Auftragsverarbeitungsvertrag (AVV): Vorlage

Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien: Verantwortlicher · Auftragsverarbeiter

§ 1 Gegenstand und Verhältnis zum Hauptvertrag

(1) Dieser Vertrag regelt, wie der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Er wird dem folgenden Vertrag zwischen den Parteien (Hauptvertrag) hinzugefügt und gilt für die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter bei der Erbringung der Leistungen aus dem Hauptvertrag für den Verantwortlichen vornimmt. Hauptvertrag: [[Bezeichnung und Datum des Hauptvertrags]]

(2) Widersprechen sich dieser Vertrag und der Hauptvertrag in Bezug auf personenbezogene Daten, geht dieser Vertrag vor. Im Übrigen gilt der Hauptvertrag unverändert.

§ 2 Begriffe

(1) Personenbezogene Daten sind Informationen über eine identifizierte oder identifizierbare Person. Verarbeitung ist jeder Vorgang im Zusammenhang mit personenbezogenen Daten, etwa Erheben, Speichern, Nutzen, Übermitteln oder Löschen. Verantwortlicher ist die Partei, die über Zwecke und Mittel der Verarbeitung entscheidet; Auftragsverarbeiter ist die Partei, die die Daten in dessen Auftrag verarbeitet. Betroffene Personen sind die Personen, auf die sich die Daten beziehen.

(2) Ein Unterauftragsverarbeiter ist ein Dritter, den der Auftragsverarbeiter mit einem Teil der Verarbeitung betraut. Eine Datenschutzverletzung ist ein Sicherheitsvorfall, der zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust oder zur Veränderung der personenbezogenen Daten oder zu deren Offenlegung oder zum unbefugten Zugang zu ihnen führt. Weitere Begriffe, die dieser Vertrag verwendet und die das für den Verantwortlichen geltende Recht definiert, haben die Bedeutung, die dieses Recht ihnen gibt.

§ 3 Gegenstand der Verarbeitung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur zu folgendem Zweck und in folgender Weise:

(1) Gegenstand und Zweck: [[Wofür die Verarbeitung dient, z. B. Hosting der Kundendatenbank des Verantwortlichen]]

(2) Art der Verarbeitung: [[z. B. Speicherung, Datensicherung, Zugriff für Support]]

(3) Arten personenbezogener Daten: [[z. B. Namen, E-Mail-Adressen, Bestellhistorie]]

(4) Kategorien betroffener Personen: [[z. B. Kunden, Beschäftigte]]

(5) Dauer: solange der Hauptvertrag läuft, danach nach der Regelung zu Rückgabe und Löschung.

(6) Enthalten die Daten Informationen, die das Recht als besonders sensibel behandelt, hat der Verantwortliche dies dem Auftragsverarbeiter mitgeteilt: [[keine / Arten sensibler Daten]]

§ 4 Weisungen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Dokumentierte Weisungen sind dieser Vertrag, der Hauptvertrag und spätere Weisungen des Verantwortlichen in Textform im Rahmen der Leistungen. Zu eigenen Zwecken verarbeitet der Auftragsverarbeiter die Daten nicht.

(2) Hält der Auftragsverarbeiter eine Weisung nach dem anwendbaren Recht für rechtswidrig, teilt er das dem Verantwortlichen unverzüglich mit und darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert. Verpflichtet das Recht den Auftragsverarbeiter, die Daten anders zu verarbeiten, teilt er das dem Verantwortlichen vorher mit, sofern das Recht dies nicht verbietet.

§ 5 Vertraulichkeit des Personals

Der Auftragsverarbeiter gestattet nur Personen den Zugriff auf die personenbezogenen Daten, die sie für die Leistungen brauchen, und stellt sicher, dass sie vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet sind. Diese Pflicht besteht auch nach Ende ihrer Tätigkeit für den Auftragsverarbeiter fort.

§ 6 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft unter Berücksichtigung der Risiken, des Stands der Technik und der Kosten geeignete technische und organisatorische Maßnahmen, um die personenbezogenen Daten vor unbeabsichtigter oder unrechtmäßiger Vernichtung, Verlust, Veränderung, Offenlegung und unbefugtem Zugang zu schützen. Die Maßnahmen umfassen mindestens: [[Beschreibung der Maßnahmen, z. B. Zugriffskontrolle, Verschlüsselung, Datensicherung, Protokollierung, Schulung der Beschäftigten oder Verweis auf eine beigefügte Sicherheitsbeschreibung]]

(2) Der Auftragsverarbeiter überprüft die Maßnahmen regelmäßig und darf sie ändern, sofern das Schutzniveau nicht sinkt. Er hält die Daten des Verantwortlichen, soweit die Leistungen es erlauben, von den Daten anderer Kunden getrennt.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Zum angegebenen Beginn sind dies: [[Namen, Standorte und Aufgaben der Unterauftragsverarbeiter oder keine]]

(2) Der Auftragsverarbeiter teilt dem Verantwortlichen mindestens [[30]] Tage, bevor er einen Unterauftragsverarbeiter hinzuzieht oder ersetzt, in Textform mit. Der Verantwortliche kann innerhalb dieser Frist aus datenschutzrechtlich triftigen Gründen widersprechen; die Parteien suchen dann nach Treu und Glauben eine Lösung, und wird keine gefunden, kann der Verantwortliche die betroffenen Leistungen beenden.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die nicht weniger schützen als dieser Vertrag, und haftet gegenüber dem Verantwortlichen für dessen Handeln.

§ 8 Rechte betroffener Personen und weitere Unterstützung

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, Anträge von Personen zu beantworten, die ihre gesetzlichen Rechte in Bezug auf ihre Daten ausüben, etwa auf Auskunft, Berichtigung oder Löschung. Erhält der Auftragsverarbeiter einen solchen Antrag unmittelbar, leitet er ihn unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, sofern der Verantwortliche dies nicht anweist.

(2) Der Auftragsverarbeiter gibt dem Verantwortlichen außerdem die Informationen und Hilfe, die dieser für seine eigenen Pflichten nach dem anwendbaren Recht billigerweise braucht, etwa zu Sicherheit, Meldung von Verletzungen, Risikoabschätzung für die betroffenen Personen und Konsultation einer Behörde. Für Hilfe, die über das für die Leistungen Angemessene hinausgeht, darf der Auftragsverarbeiter eine Vergütung zu den Sätzen des Hauptvertrags oder zu vorab vereinbarten Sätzen verlangen: [[inbegriffen / zu den Sätzen des Hauptvertrags berechnet]]

§ 9 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter teilt dem Verantwortlichen eine Datenschutzverletzung, die dessen personenbezogene Daten betrifft, unverzüglich und in jedem Fall innerhalb von [[48]] Stunden mit, nachdem sie ihm bekannt geworden ist. Die Mitteilung nennt, soweit bekannt, was geschehen ist, die Arten und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und was der Auftragsverarbeiter getan hat und tun wird. Ist noch nicht alles bekannt, liefert er den Rest in Etappen nach.

(2) Der Auftragsverarbeiter ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und Schaden zu begrenzen, und unterstützt den Verantwortlichen bei jeder Meldung, die das Recht verlangt. Ob und wie Behörden und betroffene Personen benachrichtigt werden, entscheidet der Verantwortliche, soweit das Recht nichts anderes verlangt.

§ 10 Übermittlung in andere Länder

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur an folgenden Orten: [[Länder oder Regionen, in denen die Daten gespeichert werden und auf die zugegriffen wird]]

(2) Er übermittelt die Daten in ein anderes Land oder gestattet von dort den Zugriff nur auf Weisung oder mit Genehmigung des Verantwortlichen und nur, wenn das für den Verantwortlichen geltende Recht es zulässt. Verlangt dieses Recht für eine solche Übermittlung Garantien, schaffen die Parteien sie und halten sie vor der Übermittlung in Textform fest.

§ 11 Nachweise und Überprüfungen

(1) Der Auftragsverarbeiter gibt dem Verantwortlichen die Informationen, die dieser billigerweise braucht, um die Einhaltung dieses Vertrags zu prüfen, etwa Antworten auf schriftliche Fragen oder einschlägige Sicherheitsberichte oder Zertifikate, die er besitzt.

(2) Reicht das nicht aus, darf der Verantwortliche oder ein von ihm beauftragter, zur Vertraulichkeit verpflichteter Prüfer eine Überprüfung durchführen, höchstens einmal in [[12]] Monaten, außer wenn eine Verletzung eingetreten ist oder das Recht mehr verlangt, nach mindestens [[30]] Tagen Ankündigung, während der Geschäftszeiten und ohne den Auftragsverarbeiter unangemessen zu stören oder Daten anderer Kunden zu gefährden. Jede Partei trägt ihre eigenen Kosten der Überprüfung; ergibt sie eine erhebliche Verletzung durch den Auftragsverarbeiter, trägt dieser auch die angemessenen Kosten der Überprüfung.

§ 12 Rückgabe und Löschung

Nach Ende der Leistungen oder auf frühere Aufforderung des Verantwortlichen in Textform gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen innerhalb von [[30]] Tagen alle personenbezogenen Daten in einem gängigen Format zurück oder löscht sie und löscht vorhandene Kopien, auch die seiner Unterauftragsverarbeiter, es sei denn, das anwendbare Recht verlangt, dass er einen Teil der Daten aufbewahrt. Daten, die aufbewahrt werden müssen, bleiben nach diesem Vertrag geschützt und werden nur für den vom Recht verlangten Zweck genutzt. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 13 Anwendbares Datenschutzrecht

(1) Das Datenschutzrecht ist von Land zu Land verschieden. Jede Partei hält das Datenschutzrecht ein, das im Zusammenhang mit den Leistungen für sie gilt. Das für die Verarbeitung des Verantwortlichen geltende Recht ist: [[Anwendbares Datenschutzrecht, z. B. das Recht des Staates des Verantwortlichen]]

(2) Jede Partei ist selbst dafür verantwortlich zu prüfen, was das für sie geltende Datenschutzrecht von einem solchen Vertrag verlangt. Verlangt dieses Recht Bestimmungen, die dieser Vertrag nicht enthält, oder abweichende Bestimmungen, ergänzen oder ändern die Parteien ihn in Textform, und dieser Vertrag gilt dann zusammen mit ihnen. Nichts in diesem Vertrag soll weniger Schutz gewähren, als dieses Recht verlangt.

§ 14 Haftung, Laufzeit und Änderungen

(1) Die Haftung jeder Partei aus diesem Vertrag richtet sich nach der Haftungsregelung des Hauptvertrags. Dies schränkt keine Haftung ein, die das Recht nicht beschränken lässt, und berührt nicht die Rechte, die betroffenen Personen nach dem anwendbaren Recht zustehen.

(2) Dieser Vertrag gilt, solange der Auftragsverarbeiter nach dem Hauptvertrag personenbezogene Daten für den Verantwortlichen verarbeitet; seine Pflichten bestehen fort, solange der Auftragsverarbeiter personenbezogene Daten hält. Änderungen dieses Vertrags bedürfen der Textform.

§ 15 Anwendbares Recht und Streitigkeiten

Für diesen Vertrag gilt das unter „Anwendbares Recht“ genannte Recht. Die Parteien bemühen sich zunächst, Streitigkeiten einvernehmlich beizulegen. Gerichtsstand ist der unter „Gerichtsstand“ genannte Ort, soweit zwingendes Recht nichts anderes bestimmt.

Anwendbares Recht

[[Anwendbares Recht, z. B. Recht der Bundesrepublik Deutschland]]

Gerichtsstand

[[Gerichtsstand, z. B. Sitz des Auftragnehmers]]