Datenschutzerklärung

Lohn-Center

Bianca Brandl

Schäfersiedlung 2

83059 Kolbermoor

Mit einem Vertrag zur Verarbei­tung von Daten im Auftrag beab­sichtigen die Parteien ihre datenschutzrechtlichen Rechte und Pflichten in Bezug auf die durch den Auftragnehmer im Auf­trag des Auftraggebers verarbeiteten Daten zu regeln und somit die gesetzlichen Anforderungen, insbesondere des Bundesdatenschutzgesetzes („BDSG“) und der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG („DSGVO“) (vgl. dort die Anforderungen des Art. 28 Abs.3 DSG­VO) zu erfüllen.

Der Datenschutz-Vertrag findet Anwendung auf alle Tätigkeiten, bei denen der Auftragnehmer oder durch den Auftragnehmer Beauftragte personenbezogene Daten des Auftraggebers im Auf­trag des Auftraggebers verarbeiten.

  1. Gegenstand und Dauer der Auftragsverarbeitung, Laufzeit

Dieser AV-Vertrag regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien in Bezug auf die durch den Auftragnehmer im Auftrag des Auftraggebers erhobenen, verar­beiteten oder genutzten personenbe­zogenen Daten des Auftraggebers, im Rahmen der Leistungsbeschreibungen und der jeweiligen zwischen den Parteien geschlossenen vertraglichen Vereinbarungen (insbesondere Geschäftsbedingungen des Auftragnehmers sowie (Einzel-Verträge über individuelle Leistungen).

    Dieser AV-Vertrag konkretisiert insbesondere die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus den Leistungsbeschreibungen zum jeweiligen Hauptvertrag im Einzelnen beschriebener Leistung ergeben.

    2. Eine weitergehende Beauftragung durch den Auftraggeber kann darüber hinaus durch weitere Einzelverträge geregelt werden. Die Modalitäten der Auftragsverarbeitung im Zusammen­hang mit Einzelverträgen sind in den jeweiligen Verträgen geregelt. Der vorliegende Vertrag bildet dann in Verbindung mit der Beschreibung der technischen und organisa­torischen Maßnahmen und der jeweiligen Leistungsbeschreibung jeweils einen eigenen Einzelvertrag.

    3. Bei etwaigen Widersprüchen zwi­schen Leistungsbeschreibungen oder Regelungen in Einzelverträgen haben die Bestimmungen dieses Vertrages Vorrang. Abweichende Regelungen haben nur dann Vorrang vor diesem Vertrag, wenn sie ausdrücklich auf diesen Vertrag Bezug nehmen.

    4. Dieser AV-Vertrag gilt für die Dauer des Hauptvertrages. Die Laufzeit der jeweiligen Einzel-AV richtet sich nach der Dauer des Einzelvertrages.

    Soweit durch den Auftragnehmer faktisch über die Laufzeit des AV-Vertrages oder einer Einzel-AV hinaus personenbezogene Daten des Auftraggebers verarbeitet werden, gelten die vertraglichen Vereinbarungen zur Zweckbindung und Einhaltung der technischen und organisatorischen Maßnahmen fort.

    1. Anwendungsbereich und Verant­wortlichkeit

    1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Gegenstand der Auftragsverarbeitung, Art der Daten, Art und Zweck der Datenverarbeitung (Erhebung, Verarbeitung und Nutzung personenbezogener Daten) werden im Hauptvertrag ggfs. in Verbindung mit dem jeweiligen Einzelvertrag und der dazugehörigen Leistungsbeschreibung konkretisiert.

    2. Dem Auftraggeber ist bewusst, dass er im Rahmen des Hauptvertrages als verantwortliche Stelle („Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DSGVO) alleine die Verantwortung für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere die Verantwortung für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer, sowie die Rechtmäßigkeit der Datenverarbeitung trägt.

    3. Dem Auftraggeber steht die Weisungsbefugnis aus dem Hauptvertrag zu. Die Weisungen werden durch den Hauptvertrag festgelegt und können vom Auftraggeber in schriftlicher Form durch einzelne Weisungen geändert, ergänzt oder ersetzt werden („Einzelanweisung“). Weisungen, die im Hauptvertrag nicht vorgesehen sind, werden als Antrag auf Leistungsänderung be­handelt. Mündliche Weisungen sind un­verzüglich in Schriftform zu bestätigen.

