Datenverarbeitungsvereinbarung

Unten findest Du den AV-Vertrag zwischen Dir und SuperSaaS, den Kunden aus der EU vielleicht benötigen, um mit der kommmenden Allgemeinen Datenschutzverordnung der EU (EU-DSGVO) konform gehen zu können. Wenn Du als Administrator in die Webseite eingelogged bist, dann werden die Felder unten automatisch mit den Daten aus Deinem Account ausgefüllt. Beachte, dass dieses Dokument sich noch im Entwurf befindet; seine Inhalte können sich ändern bevor die EU-DSGVO in Kraft tritt.


Vertrag über die Auftragsverarbeitung von persönlichen Daten: Controller-Prozessor Vereinbarung

Version: 0.1 Draft


zwischen

und

[Name]
[Address]

SuperSaaS B.V.
Keizersgracht 639
1077 KR Amsterdam
Niederlande

Im Folgenden benannt als Controller

Im Folgenden benannt als Prozessor


1 Einleitung, Geltungsbereich, Definitionen

  1. Dieser Vertrag regelt die Rechte und Pflichten von Controller und Prozessor (im Folgenden „Parteien“ genannt) im Rahmen einer Verarbeitung von personenbezogenen Daten im Auftrag von dem Controller.
  2. Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen Mitarbeiter des Prozessors oder durch ihn beauftragte Unterauftragnehmer (Subunternehmer) personenbezogene Daten des Controllers verarbeiten.
  3. In diesem Vertrag verwendete Begriffe sind entsprechend ihrer Definition in der EU Datenschutz-Grundverordnung zu verstehen. Soweit Erklärungen im Folgenden „schriftlich“ zu erfolgen haben, ist die Schriftform nach § 126 BGB gemeint. Im Übrigen können Erklärungen auch in anderer Form erfolgen, soweit eine angemessene Nachweisbarkeit gewährleistet ist.

2 2 Gegenstand und Dauer der Verarbeitung

2.1 Gegenstand

Der Prozessor übernimmt folgende Verarbeitungen:

Stellt einen internetbasierten Service, um es den Endbenutzern des Controllers zu erlauben online Termine machen zu können. Stellt einen internetbasierten Service, der dem Controller die Verwaltung dieser Termine und der gesammelten Daten der Endbenutzer erlaubt.

2.2 Dauer

Die Verarbeitung beginnt am [Account creation date] und soll für eine unbestimmte Zeit weitergeführt werden, solange bis das SuperSaaS Konto vom Controller gelöscht wurde.

3 Art und Zweck der Datenerhebung, -verarbeitung oder -nutzung

3.1 Art und Zweck der Verarbeitung

Processing the data consists of the following: Erheben, Erfassen, Organisation, Ordnen, Speicherung, Anpassung oder Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, Abgleich oder Verknüpfung, Einschränkung, Löschen oder Vernichtung von Daten

Die Verarbeitung dient folgendem Zweck: Endbenutzern des Controller können damit Onlinetermine planen

3.2 Art der Daten

Es werden folgende Daten verarbeitet:

3.3 Kategorien der betroffenen Personen

Die folgenden Datensubjekte sind von der Datenverarbeitung betroffen:

