Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DS-GVO

zur Beauftragung der „24h-Serviceline“

(nachfolgend als „Hauptvertrag“ bezeichnet)

zwischen

- Verantwortlicher, nachstehend „Auftraggeber“ genannt -

und der

ADAC Truckservice GmbH

Wilhelm-Maybach-Straße 3

89150 Laichingen

- Auftragsverarbeiter, nachstehend „Auftragnehmer“ genannt -

- einzeln und/oder gemeinsam nachstehend als „Vertragspartner“ genannt-

1. Gegenstand und Dauer der Vereinbarung

   1. Der Auftrag, die konkrete Beschreibung der Dienstleistung sowie die Dauer sind im Annex „Ergänzung zum Auftragsverarbeitungsvertrag“ (Annex 1) geregelt.

   2. Der Auftragnehmer verarbeitet dabei personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DS-GVO auf Grundlage dieses Vertrages.

   3. Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedstaat der Europäischen Union erbracht. Sollten wir personenbezogene Daten an weisungsgebundene Dienstleister außerhalb der EU bzw. des Europäischen Wirtschaftsraums (EWR) übermitteln, erfolgt eine Verarbeitung Ihrer Daten in Drittstaaten nur auf Grundlage sogenannter Standarddatenschutzklauseln der EU-Kommission, soweit durch bestimmte Maßnahmen sichergestellt ist, dass hierfür ein angemessenes Datenschutzniveau besteht (z. B. Angemessenheitsbeschluss der EU-Kommission oder sog. geeignete Garantien, Art. 44ff. DSGVO).

   4. Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will, oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert, oder gegen aus Art. 28 DS-GVO abgeleitete Pflichten verstoßen wird.

2. Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen:

   1. Einzelheiten zum Zweck, zur Art der Verarbeitung (gem. Art. 4 Nr. 2 DS-GVO), zur Art der personenbezogenen Daten (gem. Art. 4 Nr. 1, 13, 14 und 15 DS-GVO) und Kategorien betroffener Personen (gem. Art. 4 Nr. 1 DS-GVO) ergeben sich ebenfalls aus Annex 1.

3. Rechte und Pflichten sowie Weisungsbefugnisse des Auftraggebers

   1. Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DS-GVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DS-GVO ist allein der Auftraggeber verantwortlich. Gleichwohl ist der Auftragnehmer verpflichtet, alle solche Anfragen, sofern sie erkennbar ausschließlich an den Auftraggeber gerichtet sind, unverzüglich an diesen weiterzuleiten.

   2. Änderungen der Regelungsinhalte des Annex 1 und Verfahrensänderungen sind gemeinsam zwischen Auftraggeber und Auftragnehmer abzustimmen und schriftlich oder in einem elektronischen Format festzulegen.

   3. Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in einem elektronischen Format zu bestätigen.

   4. Der Auftraggeber ist berechtigt, sich wie unter Ziffer 5. dieses Vertrages festgelegt vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen.

   5. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Ergebnisse der Verarbeitung feststellt.

4. Weisungsberechtigte des Auftraggebers, Weisungsempfänger des Auftragnehmers:

   1. Die Einzelheiten hierzu sind ebenfalls in Annex 1 geregelt.

   2. Bei einem Wechsel oder einer längerfristigen Verhinderung der Weisungsberechtigten sind dem jeweiligen Vertragspartner unverzüglich und grundsätzlich schriftlich, was auch in einem elektronischen Format erfolgen kann, die Nachfolger bzw. die Vertreter mitzuteilen.

5. Pflichten des Auftragnehmers

   1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsnehmer unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragsnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DS-GVO).

   2. Der Auftragnehmer verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen als die in Annex 1 geregelten Zwecke, insbesondere nicht für eigene Zwecke.

   3. Der Auftragnehmer ist für die gesamte Abwicklung seiner Dienstleistung für den Auftraggeber verantwortlich. Er hat dabei insbesondere regelmäßige Überprüfungen in seinem Betrieb durchzuführen und zu dokumentieren.

   4. Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DS-GVO durch den Auftraggeber, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten (Art. 30 DS-GVO) sowie bei erforderlichen Datenschutz-Folgeabschätzungen des Auftraggebers hat der Auftragnehmer im notwendigen Umfang mitzuwirken und den Auftraggeber soweit möglich und angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit e und f DS-GVO). Er hat die dazu erforderlichen Angaben jeweils unverzüglich an folgende Stelle des Auftraggebers weiterzuleiten: Weisungsberechtigter gem. Annex 1

   5. Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DS-GVO). Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber nach Überprüfung bestätigt oder geändert wird.

   6. Der Auftragnehmer hat personenbezogene Daten aus dem Auftragsverhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Auftraggeber dies mittels einer Weisung verlangt und berechtigte Interessen des Auftragnehmers dem nicht entgegenstehen.

   7. Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Weisung oder schriftlicher Zustimmung durch den Auftraggeber erteilen

   8. Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber -grundsätzlich nach Terminvereinbarung - berechtigt ist, die Einhaltung der Vorschriften über Datenschutz und Datensicherheit sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang selbst oder durch vom Auftraggeber beauftragte Dritte, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen im Sinne von Art. 28 Abs. 3 Satz 2 lit. h DS-GVO, zu kontrollieren.

