Source: https://www.victoriahotel-minden.de/rechtliches/datenschutz/
Timestamp: 2020-08-12 21:04:38
Document Index: 191985189

Matched Legal Cases: ['Art. 6', 'Art. 6', 'Art. 6', 'Art 32', 'Art 32', 'Art 30', 'Art 45', 'Art 49', 'Art 47', 'Art 46', 'Art 46', 'Art 46', 'Art 40', 'Art 46', 'Art 42', 'Art 46', 'Art 49', 'Art 28', 'Art 28', 'Art 28', 'Art 46', 'Art. 28', 'Art. 32', 'Art. 28', 'Art. 32']

Datenschutz - Victoria Hotel Minden
Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist: Victoria Hotel GmbH & Co KG Markt 11 32423 Minden Telefon: + 49 . (0571) 973 100 E-Mail: info(at)victoriahotel-minden.de Website: www.victoria-hotel-minden.de Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z.B. Namen, E-Mail-Adressen o. Ä.) entscheidet.
Gesetzlich vorgeschriebener Datenschutzbeauftragter Wir haben für unser Unternehmen einen Datenschutzbeauftragten bestellt. WCS Wolfgang Nacken Heisener Str. 22 31157 Sarstedt Telefon: 05066/691010 E-Mail: info@wcs-edv.de
Wenn Sie uns per Kontaktformular Anfragen zukommen lassen, werden Ihre Angaben aus dem Anfrageformular inklusive der von Ihnen dort angegebenen Kontaktdaten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter Die Verarbeitung der in das Kontaktformular eingegebenen Daten erfolgt somit ausschließlich auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können diese Einwilligung jederzeit widerrufen. Dazu reicht eine formlose Mitteilung per E-Mail an uns. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitungsvorgänge bleibt vom Widerruf unberührt. Die von Ihnen im Kontaktformular eingegebenen Daten verbleiben bei uns, bis Sie uns zur Löschung auffordern, Ihre Einwilligung zur Speicherung widerrufen oder der Zweck für die Datenspeicherung entfällt (z.B. nach abgeschlossener Bearbeitung Ihrer Anfrage). Zwingende gesetzliche Bestimmungen – insbesondere Aufbewahrungsfristen – bleiben unberührt.
Auf unserer Website bieten wir u.a. die Bezahlung mittels “Sofortüberweisung” an. Anbieter dieses Zahlungsdienstes ist die Sofort GmbH, Theresienhöhe 12, 80339 München (im Folgenden “Sofort GmbH”). Mit Hilfe des Verfahrens “Sofortüberweisung” erhalten wir in Echtzeit eine Zahlungsbestätigung von der Sofort GmbH und können unverzüglich mit der Erfüllung unserer Verbindlichkeiten beginnen. Wenn Sie sich für die Zahlungsart “Sofortüberweisung” entschieden haben, übermitteln Sie die PIN und eine gültige TAN an die Sofort GmbH, mit der diese sich in Ihr Online-Banking-Konto einloggen kann. Sofort GmbH überprüft nach dem Einloggen automatisch Ihren Kontostand und führt die Überweisung an uns mit Hilfe der von Ihnen übermittelten TAN durch. Anschließend übermittelt sie uns unverzüglich eine Transaktionsbestätigung. Nach dem Einloggen werden außerdem Ihre Umsätze, der Kreditrahmen des Dispokredits und das Vorhandensein anderer Konten sowie deren Bestände automatisiert geprüft. Neben der PIN und der TAN werden auch die von Ihnen eingegebenen Zahlungsdaten sowie Daten zu Ihrer Person an die Sofort GmbH übermittelt. Bei den Daten zu Ihrer Person handelt es sich um Vor- und Nachname, Adresse, Telefonnummer(n), Email-Adresse, IP-Adresse und ggf. weitere zur Zahlungsabwicklung erforderliche Daten. Die Übermittlung dieser Daten ist notwendig, um Ihre Identität zweifelsfrei zu festzustellen und Betrugsversuchen vorzubeugen. Die Übermittlung Ihrer Daten an die Sofort GmbH erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und Art. 6 Abs. 1 lit. b DSGVO (Verarbeitung zur Erfüllung eines Vertrags). Sie haben die Möglichkeit, Ihre Einwilligung zur Datenverarbeitung jederzeit zu widerrufen. Ein Widerruf wirkt sich auf die Wirksamkeit von in der Vergangenheit liegenden Datenverarbeitungsvorgängen nicht aus. Details zur Zahlung mit Sofortüberweisung entnehmen Sie folgenden Links: www.sofort.de/datenschutz.html und www.klarna.com/sofort/.