4 Pflichten des Prozessors

  1. Der Prozessor verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Controller angewiesen, es sei denn, der Prozessor ist gesetzlich zu einer bestimmten Datenverarbeitung verpflichtet. Sofern solche Verpflichtungen für den Prozessor bestehen, teilt der Prozessor diese dem Controller vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten. Der Prozessor verwendet darüber hinaus die zur Verarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke.
  2. Der Prozessor bestätigt, dass ihm die einschlägigen, allgemeinen datenschutzrechtlichen Vorschriften bekannt sind. Er beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.
  3. Der Prozessor verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren.
  4. Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, haben sich schriftlich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.
  5. Der Prozessor sichert zu, dass die bei ihm zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden. Entsprechende Schulungs- und Sensibilisierungsmaßnahmen sind angemessen regelmäßig zu wiederholen. Der Prozessor trägt dafür Sorge, dass zur Auftragsverarbeitung eingesetzte Personen hinsichtlich der Erfüllung der Datenschutzanforderungen laufend angemessen angeleitet und überwacht werden.
  6. Im Zusammenhang mit der beauftragten Verarbeitung hat der Prozessor den Controller bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten sowie bei Durchführung der Datenschutzfolgeabschätzung zu unterstützen. Alle erforderlichen Angaben und Dokumentationen sind vorzuhalten und dem Controller auf Anforderung unverzüglich zuzuleiten.
  7. Wird der Controller durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, verpflichtet sich der Controller den Prozessor im erforderlichen Umfang zu unterstützen, soweit die Verarbeitung im Auftrag betroffen ist.
  8. Auskünfte an Dritte oder den Betroffenen darf der Prozessor nur nach vorheriger Zustimmung durch den Controller erteilen. Direkt an ihn gerichtete Anfragen wird er unverzüglich an den Controller weiterleiten.
  9. Soweit gesetzlich verpflichtet, bestellt der Prozessor eine fachkundige und zuverlässige Person als Beauftragten für den Datenschutz. Es ist sicherzustellen, dass für den Beauftragten keine Interessenskonflikte bestehen. In Zweifelsfällen kann sich der Controllerdirekt an den Datenschutzbeauftragten wenden. Der Prozessor teilt dem Controller unverzüglich die Kontaktdaten des Datenschutzbeauftragten mit oder begründet, weshalb kein Beauftragter bestellt wurde. Änderungen in der Person oder den innerbetrieblichen Aufgaben des Beauftragten teilt der Prozessor dem Controller unverzüglich mit.
  10. Die Auftragsverarbeitung erfolgt grundsätzlich innerhalb der EU oder des EWR. Jegliche Verlagerung in ein Drittland darf nur mit Zustimmung des Controllers und unter den in Kapitel V der Datenschutz-Grundverordnung enthaltenen Bedingungen sowie bei Einhaltung der Bestimmungen dieses Vertrags erfolgen.

5 Technische und organisatorische Maßnahmen

  1. Die Datensicherheitsmaßnahmen können der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden solange das geschuldete Minimum erfüllt ist. Zur Aufrechterhaltung der Informationssicherheit erforderliche Änderungen hat der Prozessor unverzüglich umzusetzen. Änderungen sind dem Controller unverzüglich mitzuteilen. Wesentliche Änderungen sind zwischen den Parteien zu vereinbaren.
  2. Soweit die getroffenen Sicherheitsmaßnahmen den Anforderungen des Controllers nicht oder nicht mehr genügen, benachrichtigt der Prozessor den Controller unverzüglich.
  3. Kopien oder Duplikate werden ohne Wissen des Controllers nicht erstellt. Ausgenommen sind technisch notwendige, temporäre Vervielfältigungen, soweit eine Beeinträchtigung des hier vereinbarten Datenschutzniveaus ausgeschlossen ist.
  4. Sollte die Verarbeit in einer Privatwohnung erfolgen, ist vom Prozessor sicherzustellen, dass dabei ein diesem Vertrag entsprechendes Niveau an Datenschutz und Datensicherheit aufrechterhalten wird und die in diesem Vertrag bestimmten Kontrollrechte des Controllers uneingeschränkt auch in den betroffenen Privatwohnungen ausgeübt werden können. Die Verarbeitung von Daten im Auftrag mit Privatgeräten ist unter keinen Umständen gestattet.
  5. Dedizierte Datenträger, die vom Controller stammen bzw. für den Controller genutzt werden, werden besonders gekennzeichnet und unterliegen der laufenden Verwaltung. Sie sind jederzeit angemessen aufzubewahren und dürfen unbefugten Personen nicht zugänglich sein. Ein- und Ausgänge werden dokumentiert

6 Regelungen zur Berichtigung, Löschung und Sperrung von Daten

  1. Im Rahmen des Auftrags für den Controller verarbeitete Daten wird der Prozessor nur entsprechend der getroffenen vertraglichen Vereinbarung oder nach Weisung des Controller’s berichtigen, löschen oder sperren.
  2. Den entsprechenden Weisungen des Controller wird der Prozessorjederzeit und auch über die Beendigung dieses Vertrages hinaus Folge leisten.