    3 . Pflichten des Auftragnehmers

    1. Der Auftragnehmer darf Daten nur im Rahmen des in der jeweiligen Leistungsbeschreibung genannten Zwecks bzw. gemäß der Vereinbarungen im Hauptvertrag sowie des jeweiligen Einzelvertrages gemäß der Weisungen des Auftraggebers verarbeiten, sofern nicht ein Ausnahmefall nach Art. 28 Abs. 3 lit. d DSGVO vorliegt. Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen anwendbare Vorschriften über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer ist be­rechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber schriftlich bestätigt oder geändert wird.

    Sofern der Auftragnehmer der Auffassung ist, dass eine weisungsgerechte Verarbeitung zu einer Haftung des Auftragnehmers nach Art. 82 DSGVO führen kann, ist er berechtigt, die weitere Verarbeitung bis zu einer Klärung der Haftung zwischen den Parteien auszu­setzen.

    2. Der Auftragnehmer unterstützt so­weit vereinbart den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Anfragen und Ansprüche betroffener Personen gem. Kapitel III der DSGVO sowie bei der Einhaltung der in Art. 33 bis Art. 36 DSGVO genannten Pflichten. Der Auftragnehmer ist berechtigt, dem Auftraggeber die hierfür entstehenden Aufwendungen unter Zugrundelegung des zum jeweiligen Zeitpunkt gültigen Stundensatzes des Auftragnehmers in Rechnung zu stellen, sofern hierzu nichts Abweichendes zwischen den Parteien vereinbart wurde.

    3. Die vom Auftragnehmer mit der Verarbeitung der Daten des Auftragge­bers befassten Mitarbeiter und andere für den Auftragnehmer tätigen Personen werden vom Auftragnehmer auf die Wahrung des Datengeheimnisses verpflichtet. Den Mitarbeitern des Auftragnehmers wird dabei untersagt, Daten des Auftraggebers außerhalb der Weisung zu verarbeiten. Die Mitarbeiter sind vertraglich dazu verpflichtet, Daten des Auftraggebers vertraulich zu behandeln. Diese Vertraulichkeits-/Verschwiegenheitspflicht besteht auch nach Beendigung des Auftrages fort.

    4. Der Auftragnehmer nennt dem Auftraggeber einen Ansprechpartner für im Rahmen des Vertrages anfallende Datenschutzfragen. Soweit gesetzlich vorgeschrieben wird der Auftragnehmer einen Beauftragten für Datenschutz bestellen, der per E-Mail über

    brandl@lohn-center erreichbar ist.

    Als Beauftragter für den Datenschutz ist beim Auftragnehmer bestellt: Bianca Brandl

    Ein Wechsel des Beauftragten für den Datenschutz bzw. des genannten An­sprechpartners für Datenschutzfragen ist dem Auftraggeber unverzüglich mitzuteilen.

    5. Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten des Auftraggebers bekannt werden. Der Auftragnehmer trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Min­derung möglicher nachteiliger Folgen der betroffenen Personen und spricht sich hierzu unverzüglich mit dem Auf­traggeber ab.

    6. Im Falle einer Inanspruchnahme des Auftraggebers durch eine betroffene Person hinsichtlich etwaiger Ansprüche nach Art. 82 DSGVO, verpflichtet sich der Auftragnehmer, den Auftraggeber bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten zu unterstützen. Der Auftragnehmer ist berechtigt, dem Auftraggeber die hierfür entstehenden Aufwendungen unter Zugrundelegung des zum jeweiligen Zeitpunkt gültigen Stundensatzes des Auftragnehmers in Rechnung zu stellen, sofern hierzu nichts Abweichendes

    zwischen den Parteien vereinbart wurde.

    4. Pflichten des Auftraggebers

    1. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.

    2. Der Auftraggeber nennt dem Auftragnehmer auf Anfrage einen ausreichend bevollmächtigten Ansprechpartner für sämtliche im Rahmen des AV-Vertrages anfallende Datenschutzfragen. Ein Wechsel des Ansprechpartners ist dem Auftragnehmer vom Auftraggeber unverzüglich mit­zuteilen.

    3. Sollte der Auftragnehmer durch eine betroffene Person hinsichtlich etwaiger Ansprüche nach Art. 82 DSGVO in An­spruch genommen werden, verpflichtet sich der Auftraggeber, den Auftragnehmer bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten zu unterstützen.


    5. Technische und organisatorische Maßnahmen zum Datenschutz (Art. 32 DSGVO)

    1. Der Auftragnehmer wird seine innerbetriebliche Organisation so gestalten, dass sie den Anforderungen des Datenschutzes im erforderlichen Maße gerecht wird. Hierfür wird der Auftragnehmer technische und organisatorische Maßnahmen zum angemessenen Schutz der im Auftrag des Auftraggebers verarbeiteten Daten treffen, die die Anforderungen der Verarbeitung gewährleisten.

