Auftragsverarbeitungsvertrag (AVV)

AUFTRAGSVERARBEITUNGSVERTRAG (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen

{{controller_name}}

Adresse Verantwortlicher

Ansprechpartner Datenschutz: Ansprechpartner Datenschutz (Verantwortlicher) (E-Mail Datenschutz (Verantwortlicher))

(nachfolgend "Verantwortlicher")

und

{{processor_name}}

Adresse Auftragsverarbeiter

Ansprechpartner Datenschutz: Ansprechpartner Datenschutz (Auftragsverarbeiter) (E-Mail Datenschutz (Auftragsverarbeiter))

(nachfolgend "Auftragsverarbeiter")

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Gegenstand der Verarbeitung ist: Zweck der Datenverarbeitung

(2) Die Dauer der Verarbeitung richtet sich nach der Laufzeit des zugrunde liegenden Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung

(1) Art der personenbezogenen Daten: Art der personenbezogenen Daten

(2) Kategorien betroffener Personen: Kategorien betroffener Personen

(3) Der Zweck der Verarbeitung ergibt sich aus dem Hauptvertrag und den Weisungen des Verantwortlichen.

§ 3 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), einschließlich der Übermittlung in Drittländer.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 4 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

§ 5 Technische und organisatorische Maßnahmen (TOM)

(1) Der Auftragsverarbeiter trifft gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu gehören insbesondere:

- Pseudonymisierung und Verschlüsselung personenbezogener Daten

- Gewährleistung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme

- Fähigkeit, die Verfügbarkeit und den Zugang bei Störungen rasch wiederherzustellen

- Regelmäßige Überprüfung und Bewertung der Wirksamkeit der Maßnahmen

(2) Die konkreten TOM sind in der Anlage 1 zu diesem Vertrag dokumentiert.

§ 6 Unterauftragsverarbeiter

(1) Der Auftragsverarbeiter darf weitere Auftragsverarbeiter (Unterauftragsverarbeiter) nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen einsetzen (Art. 28 Abs. 2 DSGVO).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung bezüglich Unterauftragsverarbeitern und räumt dem Verantwortlichen die Möglichkeit ein, Einspruch zu erheben.

(3) Der Auftragsverarbeiter stellt vertraglich sicher, dass Unterauftragsverarbeiter dieselben Datenschutzpflichten einhalten.

§ 7 Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 12-22 DSGVO) durch geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. e DSGVO).

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden, jede Verletzung des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO). Die Meldung enthält mindestens:

- Beschreibung der Art der Verletzung

- Kategorien und Anzahl der betroffenen Personen und Datensätze

- Beschreibung der wahrscheinlichen Folgen

- Beschreibung der ergriffenen Maßnahmen

§ 9 Kontrollrechte

(1) Der Verantwortliche hat das Recht, Überprüfungen durchzuführen oder durch beauftragte Prüfer durchführen zu lassen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Auftragsverarbeiter stellt alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung.

§ 10 Löschung und Rückgabe

Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter sämtliche personenbezogene Daten oder gibt sie nach Wahl des Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).

§ 11 Schlussbestimmungen

Änderungen und Ergänzungen bedürfen der Schriftform. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Ort, den Datum