Vereinbarung zur Verarbeitung von Daten im Auftrag gemäß Art. 28 DSGVO — zwischen Ihnen als Verantwortlichem und der CS nine GmbH als Auftragsverarbeiter. Der AVV wird bei Vertragsabschluss individuell ausgefertigt.
Vereinbarung zur Verarbeitung von Daten im Auftrag
zwischen
Name Verantwortlicher
[Straße]
[PLZ Ort]
Zuständiger Ansprechpartner: Vorname Nachname
– Verantwortlicher –
und
CS nine GmbH
Lindauergasse 14
1160 Wien (Österreich)
Zuständiger Ansprechpartner: Nikola Neskovic
– Auftragsverarbeiter –
Präambel
Führt ein Auftragsverarbeiter Leistungen im Auftrag seines Vertragspartners (Verantwortlicher) aus, müssen die Anforderungen der jeweils gültigen Datenschutzgesetze Berücksichtigung finden und insbesondere bei den Verarbeitungstätigkeiten ein angemessenes Datenschutzniveau garantiert sein. Die vorliegende Vereinbarung berücksichtigt die besonderen Anforderungen aus der EU-Datenschutzgrundverordnung1.
Diese Vereinbarung ersetzt die bisherige Vereinbarung vom .
Gegenstand des Auftrags
Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Erhebung, Verarbeitung und/ oder Nutzung personenbezogener Daten.
Der Gegenstand des Auftrags und damit der Zweck, die Art und der Umfang der Erhebung, Verarbeitung und/ oder Nutzung personenbezogener Daten
ergibt sich aus dem zugrundeliegenden Hauptvertrag vom
ist die Durchführung der folgenden Aufgabe(n) durch den Auftragsverarbeiter:
ist die (Fern-)Wartung von Systemen, wobei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.
Die Verarbeitung und Nutzung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und darf nur erfolgen, wenn die besonderen Voraussetzungen der einschlägigen Datenschutzgesetze erfüllt sind.
Dauer des Auftrags
Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit des Hauptvertrages.
Der Auftrag wird zur einmaligen Ausführung erteilt.
Der Auftrag wird bis zum erteilt.
Der Auftrag ist unbefristet erteilt und kann von beiden Parteien mit einer Frist von Monat(en) zum Quartalsende gekündigt werden. Die Möglichkeit zur fristlosen Kündigung bleibt hiervon unberührt.
Art der Daten
Gegenstand der Erhebung, Verarbeitung und/ oder Nutzung personenbezogener Daten sind Daten aus den folgenden Datenartenkategorien:
Der Auftragsverarbeiter hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung zu dokumentieren und dem Verantwortlichen zur Prüfung zu übergeben (Anlage 1„Technische und organisatorische Maßnahmen“). Bei Akzeptanz durch den Verantwortlichen werden die dokumentierten Maßnahmen Grundlage des Auftrags. Soweit die Prüfung / ein Audit des Verantwortlichen einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen. Die technischen und organisatorischen Maßnahmen sollen die Vertraulichkeit, Integrität und Verfügbarkeit der Daten sowie die Systembelastbarkeit im Zuge der Datenverarbeitung sicherstellen. Aus den angegebenen Maßnahmen muss ein angemessenes Sicherheitsniveau ableitbar sein. Der Auftragsverarbeiter hat den Verantwortlichen bei der Ergreifung technischer und organisatorischer Maßnahmen bestmöglich zu unterstützen.
Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.
Berichtigung, Sperrung, Einschränkung und Löschung von Daten
Der Auftragsverarbeiter hat nur nach Weisung des Verantwortlichen die Daten, die im Auftrag verarbeitet werden, zu berichtigen, zu löschen, einzuschränken oder zu sperren. Soweit ein Betroffener sich unmittelbar an den Auftragsverarbeiter zwecks Auskunft, Berichtigung oder Löschung seiner Daten wenden sollte, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.
Kontrollen und sonstige Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags folgende Pflichten:
Schriftliche Benennung – soweit gesetzlich vorgeschrieben – eines Datenschutzbeauftragten. Dessen Kontaktdaten werden dem Verantwortlichen zum Zweck der direkten Kontaktaufnahme mitgeteilt.
Die Wahrung der Vertraulichkeit. Der Auftragsverarbeiter setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Dies umfasst auch die besonderen Bestimmungen zum Fernmeldegeheimnis nach § 3 TDDDG (Deutschland) bzw. § 93 TKG 2021 (Österreich), Sozialgeheimnis nach § 35 SGB I (Deutschland) bzw. § 1 DSG iVm § 17 Abs. 3 B-KUVG (Österreich) und anderen einschlägigen Bestimmungen und anderer Berufsgeheimnisse nach § 203 StGB (Deutschland) bzw. § 121 StGB (Österreich), sofern sie im Rahmen dieser Auftragsverarbeitung relevant sind. Die Pflicht zur Vertraulichkeit besteht auch nach Beendigung des Vertrages fort.
