Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch BR-Systems im Auftrag des Kunden — insbesondere im Rahmen von Fernwartung, Monitoring und Betrieb (RMM) sowie der Bereitstellung virtueller Server (Private Cloud).

1. Vertragsparteien

2. Gegenstand, Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vereinbarten Leistungen. Gegenstand, Art, Zweck, Datenkategorien, Kategorien betroffener Personen sowie die Dauer der Verarbeitung sind in Anlage 1 beschrieben. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

3. Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Mündliche Weisungen werden unverzüglich schriftlich oder in Textform bestätigt.

4. Pflichten des Auftragsverarbeiters

• Vertraulichkeit: Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet bzw. unterliegen einer gesetzlichen Verschwiegenheitspflicht.
• Sicherheit der Verarbeitung: Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage 2 – TOM).
• Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) sowie bei Pflichten nach Art. 32–36 DSGVO.
• Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.
• Führung eines Verzeichnisses zu allen Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO).

5. Technische und organisatorische Maßnahmen (TOM)

Die vom Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind in Anlage 2 dokumentiert und Bestandteil dieses Vertrags. Sie werden bei Bedarf an den Stand der Technik angepasst, ohne das vereinbarte Schutzniveau zu unterschreiten.

6. Unterauftragsverhältnisse

Sollte künftig ein Unterauftragsverarbeiter eingesetzt werden, erfolgt dies nur nach vorheriger Information des Verantwortlichen, der innerhalb einer angemessenen Frist widersprechen kann. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO). Der Betreiber des Rechenzentrums (reine Colocation/Stellfläche) erhält keinen Zugriff auf personenbezogene Daten und gilt nicht als Unterauftragsverarbeiter.

7. Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter.

8. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, und unterstützt bei den Pflichten nach Art. 33, 34 DSGVO.

9. Kontrollrechte

Der Verantwortliche hat das Recht, die Einhaltung der getroffenen Maßnahmen zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragsverarbeiter weist die Einhaltung auf Anfrage nach, etwa durch die TOM-Dokumentation oder geeignete Nachweise. Vor-Ort-Prüfungen erfolgen nach rechtzeitiger Ankündigung und ohne unangemessene Störung des Betriebs.

10. Löschung und Rückgabe

Nach Abschluss der Leistungen löscht oder übergibt der Auftragsverarbeiter — nach Wahl des Verantwortlichen — sämtliche personenbezogenen Daten und vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung wird auf Verlangen bestätigt.

11. Haftung & Schlussbestimmungen

Es gelten die Haftungsregelungen der DSGVO (Art. 82) sowie die zwischen den Parteien vereinbarten Bedingungen. Änderungen bedürfen der Schriftform bzw. Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 – Beschreibung der Verarbeitung