Vereinbarung zur Auftragsverarbeitung (AVV) für die Bereitstellung des Compliance Hub DSMS-Moduls

Präambel

Der Auftragnehmer verarbeitet im Rahmen abgeschlossener oder abzuschließender Verträge personenbezogene Daten aus dem datenschutzrechtlichen Verantwortungsbereich des Auftraggebers im Sinne des Art. 28 Datenschutzgrundverordnung (DSGVO). Die dem Auftragnehmer vom Auftraggeber überlassenen personenbezogenen Daten unterliegen den Bestimmungen der DSGVO und den sonstigen datenschutzrechtlichen Vorschriften (z. B. BDSG). Diese Vereinbarung legt die Rahmenbedingungen zur Gewährleistung der Einhaltung der datenschutzrechtlichen Regelungen fest.

Den Vertragsparteien ist bei Abschluss dieses Vertrages bewusst, dass bei einer Auslagerung der internen Meldestelle Teile der Tätigkeiten eine Auftragsverarbeitung darstellen können, soweit der Auftragnehmer nicht im Zusammenhang mit seiner Unabhängigkeit nach § 15 Abs. 1 HinSchG auch personenbezogene Daten verarbeitet.

Die vorliegende AVV wird geschlossen zwischen Ihnen („Kunde“ bzw. „Auftraggeber“) und der Cortina Consult GmbH, Hafenweg 24, 48155 Münster („Dienstleister“ bzw. „Auftragnehmer“).

1. Inhalt der Auftragsverarbeitung

Umfang, Art und Zweck der Auftragsverarbeitung sind ebenso wie die Art der Daten und der Kreis der Betroffenen in Anlage 1 beschrieben. Insbesondere ist der Auftragnehmer zur Erfüllung von zwischen den Parteien geschlossenen Verträgen unter Einhaltung der Bestimmungen dieses Vertrages zur Durchführung aller erforderlichen Verarbeitungsschritte und Nutzungen der vom Auftraggeber überlassenen sowie der ggf. für ihn erhobenen Daten (z. B. Duplizieren von Beständen für die Verlustsicherung, Anlegen von Log-Files, Zwischendateien und Arbeitsbereichen etc.) berechtigt, soweit dies nicht zu einer inhaltlichen Umgestaltung führt.

2. Technisch-organisatorische Maßnahmen

Der Auftragnehmer hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DSGVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO herzustellen. Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen [siehe Anlage 2], um ein dem Risiko angemessenes Schutzniveau hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme zu gewährleisten. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen. Soweit die Verarbeitung außerhalb der Betriebsräumlichkeiten des Auftragnehmers zulässig ist, wird das gleiche Schutzniveau sichergestellt.

Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

Die Verarbeitung erfolgt grundsätzlich in der EU/im EWR. Eine Verarbeitung in einem Drittland erfolgt nur durch die in Anlage 3 benannten Unterauftragnehmer und nur bei Erfüllung der Art. 44 ff. DSGVO.

3. Berichtigung, Einschränkung und Löschung von Daten

Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

4. Pflichten des Auftragnehmers

Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 33 DSGVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:

1. Benennung eines Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt, soweit eine gesetzliche Verpflichtung zur Benennung besteht. Ein Wechsel des Datenschutzbeauftragten wird dem Auftraggeber unverzüglich mitgeteilt. Soweit der Auftragnehmer nicht zur Benennung eines Datenschutzbeauftragten verpflichtet ist, wird ein Ansprechpartner für Datenschutzangelegenheiten benannt. Die Kontaktdaten des Datenschutzbeauftragten oder des Ansprechpartners für Datenschutzangelegenheiten sind in Anlage 1 hinterlegt.
2. Die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DSGVO. Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Auftraggebers einschließlich der in diesem Vertrag eingeräumten Befugnisse verarbeiten, es sei denn, dass der Auftragnehmer nach dem Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
3. Die Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 S. 2 lit. c, 32 DSGVO. Einzelheiten zu den technischen und organisatorischen Maßnahmen sind in Anlage 2 aufgeführt.
4. Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
5. Die unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.
6. Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer nach besten Kräften zu unterstützen.
7. Angemessene Unterstützung des Auftraggebers in seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von geltend gemachten Rechten durch betroffene Personen.
8. Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.

5. Unterauftragsverhältnisse

Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z. B. als Telekommunikationsleistungen, Post-/Transportdienstleistungen, Wartung und Benutzerservice, soweit dabei kein Zugriff auf personenbezogene Daten des Auftraggebers erfolgt, oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.

Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 S. 2 DSGVO zur Beauftragung weiterer Unterauftragnehmer. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor dem Einsatz eines neuen Unterauftragnehmers in Textform. Der Auftraggeber kann innerhalb von drei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch innerhalb dieser Frist, gilt dies als Zustimmung zum Einsatz des neuen Unterauftragnehmers. Kommt im Falle eines Widerspruchs keine Einigung zustande, kann der Auftragnehmer das Vertragsverhältnis für die betroffene Leistung mit einer Frist von mindestens 14 Tagen zum Ende eines Kalendermonats kündigen. Der Auftragnehmer berücksichtigt dabei die Interessen des Auftraggebers angemessen.

Mit Buchung der Leistung gilt die Genehmigung der in Anlage 3 aufgeführten Unterauftragnehmer als erteilt, unter der Bedingung einer vertraglichen Vereinbarung nach Art. 28 Abs. 2 bis 4 DSGVO.

Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestattet.

Erbringt der Unterauftragnehmer die vereinbarte Leistung außerhalb der EU / des EWR, stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen – insbesondere durch Abschluss von Verträgen nach den aktuellen Standardvertragsklauseln der EU-Kommission – sicher. Sämtliche vertraglichen Regelungen zur Auftragsverarbeitung sind auch weiteren Unterauftragnehmern aufzuerlegen.

6. Kontrollrechte des Auftraggebers

Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen.
Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DSGVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.
Der Auftragnehmer kann die Einhaltung seiner Pflichten vorrangig durch aktuelle Zertifikate oder Prüfberichte nachweisen. Vor-Ort-Kontrollen erfolgen nach Anmeldung mit zwei Wochen Frist zu den üblichen Geschäftszeiten. Prüfer sind zur Vertraulichkeit zu verpflichten und dürfen nicht im Wettbewerb zum Auftragnehmer stehen.

7. Mitteilung bei Verstößen des Auftragnehmers

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 32 bis 36 der DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgenabschätzungen und vorherige Konsultationen. Hierzu gehören u.a.

1. die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen;
2. die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich an den Auftraggeber zu melden;
3. die Verpflichtung, dem Auftraggeber im Rahmen seiner Informationspflicht gegenüber dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen;
4. die Unterstützung des Auftraggebers für dessen Datenschutz-Folgenabschätzung und
5. die Unterstützung des Auftraggebers im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde.

Für Unterstützungsleistungen nach Ziff. 4 lit. f und g, Ziff. 6 und dieser Ziff. 7, die über den geschuldeten Leistungsumfang hinausgehen, kann der Auftragnehmer eine angemessene Vergütung verlangen. Das gilt nicht, soweit die Unterstützung durch einen Verstoß des Auftragnehmers veranlasst ist.

8. Weisungsbefugnis des Auftraggebers

Mündliche Weisungen bestätigt der Auftraggeber unverzüglich mindestens in Textform. Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

9. Löschung von Daten und Rückgabe von Datenträgern

Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Auftraggeber – spätestens mit Beendigung der Leistungsvereinbarung – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial.
Die Löschung erfolgt innerhalb von 60 Tagen nach Vertragsende und wird auf Anfrage in Textform bestätigt. Daten in Datensicherungen werden im regulären Löschzyklus gelöscht.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

10. Laufzeit und Kündigung

Dieser Vertrag kommt mit der Bestätigung durch den Auftraggeber im Rahmen der Buchung zustande und behält Gültigkeit, bis die vereinbarte Datenverarbeitung abgeschlossen ist. Das Recht zur außerordentlichen Kündigung bleibt unberührt. Jede Kündigung bedarf der Textform.

11. Schlussbestimmungen

(1) Dieser Vertrag unterliegt deutschem Recht.

(2) Sollten einzelne Bestimmungen dieses Vertrags ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame oder undurchführbare Bestimmung durch eine wirksame ersetzen, die dem mit ihr verfolgten Zweck wirtschaftlich und rechtlich am nächsten kommt. Entsprechendes gilt für etwaige Regelungslücken.

(3) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag oder sonstigen Vereinbarungen der Parteien gehen die Regelungen dieses Vertrags vor, soweit sie die Verarbeitung personenbezogener Daten im Auftrag betreffen.

(4) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform (§ 126b BGB). Dies gilt auch für die Änderung dieser Textformklausel.

Anlagen:

1. Einzelheiten zur Auftragsverarbeitung
2. Technische und organisatorische Maßnahmen des Auftragnehmers
3. Unterauftragsverhältnisse

---

Anlage 1 – Einzelheiten zur Auftragsverarbeitung

1. Gegenstand und Dauer der Verarbeitung

• Richtet sich nach Leistungsbeschreibung im Angebot bzw. Hauptvertrag.

2. Umfang, Art und Zweck der Verarbeitung:

• Bereitstellung und Betreuung einer Compliance Software (je nach Leistungsumfang für Informationssicherheit, Datenschutz, Schulungen, den Betrieb einer Meldestelle oder KI-Management). Der genaue Umfang ergibt sich aus dem Servicevertrag bzw. dem Angebot.
• Soweit der Auftragnehmer Meldungen nach dem HinSchG verarbeitet, wahrt er die Vertraulichkeit der Identität der in § 8 HinSchG genannten Personen. Der Zugriff ist auf die zuständigen Personen beschränkt.

3. Art der personenbezogenen Daten:

• Die Art der personenbezogenen Daten richtet sich nach Leistungsbeschreibung im Angebot bzw. Hauptvertrag.
• Stammdaten (Name, Rolle, E-Mail Adresse)
• IP-Adressen
• Schulungsdaten
• Protokolldaten
• ggf. Inhalte von Meldungen gem. HinSchG
• bei der Meldestelle ggf. besondere Kategorien (Art. 9 DSGVO) und Daten über Straftaten (Art. 10 DSGVO)

4. Kategorien betroffener Personen:

• Beschäftigte des Auftraggebers (Nutzer, Schulungsteilnehmende)
• Kunden
• Lieferanten
• Ansprechpartner
• Betroffene aus Vorfällen und Anfragen
• ggf. Whistleblower

5. Name und Anschrift des Datenschutzbeauftragten

• Frau Martina Brinkmann
• Hafenweg 24 48155 Münster Deutschland
• post@cortina-consult.de
• Website: https://cortina-consult.com/

---

Anlage 2 – Technisch Organisatorische Maßnahmen (TOM)

Technisch-organisatorische Maßnahmen des Auftragnehmers

---

Anlage 3 – Unterauftragsverhältnisse

Mit Buchung der Leistung gilt die Genehmigung der nachfolgenden Unterauftragnehmer als erteilt, jedoch nur unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2 bis 4 DSGVO:

• LegalInnovate Technologies GmbH, An der Niers 6, 47608 Geldern, Deutschland – Bereitstellung und Betrieb des Compliance Systems (insb. DSMS, ISMS und Meldestelle) zur technischen Unterstützung der Auftragserfüllung