Auftragsverarbeitungsvertrag (AVV)

Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DS-GVO

zwischen
[Firma, Anschrift des Auftraggebers]
– im Folgenden als „Auftraggeber" oder „AG" bezeichnet –

und
Printlabs GmbH, Neuseser Str. 19, 90455 Nürnberg, vertreten durch den Geschäftsführer Herrn Andre Futschik,
– im Folgenden als „Auftragnehmer" oder „AN" bezeichnet –
– im Folgenden zusammen als „Parteien" und je einzeln als „Partei" bezeichnet –

wird die folgende Vereinbarung (im Folgenden als „AVV" bezeichnet) geschlossen:

Präambel

In Erfüllung der Verpflichtung aus Art. 28 Abs. 3 DS-GVO schließen der Auftraggeber als Verantwortlicher im Sinne des Datenschutzrechts und der Auftragnehmer als Auftragsverarbeiter den nachstehenden AVV. Zwischen den Parteien dieses AVV besteht ein Hauptvertrag vom [Datum], der den Auftragnehmer verpflichtet, Waren und Produkte nach Vorgabe des Auftraggebers herzustellen und zu veredeln und im Namen des AG direkt an die Kunden des AG zu versenden bzw. zu liefern. Die Herstellung und Veredlung der Produkte umfasst ebenso das Bedrucken, Gravieren und Besticken von Grundmaterialien. Hierfür erhält der AN Kundendaten vom AG.

Mit diesem AVV konkretisieren die Parteien die datenschutzrechtlichen Obliegenheiten des Auftragnehmers. Für jede Tätigkeit des Auftragnehmers und/oder seiner Mitarbeiter, die er/sie für den Auftraggeber im Zusammenhang mit dem Hauptvertrag erbringt/en, und bei der es zu einer Verarbeitung personenbezogener Daten des Auftraggebers kommt oder kommen kann, gelten die Vorschriften dieses AVV. Dem Auftragnehmer und seinen Mitarbeitern ist das Weisungsrecht des Auftraggebers gemäß Art. 29 DS-GVO bekannt; sie werden es während der Dauer dieses AVV uneingeschränkt beachten.

Dies vorausgeschickt, vereinbaren die Parteien Folgendes, wobei bereits die Präambel Rechtsbindungswirkung entfaltet:

1. Vertragsgegenstand

1.1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Die Verarbeitung geschieht auf Weisung des Auftraggebers. Über die im Hauptvertrag genannten Datenverarbeitungsvorgänge hinaus gilt der AVV auch für sämtliche anderen Verarbeitungsvorgänge von personenbezogenen Daten des AG und seiner Kunden durch den AN.

1.2. Im Zusammenhang mit der in Ziffer 1.1 genannten Verarbeitung personenbezogener Daten erhält der Auftragnehmer unmittelbar oder durch Gewährung durch den Auftraggeber Kenntnis von oder Zugriff auf nachstehende personenbezogene Daten:

• Kundendaten;
• Besondere Kategorien personenbezogener Daten insbesondere bezüglich der rassischen oder ethnischen Herkunft, politischer Meinungen, religiöser oder weltanschaulicher Überzeugungen, der Gewerkschaftszugehörigkeit und der Gesundheit.

1.3. Betroffene Personen, deren unter Ziffer 1.2 geschilderte personenbezogene Daten verarbeitet werden, sind Kunden des AG.

1.4. Bei folgenden Tätigkeiten, die der Auftragnehmer für den Auftraggeber erbringt, ist ein Zugriff des Auftragnehmers auf personenbezogene Daten möglich:

• Einpflege der Kundendaten über die Schnittstelle des Bestellportals;
• Versendung und Lieferung der Waren/Produkte an den jeweiligen Kunden;
• im Rahmen von Nachfragen und Reklamationen seitens des Kunden.

2. Verantwortlichkeit der Vertragsparteien

2.1. Dem Auftraggeber obliegt die Aufgabe, die einschlägigen datenschutzrechtlichen Vorgaben im Rahmen dieses Vertrages einzuhalten, insbesondere diejenigen zur Rechtmäßigkeit der Datenverarbeitung.

2.2. Der Auftragnehmer ist im Zusammenhang mit der Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers ebenfalls verpflichtet, die für ihn geltenden datenschutzrechtlichen Vorschriften zu beachten und ihre Einhaltung durch ihn und seine Mitarbeiter zu gewährleisten.