7 Unterauftragsverhältnisse

  1. Die Beauftragung von Subunternehmern ist nur mit schriftlicher Zustimmung des Controllers im Einzelfall zugelassen.
  2. Die Zustimmung ist nur möglich, wenn dem Subunternehmer vertraglich mindestens Datenschutzpflichten auferlegt wurden, die den in diesem Vertrag vereinbarten vergleichbar sind. Der Controller erhält auf Verlangen Einsicht in die relevanten Verträge zwischen Prossesor und Subunternehmer.
  3. Die Rechte des Controllers müssen auch gegenüber dem Subunternehmer wirksam ausgeübt werden können. Insbesondere muss der Prossesor berechtigt sein, jederzeit in dem hier festgelegten Umfang Kontrollen auch bei Subunternehmern durchzuführen oder durch Dritte durchführen zu lassen.
  4. Die Verantwortlichkeiten des Prozessors und des Subunternehmers sind eindeutig voneinander abzugrenzen.
  5. Eine weitere Subbeauftragung durch den Subunternehmer ist nicht zulässig.
  6. Der Prozessor wählt den Subunternehmer unter besonderer Berücksichtigung der Eignung der vom Subunternehmer getroffenen technischen und organisatorischen Maßnahmen sorgfältig aus.
  7. Die Weiterleitung von im Auftrag des Controller verarbeiteten Daten an den Subunternehmer ist erst zulässig, wenn sich der Prozessor dokumentiert davon überzeugt hat, dass der Subunternehmer seine Verpflichtungen vollständig erfüllt hat. Der Prozessor hat dem Controller die Dokumentation unaufgefordert vorzulegen.
  8. Die Beauftragung von Subunternehmern, die Verarbeitungen im Auftrag des Controller nicht ausschließlich aus dem Gebiet der EU oder des EWR erbringen, ist nur bei Beachtung der in Kapitel 4 (10) und (11) dieses Vertrages genannten Bedingungen möglich. Sie ist insbesondere nur zulässig, soweit und solange der Subunternehmer angemessene Datenschutzgarantien bietet. Der Prozessor teilt dem Controller mit, welche konkreten Datenschutzgarantien der Subunternehmer bietet und wie ein Nachweis hierüber zu erlangen ist.
  9. Der Prozessor hat die Einhaltung der Pflichten des Subunternehmers regelmäßig, spätestens alle 12 Monate, angemessen zu überprüfen. Die Prüfung und ihr Ergebnis sind so aussagekräftig zu dokumentieren, dass sie für einen fachkundigen Dritten nachvollziehbar sind. Die Dokumentation ist dem Controller unaufgefordert vorzulegen.
  10. Unterauftragsverhältnisse im Sinne dieses Vertrags sind nur solche Leistungen, die einen direkten Zusammenhang mit der Erbringung der Hauptleistung aufweisen. Nebenleistungen, wie beispielsweise Transport, Wartung und Reinigung sowie die Inanspruchnahme von Telekommunikationsdienstleistungen oder Benutzerservice sind nicht erfasst. Die Pflicht des Prozessors, auch in diesen Fällen die Beachtung von Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.

8 Rechte und Pflichten des Controller

  1. Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung sowie für die Wahrung der Rechte von Betroffenen ist allein der Controller verantwortlich.
  2. Der Controller erteilt alle Aufträge, Teilaufträge oder Weisungen dokumentiert. In Eilfällen können Weisungen mündlich erteilt werden. Solche Weisungen wird der Controller unverzüglich dokumentiert bestätigen.
  3. Der Controller informiert den Prozessor unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
  4. Der Controller ist berechtigt eine dritte Partei als unabhängigen Prüfer zu ernennen, der über die benötigten proffesionellen Fähigkeiten verfügt und durch eine Schweigepflicht zur Vertraulichkeit gebunden ist, die Wahl des Prüfers muss dabei für den Prozessor akzeptabel sein, zur Überprüfung der Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Prozessor zu kontrollieren. Die Inanspruchnahme des Rechts zu dieser Prüfung wird mindestens 4 Wochen vorher beim Procssor mit einer schriftlichen Mitteilung angekündigt. Der Controller trägt dabei alle entstehenden Kosten dieser Prüfung.
  5. Kontrollen beim Prozessor haben ohne vermeidbare Störungen seines Geschäftsbetriebs zu erfolgen. Soweit nicht aus vom Controller zu dokumentierenden, dringlichen Gründen anders angezeigt, finden Kontrollen nach angemessener Vorankündigung und zu Geschäftszeiten des Prozessors, sowie nicht häufiger als alle 12 Monate statt. Soweit der Prozessor den Nachweis der korrekten Umsetzung der vereinbarten Datenschutzpflichten dieses Vertrages vorgesehen erbringt, soll sich eine Kontrolle auf Stichproben beschränken.

9 Mitteilungspflichten

  1. Der Processor teilt dem Controller Verletzungen des Schutzes personenbezogener Daten unverzüglich mit. Auch begründete Verdachtsfälle hierauf sind mitzuteilen. Die Mitteilung hat spätestens innerhalb von 24 Stunden ab Kenntnis des Prozessors vom relevanten Ereignis an eine vom Controller benannte Adresse zu erfolgen. Sie muss mindestens folgende Angaben enthalten:
    1. eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
    2. den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;
    3. eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
    4. eine Beschreibung der vom Prozessor ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
  2. Ebenfalls sind dem Controller unverzüglich erhebliche Störungen bei der Auftragserledigung sowie Verstöße des Prozessors oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die in diesem Vertrag getroffenen Festlegungen mitzuteilen.
  3. Der Prozessor informiert den Controller unverzüglich von Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Dritten, soweit diese Bezüge zur Auftragsverarbeitung aufweisen.
  4. Der Prozessor sichert zu, den Controller bei dessen Pflichten nach Art. 33 und 34 Datenschutz-Grundverordnung im erforderlichen Umfang zu unterstützen.