Der Auftragsverarbeiter hat den Verantwortlichen bei seiner Pflicht zur Wahrung der Betroffenenrechte zu unterstützen. Dies ist durch geeignete organisatorische Maßnahmen zu gewährleisten.
Der Auftragsverarbeiter hat unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten zu unterstützen.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde. Dies gilt auch, soweit eine zuständige Behörde beim Auftragsverarbeiter ermittelt.
Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Verantwortlichen. Hierzu kann der Auftragsverarbeiter auch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) oder eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z. B. nach BSI-Grundschutz) oder andere hinreichende Garantien vorlegen.
Unterauftragsverhältnisse
Soweit bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten des Verantwortlichen Unterauftragsverarbeiter für die vorliegende Verarbeitung von Daten im Auftrag einbezogen werden sollen, wird dies genehmigt, wenn folgende Voraussetzungen vorliegen:
Der Auftragsverarbeiter hat den Verantwortlichen bei jeder Hinzuziehung oder Änderung von Unterauftragsverhältnissen mindestens 30 Kalendertage vorher in Textform zu informieren. Der Verantwortliche kann 14 Kalendertage nach Zugang der Information widersprechen. Der Widerspruch ist zu begründen, insbesondere darzulegen, welche datenschutzrechtlichen oder vertraglichen Anforderungen nicht erfüllt sind. Im Falle eines begründeten Widerspruchs werden die Parteien gemeinsam eine Lösung suchen; bis dahin darf der Auftragsverarbeiter den Unterauftragsverarbeiter nicht einsetzen.
Der Auftragsverarbeiter hat die vertraglichen Vereinbarungen mit dem/ den Unterauftragsverarbeiter(n) so zu gestalten, dass insbesondere die Bestimmungen aus Artikel 28 Absätze 2 und 4 DSGVO eingehalten werden.
Bei der Unterbeauftragung ist dem Verantwortlichen das Recht einzuräumen, vom Auftragsverarbeiter auf schriftliche Anforderung Auskunft über den wesentlichen Vertragsinhalt und die Umsetzung der datenschutzrelevanten Verpflichtungen im Unterauftragsverhältnis, erforderlichenfalls durch Einsicht in die relevanten Vertragsunterlagen, zu erhalten.
Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragsverarbeiter bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z. B. Telekommunikationsleistungen, Wartung und Benutzerservice, Reinigungskräfte, Prüfer etc. Der Auftragsverarbeiter ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Verantwortlichen auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.
Der Auftragsverarbeiter setzt die in Anlage 2 „Unterauftragsverarbeiter“ genannten Unterauftragsverarbeiter ein.
Kontrollrechte des Verantwortlichen
Der Verantwortliche hat das Recht, eine Auftragskontrolle mit dem Auftragsverarbeiter durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden und innerhalb der üblichen Geschäftszeiten durchzuführen sind, von der Einhaltung dieser Vereinbarung durch den Auftragsverarbeiter und dessen Pflichten nach Art. 28 DSGVO in dessen Geschäftsbetrieb zu überzeugen. Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen auf Anforderung die zur Wahrung seiner Pflichten nach Art. 28 DSGVO erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen.
Im Hinblick auf die Kontrollverpflichtungen des Verantwortlichen vor Beginn der Datenverarbeitung und während der Laufzeit des Auftrags stellt der Auftragsverarbeiter sicher, dass sich der Verantwortliche von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen überzeugen kann. Hierzu weist der Auftragsverarbeiter dem Verantwortlichen auf Anfrage die Umsetzung der technischen und organisatorischen Maßnahmen nach. Dabei kann der Nachweis der Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, auch durch Vorlage eines aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z. B. nach BSI-Grundschutz) oder durch andere hinreichende Garantien erbracht werden.
Mitteilung bei Verstößen des Auftragsverarbeiters
Der Auftragsverarbeiter erstattet in allen Fällen dem Verantwortlichen unverzüglich eine Meldung, wenn durch ihn oder die bei ihm beschäftigten Personen Verstöße gegen Vorschriften zum Schutz personenbezogener Daten des Verantwortlichen oder gegen die im Auftrag getroffenen Festlegungen vorgefallen sind.
