Vertrag zur Auftragsverarbeitung gemäß Art. 28 der Europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, hier: DS-GVO) zur Vereinbarung / Leistungsbeziehung – Nr. Nummer des Vertrags / des Angebots / der Vergabe eingeben. Namen des Vertrags / des Angebots / der Vergabe eingeben

Zwischen dem Auftraggeber

Landesbetrieb Information und Technik Nordrhein-Westfalen (IT.NRW)

Mauerstraße 51

40476 Düsseldorf

– nachfolgend Verantwortlicher genannt –

und

dem Auftragnehmer

Bezeichnung Auftragnehmer
Straße Nummer
PLZ Ort

– nachfolgend Auftragsverarbeiter genannt –

Gegenstand und Dauer des Auftrags

Dieser Vertrag regelt die Verarbeitung (Art. 4 Nr. 2 DS-GVO) personenbezogener Daten (Art. 4 Nr. 1 DS-GVO, im Folgenden: Daten) durch den Auftragsverarbeiter i.S.d. Art. 4 Nr. 8 DS-GVO im Auftrag des Verantwortlichen i.S.d. Art. 4 Nr. 7 DS-GVO.

Art und Zweck der Datenverarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen sind in den Anlagen (siehe Anlagenverzeichnis) zum Vertrag zur Auftragsverarbeitung bestimmt.

Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen in Schriftform oder dokumentiertem elektronischem Format und erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.

Die Dauer der Datenverarbeitung ergibt sich, sofern keine anderen Regelungen getroffen werden, aus dem oben bezeichneten Vertrag zur Leistungserbringung.

Verantwortlichkeit

Verantwortlicher und Auftragsverarbeiter unterstützen sich gegenseitig beim Nachweis und der Dokumentation der Einhaltung der ihnen jeweils obliegenden datenschutzrechtlichen Verpflichtungen.

Der Verantwortliche ist allein verantwortlich für die Beantwortung von Anträgen auf Wahrnehmung der Rechte der Betroffenen i.S.v. Art. 12 bis 22 DS-GVO. Der Auftragsverarbeiter ist insoweit gemäß Art. 28 Abs. 3 Satz 2 lit. e) DS-GVO zur Unterstützung verpflichtet. Entsprechende Anträge sind dem Verantwortlichen unverzüglich zuzuleiten.

Rechte und Pflichten sowie Weisungsbefugnisse des Verantwortlichen

Der Verantwortliche hat hinsichtlich der Datenverarbeitung ein umfassendes Weisungsrecht. Insbesondere kann der Verantwortliche jederzeit die Herausgabe, Berichtigung, Anpassung, Löschung und Einschränkung der Verarbeitung der Daten verlangen. Weisungen werden in schriftlicher Form oder in einem elektronischen Format erteilt, ergänzt oder geändert. Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen. Die Parteien verständigen sich darüber, welche Personen bzw. Organisationseinheiten auf Seiten des Verantwortlichen zur Weisung befugt sind und welche Personen bzw. Organisationseinheiten auf Seiten des Auftragsverarbeiters als Weisungsempfänger fungieren. Die Parteien teilen einander die erforderlichen Kontaktdaten sowie etwaige Änderungen der weisungsberechtigten bzw. die Weisung empfangenden Personen bzw. Organisationseinheiten mit.

Änderungen des Verarbeitungsgegenstands und Verfahrensänderungen sind zwischen den Parteien abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.

Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten hinsichtlich der Einhaltung datenschutzrechtlicher Bestimmungen bei der Datenverarbeitung durch den Auftragsverarbeiter feststellt.

Der Verantwortliche ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse der Datensicherheitsmaßnahmen des Auftragsverarbeiters vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen. Rechtliche Verpflichtungen wie die Auskunftspflicht gegenüber der Datenschutzaufsichtsbehörde gehen vor.

Der Verantwortliche führt das Verarbeitungsverzeichnis nach Artikel 30 Absatz 1 DSGVO.

Rechte und Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen des getroffenen Vertrags und gemäß den Weisungen des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, zu einer anderen Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a) DS-GVO).

Ist der Auftragsverarbeiter der Auffassung, eine Weisung verstoße gegen die DS-GVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten, informiert er den Verantwortlichen unverzüglich. In diesem Fall darf der Auftragsverarbeiter die Umsetzung der Weisung solange aussetzen, bis der Verantwortliche die Weisung bestätigt oder abändert.

Der Auftragsverarbeiter verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Verantwortlichen nicht erstellt.

Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DS-GVO erforderlichen Maßnahmen. Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Der Auftragsverarbeiter hat technische und organisatorische Maßnahmen zu treffen, die insbesondere die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen und welche die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsergebnissen ermöglichen. Die in den Anlagen aufgeführten generischen und verfahrensspezifischen technischen und organisatorischen Maßnahmen sind Bestandteil des Auftrags. Soweit eine Prüfung oder ein Audit des Verantwortlichen diesbezüglich einen Anpassungsbedarf ergibt, muss der Auftragsverarbeiter die Anpassungen mit dem Verantwortlichen in dokumentierter Form (schriftlich oder elektronisch) abstimmen und nach Weisung des Verantwortlichen umsetzen. Die technisch-organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei wird das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten. Wesentliche Änderungen der technischen und organisatorischen Maßnahmen sind vom Auftragsverarbeiter in dokumentierter Form (schriftlich oder elektronisch) mit dem Verantwortlichen abzustimmen und weisungsgemäß umzusetzen.

Der Auftragsverarbeiter setzt ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verfahren ein.

Der Auftragsverarbeiter gewährleistet, dass die Daten von sonstigen Datenbeständen technisch bzw. logisch getrennt werden. Von diesem Erfordernis ausgenommen sind gemeinsam genutzte Infrastrukturkomponenten (wie Proxy-Server oder Firewalls), die nur dem Transport der Daten dienen.

Der Auftragsverarbeiter teilt dem Verantwortlichen unverzüglich Störungen, Verstöße des Auftragsverarbeiters oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Verantwortlichen nach Art. 33 und Art. 34 DS-GVO. Der Auftragsverarbeiter sichert zu, dem Verantwortlichen bei der Einhaltung der Pflichten nach Art. 33 und 34 DS-GVO zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DS-GVO). Meldungen bzw. Benachrichtigungen nach Art. 33 oder 34 DS-GVO für den Verantwortlichen darf der Auftragsverarbeiter nur nach vorheriger Weisung des Verantwortlichen durchführen.

Der Auftragsverarbeiter gewährleistet, dass sich alle von ihm bei der Auftragsverarbeitung eingesetzten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht zur Vertraulichkeit und Verschwiegenheit besteht auch nach Beendigung des Auftrages fort.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen gemäß Art. 12 bis 22 DS-GVO sowie bei der Einhaltung der in den Art. 32 bis 36 DS-GVO genannten Pflichten (Art. 28 Abs. 3 Satz 2 lit. e) und f) DS-GVO). Wendet sich eine betroffene Person mit einem Antrag gemäß Art. 12 bis 22 DS-GVO unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter und verweist die betroffene Person an diesen.

Der Auftragsverarbeiter darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Verantwortlichen berichtigen, löschen oder deren Verarbeitung einschränken.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erstellung des Verzeichnisses von Verarbeitungstätigkeiten nach Artikel 30 Absatz 1 DS-GVO. Er führt das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 Absatz 2 DSGVO.

Kontrollrechte des Verantwortlichen

Der Verantwortliche ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Regelungen selbst oder durch von ihm beauftragte Dritte zu kontrollieren, insbesondere durch die Einholung von Auskünften, durch Einsichtnahme in die gespeicherten Daten und Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h) DS-GVO). Der Verantwortliche vereinbart hierzu einen Termin, sofern die Kontrolle nicht ausnahmsweise sofort erforderlich ist.

Der Auftragsverarbeiter ist verpflichtet, die Überprüfungen und Inspektionen zu ermöglichen und dazu beizutragen. Er verpflichtet sich, dem Verantwortlichen auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.

Der Nachweis der Einhaltung der dem Auftragsverarbeiter gemäß Art. 28 Abs. 3 Satz 2 lit. h) DS-GVO obliegenden Pflichten kann unter anderem erfolgen durch

die Einhaltung genehmigter Verhaltensregeln (Artikel 40 DS-GVO),

die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Artikel 42 DS-GVO,

aktuelle Testate oder Berichte unabhängiger Bereiche wie z.B. Revision, Datenschutzbeauftragter, IT-Sicherheitsbeauftragter oder durch,

eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit z.B. nach BSI-Grundschutz,

die Vorlage der maßgeblichen Teile des Verzeichnisses von Verarbeitungstätigkeiten des Auftragsverarbeiters.

Der Auftragsverarbeiter sollte alle Informationen darüber bereitstellen, wie die Verarbeitungstätigkeit im Auftrag des Verantwortlichen durchgeführt wird, etwa Informationen zur Funktionsweise der verwendeten Systeme, Sicherheitsmaßnahmen, Gewährleistung der Speicher-/ Aufbewahrungspflichten, Speicherort der Daten, Datenübermittlungen, Personen, die Zugriff auf die Daten haben, Empfänger der Daten, eingesetzte weitere Auftragsverarbeiter usw.

