Auftragsdatenverarbeitung

Stand 26.5.2025

Vertrag zur Auftragsverarbeitung gemäß Art. 28 DS-GVO

zwischen dem Kunde gemäß Leistungsvereinbarung und dem Reseller

digital@work GmbH
Klausbrooker Weg 2
24119 Kronshagen

1. Einleitung

Datenverarbeitungsnachtrag gemäß Art. 28 DSGVO zwischen der digital@work GmbH, Klausbrooker Weg 2, Deutschland (nachfolgend „Auftragnehmer“ genannt) und dem Auftraggeber (nachfolgend auch „Kunde“ genannt).

Dieser Datenschutz-Zusatz ist Teil des Vertrages zwischen dem Kunden und der digital@work GmbH, der die Bereitstellung von Supportleistungen und begleitenden Diensten im Zusammenhang mit der Nutzung der Softwarelösung SHARE abdeckt. Diese wird von der oculavis GmbH, Vaalser Str. 259, 52074 Aachen, Deutschland, entwickelt und bereitgestellt.

Die digital@work GmbH handelt in diesem Zusammenhang als Auftragsverarbeiter im Sinne von Art. 28 DSGVO und übernimmt bestimmte Verarbeitungen personenbezogener Daten im Auftrag des Kunden – insbesondere im Rahmen von Support-, Einrichtungs- und Beratungsleistungen.

Der Kunde hat einen aktiven Dienstleistungsvertrag mit digital@work, der diesen Nachtrag automatisch einbezieht. Sollte es zu Änderungen an dieser Vereinbarung kommen, wird der Kunde entsprechend informiert.

2. Definitionen

Der Begriff „betroffene Person“ bezieht sich auf die natürliche Person, auf die sich die personenbezogenen Daten beziehen (z. B. Mitarbeiter des Kunden, die SHARE nutzen).
„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen, wie z. B. Name, E-Mail-Adresse oder ein oder mehrere Faktoren, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
„Auftragnehmer“ ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. In diesem Fall die digital@work GmbH.
„Dienstleistungsvertrag“ ist ein rechtsgültiger Vertrag zwischen dem Kunden und der digital@work GmbH über die Unterstützung bei der Nutzung der SHARE-Software sowie die Erbringung begleitender Dienstleistungen (z. B. Support, Beratung, Einrichtung).
„Leistungen“ sind die von der digital@work GmbH im Rahmen des Dienstleistungsvertrags zur Verfügung gestellten unterstützenden Dienste rund um die Softwarelösung SHARE der oculavis GmbH.
„oculavis-Datenschutzrichtlinie“ bezeichnet die Datenschutzrichtlinie für die SHARE-Dienste, die in ihrer aktuellen Fassung unter https://oculavis.de/web/datenschutz/ abrufbar ist. Diese Richtlinie ist ergänzend relevant, da die Software und ihre Serverinfrastruktur weiterhin unter Verantwortung der oculavis GmbH stehen und die Datenverarbeitung zwischen der digital@work GmbH und der Oculavis GmbH regelt.

3. Einzelheiten der Verarbeitung

Art und Zweck der Verarbeitung

Die digital@work GmbH verarbeitet personenbezogene Daten ausschließlich insoweit, wie dies zur Erbringung der Leistungen aus dem Dienstleistungsvertrag mit dem Kunden erforderlich ist.

Die zugrundeliegende Softwareplattform oculavis SHARE, bereitgestellt durch die oculavis GmbH, dient der Fernbetreuung von Technikern oder Kunden mittels Datenbrillen, Smartphones und Tablets. Zudem können technische Dokumentationen, wie z. B. Anleitungen, bereitgestellt sowie prozessintegriert erstellt werden.

Die digital@work GmbH verarbeitet im Rahmen ihrer Support- und Dienstleistungsangebote personenbezogene Daten, die auf der Plattform zur Benutzeridentifikation, Dokumentation, Plattformverwaltung und Fehleranalyse verwendet werden. Diese Verarbeitung erfolgt ausschließlich im Auftrag und nach Weisung des Kunden.