    2. Der Auftragnehmer hat sein Sicherheitskonzept vorgelegt, welches alle Aspekte der technischen und organi­satorischen Maßnahmen gemäß Art. 32 DSGVO beschreibt. Dem Auftraggeber sind diese Maßnahmen bekannt und er trägt die Verantwortung dafür, dass diese ein angemessenes Schutzniveau für das Risiko der mit dem Auftragnehmer vereinbarten Verarbeitungsvorgängen einhalten. Der Auftragnehmer ist berechtigt, die Organisation der Datenverarbeitung im Auftrag, die für die Sicherheit der Daten erheblich ist, insbesondere die entsprechend Art. 32 DSGVO getroffenen Sicherheitsmaßnahmen jederzeit zu ändern, sofern sichergestellt ist, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird. Der Auftragnehmer wird den Auftraggeber über wesentliche Überarbeitungen des Sicherheitskonzepts informieren. Das jeweils aktuelle Sicherheitskonzept wird als Anlage zu diesem Vertrag ausgehändigt.

    6. Berichtigung, Löschung und Sperrung von Daten

    1. Der Auftragnehmer hat nach Weisung des Auftraggebers die Daten, die im Auftrag verarbeitet werden, zu berichtigen, zu löschen oder zu sperren, sofern dies vom Weisungsrahmen des Auftraggebers umfasst ist. Ist eine datenschutzkonforme Löschung oder eine entsprechende Einschränkung der Datenverarbeitung nicht mög­lich, übernimmt der Auftragnehmer die datenschutzkonforme Vernichtung von Datenträgern und sonstigen
    Ma­terialien auf Grund einer Einzelbeauftragung durch den Auftraggeber. Der Auftragnehmer ist berechtigt, dem Auftraggeber die hierfür entstehenden Aufwendungen unter Zugrundelegung des zum jeweiligen Zeitpunkt gültigen Stundensatzes des Auftragnehmers in Rechnung zu stellen, sofern hierzu nichts Abweichendes zwischen den Parteien vereinbart wurde.

    2. Nach Beendigung des Auftrages wird der Auftragnehmer auf Verlangen des Auftraggebers alle Daten löschen oder herausgeben. Der Auftragnehmer ist berechtigt, dem Auftraggeber die für eine Herausgabe der Daten bzw. die bei abweichenden Vorgaben des Auftraggebers für eine Herausgabe oder Löschung der Daten entstehenden Aufwendungen unter Zugrundelegung des zum jeweiligen Zeitpunkt gültigen Stundensatzes des Auftragnehmers in Rechnung zu stellen, sofern hierzu nichts Abweichendes zwischen den Parteien vereinbart wurde.

    3. Soweit eine gesetzliche Aufbewahrungsfrist einer Löschung entgegensteht, werden die Daten erst nach Ablauf der gesetzlichen Aufbewahrungsfrist gelöscht.

    7. Begründung von Unterauftragsverhältnissen

    1. Die Begründung von Unterauftragsverhältnissen mit verbundenen Unternehmen oder Dritten (d.h. mit Dienstleistern, die den Auftragnehmer bei der Leistungserbringung unterstützen und dabei Zugriff auf die Daten erhalten, z.B. Rechenzentren) ist dem Auftragnehmer jederzeit gestattet. Der jeweilige Unterauftragnehmer ist AGENDA-software. Über beabsichtigte Beauf­tragungen weiterer verbundener Unternehmen oder Dritter bzw. entsprechende Änderungen ist der Auftraggeber zu informieren. Nicht als Unterauftragsverhältnisse im Sinne
    Ziff. 8 sind solche Dienstleistungen zu verstehen, die der Auftragnehmer als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt und bei denen eine Verarbeitung von personenbezogenen Daten ausgeschlossen ist.

    2. Der Auftragnehmer wird mit den Unterauftragnehmern Regelungen zur Auftragsdatenverarbeitung treffen, die mindestens den Anforderungen der vorliegenden Bedingungen ent­sprechen. Insbesondere wird der Auf­tragnehmer die Unterauftragnehmer verpflichten, die Weisungen des Auftraggebers zu beachten, ihm Informa­tionen zu erteilen, erforderlichenfalls auch Einsicht in relevante Vertragsunterlagen zu geben, sowie im Rahmen der erforderlichen Kontrollmaßnahmen entsprechend Ziff. 8 dieses Vertrags zu gestatten.

    3. Der Auftragnehmer ist berechtigt, personenbezogene Daten des Auftraggebers an Unterauftragnehmer in einem Drittland zu übermitteln, so­fern die zwingenden gesetzlichen Vor­schriften für Datenexporte in Drittlän­der erfüllt sind. Hierzu sind ferner dem Auftraggeber die erforderlichen Anga­ben und Informationen vorab zur Ver­fügung zu stellen.

