I. Gegenstand der Vereinbarung

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Namen des Auftraggebers gemäß regelmäßig erfolgter Auftragsvergabe. Dazu gehören in erster Linie die Erstellung von personalisierten Druckprodukten und Mailings. Dazu gehören auch Aufgaben wie:
   • Postalische Korrektur von Adressen
   • Adressenabgleich
   • Portooptimierung
   • Datenaufbereitung
2. Der Auftragnehmer wird für die Erhebung, Verarbeitung oder Nutzung folgender Daten beauftragt:
   • Adressdaten inkl. Name, Vorname, Titel, Anschrift
   • Verbindungsdaten
3. Kreis der Betroffenen:
   • Interessenten des Auftraggebers
   • Kunden des Auftraggebers

II. Pflichten des Auftraggebers

1. Der Auftraggeber ist im Rahmen dieser Vereinbarung für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich (»Verantwortlicher« im Sinne des Art. 4 Nr. 7 DSGVO).
2. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.
3. Der Auftraggeber versichert, die Zulässigkeit der Auftragsdatenverarbeitung vor der Auftragsvergabe geprüft zu haben. Für die Wahrung der Rechte der Betroffenen bleibt stets der Auftraggeber verantwortlich.
4. Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zur Datensicherung (vgl. Art. 32 DSGVO nebst Anlage sowie Ziff. IX. und Anlage 1 dieser Vereinbarung) in geeigneter Weise zu überzeugen. Der Auftraggeber ist verpflichtet, das jeweilige Ergebnis zu dokumentieren.
5. Der Auftraggeber nimmt alle sich aus dem Bundesdatenschutzgesetz bzw. der DSGVO ergebenden Rechte gegenüber dem Betroffenen wahr.

III. Allgemeine Pflichten des Auftragnehmers

1. Der Auftragnehmer wird sämtliche Informationen, Daten oder Unterlagen/Materialien, die der Auftragnehmer vom Auftraggeber erlangt, vertraulich behandeln. Er wird sie ebenfalls vor Missbrauch oder Verlust schützen und hierzu angemessene technische und organisatorische Maßnahmen treffen.
2. Der Umgang mit den Daten erfolgt ausschließlich nach Weisung des Auftraggebers. Der Auftraggeber behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht vor. Die Weisungen müssen grundsätzlich schriftlich erfolgen, mündliche Weisungen oder Weisungen in elektronischer Textform (z. B. E-Mail) sind unverzüglich schriftlich zu bestätigen. Etwaige dem Auftragnehmer durch die Weisungen entstehende zusätzliche Kosten sind vom Auftraggeber zu tragen.
3. Der Auftragnehmer darf Daten von betroffenen Personen nur im Rahmen des Auftrages und der Weisungen des Auftraggebers verarbeiten, außer es liegt ein Ausnahmefall im Sinne des Artikel 28 Abs. 3 lit. a DSGVO vor. Der Auftragnehmer hat personenbezogene Daten zu berichtigen, zu löschen und zu sperren, wenn der Auftraggeber dies in der getroffenen Vereinbarung oder einer Weisung verlangt. Der Auftragnehmer verwendet die zur Datenverarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Hiervon ausgenommen ist die Verarbeitung in Erfüllung einer Pflicht aus dem Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt. Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird.
4. Der Auftragnehmer erstattet in allen Fällen dem Auftraggeber eine Meldung, wenn durch ihn oder die bei ihm beschäftigten Personen Verstöße gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder gegen die im Auftrag getroffenen Festlegungen vorgefallen sind.
5. An der Erstellung eines Verfahrensverzeichnisses wird der Auftragnehmer auf Anfrage des Auftraggebers mitwirken. Er wird die erforderlichen Angaben dem Auftraggeber zuleiten. Der Auftragnehmer ist verpflichtet, ein Verzeichnis von Verarbeitungstätigkeiten gem. Art. 30 Abs. 2 DSGVO zu führen.
6. Die Verarbeitung und Nutzung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Übermittlung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers. Die Verlagerung in ein Drittland darf zusätzlich nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 und 45 DSGVO erfüllt sind und der Auftragnehmer dem Auftraggeber einen Vertreter im Sinne des Art. 27 DSGVO benannt hat, sofern die Voraussetzungen des Art. 27 Abs. 1 und 2 vorliegen.

