Vertrag zur Auftragsverarbeitung
nach Art. 28 Datenschutz-Grundverordnung (DS-GVO)
nach Art. 28 Datenschutz-Grundverordnung (DS-GVO)
gemäß Art. 28 DSGVO
(EU-Datenschutzgrundverordnung)
Zwischen der
Neue Landbuch Gesellschaft m. b. H.
Gesellschaft für moderne Datenverarbeitung & Co. KG
Heinrich-Schröder-Weg 1
27283 Verden (Aller)
– Auftragsverarbeiter – Im Folgenden „nlb“ genannt –
und dem/der
………………………………….
………………………………….
………………………………….
– Verantwortlicher – Im Folgenden „Kunde“ genannt –
Präambel
Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der im Auftrag in ihren Einzelheiten beschriebenen Auftragsverarbeitung ergeben. Sie findet Anwendung auf alle Tätigkeiten, die mit dem Auftrag in Zusammenhang stehen und bei denen Mitarbeiter der nlb oder durch die nlb beauftragte Dritte mit personenbezogenen Daten des Kunden oder Dritter in Berührung kommen können.
1. Begriffsbestimmungen
Nachfolgend gelten, soweit nicht ausdrücklich anders angegeben, die Begriffsbestimmungen des Art. 4 Nr. 1 DSGVO, und zwar insbesondere folgende:
Personenbezogene Daten sind alle Informationen, die direkt oder indirekt zur Identifikation einer natürlichen Person (=betroffene Person) geeignet sind.
Verarbeitung ist jeder Vorgang in Zusammenhang mit Erhebung, Speicherung, Anpassung, Änderung, Ordnen, Abfragen, Verwendung, Verknüpfung, Auslesen, Übermittlung, Verbreitung. Bereitstellung, Abgleich, Einschränkung, Löschung oder Vernichtung.
Auftragsverarbeiter ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Kunden verarbeitet.
Verantwortlicher ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Weisung oder Anweisung ist die auf einen bestimmten Umgang des Auftragsverarbeiters mit personenbezogenen Daten gerichtete (schriftliche) Anordnung des Kunden. Die Weisungen werden zunächst durch den Auftrag festgelegt und können vom Kunden danach (in schriftlicher Form) durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung).
Anonymisierung ist das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.
2. Gegenstand und Dauer der Verarbeitung
Die nlb verarbeitet personenbezogene Daten im Auftrag des Kunden nach Art. 28 DSGVO. Die Verarbeitung umfasst auch besondere Kategorien von personenbezogenen Daten.
Gegenstand des Auftrags sind nachfolgende Tätigkeiten:
Die Beauftragung kann auch durch schlüssiges Handeln erfolgen, insbesondere durch Übersenden oder Bereitstellen von Daten mit eindeutigem Zweck, z. B. mit Abrufen für bestimmte Auswertungen.
Die Dauer der Verarbeitung ist unbefristet, soweit nicht bei der einzelnen Beauftragung anders vereinbart. Enden die Geschäftsbeziehungen zwischen dem Kunden und der nlb, so endet auch dieser Vertrag. Dieser Vertrag ist nicht selbständig kündbar. Bestehen die Geschäftsbeziehungen zwischen dem Kunden und der nlb fort, besteht auch dieser Vertrag weiter fort.
3. Art und Zweck der Verarbeitung, Art der Daten, Kategorien der betroffenen Personen
Die Art der Verarbeitung umfasst alle nach Art. 4 Nr. 2 DSGVO beschriebenen Tätigkeiten. Die Verarbeitung erfolgt ausschließlich im Rahmen des Auftrags und der Weisung des Kunden.
Der Zweck der Verarbeitung ist die Unterstützung der Aufgaben der Buchführung und in der Verwendung der nlb Software, sowie die Erbringung der vertraglich vereinbarten Leistung.
Die Verarbeitung durch die nlb erfolgt ausschließlich in einem Mitgliedsland der Europäischen Union.
Die Inhalte dieses Vertrages gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.
Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten:
Kategorien der durch die Verarbeitung betroffenen Personen:
4. Technische und organisatorische Maßnahmen
Die nlb hat geeignete technische und organisatorische Maßnahmen getroffen, um ein dem Risiko angemessenes Schutzniveau der im Auftrag verarbeiteten Daten zu gewährleisten gemäß Art. 32 Abs. 1 DSGVO. Die Wirksamkeit dieser Maßnahmen wird durch ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung sichergestellt (Art. 32 Abs. 1 lit. d DSGVO). Die nlb stellt durch datenschutzfreundliche Voreinstellungen sicher, dass der Grundsatz der Datenminimierung eingehalten wird (Art. 25 DSGVO).