2.3. Beide Parteien verpflichten sich, ihre Mitarbeiter auf das Datengeheimnis zu verpflichten, sie für die Bedeutung der verarbeiteten personenbezogenen Daten zu sensibilisieren und über ihre Pflichten im Zusammenhang mit der Wahrung der einschlägigen datenschutzrechtlichen Bestimmungen zu belehren.

3. Rechte und Pflichten des Auftraggebers

3.1. Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO. Ihm obliegt die Wahrung der Rechte der Betroffenen im Zusammenhang mit der Datenverarbeitung und die Schaffung der rechtlichen Voraussetzungen für eine datenschutzkonforme Verarbeitung der personenbezogenen Daten.

3.2. Stellt der Auftraggeber Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragnehmer fest, informiert er den Auftragnehmer unverzüglich.

3.3. Der Auftraggeber hat sich bei der Auswahl der Person des Auftragnehmers davon leiten lassen, dass diese hinreichende Garantien dafür bietet, geeignete technische und organisatorische Maßnahmen so durchzuführen, dass die Datenverarbeitung gemäß den Anforderungen der DS-GVO erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet. Er ist in diesem Zusammenhang beispielsweise berechtigt,

• Selbstauskünfte des Auftragnehmers zu seiner Qualifikation und zur Einhaltung der technischen und organisatorischen Maßnahmen einzuholen,
• sich ein Testat eines Sachverständigen über die Kompetenz des Auftragnehmers vorlegen zu lassen,
• sich nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs persönlich oder durch einen sachkundigen Dritten, der nicht in einem Wettbewerbsverhältnis zum Auftragnehmer stehen darf, von der Einhaltung der vereinbarten Regeln zu überzeugen.

Hat der Auftraggeber Kenntnis von einem Verstoß des Auftragnehmers oder seiner Mitarbeiter gegen Bestimmungen dieses Vertrags oder Vorschriften zum Schutz personenbezogener Daten, die der Auftragnehmer auf Weisung des Auftraggebers verarbeitet, so ist der Auftraggeber berechtigt, eine auf den ihm bekannt gewordenen Verstoß bezogene Prüfung beim Auftragnehmer auch ohne rechtzeitige Anmeldung durchzuführen. Auf die betrieblichen Belange des Auftragnehmers ist ausreichend Rücksicht zu nehmen.

3.4. Bei der Durchführung der Auftragskontrolle nach Ziffer 3.3 unterstützt der Auftragnehmer den Auftraggeber. Er verpflichtet sich insbesondere, ihm auf schriftliche Anforderung innerhalb einer angemessenen Frist alle Auskünfte zu geben, die zur Durchführung der Auftragskontrolle erforderlich sind.

3.5. Der Auftraggeber ist verantwortlich für die Einhaltung der aus Art. 33 und 34 DS-GVO hervorgehenden Informationspflichten gegenüber der Aufsichtsbehörde bzw. den Betroffenen, sofern eine entsprechende Meldepflicht bei einer Datenschutzverletzung besteht.

3.6. Der Auftraggeber hat sicherzustellen, dass die aus Art. 32 DS-GVO hervorgehenden Anforderungen an die Sicherheit der Verarbeitung seinerseits eingehalten werden.

4. Rechte und Pflichten des Auftragnehmers

4.1. Der Auftragnehmer darf personenbezogene Daten nur im Rahmen der mit dem Auftraggeber getroffenen Vereinbarungen verarbeiten, es sei denn, er ist gesetzlich zu einer abweichenden Verarbeitung verpflichtet. In diesem Fall muss der Auftragnehmer dem Auftraggeber die gesetzliche Verpflichtung vor Beginn der Verarbeitung mitteilen.

4.2. Der Auftragnehmer verpflichtet sich, die Datenverarbeitung im Zusammenhang mit dieser Vereinbarung nur in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums durchzuführen.

4.3. Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den Anforderungen des Datenschutzes gerecht wird. Er wird insbesondere technische und organisatorische Maßnahmen zur angemessenen Sicherung der Daten des Auftraggebers vor Missbrauch und Verlust treffen; diese Maßnahmen muss er auf Anfrage dem Auftraggeber bzw. gegebenenfalls den Datenschutzaufsichtsbehörden gegenüber nachweisen. Dieser Nachweis beinhaltet insbesondere die Umsetzung der aus Art. 32 DS-GVO resultierenden Maßnahmen.