   9. Der Auftragnehmer wird, soweit erforderlich und angemessen, bei diesen Kontrollen unterstützend mitwirken.

   10. Der Auftragnehmer gewährleistet, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DS-GVO). Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb.

   11. Als Datenschutzbeauftragter ist beim Auftragnehmer Herr Jörg Lüders bestellt. Sie erreichen den Datenschutzbeauftragten postalisch unter: lueders consulting, Harburger Stadtweg 5, 21224 Rosengarten oder per Email, info@lueders-consulting.de

   12. Der Auftragnehmer verpflichtet sich, den Auftraggeber über den Widerruf einer Zertifizierung nach Art. 42 Abs. 7 DS-GVO unverzüglich zu informieren.

   13. Weisungen des Auftraggebers sind für ihre Geltungsdauer und anschließend noch für drei (3) volle Kalenderjahre aufzubewahren

6. Mitteilungspflichten des Auftragnehmers bei Störungen der Verarbeitung und bei Verletzungen des Schutzes personenbezogener Daten

   1. Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DS-GVO. Der Auftragnehmer wird den Auftraggeber – soweit erforderlich bei seinen Pflichten nach Art. 33 und 34 DS-GVO angemessen unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DS-GVO). Meldungen nach Art. 33 oder 34 DS-GVO für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung gem. Ziffer 4 dieses Vertrages durchführen.

7. Unterauftragsverhältnisse mit Subunternehmern (Art. 28 Abs. 3 Satz 2 lit. d DS-GVO)

   1. Dem Auftraggeber ist bewusst, dass der Auftragnehmer im Rahmen der vertraglich geschuldeten Leistungserbringung Subunternehmer beauftragt, deren Auswahl dem Auftragnehmer obliegt.

   2. Der Auftragnehmer hat die Einhaltung der Pflichten des/der Subunternehmer(s) zu überprüfen. Das Ergebnis der Überprüfungen ist zu dokumentieren.

   3. Der Auftragnehmer haftet gegenüber dem Auftraggeber dafür, dass der Subunternehmer den Datenschutzpflichten nachkommt.

   4. Zurzeit werden von dem Auftragnehmer die in Annex 3)mit Namen, Anschrift und Auftragsinhalt bezeichneten Subunternehmer mit der Verarbeitung von personenbezogenen Daten in dem dort genannten Umfang eingesetzt. Mit deren Beauftragung erklärt sich der Auftraggeber einverstanden.

8. Technische und organisatorische Maßnahmen nach Art. 32 DS-GVO (Art. 28 Abs. 3 Satz 2 lit. c DS-GVO)

   1. Der Auftragnehmer gewährleistet für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau. Dazu werden die Schutzziele von Art. 32 Abs. 1 DS-GVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.

   2. Zur Gewährleistung der datenschutzkonformen Verarbeitung wird der Auftragnehmer seine Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen verbindlich regeln.

   3. Der Auftragnehmer weist die technisch-organisatorischen Maßnahmen über die ausgefüllte Checkliste gemäß Annex 2 nach.

   4. Soweit die beim Auftragnehmer getroffenen Maßnahmen den Anforderungen des Auftraggebers nicht genügen, benachrichtigt er den Auftraggeber unverzüglich.

   5. Die Maßnahmen beim Auftragnehmer können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dürfen aber die vereinbarten Standards nicht unterschreiten.

9. Verpflichtungen des Auftragnehmers nach Beendigung des Auftrags, Art. 28 Abs. 3 Satz 2 lit. g DS-GVO)

   1. Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer auf Aufforderung des Auftraggebers sämtliche in seinen Besitz sowie an Subunternehmen gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber entweder auszuhändigen oder datenschutzgerecht zu löschen bzw. zu vernichten/vernichten zu lassen. Diese Verpflichtung besteht nicht, sofern nach dem Unionsrecht oder dem anwendbaren nationalen Recht eine Verpflichtung zur Speicherung von der Daten besteht, worunter insbesondere abgabenrechtliche und handelsbilanzielle Aufbewahrungspflichten fallen.

   2. Im Falle der Löschung bzw. Vernichtung ist dem Auftraggeber mit Datumsangabe schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.

10. Haftung

    1. Für die Haftung der Vertragspartner gilt Art. 82 DS-GVO.

11. Schlussbestimmung

    1. Folgende Annexe sind fester Bestandteil dieses Vertrages:

       1. Annex 1 Ergänzung zum Auftragsverarbeitungsvertrag

       2. Annex 2 TOM vom 01.08.2022

       3. Annex 3 Liste Subunternehmer

       4. Die Annexe können angepasst werden; die jeweils neue Version wird dabei automatisch Vertragsbestandteil.

    2. Eventuell zwischen den Vertragspartner bestehende frühere Vereinbarungen über den Auftrag zur Datenverarbeitung gemäß § 11 BDSG werden aufgehoben und durch diesen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DS-GVO ersetzt.

    3. Änderungen oder Ergänzungen dieses Vertrages sind schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann. Mündliche Nebenabreden bestehen nicht.

    4. Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfunterlagen (auch zu Subunternehmen) gem. Ziffer 7.1 und 8.3 dieses Vertrages sind von beiden Vertragspartnern für die Dauer der Auftragsverarbeitung und anschließend noch für drei (3) volle Kalenderjahre aufzubewahren.

    5. Sollte das Eigentum oder die zu verarbeitenden personenbezogenen Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu verständigen.

    6. Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hierdurch nicht berührt.