Sollte eine Datenschutzaufsichtsbehörde oder eine sonstige hoheitliche Aufsichtsbehörde des Verantwortlichen eine Kontrolle vornehmen, gelten die Absätze 1 bis 3 entsprechend. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen und Maßnahmen von Datenschutzaufsichtsbehörden, auch wenn sie sich nicht unmittelbar auf diesen Auftragsgegenstand beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragsverarbeiter ermittelt.

Unterauftragsverhältnisse

Die Beauftragung von Subunternehmern als weitere Auftragsverarbeiter (Art. 28 Abs. 2 DS-GVO) ist nur zulässig, wenn der Verantwortliche dies zuvor schriftlich genehmigt hat. Eine genehmigungsbedürftige Beauftragung eines Subunternehmers liegt vor, wenn dieser mit der ganzen oder einer Teilleistung der im Vertrag vereinbarten Leistung beauftragt wird.

Die Genehmigung kann nur erteilt werden, wenn der Auftragsverarbeiter dem Verantwortlichen Namen und Anschrift sowie die vorgesehene Tätigkeit des Subunternehmers mitteilt.

Der Auftragsverarbeiter muss dafür Sorge tragen, dass er den Subunternehmer unter besonderer Berücksichtigung der Eignung der von diesem getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DS-GVO sorgfältig auswählt. Die relevanten Prüfunterlagen dazu sind dem Verantwortlichen auf Anfrage zur Verfügung zu stellen.

Eine Beauftragung von Subunternehmern in Drittstaaten darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).

Der Auftragsverarbeiter hat vertraglich sicherzustellen, dass die vereinbarten Datenschutzpflichten zwischen Verantwortlichen und Auftragsverarbeiter auch gegenüber Subunternehmern gelten (Art. 28 Abs. 4 DS-GVO). In dem Vertrag mit dem Subunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftragsverarbeiters und des Subunternehmers deutlich voneinander abgegrenzt werden. Werden mehrere Subunternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Subunternehmern.

Der Auftragsverarbeiter hat in dem Vertrag mit dem Subunternehmer sicherzustellen, dass der Verantwortliche die gleichen Kontrollrechte hat wie nach dem vorliegenden Vertrag. Insbesondere muss der Verantwortliche berechtigt sein, im Bedarfsfall angemessene Überprüfungen und Inspektionen, auch vor Ort, bei Subunternehmern durchzuführen oder durch von ihm beauftragte Dritte durchführen zu lassen.

Die Weiterleitung von Daten an den Subunternehmer ist erst zulässig, wenn dieser die Verpflichtungen nach Artikel 29 und Artikel 32 Absatz 4 DS-GVO bezüglich seiner Beschäftigten erfüllt hat. Der Auftragsverarbeiter hat die Einhaltung der Pflichten des Subunternehmers zu überprüfen. Das Ergebnis der Überprüfung ist zu dokumentieren und dem Verantwortlichen auf Verlangen zugänglich zu machen.

Der Vertrag zwischen Auftragsverarbeiter und Subunternehmer muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 4 und Abs. 9 DS-GVO).

Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Subunternehmers.

Löschen oder Rückgabe von personenbezogenen Daten

Überlassene Daten(-sätze) und Datenträger verbleiben im Eigentum des Verantwortlichen.

Nach Abschluss der Erbringung der Verarbeitungsleistungen hat der Auftragsverarbeiter Daten, Datenträger sowie sämtliche sonstigen Materialien nach Wahl des Verantwortlichen entweder zu löschen oder zurückzugeben und die vorhandenen Kopien zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Im Fall von Test- und Ausschussmaterialien ist eine Einzelbeauftragung nicht erforderlich. Das Protokoll der Löschung oder Vernichtung ist dem Auftragsverarbeiter mit Datumsangabe schriftlich oder in elektronischer Form vorzulegen.

Schlussbestimmungen

Änderungen oder Ergänzungen dieses Vertrags bedürfen der Schriftform. Datenschutzrechtliche Regelungen, die vor Abschluss dieses Vertrags zwischen den Parteien vereinbart worden sind, werden mit Unterzeichnung dieses Vertrages gegenstandslos. Der Auftragsverarbeiter ist verpflichtet, auch über das Ende des Hauptvertrags hinaus, die ihm im Zusammenhang mit dem Hauptvertrag bekannt gewordenen Daten vertraulich zu behandeln. Der vorliegende Vertrag bleibt über das Ende des Hauptvertrags hinaus solange gültig, wie der Auftragsverarbeiter über personenbezogene Daten verfügt, die ihm vom Verantwortlichen zugeleitet wurden oder die er für diesen erhoben hat.