Hinweis! Alle Angaben erfolgen trotz sorgfältigster Bearbeitung ohne Gewähr. Bei allen personenbezogenen Bezeichnungen gilt die gewählte Form für beide Geschlechter! Der Verantwortliche: Victoria Hotel Minden GmbH & Co KG Markt 11 D-32423 Minden (im Folgenden Auftraggeber) Der Auftragsverarbeiter: Ongus Internet GmbH Nitscha 213/1 8200 Gleisdorf (im Folgenden Auftragnehmer)
(1) Gegenstand dieses Auftrages ist die Durchführung folgender Aufgaben: Abwicklung eines Online Gutscheinverkaufs, Speicherung der Auftragsrelevanten Daten wie: Name, Adresse, Telefonnummer und Emailadresse des Gutscheinkäufers. Die Daten werden zur Auftragsabwicklung erhoben und elektronisch gespeichert. Diese Vereinbarung ist als Ergänzung zum Vertrag vom 21. 10. 2015 zu verstehen. (2) Folgende Datenkategorien werden verarbeitet: Kontaktdaten, Vertragsdaten, Verrechnungsdaten, Bestelldaten, Entgeltdaten, Email-Adresse, Telefonnummer. (3) Folgende Kategorien betroffener Personen unterliegen der Verarbeitung: Kunden, Lieferanten, Ansprechpartner, Beschäftigte.
(1) Der Auftragnehmer verpflichtet sich, Daten und Verarbeitungsergebnisse ausschließlich im Rahmen der schriftlichen Aufträge des Auftraggebers zu verarbeiten. Erhält der Auftragnehmer einen behördlichen Auftrag, Daten des Auftraggebers herauszugeben, so hat er – sofern gesetzlich zulässig – den Auftraggeber unverzüglich darüber zu informieren und die Behörde an diesen zu verweisen. Desgleichen bedarf eine Verarbeitung der Daten für eigene Zwecke des Auftragnehmers eines schriftlichen Auftrages. (2) Der Auftragnehmer erklärt rechtsverbindlich, dass er alle mit der Datenverarbeitung beauftragten Personen vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet hat oder diese einer angemessenen gesetzlichen Verschwiegenheitsverpflichtung unterliegen. Insbesondere bleibt die Verschwiegenheitsverpflichtung der mit der Datenverarbeitung beauftragten Personen auch nach Beendigung ihrer Tätigkeit und Ausscheiden beim Auftragnehmer aufrecht. (3) Der Auftragnehmer erklärt rechtsverbindlich, dass er alle erforderlichen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung nach Art 32 DSGVO ergriffen hat (Einzelheiten sind der Anlage ./1 zu entnehmen). (4) Der Auftragnehmer ergreift die technischen und organisatorischen Maßnahmen, damit der Auftraggeber die Rechte der betroffenen Person nach Kapitel III der DSGVO (Information, Auskunft, Berichtigung und Löschung, Datenübertragbarkeit, Widerspruch, sowie automatisierte Entscheidungsfindung im Einzelfall) innerhalb der gesetzlichen Fristen jederzeit erfüllen kann und überlässt dem Auftraggeber alle dafür notwendigen Informationen. Wird ein entsprechender Antrag an den Auftragnehmer gerichtet und lässt dieser erkennen, dass der Antragsteller ihn irrtümlich für den Auftraggeber der von ihm betriebenen Datenanwendung hält, hat der Auftragnehmer den Antrag unverzüglich an den Auftraggeber weiterzuleiten und dies dem Antragsteller mitzuteilen. (5) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art 32 bis 36 DSGVO genannten Pflichten (Datensicherheitsmaßnahmen, Meldungen von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person, DatenschutzFolgeabschätzung, vorherige Konsultation). (6) Der Auftragnehmer wird darauf hingewiesen, dass er für die vorliegende Auftragsverarbeitung ein Verarbeitungsverzeichnis nach Art 30 DSGVO zu errichten hat. (7) Dem Auftraggeber wird hinsichtlich der Verarbeitung der von ihm überlassenen Daten das Recht jederzeitiger Einsichtnahme und Kontrolle, sei es auch durch ihn beauftragte Dritte, der Datenverarbeitungseinrichtungen eingeräumt. Der Auftragnehmer verpflichtet sich, dem Auftraggeber jene Informationen zur Verfügung zu stellen, die zur Kontrolle der Einhaltung der in dieser Vereinbarung genannten Verpflichtungen notwendig sind. (8) Der Auftragnehmer ist nach Beendigung dieser Vereinbarung verpflichtet, alle Verarbeitungsergebnisse und Unterlagen, die Daten enthalten, dem Auftraggeber zu übergeben / in dessen Auftrag zu vernichten. Wenn der Auftragnehmer die Daten in einem speziellen technischen Format verarbeitet, ist er verpflichtet, die Daten nach Beendigung dieser Vereinbarung entweder in diesem Format oder nach Wunsch des Auftraggebers in dem Format, in dem er die Daten vom Auftraggeber erhalten hat oder in einem anderen, gängigen Format herauszugeben. (9) Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, falls er der Ansicht ist, eine Weisung des Auftraggebers verstößt gegen Datenschutzbestimmungen der Union oder der Mitgliedstaaten.
