Die Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO – für die weisungsgebundene Verarbeitung personenbezogener Daten durch centron.
Die Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO – für die weisungsgebundene Verarbeitung personenbezogener Daten durch centron.
Der Gegenstand des Auftrags ergibt sich aus dem Leistungsschein, auf den hier verwiesen wird, sowie aus den im Hauptvertrag möglicherweise vereinbarten Zusatzleistungen (im Folgenden „Leistungsvereinbarung“).
Der Auftragnehmer verarbeitet dabei personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO auf Grundlage dieses Vertrages.
Soweit in der Leistungsvereinbarung nichts Abweichendes geregelt ist, umfasst die Auftragsverarbeitung insbesondere die Bereitstellung von Cloud-Infrastruktur (IaaS), Hosting, virtuelle Server, Speicher-, Netzwerk- und Plattformdienste sowie Managed Services des Auftragnehmers. Die Verarbeitung erfolgt ausschließlich weisungsgebunden im Rahmen von Art. 28 DSGVO.
Der Auftragnehmer verarbeitet darüber hinaus technische Nutzungs- und Metadaten („Nutzungsdaten“), soweit dies zur Vertragserfüllung, Gewährleistung der Systemsicherheit, Fehleranalyse, Leistungsoptimierung, Kapazitätsplanung, Missbrauchserkennung, Abrechnung sowie Bereitstellung von Nutzungsübersichten und -analysen erforderlich ist.
Soweit möglich, werden diese Daten anonymisiert oder pseudonymisiert verarbeitet. Die Verarbeitung anonymisierter Daten zu statistischen, sicherheitsrelevanten oder betrieblichen Zwecken des Auftragnehmers bleibt zulässig.
Die Dauer dieses Auftrags entspricht der Laufzeit der Leistungsvereinbarung.
Die Verarbeitung endet spätestens mit vollständiger Löschung oder Rückgabe sämtlicher personenbezogener Daten entsprechend den Regelungen dieser Vereinbarung.
Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrags vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer die Kontrollrechte des Auftraggebers vertragswidrig verweigert.
2. Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen
Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber sind konkret in der Leistungsvereinbarung beschrieben.
Die Verarbeitung personenbezogener Daten im Rahmen dieser Vereinbarung erfolgt grundsätzlich ausschließlich in Deutschland oder innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums.
Eine Verlagerung der Verarbeitung oder von Teilleistungen in ein Drittland bedarf der vorherigen dokumentierten Zustimmung des Auftraggebers und ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
Soweit Unterauftragsverarbeiter in Drittstaaten eingesetzt werden, stellt der Auftragnehmer sicher, dass geeignete Garantien gemäß Art. 44 ff. DSGVO bestehen, insbesondere durch Abschluss der EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 oder auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission.
Die Art der durch den Auftraggeber erzeugten und durch den Auftragnehmer verwendeten personenbezogenen Daten umfasst insbesondere folgende Datenarten und -kategorien:
Personenstammdaten
Kommunikationsdaten
Vertragsstammdaten
Vertragsabrechnungs- und Zahlungsdaten
Nutzungsdaten
Planungs- und Steuerungsdaten
Protokoll- und Logdaten
IP-Adressen
Inhaltsdaten
Beschäftigtendaten
Auskunftsangaben von Dritten
Die konkrete Art der Daten bestimmt der Auftraggeber durch die Nutzung der Leistungen.
Von der Verarbeitung können insbesondere folgende Kategorien betroffener Personen betroffen sein:
Kunden
Interessenten
Beschäftigte
Lieferanten
Handelsvertreter
Ansprechpartner
Nutzer
sonstige Dritte, deren Daten durch den Auftraggeber verarbeitet werden
Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung, zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben.
Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage des Auftrags.
Soweit die Prüfung oder ein Audit des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.
Der Auftragnehmer hat die Sicherheit gemäß Art. 28 Abs. 3 lit. c, Art. 32 DSGVO insbesondere in Verbindung mit Art. 5 Abs. 1 und 2 DSGVO herzustellen.
Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich:
der Vertraulichkeit,
der Integrität,
der Verfügbarkeit,
der Belastbarkeit der Systeme.
