Vertrag zur Auftragsverarbeitung/ AuftragsbearbeitungnachArt. 28 DSGVO, DSG neu (AT)und DSG neu (CH)
zwischen dem Verantwortlichen
den Nutzern der Webanwendung „EasySheets und EasyForst“
(nachfolgend Auftraggeber genannt)
und dem Auftragsverarbeiter/ Auftragsbearbeiter
Schmid und Mangold Online-Services GbR
Industriestr. 10/1
75223 Niefern-Öschelbronn
Deutschland
vertreten durch:Niklas Schmid, Maximilian Mangold
(nachfolgend Auftragnehmer genannt)
§ 1 Einleitung
1. Dieser Vertrag regelt das Auftragsverhältnis zwischen dem Auftraggeber und dem Auftragnehmer über die Verarbeitung personenbezogener Daten durch den Auftragnehmer. Die Parteien vereinbaren die Auftragsverarbeitung/ Auftragsbearbeitungnach den Regelungen der DSGVO und, soweit anwendbar, DSG neu CH abzuwickeln, um ein angemessenes Datenschutzniveau zu erreichen. Er begründet das Rechtsverhältnis nach Art. 28 DSGVO und Art. 9 DSG neu CH respektive.
2. Der Auftragnehmer verarbeitet als Auftragsverarbeiter (Art. 4 Abs. 2 DSGVO/Art. 5 Abs. 11 DSG neu CH) personenbezogene Daten für den Auftraggeber. Diese Dienstleistungen werden auf Grundlage des zwischen den Parteien bestehenden, im folgenden bezeichneten Hauptvertrags erbracht.
3. Der Vertrag bezieht sich auf alle Tätigkeiten des Auftragnehmers, seiner Mitarbeiter und seiner Subunternehmer, bei denen es zur Verarbeitung von personenbezogenen Daten oder zur Berührung mit solchen personenbezogenen Daten kommt, die der Auftragnehmer vom Auftraggeber zur Verfügung gestellt bekommen hat.
§ 2 Auftragsgegenstand und -dauer
1. Der Gegenstand des Auftrags ergibt sich ausder Leistungsbeschreibung in den AGB des Auftragnehmers, auf welche(n) / welches hierdurch verwiesen wird (nachstehend Hauptvertrag genannt).
2. Die Dauer der Auftragsverarbeitung richtet sich nachdem Hauptvertragund endet bei unbestimmter Laufzeit durch Kündigung des Haupt- oder diesen Vertrags.
§ 3 Auftragsinhalt
1. Der Zweck der Verarbeitung ist in der Leistungsbeschreibung des Hauptvertrags geregelt.
2. Die Art der vorgesehenen Datenverarbeitung ist im Hauptvertrag beschrieben.
3. Bei der Verarbeitung personenbezogener Daten aus oder in der Schweiz sind die speziellen Regelungen des DSG neu CH zu beachten. Die Dienstleistung ist vom Auftraggeber in der Schweiz und/oder in der EU oder dem EWR zu erbringen. Der Auftragnehmer hat dem Auftraggeber unverzüglich jegliche Drittländer dokumentiert mitzuteilen, in denen Daten verarbeitet werden. Wenn Daten zusätzlich in einem Drittland, das gemäß DSG neu CH Anhang 1 keinen angemessenen Datenschutz hat, verarbeitet werden sollen, bedarf das der vorherigen Zustimmung (Einwilligung) des Auftraggebers. Es sind diesbezüglich die Anforderungen der Art. 16 ff. DSG neu CH zu beachten. Die Einhaltung wird festgestellt durch:
○ Einen völkerrechtlichen Vertrag (Art. 16 Abs. 2 lit. a DSG neu CH)
○ Vertragliche Datenschutzklauseln (Vgl. Art. 46 Abs. 3 lit. a DSGVO), die dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) vorgängig mitgeteilt werden (Art. 16 Abs. 2 lit. b DSG neu CH)