4.4. Der Auftragnehmer führt ein Verarbeitungsverzeichnis gemäß Art. 30 DS-GVO über die bei ihm durchgeführten Verarbeitungstätigkeiten. Soweit der Auftraggeber für die Erstellung des ihm obliegenden Verarbeitungsverzeichnisses auf Informationen des Auftragnehmers angewiesen ist, stellt der Auftragnehmer dem Auftraggeber auf Anfrage die notwendigen Informationen zur Verfügung.

4.5. Obliegt dem Auftraggeber die Durchführung einer Datenschutzfolgenabschätzung, unterstützt der Auftragnehmer, indem er alle notwendigen und ihm zugänglichen Informationen zur Verfügung stellt. Sofern die Konsultation der zuständigen Datenschutzaufsichtsbehörde notwendig sein sollte, unterstützt der Auftragnehmer den Auftraggeber auch dabei.

4.6. Der Auftragnehmer ist verpflichtet, alle im Zusammenhang mit diesem Vertragsverhältnis erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftraggebers vertraulich zu behandeln. Diese Pflicht besteht auch nach der Beendigung des Vertragsverhältnisses fort.

4.7. Der Auftragnehmer bestätigt, dass er einen Datenschutzbeauftragten gemäß Art. 37 DS-GVO benannt hat. Derzeit ist dies [Name, Kontaktdaten]. Ein Wechsel in der Person des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich schriftlich mitzuteilen. Der Auftragnehmer gewährleistet, dass der Datenschutzbeauftragte über die erforderliche Qualifikation und das erforderliche Fachwissen verfügt. Soweit der Auftragnehmer nicht verpflichtet ist, einen Datenschutzbeauftragten zu benennen, teilt er dem Auftraggeber einen gesonderten Ansprechpartner mit.

4.8. Der Auftragnehmer ist verpflichtet, den Auftraggeber unverzüglich zu informieren, wenn der Auftragnehmer oder bei ihm im Rahmen des Auftrags beschäftigte Personen gegen Vorschriften zum Schutz personenbezogener Daten oder die im Vertrag getroffenen Vereinbarungen verstoßen. In diesem Fall trifft er die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die Betroffenen oder den Auftraggeber und spricht sich unverzüglich mit dem Auftraggeber ab. Er unterstützt den Auftraggeber bei der Erfüllung der Informationspflichten gegenüber der zuständigen Datenschutzaufsichtsbehörde bzw. den von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen gemäß Art. 33, 34 DS-GVO.

4.9. Händigt der Auftraggeber dem Auftragnehmer im Zusammenhang mit diesem Vertrag Datenträger aus oder fertigt der Auftragnehmer während des Auftrags Kopien oder Reproduktionen ihm ausgehändigter Datenträger, verbleiben die Datenträger und auch die Kopien ausschließlich im Eigentum des Auftraggebers. Der Auftragnehmer ist für die sorgfältige Aufbewahrung und für den Schutz gegen Verlust oder Zerstörung verantwortlich. Der Zugriff Dritter ist auszuschließen. Kommt es zu einem Verlust, zu einer Beschädigung oder zu einem Zugriff Dritter, hat der Auftragnehmer den Auftraggeber umgehend davon zu informieren.

4.10. Sollte der Auftraggeber gesetzlich gegenüber einer betroffenen Person verpflichtet sein, Auskünfte zur Erhebung, Verarbeitung oder Nutzung von Daten dieser Person zu geben, wird der Auftragnehmer den Auftraggeber dabei unterstützen, diese Informationen bereitzustellen. Der Auftraggeber hat den Auftragnehmer dazu schriftlich aufzufordern.

4.11. Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich davon zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang involvierten Dritten unverzüglich davon in Kenntnis setzen, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als Verantwortlichem im Sinne der DS-GVO liegen.

4.12. Der Auftragnehmer verwendet die ihm überlassenen Daten für keine anderen Zwecke als die der Vertragserfüllung und setzt auch keine Mittel zur Verarbeitung ein, die nicht zuvor vom Auftraggeber genehmigt wurden.