Datenverarbeitungstätigkeiten werden zumindest zum Teil auch außerhalb der EU bzw des EWR durchgeführt, und zwar in den USA. Das angemessene Datenschutzniveau ergibt sich aus • einem Angemessenheitsbeschluss der Europäischen Kommission nach Art 45 DSGVO. • einer Ausnahme für den bestimmten Fall nach Art 49 Abs 1 DSGVO. • verbindlichen internen Datenschutzvorschriften nach Art 47 iVm Art 46 Abs 2 lit b DSGVO. • Standarddatenschutzklauseln nach Art 46 Abs 2 lit c und d DSGVO. • genehmigten Verhaltensregeln nach Art 46 Abs 2 lit e iVm Art 40 DSGVO. • einen genehmigten Zertifizierungsmechanismus nach Art 46 Abs 2 lit f iVm Art 42 DSGVO. • von der Datenschutzbehörde bewilligte Vertragsklauseln nach Art 46 Abs 3 lit a DSGVO. • einer Ausnahme für den Einzelfall nach Art 49 Abs 1 Unterabsatz 2 DSGVO.
Der Auftragnehmer ist befugt folgendes Unternehmen als Sub-Auftragsverarbeiter hinzuziehen: NFON NFON GmbH Linzer Straße 55, 3100 St. Pölten Österreich IP-Telefonanlage https://www.nfon.com/at/datenschutz/ Sendgrid: 1801 California Street Suite 500 Denver, CO 80202 Emailversanddienst https://sendgrid.com/policies/tos/ Pipedrive Pipedrive Inc 460 Park Ave South New York, NY 10016, USA CRM-Tool zur Kundenverwaltung https://www.pipedrive.com/en/privacy Hetzner: Hetzner Online GmbH Industriestr. 25 91710 Gunzenhausen Deutschland https://www.hetzner.de/rechtliches/datenschutz Google Analytics Webtracker Tool: Google LLC, Mountainview, Kalifornien https://policies.google.com/privacy?hl=de Beabsichtigte Änderungen des Sub-Auftragsverarbeiters sind dem Auftraggeber so rechtzeitig schriftlich bekannt zu geben, dass er dies allenfalls untersagen kann. Der Auftragnehmer schließt die erforderlichen Vereinbarungen im Sinne des Art 28 Abs 4 DSGVO mit dem Sub-Auftragsverarbeiter ab. Dabei ist sicherzustellen, dass der Sub-Auftragsverarbeiter dieselben Verpflichtungen eingeht, die dem Auftragnehmer auf Grund dieser Vereinbarung obliegen. Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Sub-Auftragsverarbeiters. Der Auftragnehmer kann Sub-Auftragsverarbeiter für Webdesign oder Gutscheindesign hinzuziehen. Er hat den Auftraggeber von der beabsichtigten Heranziehung eines Sub-Auftragsverarbeiters so rechtzeitig zu verständigen, dass er dies allenfalls untersagen kann. Der Auftragnehmer schließt die erforderlichen Vereinbarungen im Sinne des Art 28 Abs 4 DSGVO mit dem Sub-Auftragsverarbeiter ab. Dabei ist sicherzustellen, dass der Sub-Auftragsverarbeiter dieselben Verpflichtungen eingeht, die dem Auftragnehmer auf Grund dieser Vereinbarung obliegen. Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Sub-Auftragsverarbeiters. Minden, am 23.05.2018 Für den Auftraggeber: Victoria Hotel GmbH & Co KG Marcus Henninger Geschäftsführer Gleisdorf am 23.05.2018 Für den Auftragnehmer: Ongus Internet GmbH Thomas Wastl