○ Standarddatenschutzklauseln, die vom EDÖB anerkannt, ausgestellt oder genehmigt wurden (Art. 16 Abs. 2 lit. d DSG neu CH):
■ Standardvertragsklauseln der EU-Kommission vom 4. Juni 2021 (SCC EU), ergänzt bezogen auf: Die zuständige Aufsichtsbehörde (SCC EU Klausel 13); Das anwendbare Recht für vertragliche Ansprüche (SCC EU Klausel 17); Der Gerichtsstand für etwaige Klagen zwischen Parteien (SCC EU Klausel 18b); Einem Anhang, gemäß dem Verweise auf die DSGVO als solche auf die DSG neu CH auszulegen sind, wenn eine dem DSG neu CH zu unterstellende Datenverarbeitung vorliegt
■ Eigene Standardvertragsklauseln, die vom EDÖB genehmigt wurden
■ Weitere Standardvertragsklauseln, die in der Zukunft vom EDÖB anerkannt oder ausgestellt werden
○ Verbindliche unternehmensinterne Datenschutzvorschriften, die vorher vom EDÖB oder einer entsprechenden Behörde eines Staats mit angemessenem Datenschutz genehmigt wurden (Art. 16 Abs. 2 lit. e DSG neu CH)
○ Art. 16 Abs. 2 lit. c „spezifische Garantien“, die das zuständige Bundesorgan erarbeitet und dem EDÖB vorgängig mitgeteilt hat.Falls weder eine vertragliche Vereinbarung noch eine interne Datenschutzvorschrift zur Geltung kommt, sind die Ausnahmen des Art. 17 DSG geltend.In folgenden Ländern wird der Datenschutz derzeit vom EDÖB als angemessen angesehen:
○ Schweiz
○ Deutschland
○ Andorra
○ Argentinien
○ Österreich
○ Belgien
○ Bulgarien
○ Kanada
○ Zypern
○ Kroatien
○ Dänemark
○ Spanien
○ Estland
○ Finnland
○ Frankreich
○ Gibraltar
○ Griechenland
○ Guernsey
○ Ungarn
○ Isle of Man
○ Färöer
○ Irland
○ Island
○ Israel
○ Italien
○ Jersey
○ Lettland
○ Liechtenstein
○ Litauen
○ Luxemburg
○ Malta
○ Monaco
○ Norwegen
○ Neuseeland
○ Niederlande
○ Polen
○ Portugal
○ Tschechien
○ Rumänien
○ Vereinigtes Königreich
○ Slowakei
○ Slowenien
○ Schweden
○ Uruguay
4. Folgende Datenkategorien werden durch den Auftragnehmer verarbeitet:
○ Personenstammdaten
○ Zahlungsdaten
○ Kommunikationsdaten
○ Adressdaten
○ Vertragsdaten
○ GPS-Standortdaten
5. Die Verarbeitung betrifft die Daten folgender Personengruppen des Auftraggebers:
○ Beschäftigte
○ Dienstleister
○ Kunden
○ Geschäftspartner
○ Ansprechpartner
6. Rechtsgrundlage der Verarbeitung für den Auftraggeber ist nach Art. 6 DSGVO:
○ Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen (Art. 6 Abs. 1 lit. b DSGVO) Rechtsgrundlage der Verarbeitung für den Auftragnehmer ist Art. 28 DSGVO.
§ 4 Umgang mit den Daten, Weisungsrecht des Auftraggebers
1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich gemäß dieser vertraglichen Vereinbarung oder nach Weisungen des Auftraggebers. Etwas anderes gilt bei einer gesetzlichen oder behördlichen Verpflichtung des Auftragnehmers zu einer anderweitigen Verarbeitung. Dann hat der Auftragnehmer den Auftraggeber unverzüglich darüber in Kenntnis zu setzen. Eine Verarbeitung personenbezogener Daten des Auftraggebers zu eigenen Zwecken des Auftragnehmers ist ausgeschlossen.
2. Der Auftragnehmer verpflichtet sich, die Anforderungen des Auftragsverarbeiters nach Art. 28 und 32 DSGVO sicherzustellen und den diesbezüglichen Nachweis dem Auftraggeber zu erbringen.