IV. Datensicherungsmaßnahmen nach der Anlage nach Art. 32 DSGVO

(Erläuterungen siehe Anhang 1)

1. Der Auftragnehmer wird technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers treffen, die den Anforderungen des BDSG bzw. der Datenschutz-Grundverordnung (Art. 32 DSGVO) genügen. Der Auftragnehmer hat technische und organisatorische Maßnahmen zu treffen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen. Dem Auftraggeber sind diese technischen und organisatorischen Maßnahmen bekannt und er trägt die Verantwortung dafür, dass diese für die Risiken der zu verarbeitenden Daten ein angemessenes Schutzniveau bieten.
2. Der Auftragnehmer beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung. Er gewährleistet die vertraglich vereinbarten und gesetzlich vorgeschriebenen Datensicherheitsmaßnahmen. Der Auftragnehmer wird angesichts der Art der Verarbeitung den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III (DSGVO) genannten Rechte der betroffenen Person nachzukommen.
3. Die technischen und organisatorischen Maßnahmen können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden. Nach einer Anpassung der technischen und organisatorischen Maßnahmen muss mindestens der gleiche Schutz der personenbezogenen Daten wie vor der Anpassung gewährleistet sein. Wesentliche Änderungen sind schriftlich zu vereinbaren.
4. Der Auftragnehmer hat die Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Auftraggeber im Rahmen seiner Kontrollbefugnisse nach Ziffer VII dieses Vertrages zu gewährleisten.

V. Datengeheimnis / Verpflichtung zur Wahrung der Vertraulichkeit

1. Der Auftragnehmer verpflichtet sich, das Datengeheimnis bzw. die Gewährleistung der Vertraulichkeit entsprechend Art. 28 Abs. 3 lit. b DSGVO zu wahren.
2. Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind. Der Auftragnehmer erklärt, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und sie auf das Datengeheimnis schriftlich verpflichtet. Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften.
3. Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen.

VI. Datenschutzbeauftragte des Auftragnehmers

Der Auftragnehmer hat einen fachkundigen und qualifizierten betrieblichen Beauftragten für den Datenschutz bestellt.

VII. Kontrollrechte des Auftraggebers

Der Auftragnehmer berechtigt den Auftraggeber, die Einhaltung der Vorschriften über den Datenschutz und der von ihm getroffenen Weisungen in angemessener Weise zu überprüfen. Kontrollen im Hause des Auftragnehmers bedürfen der vorherigen einvernehmlichen Abstimmung. Der Auftragnehmer verpflichtet sich, die hierzu erforderlichen Unterlagen zur Verfügung zu stellen.

VIII. Unterauftragsverhältnisse

1. Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher schriftlicher bzw. dokumentierter Zustimmung des Auftraggebers beauftragen. Der Auftragnehmer hat Subunternehmer sorgfältig auszuwählen und vor der Beauftragung zu prüfen, ob dieser die zwischen Auftraggeber und Auftragnehmer getroffenen Vereinbarungen entsprechend einhalten kann. Die vertraglichen Vereinbarungen mit eventuellen Subunternehmern sind so zu gestalten, dass sie den Datenschutzbestimmungen im Vertragsverhältnis zwischen Auftraggeber und dem Auftragnehmer entsprechen.
2. Der betriebliche Datenschutzbeauftragte des Auftraggebers ist berechtigt, auf schriftliche Anforderung vom Auftragnehmer Auskunft über den wesentlichen Vertragsinhalt und die Umsetzung der datenschutzrelevanten Verpflichtungen des Unterauftragnehmers zu erhalten.
3. Nicht als Leistungen von Subunternehmern im Sinne dieser Regelung gelten Dienstleistungen, die der Auftragnehmer bei Dritten als Nebenleistungen zur Unterstützung der Auftragsdurchführung in Anspruch nimmt, wie beispielsweise Telekommunikationsdienstleistungen, allgemeine Wartungen etc. Der Auftragnehmer ist aber auch hierbei verpflichtet, zur Gewährleistung der Sicherheit der Daten angemessene Vorkehrungen und Kontrollmaßnahmen zu ergreifen.

IX. Rückgabe und Löschung von Daten bei Vertragsbeendigung

1. Vorbehaltlich zwingender gesetzlicher Aufbewahrungspflichten bzw. sofern nach dem Unionsrecht oder dem Recht der Mitgliedsstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten im Sinne des Art. 28 Abs. 3 lit. g DSGVO besteht, hat der Auftragnehmer nach Abschluss der vertraglichen Arbeiten sämtliche in seinen Besitz gelangten Unterlagen und erstellten Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder datenschutzkonform zu löschen bzw. zu vernichten. Entstehen zusätzliche Kosten durch abweichende Vorgaben bei der Herausgabe oder Löschung der Daten, so trägt diese der Auftraggeber.
2. Sollte der Auftraggeber eine Rückgabe der an den Auftragnehmer überlassenen Datenträger und Unterlagen wünschen, muss dies im Auftrag vereinbart werden. Der Auftragnehmer gibt diese Unterlagen an den Auftraggeber nach Erledigung der Auftragsleistung zurück, in der Regel 14 Tage nach der letzten Postauflieferung. Im Regelfall wird gemäß nachfolgender Ziff. 3 verfahren.
3. Der Auftragnehmer vernichtet datenschutzgerecht sämtliche Datenträger bzw. löscht datenschutzgerecht alle Daten, welche ihm im Zusammenhang mit dem Auftragsverhältnis vom Auftraggeber übergeben bzw. übermittelt wurden (einschließlich ggf. erstellter Kopien), unverzüglich und unaufgefordert, sobald diese zur Erledigung der Auftragsleistungen nicht mehr benötigt werden, in der Regel 14 Tage nach der letzten Postauflieferung, es sei denn, es stehen dem Vorgaben bzgl. Löschfristen seitens des Auftraggebers entgegen.

