Vertrag zur Auftragsverarbeitung

im Sinne von Art. 28 Abs. 3 DSGVO

zwischen dem Kunden – nachfolgend Verantwortlicher –

und

Sebastian Krüger
GeORG.app – Digitale Gemeindeverwaltung
Slamener Höhe 6
03130 Spremberg

– nachfolgend Auftragsverarbeiter –

§ 1 Gegenstand und Dauer des Auftrags

1.1 Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten im Auftrag durch den Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs der Software GeORG. Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde.

1.2 Gegenstand des Auftrags, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Kategorien personenbezogener Daten ergeben sich aus § 2 und aus Anlage 3 (Auftragsdetails).

1.3 Dieser Vertrag ist an die Laufzeit des zugrunde liegenden Hauptvertrags über die Nutzung von GeORG gebunden. Er beginnt mit dessen Wirksamwerden und endet mit dessen Beendigung. Eine isolierte ordentliche Kündigung dieses Vertrags ist ausgeschlossen. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt; kündigt eine Partei diesen Vertrag außerordentlich, endet zugleich der Hauptvertrag.

1.4 Die Pflichten aus § 11 (Löschung und Rückgabe) und § 12 (Vertraulichkeit) bestehen über das Vertragsende hinaus fort.

§ 2 Art, Umfang und Zweck der Verarbeitung

2.1 Zweck der Verarbeitung ist der Betrieb der Verwaltungssoftware GeORG für den Verantwortlichen. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zu diesem Zweck und im Rahmen der in Anlage 3 aufgeführten Verarbeitungstätigkeiten.

2.2 Die Verarbeitung umfasst insbesondere das Erheben, Erfassen, Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln im Rahmen der Funktionen der Software, Einschränken, Löschen und Vernichten.

2.3 Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland, in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Eine Übermittlung personenbezogener Daten in ein Drittland findet nicht statt. Sollte eine Verarbeitung außerhalb dieser Staaten künftig erforderlich werden, ist sie nur unter den Voraussetzungen der Art. 44 ff. DSGVO und nur nach vorheriger Zustimmung des Verantwortlichen in Textform zulässig. Die konkreten Verarbeitungsorte ergeben sich aus Anlage 2 – Unterauftragnehmer.

2.4 Der Verantwortliche kann in der Software Freitextfelder und Dateiuploads nutzen. Er entscheidet eigenverantwortlich, welche Daten er und seine Nutzer dort ablegen, und stellt sicher, dass hierfür eine Rechtsgrundlage besteht.

2.5 Soweit über GeORG Daten besonderer Kategorien im Sinne des Art. 9 Abs. 1 DSGVO verarbeitet werden – insbesondere Angaben zur Religionszugehörigkeit sowie weitere Angaben, die sich aus dem Verwendungszweck der Software ergeben –, trägt der Auftragsverarbeiter dem erhöhten Schutzbedarf durch die Maßnahmen nach Anlage 1 – Technische und organisatorische Maßnahmen Rechnung.

2.6 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und insbesondere für die Zulässigkeit der Datenüberlassung an den Auftragsverarbeiter allein verantwortlich.

Kategorien betroffener Personen

Mitglieder, Mitarbeitende, Ehrenamtliche, Kinder und Jugendliche, Nutzer der Software, externe Kontakte und Gäste sowie sonstige Personen, die sich aus den vom Verantwortlichen oder seinen Nutzern gepflegten Daten ergeben. Einzelheiten regelt Anlage 3.

Kategorien personenbezogener Daten

Stamm-, Kontakt- und Kommunikationsdaten, Nutzungs- und Metadaten, Termin-, Gruppen- und Gremiendaten sowie die weiteren in Anlage 3 aufgeführten Datenarten.

§ 3 Weisungsrecht des Verantwortlichen

3.1 Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Dem Verantwortlichen steht ein umfassendes Weisungsrecht hinsichtlich Art, Umfang und Modalitäten der Verarbeitung zu. Die Regelungen dieses Vertrags und des Hauptvertrags gelten als Weisung.