Anlagenverzeichnis:

Anlage 1 „Gegenstand des Auftrags“
Anlage 2 „Weisungsberechtigte und -empfänger, Datenschutzbeauftragte“
Anlage 3 „Technische und organisatorische Maßnahmen bei der Datenverarbeitung für IT.NRW“; optional durch die TOM des Auftragsverarbeiters zu ersetzen
Anlage 4 „Subunternehmer“

_____________________________ _____________________________ (Vor-/ Nachname) (Vor-/Nachname) Ort, Datum Ort, Datum

Unterschrift	Unterschrift

Für den Verantwortlichen	Für den Auftragsverarbeiter

Anlage 1

„Gegenstand des Auftrags“
zum Vertrag zur Auftragsverarbeitung gemäß Art. 28 der Europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, hier: DS-GVO) zur Vertrags- / Leistungsbeziehung – Nr. Nummer des Vertrags / des Angebots / der Vergabe eingeben. Namen des Vertrags / des Angebots / der Vergabe eingeben

Zwischen dem Auftraggeber

Landesbetrieb Information und Technik Nordrhein-Westfalen (IT.NRW)

Mauerstraße 51

40476 Düsseldorf

– nachfolgend Verantwortlicher genannt –

und

dem Auftragnehmer

Bezeichnung Auftragnehmer
Straße Nummer
PLZ Ort

– nachfolgend Auftragsverarbeiter genannt –

Dieses Dokument ist eine Anlage zum Vertrag zur Auftragsverarbeitung gemäß Art. 28 DS-GVO, der den zwischen Auftragsverarbeiter und Verantwortlichem geschlossene Vertrag Nr. Nummer des Vertrags / des Angebots / der Vergabe eingeben., ergänzt.

Leistungsbezeichnung:

Namen des Vertrags / des Angebots / der Vergabe eingeben

Zu § 1 Gegenstand des Auftrags

Der Gegenstand des Auftrags wird wie folgt konkretisiert:

(1) Art der Verarbeitung (Art. 4 Nr. 2 DS-GVO)

Die Datenverarbeitung kann umfassen - jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

(2) Zweck der Verarbeitung

Klicken oder tippen Sie hier, um Text einzugeben.

(3) Art der Daten

Gegenstand der Verarbeitung sind folgende Arten personenbezogener Daten:

Klicken oder tippen Sie hier, um Text einzugeben.

(4) Kategorien betroffener Personen

Von der Datenverarbeitung umfasst sind folgende Kategorien betroffener Personen:

Klicken oder tippen Sie hier, um Text einzugeben.

Anlage 2

„Weisungsberechtigte und Weisungsempfänger, Datenschutzbeauftragte“
zum Vertrag zur Auftragsverarbeitung gemäß Art. 28 der Europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, hier: DS-GVO) zur Vertrags- / Leistungsbeziehung – Nr. Nummer des Vertrags / des Angebots / der Vergabe eingeben. Namen des Vertrags / des Angebots / der Vergabe eingeben

Zwischen dem Auftraggeber

Landesbetrieb Information und Technik Nordrhein-Westfalen (IT.NRW)

Mauerstraße 51

40476 Düsseldorf

– nachfolgend Verantwortlicher genannt –

und

dem Auftragnehmer

Bezeichnung Auftragnehmer
Straße Nummer
PLZ Ort

– nachfolgend Auftragsverarbeiter genannt –

Weisungsberechtigte Personen des Verantwortlichen gem. § 3 Absatz 1 AVV:

Name:	Vor-/ Nachname Weisungsberechtigte.
Telefon:	Klicken oder tippen Sie hier, um Text einzugeben.
E-Mail:	Klicken oder tippen Sie hier, um Text einzugeben.
Name:	Vor-/ Nachname Stellvertretung.
Telefon:	Klicken oder tippen Sie hier, um Text einzugeben.
E-Mail:	Klicken oder tippen Sie hier, um Text einzugeben.

Weisungsempfangende Personen des Auftragsverarbeiters gem. § 3 Absatz 3 AVV:

Bitte Serviceverantwortlichen mit dem VVP abgleichen! Text bitte nach Bearbeitung Löschen

Name:	Vor-/ Nachname Weisungsberechtigte.
Telefon:	Klicken oder tippen Sie hier, um Text einzugeben.
E-Mail:	Klicken oder tippen Sie hier, um Text einzugeben.
Name:	Vor-/ Nachname Stellvertretung.
Telefon:	Klicken oder tippen Sie hier, um Text einzugeben.
E-Mail:	Klicken oder tippen Sie hier, um Text einzugeben.

