Source: https://wolffgramm.com/datenschutz.html
Timestamp: 2020-01-20 14:46:01
Document Index: 349125078

Matched Legal Cases: ['Art. 28', 'Art. 44', 'Art. 5', 'Art. 28', 'Art. 5', 'Art. 32', 'Art. 20', 'Art. 20', 'Art. 17', 'Art. 16', 'Art. 15', 'Art. 28', 'Art. 37', '§ 38', 'Art. 38', 'Art. 28', 'Art. 28', 'Art. 28', '§ 88', 'Art. 28', 'Art. 40', 'Art. 31', 'Art. 30', 'Art. 30', 'Art. 28', '§ 5', 'Art. 40', 'Art. 30', 'Art. 30', 'Art. 32', 'Art. 82']

Datenschutz - Wolffgramm Verzollungen
Diese Vereinbarung bezieht sich auf das die Bereitstellung einer Verzollungsdienstleistung nachstehend DienstDienstleistungsvertrag genannt zwischen den Parteien.
Der Auftragsverarbeiter verarbeitet oder nutzt dabei personenbezogene Daten im Auftrag des Verantwortlichen nach Art. 28 DSGVO (Auftrag zur Datenverarbeitung, nachfolgend Auftrag genannt).
Diese Vereinbarung findet Anwendung auf alle Tätigkeiten, die mit dem Dienstleistungsvertrag in Zusammenhang stehen und bei denen Beschäftigte oder Beauftragte des Auftragsverarbeiters mit personenbezogenen Daten des Verantwortlichen in Berührung kommen oder kommen könnten
(1) Der Gegenstand des Auftrags ergibt sich aus dem Dienstleistungsvertrag. Im Wesentlichen handelt es sich bei den Leistungen um die Verzollungsdienstleistung nach BRDeutschland bzw. EEC.
(2) Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit des Dienstleistungsvertrags. Darüber hinaus gilt diese Vereinbarung auch für vertragsbezogene Datenverarbeitungen, die bereits vor Beginn oder noch nach Ablauf des Dienstleistungsvertrags durchgeführt werden.
(1) Die Art der verwendeten personenbezogenen Daten sowie Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den Verantwortlichen sind im Folgenden konkret beschrieben. Der Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke als die der Vertragserfüllung.
(2) Gegenstand des Auftrags sind die im Folgenden genannten Arten personenbezogener Daten und Kategorien betroffener Personen. a) Kunden (Namen, Adressdaten, Kontaktdaten, Vertragsdaten, Abrechnungs- und Zahlungsdaten)
(3) Die Verarbeitung und Nutzung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die Standorte der Datenzentren, in denen die personenbezogenen Daten verarbeitet werden, sind in Deutschland.
(1) Der Auftragsverarbeiter beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung (Art. 5 DSGVO). Er wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird.
(2) Der Auftragsverarbeiter bietet im Vorfeld der Auftragsvergabe hinreichende Garantien, dass die technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit der DSGVO erfolgt. Er hat dies zu dokumentieren und dem Verantwortlichen zur Prüfung zu übergeben. Bei Akzeptanz durch den Verantwortlichen werden die dokumentierten Maßnahmen Grundlage des Auftrags. Diese Maßnahmen werden in Fehler! Verweisquelle konnte nicht gefunden werden. festgelegt. Soweit die Prüfung / ein Audit des Verantwortlichen einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen, sofern dem keine betrieblichen oder wirtschaftlichen Erfordernisse des Auftragsverarbeiters entgegenstehen. Wenn die Einhaltung der gesetzlichen Datenschutzvorschriften dem Grunde nach bereits gewährleistet war, erstattet der Verantwortliche dem Auftragsverarbeiter die durch diese Unterstützung entstehenden Kosten.
(3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen und organisatorischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.
(4) Der Auftragsverarbeiter hat die Sicherheit der Verarbeitung gem. Art. 28 Abs. 3 S. 2 lit. c, 32 DSGVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO zu gewährleisten. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um die Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen.
4. Berichtigung, Sperrung und Löschung von Daten, Auskunftserteilung
(1) Der Auftragsverarbeiter hat personenbezogene Daten nur zu berichtigen, zu löschen oder in der Verarbeitung einzuschränken, wenn der Verantwortliche dies in dem Dienstleistungsvertrag oder in einer dokumentierten Weisung verlangt, bzw. davon keine zollrechtlichen Aufbewahrungspflichten verletzt werden.