3.2 Eine Verarbeitung abweichend von den Weisungen ist nur zulässig, wenn der Auftragsverarbeiter nach dem Unionsrecht oder dem Recht eines Mitgliedstaats hierzu verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.3 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 S. 3 DSGVO). Er ist berechtigt, die Ausführung einer solchen Weisung auszusetzen, bis der Verantwortliche sie nach Erörterung ausdrücklich bestätigt oder ändert.

3.4 Weisungen sind in Textform zu erteilen. Mündliche Weisungen sind in begründeten Einzelfällen zulässig; der Verantwortliche bestätigt sie unverzüglich in Textform. Der Auftragsverarbeiter dokumentiert Person, Datum und Uhrzeit jeder erteilten Weisung.

3.5 Weisungsbefugt ist die vom Verantwortlichen in GeORG hinterlegte Person oder Rolle des administrativen Ansprechpartners sowie jede weitere vom Verantwortlichen in Textform benannte Person. Änderungen teilt der Verantwortliche dem Auftragsverarbeiter unverzüglich mit.

3.6 Weisungen, die sich im Rahmen der in GeORG bereitgestellten Funktionen und des im Hauptvertrag vereinbarten Leistungsumfangs umsetzen lassen, führt der Auftragsverarbeiter unentgeltlich aus. Erfordert die Umsetzung einer Weisung darüber hinausgehenden Aufwand – etwa die Wiederherstellung, Bereinigung und Neuerstellung von Sicherungskopien, Sonderauswertungen oder Anpassungen der Systemkonfiguration – und beruht dieser nicht auf einem Umstand, den der Auftragsverarbeiter zu vertreten hat, kann er hierfür eine angemessene Vergütung nach den Sätzen des Service Level Agreements verlangen. Er weist den Verantwortlichen vor Aufnahme der Tätigkeit auf die Kostenpflicht hin und stimmt den voraussichtlichen Aufwand mit ihm ab.

3.7 Der Auftragsverarbeiter kann die Ausführung einer Weisung ablehnen, soweit sie technisch unmöglich ist, den Betrieb oder die Sicherheit der Plattform für andere Verantwortliche gefährden würde oder in keinem angemessenen Verhältnis zum verfolgten Zweck steht. Er teilt dies dem Verantwortlichen unverzüglich in Textform unter Angabe der Gründe mit und schlägt, soweit möglich, ein geeignetes alternatives Vorgehen vor. Das Recht des Verantwortlichen, den Vertrag nach Maßgabe des Hauptvertrags zu beenden und Löschung oder Rückgabe nach § 11 zu verlangen, bleibt unberührt; gesetzliche Pflichten des Auftragsverarbeiters nach Art. 28 DSGVO bleiben von dieser Regelung unberührt.

§ 4 Rechte und Pflichten des Verantwortlichen

4.1 Der Verantwortliche ist für die Beurteilung der Zulässigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen allein verantwortlich (Art. 24, Art. 28 Abs. 3 S. 1 DSGVO). Er entscheidet über Zwecke und Mittel der Verarbeitung; die Daten und ihre Verarbeitungsergebnisse stehen ihm zu.

4.2 Der Verantwortliche stellt sicher, dass für die Erhebung und die Überlassung der Daten an den Auftragsverarbeiter eine Rechtsgrundlage besteht, und dass die betroffenen Personen nach Art. 13 und 14 DSGVO informiert sind. Dies gilt insbesondere für Daten, die er oder seine Nutzer in Freitextfeldern oder Dateiuploads ablegen (§ 2.4 und § 2.6).

4.3 Der Verantwortliche erteilt Weisungen nach Maßgabe des § 3 und hält die Angaben zu den weisungsbefugten Personen sowie seine Kontaktdaten aktuell.

4.4 Der Verantwortliche überzeugt sich vor Beginn der Verarbeitung und danach regelmäßig von der Einhaltung der beim Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen; er übt hierzu die Rechte aus § 8 aus und dokumentiert die Ergebnisse.

4.5 Der Verantwortliche führt sein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO und nimmt, soweit erforderlich, eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO sowie eine vorherige Konsultation nach Art. 36 DSGVO vor.