3. Der Auftragnehmer verpflichtet sich, diesen Grundsätzen auch dadurch zu genügen, dass er sein Personal ausreichend in Fragen des Datenschutzes schult und entsprechend nur fachkundiges Personal in Kontakt mit den Daten des Auftraggebers treten lässt. Die Vereinbarung von Geheimhaltungspflichten des Personals sind möglich.Der Auftragnehmer und seine Mitarbeiter haben personenbezogene Daten aus Datenverarbeitungen nach Art. 2 § 6 DSG (DSG Österreich), die ihnen ausschließlich auf Grund ihrer berufsmäßigen Beschäftigung anvertraut wurden oder zugänglich geworden sind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen personenbezogenen Daten besteht (Datengeheimnis).Mitarbeiter des Auftragnehmers dürfen personenbezogene Daten nur auf Grund einer ausdrücklichen Anordnung des Auftragnehmers, nach Art. 2 § 6 DSG (DSG Österreich), übermitteln. Der Auftragnehmer hat, sofern eine solche Verpflichtung ihrer Mitarbeiter nicht schon kraft Gesetzes besteht, diese vertraglich zu verpflichten, personenbezogene Daten aus Datenverarbeitungen nur aufgrund von Anordnungen zu übermitteln und das Datengeheimnis auch nach Beendigung des Arbeitsverhältnisses (Dienstverhältnisses) zum Verantwortlichen oder Auftragsverarbeiter einzuhalten.Der Auftragnehmer hat, nach Art. 2 § 6 DSG (DSG Österreich), die von der Anordnung betroffenen Mitarbeiter über die für sie geltenden Übermittlungsanordnungen und über die Folgen einer Verletzung des Datengeheimnisses zu belehren.“
4. Der Auftragnehmer verpflichtet sich zur Einhaltung der Regeln zum Datenschutz und bestätigt die Kenntnis dieser einschlägigen Regelungen zur ordnungsgemäßen Verarbeitung personenbezogener Daten. Er ergreift die erforderlichen technisch-organisatorischen Maßnahmen, um eine ordnungsgemäße Verarbeitung sicherzustellen (siehe § 7).
5. Der Auftragnehmer darf personenbezogene Daten, die er im Auftrag des Auftraggebers verarbeitet, nicht eigenmächtig und nur nach dessen Anweisungen berichtigen, löschen, portieren oder beauskunften oder deren Verarbeitung einschränken. Dies gilt auch dann, wenn eine betroffene Person einen entsprechenden Antrag stellt.
6. Die dem Auftragnehmer vom Auftraggeber zur Verfügung gestellten Daten sind unter strikter Trennung von anderen Datenbeständen zu verarbeiten.
7. Der Auftragnehmer darf keine Kopien der zur Verfügung gestellten Daten ohne Wissen des Auftraggebers erstellen. Eine Ausnahme gilt für technisch notwendige und im Rahmen einer ordnungsgemäßen Verarbeitung erforderliche Vervielfältigungen, bei denen eine Gefährdung der Rechte der betroffenen Personen und eine Absenkung des Datenschutzniveaus ausgeschlossen ist.
8. Der Auftraggeber stellt die Erfüllung der Rechte auf Auskunft, Berichtigung, Einschränkung, Löschung und Datenübertragbarkeit sicher, soweit dies dem Leistungsumfang des Vertrags entspricht.
§ 5 Sonstige Pflichten des Auftragnehmers und Qualitätssicherung
1. Der Auftragnehmer hat zusätzlich gesetzliche Pflichten gemäßArt. 28 bis 33 DSGVO/dem DSGdarüber hinaus gewährleistet er insbesondere die Einhaltung folgender Vorgaben:
1. Schriftliche Bestellung einesDatenschutzbeauftragten/Datenschutzberater, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt, falls rechtlich erforderlich.
2. Die Vertraulichkeit gemäßArt. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DSGVO/Art. 2 Abs. 1, Art. 3 Abs. 1 DSV neu CHist zu wahren. Beschäftigte des Auftragnehmers, die er zur Durchführung der Verarbeitung bestellt, müssen zur Vertraulichkeit verpflichtet und mit den für sie zu beachtenden Vorschriften zum Datenschutz vertraut gemacht werden. Der Auftragnehmer und alle ihm unterstellten Personen, die Zugang zu personenbezogenen Daten des Auftraggebers haben, verarbeiten diese ausschließlich gemäß den Weisungen des Auftraggebers und den Bestimmungen dieses Vertrags, sofern gesetzlich keine anderweitigen Vorgaben bestehen. Die Vertraulichkeitsregeln gelten nach Beendigung des Vertrags fort.
3. Die Einhaltung der für diesen Auftrag erforderlichen organisatorischen und technischen Maßnahmen nachArt. 28 Abs. 3 S. 2 lit. c, 32 DSGVO,Art. 6, 7, 8 DSG neu CH in Verbindung mit Art. 1-5 DSV neu CH.
4. Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf Gegenstände dieses Vertrags beziehen. Dies gilt auch bei Ermittlungen der zuständigen Aufsichtsbehörde in einem Straf- oder Ordnungswidrigkeitsverfahrens, das die Verarbeitung personenbezogener Daten aufgrund dieses Vertragsverhältnisses betrifft.
5. Auftraggeber und Auftragnehmer verpflichten sich zur Zusammenarbeit mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben.
6. Der Auftragnehmer ist verpflichtet, in regelmäßigen Abständen die internen Prozesse und die technischen und organisatorischen Maßnahmen zu kontrollieren. Dadurch soll gewährleistet werden, dass sich die Verarbeitung stets im Einklang mit dem geltenden Datenschutzrecht befindet und die Rechte der betroffenen Person geschützt sind.
7. Unterliegt der Auftraggeber einer Kontrolle oder Aufsichtsbehörde, einem Straf- oder Ordnungswidrigkeitsverfahren, Haftungsansprüchen oder anderen Ansprüchen betroffener oder dritter Personen im Zusammenhang mit der Auftragsverarbeitung im Rahmen dieses Vertragsverhältnisses, ist der Auftragnehmer verpflichtet, den Auftraggeber nach besten Kräften zu unterstützen.
8. Der Auftragnehmer hat die getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Auftraggeber nach dessen Kontrollbefugnissen nach § 8 dieses Vertrags nachzuweisen.
2. Der Auftragnehmer istgemäß Art. 30 Abs. 1 DSGVOverpflichtet, ein Verzeichnis vonVerarbeitungstätigkeiten/Bearbeitungstätigkeitenzu führen.Bezüglich der Verarbeitung personenbezogener Daten, die dem DSG neu CH unterstellt sind, entsteht diese Verpflichtung gemäß Art. 12 DSG neu CH i.V.m. Art. 4 bis 6 DSV Schweiz.Diese Pflicht besteht auch für Unternehmen mit weniger als 250 Mitarbeitern, weil die Verarbeitung nicht nur gelegentlich im Sinne von Art. 30 Abs. 5 DSGVO erfolgt. Da im deutschsprachigen Raum regelmäßig aus Deutschland, Österreich und der Schweiz personenbezogene Daten verarbeitet werden, ist das Marktortprinzips aus Art. 3 Abs. 2 lit. a, b DSGVO zu beachten.Somit ist das Verarbeitungsverzeichnis grundsätzlich bereits ab der ersten Verarbeitung zu führen. Dieses Verzeichnis enthält mindestens:
1. Name und Kontaktdaten von Auftragnehmer und Auftraggeber sowie deren Vertreter und Datenschutzbeauftragte, soweit vorhanden
2. die Zwecke der Verarbeitung
3. Kategorien der Verarbeitungstätigkeiten, die im Auftrag des Auftraggebers verarbeitet werden
4. Kategorien von Empfängern, denen die personenbezogenen Daten offengelegt werden, einschließlich solchen in Drittländern
5. Angaben zu Bekanntgabe von Daten in Drittländer gemäßArt. 30 Abs. 1 lit. e in Verbindung mit Art. 49 Abs. 1 DSGVO/Art. 16 DSG neu CH
6. Vorhergesehene Löschfristen für die verschiedenen Datenkategorien, soweit möglich
7. Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäßArt. 32 Abs. 1 DSGVO/Art 8 Abs. 1 DSG neu CH
§ 6 Unterauftragsverhältnisse
1. Der Auftragnehmer wird Subunternehmer als weitere Auftragsverarbeiter in einem Unterauftragsverhältnis nur nach vorheriger schriftlicher Zustimmung des Auftraggebers einsetzen.Ein Unterauftragsverhältnis liegt vor, wenn der Auftragnehmer den Dritten mit der vollständigen oder teilweisen Erfüllung dieses Vertrags beauftragt. Erforderlich ist, dass die Tätigkeiten des Subunternehmers in unmittelbarem Zusammenhang mit der Hauptleistung dieses Vertrags stehen. Nebenleistungen wie der Transport, die Bewachung oder die Reinigung stellen keine Unterauftragsverhältnisse in diesem Sinn dar.
2. Die Auswahl des Subunternehmers ist unter Berücksichtigung der Voraussetzungen gemäßArt. 28 DSGVO/Art. 6, 7, 8 DSG neu CH in Verbindung mit Art. 1-5 DSV neu CHund den Standards dieses Vertrags durch den Auftragnehmer zu treffen. Die Eignung des Subunternehmers zur ordnungsgemäßen Datenverarbeitung und zur Einhaltung der technisch-organisatorischen Maßnahmen nachArt. 32 DSGVO/Art. 6, 7, 8 DSG neu CH in Verbindung mit Art. 1-5 DSV neu CHist zu gewährleisten.
