Auftragsverarbeitung

1. Parteien und Vertragsbezug

Auftragnehmer: Jesse Marco Bormann, Schuhstraße 25, 29221 Celle, Deutschland. E-Mail: jessebormann@hotmail.de.

Auftraggeber ist der im Leistungsangebot benannte Fahrdienstbetrieb. Firma, Anschrift, Vertretung, Datenschutzkontakt und weisungsberechtigte Personen werden in Anlage A eingetragen. Diese Vereinbarung ergänzt den Hauptvertrag, soweit der Auftragnehmer personenbezogene Daten weisungsgebunden für den Auftraggeber verarbeitet. Bei Widersprüchen gehen ihre Datenschutzregelungen vor.

2. Gegenstand, Zweck und Dauer

Gegenstand ist die im Angebot vereinbarte Bereitstellung und Betreuung der DisProX-Umgebung einschließlich der ausdrücklich vereinbarten Einführung, Speicherung, Sicherung, Fehlerbehebung, Rückgabe und Löschung. Daten werden ausschließlich zur Durchführung dieser Leistungen verarbeitet.

Art, Umfang, eingesetzte Module, Betriebsform und Verarbeitungsorte werden in Anlage A konkret festgelegt. Die Verarbeitung beginnt erst nach Abschluss der Vereinbarung und läuft für die vereinbarte Leistungsdauer einschließlich einer geregelten Rückgabe- und Löschphase.

3. Personen und Datenkategorien

Je nach Modulen betrifft die Verarbeitung Fahrgäste, Beschäftigte, Benutzer, Ansprechpartner von Einrichtungen und Kostenträgern sowie Rechnungsempfänger. Dazu können Kontakt-, Auftrags-, Fahrt-, Termin-, Standortadress-, Fahrzeugzuordnungs-, Arbeitszeit-, Vertrags-, Abrechnungs- und Zahlungsdaten sowie zugehörige Dokumente gehören.

Bei Krankenfahrten können besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsangaben und Informationen zum Unterstützungsbedarf, verarbeitet werden. Diese sind in Anlage A ausdrücklich zu benennen und durch darauf abgestimmte Maßnahmen zu schützen. Ein allgemeiner Hinweis auf „Stammdaten“ genügt hierfür nicht.

4. Verantwortung und Weisungen

Der Auftraggeber entscheidet über Zwecke, Rechtsgrundlagen, Zulässigkeit der Datenbereitstellung und fachliche Nutzung. Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung, auch hinsichtlich Übermittlungen in Drittländer, soweit keine gesetzliche Verpflichtung entgegensteht. Über eine solche Verpflichtung informiert er vorab, sofern dies rechtlich zulässig ist.

Weisungen werden über die in Anlage A benannten Ansprechpartner und Wege dokumentiert. Hält der Auftragnehmer eine Weisung für datenschutzwidrig, weist er unverzüglich darauf hin und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit erforderlich.

5. Berechtigte Personen und Vertraulichkeit

Zugriff erhalten nur Personen, die ihn für die vereinbarte Aufgabe benötigen. Der Auftragnehmer verpflichtet sie auf Vertraulichkeit oder stellt eine entsprechende gesetzliche Verpflichtung sicher. Die Verpflichtung bleibt nach Ende ihrer Tätigkeit bestehen. Berechtigungen werden überprüft und bei Wegfall des Bedarfs entzogen.

6. Sicherheit der Verarbeitung

Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter Berücksichtigung der Datenarten und Risiken. Die tatsächlich umgesetzten Maßnahmen werden vor Verarbeitungsbeginn in Anlage B konkret beschrieben, belegt und gemeinsam bewertet.

Weiterentwicklungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Wesentliche Änderungen werden nachvollziehbar dokumentiert. Eine Funktionsliste, ein Audit-Log oder das Vorhandensein von HTTPS allein ersetzt keine vollständige Sicherheitsbewertung.

7. Unterauftragsverarbeiter

Der Einsatz weiterer Auftragsverarbeiter bedarf der vorherigen schriftlichen oder elektronischen Genehmigung des Auftraggebers. Die zunächst freigegebenen Stellen sind mit Aufgabe, Datenarten, Verarbeitungsort und Kontaktdaten in Anlage C einzeln aufzuführen. Diese Prüffassung enthält keine pauschale Genehmigung unbekannter Anbieter.

