der Leipziger Wohnungs- und Baugesellschaft mbh, Wintergartenstraße 4, Leipzig, vertreten durch [...]

Transkript

1 Vertrag zwischen der Leipziger Wohnungs- und Baugesellschaft mbh, Wintergartenstraße 4, Leipzig, vertreten durch [...] und (im Folgenden: Auftraggeberin ) [... Name und Anschrift des Dienstleisters], vertreten durch [Position, Vorname und Name des Vertreters] (im Folgenden: Auftragnehmer ) zur Verarbeitung personenbezogener Daten im Auftrag. Präambel Dieser Vertrag konkretisiert die gegenseitigen datenschutzrechtlichen Pflichten, die für die Auftraggeberin und den Auftragnehmer aus der in der/dem Vereinbarung/Vertrag zur/zum [...] vom [...] (im Folgenden: Hauptvertrag ) beschriebenen Auftragsverarbeitung resultieren. Dieser Vertrag ist einschließlich seiner Präambel Bestandteil des Hauptvertrages. Jede Bezugnahme auf den Hauptvertrag schließt diesen Vertrag mit ein. Sämtliche in diesem Vertrag bestimmten Pflichten erstrecken sich auf alle Tätigkeiten, die mit dem Hauptvertrag in Verbindung stehen und bei denen die Beschäftigten des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten der Auftraggeberin in Berührung kommen oder in Berührung kommen könnten. Bei Widersprüchen zwischen einzelnen Regelungen des Hauptvertrages und diesem Vertrag zur Auftragsverarbeitung gehen die Bestimmungen dieses Vertrages zur Auftragsverarbeitung vor. Ein Widerspruch in diesem Sinne liegt vor, wenn einzelne Pflichten der Parteien in den Vertragsbestandteilen unterschiedlich definiert sind, nicht jedoch, wenn Pflichten aus dem Hauptvertrag durch diesen Vertrag zur Auftragsverarbeitung lediglich ergänzt oder konkretisiert werden. Der Auftragnehmer ist verpflichtet, die Vertragsbestandteile mit der Sachkunde eines erfahrenen Dienstleisters und unter Berücksichtigung seiner Kenntnisse auf Widersprüche, Unstimmigkeiten und Unklarheiten zu prüfen. Er hat die Auftraggeberin für den Fall, dass er solche Widersprüche, Unstimmigkeiten sonstige Unklarheiten feststellt, unverzüglich, möglichst vor Ausführung der betroffenen Leistung, hierüber schriftlich zu informieren und eine Seite 1 von 11

2 Entscheidung der Auftraggeberin über die Art und den Umfang der tatsächlich geforderten Verarbeitung personenbezogener Daten der Auftraggeberin anzufordern. 1 Gegenstand und Umfang der Datenverarbeitung (1) Der Auftragnehmer erledigt für die Auftraggeberin die Aufgabe/n der [...]. (2) Der Auftrag umfasst im Einzelnen: a. [...] b. [...] c. [...] d. [...] e. [...] (3) Zum betroffenen Personenkreis der Verarbeitung im Auftrag für die Auftraggeberin gehören [...]. (4) Von den betroffenen Personen werden zur Aufgabenerfüllung folgende Arten personenbezogener Daten durch den Auftragnehmer verarbeitet: a. [ ] b. [...] c. [...] 2 Verantwortlichkeit (1) Die Auftragsverarbeitung durch den Auftragnehmer richtet sich nach Art. 28 der Datenschutz-Grundverordnung VO (EU) 2016/679 (im Folgenden: DSGVO ). (2) Die Auftraggeberin ist als Verantwortliche für die Einhaltung der anzuwendenden Datenschutzvorschriften im Hinblick auf die Verarbeitung ihrer Daten verantwortlich. Sie hat insbesondere zu prüfen, ob die Datenverarbeitung zulässig ist. (3) Die Auftraggeberin ist als Verantwortliche für die Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO zuständig und verantwortlich. Der Auftragnehmer unterstützt sie bei