🏠[[Startseite ISMS]]  
📘 Kapitel:[[01. Kontext und Führung]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[Datenschutzbeauftragte(r)]]

---

#### Auftragsdatenverarbeitungsvereinbarung gemäß Art. 28 DSGVO

Zwischen:  
**[Name des Auftraggebers]**  
[Adresse des Auftraggebers]  
(im Folgenden „Auftraggeber“ genannt)  

und:  
**[Name des Auftragnehmers]**  
[Adresse des Auftragnehmers]  
(im Folgenden „Auftragnehmer“ genannt)  

wird folgende Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag geschlossen:

---

## 1. Gegenstand der Vereinbarung
- Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers gemäß Art. 28 DSGVO.
- Umfang, Art und Zweck der Verarbeitung sind in **Anhang 1** spezifiziert.

---

## 2. Kategorien betroffener Daten und Personen
- **Kategorien personenbezogener Daten**:
  - [z. B. Kundendaten, Mitarbeiterdaten, Kontaktdaten, Zahlungsinformationen].
- **Kategorien betroffener Personen**:
  - [z. B. Kunden, Mitarbeitende, Lieferanten, Dienstleister].

---

## 3. Pflichten des Auftragnehmers
- **Zweckbindung**: Der Auftragnehmer verpflichtet sich, die personenbezogenen Daten nur für die vereinbarten Zwecke zu verarbeiten.
- **Vertraulichkeit**:
  - Alle Beschäftigten, die mit personenbezogenen Daten arbeiten, sind zur Vertraulichkeit verpflichtet.
- **Sicherheitsmaßnahmen**:
  - Der Auftragnehmer setzt geeignete technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO ein, einschließlich:
    - Zugriffskontrollen,
    - Verschlüsselung,
    - regelmäßige Sicherheitsüberprüfungen.
- **Unterstützung des Auftraggebers**:
  - Unterstützung bei der Wahrung der Rechte betroffener Personen (z. B. Auskunft, Berichtigung, Löschung).
  - Zusammenarbeit bei Datenschutz-Folgenabschätzungen (DSFA).

---

## 4. Unterauftragsverhältnisse
- Der Einsatz von Unterauftragnehmern ist nur nach vorheriger schriftlicher Zustimmung des Auftraggebers zulässig.
- Der Auftragnehmer stellt sicher, dass Unterauftragnehmer dieselben Datenschutzpflichten erfüllen wie in dieser Vereinbarung festgelegt.
- Der Auftragnehmer führt ein aktuelles Verzeichnis aller eingesetzten Unterauftragnehmer und stellt dieses dem Auftraggeber auf Anfrage zur Verfügung.

---

## 5. Kontrollrechte des Auftraggebers
- Der Auftraggeber ist berechtigt:
  - Vor-Ort-Prüfungen oder Audits durchzuführen,
  - Berichte oder Zertifikate des Auftragnehmers anzufordern (z. B. ISO 27001, SOC 2).
- Der Auftragnehmer ist verpflichtet, die Einhaltung der Datenschutzvorgaben nachzuweisen und dem Auftraggeber Einsicht in relevante Dokumentationen zu gewähren.

---

## 6. Meldung von Datenschutzvorfällen
- **Meldepflicht**: Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden, über:
  - Datenschutzverletzungen (z. B. Datenlecks, unbefugter Zugriff),
  - Verdachtsmomente auf Sicherheitsvorfälle.
- **Unterstützung**:
  - Unterstützung bei der Meldung an die Datenschutzbehörde und betroffene Personen.
  - Dokumentation der Vorfälle und Maßnahmen zur Behebung.

---

## 7. Laufzeit der Vereinbarung
- Diese Vereinbarung gilt für die Dauer der Zusammenarbeit.
- Die Vertraulichkeitsverpflichtungen bestehen über die Vertragslaufzeit hinaus, solange personenbezogene Daten beim Auftragnehmer gespeichert oder verarbeitet werden.

---

## 8. Haftung und Sanktionen
- Der Auftragnehmer haftet für Schäden, die durch Verstöße gegen diese Vereinbarung oder Datenschutzgesetze entstehen.
- Der Auftragnehmer stellt den Auftraggeber von Ansprüchen Dritter frei, die aus Verstößen des Auftragnehmers resultieren.
- Der Auftragnehmer verpflichtet sich, Haftpflichtversicherungen für Datenschutzverletzungen abzuschließen und dem Auftraggeber auf Anfrage nachzuweisen.

---

## 9. Beendigung der Verarbeitung
- Nach Vertragsende hat der Auftragnehmer:
  - Alle personenbezogenen Daten nachweislich zu löschen oder dem Auftraggeber zurückzugeben.
  - Dies umfasst auch Datenkopien, es sei denn, gesetzliche Aufbewahrungspflichten bestehen.
- Ein schriftlicher Nachweis über die vollständige Datenlöschung ist dem Auftraggeber vorzulegen.

---

**[Ort, Datum]**  
**Für den Auftraggeber:**  
______________________________  
[Name, Position]  

**Für den Auftragnehmer:**  
______________________________  
[Name, Position]  

---

### Anhang 1: Details der Verarbeitung
- **Zweck der Verarbeitung**: [z. B. IT-Dienstleistungen, Hosting, Kundensupport].  
- **Art der Datenverarbeitung**: [z. B. Speicherung, Übermittlung, Analyse].  
- **Dauer der Verarbeitung**: [z. B. Projektdauer, gesetzliche Vorgaben].  
- **Technische und organisatorische Maßnahmen (TOMs)**:  
  - Zugriffskontrolle, Verschlüsselung, regelmäßige Sicherheitsüberprüfungen.
