Kontaktieren Sie uns gerne bei Rückfragen!
Allgemeine Geschäftsbedingungen (AGB)
I. Gegenstand und Leistungen
- Diese Bedingungen regeln die Vereinbarungen zwischen Ihnen als
Kunde und DatenschutzGanzEinfach.de für die Nutzung unserer Softwarelösungen
(z. B. Datenschutzsoftware oder Whistleblowersystem, nachfolgend
„Software“ oder “Softwarelösungen” genannt), die Tätigkeit als externer
Datenschutzbeauftragter, die individuelle Datenschutzberatung, sowie alle
weiteren vereinbarten Serviceleistungen.
Die jeweils gebuchten und bestätigten Leistungen im Bestellsystem sind maßgeblich.
Abweichende oder widersprechende Bedingungen erkennen wir nur an, wenn wir ihnen ausdrücklich zugestimmt haben. - Mit der Buchung einer unserer Softwarelösungen kommt ein
entgeltpflichtiger Vertrag zwischen Ihnen und DatenschutzGanzEinfach.de
über die Nutzung der Software sowie über die Tätigkeit als externer
Datenschutzbeauftragter zustande (siehe Anlage 1).
Zusätzlich wird für die Nutzung der Softwarelösungen ein Auftragsverarbeitungsvertrag gemäß Anlage 2 abgeschlossen.
Bei der Buchung einer individuellen Datenschutzberatung entsteht ein entsprechender Dienstvertrag. - Unsere Leistungen richten sich ausschließlich an Unternehmer im
Sinne des § 14 BGB. Ein Vertragsschluss mit Verbrauchern gemäß § 13 BGB
ist ausdrücklich ausgeschlossen.
- Die Datenschutzsoftware bietet ein
Datenschutz-Management-System zur Erfüllung der Mindestanforderungen der
DSGVO.
- Falls keine Datenschutzsoftware von uns gebucht wurde,
bestätigt der Kunde, ein eigenes System zu betreiben und uns bei
Unklarheiten oder Anforderungen aktiv zu informieren.
In diesem Falle beschränkt sich unsere Serviceleistung auf die unterstützende Beratung bei Kontaktaufnahme seitens des Kunden und Behörden. - DatenschutzGanzEinfach.de ist berechtigt, zur Erbringung der vereinbarten Leistungen Subunternehmer einzusetzen. Diese werden sorgfältig ausgewählt und unterliegen vertraglichen Verpflichtungen zur Einhaltung der gesetzlichen Datenschutzanforderungen gemäß der DSGVO. Die Haftung von DatenschutzGanzEinfach.de bleibt durch den Einsatz von Subunternehmern unberührt.
II. Vertragsschluss,
Vertragstextspeicherung, Informationspflichten
- Durch die Eingabe Ihrer Daten im Bestellsystem unserer Website
können Sie kostenpflichtige Dienstleistungen und Software buchen. Dabei
wird ein Abonnement abgeschlossen, sofern nicht anderweitig im
Bestellsystem angegeben.
- Sie sind verpflichtet, Ihre Zugangsdaten für unsere Software
und das Bestellsystem vertraulich zu behandeln und nicht an Dritte
weiterzugeben.
- Der Vertragsschluss erfolgt in deutscher Sprache. Der
Vertragstext wird von uns gespeichert und Ihnen mit der Bestätigungsmail
sowie auf Wunsch zusammen mit diesen Bedingungen per E-Mail zugesandt.
- Alternativ kann der Vertrag durch Angebot und Annahme zustande
kommen. Wir senden Ihnen ein Angebot zu unseren Leistungen, das Sie durch
Rücksendung annehmen.
III. Entgelt und Zahlung
- Das vereinbarte monatliche Entgelt versteht sich zuzüglich der
jeweils geltenden gesetzlichen Umsatzsteuer. Es ist mit Vertragsschluss
fällig und für jede Vertragslaufzeit (siehe Ziffer V.) im Voraus zu
zahlen.