der Erfüllung dieser Pflichten, und zwar auch gegenüber den Aufsichtsbehörden. Der Auftragnehmer trifft auch für diese Unterstützung die erforderlichen technischen und organisatorischen Maßnahmen. (4) Die Verarbeitung von Daten der Auftraggeberin durch den Auftragnehmer findet ausschließlich im Gebiet der Bundesrepublik Deutschland statt. Eine Datenverarbeitung außerhalb Deutschlands, auch im Wege der Gewährung des Zugriffs auf Daten der Auftraggeberin an Personen außerhalb Deutschlands, bedarf der vorherigen schriftlichen Zustimmung der Auftraggeberin. Datenverarbeitungen in Ländern, die weder Mitgliedstaat der Europäischen Union noch Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) sind (nachfolgend Dritt- Seite 2 von 11

3 staaten genannt) dürfen nur unter der weiteren Voraussetzung erfolgen, dass die Voraussetzungen der Art. 44 bis Art. 46 DSGVO zur Zufriedenheit der Auftraggeberin erfüllt sind. 3 Weisungsbefugnis (1) Der Auftragnehmer darf die Daten nur im Rahmen dieses Auftrags und nach den Weisungen der Auftraggeberin verarbeiten. Die Auftraggeberin entscheidet allein und ausschließlich über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten. Jede davon abweichende oder darüber hinausgehende Verarbeitung von Daten der Auftraggeberin ist dem Auftragnehmer untersagt. Dies gilt insbesondere für eine Verarbeitung dieser Daten zu eigenen Zwecken oder für Dritte. (2) Die verwendeten Daten der Auftraggeberin werden vom Auftragnehmer von sonstigen bei ihm gespeicherten Datenbeständen getrennt. (3) Weisungen der Auftraggeberin können von dieser generell oder im Einzelfall erteilt werden. Sie sollen grundsätzlich in Schrift- oder Textform ( ) erfolgen. Bei Bedarf kann die Auftraggeberin Weisungen auch mündlich oder telefonisch erteilen. Mündlich oder telefonisch erteilte Weisungen bedürfen jedoch einer unverzüglichen Bestätigung durch den in nachfolgendem Absatz 4 genannten Weisungsberechtigten der Auftraggeberin in Schrift- oder Textform ( ). (4) Weisungen sollen im Regelfall von dem Weisungsberechtigten der Auftraggeberin oder deren Stellvertreter erteilt werden. Derzeit fungieren auf Seiten der Auftraggeberin folgende Personen als Weisungsberechtigter und als dessen Stellvertreter: [... Weisungsberechtigter] [... Vertreter] (5) Die Auftraggeberin wird dem Auftragnehmer einen Wechsel in der Person des Weisungsberechtigten oder dessen Stellvertreters möglichst frühzeitig anzeigen. (6) Empfangsberechtigt für Weisungen der Auftraggeberin ist auf Seiten des Auftragnehmers [... Empfangsberechtigter]. In dringenden Fällen darf die Auftraggeberin aber auch jedem anderen Beschäftigten des Auftragnehmers entsprechende Weisungen erteilen, sofern weder der Empfangsberechtigte noch sein Stellvertreter für die Auftraggeberin erreichbar waren. (7) Folgende generelle Weisungen werden erteilt: a. eine Verarbeitung der Daten der Auftraggeberin darf nur auf der Grundlage vom Auftragnehmer dokumentierter Weisungen erfolgen; Seite 3 von 11

