Договор об обработке данных

Перевод для удобства. Юридическую силу имеет немецкая версия.

Auftragsverarbeitungsvertrag (AVV)

ENTWURFSGERÜST — NICHT VERWENDEN, OHNE ES ZU ERSETZEN.

Dieser Text ist eine GLIEDERUNG nach Art. 28 Abs. 3 DSGVO und kein

Vertrag. Er benennt, was in jeden Abschnitt gehört, formuliert aber

keine Klauseln. Vor der Verwendung durch eine Rechtsanwältin oder

einen Rechtsanwalt prüfen und vollständig ausformulieren lassen —

ein vollständig aussehender, aber ungeprüfter Vertrag ist

gefährlicher als kein Vertrag: Kunden nehmen ihn an, und die Haftung

bleibt beim Anbieter.

Bearbeiten im Betriebsportal unter Rechtstexte → AVV. Sobald der

Text geändert wird, meldet das System bei allen Mandanten, die bereits

angenommen haben, dass eine erneute Annahme fällig ist.

1. Gegenstand und Dauer der Verarbeitung

(Art. 28 Abs. 3 Satz 1) Welche Leistung wird erbracht, auf welcher

vertraglichen Grundlage, für welche Laufzeit, und wann endet die

Verarbeitung.

2. Art und Zweck der Verarbeitung

Welche Verarbeitungsvorgänge der Anbieter im Auftrag vornimmt

(Speichern, Auslesen, Übermitteln, Löschen …) und zu welchem Zweck.

3. Art der personenbezogenen Daten und Kategorien betroffener Personen

Welche Datenarten (z. B. Kontaktdaten, Rechnungsdaten,

Beschäftigtendaten) und wessen Daten (z. B. Kunden, Beschäftigte,

Lieferanten des Verantwortlichen).

4. Weisungsrecht des Verantwortlichen

(lit. a) Verarbeitung nur auf dokumentierte Weisung; Umgang mit

Weisungen, die der Anbieter für rechtswidrig hält; wer weisungsbefugt

ist.

5. Vertraulichkeit

(lit. b) Verpflichtung der eingesetzten Personen auf Vertraulichkeit

und auf die Einhaltung der Datenschutzvorgaben.

6. Technische und organisatorische Maßnahmen

(lit. c, Art. 32) Die Maßnahmen zum Schutz der Daten — als Anlage mit

Datum, damit sie fortgeschrieben werden kann, ohne den Vertrag zu

ändern.

7. Weitere Auftragsverarbeiter

(lit. d) Ob und unter welchen Bedingungen Unterauftragsverarbeiter

eingesetzt werden, wie über Änderungen informiert wird, und wie

widersprochen werden kann. Eine aktuelle Liste gehört dazu — mit

Name, Leistung und Ort der Verarbeitung.

8. Unterstützung bei Betroffenenrechten

(lit. e) Wie der Anbieter bei Auskunft, Berichtigung, Löschung,

Einschränkung, Datenübertragbarkeit und Widerspruch unterstützt.

9. Unterstützung bei den Pflichten des Verantwortlichen

(lit. f) Unterstützung bei Art. 32 bis 36 — insbesondere bei

Meldungen nach Art. 33 (Datenschutzverletzung) samt Fristen und

Kontaktweg.

10. Löschung oder Rückgabe nach Vertragsende

(lit. g) Was mit den Daten geschieht, in welcher Frist, in welcher

Form sie zurückgegeben werden, und welche gesetzlichen

Aufbewahrungspflichten davon unberührt bleiben.

11. Nachweise und Überprüfung

(lit. h) Welche Nachweise der Anbieter vorlegt (Zertifikate, Berichte)

und wie eine Überprüfung abläuft — Ankündigung, Umfang, Kosten.

12. Ort der Verarbeitung

Wo die Daten verarbeitet werden. Bei Verarbeitung ausserhalb der EU/des

EWR: auf welcher Grundlage (Angemessenheitsbeschluss,

Standardvertragsklauseln) und mit welchen zusätzlichen Maßnahmen.

13. Schlussbestimmungen

Vorrang, Form von Änderungen, Haftung, anwendbares Recht.