- Zusatzentgelte, die im Rahmen unserer Tätigkeit als externer
Datenschutzbeauftragter anfallen (vgl. Anlage 1), werden monatlich
abgerechnet. Diese Beträge sind mit Rechnungsstellung sofort und ohne
Abzug zahlbar.
- Eventuell gebuchte Zusatzmodule und Add-ons richten sich nach
dem gebuchten Paket und sind ebenfalls sofort ohne Abzug zahlbar.
- Individuelle Datenschutzberatungen werden mit dem vereinbarten
Stundensatz zuzüglich der gesetzlichen Umsatzsteuer abgerechnet. Die
Abrechnung erfolgt in 15-Minuten-Schritten. Diese Leistungen werden in der
Regel monatlich in Rechnung gestellt und sind sofort zahlbar.
- Ein ggf. vorhandenes Beratungskontingent wird automatisch mit
anfalenden Serviceleistungen verrechnet. Ihr aktuelles Restkontingent
können Sie jederzeit im Bestellsystem einsehen.
IV. Haftung
- DatenschutzGanzEinfach.de haftet unbeschränkt:
- bei Vorsatz oder grober Fahrlässigkeit,
- nach den Vorschriften des Produkthaftungsgesetzes,
- bei Schäden an Leben, Körper oder Gesundheit sowie
- im Umfang einer ausdrücklich übernommenen Garantie.
- Bei leicht fahrlässiger Verletzung einer wesentlichen
Vertragspflicht (Kardinalpflicht) ist die Haftung auf den
vertragstypischen, vorhersehbaren Schaden begrenzt.
- Eine weitergehende Haftung von DatenschutzGanzEinfach.de ist
ausgeschlossen.
- Die vorgenannten Haftungsbeschränkungen gelten auch für die persönliche Haftung der Mitarbeiter, Vertreter und Organe von DatenschutzGanzEinfach.de.
V. Vertragslaufzeit und Kündigung
- Der Vertrag beginnt mit unserer Bestätigungsmail gemäß Ziffer
II, mit Bestätigung im Bestellsystem oder mit Ihrer Annahmeerklärung und
wird für die vereinbarte Dauer geschlossen.
Er verlängert sich automatisch um ein weiteres Jahr, sofern er nicht mit einer Frist von drei Monaten zum Ende eines Vertragsjahres gekündigt wird. - Die Kündigung bedarf der Textform.
- Das Recht zur außerordentlichen Kündigung aus wichtigem Grund
bleibt unberührt.
VI. Salvatorische Klausel
Sollte eine Bestimmung dieser Allgemeinen Geschäftsbedingungen ganz oder teilweise unwirksam, nichtig oder nicht durchsetzbar sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die unwirksame, nichtige oder nicht durchsetzbare Bestimmung wird durch eine Regelung ersetzt, die dem wirtschaftlichen Zweck der ursprünglichen Bestimmung möglichst nahekommt. Gleiches gilt für etwaige Regelungslücken.
Anlage 1 – Dienstvertrag über die Leistungen als externer Datenschutzbeauftragter (sofern gebucht)
I. Vertragsgegenstand
DatenschutzGanzEinfach.de übernimmt im Rahmen der Benennung zum externen Datenschutzbeauftragten des Auftraggebers die
Erbringung der entsprechenden Dienstleistungen gemäß diesem Dienstvertrag.
II. Pflichten des externen
Datenschutzbeauftragten, kein Weisungs- oder Vertretungsrecht
- DatenschutzGanzEinfach.de erbringt die vertraglich vereinbarten Leistungen durch qualifizierte Fachkräfte, die den Anforderungen gemäß
Art. 37 Abs. 5 DSGVO entsprechen.
- Mit der Beauftragung bestätigen Sie, dass in Ihrem Unternehmen
qualifizierte Personen vorhanden sind, die für die Umsetzung der
vertraglichen Pflichten eingesetzt werden. DatenschutzGanzEinfach.de
stellt hierfür im beauftragten Umfang oder bei Anfrage auf Basis des
vereinbarten Stundensatzes entsprechende Informationen und Fortbildungen
bereit.