Es ist dem Auftragsverarbeiter bekannt, dass Informationspflichten im Falle des Abhandenkommens oder der unrechtmäßigen Übermittlung oder Kenntniserlangung von personenbezogenen Daten bestehen können. Deshalb sind solche Vorfälle ohne Ansehen der Verursachung unverzüglich dem Verantwortlichen mitzuteilen. Dies gilt auch bei schwerwiegenden Störungen des Betriebsablaufs, bei Verdacht auf sonstige Verletzungen gegen Vorschriften zum Schutz personenbezogener Daten oder anderen Unregelmäßigkeiten beim Umgang mit personenbezogenen Daten des Verantwortlichen. Der Auftragsverarbeiter hat im Benehmen mit dem Verantwortlichen angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen.
Soweit den Verantwortlichen Melde- und/oder Benachrichtigungspflichten treffen, hat der Auftragsverarbeiter ihn hierbei zu unterstützen. Dies gilt sowohl für die Meldung einer etwaigen Pflichtverletzung gegenüber der Aufsichtsbehörde als auch für die Benachrichtigung der von der Verletzung des Schutzes personenbezogenen Daten betroffenen Personen.
Weisungsbefugnis des Verantwortlichen
Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Verantwortlichen, sofern der Auftragsverarbeiter nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten verpflichtet ist (z.B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, das er durch Einzelweisungen konkretisieren kann. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren. Auskünfte an Dritte oder den Betroffenen darf der Auftragsverarbeiter nur nach vorheriger schriftlicher Zustimmung durch den Verantwortlichen erteilen.
Mündliche Weisungen wird der Verantwortliche unverzüglich schriftlich oder per E-Mail (in Textform) bestätigen. Der Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch eine beim Verantwortlichen befugte Person bestätigt oder geändert wird.
Löschung von Daten und Rückgabe von Datenträgern
Nach Abschluss der vertraglichen Arbeiten oder früher nach Aufforderung durch den Verantwortlichen – spätestens mit Beendigung der Leistungsvereinbarung – hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verantwortlichen auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragsverarbeiter entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Verantwortlichen übergeben.
Haftung
Für Schäden des Verantwortlichen durch schuldhafte Verstöße des Auftragsverarbeiters oder etwaiger Unterauftragsverarbeiter gegen diesen Vertrag sowie gegen die ihn treffenden gesetzlichen Datenschutzbestimmungen gelten die gesetzlichen Haftungsregelungen. Etwaige Haftungsbegrenzungen zwischen den Parteien (z.B. aus dem Hauptvertrag) finden auf diese Vereinbarung keine Anwendung.
Kostenregelung
Dem Auftragsverarbeiter wird das Recht eingeräumt, etwaige Aufwände, die seinerseits durch diese Vereinbarung entstehen, dem Verantwortlichen in Rechnung zu stellen. Diese Regelung bezieht sich auf Aufwände im Zusammenhang mit
der Unterstützung des Verantwortlichen bei seinen Pflichten aus den Artikeln 32 bis 36 DSGVO,
der Kontrolle im Geschäftsbetrieb des Auftragsverarbeiters gemäß §9 Abs. (1) und
der Löschung von Daten gemäß §12.
Arbeiten auf Seiten des Auftragsverarbeiters werden mit 50 Euro/Stunde (zzgl. Umsatzsteuer) angesetzt. Etwaige Fremdkosten werden nach Nachweis berechnet.
Zurückbehaltungsrecht
Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragsverarbeiter i.S.d. § 273 BGB (Deutschland) bzw. § 471 ABGB (Österreich) hinsichtlich der verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen wird.
Sollten die Daten des Verantwortlichen beim Auftragsverarbeiter durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragsverarbeiter den Verantwortlichen unverzüglich darüber zu informieren.
Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile – einschließlich etwaiger Zusicherungen des Auftragsverarbeiters – bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
Es gilt das Recht desjenigen Vertragsstaates, in dem der Verantwortliche seinen Sitz hat, unter Berücksichtigung des zwingend anzuwendenden Rechts der Europäischen Union und zwingender Vorschriften des jeweils anderen Vertragsstaates.
Sollten einzelne Teile dieses Vertrags unwirksam sein, so berührt dies die Wirksamkeit der übrigen Regelungen des Vertrages nicht.
Ort, Datum Vorname, Name (Druckbuchstaben) Unterschrift Auftragsverarbeiter
Anlage 1: Vereinbarung zur Verarbeitung von Daten im Auftrag
Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter hat die folgenden technischen und organisatorischen Maßnahmen umgesetzt:
Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
Zutrittskontrolle/Gebäudeabsicherung
Die Büroräumlichkeiten sind durch ein manuelles Schließsystem mit Sicherheitsschlössern ausgestattet. Die Eingangstür verfügt von außen nur über einen Knauf und kann nur mit Schlüssel geöffnet werden.
Besucher müssen klingeln, wobei die Klingelanlage über ein Kamerasystem verfügt. Besucher werden permanent von einem Mitarbeiter begleitet.
Zugangskontrolle/Absicherung Systemzugang
Die Benutzeranmeldung erfolgt über Benutzername und Passwort. Eine automatische Bildschirmsperre ist aktiv.
Das Unternehmensnetzwerk ist über eine Firewall mit dem Internet verbunden. Zugriff von außen kann über ein verschlüsseltes VPN erfolgen.
Server und Clients sind durch Antiviren-Software geschützt. Datenträger und Smartphones sind verschlüsselt.
Zugriffskontrolle/Sicherstellung von Zugriffsberechtigungen
Benutzerrechte werden nach einem Berechtigungskonzept vergeben. Nur wenige Administratoren können Rechte verwalten und ändern.
Papierunterlagen werden hausintern geschreddert.
Trennungskontrolle/Maßnahmen zur Zwecktrennung von Daten
Produktiv- und Testsysteme sind getrennt. Innerhalb der Datenbanken gibt es eine softwareseitige Mandantentrennung.
Es gibt eine interne Arbeitsanweisung, personenbezogene Daten bei Weitergabe oder auch nach Ablauf gesetzlicher Löschfristen möglichst zu anonymisieren bzw. pseudonymisieren.
Integrität (Art. 32 Abs. 1 lit. b DSGVO)
Weitergabekontrolle/Sicherheit beim Datentransfer
Zur Datenübermittlung werden verschlüsselte Verbindungen (https, sftp) verwendet. Weiterhin erfolgt eine Datenübermittlung über verschlüsselte VPN-Verbindungen.
Nach Möglichkeit werden Daten vor Weitergabe anonymisiert bzw. pseudonymisiert.
Eingabekontrolle
Es gibt eine Übersicht von Programmen, mit denen Daten angelegt, geändert bzw. gelöscht werden können.
Innerhalb der Software ContentShare erfolgt eine Protokollierung von Datenverarbeitungen.
Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)
Verfügbarkeitskontrolle/Schutz von Daten vor zufälliger Zerstörung und Verlust
Es gibt Feuer- und Rauchmeldeanlagen. Im Serverraum steht ein Feuerlöscher zur Verfügung. Zusätzlich werden Temperatur und Feuchtigkeit überwacht. Es gibt keine sanitären Anlagen im oder oberhalb des Serverraums.
Der Serverraum ist klimatisiert. Eine unterbrechungsfreie Stromversorgung (USV) und Schutzsteckdosenleisten sind im Serverraum verbaut.
Die Server verfügen über RAID-Systeme, mit denen die Festplatten gespiegelt werden. Weiterhin werden Datensicherungen täglich erstellt und kontrolliert.
Der Zugang zum Serverraum ist videoüberwacht. Es gibt Alarmmeldungen bei unberechtigtem Zutritt.
Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)
Es werden täglich Datensicherungen angelegt und kontrolliert.
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)
Datenschutz-Management
Es ist ein externer Datenschutzbeauftragter benannt. Weiterhin wird ein Datenschutz-Management-System gepflegt. Es erfolgen regelmäßige Kontrollen der umgesetzten Schutzmaßnahmen.
Incident-Response-Management
Zur Vermeidung von Zugriffen wird eine Firewall, ein Spamfilter sowie Antivirensoftware eingesetzt und regelmäßig aktualisiert.
Interner Ansprechpartner für Incidents ist der Geschäftsführer, Herr Neskovic. Dieser kümmert sich persönlich um die Behandlung von Sicherheitsvorfällen.
Es werden nicht mehr personenbezogene Daten erhoben als für den jeweiligen Zweck notwendig. Die Ausübung des Widerrufsrechts von Betroffenen wird durch technische Maßnahmen erleichtert.
Auftragskontrolle/Einbindung von Unter-Auftragsverarbeiter
Auftragsverarbeiter werden vor Einsatz hinsichtlich der von Ihnen umgesetzten technischen und organisatorischen Maßnahmen sorgfältig ausgewählt. Wenn notwendig, werden Vereinbarungen zur Auftragsverarbeitung oder Geheimhaltungsvereinbarungen abgeschlossen.
Weisungen an Auftragsverarbeiter erfolgen in dokumentierter Form. Auftragsverarbeiter setzen lediglich Beschäftigte ein, die auf Vertraulichkeit/Datengeheimnis verpflichtet und zu Datenschutzthemen geschult worden sind. Kontrollrechte und Einsatz von Unterauftragsverarbeitern sind vertraglich geregelt.
Auftragsverarbeiter werden während der Zusammenarbeit laufend überprüft. Bei Vertragsende wird das Löschen von Auftragsdaten sichergestellt.
Anlage 2: Vereinbarung zur Verarbeitung von Daten im Auftrag
Unterauftragsverarbeiter
Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter zur Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Sinne dieser Vereinbarung ein: