Source: https://www.wsedv.at/dsgvo_adv/
Timestamp: 2019-07-23 13:50:04
Document Index: 194849095

Matched Legal Cases: ['Art 28', 'Art 32', 'Art 32', 'Art 30', 'Art 4', 'Art 12', 'Art 28', 'Art 3', 'Art 28']

Vereinbarung über eine Auftragsverarbeitung nach Art 28 DSGVO – W. Scheidl KG
Lizenznehmer einer vom Auftragsverarbeiter bereitgestellten Coudlösung
(zB. HSBAU(R)Evolution oder NUVEM®)
Weizenweg 31B
Verarbeitung beigestellter Daten oder Remotezugriff auf entfernte Daten zum Zweck der Datenprüfung. Verarbeitung beigestellter Daten zum Zweck der befristeten oder dauerhaften Datenerfassung. Bereitstellung von Cloud-Services im Rahmen der Nutzung der Webapplikationen HSBAU(R)Evolution, NUVEM®, oder spezifischer Individuallösungen. Diese Vereinbarung ist als Ergänzung zu den AGB’s zu verstehen.
(2) Folgende Datenkategorien werden verarbeitet: Daten und Datenbanken des Auftraggebers, die folgende Datenkategorien enthalten können: Kontaktdaten, Angebotsdaten, Vertragsdaten, Verrechnungsdaten, Bestelldaten, Entgeltdaten.
(3) Folgende Kategorien betroffener Personen unterliegen der Verarbeitung: Dienstnehmer, Angehörige, Auftraggeber, Auftragnehmer, Lieferanten, Mitglieder, Interessenten, Ansprechpartner.
Die Vereinbarung wird auf unbestimmte Zeit geschlossen. Die Kündigungsfrist wird im jeweiligen Vertrag geregelt. Ist die Kündigungsfrist nicht vertraglich vereinbart, so kann diese Vereinbarung von beiden Parteien jeweils zum Monatsletzten mit einer Kündigungsfrist von 6 Monaten gekündigt werden. Die Möglichkeit zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt
(3) Der Auftragnehmer hat bei gegebenem Anlass, mindestens aber jährlich, eine Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen (Art 32 DSGVO). (Einzelheiten sind der Anlage ./1 zu entnehmen).
(4) Der Auftragnehmer ergreift die technischen und organisatorischen Maßnahmen, damit der Auftraggeber die Rechte der betroffenen Person nach Kapitel III der DSGVO (Information, Auskunft, Berichtigung und Löschung, Datenübertragbarkeit, Widerspruch, sowie automatisierte Entscheidungsfindung im Einzelfall) innerhalb der gesetzlichen Fristen jederzeit erfüllen kann. Wird ein entsprechender Antrag an den Auftragnehmer gerichtet und er irrtümlich für den Auftraggeber gehalten, hat der Auftragnehmer den Antrag unverzüglich an den Auftraggeber weiterzuleiten und dies dem Antragsteller mitzuteilen. Benötigt der Auftraggeber zur Erfüllung der hier genannten Pflichten eine Unterstützung durch den Auftragnehmer, so ist der Auftragnehmer berechtigt, den dadurch entstehenden Mehraufwand dem Auftraggeber in Rechnung zu stellen.
(5) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art 32 bis 36 DSGVO genannten Pflichten (Datensicherheitsmaßnahmen, Meldungen von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person, Datenschutz-Folgeabschätzung, vorherige Konsultation).
(6) Der Auftragnehmer erstellt für die vorliegende Auftragsverarbeitung ein Verarbeitungsverzeichnis nach Art 30 DSGVO.
(7) Dem Auftraggeber wird hinsichtlich der Verarbeitung der von ihm überlassenen Daten das Recht jederzeitiger Einsichtnahme und Kontrolle im angemessenen Umfang, sei es auch durch ihn beauftragte Dritte, der Datenverarbeitungseinrichtungen eingeräumt. Der Auftragnehmer verpflichtet sich, dem Auftraggeber jene Informationen zur Verfügung zu stellen, die zur Kontrolle der Einhaltung der in dieser Vereinbarung genannten Verpflichtungen notwendig sind.
(8) Der Auftragnehmer ist nach Beendigung dieser Vereinbarung verpflichtet, alle Verarbeitungsergebnisse und Unterlagen, die Daten enthalten, auf Weisung des Auftraggebers zu vernichten, sofern gesetzliche Aufbewahrungsfristen dadurch nicht verletzt werden. Der Auftraggeber ist verpflichtet, für alle von ihm beigestellte oder erfasste Daten eine Sicherungskopie zu erstellen. Wird nach Beendigung dieser Vereinbarung vom Auftraggeber eine Herausgabe der Daten durch den Auftragnehmer verlangt, ist der Auftragnehmer berechtigt den dadurch entstehenden Aufwand zu den jeweils gültigen Sätzen zu verrechnen.
(9) Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, falls er der Ansicht ist, eine Weisung des Auftraggebers verstößt gegen Datenschutzbestimmungen der Union oder der Mitgliedstaaten
4. Besondere Pflichten des Auftraggebers
(1) Diese Vereinbarung entbindet den Auftraggeber nicht seiner gesetzlichen Pflichten. Der Auftraggeber ist als Verantwortlicher im Sinne von Art 4 DSGVO für die Wahrung von Betroffenenrechte nach Art 12-23 DSGVO – insbesondere für Anträge auf Auskunft, Berichtigung, Sperrung oder Löschung – allein verantwortlich.
(2) Der Auftraggeber erklärt rechtsverbindlich den Auftragnehmer unverzüglich zu informieren, wenn er Kenntnis über Verlust oder Diebstahl von Zugangsdaten, erkennbare Sicherheitslücken, oder nicht autorisierten Datenzugriff hat. Für daraus entstehende Risiken haftet der Auftraggeber.
Der Auftragnehmer kann Sub-Auftragsverarbeiter hinzuziehen. Er hat den Auftraggeber von der beabsichtigten Heranziehung eines Sub-Auftragsverarbeiters so rechtzeitig zu verständigen, dass er dies allenfalls untersagen kann. Der Auftragnehmer schließt die erforderlichen Vereinbarungen im Sinne des Art 28 Abs 4 DSGVO mit dem Sub-Auftragsverarbeiter ab. Dabei ist sicherzustellen, dass der Sub-Auftragsverarbeiter dieselben Verpflichtungen eingeht, die dem Auftragnehmer auf Grund dieser Vereinbarung obliegen. Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Sub-Auftragsverarbeiters.
Der Auftragnehmer kann Erfüllungsgehilfen hinzuziehen. Für die Hinzuziehung von Erfüllungsgehilfen bedarf es keiner Verständigung oder Einwilligung des Auftraggebers. Erfüllungsgehilfen unterliegen dem Art 3 (Abs.2) dieser Vereinbarung.
Pseudonymisierung: Sofern für die jeweilige Datenverarbeitung möglich, werden die primären Identifikationsmerkmale der personenbezogenen Daten in der jeweiligen Datenanwendung entfernt und gesondert aufbewahrt.
Auftragskontrolle: Keine Auftragsdatenverarbeitung im Sinne von Art 28 DSGVO ohne entsprechende Weisung des Auftraggebers, z.B.: vertragliche Vereinbarung, schriftliche Auftragserteilung.