- Falls Sie auf die Buchung unserer eLearning- oder
Webinar-Lösung verzichten, übernehmen Sie die Verantwortung, uns über
eventuelle Wissenslücken Ihrer qualifizierten Personen zu informieren und
erforderliche Fortbildungsmaßnahmen gesondert zu beauftragen.
- Falls Sie unsere eLearning- oder Webinar Lösung beauftragt
haben, übernemen Sie die Verwantwortung, Ihre Qualifizierte Person mit
absoolvieren der verfügbaren Trainings zu beauftragen. Sollte nach dem
Training noch Fortbildungsbedarf bestehen, kontaktieren Sie uns.
- Für über uns abgeschlossene Fortbildungsmaßnahmen stellen wir
auf Anfrage einen Nachweis aus. Dieser ist zudem in unserer Softwarelösung
abrufbar.
- DatenschutzGanzEinfach.de übernimmt als externer
Datenschutzbeauftragter die Aufgaben gemäß Art. 39 DSGVO.
- DatenschutzGanzEinfach.de besitzt kein Weisungsrecht gegenüber
den Mitarbeitern des Auftraggebers und ist nicht berechtigt, den
Auftraggeber in irgendeiner Form zu vertreten.
- DatenschutzGanzEinfach.de ist berechtigt, zur Erbringung der
vertraglich vereinbarten Leistungen Subunternehmer einzusetzen. Diese
werden sorgfältig ausgewählt und vertraglich verpflichtet, die
gesetzlichen Datenschutzanforderungen gemäß DSGVO einzuhalten. Die Haftung
von DatenschutzGanzEinfach.de bleibt auch bei der Beauftragung von
Subunternehmern bestehen.
III. Vergütung des externen
Datenschutzbeauftragten
- Die Leistungen von DatenschutzGanzEinfach.de als externer
Datenschutzbeauftragter sind entsprechend des gebuchten Leistungspakets in
der vereinbarten monatlichen Pauschalgebühr enthalten, sofern nicht anders
geregelt.
- Die monatliche Pauschalgebühr deckt die Beratungsleistungen
gemäß dem gebuchten Umfang ab. Fragen zu Themen, die über das
Tagesgeschäft hinausgehen, werden nach dem vereinbarten Stundensatz
berechnet.
- Die folgenden zusätzlichen Leistungen werden nach Aufwand zu
dem vereinbarten Stundenhonorar zzgl. der gesetzlichen Umsatzsteuer
abgerechnet. Die Abrechnung erfolgt in 15-Minuten-Schritten. Diese
Leistungen können vom Auftraggeber jederzeit in Textform, z. B. über
unsere Softwarelösung oder per E-Mail, beauftragt werden. Gesondert
vergütungspflichtig sind unter anderem:
- Beantwortung von Fragen, die über das Inklusivkontingent
hinausgehen
- Datenschutzrechtliche Prüfung neuer Geschäftsmodelle oder
Marketingmaßnahmen (z. B. Gewinnspiele)
- Überprüfung von Verarbeitungsvorgängen auf Einhaltung
datenschutzrechtlicher Vorgaben
- Unterstützung bei der Bearbeitung von Betroffenenrechten (z.
B. Auskunfts-, Löschungs- oder Widerspruchsersuchen)
- Bearbeitung und zielgerichtete Weiterleitung
datenschutzrechtlich relevanter Anfragen gemäß Art. 38 Abs. 4 DSGVO
- Kommunikation mit Datenschutzaufsichtsbehörden, insbesondere
im Zusammenhang mit Datenschutzverletzungen (Art. 33 DSGVO)
- Unterstützung bei der Datenschutz-Folgenabschätzung gemäß Art.
35 DSGVO
- Teilnahme an Besprechungen und anderen Terminen
- Unterstützung bei der Erstellung betrieblicher
Datenschutzrichtlinien
- Durchführung von Vor-Ort-Prüfungen bei Subunternehmern oder
anderen Dienstleistern, insbesondere im Rahmen von
Auftragsverarbeitungsverhältnissen nach Art. 28 DSGVO
- Wird in unserer Softwarelösung mehr als 100 Mitarbeiter
erfasst, erhöht sich die monatliche Pauschalgebühr um 20,- Euro netto je
angefangene weitere 100 Mitarbeiter, sofern nicht abweichend im
Softwarepaket beschrieben.