4.13. Der Auftragnehmer ist verpflichtet, die Erfüllung der ihm obliegenden Pflichten zu kontrollieren, zu dokumentieren und auf Anforderung des Verantwortlichen diesem gegenüber in geeigneter Weise nachzuweisen.

5. Beginn und Beendigung des Auftrags

5.1. Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags, sofern sich aus diesem AVV nichts anderes ergibt.

5.2. Das Recht zur fristlosen Kündigung aus wichtigem Grund bleibt unberührt.

5.3. Jede Kündigung bedarf der Schriftform.

6. Leistungsort

6.1. Der Auftragnehmer erbringt seine vertraglich geschuldeten Leistungen in Deutschland.

6.2. Etwaige Unterauftragnehmer des Auftragnehmers erbringen ihre Leistungen ausschließlich in Deutschland, der Europäischen Union oder im Europäischen Wirtschaftsraum. Sofern die Parteien dieser Vereinbarung davon abweichend eine Zulässigkeit der Leistungserbringung der Unterauftragnehmer in einem Drittland vereinbaren, garantiert der Auftragnehmer dem Auftraggeber die Einhaltung der diesbezüglichen Vorgaben der DS-GVO und weist sie auf Verlangen nach.

6.3. Beabsichtigt der Auftragnehmer, den Ort der Leistungserbringung in Länder der Europäischen Union oder des Europäischen Wirtschaftsraumes zu verlagern, die über ein den Anforderungen dieses Vertrages genügendes und zertifiziertes Datenschutzniveau verfügen, informiert er vor der Verlagerung den Auftraggeber schriftlich. Der Auftraggeber ist innerhalb einer Frist von vier Wochen nach Zugang der Mitteilung des Auftragnehmers über die beabsichtigte Verlagerung berechtigt zu widersprechen, wenn Gründe vorliegen, die eine Verlagerung nicht zulassen. Äußert sich der Auftraggeber zur beabsichtigten Verlagerung nicht oder nicht eindeutig, gilt seine Zustimmung als erteilt.

6.4. Die ausschließliche Verantwortung für die Datensicherheit bei einem grenzüberschreitenden Datenverkehr aufgrund einer Verlagerung des Ortes der Leistungserbringung durch den Auftragnehmer trifft den Auftragnehmer.

7. Unterauftragsverhältnisse

7.1. Der Auftragnehmer ist berechtigt, die in der Anlage 1 benannten Unterauftragnehmer für die Erfüllung seiner Pflichten gegenüber dem Auftraggeber aus diesem AVV einzusetzen.

7.2. Der Auftragnehmer hat den Unterauftragnehmer sorgfältig auszuwählen und vor der Beauftragung zu prüfen, dass dieser die Vereinbarungen zwischen dem Auftraggeber und dem Auftragnehmer einhalten kann. Vor der Beauftragung eines Unterauftragnehmers und nach seiner Beauftragung hat der AN nachzuweisen, dass der Unterauftragnehmer die nach Art. 32 DS-GVO notwendigen technischen und organisatorischen Maßnahmen getroffen hat.

7.3. Einen beabsichtigten Wechsel bzw. eine Neubeauftragung eines Unterauftragnehmers hat der Auftragnehmer dem Auftraggeber spätestens vier Wochen vor dem Wechsel bzw. der Neubeauftragung mitzuteilen. Der Auftraggeber kann dem Wechsel bzw. der Neubeauftragung binnen drei Wochen ab Erhalt der Information durch den Auftragnehmer widersprechen, wenn zu befürchten ist, dass der Unterauftragnehmer die Pflichten des Auftragnehmers aus diesem AVV nicht erfüllen kann. Widerspricht der Auftraggeber nicht oder nicht fristgerecht oder gibt er keine eindeutige Erklärung ab, gilt der Wechsel bzw. die Neubeauftragung als genehmigt.

7.4. Der Auftragnehmer hat sicherzustellen, dass der Unterauftragnehmer die Pflichten des Auftragnehmers aus diesem AVV und etwaige Weisungen des Auftraggebers erfüllt.

