Hinweis: Diese Seite ist druckoptimiert. Vor Vertragsabschluss sind insbesondere Auftraggeberdaten, Projektbezug und Anlage 1/3 projektspezifisch zu vervollständigen.
1. Gegenstand und Anwendungsbereich
BAIS verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Auftraggebers, soweit die konkrete Leistung eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO darstellt. Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Kategorien personenbezogener Daten und betroffener Personen ergeben sich aus Anlage 1.
Bestimmt BAIS ausnahmsweise selbst Zwecke und wesentliche Mittel einer Verarbeitung, ist diese Tätigkeit nicht von diesem AVV erfasst und datenschutzrechtlich gesondert einzuordnen.
2. Weisungen des Auftraggebers
BAIS verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, einschließlich Weisungen zu Übermittlungen in Drittländer, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht. BAIS informiert den Auftraggeber unverzüglich, wenn eine Weisung nach Einschätzung von BAIS gegen anwendbares Datenschutzrecht verstößt.
Weisungen können in Textform über die vereinbarten Projekt- oder Kommunikationskanäle erteilt werden. Mündliche Weisungen sind durch den Auftraggeber zeitnah in Textform zu bestätigen.
3. Vertraulichkeit und berechtigte Personen
BAIS stellt sicher, dass Personen mit Zugriff auf personenbezogene Daten zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe werden auf das für die jeweilige Aufgabe erforderliche Maß begrenzt.
4. Technische und organisatorische Maßnahmen
BAIS trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen, Zwecken und Risiken der Verarbeitung geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Die BAIS-Baseline und projektbezogene Ergänzungen sind in Anlage 2 beschrieben.
Änderungen der TOMs sind zulässig, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden nachvollziehbar dokumentiert.
5. Unterstützung des Auftraggebers
BAIS unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen bei der Erfüllung datenschutzrechtlicher Pflichten, insbesondere bei Betroffenenrechten, Sicherheit der Verarbeitung, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden.
Soweit die Unterstützung über den vertraglich geschuldeten Leistungsumfang hinausgeht und nicht durch ein von BAIS zu vertretendes Ereignis verursacht wurde, kann erforderlicher Zusatzaufwand nach vorheriger Abstimmung vergütet werden.
6. Verletzungen des Schutzes personenbezogener Daten
Wird BAIS eine Verletzung des Schutzes personenbezogener Daten bekannt, die vom Auftragsumfang erfasste Daten betrifft, informiert BAIS den Auftraggeber unverzüglich. Die Meldung enthält, soweit zu diesem Zeitpunkt verfügbar, Art und Umfang des Vorfalls, betroffene Daten-/Personenkategorien, bekannte oder wahrscheinliche Folgen sowie bereits ergriffene oder vorgeschlagene Maßnahmen.
Ergänzende Informationen werden nachgereicht, sobald sie verfügbar sind. BAIS unterstützt den Auftraggeber im erforderlichen Umfang bei dessen Melde- und Benachrichtigungspflichten.
7. Weitere Auftragsverarbeiter / Subprozessoren
Der Auftraggeber erteilt BAIS eine allgemeine schriftliche Genehmigung zum Einsatz der in Anlage 3 aufgeführten Subprozessoren. BAIS informiert den Auftraggeber über beabsichtigte wesentliche Änderungen der Liste und räumt eine angemessene Möglichkeit zum Widerspruch aus datenschutzrechtlich nachvollziehbaren Gründen ein.
BAIS verpflichtet Subprozessoren vertraglich zu Datenschutzpflichten, die ein im Wesentlichen gleichwertiges Schutzniveau gewährleisten. BAIS bleibt gegenüber dem Auftraggeber für die Erfüllung der datenschutzrechtlichen Pflichten der eingesetzten Subprozessoren verantwortlich.
8. Drittlandübermittlungen
Übermittlungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums erfolgen nur, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind und eine erforderliche Weisung bzw. vertragliche Grundlage vorliegt. Je nach Anbieter können insbesondere Angemessenheitsbeschlüsse, Standardvertragsklauseln und zusätzliche Schutzmaßnahmen zum Einsatz kommen.
Ein Art.-28-AVV allein ersetzt keine gegebenenfalls zusätzlich erforderliche Transfergrundlage für Drittländer.
9. Nachweise und Kontrollen
BAIS stellt dem Auftraggeber die zur Nachweisführung erforderlichen Informationen über die Einhaltung dieses AVV zur Verfügung. Prüfungen können zunächst durch geeignete Dokumentation, TOM-Nachweise, Testberichte oder vergleichbare Evidence erfolgen.
Soweit danach eine Vor-Ort- oder weitergehende Prüfung erforderlich ist, wird sie mit angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung von Geheimhaltungs-, Sicherheits- und Rechten Dritter durchgeführt. Unverhältnismäßige Beeinträchtigungen des Betriebs sind zu vermeiden.
10. Löschung, Rückgabe und Ende der Verarbeitung
Nach Abschluss der auftragsbezogenen Verarbeitung löscht oder gibt BAIS personenbezogene Daten nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Projektbezogene Löschfristen, Backups und Exit-Prozesse können in Anlage 1 bzw. im Hauptvertrag konkretisiert werden.
Test-, Export- und temporäre Arbeitskopien werden in den Löschprozess einbezogen, soweit sie unter Kontrolle von BAIS stehen und keine technisch bedingten, gesondert gesicherten Backup-Zyklen entgegenstehen.
11. Verantwortlichkeit und Dokumentation
Der Auftraggeber ist für die Rechtmäßigkeit der Erhebung, die Rechtsgrundlage der Verarbeitung, die Zulässigkeit seiner Weisungen und die Wahrung der Betroffenenrechte als Verantwortlicher zuständig. BAIS führt die für Auftragsverarbeiter erforderliche Dokumentation im gesetzlich erforderlichen Umfang.
12. Rangfolge, Laufzeit und Schlussbestimmungen
Dieser AVV gilt für die Dauer der auftragsbezogenen Verarbeitung. Bei Widersprüchen zwischen diesem AVV und allgemeinen Vertragsbedingungen gehen die datenschutzspezifischen Regelungen dieses AVV vor; projektbezogene Datenschutzvereinbarungen und ausdrücklich vereinbarte Anlagen konkretisieren diesen AVV.
Im Übrigen gelten die Regelungen des Hauptvertrags. Änderungen dieses AVV sollen aus Nachweisgründen in Textform erfolgen.