• Zutrittskontrolle: Schutz vor unbefugtem Zutritt zu Datenverarbeitungsanlagen, z.B.: Schlüssel, Magnet- oder Chipkarten • Zugangskontrolle: Schutz vor unbefugter Systembenutzung, z.B.: Kennwörter (einschließlich entsprechender Policy), automatische Sperrmechanismen, Verschlüsselung von Datenträgern; • Zugriffskontrolle: Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, z.B.: Standard-Berechtigungsprofile auf „need to know-Basis“, Standardprozess für Berechtigungsvergabe, Protokollierung von Zugriffen, periodische Überprüfung der vergebenen Berechtigungen, insbesondere von administrativen Benutzerkonten; • Pseudonymisierung: Sofern für die jeweilige Datenverarbeitung möglich, werden die primären Identifikationsmerkmale der personenbezogenen Daten in der jeweiligen Datenanwendung entfernt, und gesondert aufbewahrt. • Klassifikationsschema für Daten: Aufgrund gesetzlicher Verpflichtungen oder Selbsteinschätzung (geheim/vertraulich/intern/öffentlich).
• Weitergabekontrolle: Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport, z.B.: Verschlüsselung, Virtual Private Networks (VPN), elektronische Signatur; • Eingabekontrolle: Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, z.B.: Protokollierung, Dokumentenmanagement;
• Verfügbarkeitskontrolle: Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z.B.: Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV, Dieselaggregat), Virenschutz, Firewall, Meldewege und Notfallpläne; Security Checks auf Infrastruktur- und Applikationsebene, Mehrstufiges Sicherungskonzept mit verschlüsselter Auslagerung der Sicherungen in ein Ausweichrechenzentrum, Standardprozesse bei Wechsel/Ausscheiden von Mitarbeitern; • Rasche Wiederherstellbarkeit; • Löschungsfristen: Sowohl für Daten selbst als auch Metadaten wie Logfiles, udgl.
• Datenschutz-Management, einschließlich regelmäßiger Mitarbeiter-Schulungen; • Incident-Response-Management; • Datenschutzfreundliche Voreinstellungen; • Auftragskontrolle: Keine Auftragsdatenverarbeitung im Sinne von Art 28 DS-GVO ohne entsprechende Weisung des Auftraggebers, z.B.: eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl des Auftragsverarbeiters (ISO-Zertifizierung, ISMS), Vorabüberzeugungspflicht, Nachkontrollen.
Dieser Vertrag ist auf eine Auftragsverarbeitung in Österreich, innerhalb des EWR oder in Staaten mit angemessenem Datenschutzniveau zugeschnitten. Für die Auftragsverarbeitung in Drittstaaten ist die Verwendung von Standardvertragsklauseln zu empfehlen (Bewilligungsfreiheit nach Art 46 Abs 2 lit c DSGVO). Dieser Vertrag wurde mit größter Sorgfalt erstellt und kann laufend aktualisiert werden.
Vereinbarung zur Auftragsverarbeitung (AV) nach Art. 28 DS-GVO (GDPR) zwischen Victoria Hotel Minden Victoria Hotel Minden GmbH & Co KG Kundennummer: 82061 Markt I I 32423, Minden Deutschland als Verantwortlicher — nachstehend „Auftraggeber” genannt — CA Customer Alliance GmbH Ullsteinstraße 130 12109 Berlin Deutschland als Auftragsverarbeiter — nachstehend „Auftragnehmer” genannt —.