4 b. der Auftragnehmer gewährleistet, dass sich die bei ihm zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen; c. [...] (8) Einzelne Weisungen können insbesondere zu folgenden Gegenständen erteilt werden: a. [...] b. [...]. (9) Der Auftragnehmer ist verpflichtet, die Weisungen der Auftraggeberin unverzüglich auszuführen. Der Auftragnehmer hat die Auftraggeberin zu unterrichten, wenn eine Weisung nicht unverzüglich durchgeführt werden kann. 4 Weitere Pflichten des Auftragnehmers (1) Wird festgestellt, dass Daten unrichtig sind, hat der Auftragnehmer die Auftraggeberin hierüber zu informieren und nach deren Weisung unverzüglich zu berichtigen. Daten, für welche die Voraussetzungen des Art. 18 DSGVO ( Recht auf Einschränkung der Verarbeitung ) vorliegen, dürfen nur entsprechend eingeschränkt verarbeitet werden. Für die Auftragsverarbeitung gemäß dem Hauptvertrag und dieser Vereinbarung nicht mehr benötigte Daten sind zu löschen. (2) Für die Anfertigung und Fortschreibung der gemäß Art. 30 DSGVO erforderlichen Verzeichnisse über die Verarbeitungen vereinbaren die Parteien, was folgt: Der Auftragnehmer übersendet zu Beginn der Tätigkeit und sodann jährlich der Auftraggeberin das für ihn aufgrund Art. 30 Abs. 2 DSGVO erstellte Verzeichnis über die Verarbeitungstätigkeiten. Diese Unterlagen werden auch dem Datenschutzbeauftragten der Auftraggeberin zur Verfügung gestellt. Der Auftragnehmer unterstützt die Auftraggeberin bei der Erstellung ihres Verzeichnisses gemäß Art. 30 Abs. 1 DSGVO. (3) Der Auftragnehmer leistet Unterstützung und Hilfe bei Datenschutzkontrollen durch die Aufsichtsbehörden, soweit es sich um die Datenverarbeitung beim Auftragnehmer (oder Unterauftragnehmer) handelt. (4) Anfallendes Test- und Ausschussmaterial wird vom Auftragnehmer unter Verschluss gehalten, bis es entweder vom Auftragnehmer datenschutzgerecht vernichtet oder der Auftraggeberin übergeben wird. Nicht mehr benötigte Unterlagen mit personenbezogenen Daten dürfen erst nach Weisung durch die Auftraggeberin datenschutzgerecht vernichtet werden. Seite 4 von 11

5 (5) Sofern der Auftragnehmer im Rahmen der Auftragsverarbeitung nach außen gegenüber Dritten auftreten sollte, tritt er nur im Namen der Auftraggeberin auf. (6) Die Auftraggeberin ist ferner für die Erfüllung der Rechte der betroffenen Personen gemäß Art. 12 bis 23 DSGVO zuständig und verantwortlich. Macht eine betroffene Person datenschutzrechtliche Ansprüche gemäß Art. 12 bis 23 DSGVO geltend, so unterstützt der Auftragnehmer die Auftraggeberin bei der Erfüllung aller Betroffenenrechte, indem er die Anfrage an die Auftraggeberin weiterleitet oder nach Abstimmung mit der Auftraggeberin die Ansprüche selbst erfüllt. Der Auftragnehmer trifft für diese Unterstützung technische und organisatorische Maßnahmen. Welche Tätigkeiten der Auftragnehmer im Rahmen der Unterstützung auszuführen hat, bestimmt sich im jeweiligen Einzelfall. 5 Vertraulichkeit (1) Der Auftragnehmer verpflichtet sich, die ihm von der Auftraggeberin zur Verfügung gestellten Unterlagen und Daten sowie die Arbeitsergebnisse vertraulich zu behandeln, insbesondere Unbefugten nicht zugänglich zu machen und der Auftraggeberin hierzu jederzeit Auskunft zu geben. (2) Diese Verpflichtungen zur Wahrung der Vertraulichkeit bestehen auch nach Beendigung dieses Vertrags fort. (3) Der Auftragnehmer verpflichtet alle für ihn im Rahmen der Ausführung dieses Auftrags tätigen Personen auf die Vertraulichkeit. Soweit Personen einer gesetzlichen Verschwiegenheitspflicht in Bezug auf diese Tätigkeit unterliegen und deshalb eine Verpflichtung auf die Vertraulichkeit nicht erfolgen soll, ist der Verzicht auf die Vereinbarung auf die Vertraulichkeit nur zulässig, wenn diese gesetzliche Verschwiegenheitspflicht einen angemessenen Schutz bietet. Der Auftragnehmer gewährleistet die Einhaltung dieser Vertraulichkeit. (4) Bei einer Kontrolle durch Stellen, die einem Informationsfreiheitsgesetz oder einer Informationsfreiheitssatzung einer Kommune unterliegen, ist dafür Sorge zu tragen, dass Betriebs- und Geschäftsgeheimnisse der Auftraggeberin gewahrt und wirtschaftliche Informationen geschützt werden. 