IV. Verzicht auf Amtsniederlegung
DatenschutzGanzEinfach.de verzichtet im
Voraus auf das Recht, das durch die Benennung zum Datenschutzbeauftragten des
Auftraggebers übertragene Amt vor Ablauf dieses Dienstvertrags einseitig
niederzulegen. Eine Kündigung dieses Dienstvertrags durch DatenschutzGanzEinfach.de
wird gleichzeitig als Amtsniederlegung zum Zeitpunkt des Wirksamwerdens der
Kündigung behandelt.
V. Haftung des externen
Datenschutzbeauftragten
1. Die Haftung von datenschutzganzeinfach.de für leicht fahrlässig verursachte
Schäden ist ausgeschlossen. Im Übrigen ist die Haftung Kalenderjährlich auf
100.000,- EUR begrenzt.
2. Abs. 1 findet keine Anwendung auf Schäden aus der Verletzung des Lebens, des
Körpers oder der Gesundheit, oder wenn der Schade vorsätzlich verursacht wurde.
3. Datenschutzganzeinfach.de haftet dem Auftraggeber für das Verschulden der
von ihr eingesetzten Personen wie für eigenes Verschulden. Abs. 1, 2 gelten für
den Fall einer Inanspruchnahme der eingesetzten Personen durch den Auftraggeber
zugunsten der eingesetzten Personen entsprechend.
VI. Verschiedenes
1. Datenschutzganzeinfach.de verpflichtet sich, die Geschäfts- und
Betriebsgeheimnisse des Auftraggebers wie ein Handelsvertreter entsprechend §
90 HGB zu schützen, auch nach Beendigung dieses Vertrags.
2. Datenschutzganzeinfach.de und die von ihr eingesetzten Personen und
Subunternehmer unterliegen der aus ihrer Benennung zum Datenschutzbeauftragten
erwachsenden Verschwiegenheitsverpflichtung nach Art. 38 Abs. 5 DSGVO, § 38
Abs. 2 i. V. m. § 6 Abs. 5 S. 2 BDSG n. F. sowie § 203 Abs. 2 a StGB.
3. Bei der Beantwortung von Anfragen betroffener Personen werden die
schützenswerten Interessen des Auftraggebers beachten. Dem Auftraggeber ist
bekannt, dass datenschutzganzeinfach.de in datenschutzrechtlichen
Angelegenheiten gem. Art. 39 Abs. 1 lit. d, e DSGVO berechtigt ist, sich
selbstständig und unmittelbar an die zuständige Aufsichtsbehörde zu wenden.
Ebenso ist dem Auftraggeber bekannt, dass gegenüber der zuständigen
Aufsichtsbehörde nur die Verschwiegenheitsverpflichtung zum Schutz der
betroffenen Personen trifft.
4. Der Auftraggeber darf die Benennung von datenschutzganzeinfach.de sowie die
Nachweise des Fachwissens ihrer eingesetzten Personen i.S.v. Art. 37 Abs. 5
DSGVO bei berechtigtem Interesse gegenüber Dritten offenlegen, etwa gegenüber
der Aufsichtsbehörde oder seinen Auftraggebern bei einer Auftragsverarbeitung
nach Art. 28 DSGVO.
Anlage 2 – Auftragsverarbeitung
Vereinbarung zur Auftragsverarbeitung
Diese Vereinbarung wird zwischen dem Kunden
als Verantwortlichem (nachfolgend „Auftraggeber“) und DatenschutzGanzEinfach.de
als Auftragsverarbeiter (nachfolgend „Auftragnehmer“) geschlossen, um die
Anforderungen der DSGVO, insbesondere Art. 28, zur Auftragsverarbeitung
einzuhalten.