Die Nutzung der Softwareplattform oculavis SHARE durch den Kunden erfordert grundsätzlich die Verarbeitung personenbezogener Daten auf der Plattform selbst. Die technische Bereitstellung und Datenhaltung auf dieser Plattform obliegt der oculavis GmbH als Unterauftragsverarbeiter.

Rechtsgrundlage für die Verarbeitung personenbezogener Daten (gesetzliche Bestimmungen, Vereinbarung oder Vertragsanbahnung mit der betroffenen Person, Einwilligung der betroffenen Person, Interessenausgleich usw.)

Die Rechtsgrundlage ist vertragliche Erfüllung und ergeben sich insbesondere aus dem Dienstleistungsvertrag sowie diesem Datenverarbeitungsnachtrag

Art der Daten

Die folgenden Daten können in der oculavis SHARE Software erfasst werden:

Stammdaten: Vorname, Nachname, E-Mail, Telefonnummer, Firmenname, Abteilung, Nutzername
Bilder
Videos
Dokumente (PDFs, Bilder, Videos, etc.)
Online-Status
Chat-Nachrichten (Teilnehmer, Zeit, Nachricht)
Zeit und Teilnehmer von Videoanrufen: Metadaten (Erstellungsdatum, Beginn und Ende, Teilnehmer)
Die genannten Daten sind teilweise in der Software miteinander verknüpft und werden von den Nutzern der Softwareplattform selbst eingegeben/erhoben/erzeugt
Die folgenden Daten werden im Backend der Softwareplattform erfasst: Anmeldedaten (Zeiten, Häufigkeit der Anmeldungen); Verlauf von Chat-Nachrichten, Metadaten von Videoanrufen

Die Durchführung der vertraglich vereinbarten Datenverarbeitung erfolgt ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. der Datenschutz-Grundverordnung erfüllt sind. Das angemessene Schutzniveau wird durch verbindliche interne Datenschutzvorschriften (Art. 46 Abs. 2 Buchst. b i. V. m. 47 DSGVO) und durch Standarddatenschutzklauseln (Art. 46 Abs. 2 Buchst. c und d DSGVO) festgelegt.

Dauer der Verarbeitung

Die Laufzeit dieser Vereinbarung entspricht der Laufzeit der Dienstleistungsvereinbarung(en). Eine automatische oder halbautomatische Löschung von personenbezogenen Daten findet während der Vertragslaufzeit nicht statt. Bei Beendigung des Vertrages hat der Kunde die Möglichkeit, Daten von seiner Softwareplattform oculavis SHARE zu speichern. Alle personenbezogenen Daten werden nach Ablauf der Aufbewahrungsfrist (in der Regel 90 Tage) oder auf Wunsch des Kunden oder nach Beendigung des Vertrages kontrolliert gelöscht bzw. vernichtet. Mit der Löschung der Daten endet die Verantwortung für diesen Vertrag.

6. Berichtigung, Einschränkung und Löschung von Daten

Die digital@work GmbH ist nicht berechtigt, Daten, die im Auftrag des Kunden verarbeitet werden, eigenmächtig zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken. Solche Maßnahmen erfolgen ausschließlich auf dokumentierte Weisung des Auftraggebers. Wendet sich eine betroffene Person unmittelbar an die digital@work GmbH mit einem entsprechenden Anliegen, so wird die Anfrage unverzüglich an den Auftraggeber weitergeleitet.
Sofern der vereinbarte Leistungsumfang Funktionen zur Unterstützung datenschutzrechtlicher Rechte vorsieht (z. B. ein Löschungskonzept, Datenkorrekturen, Datenübertragbarkeit oder Auskunftsfunktionen), wird die digital@work GmbH die Umsetzung dieser Anforderungen im Rahmen der dokumentierten Weisungen des Auftraggebers sicherstellen.