7.5. Der Auftragnehmer hat mit dem Unterauftragnehmer einen AVV abzuschließen, der die Voraussetzungen des Art. 28 DS-GVO erfüllt. Er ist des Weiteren insbesondere verpflichtet, sicherzustellen, dass die Kontrollbefugnisse des Auftraggebers bzw. der Datenschutzaufsichtsbehörden auch gegenüber dem Unterauftragnehmer gelten und durchgesetzt werden können.

8. Aufbewahrung, Löschung und Rückgabe von Datenträgern und Unterlagen

8.1. Verlangt der Auftraggeber eine Vernichtung von Datenträgern oder ist eine solche zwingend gesetzlich durchzuführen, obliegt dem Auftragnehmer die datenschutzkonforme Vernichtung.

8.2. Nach der Beendigung des AVV oder schon vorher nach Aufforderung durch den Auftraggeber hat der Auftragnehmer sämtliche während des Auftrags in seinen Besitz gelangten Unterlagen, Datenträger, erstellten Verarbeitungsergebnisse und Datenbestände, die im Zusammenhang mit diesem AVV stehen, dem Auftraggeber entweder auszuhändigen oder auf dessen Anweisung datenschutzkonform zu löschen bzw. zu vernichten, es sei denn, es besteht eine gesetzliche Pflicht zur Aufbewahrung. Das Löschprotokoll ist dem Auftraggeber auf Anforderung auszuhändigen.

8.3. Unterlagen, mit denen die auftrags- und ordnungsgemäße Datenverarbeitung durch den Auftragnehmer dokumentiert wird, hat der Auftragnehmer gemäß der jeweiligen Aufbewahrungsfristen auch über das Ende des AVV hinaus aufzubewahren.

9. Zurückbehaltungsrecht

Die Einrede des Zurückbehaltungsrechts, gleich aus welchem Rechtsgrund, an den vertragsgegenständlichen Daten sowie an Datenträgern wird ausgeschlossen.

10. Haftung

10.1. Im Außenverhältnis haften Auftraggeber und Auftragnehmer gemeinsam für Schäden aus einer Datenverarbeitung, die nicht den datenschutzrechtlichen Vorgaben entspricht.

10.2. Für Schäden, die ihre Ursache ausschließlich in der vom Auftragnehmer durchgeführten Datenverarbeitung haben, haftet im Innenverhältnis ausschließlich der Auftragnehmer.

10.3. Ansprüche der Parteien gegeneinander aus anderen Rechtsgründen bleiben unberührt.

11. Verschwiegenheit

11.1. Die Parteien dieses AVV sind verpflichtet, alle Informationen, die sie im Zusammenhang mit der Durchführung des AVV erhalten, vertraulich zu behandeln und nur zur Durchführung dieses Vertrages zu verwenden. Die Geheimhaltungspflicht geht auch über das Ende dieses AVV hinaus.

11.2. Ziffer 11.1 gilt nicht für Informationen, die eine der Parteien nachweislich von einem Dritten erhalten hat, der nicht zur Geheimhaltung verpflichtet ist, oder die öffentlich bekannt sind.

12. Sonstige Bestimmungen

12.1. Für alle aus oder im Zusammenhang mit diesem Vertrag entstehenden Auseinandersetzungen vereinbaren die Parteien die ausschließliche Zuständigkeit des Landgerichts Stuttgart. Dies gilt nicht, soweit ein gesetzlich vorgesehener ausschließlicher Gerichtsstand eröffnet ist.

12.2. Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform. Dies gilt auch für das Schriftformerfordernis. Die Parteien erklären, dass keine mündlichen Nebenabreden zu diesem Vertrag bestehen.

12.3. Falls eine Bestimmung dieses Vertrages oder der Anlagen zu diesem Vertrag ganz oder teilweise unwirksam ist oder wird oder im Falle einer Lücke dieses Vertrages, bleibt die Wirksamkeit der übrigen Bestimmungen dieses Vertrages hiervon unberührt. Für den Fall der Nichtigkeit, Anfechtbarkeit oder Unwirksamkeit verpflichten sich die Parteien, eine neue Regelung zu treffen, die wirtschaftlich der zu ersetzenden Regelung weitestgehend entspricht. Im Falle von Vertragslücken gilt diejenige Bestimmung als vereinbart, welche nach Sinn und Zweck dieses Vertrages vereinbart worden wäre, hätten die Parteien diesen Punkt bei Vertragsschluss bedacht.