§ 1 Vertragsgegenstand und Laufzeit
(1) Der Auftragnehmer erbringt für den
Auftraggeber folgende Leistungen: Bereitstellung von Softwarelösungen,
einschließlich einer Datenschutzsoftware mit eLearning-System zur Schulung der
Mitarbeiter. Diese Dienstleistungen erfolgen auf Grundlage des Hauptvertrags
zwischen den Parteien. Im Rahmen der Leistungserbringung verarbeitet der
Auftragnehmer personenbezogene Daten ausschließlich im Auftrag und gemäß den
Weisungen des Auftraggebers. Die Verantwortung für die Rechtmäßigkeit der
Datenverarbeitung liegt beim Auftraggeber.
(2) Die Laufzeit dieser Vereinbarung ist an
den Hauptvertrag gekoppelt, es sei denn, nachfolgende Regelungen enthalten
weitergehende Verpflichtungen oder besondere Kündigungsrechte.
§ 2 Weisungsrecht
(1) Der Auftragnehmer darf personenbezogene
Daten nur im Rahmen des Hauptvertrags und auf Weisung des Auftraggebers
verarbeiten. Dies gilt insbesondere für die Übermittlung in Drittländer oder an
internationale Organisationen. Falls gesetzliche Vorgaben eine abweichende
Verarbeitung erfordern, wird der Auftragnehmer den Auftraggeber darüber
informieren.
(2) Die initialen Weisungen sind in dieser
Vereinbarung festgelegt. Der Auftraggeber kann sie jederzeit schriftlich oder
in Textform anpassen oder ergänzen. Dies umfasst auch Anweisungen zur
Berichtigung, Löschung oder Sperrung von Daten.
(3) Beide Parteien dokumentieren alle
erteilten Weisungen. Änderungen, die über die vereinbarte Leistung hinausgehen,
gelten als Antrag auf Leistungsänderung.
(4) Falls eine Weisung des Auftraggebers
gegen Datenschutzvorgaben verstößt, muss der Auftragnehmer den Auftraggeber
darauf hinweisen. Die Umsetzung kann ausgesetzt werden, bis eine Klärung
erfolgt. Offensichtlich rechtswidrige Weisungen darf der Auftragnehmer
ablehnen.
§ 3 Verarbeitete Daten und betroffene
Personen
(1) Im Rahmen des Hauptvertrags verarbeitet
der Auftragnehmer vom Auftraggeber angegebene Daten einschließlich: Name,
Vorname und E-Mail-Adresse der Mitarbeiter, die im eLearning-Tool des
Auftraggebers hinterlegt sind.
(2) Betroffen von dieser Datenverarbeitung
sind die Beschäftigten des Auftraggebers.
§ 4 Datenschutzmaßnahmen des
Auftragnehmers
(1) Der Auftragnehmer verpflichtet sich zur
Einhaltung der Datenschutzgesetze und sichert die erlangten Informationen gemäß
den aktuellen technischen Standards vor unbefugtem Zugriff.
(2) Er sorgt für eine innerbetriebliche
Organisation, die den Datenschutzanforderungen entspricht, und trifft alle
notwendigen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO.
(3) Der Ansprechpartner für Datenschutz
beim Auftragnehmer ist: DatenschutzGanzEinfach.de (Hr. Ken Dobrunz).
(4) Den bei der Datenverarbeitung durch den
Auftragnehmer beschäftigten Personen ist es untersagt, personenbezogene Daten
unbefugt zu erheben, zu verarbeiten oder zu nutzen. Der Auftragnehmer wird alle
Personen, die von ihm mit der Bearbeitung und der Erfüllung dieses Vertrages
betraut werden (im folgenden Mitarbeiter genannt), entsprechend verpflichten
(Verpflichtung zur Vertraulichkeit, Art. 28 Abs. 3 lit. b DSGVO) und mit der
gebotenen Sorgfalt die Einhaltung dieser Verpflichtung sicherstellen. Diese Verpflichtungen
müssen so gefasst sein, dass sie auch nach Beendigung dieses Vertrages oder des
Beschäftigungsverhältnisses zwischen dem Mitarbeiter und dem Auftragnehmer
bestehen bleiben. Dem Auftraggeber sind die Verpflichtungen auf Verlangen in
geeigneter Weise nachzuweisen.
§ 5 Informationspflichten des
Auftragnehmers
(1) Bei Störungen, Verdacht auf
Datenschutzverletzungen oder Verletzungen vertraglicher Verpflichtungen des
Auftragnehmers, Verdacht auf sicherheitsrelevante Vorfälle oder andere
Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten durch den
Auftragnehmer, bei ihm im Rahmen des Auftrags beschäftigten Personen oder durch
Dritte wird der Auftragnehmer den Auftraggeber unverzüglich in Schriftform oder
Textform informieren. Dasselbe gilt für Prüfungen des Auftragnehmers durch die
Datenschutz-Aufsichtsbehörde. Die Meldung über eine Verletzung des Schutzes
personenbezogener Daten enthält zumindest folgende Informationen:
a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener
Daten, soweit möglich mit Angabe der Kategorien und der Zahl der betroffenen
Personen, der betroffenen Kategorien und der Zahl der betroffenen
personenbezogenen Datensätze;
b) eine Beschreibung der von dem Auftragnehmer ergriffenen oder vorgeschlagenen
Maßnahmen zur Behebung der Verletzung und gegebenenfalls Maßnahmen zur
Abmilderung ihrer möglichen nachteiligen Auswirkungen.
(2) Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur
Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der
Betroffenen, informiert hierüber den Auftraggeber und ersucht um weitere
Weisungen.
(3) Der Auftragnehmer ist darüber hinaus verpflichtet, dem Auftraggeber
jederzeit Auskünfte zu erteilen, soweit dessen Daten von einer Verletzung nach
Absatz 1 betroffen sind.
(4) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder
Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch
sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der
Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren, sofern ihm
dies nicht durch gerichtliche oder behördliche Anordnung untersagt ist. Der
Auftragnehmer wird in diesem Zusammenhang alle zuständigen Stellen unverzüglich
darüber informieren, dass die Entscheidungshoheit über die Daten ausschließlich
beim Auftraggeber als „Verantwortlichem“ im Sinne der DS-GVO liegen.
(5) Über wesentliche Änderung der Sicherheitsmaßnahmen nach § 4 Abs. 2 hat der
Auftragnehmer den Auftraggeber unverzüglich zu unterrichten.
(6) Ein Wechsel in der Person des betrieblichen
Datenschutzbeauftragten/Ansprechpartners für den Datenschutz ist dem
Auftraggeber unverzüglich mitzuteilen.
(7) Der Auftragnehmer und gegebenenfalls sein Vertreter führen ein Verzeichnis
zu allen Kategorien von im Auftrag des Auftraggebers durchgeführten Tätigkeiten
der Verarbeitung, das alle Angaben gem. Art. 30 Abs. 2 DSGVO enthält. Das
Verzeichnis ist dem Auftraggeber auf Anforderung zur Verfügung zu stellen.
(8) An der Erstellung des Verfahrensverzeichnisses durch den Auftraggeber hat
der Auftragnehmer im angemessenen Umfang mitzuwirken. Er hat dem Auftraggeber
die jeweils erforderlichen Angaben in geeigneter Weise mitzuteilen.
§ 6 Kontrollrechte des Auftraggebers
(1) Der Auftraggeber überzeugt sich vor der
Aufnahme der Datenverarbeitung und sodann regelmäßig, mindestens einmal
jährlich, von den technischen und organisatorischen Maßnahmen des
Auftragnehmers. Hierfür kann er z. B. Auskünfte des Auftragnehmers einholen,
sich vorhandene Testate von Sachverständigen, Zertifizierungen oder internen
Prüfungen vorlegen lassen oder die technischen und organisatorischen Maßnahmen
des Auftragnehmers nach rechtzeitiger Abstimmung zu den üblichen
Geschäftszeiten selbst persönlich prüfen bzw. durch einen sachkundigen Dritten
prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum
Auftragnehmer steht. Der Auftraggeber wird Kontrollen nur im erforderlichen
Umfang durchführen und die Betriebsabläufe des Auftragnehmers dabei nicht
unverhältnismäßig stören.
(2) Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf dessen mündliche
oder schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte
und Nachweise zur Verfügung zu stellen, die zur Durchführung einer Kontrolle
der technischen und organisatorischen Maßnahmen des Auftragnehmers erforderlich
sind.
(3) Der Auftraggeber dokumentiert das Kontrollergebnis und teilt es dem
Auftragnehmer mit. Bei Fehlern oder Unregelmäßigkeiten, die der Auftraggeber
insbesondere bei der Prüfung von Auftragsergebnissen feststellt, hat er den
Auftragnehmer unverzüglich zu informieren. Werden bei der Kontrolle
Sachverhalte festgestellt, deren zukünftige Vermeidung Änderungen des
angeordneten Verfahrensablaufs erfordern, teilt der Auftraggeber dem
Auftragnehmer die notwendigen Verfahrensänderungen unverzüglich mit.
(4) Der Auftragnehmer stellt dem Auftraggeber auf dessen Wunsch ein umfassendes
und aktuelles Datenschutz- und Sicherheitskonzept für die Auftragsverarbeitung
sowie über zugriffsberechtigte Personen zur Verfügung.
(5) Der Auftragnehmer weist dem Auftraggeber die Verpflichtung der Mitarbeiter
nach § 4 Abs. 4 auf Verlangen nach.
§ 7 Einsatz von Subunternehmern
(1) Die vertraglich vereinbarten Leistungen
bzw. die nachfolgend beschriebenen Teilleistungen werden unter Einschaltung
folgender Subunternehmer durchgeführt: Silverback UG (Haftungsbeschränkt),
Agrovitalize UG (Haftungsbeschränkt), REDDOXX GmbH, audatis Services GmbH, Papoo
Software & Media GmbH, Cookiebox GmbH. Der Auftragnehmer ist im Rahmen
seiner vertraglichen Verpflichtungen zur Begründung von weiteren
Unterauftragsverhältnissen mit Subunternehmern („Subunternehmerverhältnis“)
bzw. zum Wechsel der beauftragen Subunternehmer befugt, wenn er dies dem
Auftraggeber vorab mindestens in Textform mitteilt und dieser nicht innerhalb
von 14 Tagen widerspricht. Vor Ablauf dieser Frist ist der Auftragnehmer nicht
zur Weitergabe von Daten im Subunternehmerverhältnis berechtigt. Der
Auftragnehmer ist verpflichtet, Subunternehmer sorgfältig nach deren Eignung
und Zuverlässigkeit auszuwählen. Der Auftragnehmer hat bei der Einschaltung von
Subunternehmern diese entsprechend den Regelungen dieser Vereinbarung zu
verpflichten und dabei sicherzustellen, dass der Auftraggeber seine Rechte aus
dieser Vereinbarung (insbesondere seine Prüf- und Kontrollrechte) auch direkt
gegenüber den Subunternehmern wahrnehmen kann. Sofern eine Einbeziehung von
Subunternehmern in einem Drittland erfolgen soll, hat der Auftragnehmer
sicherzustellen, dass beim jeweiligen Subunternehmer ein angemessenes
Datenschutzniveau gewährleistet ist (z. B. durch Abschluss einer Vereinbarung
auf Basis der EU-Standarddatenschutzklauseln). Der Auftragnehmer wird dem
Auftraggeber auf Verlangen den Abschluss der vorgenannten Vereinbarungen mit
seinen Subunternehmern nachweisen.
(2) Ein Subunternehmerverhältnis im Sinne dieser Bestimmungen liegt nicht vor,
wenn der Auftragnehmer Dritte mit Dienstleistungen beauftragt, die als reine
Nebenleistungen anzusehen sind. Dazu gehören z. B. Post-, Transport- und
Versandleistungen, Reinigungsleistungen, Rechenzentrum und Hostingleistungen, Telekommunikationsleistungen
ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für den Auftraggeber
erbringt und Bewachungsdienste. Wartungs- und Prüfleistungen stellen
zustimmungspflichtige Subunternehmerverhältnisse dar, soweit diese für
IT-Systeme erbracht werden, die auch im Zusammenhang mit der Erbringung von
Leistungen für den Auftraggeber genutzt werden.