6 Organisationspflichten des Auftragnehmers (1) Der Auftragnehmer versichert, dass er seine gemäß Art. 28 DSGVO ( Auftragsverarbeitung ) und anderen aus der DSGVO und dem BDSG in seiner jeweils geltenden Fassung sowie aus weiteren Datenschutzbestimmungen resultierenden Pflichten erfüllt und durch regelmäßige interne Kontrollen überprüft. Die Dokumentation hierüber ist der Auftraggeberin ebenso zur Verfügung zu stellen wie eine Liste der zugriffsberechtigten Personen. Seite 5 von 11

6 (2) Die Mitarbeiter des Auftragnehmers sind mit den Datenschutzvorschriften, insbesondere Art. 29 DSGVO (Weisungsgebundenheit), vertraut gemacht worden. (3) Der Auftragnehmer sichert zu, dass er gemäß Art. 37 bis 39 DSGVO einen fachkundigen und zuverlässigen Datenschutzbeauftragten benannt hat und ihm die erforderliche Zeit zur Verfügung stellt, sofern der Auftragnehmer nach der DSGVO oder nationalem Recht einer Benennungspflicht unterliegt. Der Auftragnehmer teilt der Auftraggeberin die Kontaktdaten des Datenschutzbeauftragten oder die Begründung einer Nichtbestellung schriftlich mit. (4) Die Kontaktdaten des Datenschutzbeauftragten des Auftragnehmers, an den sich die Auftraggeberin und ihr Datenschutzbeauftragter jederzeit wenden können, lauten: [...Name usw.]. 7 Technische und organisatorische Maßnahmen zur Datensicherheit (1) Der Auftragnehmer ist verpflichtet, die Grundsätze ordnungsgemäßer Datenverarbeitung zu beachten und ihre Einhaltung zu überwachen. Er versichert, dass er insofern die Regelungen der Art. 25 und Art. 32 DSGVO einhält und beachtet. (2) Hierzu wird der Auftragnehmer insbesondere a. die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der eingesetzten Systeme und Dienste im Zusammenhang mit der Verarbeitung dauerhaft sicherstellen, b. die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu diesen bei einem physischen oder technischen Zwischenfall schnell wiederherzustellen, sicherstellen. (3) Der Auftragnehmer hat ein Sicherheitskonzept mit den notwendigen und geeigneten Datensicherungsmaßnahmen erstellt, um die Datenschutzvorschriften zu gewährleisten. Das Sicherungskonzept umfasst insbesondere die Maßnahmen, die erforderlich sind, um die Anforderungen der in Art. 32 DSGVO genannten Anforderungen zu erfüllen. Der Auftragnehmer aktualisiert das Sicherheitskonzept in Abstimmung mit der Auftraggeberin nach Maßgabe des Art. 32 DSGVO. (4) Das Sicherheitskonzept wird als Anlage zu diesem Vertrag genommen. Dies gilt ebenso für jede Aktualisierung, welche der Auftragnehmer der Auftraggeberin zu diesem Zweck und unter Bezugnahme auf diesen Vertrag über die Auftragsverarbeitung übersendet. 8 Informationspflichten des Auftragnehmers (1) Ist der Auftragnehmer der begründeten Ansicht, dass eine Weisung der Auftraggeberin gegen diesen Vertrag oder das geltende Datenschutzrecht gemäß den Bestimmungen der DSGVO oder anderen Datenschutzbestimmungen verstößt, hat er die Auftraggeberin unverzüglich darauf hinzuweisen. Der Auftragnehmer ist nach Seite 6 von 11