10 Weisungen

  1. Der Controller behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.
  2. Der Prozessor wird den Controller unverzüglich darauf aufmerksam machen, wenn eine vom Controller erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Prozessor ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Controller bestätigt oder geändert wird.
  3. Der Prozessor hat ihm erteilte Weisungen und deren Umsetzung zu dokumentieren.

11 Beendigung des Auftrags

  1. Bei Beendigung des Auftragsverhältnisses oder jederzeit auf Verlangen des Controllers hat der Prozessor die im Auftrag verarbeiteten Daten nach Wahl des Controllers entweder zu vernichten oder an den Controller zu übergeben. Ebenfalls zu vernichten sind sämtliche vorhandene Kopien der Daten. Die Vernichtung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist.
  2. Der Prozessor ist verpflichtet, die unverzügliche Rückgabe bzw. Löschung auch bei Subunternehmern herbeizuführen.
  3. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind durch den Prozessor den jeweiligen Aufbewahrungsfristen entsprechend auch über das Vertragsende hinaus aufzubewahren. Der Prozessor kann die entsprechende Dokumentation zu seiner Entlastung dem Controller bei Vertragsende übergeben.

12 Vergütung

Die Vergütung des Prozessors ist abschließend in den Nutzungsbedingungen geregelt. Eine gesonderte Vergütung oder Kostenerstattung im Rahmen dieses Vertrages erfolgt nicht.The Prozessor’s remuneration is conclusively stipulated in the Terms of Use. There is no separate remuneration or reimbursement provided in this contract.

13 Haftung

  1. Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haftet der Controller als Gesamtschuldner.
  2. Der Controller trägt die Beweislast dafür, dass ein Schaden nicht Folge eines von ihm zu vertretenden Umstandes ist, soweit die relevanten Daten von ihm unter dieser Vereinbarung verarbeitet wurden. Solange dieser Beweis nicht erbracht wurde, stellt der the Prozessor den Controller auf erste Anforderung von allen Ansprüchen frei, die im Zusammenhang mit der Auftragsverarbeitung gegen den Controller erhoben werden.
  3. Der Prozessor haftet dem Controller für Schäden, die der Prozessor, seine Mitarbeiter bzw. die von ihm mit der Vertragsdurchführung Beauftragten oder die von ihm eingesetzten Subdienstleister im Zusammenhang mit der Erbringung der beauftragten vertraglichen Leistung schuldhaft verursachen.
  4. Die Haftung des Prozessors gegenüber dem Controller ist begrenzt auf die Höhe der Zahlungen des Controllers an den Prozessor der zwei vorhergehenden Jahre vor dem Ereignis, das die Haftung verursacht.
  5. Nummern (2) und (3) gelten nicht, soweit der Schaden durch die korrekte Umsetzung der beauftragten Dienstleistung oder einer vom Controller erteilten Weisung entstanden ist.

14 Sonderkündigungsrecht

  1. Der Controller kann den Hauptvertrag und diese Vereinbarung jederzeit ohne Einhaltung einer Frist kündigen („außerordentliche Kündigung“), wenn ein schwerwiegender Verstoß des Prozessors gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegt, der Prozessor eine rechtmäßige Weisung des Controllers nicht ausführen kann oder will oder der Prozessor Kontrollrechte des Controllers vertragswidrig verweigert.
  2. Ein schwerwiegender Verstoß liegt insbesondere vor, wenn der Prozessor die in dieser Vereinbarung bestimmten Pflichten, insbesondere die vereinbarten technischen und organisatorischen Maßnahmen in erheblichem Maße nicht erfüllt oder nicht erfüllt hat.
  3. Bei unerheblichen Verstößen setzt der Controller dem Prozessor eine angemessene Frist zur Abhilfe. Erfolgt die Abhilfe nicht rechtzeitig, so ist der Controller zur außerordentlichen Kündigung wie in diesem Abschnitt beschrieben berechtigt.

15 Sonstiges

  1. Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages vertraulich zu behandeln. Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie bis zur schriftlichen Freigabe durch die andere Partei als vertraulich zu behandeln.
  2. Sollte Eigentum des Controllers beim Prozessor durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Prozessor den Controller unverzüglich zu verständigen.
  3. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.