    8. Nachweismöglichkeiten und Kontrollrechte

    1. Der Auftragnehmer hat dem Auftraggeber auf dessen Verlangen gegen Aufwandsentschädigung innerhalb angemessener Frist die Einhaltung seiner Pflichten nach diesem AV-Vertrag mit geeigneten Mitteln seiner Wahl, beispielsweise durch Durchführung eines Selbstaudits, Vorlage eines aktuellen Testats, durch Berichten oder Berichtsauszüge unab­hängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) Zertifikate zum Datenschutz und/oder Informationssicherheit (z.B. nach BSI-Grundschutz oder ISO 270001) oder Zertifikate nach Art. 42 DSGVO nachzuweisen.

    2. Sollten im Einzelfall Kontrollen des Auftraggebers oder durch einen von diesem auf seine Kosten beauftragten Prüfers zur Einhaltung der Pflichten die­ses AV-Vertrags, insbeson­dere der getroffenen technischen und organisatorischen Maßnahmen, erfor­derlich sein, werden diese zu den üb­lichen Geschäftszeiten des Auftragneh­mers, ohne Störung dessen Betriebsablaufs, nach Anmeldung und unter Berücksichtigung einer angemessenen Vorlaufzeit durchgeführt. Der Auftragnehmer darf Kontrollmaßnahmen des Auftraggebers von der vorherigen An­meldung mit angemessener Vorlauf­zeit und Benennung mindestens drei­er alternativer Termine sowie von der Unterzeichnung einer Verschwiegen­heitserklärung hinsichtlich der Daten anderer Kunden und der eingerichte­ten technischen und organisatorischen Maßnahmen abhängig machen. Sollte der durch den Auftraggeber beauftragte Prüfer in einem Wettbewerbsverhältnis zu dem Auftragnehmer stehen, hat der Auftragnehmer gegen diesen ein Ein­spruchsrecht. Kontrollen des Auftrag­gebers vor Ort sind im Regelfall auf ei­nen Tag pro Kalenderjahr zu begrenz­en.
    3. Der Auftragnehmer ist berechtigt, dem Auftraggeber die für Kontrollmaß­nahmen entstehenden Aufwendungen unter Zugrundelegung des zum jewei­ligen Zeitpunkt gültigen Stundensatzes des Auftragnehmers in Rechnung zu stellen, sofern hierzu nichts Abwei­chendes zwischen den Parteien verein­bart wurde. Dies gilt auch für Inspek­tionen oder Kontrollen des Auftragge­bers durch eine Datenschutzaufsichts­behörde oder eine sonstige hoheitliche Aufsichtsbehörde.

    9. Anfragen betroffener Personen

    1. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung, Löschung seiner Daten oder Auskunft wenden sollte, wird der Auftragnehmer die betroffene Person an den Auftraggeber verweisen, sofern eine Zuordnung an den Auf­traggeber nach Angaben der betrof­fenen Person möglich ist. Der Auftragnehmer wird das Ersuchen des Betroffenen unverzüglich an den Auftraggeber weiterleiten.

    2. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Mög­lichkeiten auf Weisung soweit vereinbart. Der Auftragnehmer ist berechtigt, dem Auftraggeber die hierfür entstehenden Aufwendungen unter Zugrundelegung des zum jeweiligen Zeitpunkt gültigen Stundensatzes des Auftragnehmers in Rechnung zu stellen, sofern hierzu nichts Abweichendes zwischen den Parteien vereinbart wurde.

    3. Der Auftragnehmer haftet nicht, wenn das Ersuchen der betroffenen Person vom Auftraggeber nicht, nicht richtig oder nicht fristgerecht beant­wortet wird.

    10. Maßnahmen Dritter oder Rechte Dritter im Hinblick auf Daten

    Sollten Gegenstände, die Daten enthalten, durch Maßnahmen Dritter (etwa Pfändungen oder Beschlagnahmungen) oder von Rechten Dritter (Sicherungsübereignung) betroffen sein, so hat der Auftragnehmer den Auftraggeber unverzüglich zu infor­mieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwort­lichen unverzüglich darüber informie­ren, dass die Hoheit und das Eigen­tum an den Daten ausschließlich beim Auftraggeber als „Verantwortlicher“ im Sinne der Datenschutz-Grundverordnung liegen.

