Data Processing Agreement (DPA)

1. Der Auftraggeber ist als Verantwortlicher gem. Art. 4 Nr. 7 DSGVO für die Einhaltung der datenschutzrechtlichen Vorgaben verantwortlich.

2. Der Auftragnehmer verarbeitet Daten nur im Rahmen des Hauptvertrages sowie der Weisungen des Auftraggebers, es sei denn, er ist durch geltendes Recht dazu verpflichtet.

3. Der Auftraggeber kann jederzeit ergänzende Weisungen zur Datenverarbeitung erteilen.

4. Verstößt eine Weisung nach Ansicht des Auftragnehmers gegen geltendes Datenschutzrecht, weist er den Auftraggeber unverzüglich darauf hin und ist berechtigt, die Ausführung auszusetzen.

1. Der Auftragnehmer trifft technische und organisatorische Maßnahmen (TOMs) zur Sicherung der Vertraulichkeit, Integrität und Verfügbarkeit der Daten (Art. 32 DSGVO). Die Maßnahmen sind in Anhang 1 beschrieben.

2. Die TOMs dürfen dem technischen Fortschritt angepasst werden, sofern das Sicherheitsniveau nicht unterschritten wird.

3. Der Auftragnehmer stellt sicher, dass zur Verarbeitung befugte Personen auf Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 S. 2 lit. b DSGVO).

1. Betroffenenrechte sind gegenüber dem Auftraggeber wahrzunehmen. Der Auftragnehmer unterstützt den Auftraggeber hierbei und informiert ihn über eingehende Anfragen (Art. 28 Abs. 3 S. 2 lit. e DSGVO).

2. Stellt der Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten fest, informiert er den Auftraggeber unverzüglich und ergreift erforderliche Schutzmaßnahmen (Art. 33 und 34 DSGVO).

3. Der Auftragnehmer informiert den Auftraggeber über Tätigkeiten von Aufsichtsbehörden, die die verarbeiteten Daten betreffen können.

4. Der Auftragnehmer stellt dem Auftraggeber für die Erfüllung gesetzlicher Pflichten notwendige Informationen zur Verfügung (inkl. Rechenschaftspflichten gem. Art. 5 Abs. 2 DSGVO).

1. Der Auftraggeber hat das Recht, die Einhaltung dieses AV-Vertrages im erforderlichen Umfang zu kontrollieren (Art. 28 Abs. 3 lit. h DSGVO).

2. Vor-Ort-Kontrollen sind mit mindestens 14 Tagen Vorlauf anzumelden.

3. Der Auftragnehmer darf alternativ auf gleichwertige Nachweise verweisen (z. B. Zertifizierungen, Audits durch unabhängige Dritte).

1. Der Auftragnehmer darf Unterauftragsverarbeiter einsetzen und erlegt diesen dieselben Datenschutzpflichten auf (Art. 28 Abs. 2 u. 4 DSGVO).

2. Die bestehenden Unterauftragsverhältnisse sind in Anhang 2 aufgeführt und gelten als genehmigt.

3. Der Auftragnehmer informiert den Auftraggeber über Änderungen bei den Unterauftragsverarbeitern. Der Auftraggeber kann unter Beachtung von Treu und Glauben Einspruch erheben.

1. Die Datenverarbeitung findet ausschließlich innerhalb der EU/EWR statt.

2. Eine Verarbeitung in Drittländern bedarf der vorherigen Zustimmung des Auftraggebers und der Erfüllung der Voraussetzungen gem. Art. 44 ff. DSGVO.

1. Die Laufzeit richtet sich nach dem Hauptvertrag.

2. Das Recht auf außerordentliche Kündigung bleibt bei schwerwiegenden Verstößen vorbehalten.

3. Nach Vertragsende löscht oder gibt der Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers zurück (Art. 28 Abs. 3 S. 2 lit. g DSGVO), sofern keine gesetzliche Aufbewahrungspflicht besteht.

1. Die Vertragsparteien haften im Innenverhältnis jeweils für Schäden, die durch eine ihnen zurechenbare Verletzung dieses AV-Vertrages oder geltender Datenschutzvorschriften entstehen.

2. Wird eine Vertragspartei von einem Betroffenen gem. Art. 82 DSGVO in Anspruch genommen, kann sie von der anderen Partei Ausgleich verlangen, soweit diese den Schaden verursacht hat.

3. Die Vertragsparteien unterstützen sich gegenseitig bei der Abwehr unberechtigter Ansprüche.

1. Änderungen und Ergänzungen bedürfen der Schriftform.

2. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Bonn.