(1 ) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen der Durchführung der Auftragsbestätigung / des Vertrages (nachfolgend „Hauptvertrag’) dabei, Bewertungen über den Auftraggeber im Internet zu analysieren, dessen Kunden aktiv zu befragen, mit dessen Kunden zu kommunizieren und neue Buchungen zu erhalten. Der Auftragnehmer erhebt, nutzt und verarbeitet dazu personenbezogene Daten der Kunden des Auftraggebers im Zusammenhang mit der Durchführung des Hauptvertrages. Zur Wahrung der sich daraus ergebenden wechselseitigen datenschutzrechtlichen Verpflichtungen schließen die Parteien diesen Vertrag. (2) Zur Konkretisierung der beiderseitigen datenschutzrechtlichen Rechte und Pflichten schließen die Parteien die vorliegende Vereinbarung. Die Regelungen der vorliegenden Vereinbarung gehen im Zweifel den Regelungen des Hauptvertrags vor. (3) Diese AV gilt für sämtliche Tätigkeiten im Zusammenhang mit dem Hauptvertrag, bei denen Mitarbeiter und/oder Subunternehmer des Auftragnehmers personenbezogenen Daten des Auftraggebers verarbeiten. (4) Die Dauer dieses Auftrags entspricht der Dauer des Hauptvertrages, sofern sich aus der vorliegenden AV nichts Abweichendes ergibt. (5) Unberührt bleibt das Recht jeder Vertragspartei, die AV aus wichtigem Grund fristlos zu kündigen.
(1 ) Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer ist die Kunden des Auftraggebers mit der Bitte um Bewertung der Leistung des Auftraggebers anzusprechen, die Kundenbewertung zu erfassen und dem Auftraggeber im Anschluss ausgewertet zur Verfügung zu stellen. (2) Der Auftragnehmer verarbeitet folgende Datenarten/-kategorien im Rahmen seiner Dienstleistung in Bezug auf den einzelnen Kunden des Auftraggebers: (a) Name; (b) Anrede; (c) Geschlecht; (d) Sprache; (e) Vertragsdauer; (f) E-Mail-Adresse; (g) Telefonnummer; (h) Adresse; (i) Informationen zur Leistungserbringung (Kosten, Umsatz, Anzahl der Leistungsgegenstände) (j) Ggfs. vorhandene individuelle Segmentierungsdaten des Auftraggebers wie Weg des Vertragsschlusses (Internet, Telefon, etc.), Herkunftsland, Leistungskategorie oder Altersgruppe; (k) Bewertung des Auftraggebers durch den Kunden (Kundenbewertung). (3) Der Kreis der durch den Umgang mit den personenbezogenen Daten im Rahmen dieses Auftrags Betroffenen umfasst die Kunden des Auftraggebers und kann mit Blick auf die Vertragsabwicklung auch die Mitarbeiter des Auftraggebers betreffen. (4) Die Verarbeitung der personenbezogenen Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. (5) Der Auftraggeber und der Auftragnehmer und gegebenenfalls deren Vertreter arbeiten auf Anfrage mit der zuständigen Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
(1 ) Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den gesetzlichen Anforderungen des Datenschutzes gerecht wird. Die vom Auftragnehmer bei der Auftragsdatenverarbeitung zu treffenden technischen und organisatorischen Sicherheitsmaßnahmen (Art. 32 DS-GVO) orientieren sich an folgenden Datenschutz-Geboten und werden wie nachfolgend dargestellt gewährleistet: (a) Unbefugten ist der Zutritt zu Datenverarbeitungsanlagen, mit denen die personenbezogenen Daten verarbeitet und genutzt werden, zu verwehren (Zutrittskontrolle): Insbesondere gewährleistet durch: Schlüssel, Schlüsselvergabe, elektrische Türöffner, Werkschutz, Pförtner (für das gesamte Gebäude). (b) Es ist zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle): Insbesondere gewährleistet durch: Abschließbarkeit der Datenstation; Vergabe von Benutzerpasswörtern; Verschlüsselung der Passwörter. (c) Es ist dafür Sorge zu tragen, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle): Insbesondere gewährleistet durch: Benutzerspezifisch abgestufte Rechteverwaltung. (d) Es ist dafür Sorge zu tragen, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle): Insbesondere gewährleistet durch: Die Daten werden von dem Kunden des Auftraggebers selbst eingegeben und/oder übertragen. Dies geschieht über eine verschlüsselte SSL Verbindung. (e) Es ist dafür Sorge zu tragen, dass nachträglich geprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle): Insbesondere gewährleistet durch: Die Software vom Auftragnehmer verfügt über eine Benutzet-verwaltung. Der Auftraggeber kann eigene Benutzer einrichten und festlegen, auf welche Bereiche der Software diese zugreifen dürfen. Es wird unter anderem erfasst, wann sich welcher Nutzer einloggt. (f) Es ist dafür Sorge zu tragen, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle): Insbesondere gewährleistet durch: Festlegung von Kompetenzen u. Pflichten des Auftragnehmers u. Auftraggebers die Vereinbarung von Kontrollrechten und die betriebliche Organisation des Auftragnehmers. (g) Es ist dafür Sorge zu tragen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle): Insbesondere gewährleistet durch: Backup-Verfahren; Spiegeln von Festplatten; Virenschutz / Firewall. Zudem unterbrechungsfreie Stromversorgung (USV) und Notfallplan beim Server-Provider (siehe 56 Abs. 2). (h) Es ist dafür Sorge zu tragen, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können (Trennungskontrolle): Insbesondere gewährleistet durch: Jeder Nutzer der Software erhält vom Auftragnehmer seinen eigenen Bereich, der von den anderen Bereichen getrennt ist. Es existiert eine Funktionstrennung zwischen Produktionsserver und internen Testservern. (2) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Unter der Voraussetzung, dass das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird, können alternative Maßnahmen durch den Auftragnehmer umgesetzt werden.
(1 ) Der Auftragnehmer hat nur nach Weisung des Auftraggebers die Daten, die im Auftrag verarbeitet werden, zu berichtigen, zu löschen oder zu sperren. (2) Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten, unmittelbar gegenüber dem Auftragnehmer geltend, so reagiert dieser nicht selbstständig, sondern verweist den Betroffenen unverzüglich an den Auftraggeber und wartet dessen Weisungen ab.(3) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten nach An. 12-22 sowie 32 und 36 DS-GVO.
Zusätzlich zu der Einhaltung der Regelungen dieses Auftrags übernimmt der Auftragnehmer nachfolgende Pflichten (a) Der Auftragnehmer hat ein betrieblicher Datenschutzbeauftragter bestellt. Der Auftragnehmer veröffentlicht die Kontaktdaten des Datenschutzbeauftragten auf seiner Internetseite und teilt sie der Aufsichtsbehörde mit. Veröffentlichung und Mitteilung weist der Auftragnehmer auf Anforderung des Auftraggebers in geeigneter Weise nach.(b) Den bei der Datenverarbeitung durch den Auftragnehmer beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu verarbeiten. Der Auftragnehmer wird alle Personen, die von ihm mit der Bearbeitung und der Erfüllung dieses Vertrages betraut werden (im folgenden Mitarbeiter genannt), entsprechend verpflichten (Verpflichtung zur Vertraulichkeit, Art. 28 Abs. 3 lit. b DS-GVO) und mit der gebotenen Sorgfalt die Einhaltung dieser Verpflichtung sicherstellen. Dem Auftraggeber sind die Verpflichtungen auf Verlangen in geeigneter Weise nachzuweisen. (c) Umsetzung und Einhaltung aller für diesen Auftrag notwendigen technischen und organisatorischen Maßnahmen entsprechend Art. 32 DS-GVO. (d) Unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. (e) Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen im Hinblick auf die Vertragsausführung bzw. -erfüllung, insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags.
(1 ) Der Auftragnehmer ist berechtigt, Subunternehmer einzusetzen. Der Auftragnehmer ist im Rahmen seiner vertraglichen Verpflichtungen zur Begründung von weiteren Unterauftragsverhältnissen mit Subunternehmern befugt. Er setzt den Auftraggeber hiervon unverzüglich in Kenntnis. Der Auftragnehmer ist verpflichtet, Subunternehmer sorgfältig nach deren Eignung und Zuverlässigkeit auszuwählen. Der Auftragnehmer hat bei der Einschaltung von Subunternehmern diese entsprechend den Regelungen dieser Vereinbarung zu verpflichten und dabei sicherzustellen, dass der Auftraggeber seine Rechte aus dieser Vereinbarung (insbesondere seine Prüf- und Kontrollrechte) auch direkt gegenüber den Subunternehmern wahrnehmen kann. (2) Die nachfolgende Liste zeigt die Subunternehmer auf, welche im Rahmen der Dienstleistungen gemäß S 1 der AV für den Auftragnehmer tätig werden.