7. Technische und organisatorische Maßnahmen

Der Auftragnehmer hat eine Sicherheit gemäß Art. 28 Abs. 3 Buchst. c, 32 DSGVO, insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO, zu gewährleisten und muss die Erfüllung dieser Anforderungen nachweisen können. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Datensicherheitsmaßnahmen und Maßnahmen zur Gewährleistung eines risikoadäquaten Schutzniveaus im Hinblick auf die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme.

Dabei sind der Stand der Technik, die Implementierungskosten sowie die Art, der Umfang und der Zweck der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne des Art. 32 Abs. 1 DSGVO zu berücksichtigen.

Die technischen und organisatorischen Sicherheitsmaßnahmen im Zusammenhang mit dem Betrieb der Softwareplattform SHARE werden durch die oculavis GmbH als Plattformanbieter durchgeführt. Der vollständige Text der technischen und organisatorischen Sicherheitsmaßnahmen (TOMs) von oculavis zum Schutz der Kundendaten ist abrufbar unter:

https://oculavis.de/web/datenschutz

Diese Maßnahmen sind Grundlage der Datenverarbeitung über die Plattform SHARE. Sollte sich bei der Prüfung oder Auditierung durch den Auftraggeber ein Anpassungsbedarf ergeben, wird dieser gemeinsam mit der oculavis GmbH einvernehmlich abgestimmt und umgesetzt.

Die digital@work GmbH erbringt ausschließlich unterstützende Leistungen (z. B. Support, Einrichtung) und greift dabei auf Funktionen der durch oculavis bereitgestellten Plattform zurück, ohne selbst eine eigene Hosting-Infrastruktur zu betreiben.

Nachweis von technischen und organisatorischen Sicherheitsmaßnahmen der oculavis GmbH

Maßnahmen zur Pseudonymisierung und Verschlüsselung von Daten
Die Datenbanken, in denen Kundendaten gespeichert werden, sind mit AES-256 verschlüsselt. Backups werden ebenfalls verschlüsselt (AES-256). Die Kundendaten werden bei der Übertragung verschlüsselt (DTLS 1.2, SRTP, HTTPS, TLS 1.2).

Maßnahmen zur Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Widerstandsfähigkeit von Verarbeitungssystemen und -diensten
Es werden regelmäßig Sicherungskopien der Kundendaten erstellt. Die gesicherten Kundendaten werden aufbewahrt (die Aufbewahrungsfrist beträgt in der Regel 90 Tage) und während der Übertragung und im Ruhezustand mit dem fortgeschrittenen Verschlüsselungsstandard verschlüsselt. Es werden betriebliche Ausfallsicherheitsstrategien und Fähigkeitsergebnisse einbezogen, um einen Plan zur Aufrechterhaltung des Geschäftsbetriebs zu erstellen, zu dokumentieren, zu genehmigen, zu kommunizieren, anzuwenden, zu evaluieren und zu pflegen.
Weitere Informationen finden Sie in den TOMs der oculavis GmbH unter „4. Geschäftskontinuitätsmanagement und betriebliche Widerstandsfähigkeit“.

Maßnahmen zur Gewährleistung der Fähigkeit, die Verfügbarkeit und den Zugang zu personenbezogenen Daten im Falle eines physischen oder technischen Zwischenfalls rechtzeitig wiederherzustellen
Siehe obige Informationen.
Weitere Informationen finden Sie in den TOMs unter „4. Geschäftskontinuitätsmanagement und betriebliche Widerstandsfähigkeit“.

Verfahren zur regelmäßigen Prüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen, um die Sicherheit der Verarbeitung zu gewährleisten
Die oculavis GmbH unterhält einen Sicherheitsrahmen auf der Grundlage des ISO-27001-Informationssicherheits-Managementsystems. Die Wirksamkeit der TOMs wird regelmäßig (mindestens jährlich) geprüft und bewertet.