3. Der Auftragnehmer stellt sicher, dass dem Subunternehmer im Hinblick auf das Schutzniveau der personenbezogenen Daten solche Verpflichtungen auferlegt werden, die mit den in diesem Vertrag begründeten Anforderungen vergleichbar sind. Der Auftragnehmer hat dem Auftraggeber die Kontaktdaten des Subunternehmers zu übermitteln.
4. Der Auftragnehmer stellt sicher, dass die aus diesem Vertrag oder dem Gesetz folgenden Rechte des Auftraggebers auch im Verhältnis zum Subunternehmer wirksam ausgeübt werden können.
5. Die Kontrolle des Subunternehmers durch den Auftragnehmer gestaltet sich nach den in diesem Vertrag geregelten Grundsätzen zur Kontrolle des Auftragnehmers durch den Auftraggeber. Der Auftragnehmer hat regelmäßige Kontrollen durchzuführen und die Ergebnisse zu dokumentieren und dem Auftraggeber auf Verlangen vorzulegen. Der Nachweis der Kontrollmaßnahmen kann erfolgen durch:
○ die Einhaltung genehmigter Verhaltensregeln gemäßArt. 40 DSGVO/Art. 16 Abs. 2 b) bzw. e) DSG neu CH i.V.m. DSV neu CH
○ aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren); gemäßArt. 40ff. DSGVO/Art. 16 Abs. 2 b) bzw. e) DSG neu CH i.V.m. DSV neu CH
○ die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäßArt. 42 DSGVO/VDSZ neu CH
○ eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nachBSI-Grundschutz/VDSZ neu CH)
6. Der Beauftragung der Subunternehmer aus der nachfolgenden Liste stimmt der Auftraggeber unter Einhaltung der vorstehenden Voraussetzungen zu:
Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043 USA
-Folgende Produkte der Google LLC werden von EasySheets und EasyForst genutzt: Firebase, Analytics.
-Vertragsgrundlage: Google Firebase Data Processing and Security Terms vom 17.02.2020
STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin
-Teile der Software EasySheets und EasyForst werden im STRATO Rechenzentrum in Deutschland
(Berlin) gehostet. Es werden die Daten in diesem Rechenzentrum verarbeitet.
7. Falls der Subunternehmer personenbezogene Daten aus oder in der Schweiz verarbeitet und im Rahmen der Verarbeitung in ein oder mehrere Drittländer bekanntgibt, sind diese einschließlich etwaig notwendiger getroffener Maßnahmen gemäß Art. 16 Abs. 2 DSG neu CH dem Auftraggeber mitzuteilen.
8. Soweit für die Bekanntgabe in Drittländer (z.B. Drittländer welche nicht über ein nachDSG/DSV SchweizoderDSGVOein angemessenes Datenschutzniveau verfügen) Standarddatenschutzklauseln verwendet werden, um ein angemessenes Datenschutzniveau zu gewährleisten, ist der Auftragnehmer außerdem verpflichtet, vorher eine Übertragungs-Folgenabschätzung TIA (sog. Transfer Impact Assessment) gem. Art. 14 SCC (siehe auchDurchführungsbeschluss (EU) 2021/914 der Kommissionvom 4. Juni 2021) zu erstellen.
§ 7 Technisch- organisatorische Maßnahmen (TOMs)
1. Der Auftragnehmer hat bei seinen Verarbeitungstätigkeiten ein Schutzniveau zu gewährleisten, dass eine Gefährdung für die Rechte und Freiheiten der betroffenen Personen ausschließt. Alle Tätigkeiten des Auftragnehmers müssen sich im Einklang mit der desArt. 28 i.V.m. Art. 5 I DSGVO sowie des Art. 32 DSGVO/Art. 6, 7, 8 DSG neu CH in Verbindung mit Art. 1-5 DSV neu CHzur Sicherheit der Verarbeitung halten. Dafür verpflichtet sich der Auftragnehmer, die in der Anlage aufgeführten technisch-organisatorischen Maßnahmen, die in seinem Verantwortungsbereich liegen, einzuhalten.