7 rechtzeitiger vorheriger Ankündigung gegenüber der Auftraggeberin mit mindestens achttägiger Frist berechtigt, die Ausführung der Weisung bis zu einer Bestätigung oder Änderung der Weisung durch die Auftraggeberin auszusetzen. Bestätigt die Auftraggeberin die Weisung, ist der Auftragnehmer verpflichtet, sie zu befolgen. (2) Im Fall von gesetzlichen Ausnahmen von der Weisungsgebundenheit des Auftragnehmers gemäß Art. 28 Abs. 3 Satz 2 lit. a) DSGVO informiert der Auftragnehmer die Auftragnehmerin über die auf der Grundlage von Rechtsvorschriften erfolgten oder unterlassenen Verarbeitungen, es sei denn die Rechtsvorschrift verbietet ihm wegen eines wichtigen öffentlichen Interesses eine Mitteilung. (3) Bei schwerwiegenden Störungen des Betriebsablaufs oder bei Verdacht auf Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) oder wesentlichen Unregelmäßigkeiten bei der Datenverarbeitung unterrichtet der Auftragnehmer die Auftraggeberin unverzüglich. Dasselbe gilt, wenn sich eine Aufsichtsbehörde oder Strafverfolgungsorgane bei dem Auftragnehmer melden. (4) Sollten die Daten der Auftraggeberin beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, oder droht eine wesentliche Änderung der Eigentumsverhältnisse beim Auftragnehmer, so hat der Auftragnehmer die Auftragsgeberin unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang involvierten Personen unverzüglich darüber informieren, dass die Hoheit an den Daten bei der Auftraggeberin liegt. 9 Kontrollrechte der Auftraggeberin (1) Die Auftraggeberin kann sich jederzeit zu Prüfzwecken in den Betriebsstätten des Auftragnehmers zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs von der Einhaltung der Vorgaben dieses Vertrags, der Vorgaben der DSGVO, des BDSG und weiterer einschlägiger Datenschutzgesetze sowie der technischen und organisatorischen Maßnahmen zur Gewährleistung dieser Vorgaben überzeugen. Dies gilt insbesondere im Fall von besonderen Vorkommnissen. (2) Der Nachweis der Einhaltung der Vorgaben der DSGVO, des BDSG und weiterer einschlägiger Datenschutzvorschriften sowie der technischen und organisatorischen Maßnahmen kann anstelle einer Kontrolle vor Ort auch durch die Vorlage eines aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen wie Wirtschaftsprüfer, Revision, Datenschutzbeauftragten, Datenschutzauditoren oder Qualitätsauditoren erbracht werden. Voraussetzung ist, dass der Prüfbericht es der Auftraggeberin in angemessener Weise ermöglich, sich von der Einhaltung der vertraglichen Pflichten des Auftragnehmers gemäß diesem Vertrag zu überzeugen. Der Auftragnehmer kann insbesondere nach Maßgabe des Art. 28 Abs. 5 DSGVO die Einhaltung der Vorgaben des Art. 28 nachweisen. (3) Unabhängig und unbeschadet des Rechts nach dem vorstehenden Absatz 1 wird der Auftragnehmer der Auftraggeberin auf Anforderung unverzüglich alle Informati- Seite 7 von 11