4.6 Meldungen von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33 DSGVO) und Benachrichtigungen betroffener Personen (Art. 34 DSGVO) obliegen dem Verantwortlichen. Anträge betroffener Personen beantwortet er selbst (§ 7.3).

4.7 Der Verantwortliche verwaltet die Benutzerkonten, Rollen und Berechtigungen in GeORG eigenverantwortlich. Er hält die Zugangsdaten geheim, entzieht nicht mehr berechtigten Personen den Zugang unverzüglich und beschränkt die eingestellten Daten auf das für seine Zwecke erforderliche Maß.

4.8 Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung seiner Daten feststellt, sowie über Kontrollhandlungen einer Aufsichtsbehörde, die die Auftragsverarbeitung betreffen.

4.9 Nach Beendigung der Verarbeitung entscheidet der Verantwortliche nach Maßgabe des § 11 über Löschung oder Rückgabe der Daten und stellt den Export innerhalb der dort geregelten Frist sicher.

§ 5 Technische und organisatorische Maßnahmen

5.1 Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 1 – Technische und organisatorische Maßnahmen beschrieben und Bestandteil dieses Vertrags.

5.2 Der Auftragsverarbeiter überprüft die Maßnahmen regelmäßig sowie anlassbezogen und passt sie an den Stand der Technik an. Er darf die Maßnahmen fortentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt er dem Verantwortlichen in Textform mit.

5.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen dabei, die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO) einzuhalten, soweit ihm dies als Auftragsverarbeiter möglich ist.

§ 6 Allgemeine Pflichten des Auftragsverarbeiters

6.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und der erteilten Weisungen. Eine Nutzung der Daten für eigene Zwecke findet vorbehaltlich des § 6.2 nicht statt.

6.2 Der Auftragsverarbeiter wertet Nutzungs- und Systemdaten (Telemetrie) aus, um den sicheren und stabilen Betrieb der Plattform zu gewährleisten, Fehler zu erkennen und zu beheben, Kapazitäten zu planen und die Software weiterzuentwickeln. Hierfür gilt:

• Er verwendet ausschließlich aggregierte oder anonymisierte Daten, die weder einzelnen betroffenen Personen noch – bei einer Auswertung über mehrere Mandanten hinweg – dem Verantwortlichen zugeordnet werden können.
• Inhaltsdaten, insbesondere die Angaben aus Freitextfeldern und Dateiuploads (§ 2.4), sowie Daten besonderer Kategorien (§ 2.5) werden nicht ausgewertet.
• Die Aggregation oder Anonymisierung erfolgt zum frühestmöglichen Zeitpunkt. Bis dahin gelten die Daten als Auftragsverarbeitung nach diesem Vertrag; ab diesem Zeitpunkt handelt es sich nicht mehr um personenbezogene Daten, und dieser Vertrag findet auf sie keine Anwendung mehr.
• Eine Weitergabe an Dritte erfolgt nur in aggregierter oder anonymisierter Form und ohne Nennung des Verantwortlichen; ein Verkauf der Daten sowie eine Nutzung zu Werbezwecken finden nicht statt.

Auf Anforderung erläutert der Auftragsverarbeiter Art und Umfang der erhobenen Telemetriedaten in Textform.

6.3 Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Vor der Verpflichtung erhalten diese Personen keinen Zugang zu den Daten des Verantwortlichen. Dies gilt auch für Personen, die im Rahmen der Notfallvorsorge Zugriff erhalten können.

6.4 Der Auftragsverarbeiter macht die zugriffsberechtigten Personen mit den einschlägigen Datenschutzbestimmungen vertraut und unterweist sie regelmäßig.

6.5 Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag des Verantwortlichen durchführt (Art. 30 Abs. 2 DSGVO), und stellt es dem Verantwortlichen auf Anforderung zur Verfügung.

6.6 Ansprechpartner für den Datenschutz beim Auftragsverarbeiter ist Sebastian Krüger, erreichbar unter hallo1@georg.app. Der Auftragsverarbeiter teilt dem Verantwortlichen mit, sobald er einen Datenschutzbeauftragten bestellt.

§ 7 Unterstützung bei den Rechten betroffener Personen

7.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nach Kapitel III der DSGVO (Art. 12 bis 23 DSGVO) nachzukommen (Art. 28 Abs. 3 lit. e DSGVO). Das gilt insbesondere für Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit.