2. Die vereinbarten technisch-organisatorischen Maßnahmen unterliegen der durch den technischen Fortschritt bedingten Weiterentwicklung. Insofern darf der Auftragnehmer in der Zukunft alternative adäquate Maßnahmen ergreifen, wenn damit keine Absenkung des Sicherheitsniveaus der festgelegten Maßnahmen verbunden ist.
§ 8 Kontrollrechte des Auftraggebers
1. Der Auftraggeber kann, die Einhaltung der Vorschriften über den Datenschutz und der Vorgaben dieses Vertrags durch Kontrollen feststellen. Die Kontrollen können auch von Dritten durchgeführt werden, die der Auftraggeber nach seinem Ermessen bestimmt. Der Auftragnehmer hat das Recht, die Kontrolle durch den Dritten bei Vorliegen besonderer Umstände abzulehnen (oder z.B. Bestehen eines Wettbewerbsverhältnisses zwischen Auftragnehmer und Drittem). Der Auftragnehmer ist verpflichtet, den Auftraggeber bei den Kontrollen nach seinen Kräften zu unterstützen, indem er unter anderem die erforderlichen Auskünfte gibt, Einsicht in seine Unterlagen gewährt und Zutritt zu seinen Räumlichkeiten gewährt.
2. Bei Ermöglichung der Kontrollen durch den Auftraggeber wird der Auftragnehmer einen Vergütungsanspruch geltend machen:Der Vergütungsanspruch richtet sich nach dem üblichen Stundensatz des Auftragnehmers.
3. Der Auftraggeber muss die Kontrollen in der Regel in einem angemessenen zeitlichen Abstand ankündigen. Sie sind in einem angemessenen Rahmen und mit Rücksicht auf die Interessen des Auftragnehmers durchzuführen, soweit der Auftragnehmer nicht nach § 6 (5) dieses Vertrages die Kontrollen durch dort genannte Nachweise (durch Kontrollen unabhängiger Dritter) abwendet. Dies schließt ein, dass sie zu den gewöhnlichen Geschäftszeiten des Auftragnehmers stattfinden und den ordentlichen Geschäftsablauf soweit möglich nicht übermäßig stören.
§ 9 Mitteilungs- und Unterstützungspflichten des Auftragnehmers
1. Der Auftragnehmer hat den Auftraggeber im Fall einer vertragswidrigen, gesetzeswidrigen oder anderweitig rechtswidrigen Verarbeitung durch den Auftragnehmer oder durch bei ihm beschäftigte Personen unverzüglich zu informieren. Dies gilt auch, wenn lediglich ein Verdacht einer Datenschutzverletzung besteht sowie bei festgestellten Unregelmäßigkeiten. Das weitere Vorgehen wird vom Auftraggeber und Auftragnehmer einvernehmlich bestimmt.
2. Der Auftragnehmer hat den Auftraggeber bei der Erfüllung seiner datenschutzrechtlichen Pflichtennach Art. 28 III (f) DSGVO, insbesondere bei der Erfüllung nach denArt. 32-36 DSGVO/Art. 6, 7, 8 DSG neu CH in Verbindung mit Art. 1-5 DSV neu CHzu unterstützen.
3. Der Auftragnehmer ist gemäß Art. 24 Abs. 3 DSG neu CH gesetzlich verpflichtet, dem Auftraggeber schnellstmöglich eine Verletzung der Datensicherheit zu melden, soweit personenbezogene Daten aus oder in der Schweiz verarbeitet werden.
§ 10 Weisungsbefugnisse des Auftraggebers
1. Der Auftraggeber hat im Hinblick auf die durchzuführenden Verarbeitungstätigkeiten ein umfassendes Weisungsrecht. Die Erteilung einer Weisung ist vom Auftragnehmer unverzüglich zu bestätigen.
2. Ausschließlich die folgenden Personen sind zur Erteilung und zur Annahme von Weisungen befugt. Ein Wechsel der Personen ist der jeweils anderen Vertragspartei unverzüglich mitzuteilen.
Erteilung von Weisungen:
Nutzer der Webanwendung "EasySheets und EasyForst"
Annahme von Weisungen:
Niklas Schmid
niklas@easyforst.de
Maximilian Mangold
max@easyforst.de
3. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzvorschriften oder Vorschriften dieses Vertrags verstößt, hat er den Auftraggeber unverzüglich darüber zu informieren. Er darf die Durchführung der Weisung so lange unterlassen, wie der Auftraggeber sie nicht bestätigt, geändert oder widerrufen hat. Mündliche Weisungen sind ausgeschlossen.