Die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO) der Datenverarbeitungssysteme, sowie die rasche Wiederherstellbarkeit der Daten (Art. 32 Abs. 1 lit. c DSGVO) bei einem technischen Zwischenfall wird sichergestellt durch:
Zutrittskontrolle: Durch ein Schließsystem ist sichergestellt, dass Betriebsfremde während der Geschäftszeiten nur in Begleitung eines Mitarbeiters Zutritt zum Betriebsgebäude erlangen können. Außerhalb der Geschäftszeiten sind alle Gebäudeteile durch eine Einbruchmeldeanlage mit Bewegungsmeldern gegen gewaltsames oder unerlaubtes Eindringen gesichert; das Betriebsgelände ist umzäunt und die Zugänge werden permanent videoüberwacht.
Zugangskontrolle: Der Zugang zu den genutzten Datenverarbeitungssystemen ist mit Benutzernamen und sicheren Passwörtern geschützt.
Zugriffskontrolle: Durch ein mehrstufiges Berechtigungssystem und bedarfsgerechte Zugriffsrechte wird unbefugtes Lesen, Kopieren, Verändern oder Entfernen von Daten innerhalb des Systems verhindert.
Trennungskontrolle: Zu unterschiedlichen Zwecken erhobene Daten, werden getrennt voneinander verarbeitet.
Pseudonymisierung: Die Verarbeitung von personenbezogenen Daten erfolgt pseudonymisiert, sofern der Zweck der Verarbeitung dem nicht entgegensteht.
Weitergabekontrolle: Unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport per Post wird durch geeignete technische und organisatorische Maßnahmen verhindert. Durch das spezifische Datenformat und die Verschlüsselung ist sichergestellt, dass kein unberechtigter Zugriff oder Einsicht durch Dritte möglich sind.
Eingabekontrolle: Soweit das Eingeben, Ändern und Entfernen bestehender Daten möglich ist, wird dieses dergestalt protokolliert, dass hernach festgestellt werden kann, ob und durch wen die Änderungen erfolgt sind.
Verfügbarkeitskontrolle und rasche Wiederherstellbarkeit: Durch ein mehrstufiges Datensicherungssystem wird sichergestellt, dass personenbezogene Daten gegen Beschädigung, zufällige Zerstörung und Verlust geschützt sind.
Auftragskontrolle: Durch normierte und inhaltliche definierte Abrufnummern wird sichergestellt, dass die Verarbeitung nach den Weisungen des Auftraggebers erfolgt. Die nlb stellt sicher, dass die Verarbeitung personenbezogener Daten ausschließlich im Rahmen des Auftrags und der Weisungen erfolgt und dass alle dabei beteiligten Mitarbeiter der Pflicht zur Vertraulichkeit und Verschwiegenheit unterliegen und durch den Datenschutzbeauftragten der nlb darauf schriftlich nach Art. 39 DSGVO und § 203 Abs. 4 StGB verpflichtet wurden. Diese Pflicht besteht auch nach Beendigung des Auftrags fort.
Es wurde gem. Art. 37 DSGVO ein betrieblicher Datenschutzbeauftragter bestellt, der seine Tätigkeit gem. Art. 38 und 39 DSGVO ausübt. Die jeweils aktuellen Kontaktdaten des Datenschutzbeauftragten sind auf der Internetseite des Auftragnehmers leicht zugänglich hinterlegt. Ein Wechsel des Datenschutzbeauftragten wird dem Kunden unverzüglich mitgeteilt.
5. Auskunft, Berichtigung, Löschung, Herausgabe und Einschränkung von Daten
Die nlb darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach Weisung des Kunden, berichtigen, löschen oder deren Verarbeitung einschränken.
Der Kunde kann von der nlb während der Laufzeit des Vertrages und nach seiner Beendigung die Einschränkung der Verarbeitung, sowie die Auskunft, Berichtigung, Löschung und Herausgabe von Daten verlangen gem. Art. 15 – 18 und Art. 20 DSGVO.
6. Unterstützung des Verantwortlichen (Kunden) bei Wahrung der Rechte der betroffenen Person und Sicherheit personenbezogener Daten
Die nlb unterstützt den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person nachzukommen.