7.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen des Schutzes personenbezogener Daten, bei Datenschutz-Folgenabschätzungen und bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 28 Abs. 3 lit. f DSGVO). Der Umfang der Unterstützung bestimmt sich nach der Art der Verarbeitung und den dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

7.3 Anträge betroffener Personen werden über den Verantwortlichen bearbeitet. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und stimmt das weitere Vorgehen mit ihm ab. Eine eigene Beantwortung durch den Auftragsverarbeiter erfolgt nicht.

7.4 Die Unterstützung nach § 7.1 erbringt der Auftragsverarbeiter im Rahmen der in GeORG bereitgestellten Funktionen unentgeltlich. Erfordert die Unterstützung darüber hinausgehenden Aufwand und beruht dieser nicht auf einem Umstand, den der Auftragsverarbeiter zu vertreten hat, kann er hierfür eine angemessene Vergütung nach den Sätzen des Service Level Agreements verlangen. Er weist den Verantwortlichen vor Aufnahme der Tätigkeit auf die Kostenpflicht hin.

§ 8 Kontrollrechte des Verantwortlichen

8.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

8.2 Der Nachweis erfolgt vorrangig durch Selbstauskunft und geeignete Nachweise, insbesondere durch Anlage 1 – Technische und organisatorische Maßnahmen sowie durch Zertifikate oder Testate der eingesetzten Rechenzentren. Der Auftragsverarbeiter beantwortet Fragen des Verantwortlichen zur Verarbeitung innerhalb angemessener Frist.

8.3 Genügen diese Nachweise nicht, kann der Verantwortliche eine Überprüfung vor Ort oder durch einen von ihm beauftragten unabhängigen Prüfer durchführen. Für die Überprüfung gilt:

• Ankündigung mindestens vier Wochen im Voraus in Textform; besteht ein konkreter Anlass, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten, genügt eine den Umständen angemessene kurze Ankündigung;
• Durchführung während der üblichen Geschäftszeiten und ohne Beeinträchtigung des Betriebsablaufs über das erforderliche Maß hinaus;
• der beauftragte Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und ist zur Verschwiegenheit zu verpflichten;
• in der Regel höchstens eine Überprüfung je Kalenderjahr; weitere Überprüfungen bei konkretem Anlass bleiben möglich.

8.4 Der Verantwortliche trägt die Kosten einer Überprüfung nach § 8.3. Der Auftragsverarbeiter kann für den bei ihm anfallenden Aufwand eine angemessene Vergütung verlangen. Ergibt die Überprüfung einen erheblichen Verstoß des Auftragsverarbeiters gegen seine Pflichten aus diesem Vertrag, trägt er die Kosten der Überprüfung und seinen eigenen Aufwand selbst.

8.5 Der Verantwortliche dokumentiert die Ergebnisse seiner Kontrollen.

§ 9 Unterauftragsverhältnisse

9.1 Der Verantwortliche erteilt dem Auftragsverarbeiter mit Abschluss dieses Vertrags die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter nach Art. 28 Abs. 2 S. 1 DSGVO nach Maßgabe der folgenden Bestimmungen. Die Genehmigung erfasst auch die nach § 9.2 angezeigten künftigen Änderungen; sie wird in der Form erteilt, in der dieser Vertrag geschlossen wird. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 – Unterauftragnehmer aufgeführt; ihrem Einsatz stimmt der Verantwortliche mit Abschluss dieses Vertrags zu.

9.2 Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens vier Wochen vor dem geplanten Einsatz in Textform mit. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem Grund widersprechen. Ein wichtiger Grund liegt vor, wenn begründete Anhaltspunkte dafür bestehen, dass durch den Einsatz der Schutz der Daten oder die Einhaltung gesetzlicher oder vertraglicher Bestimmungen gefährdet würde. Der Verantwortliche legt die Gründe seines Widerspruchs dar.

9.3 Widerspricht der Verantwortliche nicht innerhalb der Frist, gilt die Änderung als genehmigt. Auf die Frist und auf diese Folge weist der Auftragsverarbeiter in seiner Mitteilung besonders hin.