§ 11 Verpflichtungen nach Beendigung des Auftragsverhältnisses
1. Die Verpflichtungen ergeben sich aus dem Hauptvertrag und ggf. dem Gesetz. Nach Vertragsbeendigung im Besitz des Auftragnehmers befindliche Daten sind nach Wahl des Auftraggebers an diesen zurückzugeben oder zu vernichten. Der Auftraggeber kann den Auftragnehmer zur Wahl auffordern. Die Vernichtung hat in einer mit der DSGVO konformen Weise zu erfolgen, die die Wiederherstellung der Daten ausschließt. Die ordnungsgemäße Vernichtung ist vom Auftragnehmer nachzuweisen.
2. Selbige Anforderungen gelten auch im Verhältnis des Auftragnehmers zu seinen Subunternehmern.
3. Der Auftragnehmer ist verpflichtet, alle Dokumentationen, die dem Beleg der Rechtmäßigkeit der Vereinbarung dienen, nach dem Vertragsende für die Dauer von12 Monatenaufzubewahren. Wahlweise kann er sie dem Auftraggeber übergeben.
§ 12 Vergütung
1. Über die Vergütung wird folgende Regelung getroffen:
○ Regelungen über die Vergütung des Auftragnehmers sind im Hauptvertrag geregelt. Auf diese wird hierdurch Bezug genommen.
§ 13 Telearbeit beim Auftragnehmer
1. Der Auftragnehmer ist berechtigt, seinen Beschäftigten Telearbeit anzubieten. Er schließt mit ihnen eine betriebliche Vereinbarung über die Telearbeit, die die Einhaltung aller Vorschriften zum Datenschutz und zur Datensicherheit sicherstellt.
2. Eine Gefährdung der Daten muss ausgeschlossen sein. Die Sicherheit der Daten ist insbesondere durch einen sicheren Dienstrechner und das Einrichten einer verschlüsselten Verbindung zu gewährleisten.
§ 14 Betroffenenrechte
1. Macht eine betroffene Person Rechte gegenüber dem Auftragnehmer geltend, hat dieser die Person unverzüglich an den Auftraggeber zu verweisen und den Antrag an diesen weiterzuleiten. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Ansprüchen betroffener Personen in angemessenem Umfang (Art. 28 III lit. e, f DSGVO/Art. 6, 7, 8 DSG neu CH in Verbindung mit Art. 1-5 DSV neu CH)
2. Der Auftragnehmer verpflichtet sich, Weisungen des Auftragnehmers Folge zu leisten, die den Inhalt haben, dass Daten aus dem Auftragsverhältnis zu löschen, zu berichtigen, deren Verarbeitung einzuschränken ist. Dies gilt nicht, wenn berechtigte Interessen des Auftragnehmers entgegenstehen.
3. Auskünfte über personenbezogene Daten darf der Auftragnehmer nicht ohne vorherige Zustimmung oder Weisung des Auftraggebers an Dritte erteilen.
4. Als Rechte des Betroffenen gemäß dieses Abschnitts kommen die folgenden in Betracht:
○ Art. 7 III, 8 DSGVO bzw. § 7 UWG und/oder § 203 StGB: Widerruflichkeit der Einwilligung
○ Art. 15 DSGVO: Recht auf Auskunft über die verarbeiteten personenbezogenen Daten
○ Art. 16 DSGVO: Recht auf Vervollständigung bzw. Berichtigung der verarbeiteten personenbezogenen Daten
○ Art. 17 DSGVO: Recht auf Löschung der verarbeiteten personenbezogenen Daten (Recht auf Vergessenwerden)
○ Art. 18 DSGVO: Verlangen auf Einschränkung der Verarbeitung personenbezogener Daten
○ Art. 20 DSGVO: Recht auf Datenübertragbarkeit
○ Art. 77 DSGVO: Recht auf Beschwerde bei einer Aufsichtsbehörde
○ § 8 UWG: Anspruch auf Beseitigung und Unterlassung
○ Art. 34 DSGVO: Recht auf Benachrichtigung bei Verletzung des Schutzes personenbezogener Daten
○ Art. 13, 14 DSGVO: Recht auf Information über die Erhebung personenbezogener Daten, die bei der betroffenen Person und nicht bei der betroffenen Person erhoben werden
○ Art. 19 DSGVO: Recht auf Mitteilung im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung
○ Art. 38 IV DSGVO: Recht auf Konsultation des Datenschutzbeauftragten