8 onen zum Nachweis der Einhaltung der in Art. 28 DSGVO enthaltenen Pflichten zur Verfügung stellen. (4) Die Maßnahmen, insbesondere die Kontrolle, können auch durch den Datenschutzbeauftragten oder sonstigen Vertreter der Auftraggeberin durchgeführt werden. (5) Die Auftraggeberin ist eine öffentliche Stelle im Sinne des 2 Abs. 2 SächsDSG. Der Auftragnehmer unterwirft sich deshalb auch der Kontrolle durch den Sächsischen Landesbeauftragten für Datenschutz und Informationssicherheit, soweit Daten der Auftraggeberin betroffen sind. 10 Haftung (1) Der Auftragnehmer haftet für die ordnungsgemäße Ausführung des Auftrags nach den gesetzlichen Bestimmungen. Werden Ansprüche von Betroffenen, deren Daten verarbeitet werden, gegenüber der Auftraggeberin wegen unzulässiger oder unrichtiger Datenverarbeitung geltend gemacht, so hat der Auftragnehmer die Auftraggeberin zu unterstützen und zu beweisen, dass die fehlerhafte Datenverarbeitung nicht in seinem Verantwortungsbereich liegt. (2) Im Außenverhältnis haften die Auftraggeberin und der Auftragnehmer gemäß Art. 82 Abs. 1 DSGVO für materielle oder immaterielle Schäden, die eine Person wegen eines Verstoßes gegen die DSGVO erleidet. (3) Sind sowohl die Auftraggeberin als auch der Auftragnehmer für einen Schaden gemäß Absatz 2 im Sinne des Art. 82 Abs. 2 DSGVO verantwortlich, haften sie im Innenverhältnis zueinander für diesen Schaden entsprechend ihres Anteils an dieser Verantwortung. Nimmt eine Person in einem solchen Fall eine der Parteien ganz oder überwiegend auf Schadensersatz in Anspruch, so kann diese von der jeweils anderen Partei die Freistellung von diesem Anspruch verlangen, soweit dies ihrem Anteil an der Verantwortung entspricht. (4) Weitergehende Haftungsansprüche nach den allgemeinen Gesetzen bleiben unberührt. (5) Der Auftragnehmer haftet für Verschulden seiner weiteren Auftragnehmer oder Unterauftragnehmer wie für eigenes Verschulden. 11 Unterauftragsverhältnisse (1) Unterauftragsverhältnisse dürfen nur nach vorheriger schriftlicher Zustimmung der Auftraggeberin abgeschlossen werden. Eine solche vorherige Zustimmung darf von der Auftraggeberin nur aus wichtigem Grund verweigert werden. (2) Die Auftraggeberin erteilt hiermit ihre ausdrückliche Zustimmung zur Einschaltung der in der Anlage Unterauftragnehmer aufgeführten Unterauftragnehmer. Seite 8 von 11

9 (3) Die Unterauftragnehmer sind sorgfältig auszuwählen. Dies gilt insbesondere hinsichtlich der von ihnen getroffenen technischen und organisatorischen Maßnahmen zum Datenschutz im Sinne des Art. 32 DSGVO. Sie sind vor der Beauftragung und während der Vertragslaufzeit auf die Einhaltung der gesetzlichen und vertraglichen datenschutzrechtlichen Vorschriften und der vereinbarten technischen und organisatorischen Maßnahmen zum Schutz der Betroffenen hin zu kontrollieren. Die Ergebnisse dieser Kontrollen sind zu dokumentieren und auf Anfrage dem Auftraggeber zu übermitteln. Personenbezogene Daten dürfen an Unterauftragnehmer erst übermittelt werden, wenn die Kontrollen ergeben haben, dass der Unterauftragnehmer seine gesetzlichen und vertraglichen Verpflichtungen erfüllt. (4) Das Unterauftragsverhältnis ist nach Maßgabe des Art. 28 DSGVO schriftlich zu beauftragen. Die Beauftragung des Unterauftragnehmers hat dergestalt zu erfolgen, dass der Auftragnehmer dem Unterauftragnehmer dieselben Regelungen wie in diesem Vertrag zwischen der Auftraggeberin und dem Auftragnehmer vereinbart. Der Auftragnehmer stellt sicher, dass der Auftraggeberin die Kontrollrechte nach Maßgabe dieses Vertrags auch gegenüber allen Unterauftragsnehmern zustehen. (5) Der Auftragnehmer wird auf Verlangen der Auftraggeberin dieser eine Kopie des Unterauftrags zur Verfügung stellen und alle erforderlichen Auskünfte erteilen. (6) Die Regelung in 2 Abs. 4 dieses Vertrags gilt für die Verarbeitung durch Unterauftragnehmer entsprechend. 