    11. Pseudonymisierungsvereinbarung

    Das Lohn-Center hat das Recht, die von dieser Vereinbarung betroffenen personenbezogenen Daten für eigene Zwecke zu verwenden, sofern die primären Identifikationsmerkmale der perso­nenbezogenen Daten soweit entfernt werden, wie dies für den jeweiligen Datenverarbeitungsvorgang möglich ist und die Identifikationsmerkmale zur Wiederherstellung eines Personenbezuges gesondert aufbewahrt und gesichert werden (Pseudonymisierung). Unter Wahrung der Pseudonymität kann Agenda die so entstandenen Daten, insbesondere für Maßnahmen der Qualitätssicherung, Produktentwicklung, statistische Auswertungen oder vergleichbare Zwecke verarbeiten und nutzen. Agenda wird mit angemessenen technischen und organisatorischen Maßnahmen dafür sorgen, dass die aggregierten Daten nicht mit den Daten zusammengeführt werden, die eine Re-Identifizierung ermöglichen.

    12. Haftung

    1. Die zwischen den Parteien im Hauptvertrag getroffene Haftungsregelung gilt auch für die vorliegende Auftragsverarbeitung, sofern nicht ausdrücklich eine abweichende Vereinbarung getroffen wurde.

    2. Soweit durch eine unzulässige oder unrichtige Datenverarbeitung im Rahmen dieses Auftragsdatenverarbeitungsverhältnisses ein Schaden entsteht und dieser Schaden durch die korrekte Umsetzung der beauftragten Dienstleistung oder einer vom Auftraggeber erteilten Weisung entstanden ist, haftet hierfür alleine der Auftraggeber. Der Auftraggeber stellt den Auftragnehmer auf erste Anforderung von allen Ansprüchen frei, die im Zusammenhang mit der konkreten Umsetzung der beauftragten Dienstleistung oder der vom Auftraggeber erteilten Weisung gegen den Auftragnehmer erhoben werden. Unter diesen Voraussetzungen ersetzt der Auftraggeber dem Auftragnehmer ebenfalls sämtliche entstandenen Kosten der Rechtsverteidigung.

    13. Beginn der Vereinbarung, Aufhebung bisheriger Vereinbarungen

    1. Dieser Vertrag tritt mit Bestätigung des Vertragsschlusses durch den Auftraggeber, frühestens jedoch am 25.05.2018, in Kraft. Die Bestätigung des Vertragsschlusses durch den Auftraggeber kann gemäß Art. 28 DSGVO in einem elektronischen Format erfolgen.

    2. Die Parteien vereinbaren einvernehmlich, dass zeitgleich mit dem in Ziff. 13.1 genannten Beginn dieses Vertrages die bisher zwischen den Parteien bestehenden Vereinbarungen zur Auftragsdatenverarbeitung im Sinne von § 11 BDSG einvernehmlich aufgehoben und durch den vorliegenden Vertrag ersetzt werden.

    14. Schlussbestimmungen

    1. Änderungen und Ergänzungen dieses AV-Vertrags und aller seiner Bestandteile einschließlich etwaiger Zusicherungen des Auftragnehmers bedürfen einer schriftlichen Vereinbarung, die auch in einem elektronischen Format (Textform) erfolgen kann, und des ausdrücklichen Hinweises darauf, dass es sich um ei­ne Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

    2. Es gilt deutsches Recht.

    3. Den Parteien ist bekannt, dass insbesondere durch die ab 25.05.2018 in Kraft tretende DSGVO Anpassungen dieses AV-Vertrages notwendig werden können, um den gesetzlichen Vorgaben zum Datenschutz zu entsprechen. Die Parteien verpflichten sich, rechtzeitig alle Maß­nahmen zu ergreifen bzw. bei Maßnahmen mitzuwirken, die erforderlich oder zweckdienlich sind, um auch nach dem 25.05.2018 sämtliche datenschutzrechtlichen Anforderungen zu er­füllen. Dies gilt insbesondere für Vertrags- oder Verfahrensänderungen sowie für die Durchführung, die Einrichtung und den Nachweis ausrei­chender technischer und organisato­rischer Maßnahmen. Ziel dabei ist es, dass die Verarbeitung personenbezogener Daten im

    Einklang mit den Anforderungen der Datenschutz-Grundverordnung erfolgt und der Schutz der Rechte der betroffenen Personen gewährleistet wird.

    4. Sollten eine Bestimmung oder Teile dieses AV-Vertrags unwirksam sein, wird die Wirksamkeit der übrigen Bestimmungen davon nicht berührt. Die Parteien verpflichten sich, anstelle der unwirksamen Bestimmung eine der unwirksamen Bestimmung möglichst nahekommende, wirksame Bestimmung zu vereinbaren.