Maßnahmen zur Identifizierung und Autorisierung der Nutzer
Um das Risiko der Datenexposition zu minimieren, folgt die oculavis GmbH bei der Vergabe von Systemzugängen dem Prinzip des Least Privilege durch ein Zugriffskontrollmodell. Die Vergabe von Berechtigungen und Zugängen erfolgt nach dem Need-to-know-Prinzip unter Berücksichtigung der Sensibilität und Kritikalität der Datenverarbeitung sowie der Verantwortlichkeiten der Mitarbeiter im Unternehmen.
Weitere Informationen finden Sie in den TOMs unter „10. Identitäts- und Zugangsmanagement“.

Maßnahmen zum Schutz der Daten bei der Übermittlung
Die Datenbanken, in denen Kundendaten gespeichert werden, sind mit AES-256 verschlüsselt. Backups werden ebenfalls verschlüsselt (AES-256). Die Kundendaten werden während der Übertragung verschlüsselt (DTLS 1.2, SRTP, HTTPS, TLS 1.2).
Weitere Informationen finden Sie in den TOMs unter „6. Kryptographie, Verschlüsselung und Schlüsselverwaltung (CEK)“.

Maßnahmen zum Schutz der Daten während der Speicherung
Verwendung von Verschlüsselung zur Speicherung persönlicher und vertraulicher Daten. Die oculavis GmbH verwendet SHA-256 gesalzene Hash-Werte zur Speicherung von Passwörtern. (Virtuelle) Festplatten und Backups werden mit dem Verschlüsselungsalgorithmus AES-256 verschlüsselt.
Weitere Informationen finden Sie in den TOMs unter „6. Kryptographie, Verschlüsselung und Schlüsselverwaltung (CEK)“.

Maßnahmen zur Gewährleistung der physischen Sicherheit der Orte, an denen personenbezogene Daten verarbeitet werden
Weitere Informationen finden Sie in den TOMs unter „18. Physische Sicherheit“.

Maßnahmen zur Sicherstellung der Ereignisprotokollierung
Sicherheitsrelevante Ereignisse werden innerhalb von Anwendungen und der zugrunde liegenden Infrastruktur ermittelt und überwacht. Es wird ein Prozess definiert und implementiert, um auf der Grundlage von sicherheitsrelevanten Ereignissen und den entsprechenden Metriken Warnungen an die verantwortlichen Akteure zu übermitteln.
Weitere Informationen finden Sie in den TOMs unter „12. Protokollierung und Überwachung“.

Maßnahmen zur internen IT- und IT-Sicherheitssteuerung und -verwaltung
Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird jährlich überprüft, bewertet und evaluiert. Auf Basis der ISO 27001 werden bei der oculavis GmbH alle relevanten Normen, Vorschriften, rechtlichen/vertraglichen und gesetzlichen Anforderungen ermittelt und dokumentiert.
Weitere Informationen finden Sie in den TOMs unter „8. Governance, Risiko und Compliance“.

Maßnahmen zur Zertifizierung/Absicherung von Prozessen und Produkten
Die oculavis GmbH ist nach ISO 27001 zertifiziert.

Maßnahmen zur Gewährleistung der Datensparsamkeit
Die Daten werden nur für geschäftliche Zwecke erhoben. Die Art der erhobenen Daten findet sich im Abschnitt „Einzelheiten der Verarbeitung“ des Datenverarbeitungsnachtrags. Die Anonymisierung von Gesichtern erfolgt auch bei mobilen Anwendungen für Personen, die nicht an dem Anruf beteiligt sind.

Maßnahmen zur Sicherung der Datenqualität
Weitere Informationen finden Sie in den TOMs unter „7. Lebenszyklusmanagement für Datensicherheit und Datenschutz“.

