs- und Datenspeicherungssystemen, z. B.:
Interne Zugangskontrolle (Nutzerrechte: Zugriff auf und Änderung von Daten)
Kein unbefugtes Lesen, Kopieren, Ändern oder Löschen von Daten im System, z. B.:
Bedarfsorientierte Zugriffsrechte
Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, z. B.:
Getrennte Bereiche / Differenzierte IT Systeme
Pseudonymisierung (Art. 32 Abs. 1 a) und Art. 25 Abs. 1 DSGVO)
Verarbeitung personenbezogener Daten auf eine Art und Weise, mit der ohne Zusatzinformationen keine Rückschlüsse auf eine betroffene Person möglich sind. Zusatzinformationen sind separat zu speichern und unterliegen entsprechenden technischen und organisatorischen Maßnahmen.
⇒ Für den Zweck dieses Vertrages nicht erforderlich
2. Integrität (Art. 32 Abs. 1 b) DSGVO)
Kein unbefugtes Lesen, Kopieren, Ändern oder Löschen von Daten bei der elektronischen Übertragung oder Versendung, z. B.:
Automatisierte Empfängerzuordnung
⇒ Elektronische Unterschrift
Prüfung, ob und von wem personenbezogene Daten in ein Datenverarbeitungssystem eingegeben, geändert oder gelöscht werden, z. B.:
Keine Datenspeicherung/-änderung beim Auftragnehmer
Daten werden vom Auftragnehmer aufgenommen und direkt an Auftraggeber weitergeleitet
⇒ Dokumentenmanagement
3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 b) DSGVO)
Vermeidung von zufälliger oder beabsichtigter Zerstörung oder Verlust, z. B.:
Backup-Strategie (online/offline; extern)
Berichtswesen und Notfallplanung
Rasche Wiederherstellung (Art. 32 Abs. 1 c) DSGVO)
Mehrstufige Backup Strategie
4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 d) DSGVO; Art. 25 Abs. 1 DSGVO)
Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO)
Auftrags- bzw. Vertragskontrolle
Datenverarbeitung gemäß Art. 28 DSGVO nur auf entsprechende Anweisung des Auftraggebers, z. B.
Klare und unmissverständliche Regelung der Vertragsverhältnisse
Strenge Kontrollen bei der Auswahl von Dienstleistern
Pflicht zur vorherigen Bewertung
Kontrollüberprüfungen
5. Übertragungskontrolle
Speicherung der Daten in der EU
Callcenter-Tätigkeiten