FAUSTREGEL

Vereinbarung zur Verarbeitung personenbezogener Daten im Auftrag

 

Zwischen

 

TRAIWI GmbH

Bergerstr. 35
58452 Witten

(im folgenden Auftragnehmer)

 

und

 

 (im folgendem Auftraggeber)

 

 

Der Auftragnehmer bietet das Ernährungssystem Faustregel (FR) online an. Diese Software bietet dem Nutzer ein Ernährungsegelwerk und webbasiertes Dokumentations- und Auswertungstool an. 

Die Erfüllung der auf Basis des geschlossenen Vertrages geschuldeten Leistungen bedingt, dass der Auftragnehmer auf personenbezogener Daten der Kunden des Auftraggebers zugreifen kann. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus dem geschlossenen Vertrag und der daraus resultierenden sogenannten „Auftragsdatenvereinbarung“ im Sinne von § 11 des Bundesdatenschutzgesetztes („BDSG“) bzw. Art. 28 der EU-Datenschutz-Verordnung („DSGVO“) ergeben.

 

Sie findet Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen können. Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des geschlossenen Vertrags.

 

Sofern in diesem Vertrag der Begriff „Datenverarbeitung“ oder „Verarbeitung“ (von Daten) benutzt wird, wird die Definition der „Verarbeitung“ im Sinne von Art. 4 Nr. 2der DSGVO zugrunde gelegt.

Soweit das BDSG hier im Vertrag erwähnt wird, sind diese Erwähnungen nur noch bis zum Ablauf des 24.05.2018 zu berücksichtigen. Ab dem 25.05.2018 gelten dann die insoweit vorgenommenen Erwähnungen der DSGVO in diesem Vertrag.

 

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

(1) „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

 

(2) „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

(3) „Auftragsverarbeiter“ ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen (hier des Auftraggebers) verarbeitet.

In diesem Sinne verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers – die sogenannte „Auftragsdatenverarbeitung“ („ADV“). Die ADV umfasst Tätigkeiten, die unter „2 Gegenstand des Auftrages“ konkretisiert sind.

(4) „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;

 

(5) „biometrische Daten“ mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten;

 

(6) „Gesundheitsdaten“ personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen;

 

(1) Der Auftrag des Auftraggebers an den Auftragnehmer umfasst die folgenden Tätigkeiten und/oder Leistungen:

•    Bereitstellung der Faustregelsoftware auf einen dafür angemieteten Server des Auftragnehmers, z.B. als „Software as a Service“.

•    Setup und Systemeinrichtung (Customizing) der FR.

•    Wartungsarbeiten und Updates der FR. 

•    Verwaltungstätigkeiten des FR.

•    Bearbeitung von Anwenderanfragen per Telefon und E-Mail. 

•    Fehler- und Datenbankanalyse zur Produktverbesserung.

•    Kundenspezifische Auswertungen auf Datenbankebene.

 

(2) Folgende Datenarten sind Gegenstand der Vereinbarung:

•    Stammdaten

o    Name und Anschrift

o    Geschlecht und Geburtsdatum

o    Kommunikationsdaten (Telefon, Mobilnummer, E-Mail)

o    Körperdaten (Gewicht, Größe, BMI)

o    Spezifische Schalter wie Kundensperre, Mailingsperre

•    Vertragsdaten aus Dauerleistungsaufträgen

o    Vertragsart und -tarif

o    Abschlussdatum, Vertragsbeginn, Kündigungsdatum und Vertragsende

o    Laufzeit, Verlängerung und Kündigungsfrist

 

(3) Von der ADV betroffen sind:

•    Mitglieder mit Dauerleistungsverträgen

 

(4) Die Datenverarbeitung der vorgenannten Daten erfolgt u.a. zu folgenden Zwecken:

•    Dokumentationsmanagement für den Auftraggeber

•    Auswertung der Gewichts- und BMI-Entwicklung des Auftraggebers

 

(1)    Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der hier getroffenen Vereinbarung. Ausgenommen hiervon sind gesetzliche Regelung, die den Auftragnehmer gegebenenfalls zu einer anderweitigen Verarbeitung verpflichten. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Vereinbarung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesse verbietet. 