Maßnahmen zur Gewährleistung einer begrenzten Datenspeicherung
Die oculavis GmbH speichert personenbezogene Daten nur zur Abwicklung des Geschäftsbetriebes. Der Zugriff auf Kundendaten erfolgt nach Einwilligung des Kunden und nach dem Vier-Augen-Prinzip. Es ist ein Löschkonzept implementiert, das Aufbewahrungsfristen für personenbezogene Daten garantiert. Eine automatische oder halbautomatische Löschung von personenbezogenen Daten findet während der Vertragslaufzeit nicht statt. Bei Vertragsende erhält der Kunde die Möglichkeit, Daten aus seiner Software-Plattform oculavis SHARE zu speichern. Alle personenbezogenen Daten werden nach Ablauf der Aufbewahrungsfrist (in der Regel 90 Tage) oder auf Wunsch des Kunden kontrolliert gelöscht und/oder vernichtet. Logdateien werden nach 30 Tagen gelöscht.

Maßnahmen zur Ermöglichung der Datenübertragbarkeit und zur Gewährleistung der Löschung von Daten
Bei Vertragsende hat der Kunde die Möglichkeit, Daten von seiner Software-Plattform oculavis SHARE zu speichern. Alle personenbezogenen Daten werden nach Ablauf der Aufbewahrungsfrist (in der Regel 90 Tage) oder auf Wunsch des Kunden kontrolliert gelöscht und/oder vernichtet. Datenschutzanfragen können über privacy@oculavis.de eingereicht werden.

Die technischen und organisatorischen Maßnahmen sind dem technischen Fortschritt und der Weiterentwicklung unterworfen. In diesem Zusammenhang ist es dem Auftragnehmer gestattet, alternative angemessene Maßnahmen zu ergreifen, sofern diese alternativen Maßnahmen mindestens das Sicherheitsniveau aufrechterhalten, das durch die in den TOMs vereinbarten Maßnahmen gewährleistet wird.

8. Unterauftragsverarbeiter

Unterauftragsverhältnisse sind solche Leistungen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht dazu gehören Zusatzleistungen, die die digital@work GmbH in Anspruch nimmt, z. B. Telekommunikationsleistungen, Post-/Transportleistungen, Wartung und Nutzerleistungen oder die Entsorgung von Datenträgern.

Als Unternauftragsverarbeiter wird durch die oculavis GmbH ernannt. Diese nutzt wiederum Unter-Unterauftragsverarbeiter gemäß ihrer Webseite https://oculavis.de/web/unterauftragsverarbeiter/

9. Qualitätssicherung und andere Verpflichtungen des Auftragnehmers

Neben der Einhaltung der Bestimmungen dieses Vertrages hat der Auftragnehmer die gesetzlichen Verpflichtungen gemäß Art. 28 bis 33 DSGVO. Insoweit hat der Auftragnehmer – soweit für die von ihm übernommenen Tätigkeiten relevant – insbesondere die Einhaltung der folgenden Anforderungen sicherzustellen:

a) Die Kontaktdaten des bei der oculavis GmbH bestellten Datenschutzbeauftragten sind unter https://oculavis.de/web/datenschutz/ abrufbar. Die digital@work GmbH informiert den Auftraggeber angemessen über Änderungen in Bezug auf den eigenen Ansprechpartner für Datenschutz. Änderungen haben keinen Einfluss auf den laufenden Vertrag mit dem Auftraggeber.

b) Vertraulichkeit der Verarbeitung: Die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 Satz 2 Buchst. b, 29, 32 Abs. 4 DSGVO. Die digital@work GmbH setzt bei der Durchführung ihrer Aufgaben nur Mitarbeitende ein, die zur Vertraulichkeit verpflichtet und zuvor über die für sie relevanten Datenschutzbestimmungen informiert worden sind. Der Auftragnehmer sowie alle ihm unterstellten Personen, die Zugang zu personenbezogenen Daten haben, verarbeiten diese Daten ausschließlich auf Weisung des Auftraggebers – einschließlich der in diesem Vertrag erteilten Ermächtigungen. Die Verschwiegenheitspflicht gilt auch nach Beendigung des Vertrages fort. Der Auftragnehmer wird seine Mitarbeitenden über ihre Pflichten im Rahmen dieser Vereinbarung aufklären.