Unter Berücksichtigung der Art der Verarbeitung und der nlb zur Verfügung stehenden Informationen unterstützt die nlb den Kunden bei der Einhaltung der in den Art. 32 – 36 DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten.
7. Weitere Pflichten der nlb
Die nlb ist verpflichtet, bei betrieblichen Störungen, die die Verarbeitung personenbezogener Daten beeinflussen, sowie bei schwerwiegenden Verstößen gegen die hier aufgeführten Bestimmungen den Kunden unverzüglich zu informieren.
Sämtliche überlassene Datenträger sowie sämtliche hiervon gefertigten Kopien oder Reproduktionen verbleiben im Eigentum des Kunden. Die nlb hat diese sorgfältig zu verwahren, so dass sie Dritten nicht zugänglich sind. Die nlb ist gegenüber dem Kunden verpflichtet Auskünfte zu erteilen, soweit seine Daten und Unterlagen betroffen sind. Die datenschutzkonforme Vernichtung von Test- oder Ausschussmaterial übernimmt die nlb auf Grund einer Einzelweisung durch den Kunden.
Die nlb informiert den Kunden unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit diese Daten des Kunden betreffen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.
Soweit der Kunde seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung ausgesetzt ist, hat ihn die nlb nach besten Kräften zu unterstützen.
Die nlb überprüft regelmäßig die internen Prozesse und Maßnahmen, um die Anforderungen des geltenden Datenschutzrechts zu erfüllen und passt diese ggf. an gesetzliche Veränderungen an.
8. Berechtigung zur Begründung von Unterauftragsverhältnissen
Die Weitergabe der vom Kunden überlassenen Daten seitens der nlb an einen Subunternehmer ist nur mit Zustimmung des Kunden erlaubt. Die nlb hat vor Weitergabe der Daten mit dem Subunternehmer einen Vertrag nach Maßgabe des Art. 28 DSGVO abzuschließen, entsprechende Kontrollrechte wahrzunehmen und die datenschutzrechtlichen Pflichten aus diesem Vertrag an Subunternehmer zu übertragen.
Die Liste der Unterauftragnehmer ist als Anlage zu diesem Vertrag über folgenden Link abrufbar. Die nlb ist berechtigt, die Liste der Unterauftragnehmer zu aktualisieren, sofern sie den Kunden hierüber mindestens 14 Tage vor Inkrafttreten der Änderung schriftlich oder in Textform informiert. Der Auftraggeber kann der beabsichtigten Änderung innerhalb dieser Frist widersprechen. Unterbleibt ein Widerspruch, gilt die Änderung als genehmigt. Bei berechtigtem Widerspruch wird der Auftragsverarbeiter die beabsichtigte Beauftragung unterlassen oder die Parteien vereinbaren eine alternative Lösung.
9. Weisungsbefugnis des Kunden
Der Kunde ist berechtigt, der nlb bindende Weisungen zum Umgang mit den im Rahmen der Auftragsdurchführung übergebenen Daten zu erteilen. Die nlb verpflichtet sich den Weisungen Folge zu leisten – sofern gesetzliche Regelungen den Weisungen nicht entgegenstehen.
10. Kontrollrechte des Kunden und entsprechende Mitwirkungspflichten der nlb
Die nlb verpflichtet sich dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten, die sich aus diesem Vertrag und Art. 28 der DSGVO ergeben, auf Anforderung zur Verfügung zu stellen.
Der Kunde hat das Recht sich im Rahmen der einzuhaltenden Datenschutzbestimmungen von der Einhaltung der Bestimmungen dieses Vertrages in den Geschäftsräumen der nlb zu überzeugen. Der Kunde kann auch einen externen Prüfer damit beauftragen. Die nlb unterstützt den Kunden und den beauftragten Prüfer in Rahmen ihrer Möglichkeiten. Eine Kontrolle vor Ort ist mindestens 14 Tage vorher schriftlich der nlb anzukündigen.
Die nlb ist berechtigt für eine Kontrolle in ihren Geschäftsräumen durch den Kunden einen Vergütungsanspruch geltend zu machen.
11. Pflichten des Kunden
Der Kunde ist im Rahmen des Auftrages sowie dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an die nlb sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO.
Der Kunde hat die nlb unverzüglich und vollständig zu informieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten bezüglich der datenschutzrechtlichen Bestimmungen feststellt oder unbeabsichtigte oder unrechtmäßige Kenntnis von Daten erlangt.
Der Kunde legt die Maßnahmen zur Rückgabe und / oder Löschung der Daten nach Beendigung des Auftrages durch Weisungen fest.