Dabei sind der Stand der Technik, die Implementierungskosten sowie Art, Umfang und Zweck der Verarbeitung ebenso zu berücksichtigen wie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.
Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung.
Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden.
Wesentliche Änderungen sind zu dokumentieren.
Die jeweils aktuellen technischen und organisatorischen Maßnahmen des Auftragnehmers gemäß Art. 32 DSGVO ergeben sich aus dem Dokument „Technische und organisatorische Maßnahmen (TOM)“.
Dieses Dokument ist Bestandteil dieser Vereinbarung und wird dem Auftraggeber in elektronischer Form bereitgestellt. Die jeweils aktuelle Fassung ist zudem im Trust Center des Auftragnehmers abrufbar.
Der Auftragnehmer ist berechtigt, die technischen und organisatorischen Maßnahmen bei gleichbleibendem oder höherem Schutzniveau fortzuentwickeln.
Der Auftragnehmer unterhält Prozesse zur:
Erkennung,
Bewertung,
Behandlung,
Dokumentation
von Sicherheitsvorfällen.
Zugriffe auf personenbezogene Daten erfolgen ausschließlich nach dem Need-to-know-Prinzip und nur durch autorisierte Personen.
Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken.
Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 33 DSGVO.
Der Auftragnehmer gewährleistet insbesondere:
die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b, Art. 29 und Art. 32 Abs. 4 DSGVO,
die Verpflichtung aller Beschäftigten auf Vertraulichkeit,
die datenschutzkonforme Verarbeitung personenbezogener Daten,
die regelmäßige Kontrolle der technischen und organisatorischen Maßnahmen,
die Zusammenarbeit mit Aufsichtsbehörden,
die unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen von Aufsichtsbehörden.
Der Auftragnehmer verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke.
Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Auftraggebers nicht erstellt.
Der Auftragnehmer hat einen Datenschutzbeauftragten bestellt.
Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich entsprechend den Anforderungen der geltenden Datenschutzvorschriften erfolgt.
Als Unterauftragsverarbeiter im Sinne dieser Vereinbarung sind nur solche Dritten zu verstehen, die personenbezogene Daten des Auftraggebers im Auftrag des Auftragnehmers verarbeiten und deren Tätigkeit unmittelbar der Erbringung der vertraglich geschuldeten Leistungen dient.
Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung zur Einschaltung weiterer Auftragsverarbeiter gemäß Art. 28 Abs. 2 DSGVO.
Die jeweils eingesetzten Unterauftragsverarbeiter werden dem Auftraggeber wie folgt bekanntgegeben:
| Kategorie | Dienstleister | Leistung | Standort |
|---|---|---|---|
| Entwicklung / Monitoring | Tideways GmbH | Application Monitoring | Deutschland |
| Software Distribution | ADN GmbH | Software-Zulieferer | Deutschland |
| Datenschutz | Atarax Unternehmensgruppe | Externer Datenschutzbeauftragter | Deutschland |
| Backup | SEP AG | Backup Software Support | Deutschland |
| Backup | Veeam Software Group GmbH | Backup Software Support | Schweiz |
| Administration | Randstad Deutschland GmbH & Co. KG | 1st-Level Support / Bereitschaft | Deutschland |
| Zahlungsabwicklung | Stripe LLC. | Payment-Gateway | USA |
| Sales Enablement | Pipedrive OÜ | CRM | Estland |
Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter.
Der Auftraggeber kann innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen.
Der Auftragnehmer stellt sicher, dass mit jedem Unterauftragsverarbeiter eine Vereinbarung geschlossen wird, die diesem mindestens diejenigen Datenschutzpflichten auferlegt, die in dieser Vereinbarung zwischen Auftraggeber und Auftragnehmer festgelegt sind.
Nicht als Unterauftragsverarbeiter gelten Hilfs- und Nebenleistungen, insbesondere:
Telekommunikationsleistungen,
Transportdienstleistungen,
Reinigungsleistungen,
Bewachungsleistungen,
Energieversorgung,
Brandschutz,
Klimatechnik,
Alarmtechnik,
Wartungsleistungen,
Beratungsleistungen,
sofern diese nicht zur Verarbeitung personenbezogener Daten des Auftraggebers im Rahmen der Hauptleistung eingesetzt werden.