 

Zweck, Art und Umfang der Datenverarbeitung richten sich ansonsten ausschließlich nach den Vorliegenden Vereinbarung. Eine hiervon abweichende Verarbeitung von Daten dem Auftragnehmer untersagt, es sei denn, dass der Auftraggeber dieser schriftlich zugestimmt hat. 

 

(2)    Etwaiger Aufbewahrungspflichten für personenbezogenen Daten obliegen den Auftraggeber. Von daher dürfen nicht mehr benötigte Unterlagen personenbezogenen Daten und Dateien jederzeit durch den Auftraggeber datenschutzgerecht vernichtet werden. 

 

(3)    Der Auftragnehmer sichert im Bereich der auftragsgemäßen und Verarbeitung von personenbezogenen Daten die vertragsmäßige Abwicklung aller vereinbarten Maßnahmen zu. 

 

(4)    Der Auftragnehmer ist verpflichtet, sein Unternehmen und seine Betriebsabläufe so zu gestalten, dass die Daten, der im Auftrag des Auftragsgebers verarbeitet, im jeweils erforderlichen Maße gesichert und vor der unbefugten Kenntnisnahme Dritter geschützt sind.

 

(5)    Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn die Datenverarbeitung und oder eine von dem Auftraggeber erteilte Weisung nach seiner Auffassung gegen gesetzliche Regelung verstößt. Der Auftragnehmer ist berechtigt , die Durchführung der betreffenden Weisung so lange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird. 

 

(6)    Der Auftragnehmer ist verpflichtet, dem Auftraggeber jeden Verstoß gegen datenschutzrechtliche Vorschriften oder gegen die getroffenen vertraglichen Vereinbarungen und/oder die erteilten Weisungen des Auftraggebers, der im Zuge der Vereinbarung von Daten durch ihn oder andere mit der Verarbeitung beschäftigen Person erfolgt ist, unverzüglich mitzuteilen. Ferner wird der Auftragnehmer den Auftraggeber unverzüglich darüber informieren, wenn eine Aufsichtsbehörde nach § 38 B DSG oder Art. 58 DSGVO gegenüber dem Auftragnehmer tätig wird und dies auch eine Kontrolle der Verarbeitung, die der Auftragnehmer im Auftrag des Auftraggebers erbringt, betreffen kann. 

 

(7)    Für den Fall, dass der Auftragnehmer feststellt oder Tatsachen die Annahme begründen, dass von ihm für den Auftraggeber verarbeitete: 

 

•    besondere Arten personenbezogener Daten (§ drei Absatz 9 BDSG/Art. 9 DSGVO),

•    personenbezogene Daten, die einem Berufsgeheimnis unterliegen, 

•    personenbezogene Daten, dies auf strafbare Handlung oder Ordnungswidrigkeiten oder den Verdacht strafbarer Handlungen oder Ordnungswidrigkeiten beziehen oder (auch i.S.v.  Art. 10 DSGV) 

•    personenbezogene Daten zur Bank oder Kreditkonten 

 

unrechtmäßig übermittelt oder auf sonstige Weise dritten unrechtmäßig Erkenntnis gelangt sind, hat den Auftragnehmer den Auftraggeber unverzüglich und vollständig über Zeiten, Art und Umfang des Vorfalls in Schriftform zu informieren. Die Information muss eine Darlegung der Art der unrechtmäßigen Kenntniserlangung erhalten. Die Information soll zusätzlich eine Darlegung möglicher nachteiliger Folgen der unrechtmäßigen Kenntniserlangung beinhalten. Der Auftragnehmer ist darüber hinaus verpflichtet, unverzüglich mitzuteilen, welche Maßnahmen durch den Auftragnehmer getroffen wurden, um die unrechtmäßige Übermittlung bzw. unbefugte Kenntnisnahme durch Dritte künftig zu verhindern. 

 

Dem Auftragnehmer ist bekannt, dass er für den Auftraggeber ab dem 25.5.2018 eine Meldepflicht nach Art. 33 DSGVO bestehen kann, die eine Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden vorsieht. Der Auftragnehmer wird den Auftraggeber bei entsprechender Meldepflicht unterstützen. 