9.4 Widerspricht der Verantwortliche fristgerecht und aus wichtigem Grund, darf der Unterauftragsverarbeiter nicht eingesetzt werden. Kann der Auftragsverarbeiter den Grund des Widerspruchs nicht mit zumutbarem Aufwand ausräumen und ist ihm die Leistungserbringung ohne den Unterauftragsverarbeiter nicht zumutbar, kann jede Partei den Hauptvertrag außerordentlich zum Zeitpunkt des geplanten Einsatzes kündigen.

9.5 Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig unter besonderer Berücksichtigung der Eignung ihrer technischen und organisatorischen Maßnahmen aus. Er verpflichtet sie vertraglich auf Datenschutzpflichten, die denen dieses Vertrags gleichwertig sind (Art. 28 Abs. 4 DSGVO); unterliegt der Verantwortliche kirchlichem Datenschutzrecht, gilt dies auch für die entsprechenden Anforderungen an technische und organisatorische Maßnahmen und an die Auftragsverarbeitung nach diesem Recht. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter dem Verantwortlichen gegenüber für deren Einhaltung.

9.6 Die Beauftragung von Unterauftragsverarbeitern in einem Drittland ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und der Verantwortliche zuvor in Textform zugestimmt hat.

9.7 Nebenleistungen, die der Auftragsverarbeiter zur Ausübung seiner geschäftlichen Tätigkeit in Anspruch nimmt, sind keine Unterauftragsverhältnisse im Sinne des Art. 28 DSGVO. Hierzu zählen insbesondere Telekommunikations-, Post- und Transportdienstleistungen sowie Reinigungs- und Wartungsleistungen ohne konkreten Bezug zur Hauptleistung. Auch bei diesen Leistungen stellt der Auftragsverarbeiter durch geeignete Vereinbarungen die Einhaltung des Datenschutzes sicher.

§ 10 Mitteilungs- und Meldepflichten

10.1 Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 48 Stunden. Die Meldung erfolgt in Textform an die vom Verantwortlichen hinterlegte Kontaktadresse und enthält, soweit verfügbar:

• eine Beschreibung der Art der Verletzung einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
• den Namen und die Kontaktdaten des Ansprechpartners,
• eine Beschreibung der wahrscheinlichen Folgen,
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Auswirkungen.

Stehen einzelne Angaben noch nicht zur Verfügung, meldet der Auftragsverarbeiter zunächst die bekannten Umstände und ergänzt sie unverzüglich.

10.2 Der Auftragsverarbeiter teilt dem Verantwortlichen unverzüglich Verstöße gegen diesen Vertrag, gegen Weisungen oder gegen datenschutzrechtliche Vorschriften mit; dies gilt auch bei einem begründeten Verdacht. Die Pflicht besteht unabhängig davon, ob der Verstoß beim Auftragsverarbeiter selbst, bei einer für ihn tätigen Person oder bei einem Unterauftragsverarbeiter aufgetreten ist.

10.3 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen oder Maßnahmen einer Aufsichtsbehörde, die die Verarbeitung der Daten des Verantwortlichen betreffen können, sowie über Ereignisse oder Maßnahmen Dritter, durch die diese Daten gefährdet werden könnten.

10.4 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

§ 11 Löschung und Rückgabe der Daten

11.1 Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie nach dessen Wahl zurück, sofern keine gesetzliche Verpflichtung zur weiteren Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

11.2 Der Auftragsverarbeiter hält die Daten nach Vertragsende 30 Tage zum Export bereit und stellt sie dem Verantwortlichen auf dessen Verlangen in einem gängigen, maschinenlesbaren Format zur Verfügung. Nach Ablauf dieser Frist löscht er die produktiven Daten.

11.3 In Sicherungskopien enthaltene Daten werden im Rahmen des im Service Level Agreement beschriebenen Sicherungszyklus überschrieben, spätestens drei Monate nach der Löschung der produktiven Daten. Bis dahin sind sie gegen jede weitere Verarbeitung geschützt.

11.4 Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, bewahrt der Auftragsverarbeiter bis zum Ablauf der jeweiligen Frist auf und beschränkt ihre Verarbeitung auf diesen Zweck.