§ 8 Anfragen und Rechte Betroffener
(1) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit
geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von
dessen Pflichten nach Art. 12–22 sowie 32 und 36 DSGVO.
(2) Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung
oder Löschung hinsichtlich seiner Daten, unmittelbar gegenüber dem
Auftragnehmer geltend, so reagiert dieser nicht selbstständig, sondern verweist
den Betroffenen unverzüglich an den Auftraggeber und wartet dessen Weisungen
ab.
§ 9 Haftung
(1) Für Schäden durch unrechtmäßige oder
fehlerhafte Datenverarbeitung haftet ausschließlich der Auftraggeber gegenüber
betroffenen Personen.
(2) Beide Parteien stellen sich gegenseitig
von der Haftung frei, wenn sie nachweisen können, dass sie für den Schaden
nicht verantwortlich sind.
§ 10 Außerordentliches Kündigungsrecht
(1) Der Auftraggeber kann den Hauptvertrag
fristlos kündigen, wenn der Auftragnehmer seinen Datenschutzpflichten nicht
nachkommt oder gegen die DSGVO verstößt. Bei weniger schwerwiegenden Verstößen
muss der Auftraggeber dem Auftragnehmer eine angemessene Frist zur Behebung
setzen.
§ 11 Beendigung des Hauptvertrags
(1) Der Auftragnehmer wird dem Auftraggeber nach Beendigung des Hauptvertrags
oder jederzeit auf dessen Anforderung alle ihm überlassenen Unterlagen, Daten
und Datenträger zurückgeben oder – auf Wunsch des Auftraggebers, sofern nicht
nach dem Unionsrecht oder dem Recht der Bundesrepublik Deutschland eine
Verpflichtung zur Speicherung der personenbezogenen Daten besteht – löschen.
Dies betrifft auch etwaige Datensicherungen beim Auftragnehmer. Der
Auftragnehmer hat den dokumentierten Nachweis der ordnungsgemäßen Löschung noch
vorhandener Daten zu führen. Zu entsorgende Unterlagen sind mit einem
Aktenvernichter nach DIN 32757-1 zu vernichten. Zu entsorgende Datenträger sind
nach DIN 66399 zu vernichten.
(2) Der Auftraggeber hat das Recht, die vollständige und vertragsgerechte
Rückgabe bzw. Löschung der Daten beim Auftragnehmer in geeigneter Weise zu
kontrollieren.
(3) Der Auftragnehmer ist verpflichtet, auch über das Ende des Hauptvertrags
hinaus die ihm im Zusammenhang mit dem Hauptvertrag bekannt gewordenen Daten
vertraulich zu behandeln. Die vorliegende Vereinbarung bleibt über das Ende des
Hauptvertrags hinaus solange gültig, wie der Auftragnehmer über
personenbezogene Daten verfügt, die ihm vom Auftraggeber zugeleitet wurden oder
die er für diesen erhoben hat.
§ 12 Schlussbestimmungen
(1) Die Parteien sind sich darüber einig, dass die Einrede des
Zurückbehaltungsrechts durch den Auftragnehmer i. S. d. § 273 BGB hinsichtlich
der zu verarbeitenden Daten und der zugehörigen Datenträger ausgeschlossen ist.
(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform.
Dies gilt auch für den Verzicht auf dieses Formerfordernis. Der Vorrang
individueller Vertragsabreden bleibt hiervon unberührt.
(3) Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise nicht
rechtswirksam oder nicht durchführbar sein oder werden, so wird hierdurch die
Gültigkeit der jeweils übrigen Bestimmungen nicht berührt.
(4) Diese Vereinbarung unterliegt deutschem Recht. Ausschließlicher
Gerichtsstand ist der Sitz des Auftraggebers.