(2) Soweit ein Betroffener sich unmittelbar an den Auftragsverarbeiter zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.
(3) Ist der Verantwortliche aufgrund geltender Datenschutzgesetze gegenüber einer Einzelperson verpflichtet, Auskünfte zur Verarbeitung von Daten zu erteilen, wird der Auftragsverarbeiter den Verantwortlichen dabei unterstützen, diese Informationen bereit zu stellen. Dies setzt voraus, dass der Verantwortliche den Auftragsverarbeiter hierzu schriftlich oder in Textform aufgefordert hat und dem Auftragsverarbeiter die durch diese Unterstützung entstehenden Kosten erstattet. Der Auftragsverarbeiter wird ohne vorherige schriftliche Zustimmung des Verantwortlichen keine Auskunftsverlangen beantworten und den Betroffenen insoweit an den Verantwortlichen verweisen.
(4) Der Auftragsverarbeiter hat dem Verantwortlichen bei der Anfrage eines Betroffenen im Sinne des Art. 20 Abs. 1 DSGVO (Recht auf Datenübertragbarkeit), dessen personenbezogene Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu übermitteln. Dies gilt auch für den Fall, dass ein Betroffener gem. Art. 20 Abs. 2 DSGVO vom Verantwortlichen verlangt, die personenbezogenen Daten an einen anderen Verantwortlichen zu übermitteln. (5) Der Auftragsverarbeiter stellt sicher, dass die Löschung (Recht auf Vergessenwerden) gem. Art. 17 DSGVO, Berichtigung gem. Art. 16 DSGVO und Auskunft gem. Art. 15 DSGVO nur nach dokumentierter Weisung des Verantwortlichen erfolgt.
5. Kontrollen und sonstige Pflichten des Auftragsverarbeiters
(1) Der Auftragsverarbeiter sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er versichert, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften, insbesondere der DSGVO und des DSAnpUG-EU, bekannt sind. Der Auftragsverarbeiter überwacht die Einhaltung der datenschutzrechtlichen Vorschriften.
(2) Der Auftragsverarbeiter ist nicht berechtigt, die Daten an Dritte weiterzugeben. Kopien und Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
(3) Der Auftragsverarbeiter hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gem. Art. 28 bis 33 DSGVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:
1. Schriftliche Bestellung eines Datenschutzbeauftragten gem. Art. 37 DSGVO i.V.m. mit § 38 DSAnpUG-EU, der seine Tätigkeit gem. Art. 38 und 39 DSGVO ausübt.
2. Der Auftragsverarbeiter gewährleistet die Wahrung der Vertraulichkeit gem. Art. 28 Abs. 3 S. 2 lit. b DSGVO. Der Auftragsverarbeiter setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die schriftlich auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden.
3. Der Auftragsverarbeiter und jede dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten gem. Art. 28 Abs. 3 S. 2 lit. a DSGVO ausschließlich entsprechend der dokumentierten Weisung des Verantwortlichen verarbeiten, einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind. Eine Weisung kann schriftlich oder auch in einem elektronischen Format erfolgen (Art. 28 Abs. 9 DSGVO). Die Verpflichtung auf die Vertraulichkeit besteht auch nach Beendigung des Auftrags fort.
4. Sofern der Auftragsverarbeiter im Zusammenhang mit den Leistungen für den Verantwortlichen an der Erbringung geschäftsmäßiger Telekommunikationsdienste mitwirkt, ist er verpflichtet, die hieran Beteiligten schriftlich auf das Fernmeldegeheimnis i.S.d. § 88 TKG zu verpflichten.
5. Der Auftragsverarbeiter sorgt für die Umsetzung und Einhaltung aller für diesen Auftrag notwendigen technischen und organisatorischen Maßnahmen gem. Art. 28 Abs. 3 S. 2 lit. c, 32 DSGVO.
6. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragsverarbeiter ermittelt.
7. Der Auftragsverarbeiter kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen dieses Vertrages erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.