c) Durchführung und Einhaltung technischer und organisatorischer Maßnahmen (TOMs) gemäß Art. 28 Abs. 3 Satz 2 Buchst. c, 32 DSGVO. Die Maßnahmen zur Absicherung der Plattform und Datenhaltung werden durch die oculavis GmbH durchgeführt (siehe Abschnitt „Technische und organisatorische Maßnahmen“). Die digital@work GmbH verpflichtet sich, diese Anforderungen zu respektieren und im Rahmen ihrer Serviceleistung zu unterstützen.

d) Zusammenarbeit mit Aufsichtsbehörden: Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der zuständigen Datenschutzaufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

e) Unverzügliche Unterrichtung des Auftraggebers über behördliche Kontrollmaßnahmen oder Anordnungen, sofern sie sich auf diesen Vertrag oder die durchgeführten Verarbeitungen beziehen. Dies gilt auch bei Verwaltungs- oder Strafverfahren zur Verarbeitung personenbezogener Daten im Zusammenhang mit den Leistungen der digital@work GmbH.

f) Unterstützung bei behördlichen Verfahren oder Ansprüchen Dritter: Wird der Auftraggeber im Zusammenhang mit der Auftragsverarbeitung durch die digital@work GmbH einer Kontrolle, einem Verfahren oder einem Haftungsanspruch ausgesetzt, so wird die digital@work GmbH den Auftraggeber im Rahmen des Zumutbaren unterstützen.

Kontrollrechte des Auftraggebers

1. In gegenseitigem Einvernehmen mit dem Auftragnehmer hat der Auftraggeber das Recht, bei Bedarf entweder persönlich oder durch beauftragte Prüfer oder Inspektoren Audits durchzuführen. Der Auftraggeber hat das Recht, sich von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in seinem Betrieb durch Stichproben zu überzeugen, die rechtzeitig anzukündigen sind. Der Auftragnehmer gewährt dem Auftraggeber oder dritten Auditoren des Auftraggebers Zutritt zu den Räumlichkeiten des Auftragnehmers für Inspektionen.

2. Der Auftragnehmer stellt sicher, dass der Auftraggeber die Einhaltung der Verpflichtungen gemäß Art. 28 DSGVO bestätigen kann. Der Auftragnehmer verpflichtet sich, auf Anfrage die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen gegenüber dem Auftraggeber nachzuweisen. Der Auftragnehmer wird Kontrollen durch den Auftraggeber oder Dritte unterstützen, insbesondere durch kompetente Ansprechpartner und durch Bereitstellung von relevanten Informationen und Nachweisen auf Anfrage des Auftraggebers.

3. Der Nachweis von Maßnahmen, die sich nicht nur auf diese spezielle Vereinbarung beziehen, kann durch die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO oder aktuelle Bescheinigungen, aktuelle Atteste, Zertifikate, Berichte oder Auszüge daraus von unabhängigen Stellen (z. B. Wirtschaftsprüfer, Revisoren, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren). Das Recht des Auftraggebers zur Durchführung von Inspektionen bleibt unberührt.

