(Vereinbarung gemäß Art. 28 DSGVO)
Diese Vereinbarung zur Auftragsverarbeitung („Vereinbarung“) wird geschlossen zwischen:
Verantwortlicher (Controller):
Point of Difference e.V.
Wollgrasstr. 1a
D-26802 Moormerland
Vereinsregister-Nr.: VR 201299, Amtsgericht Aurich
(nachfolgend „Verantwortlicher“)
Auftragsverarbeiter (Processor):
[Name des Dienstleisters / Partners]
[Rechtsform und Anschrift]
(nachfolgend „Auftragsverarbeiter“)
Gemeinsam bezeichnet als die „Parteien“.
1. Gegenstand und Dauer
Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.
- Gegenstand: Verarbeitung personenbezogener Daten zur Erbringung der vereinbarten Dienstleistungen
- Dauer: Laufzeit des zugrunde liegenden Dienstleistungsvertrags, sofern nicht anders beendet
Nach Vertragsende gelten die Verpflichtungen dieser Vereinbarung entsprechend den gesetzlichen Vorgaben fort.
2. Art und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu folgenden Zwecken:
- Erbringung der vereinbarten Dienstleistungen für Point of Difference
- administrative, operative und technische Unterstützung
- Hosting-, Kommunikations-, IT- oder projektbezogene Leistungen (je nach Fall)
Eine Verarbeitung zu anderen Zwecken ist unzulässig.
3. Arten personenbezogener Daten
Je nach Leistung können folgende Datenkategorien verarbeitet werden:
- Identifikationsdaten (Name, Adresse, Kontaktdaten)
- administrative und Kommunikationsdaten
- projekt- oder programmspezifische Daten
- Daten von Freiwilligen, Spendern oder Teilnehmenden
- technische Daten (z. B. Logfiles, Zugriffsdaten)
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) dürfen nur verarbeitet werden, sofern dies ausdrücklich vereinbart und rechtlich zulässig ist.
4. Kategorien betroffener Personen
Personenbezogene Daten können sich beziehen auf:
- Mitarbeitende und Freiwillige
- Begünstigte und Teilnehmende
- Spender und Unterstützende
- Partner und Dienstleister
- Nutzer von Websites oder Plattformen
5. Pflichten des Verantwortlichen
Der Verantwortliche verpflichtet sich:
- die Rechtmäßigkeit der Datenverarbeitung sicherzustellen
- dokumentierte Weisungen an den Auftragsverarbeiter zu erteilen
- den Auftragsverarbeiter unverzüglich über Änderungen zu informieren
- die Rechte betroffener Personen gemäß DSGVO zu erfüllen
6. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
- personenbezogene Daten ausschließlich auf dokumentierte Weisung zu verarbeiten
- die Vertraulichkeit der zur Verarbeitung befugten Personen sicherzustellen
- geeignete technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO umzusetzen
- den Verantwortlichen bei der Wahrung der Betroffenenrechte zu unterstützen
- bei Datenschutz-Folgenabschätzungen zu unterstützen
- Datenschutzverletzungen unverzüglich zu melden
7. Technische und organisatorische Maßnahmen (TOMs)
Der Auftragsverarbeiter setzt angemessene Maßnahmen um, insbesondere:
- Zugriffskontrollen und Authentifizierung
- Datenverschlüsselung und sichere Übertragung
- Backup- und Wiederherstellungsverfahren
- Datenminimierung und Systemtrennung
- regelmäßige Sicherheitsprüfungen und Schulungen
Details können in Anlage 1 geregelt werden.
8. Unterauftragsverarbeiter
Die Beauftragung von Unterauftragsverarbeitern ist nur zulässig:
- mit vorheriger schriftlicher Genehmigung des Verantwortlichen (allgemein oder spezifisch)
- bei Abschluss eines Vertrags gemäß Art. 28 DSGVO
Der Auftragsverarbeiter bleibt für das Verhalten der Unterauftragsverarbeiter verantwortlich.
9. Rechte der betroffenen Personen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Bearbeitung von Anfragen zu:
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch (Art. 21 DSGVO)
Eine direkte Beantwortung erfolgt nur mit Zustimmung des Verantwortlichen.
10. Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich jede bekannt gewordene Verletzung des Schutzes personenbezogener Daten und stellt alle erforderlichen Informationen gemäß Art. 33 DSGVO bereit.
11. Audits und Kontrollen
Der Verantwortliche kann die Einhaltung dieser Vereinbarung prüfen durch:
- Anforderung von Audits oder Berichten
- Durchführung von Vor-Ort-Kontrollen nach angemessener Ankündigung
Der Auftragsverarbeiter unterstützt diese Maßnahmen angemessen.
12. Datenübermittlung in Drittländer
Eine Übermittlung personenbezogener Daten in Drittländer ist nur zulässig, wenn:
- eine ausdrückliche Weisung des Verantwortlichen vorliegt
- die Anforderungen der DSGVO (Art. 44–49) erfüllt sind
- geeignete Garantien (z. B. Standardvertragsklauseln) bestehen
13. Rückgabe oder Löschung von Daten
Nach Beendigung der Dienstleistungen hat der Auftragsverarbeiter nach Wahl des Verantwortlichen:
- alle personenbezogenen Daten zu löschen oder
- alle Daten zurückzugeben und verbleibende Kopien zu löschen
Sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
14. Haftung
Die Haftung richtet sich nach:
- Art. 82 DSGVO
- den einschlägigen Vorschriften des BGB
- dem zugrunde liegenden Vertrag
15. Kündigung
Der Verantwortliche kann die Vereinbarung fristlos kündigen, wenn der Auftragsverarbeiter wesentliche Datenschutzpflichten verletzt.
16. Schlussbestimmungen
- Es gilt deutsches Recht
- Gerichtsstand ist der Sitz des Verantwortlichen, soweit rechtlich zulässig
- Änderungen bedürfen der Schriftform
- Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen unberührt
17. Unterschriften
Für den Verantwortlichen
Point of Difference
Name:
Funktion:
Datum:
Unterschrift:
Für den Auftragsverarbeiter
Name:
Funktion:
Datum:
Unterschrift: