Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

— nachfolgend „Verantwortlicher" und „Auftragsverarbeiter" —

§ 1 Gegenstand und Dauer des Auftrags (Art. 28 Abs. 3 Satz 1 DSGVO)

(1) Gegenstand des Auftrags ist: [konkrete Leistung, z. B. Hosting der Praxissoftware, Cloud-Backup, Lohnbuchhaltung, Wartung/Fernzugriff].

(2) Die Verarbeitung erfolgt für die Dauer des zugrunde liegenden Hauptvertrags vom [Datum]. Eine Kündigung des Hauptvertrags beendet auch diesen Vertrag.

(3) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), auch hinsichtlich einer Übermittlung in Drittländer, sofern er nicht durch das Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit.

§ 2 Art, Zweck und Umfang der Verarbeitung

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

• Vertraulichkeit (lit. b): sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• Sicherheit (lit. c): alle erforderlichen Maßnahmen nach Art. 32 DSGVO zu ergreifen (siehe Anlage 1 — TOM);
• Unterauftragsverhältnisse (lit. d): die Bedingungen des § 4 einzuhalten;
• Unterstützung bei Betroffenenrechten (lit. e): den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, Anträgen betroffener Personen nach Kapitel III DSGVO nachzukommen; Anfragen betroffener Personen leitet er unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst;
• Unterstützung bei Art. 32–36 (lit. f): den Verantwortlichen bei der Einhaltung der Pflichten zu Datensicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Benachrichtigung betroffener Personen sowie Datenschutz-Folgenabschätzung und vorheriger Konsultation zu unterstützen;
• Rückgabe oder Löschung (lit. g): nach Abschluss der Erbringung sämtliche personenbezogenen Daten nach Wahl des Verantwortlichen zurückzugeben oder zu löschen und vorhandene Kopien zu vernichten, sofern keine Aufbewahrungspflicht besteht (Näheres in § 7);
• Nachweise und Kontrollen (lit. h): dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung zu stellen und Überprüfungen — einschließlich Inspektionen — zu ermöglichen und dazu beizutragen;
• Hinweispflicht: den Verantwortlichen unverzüglich zu informieren, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 4 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

(1) Der Verantwortliche erteilt hiermit eine [allgemeine / im Einzelfall zu erteilende] Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 abschließend aufgeführt.

(2) Bei beabsichtigten Änderungen (Hinzuziehung oder Ersetzung) informiert der Auftragsverarbeiter den Verantwortlichen mindestens [z. B. 30] Tage vorab in Textform. Der Verantwortliche kann innerhalb von [z. B. 14] Tagen widersprechen; bei berechtigtem Widerspruch steht ihm ein Sonderkündigungsrecht zu.

(3) Der Auftragsverarbeiter erlegt dem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind. Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten.

§ 5 Weisungen, Verschwiegenheit und Schulung

(1) Weisungen erfolgen grundsätzlich in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Weisungsberechtigt sind: [Namen / Funktionen].

(2) Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung betrauten Personen zur Vertraulichkeit. Soweit Geheimnisse im Sinne des § 203 StGB betroffen sind, erfolgt zusätzlich eine ausdrückliche Verpflichtung nach § 203 Abs. 4 StGB einschließlich Belehrung über die Strafbarkeit.

(3) Die betrauten Personen werden regelmäßig, mindestens jedoch jährlich, zum Datenschutz und zur Datensicherheit geschult. Die Schulungen werden dokumentiert.

§ 6 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO), spätestens innerhalb von [z. B. 24] Stunden. Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen.

§ 7 Beendigung: Rückgabe und Löschung

(1) Nach Beendigung des Auftrags gibt der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder löscht sie datenschutzgerecht; Gleiches gilt für Kopien und Sicherungskopien.

(2) Die Löschung ist innerhalb von [z. B. 30] Tagen abzuschließen und auf Verlangen schriftlich zu bestätigen. Abweichende Fristen für Backup-Generationen sind hier ausdrücklich anzugeben: [z. B. Löschung aus rotierenden Backups spätestens nach XX Tagen].

(3) Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, dürfen über das Vertragsende hinaus entsprechend den jeweiligen Aufbewahrungsfristen verwahrt werden.

§ 8 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO.

(2) Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Abbedingung dieses Formerfordernisses.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 2 — Unterauftragsverarbeiter