8. Der Auftragsverarbeiter ist zur Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Verantwortlichen verpflichtet. Dabei kann der Nachweis auch durch die Einhaltung genehmigter Verhaltensregeln gem. Art. 40 DSGVO, oder einer geeigneten Zertifizierung erbracht werden, sofern diese die tatsächlich vereinbarten Maßnahmen betreffen.
9. Der Verantwortliche und der Auftragsverarbeiter arbeiten auf Anfrage mit der Aufsichtsbehörde zusammen im Sinne des Art. 31 DSGVO. (4) Der Auftragsverarbeiter hat ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen. Der Auftragsverarbeiter stellt der Aufsichtsbehörde auf Anfrage das Verarbeitungsverzeichnis zur Verfügung gem. Art. 30 Abs. 4 DSGVO.
6. Unterauftragsverhältnisse / Subunternehmer
(1) Der Verantwortliche ist damit einverstanden, dass der Auftragsverarbeiter zur Erfüllung seiner vertraglich vereinbarten Leistungen verbundene Unternehmen des Auftragsverarbeiters zur Leistungserfüllung heranzieht bzw. Unternehmen mit den aufgeführten Leistungen unterbeauftragt. Der Auftragsverarbeiter wird den Subunternehmer nach dessen Eignung unter besonderer Berücksichtigung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig auswählen. Eine etwaige Prüfung durch den Verantwortlichen beim Subunternehmer erfolgt nur in Abstimmung mit dem Auftragsverarbeiter. Der Auftragsverarbeiter setzt für die Verzollungsdienstleistung keine Subunternehmer ein.
(2) Als Unterauftragsverhältnisse sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht als Subunternehmerverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragsverarbeiter bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z. B. Telekommunikations-, Versand-Dienstleistungen, Reinigungskräfte oder Prüfer. Der Auftragsverarbeiter ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Verantwortlichen auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.
7. Rechte und Pflichten des Verantwortlichen, Duldungs- und Mitwirkungspflichten des Auftragsverarbeiters
(1) Nach Art. 28 Abs. 1 DSGVO ist der Verantwortliche dazu verpflichtet, nur mit Auftragsverarbeitern zusammenzuarbeiten, welche hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden. Der Verantwortliche verpflichtet sich zur Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere zur rechtmäßigen Datenweitergabe an den Auftragsverarbeiter.
(2) Der Verantwortliche hat das Recht, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen vor Beginn der Datenverarbeitung beim Auftragsverarbeiter und sodann regelmäßig in angemessenem Umfang, im Benehmen mit dem Auftragsverarbeiter zu prüfen oder durch im Einzelfall zu benennende und zur Berufsverschwiegenheit verpflichtete Prüfer/ Dritte durchführen zu lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter steht. Der Auftragsverarbeiter ist berechtigt,
dem Verantwortlichen etwaige durch die Kontrollen entstandenen Kosten in Rechnung zu stellen.
(3) Darunter fallen insbesondere die Einholung von Auskünften bei dem Auftragsverarbeiter und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie sonstige Kontrollen vor Ort. Der Verantwortliche hat das Recht, sich innerhalb der üblichen Geschäftszeiten ohne Störung des Betriebsablaufs durch Stichprobenkontrollen, die in der Regel 21 Werktage vorher anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragsverarbeiter in dessen Geschäftsbetrieb zu überzeugen. Der Auftragsverarbeiter verpflichtet sich zur Duldung und Mitwirkung bei der Kontrolle, insbesondere dem Verantwortlichen auf schriftliche Anforderung Auskünfte zu erteilen und Nachweise zur Verfügung zu stellen, die zur Durchführung der Kontrolle erforderlich sind. Darunter fallen z. B. ein Nachweis über die Umsetzung der technischen und organisatorischen Maßnahmen (siehe § 5 (3) 8 dieses Vertrages) und ein Nachweis über die Einhaltung genehmigter Verhaltensregeln gem. Art. 40 DSGVO.
(4) Der Verantwortliche informiert den Auftragsverarbeiter, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
(5) Die Pflicht zur Führung des Verzeichnisses von Verarbeitungstätigkeiten gem. Art. 30 Abs. 1 DSGVO obliegt dem Verantwortlichen und ggf. seinem Vertreter. Auf Anfrage stellt der Verantwortliche der Behörde das Verarbeitungsverzeichnis zur Verfügung (Art. 30 Abs. 4 DSGVO).
8 Mitteilungen bei Verstößen des Auftragsverarbeiters
(1) Alle Verstöße des Auftragsverarbeiters, der bei ihm beschäftigten Personen und der ggf. für ihn tätigen Subunternehmer einschließlich deren etwaiger Subunternehmer gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen sind dem Verantwortlichen unverzüglich mitzuteilen.
(2) Im Falle des Abhandenkommens oder der unrechtmäßigen Übermittlung oder Kenntniserlangung von personenbezogenen Daten hat der Auftragsverarbeiter ohne Ansehen der Verursachung den Verantwortlichen zu informieren. Der Auftragsverarbeiter hat sich mit dem Verantwortlichen abzusprechen und angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen. Soweit den Verantwortlichen Pflichten nach Art. 32 - 34 DSGVO treffen, hat der Auftragsverarbeiter ihn hierbei zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen zur Verfügung zu stellen.
9 Weisungsbefugnis des Verantwortlichen
(1) Der Umgang mit den Daten erfolgt im Rahmen der getroffenen Vereinbarungen und nach Weisung des Verantwortlichen. Der Verantwortliche behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren.
(2) Weisungen werden grundsätzlich schriftlich erteilt. Mündliche Weisungen wird der Verantwortliche unverzüglich schriftlich oder per E-Mail (in Textform) bestätigen.
Weisungsempfänger beim Auftragsverarbeiter sind:
Herr Roland Asch +49 7751 9177-13 roland.asch@wolffgramm.com
(1) Der Auftragsverarbeiter haftet für den durch eine Verarbeitung verursachten Schaden nur dann, wenn er seinen speziell auferlegten Pflichten aus der DSGVO nicht nachgekommen ist, oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des für die Datenverarbeitung Verantwortlichen oder gegen diese Anweisungen gehandelt hat.
(2) Der Verantwortliche oder mehrere Verantwortliche und der Auftragsverarbeiter oder mehrere Auftragsverarbeiter haften bei einer Auftragsverarbeitung gesamtschuldnerisch gem. Art. 82 Abs. 4 DSGVO, für durch die Verarbeitung verursachten Schäden.
(3) Die Geltendmachung weiterer Ansprüche bleibt unberührt.
(1) Falls im Leistungsvertrag nichts anderes vereinbart ist, hat der Auftragsverarbeiter aufgrund einer separat abzurechnenden Einzelbeauftragung durch den Verantwortlichen sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verantwortlichen auszuhändigen oder nach dessen vorheriger schriftlicher Weisung datenschutzgerecht zu vernichten, sofern keine zollrechtlichen Archivierungspflichten verletzt werden. Gleiches gilt für Test- und Ausschussmaterial. Die Löschung bzw. Vernichtung ist dem Verantwortlichen mit Datumsangabe schriftlich zu bestätigen. Das Protokoll der Löschung ist dem Verantwortlichen auf Anforderung vorzulegen.
(2) Der Auftragsverarbeiter ist berechtigt, Daten, die zur Vertragserfüllung nicht mehr erforderlich sind, spätestens mit Beendigung des Dienstleistungsvertrages zu löschen, sofern keine zollrechtlichen Archivierungspflichten verletzt werden.
(3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragsverarbeiter entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Verantwortlichen übergeben.
(4) Es ist gewährleistet, dass zur Verarbeitung/Löschung bestimmte Datenträger während ihres Transportes gegen unberechtigte Einsichtnahme und Verlust geschützt sind.
(1) Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile - einschließlich etwaiger Zusicherungen des Auftragsverarbeiters - bedürfen einer schriftlichen Form und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Vereinbarung handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
(2) Bei etwaigen Widersprüchen gehen die Regelungen dieser Vereinbarung den Regelungen des Dienstleistungsvertrages vor.
(3) Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. In diesem Fall ist die unwirksame Bestimmung durch eine Regelung zu ersetzen, die dem Gewollten am Nächsten kommt.
(4) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts (CISG). Der Gerichtsstand für alle Streitigkeiten aus dieser Vereinbarung entspricht dem aus dem zugrundeliegenden Dienstleistungsvertrag.
Herr Roland Asch