Behördliche(r) Datenschutzbeauftrage(r) des Verantwortlichen

Name:	Frau Andrea Kames

Telefon:	+49(0)211 9449-01

E-Mail:	Datenschutzbeauftragte@it.nrw.de

Datenschutzbeauftrage(r) des Auftragsverarbeiters

Name:	Vor-/ Nachname Datenschutzbeauftragte(r).
Telefon:	Klicken oder tippen Sie hier, um Text einzugeben.
E-Mail:	Klicken oder tippen Sie hier, um Text einzugeben.

Anlage 3

Technische und organisatorische Maßnahmen bei der Datenverarbeitung für IT.NRW

Vertragsnummer: Vertragsnummer

Stellen, die selbst oder im Auftrag personenbezogene Daten verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Einhaltung der datenschutzrechtlichen Vorschriften zu gewährleisten. Dabei ist ein angemessenes Verhältnis zwischen erforderlichem Aufwand und angestrebtem Schutzzweck zu wahren.

Der Auftragsverarbeiter erfüllt diese Vorgabe durch folgende Maßnahmen:

Vertraulichkeit, Art. 32 Abs. 1 DSGVO

Zutrittskontrolle

Hierzu zählen Maßnahmen, die Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, verwehren.

Beschreibung der Zutrittskontrollen durch den Auftragsverarbeiter

Zugangskontrolle

Hierzu zählen Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme durch Unbefugte genutzt werden können.

Beschreibung der Zugangskontrollen durch den Auftragsverarbeiter

Zugriffskontrolle

Hierzu zählen Maßnahmen, durch die gewährleistet wird, dass berechtigte Nutzer/-innen ausschließlich im Rahmen ihrer Berechtigung auf Daten zugreifen. Es wird verhindert, dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Beschreibung der Zugriffskontrollen durch den Auftragsverarbeiter

Trennungskontrolle

Hierzu zählen Maßnahmen, durch die gewährleistet wird, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden.

Beschreibung der Trennungskontrollen durch den Auftragsverarbeiter

Integrität, Art. 32 Abs. 1 b DSGVO

Weitergabekontrolle

Hierzu zählen Maßnahmen, durch die gewährleistet wird, dass personenbezogene Daten bei der Weitergabe (physisch oder elektronisch) nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Weiterhin kann überprüft und festgestellt werden, an welchen Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen der Datenübertragung vorgesehen ist.

Beschreibung der Weitergabekontrollen durch den Auftragsverarbeiter

Eingabekontrolle

Hierzu zählen Maßnahmen, durch die gewährleistet wird, dass auch nachträglich prüf- und feststellbar ist, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.

Beschreibung der Eingabekontrollen durch den Auftragsverarbeiter

Verfügbarkeit und Belastbarkeit, Art. 32 Abs. 1 b DSGVO

Hierzu zählen Maßnahmen, durch die gewährleistet wird, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

Beschreibung der Verfügbarkeit und Belastbarkeit der Systeme durch den Auftragsverarbeiter

Auftragskontrolle, Art. 28 Abs. 3 DSGVO

Hierzu zählen Maßnahmen/Regelungen, durch die gewährleistet wird, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen der Auftraggebenden verarbeitet werden:

Beschreibung der Auftragskontrolle durch den Auftragsverarbeiter

Verfahren der regelmäßigen Überprüfung, Bewertung und Evaluierung, Art. 32 Abs. 1 d, Art. 25 Abs. 1 DSGVO

Datenschutzmanagement

Hierzu zählen Maßnahmen, die eine systematische Organisation, Steuerung und Überwachung des Datenschutzes gewährleisten:

Beschreibung des Datenschutzmanagement durch den Auftragsverarbeiter

Incident Response Management

Hierzu zählen Maßnahmen, durch die gewährleistet wird, dass eine angemessene Reaktion auf Sicherheitsverletzungen erfolgt.

Beschreibung des Incident Response Management durch den Auftragsverarbeiter

Anlage 4

Subunternehmer zur Vertrags- / Leistungsbeziehung – Nr. Nummer des Vertrags / des Angebots / der Vergabe eingeben. Namen des Vertrags / des Angebots / der Vergabe eingeben

Firma:	Firmierung des Subunternehmers.
Anschrift:	Vollständige Anschrift des Subunternehmers.
Tätigkeit:	Beschreibung der Tätigkeit des Subunternehmers.
Firma:	Firmierung des Subunternehmers.
Anschrift:	Vollständige Anschrift des Subunternehmers.
Tätigkeit:	Beschreibung der Tätigkeit des Subunternehmers.