 

(8)    Der Auftragnehmer wird die Daten, die im Auftrag für den Auftraggeber verarbeitet, auf geeignete Weise kennzeichnen.

 

(1)    Der Auftraggeber hat das Recht, die Einhaltung der gesetzlichen Vorschriften zum Datenschutz und/ oder die Einhaltung der zwischen den Parteien getroffenen vertraglichen Regelung und/oder die Einhaltung der Weisung des Auftraggebers durch den Auftragnehmer zu kontrollieren.

 

(2)    Der Auftragnehmer ist dem Auftraggeber gegenüber zur Auskunftserteilung verpflichtet, soweit dies zur Durchführung der Kontrolle im Sinne des vorstehenden Absatzes erforderlich ist. 

 

(3)    Der Auftraggeber kann eine Einsicht in die vom Auftragnehmer für den Auftraggeber verarbeiten Daten sowie die sowie in die verwendeten Datenverarbeitungssysteme und Programme verlangen.

 

(1)    Dem Auftragnehmer steht die Beauftragung von Subunternehmen/unter Auftragnehmern für die Verarbeitung personenbezogener Daten grundsätzlich frei. Die sind aktuell Unternehmen, die Rechnerleistung und Datenkapazität im Auftrag zur Fügung stellen.

 

- (1.1) Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland

- (1.2) Bevermann PB.IT, Am Linnerhof 10, 58285 Gevelsberg

- (1.3) tenolo – Medien, Robert Bernis, Johannes Herberhold GbR, Bergerstr. 35, 58452 Witten

  Deutschland

 

(2)    Der Auftragnehmer wählt die Subunternehmen sorgfältig aus und prüft, dass diese zwischen Auftraggeber und Auftragnehmer getroffenen Vereinbarungen einhalten können. Der Auftragnehmer hat insbesondere zu prüfen, ob die Subunternehmen die nach § 9 BSDG bzw. Art. 32 DSVGO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten getroffen hat.

 

Der Auftragnehmer ist verpflichtet, sich von den Subunternehmen bestätigen zu lassen, dass diese betriebliche Datenschutzbeauftragte i.S.d. § 4f BDSG bzw. Art. 32 DSGVO bestellt haben. Für den Fall, dass beim Subunternehmen kein Datenschutzbeauftragter bestellt ist, hat der Auftragnehmer den Auftraggeber hierauf hinzuweisen.

 

(3)    Der Auftragnehmer hat sicherzustellen, dass die in diesem Vertrag vereinbarten Regeln und gegebenenfalls ergänzende Weisungen des Auftraggebers auch gegenüber dem Subunternehmer gelten. Der Auftragnehmer hat die Einhaltung dieser Pflichten zu kontrollieren.

 

(4)    Der Auftragnehmer hat mit den Subunternehmen Auftragverarbeitungsverträge zu schließen, die den Voraussetzungen des § 11 BDSG bzw. Art. 28 DSGVO entsprechen. Darüber hinaus hat der Auftragnehmer den Subunternehmen dieselben Datenschutzpflichten aufzulegen, die zwischen Auftraggeber und Auftragnehmer festgelegt sind. Dem Auftraggeber sind die Auftragsdatenverarbeitungsverträge auf Anfrage in Kopie zu übermitteln. 

 

(5)    der Auftragnehmer ist insbesondere verpflichtet, durch die vertragliche Regelung sicherzustellen, dass die Kontrollbefugnisse des Auftragnehmers und der Aufsichtsbehörden auch gegenüber den Subunternehmen gelten und entsprechende Kontrollrechte vereinbart werden.

 

(6)    Nicht als Unterauftragsverhältnisse sind Dienstleister anzusehen, die der Auftragnehmer bei Dritten als reine Nebenleistungen in Anspruch nimmt, um die geschäftliche Tätigkeit auszuüben. Dazu gehören beispielsweise Reinigungsleistung, reine Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für den Auftraggeber erbringt, Post und Kurierdienste, Transportleistung, Bewachungsdienste. Der Auftragnehmer ist gleichwohl verpflichtet, auch neben Leistungen die von Dritten erbracht werden, Sorge dafür zu tragen, dass angemessene Vorkehrungen und technischen und organisatorische Maßnahme betroffen werden, um den Schutz personen-bezogener Daten zu gewährleisten. 