4. Der Auftragnehmer kann eine Vergütung für die Erleichterung der Kontrolltätigkeit des Auftraggebers verlangen.

Meldung von Verstößen durch den Auftragnehmer

1. Der Vertrag oder unterstützt den Kunden bei der Einhaltung der in den folgenden Artikeln festgelegten Verpflichtungen 32 bis 36 der Datenschutz-Grundverordnung in Bezug auf die Sicherheit personenbezogener Daten, die Meldepflichten bei Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultationen. Diese umfassen:

a) Gewährleistung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die der Art und den Zwecken der Verarbeitung sowie der voraussichtlichen Wahrscheinlichkeit und Schwere einer potenziellen Verletzung von Rechten durch Sicherheitsverletzungen Rechnung tragen und die eine sofortige Feststellung relevanter Verletzungen ermöglichen.

b) Die Verpflichtung, Verstöße gegen personenbezogene Daten dem Kunden unverzüglich, d. h. innerhalb von 24 Stunden zu melden.

c) die Verpflichtung, den Kunden bei der Unterrichtung der betroffenen Person zu unterstützen und der betroffenen Person in diesem Zusammenhang unverzüglich alle relevanten Informationen zur Verfügung zu stellen.

d) Unterstützung des Kunden bei seiner Datenschutz-Folgenabschätzung.

e) Unterstützung des Kunden im Rahmen der vorherigen Konsultationen mit der Aufsichtsbehörde.

f) Unverzügliche Unterrichtung des Kunden über alle Inspektionen, Kontrolltätigkeiten oder Maßnahmen der zuständigen Datenschutzbehörden in Bezug auf personenbezogene Daten, die im Auftrag des Kunden verarbeitet werden.

2. Für Unterstützungsleistungen, die nicht in der Leistungsbeschreibung enthalten sind oder nicht auf ein Fehlverhalten des Auftragnehmers zurückzuführen sind, kann der Auftragnehmer eine Vergütung verlangen.

Weisungsbefugnis des Auftraggebers

1. Der Auftragnehmer wird die vom Auftraggeber oder von Dritten, die im Auftrag des Auftraggebers handeln, zur Verfügung gestellten Daten ausschließlich für den Auftraggeber und nur im Rahmen dieses Vertrages und nach den dokumentierten Weisungen des Auftraggebers verarbeiten. Jede andere Verwendung dieser Daten, insbesondere für Zwecke des eigenen Geschäftsbetriebes oder für Zwecke Dritter, ist untersagt.

2. Mündliche Anweisungen wie in der Vereinbarung, in dieser DPA, oder wie vom Kunden angewiesen oder Endnutzer des Auftraggebers über die Dienste unverzüglich (zumindest in Textform) zu bestätigen.

3. Der Auftragnehmer wird den Auftraggeber unverzüglich informieren, wenn eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt. Der Auftragnehmer ist berechtigt, die Ausführung der entsprechenden Weisung auszusetzen, bis sie vom Auftraggeber bestätigt oder geändert wird.

Löschung und Rückgabe von personenbezogenen Daten

1. Ohne vorherige schriftliche Zustimmung des Kunden dürfen keine Kopien oder Duplikate der im Auftrag des Kunden verarbeiteten Daten angefertigt oder an Dritte weitergegeben werden. Dies gilt nicht für Sicherungskopien, da diese erforderlich sind, um eine angemessene Sicherheit der Datenverarbeitung zu gewährleisten.

2. Bei Beendigung/Beendigung des Dienstleistungsvertrages – oder früher auf Verlangen des Auftraggebers – hat der Auftragnehmer alle in seinen Besitz gelangten Unterlagen, Verarbeitungs- und Nutzungsergebnisse sowie Datenbanken, die im Zusammenhang mit dem Vertragsverhältnis stehen, herauszugeben oder nach vorheriger Zustimmung datenschutzgerecht zu löschen. Das Gleiche gilt für Test- und Ausschussmaterial. Das Löschungsprotokoll ist auf Verlangen vorzulegen.

3. Die Dokumentation, die nachweist, dass die Daten ordnungsgemäß und im Einklang mit dieser Vereinbarung verarbeitet wurden, wird vom Auftragnehmer über das Ende dieser Vereinbarung hinaus gemäß den einschlägigen Datenspeicherungsfristen aufbewahrt. Der Auftragnehmer kann diese Dokumentation nach Beendigung dieser Vereinbarung dem Auftraggeber aushändigen.