Erteilt der Kunde Einzelweisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, sind die dadurch begründeten Kosten vom Kunden zu tragen.
Der Kunde ist im Rahmen des Auftrages sowie dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an die nlb sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich.
12. Anonymisierung
Die nlb hat das Recht, die von diesem Vertrag umfassten personenbezogenen Daten zu anonymisieren und die zur Anonymisierung erforderlichen Verarbeitungsschritte vorher durchzuführen. Die anonymisierten Daten werden verwendet zum Zwecke der Produktweiterentwicklung, Produktverbesserung, Testzwecken und Qualitätssicherung der nlb Buchführungsprodukte. Die Verarbeitung findet ausschließlich in einer gesicherten Umgebung statt, wie unter Punkt 4. dieses Vertrages beschrieben.
Der Kunde kann der vorstehenden Regelung jederzeit schriftlich widersprechen. Alle anderen Vertragsbestandteile bleiben davon unberührt.
13. Vereinbarung zur beruflichen Verschwiegenheit nach §62a Abs.3 StBerG
Die nlb wirkt als Dienstleister im Rahmen des Auftrages an der beruflichen Tätigkeit des Kunden, der einer beruflichen Verschwiegenheitsverpflichtung unterliegt, mit, soweit dies zur Vertragserfüllung erforderlich ist. Die nlb wahrt in Kenntnis der strafrechtlichen Folgen einer Verletzung der Verschwiegenheitspflicht gemäß § 203 StGB fremde Geheimnisse, die ihr von dem Kunden zugänglich gemacht werden.
Wenn die nlb Dritte zur Erfüllung der Dienstleistungen Dritte hinzuzieht, so ist es der nlb auferlegt, diese in Textform zur Verschwiegenheit nach §62a Abs.3 StBerG zu verpflichten.
Bei der Inanspruchnahme von Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, ist der Kunde verpflichtet, die Einwilligung des Mandanten in die Zugänglichmachung von fremden Geheimnissen im Sinne dieser Zusatzvereinbarung einzuholen.
Sollte eine Berufsgeheimnisträgereigenschaft beim Kunden nicht oder nicht mehr vorliegen, ist der Punkt 13. dieses Vertrages gegenstandslos. Alle anderen Vertragsbestandteile bleiben davon unberührt.
14. Rückgabe überlassener Datenträger und Löschung nach Beendigung des Auftrags
Der Kunde erklärt sich mit der Erstellung von Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie der Speicherung von Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind, einverstanden.
Die nlb hat gemäß Weisung des Kunden nach Beendigung des Auftrags die nicht mehr benötigten Daten zu löschen und überlassene Datenträger, soweit sich darauf noch Daten befinden, dem Kunden zurückzugeben oder zu vernichten.
15. KI-Verarbeitung
Die nlb bietet KI Tools an. Die Nutzung erfolgt ausschließlich auf ausdrücklichen Wunsch des Kunden bei Nutzung der entsprechenden Funktionen in der Software. Vor der Weitergabe von Daten an Unterauftragnehmer für die KI-Verarbeitung werden diese bei der nlb pseudonymisiert. Ein Training mit den Daten erfolgt nicht. Die Daten werden nach Antworterstellung sofort wieder beim Unterauftragnehmer gelöscht (Zero Daten Retention). Die Unterauftragsnehmer und Server Standorte befinden sich in einem EU-Mitgliedsland. Das genutzte KI-Modell (Large Language Modell) kann aufgrund der technischen Weiterentwicklung geändert werden.
16. Informationspflichten, Schriftformklausel, Sonstiges
Sollten die Daten des Kunden bei der nlb durch Pfändung oder Beschlagnahme, durch ein Insolvenzverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat die nlb den Kunden unverzüglich darüber zu informieren. Die nlb wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Kunden als Verantwortlicher im Sinne des Art. 4 liegen.
Änderungen und Ergänzungen dieses Vertrages bedürfen wie der Auftrag selbst eines schriftlichen Vertrages. Dies gilt auch für den Verzicht auf die Schriftform selbst. Die Schriftform kann auch in einem elektronisch signierten Format erfolgen.
Der Vertragsschluss kommt mit dem Klick auf „Senden“ über das Online-Formular auf der Webseite der nlb zustande.
Es gilt das in der Bundesrepublik Deutschland anzuwendende Recht, insbesondere die aktuell gültige Fassung der EU-Datenschutzgrundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG).
Deine Talente:
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.