 

Wartungs- und Prüfleistungen gemäß § 11 Abs. 5 BDSG stellen zustimmungspflichtige Unterauftrags-verhältnisse da, soweit die Wartung und Prüfung solche IT System betrifft, die auch in Zusammenhang mit der Erbringung von Leistungen für den Auftraggeber genutzt werden. Die Parteien sind sich darüber einig, dass das vorgenannte Wartung- und Prüfleistungen eine "Auftragsverarbeitung" i.S.d. Art. 28 DSGVO darstellen.

 

(1)    Der Auftragnehmer ist bei der Verarbeitung von Daten für den Auftraggeber zur Wahrung des Datengeheimnisses im Sinne des § 5 BDSG beziehungsweise zu Wahrung der Vertraulichkeit über Daten, die einem Zusammenhang mit dem Auftrag erhält bzw. zur Kenntnis erlangt, verpflichtet. Der Auftragnehmer verpflichtet sich, die gleichen Geheimnisschutzregeln zu beachten, wie sie dem Auftraggeber obliegen. Der Auftraggeber ist verpflichtet, dem Auftragnehmer etwaige besondere Geheimschutzregel mitzuteilen. 

 

(2)    Der Auftragnehmer sichert zu, dass ihm die die jeweils geltenden Datenschutzrichtlinien bekannt sind und er mit der Anwendung dieser vertraut ist. Der Auftragnehmer sicher ferner zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter mit den für sie maßgeblichen Bestimmungen des Datenschutzes vertraut macht und diese auf das Datengeheimnis im Sinn des § 5 VDSG verpflichtet werden. 

 

(3)    An die Stelle der Wahrung des Datengeheimnisses tritt mit Wirkung vom 25.05.2018 eine Vertraulichkeitsverpflichtung des Auftragnehmers. Der Auftragnehmer wird alle Beschäftigten, die Leistungen im Zusammenhang mit dem Auftrag des Auftraggebers einbringen, in Schriftform verpflichten, alle Daten des Auftraggebers, insbesondere die für den Auftraggeber verarbeiteten personenbezogene Daten vertraulich zu behandeln. Diese Verpflichtung der Beschäftigten ist auf Anfrage des Auftraggebers nachzuweisen.

 

(1)    Der Auftraggeber ist für die Wahrung der Betroffenenrechte allein verantwortlich.

 

(2)    Soweit eine Mitwirkung des Auftragnehmers für die Wahrung der Betroffenenrechte – insbesondere auf Auskunft, Berichtigung, Sperrung oder Löschung – durch den Auftraggeber erforderlich ist, wird der Auftragnehmer die jeweils erforderlichen Maßnahmen nach Weisung des Auftraggebers treffen. 

 

(3)    Regelungen über eine etwaige Vergütung von Mehraufwänden, die durch Mitwirkungsleistungen im Zusammenhang mit Geltendmachung von Betroffenenrechten gegenüber dem Auftraggeber beim Auftragnehmer entstehen, bleiben unberührt.

 

(1)    Der Auftragnehmer haftet dem Auftraggeber für Schäden, die der Auftragnehmer, seine Mitarbeiter beziehungsweise die von ihm mit der Vertragsdurchführung Beauftragten bei der Erbringung der vertraglichen Leistung schuldhaft Ursachen.

 

(2)    Für den Ersatz von Schäden, die ein Betroffener wegen einer nach dem BDSG oder anderen Vorschriften für den Datenschutz unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, ist der Auftraggeber gegenüber dem Betroffenen verantwortlich. Soweit der Auftraggeber zum Schadensersatz gegen über dem Betroffene verpflichtet ist, bleibt ihm der Rückgriff beim Auftragnehmer vorbehalten.

 

(3)    Bei Verstoß gegen die Abmachung dieses Vertrages, insbesondere gegen die Einhaltung des Datenschutzes, wird eine Vertragsstrafen in Höhe der einfachen monatlichen Lizenz-, Service-, und Wartungsgebühr vereinbart. 