11.5 Der Auftragsverarbeiter bestätigt dem Verantwortlichen die Löschung auf Verlangen in Textform.

§ 12 Vertraulichkeit

Der Auftragsverarbeiter behandelt die im Rahmen dieses Vertrags erlangten personenbezogenen Daten unbefristet und über das Vertragsende hinaus vertraulich. Er verpflichtet die für ihn tätigen Personen entsprechend, bevor diese Zugang zu den Daten erhalten.

§ 13 Haftung

13.1 Für die Haftung im Verhältnis der Parteien zueinander gelten die Regelungen des Hauptvertrags.

13.2 Die Haftung gegenüber betroffenen Personen und der Ausgleich zwischen den Parteien richten sich nach Art. 82 DSGVO oder nach den entsprechenden Bestimmungen des für den Verantwortlichen geltenden kirchlichen Datenschutzrechts. Die dortige Verantwortlichkeits- und Ausgleichsordnung wird durch § 13.1 nicht eingeschränkt.

§ 14 Kirchlicher Datenschutz

14.1 Unterliegt der Verantwortliche dem Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD), gilt dieser Vertrag mit der Maßgabe, dass an die Stelle der Bestimmungen der DSGVO die entsprechenden Bestimmungen des DSG-EKD treten, insbesondere § 30 DSG-EKD für die Auftragsverarbeitung.

14.2 Unterliegt der Verantwortliche dem Gesetz über den Kirchlichen Datenschutz (KDG) oder der Datenschutzordnung des Bundes Evangelisch-Freikirchlicher Gemeinden in Deutschland K. d. ö. R. (DSO-BUND), gilt Entsprechendes mit Blick auf § 29 KDG beziehungsweise § 19 DSO-BUND.

14.3 Der Verantwortliche prüft in eigener Verantwortung, ob die Beauftragung des Auftragsverarbeiters und die in diesem Vertrag vereinbarten Regelungen den Anforderungen des für ihn geltenden kirchlichen Datenschutzrechts genügen. Stellt dieses Recht Anforderungen, die über diesen Vertrag hinausgehen – insbesondere zu Form, Genehmigung weiterer Auftragsverarbeiter, Dokumentation oder Verarbeitungsorten –, teilt der Verantwortliche dies vor Vertragsschluss in Textform mit. Die Parteien treffen in diesem Fall eine ergänzende Vereinbarung.

14.4 Der Auftragsverarbeiter erkennt für die in diesem Auftrag erfolgende Verarbeitung die Zuständigkeit der jeweils zuständigen kirchlichen Datenschutzaufsicht an und wirkt an deren Kontrollen im gleichen Umfang mit wie gegenüber einer staatlichen Aufsichtsbehörde.

§ 15 Schlussbestimmungen

15.1 Änderungen und Ergänzungen dieses Vertrags sowie Nebenabreden bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

15.2 Alle Anlagen sind Bestandteil dieses Vertrags.

15.3 Ändern sich die in Bezug genommenen Rechtsvorschriften während der Vertragslaufzeit, gelten die Verweise für die jeweiligen Nachfolgeregelungen entsprechend.

15.4 Sollten einzelne Bestimmungen dieses Vertrags unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

15.5 Es gilt deutsches Recht. Sind beide Parteien Kaufleute, juristische Personen des öffentlichen Rechts oder öffentlich-rechtliche Sondervermögen, ist ausschließlicher Gerichtsstand der Sitz des Auftragsverarbeiters.

15.6 Bei Widersprüchen zwischen dem Hauptvertrag und diesem Vertrag geht dieser Vertrag in Fragen der Auftragsverarbeitung vor.

Anlagenverzeichnis

• Anlage 1 – Technische und organisatorische Maßnahmen
• Anlage 2 – Unterauftragnehmer
• Anlage 3 – Auftragsdetails (nachstehend)

Anlage 3 – Auftragsdetails

Zweck: Bereitstellung und Betrieb der Verwaltungssoftware GeORG für den Verantwortlichen.

Fragen zur Auftragsverarbeitung richten Sie an hallo1@georg.app.