X. Vertragsdauer

1. Dieser Vertrag ist ab dem Datum der Unterschrift auf unbestimmte Zeit gültig und kann von beiden Seiten jederzeit gekündigt werden.
2. Der Auftraggeber kann den vorliegenden Vertrag jederzeit, ohne Einhaltung einer Frist, kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen die Bestimmungen dieses Vertrages vorliegt.

XI. Haftung

Bzgl. der Haftung wird auf die Regelungen des in Ziff. I. genannten Vertrages verwiesen.

XII. Sonstiges

1. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Dies gilt auch für einen Verzicht auf die Schriftform.
2. Es gilt ausschließlich deutsches Recht.
3. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus dieser Vereinbarung ist Kerpen.
4. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

Anhang 1 – Technische und organisatorische Maßnahmen (TOMs)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

Organisatorisch ist geregelt, dass Fremde sich niemals alleine im Gebäude aufhalten bzw. sich ohne Aufsicht frei bewegen dürfen. Mitarbeiter werden dazu regelmäßig entsprechend geschult. Die Zugänge zum Gebäude sind stets geschlossen und können nur mit Sicherheitsschlüssel geöffnet werden oder zu den üblichen Geschäftszeiten durch an die Mitarbeiter ausgehändigte Sicherheitschips geöffnet werden. Betriebsfremde, Anlieferungen, Abholungen und Besucher werden durch ein Kamerasystem erfasst und durch einen Mitarbeiter persönlich in Empfang genommen. Besucher werden in einem Besucherbuch mit Namen, Datum und Dauer des Besuchs notiert. Der Aufenthalt von externen Besuchern in sensiblen Bereichen ist grundsätzlich nicht vorgesehen und findet in Ausnahmefällen stets nur in Begleitung eines geschulten Mitarbeiters statt. Außerhalb der Öffnungszeiten ist das Gebäude durch einen Sicherheitszaun, ein Kamerasystem sowie eine Alarmanlage der VDE-Norm gesichert und Meldungen werden durch einen externen Sicherheitsdienst überwacht und gemäß einem vorab festgelegten Sicherheitskonzept verfolgt.

Zugangskontrolle

Unbefugten wird der Zugang zu Datenverarbeitungssystemen nicht gewährt. Der Zugang über Schnittstellen von außerhalb wird durch den Einsatz einer Firewall geschützt. Sämtliche PC-Systeme sind passwortgeschützt und USB-Schnittstellen außer Funktion gesetzt. Passwörter müssen bestimmte Sicherheitsmerkmale aufweisen und werden in regelmäßigen Abständen zwangsgeändert, wobei alte Passwörter nicht wiedereingesetzt werden können. Nach 5 fehlerhaften Eingaben wird der Anmeldeversuch abgebrochen und das System gesperrt. Ein Zugriff von außen ist auf wenige Mitarbeiter begrenzt und mittels passwortgesichertem VPN-Tunnel möglich.

Zugriffskontrolle

Der Zugriff auf Verzeichnisse im Netzwerk, in denen personenbezogene Daten gespeichert sind, ist auf den Personenkreis beschränkt, der für die damit verknüpften Aufträge zuständig ist. Diese Personen müssen sich im System identifizieren und jegliche Änderungen etc. werden entsprechend protokolliert. Daten auf diesen Verzeichnissen werden nur so lange gespeichert, wie sie für den unmittelbaren Produktionsprozess unabdingbar sind.

Trennungsgebot

Aufträge werden grundsätzlich getrennt voneinander verarbeitet und in entsprechenden Verzeichnissen (analog/digital) vorgehalten, so dass eine Vermischung ausgeschlossen ist.

Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO)

Eine Pseudonymisierung der personenbezogenen Daten bei der Auftragsverarbeitung wird nicht benötigt, da die Daten nach erfolgter Postauflieferung gesperrt bzw. nach entsprechender Frist gelöscht werden.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

Sofern eine Übermittlung von personenbezogenen Daten notwendig sein sollte, werden diese über einen gesicherten Server zum Abruf bereitgestellt. Zur Nutzung des Servers ist eine vorherige Anmeldung und Registrierung notwendig. Daten werden grundsätzlich passwortgeschützt und verschlüsselt zur Verfügung gestellt, ein entsprechendes Passwort wird separat übermittelt. Der Versand von personenbezogenen Daten erfolgt ausschließlich im dafür vorgesehenen gesetzlichen Rahmen. Dokumente mit personenbezogenen Inhalten werden in verschlossenen Containern gesammelt und durch ein spezialisiertes und zertifiziertes Unternehmen datenschutzgerecht entsorgt. Datenträger (CDs etc.) werden im Vorfeld unter Beachtung der DIN 66399 geschreddert.

Eingabekontrolle

Originaldaten werden grundsätzlich nicht verändert. Anschriftenänderungen durch postalische Korrektur werden dokumentiert und dem Kunden zur Verfügung gestellt. Sonstige Änderungen, die durch den Kunden in Auftrag gegeben werden, wie Dublettenabgleich oder Adressanalyse, werden entsprechend dokumentiert.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Verfügbarkeitskontrolle

Unsere EDV-Systeme sind durch RAID-Systeme vor Datenverlust geschützt und werden für die Laufzeit des Auftrags verschlüsselt aufbewahrt. Die Daten werden entsprechend der gesetzlichen Fristen nach Auftragserfüllung gelöscht, ebenso die Sicherungskopien.

Rasche Wiederherstellbarkeit (Art. 32 Abs. 2 lit. c DSGVO)

Ist durch regelmäßige Datensicherungen gewährleistet.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)

Auftragskontrolle

Es findet keine Auftragsdatenverarbeitung im Sinne von Art. 28 DSGVO statt, ohne eine entsprechende Weisung des jeweiligen Auftraggebers. Eine eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement durch eine eigene Software und eine strenge Auswahl der entsprechenden Dienstleister sowie das 4-Augen-Prinzip mit entsprechenden Nachkontrollen gewährleisten eine einwandfreie Abwicklung.

Schulungen

Sämtliche Mitarbeiterinnen und Mitarbeiter werden in regelmäßigen Schulungen auf ihre Verpflichtung zur Wahrung des Datengeheimnisses hingewiesen. Diese Schulungen werden entsprechend dokumentiert und durch die Unterschrift der Teilnehmer bezeugt. Die Unterweisung erfolgt insbesondere zu den Grundsätzen des Datenschutzes.

Anhang 2 – Unternehmensberatung (Consulting)

1. Ergänzend zu den in Abschnitt I beschriebenen Leistungen erbringt der Auftragnehmer auf Wunsch des Auftraggebers Dienstleistungen im Bereich der Unternehmensberatung (Consulting).
2. Zur Durchführung der Beratungsleistungen übermittelt der Auftraggeber dem Auftragnehmer die für die Analyse erforderlichen Kunden-, Auftrags- und sonstigen betriebsbezogenen Daten aus den beim Auftraggeber eingesetzten EDV-Systemen. Die Verarbeitung dieser Daten erfolgt ausschließlich zum Zweck der Durchführung der vereinbarten Unternehmensberatung sowie der Erstellung von Analysen, Auswertungen und Handlungsempfehlungen für den Auftraggeber.
3. Die überlassenen Daten können personenbezogene Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) sowie besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO, insbesondere Gesundheitsdaten, enthalten. Der Auftragnehmer verpflichtet sich, diese Daten mit besonderer Sorgfalt und unter Einhaltung der gesetzlichen Anforderungen der DSGVO sowie der in dieser Vereinbarung beschriebenen technischen und organisatorischen Maßnahmen zu verarbeiten.
4. Die Verarbeitung der überlassenen Daten erfolgt ausschließlich auf Weisung des Auftraggebers und nur für die Dauer der jeweiligen Beratungsleistung. Eine Nutzung der Daten zu eigenen Zwecken oder eine Weitergabe an Dritte ist ausgeschlossen, soweit keine gesetzliche Verpflichtung hierzu besteht.
5. Nach vollständigem Abschluss der jeweiligen Unternehmensberatung verpflichtet sich der Auftragnehmer, sämtliche vom Auftraggeber zur Verfügung gestellten Kunden-, Auftrags- und Analysedaten einschließlich eventuell angefertigter Kopien, Arbeitsdateien, temporärer Speicherungen und Sicherungen unverzüglich und datenschutzkonform von sämtlichen IT-Systemen, Datenträgern und Speichermedien der Loyalty Lab GmbH zu löschen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Auf Verlangen des Auftraggebers bestätigt der Auftragnehmer die vollständige Löschung schriftlich.

Datenschutzvereinbarung Dokumentenmanagement · Version V 1.2 – Februar 2021