12 Dauer des Vertrags (1) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Die Regelungen zur ordentlichen Kündigung des Hauptvertrags gelten entsprechend. (2) Die Auftraggeberin ist zu einer jederzeitigen außerordentlichen Kündigung dieses Vertrags sowie des Hauptvertrags aus wichtigem Grund berechtigt. Ein wichtiger Grund liegt für die Auftraggeberin insbesondere vor, wenn a. der Auftragnehmer gegen eine wesentliche Pflicht aus diesem Vertrag verstößt, insbesondere bei Verstoß gegen datenschutzrechtliche Vorschriften; b. der Auftragnehmer die Daten der Auftraggeberin für andere als nach diesem Vertrag zugelassene Zwecke verwendet; c. eine Weisung der Auftraggeberin nach diesem Vertrags nicht oder nur teilweise ausführt; d. der Auftragnehmer die Ausübung der Kontrollrechte der Auftraggeberin nach diesem Vertrags verweigert oder nicht nur unerheblich behindert oder e. der Auftragnehmer Unterauftragnehmer entgegen 12 dieses Vertrages ohne vorherige schriftliche Zustimmung der Auftraggeberin einschaltet. Seite 9 von 11

10 13 Zurückbehaltungsrecht Die Einrede des Zurückbehaltungsrechts an Daten oder Unterlagen ist während der Vertragsdauer und danach (gleichgültig, aus welchem Grund das Auftragsverhältnis endet) ausgeschlossen. 14 Pflichten bei Auftragsbeendigung (1) Der Auftragnehmer hat sämtliche personenbezogene Daten der Auftraggeberin nach Beendigung der vertragsgegenständlichen Leistungserbringung (insbesondere bei Kündigung oder sonstiger Beendigung des Hauptvertrags) nach Aufforderung und Weisung der Auftraggeberin unverzüglich, spätestens jedoch binnen [...] Tagen zu löschen und von der Auftraggeberin erhaltene Datenträger und Unterlagen, die zu diesem Zeitpunkt noch Daten der Auftraggeberin enthalten, an diese zurückzugeben. (2) Über eine Löschung beziehungsweise Vernichtung von Daten der Auftraggeberin hat der Auftragnehmer ein Protokoll zu erstellen, das der Auftraggeberin auf Anforderung vorzulegen ist. (3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung oder gesetzlichen Aufbewahrungsfristen dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. 15 Sonstiges (1) Änderungen und Ergänzungen dieses Vertrags und aller seiner Bestandteile einschließlich etwaiger Zusicherungen des Auftragnehmers bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieses Vertrags handelt. Dies gilt auch für den Verzicht auf das Formerfordernis. (2) Die Unwirksamkeit einer Bestimmung dieses Vertrages berührt nicht die Gültigkeit der übrigen Bestimmungen. Die Parteien werden unwirksame Bestimmungen durch wirtschaftlich ihnen nahe kommende neue Bestimmungen ersetzen. (3) Sofern die Europäische Kommission oder der Sächsische Landesbeauftragte für Datenschutz und Informationssicherheit Standardvertragsklauseln für die Auftragsverarbeitung festlegen, werden sich die Parteien zeitnah auf etwa erforderliche Anpassungen dieses Vertrags an die Standardvertragsklauseln verständigen. (4) Es gilt deutsches Recht. Seite 10 von 11

11 (Ort, Datum) (Ort, Datum) (Unterschrift Auftraggeberin) (Unterschrift Auftragnehmer) Anlagen Anlage Unterauftragnehmer Anlage Sicherheitskonzept Seite 11 von 11