Nicht als Unterauftragsverarbeiter gelten reine Hilfs- und Nebenleistungen, bei denen kein Zugriff auf oder Umgang mit den primären personenbezogenen Daten des Auftraggebers erfolgt (insbesondere: Reinigung, Bewachung, Energieversorgung, Transportdienstleistungen).
Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen.
Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DSGVO überzeugen kann.
Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.
Soweit geeignet, kann der Nachweis auch durch:
Zertifizierungen,
Testate,
Prüfberichte,
Berichtsauszüge,
ISO-27001-Nachweise,
BSI-Grundschutz-Nachweise,
TOM-Dokumentationen
geführt werden.
Kontrollen dürfen den Geschäftsbetrieb des Auftragnehmers nicht unverhältnismäßig beeinträchtigen und erfolgen grundsätzlich nach angemessener Vorankündigung.
Soweit kein besonderer Anlass vorliegt, ist der Auftraggeber berechtigt, maximal ein Audit pro Kalenderjahr durchzuführen.
Der Auftraggeber erhält keinen Zugang zu:
Daten anderer Kunden,
internen Sicherheitsarchitekturen,
Betriebs- und Geschäftsgeheimnissen,
vertraulichen internen Prozessen,
soweit dies nicht zwingend zur Durchführung der datenschutzrechtlichen Kontrolle erforderlich ist.
Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten.
Hierzu gehören insbesondere:
die Sicherstellung eines angemessenen Schutzniveaus,
die Verpflichtung, Verletzungen des Schutzes personenbezogener Daten unverzüglich zu melden,
die Unterstützung des Auftraggebers bei Datenschutz-Folgenabschätzungen,
die Unterstützung bei Konsultationen mit Aufsichtsbehörden,
die Unterstützung bei Betroffenenanfragen.
Unterstützungsleistungen, die über die vertraglich vereinbarten Leistungen hinausgehen, können gesondert vergütet werden.
Der Auftraggeber erteilt Weisungen grundsätzlich schriftlich oder in einem dokumentierten elektronischen Format.
Die Weisungen ergeben sich insbesondere aus:
dieser Vereinbarung,
den Leistungsbeschreibungen,
den gebuchten Services,
den Servicekonfigurationen,
dokumentierten Einzelweisungen.
Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform.
Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt.
Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
Der Auftraggeber ist verantwortlich für:
die Rechtmäßigkeit der Verarbeitung,
die Wahrung der Rechte betroffener Personen,
die Zulässigkeit der Weisungen,
das Vorliegen geeigneter Rechtsgrundlagen gemäß Art. 6 DSGVO.
Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung des Auftraggebers hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, Datenbestände und Verarbeitungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen:
herauszugeben,
oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten.
Hiervon ausgenommen sind:
gesetzliche Aufbewahrungspflichten,
Sicherungskopien,
Nachweisdokumentationen.
Das Protokoll der Löschung ist auf Anforderung vorzulegen.
Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, dürfen entsprechend gesetzlicher Aufbewahrungsfristen über das Vertragsende hinaus gespeichert werden.
Beide Parteien verpflichten sich zur vertraulichen Behandlung:
personenbezogener Daten,
Sicherheitsmaßnahmen,
technischer Informationen,
Betriebs- und Geschäftsgeheimnisse.
Diese Verpflichtung gilt über die Beendigung dieser Vereinbarung hinaus fort.
Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.
Soweit diese Vereinbarung keine Regelungen enthält, gelten die Bestimmungen des Hauptvertrages.
Im Falle von Widersprüchen gehen die Regelungen dieser Vereinbarung den Regelungen des Hauptvertrages vor.
Es gilt deutsches Recht.
Gerichtsstand ist – soweit zulässig – der Sitz des Auftragnehmers.
Ob Einkauf, Rechtsabteilung oder Datenschutz: Bei Fragen zu einzelnen Regelungen, Rahmenverträgen oder zum Abschluss des AVV ist unser Team direkt erreichbar – ohne Umwege.
Melden Sie sich an und erhalten Sie in den ersten 60 Tagen ein Guthaben von 200 € bei centron.
Dieses Werbeangebot gilt nur für neue Konten. Angebot ausschließlich für Gewerbetreibende.