○ § 41 BDSG: Recht auf Konsultation der zuständigen Staatsanwaltschaft
○ Art. 82 DSGVO bzw. §§ 280 ff., 823 ff. BGB: Anspruch auf Schadensersatz bei Rechtsverletzung in Bezug auf personenbezogene Daten
○ Art. 22: Recht, nicht ausschließlich automatisierten Entscheidungen unterworfen zu werden, das für eine rechtliche oder in ähnlicher Weise erhebliche Beeinträchtigung sorgt
○ Art. 12: Recht auf Information über die Rechte nach Art. 13-22, 34 in transparenter Weise
5. Soweit Betroffene in den Schutzbereich des DSG neu CH fallen, kommen folgende Betroffenenrechte in Betracht:
○ Art. 25 DSG neu CH: Recht auf Auskunft
○ Art. 28 DSG neu CH: Recht auf Datenherausgabe oder -übertragung
○ Art. 32 DSG neu CH: Recht auf Berichtigung personenbezogener Daten, Löschung und Einschränkung der Verarbeitung
§ 15 Vertretung beiDatenverarbeitung/Datenbearbeitungim Ausland
1. Bei Datenverarbeitung durch einen Verantwortlichen oder Auftragsverarbeiter mit Sitz im EU-Ausland (z.B. Sitz in der Schweiz) ist nach Art. 27 i.V.m. Art. 3 (2) DSGVO eine Vertretung in der EU für DSGVO-Angelegenheiten zu benennen. Der Vertreter muss gem. Art. 27 Abs. 3 DSGVO in einem Mitgliedstaat niedergelassen sein, in denen sich die betroffenen Personen befinden, deren personenbezogene Daten im Zusammenhang mit den ihn angebotenen Waren oder Dienstleistungen verarbeitet werden oder deren Verhalten beobachtet wird.
2. Bei Datenverarbeitung durch einen Verantwortlichen mit Sitz im Schweizer Ausland (z.B. Sitz in der EU) ist gemäß Art. 14 DSG neu CH eine Vertretung für den Datenschutz in der Schweiz zu benennen und zu veröffentlichen, wenn der Auftragnehmer Waren und Dienstleistungen anbietet oder das Verhalten von Personen in der Schweiz beobachtet, die Bearbeitung umfangreich und regelmäßig stattfindet und ein hohes Risiko für die Persönlichkeit der betroffenen Personen mit sich bringt.
§ 16 Sonstiges
1. Wenn Daten des Auftraggebers oder seines Kunden beim Auftragnehmer oder Subauftragnehmer durch Beschlagnahme oder Pfändung, durch ein Insolvenz- oder Vergleichsverfahren oder sonstige Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich hierzu zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich hierzu informieren, dass die Hoheit an den Daten beim Auftraggeber vorliegt.
2. Die Vertragspartner behandeln alle im Rahmen dieses Vertragsverhältnisses erlangten Kenntnisse vertraulich, auch nach Beendigung des Vertragsverhältnisses.
3. Nebenabreden müssen in schriftlicher oder elektronisch dokumentierter Form (z.B. E-Mail) unter Bezugnahme auf diesen Vertrag getroffen werden. Dasselbe gilt für Änderungen und Ergänzungen dieses Vertrags. Diese müssen die geänderte Regelung ausdrücklich bezeichnen.
4. Der Auftragnehmer hat kein Zurückbehaltungsrecht im Hinblick auf die Daten des Auftraggebers und die zugehörigen Datenträger.
5. Sind einzelne Bestandteile dieses Vertrags unwirksam, berührt dies die Wirksamkeit des Vertrags im Übrigen nicht. Bei Vorliegen einer unwirksamen Regelung oder eine Lücke sind diese durch die Regelung zu ersetzen, die die Parteien in Kenntnis der Unwirksamkeit oder der Lücke vereinbart hätten und die der fehlerhaften Regelung möglichst nahekommt.
6. Der Gerichtsstand istKarlsruhe, wobei es Schmid und Mangold Online-Services GbR jedoch wahlweise auch gestattet ist, Klage am Sitz des Auftraggebers einzureichen.
7. Es gilt deutsches Recht.
Dieser Vertrag gilt ohne Unterschriften der Parteien als Bestandteil / Anhang der AGB des Auftragnehmers.