Bei einer beabsichtigten Ergänzung oder Ersetzung informiert der Auftragnehmer rechtzeitig vor Beginn und holt die erforderliche Genehmigung ein. Er verpflichtet den weiteren Auftragsverarbeiter auf im Wesentlichen dieselben Datenschutzpflichten und bleibt für dessen Erfüllung gegenüber dem Auftraggeber verantwortlich.

8. Verarbeitungsorte und Drittlandbezug

Verarbeitung außerhalb der vereinbarten Orte oder außerhalb des Europäischen Wirtschaftsraums erfolgt nur nach dokumentierter Weisung beziehungsweise Genehmigung und unter den gesetzlichen Voraussetzungen. Empfänger, Länder und geeignete Übermittlungsgrundlagen sind vorab zu dokumentieren.

Die Standardvertragsklauseln für Auftragsverarbeitung nach dem Beschluss 2021/915 ersetzen für sich keine erforderlichen Garantien einer Drittlandübermittlung. Ein eigener Vertrag des Kunden mit DMRZ ist außerdem nicht automatisch ein Unterauftrag des DisProX-Anbieters; die tatsächlichen Rollen und Datenwege sind gesondert einzuordnen.

9. Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Mitteln bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenbereitstellung. Er leitet bei ihm eingehende Betroffenenanfragen unverzüglich an den benannten Kontakt weiter und beantwortet sie nicht eigenständig inhaltlich, sofern er nicht dazu angewiesen oder gesetzlich verpflichtet ist.

10. Datenschutzvorfälle und weitere Unterstützung

Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Er teilt die verfügbaren Angaben zu Art des Vorfalls, betroffenen Daten und Personen, möglichen Folgen, ergriffenen Maßnahmen und einem Ansprechpartner mit. Fehlende Angaben werden schrittweise nachgereicht.

Er unterstützt bei der Bewertung, Eindämmung und Dokumentation sowie bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Meldungen, Benachrichtigungen und einer erforderlichen Datenschutz-Folgenabschätzung. Es wird nicht erst auf einen vollständigen Abschluss der internen Untersuchung gewartet.

11. Nachweise und Kontrollrechte

Der Auftragnehmer stellt die erforderlichen Informationen zum Nachweis seiner Pflichten bereit und ermöglicht Prüfungen einschließlich angemessener Inspektionen durch den Auftraggeber oder einen beauftragten Prüfer. Dabei sind Vertraulichkeit und Rechte anderer Kunden zu schützen, ohne die Kontrollrechte auszuhöhlen.

Routineprüfungen werden organisatorisch abgestimmt. Bei konkreten Vorfällen bleiben unverzügliche geeignete Kontrollen möglich. Behördliche Befugnisse werden nicht eingeschränkt. Ein Zertifikat ersetzt die erforderliche Einzelfallbewertung nicht.

12. Rückgabe, Löschung und Sicherungen

Nach Abschluss der Leistung gibt der Auftragnehmer personenbezogene Daten nach Wahl des Auftraggebers zurück oder löscht sie, soweit keine gesetzliche Speicherungspflicht entgegensteht. Formate, Übergabeweg, Fristen, Nachweis und der Umgang mit Dokumenten werden in Anlage D festgelegt.

Sicherungskopien werden bis zum festgelegten Löschzeitpunkt gesperrt beziehungsweise ausschließlich für ihren zulässigen Sicherungszweck vorgehalten. Bei Wiederherstellung werden zwischenzeitliche Löschungen und Berichtigungen nachvollzogen. Die Fristen und technischen Möglichkeiten müssen der tatsächlichen Betriebsumgebung entsprechen.

Anlagen A–D vor Beginn vervollständigen

Unterschriften beziehungsweise dokumentierter elektronischer Abschluss beider Parteien werden erst nach Vervollständigung und Prüfung eingeholt. Diese veröffentlichte Prüffassung ist keine bereits abgeschlossene Vereinbarung.