Subunternehmer Anschrift Dienstleistung / Tätigkeit
All-Inkl.com — Neue Medien Hauptstraße 68, D-02742 Server Provider für unsere
Münnich Friedersdorf Software
Scaling Technologies GmbH Pfarrer-Hillmann-Weg 1 , D- Server Provider für unsere
51069 Köln Software
Datapine GmbH Oranienstraße 1 85, D-1 0999 Business intelligence tool
(1 ) Der Auftraggeber hat das Recht, eine Auftragskontrolle im Benehmen mit dem Auftragnehmer durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen. (2) Hinsichtlich der Kontrollverpflichtungen des Auftraggebers vor Beginn der Datenverarbeitung und während der Laufzeit des Auftrags stellt der Auftragnehmer sicher, dass sich der Auftraggeber von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen überzeugen kann. Hierzu weist der Auftragnehmer dem Auftraggeber auf Anfrage die Umsetzung der technischen und organisatorischen Maßnahmen nach. Der Nachweis der Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann auch durch Vorlage eines aktuellen Testats oder von Berichten unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, [T-Sicherheitsabteilung) oder ei ner geeigneten Zertifizierung durch ITSicherheits- oder Datenschutzaudit (z. B. nach BSI-Grundschutz) erbracht werden. (3) Der Auftraggeber ist im Hinblick auf das Vertragsverhältnis und die in dessen Durchführung vom Auftragnehmer zu verarbeitenden Daten für die Einhaltung sämtlicher datenschutzrechtlichen Vorschriften verantwortlich. Der Auftraggeber ist „Herr der Daten”.
(1 ) Bei einem Verdacht auf Datenschutzverletzungen oder einem Verdacht auf sicherheitsrelevante Vorfälle oder andere wesentliche Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten durch den Auftragnehmer, bei ihm im Rahmen des Auftrags beschäftigten Personen oder durch Dritte wird der Auftragnehmer den Auftraggeber unverzüglich in Textform informieren. Dasselbe gilt für Prüfungen des Auftragnehmers durch die DatenschutzAufsichtsbehörde. (2) Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen, informiert hierüber den Auftraggeber und ersucht um weitere Weisungen, sofern erforderlich. (3) Der Auftragnehmer ist darüber hinaus verpflichtet, dem Auftraggeber jederzeit Auskünfte zu erteilen, soweit dessen Daten von einer Verletzung nach Absatz 1 betroffen sind.
(1 ) Es ist vereinbart, dass der Umgang mit den Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Auftraggebers erfolgt. Der Auftraggeber behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, das er durch Einzelweisungen konkretisieren kann. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren. Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Zustimmung durch den Auftraggeber erteilen. (2) Die Weisungen des Auftraggebers werden anfänglich durch diesen Vertrag festgelegt und können vom Auftraggeber danach in Schrift- oder Textform durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Der Auftraggeber ist jederzeit zur Erteilung entsprechender Weisungen berechtigt. Der Auftragnehmer verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind. (3) Der Auftragnehmer ist verpflichtet, den Auftraggeber unverzüglich zu informieren, wenn er der Ansicht ist, eine Weisung des Auftraggebers verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird.
(1 ) Es besteht Einigkeit, dass nach Abschluss der vertraglichen Arbeiten oder früher nach Aufforderung durch den Auftraggeber — spätestens mit Beendigung des Hauptvertrages — der Auftragnehmer sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten hat. Dies gilt nicht, wenn nach dem Unionsrecht oder dem Recht der Bundesrepublik Deutschland eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. (2) Der Auftragnehmer ist berechtigt, Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.
(1 ) Für den Ersatz von Schäden, die ein Betroffener wegen einer nach den Datenschutzgesetzen unzulässigen oder unrichtigen Datenverarbeitung oder Nutzung im Rahmen der Auftragsverarbeitung erleidet, ist im Innenverhältnis zum Auftragnehmer alleine der Auftraggeber gegenüber dem Betroffenen verantwortlich. (2) Die Parteien stellen sich jeweils von der Haftung frei, wenn eine Partei nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden bei einem Betroffenen eingetreten ist, verantwortlich ist. (8) Auf vorliegenden Vertrag findet deutsches Recht Anwendung. (4) Erfüllungsort ist der Sitz des Auftragnehmers. (5) Für Streitigkeiten aus diesem Vertrag ist ausschließlicher Gerichtsstand Berlin.
(1 ) Mündliche Nebenabreden sind nicht getroffen. Änderungen, Ergänzungen und Zusätze dieses Vertrags haben nur Gültigkeit, wenn sie zwischen den Vertragsparteien schriftlich vereinbart werden. Dies gilt auch für die Abänderung dieser Vertragsbestimmung. Der Vorrang individueller Vertragsabreden bleibt hiervon unberührt. (2) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, so berührt dies die Wirksamkeit des Vertrags im Übrigen nicht. Die Vertragsparteien sind verpflichtet, die unwirksame Bestimmung durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt. Entsprechendes