 

(1)    Beide Parteien verpflichten sich alle Informationen, die sie im Zusammenhang mit der Durchführung dieses Vertrages erhalten, zeitlich unbegrenzt vertraulich zu behandeln und nur zur Durchführung des Vertrages zu verwenden. Keine Partei ist berechtigt, diese Information ganz oder teilweise zu anderen als den vorgenannten Zwecken zu nutzen oder diese Informationen Dritten zugänglich zu machen.

 

(2)    Die vorstehende Verpflichtung gilt nicht für Informationen, die eine Partei nachweisbar von Dritten erhalten hat, ohne zur Geheimhaltung verpflichtet zu sein, oder die öffentlich bekannt sind. 

 

Etwaige Tätigkeiten des Auftragnehmers die nicht mit dem Hauptvertrag (Mitgliedsvertrag/ Laufzeitabonnement) geregelt und abgegolten sind, werden dem Auftraggeber gesondert berechnet.

 

11.    Technische und organisatorische Maßnahmen zur Datensicherheit 

(1)    Der Auftragnehmer verpflichtet sich gegenüber dem Auftraggeber zur Einhaltung der technischen und organisatorischen Maßnahmen, die zur Einhaltung der anzuwenden Datenschutzvorschriften erforderlich sind.

 

(2)    Der zum Zeitpunkt des Vertragsabschlusses bestehende Stand der technischen und organisatorischen Maßnahmen sind Bestandteile des Hauptvertrages. Die Parteien sind sich darüber einig, dass zur Anpassung an technische und rechtliche Gegebenheiten Änderungen der technischen und organisatorischen Maßnahmen erforderlich werden können.

 

(3)    Spätestens ab dem 25.05.2018 wird der Auftragnehmer dem Auftraggeber die von ihm nach § 32 DSGVO getroffenen technischen und organisatorischen Maßnahmen zur Gewährleistung des nach Art. 32 DSGVO und des in diesem Vertrag geregelten Schutzniveaus in dokumentierter Form und in geeigneter Weise zur Verfügung stellen. Sofern die Partei nicht gesondert vereinbaren, dass die im Hauptvertrag aufgeführten technischen und organisatorischen Maßnahmen durch die nach diesem Absatz neu zur Verfügung gestellte Dokumentation der technischen und organisatorischen Maßnahmen zur Datensicherheit ersetzt werden, bleiben die im Hauptvertrag genannten Maßnahmen Vertragsbestandteil und sind vom Auftragnehmer entsprechend zu erfüllen.

 

(1)    Die Vereinbarung beginnt mit dem Abschluss eines Hauptvertrags (Mitgliedsvertrag/ Laufzeitabonnement) durch beide Parteien und wird auf bestimmte Laufzeit geschlossen.

 

(2)    Die Vereinbarung endet mit Beendigung des Hauptvertrages (auflösende Befristung).

 

(3)    Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen die anzuwendenden Datenschutzvorschriften oder gegen Pflichten aus diesem Vertrag vorliegt, der Auftragnehmer einer Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer den Zutritt des Auftraggebers oder der zuständigen Aufsichtsbehörde vertragswidrig verweigern.

 

Nach Beendigung des Vertrages hat der Auftragnehmer sämtliche seinem Besitz gelangt Unterlagen, Daten und erstellten Verarbeitung und/oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, nach Wahl des Auftraggebers an diesen zurückzugeben oder zu löschen. Die Löschung ist in einer geeigneten Weise zu dokumentieren. Etwaige gesetzliche Aufbewahrungspflichten oder sonstige Pflichten zu Speicherung der Daten bleiben unberührt. 

 

die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsberechtigten durch den Auftragnehmer im Sinne des § 273 BGB hinsichtlich der verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen wird. 

 

(1)    Sollten einzelne Teil dieses Vertrages unwirksam sein, so berührt dies die Wirksamkeit der übrigen Regelungen des Vertrages nicht.

 

(2)    Gerichtsstand für etwaige Streitigkeiten aus und im Zusammenhang dieses Vertrages ist Bochum.

 

 

Bochum, 16.05.2018

 

Jörn Menger

Geschäftsführender Gesellschafter TRAIWI GmbH