6. Pflichten des Auftraggebers

(1) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.

(2) Der Auftragnehmer handelt ausschließlich weisungsbezogen im Rahmen der DSGVO, Mittel und Zweck der Datenverarbeitung personenbezogener Daten werden ausschließlich durch den Auftraggeber festgelegt.

(3) Im Falle einer Inanspruchnahme des Auftragnehmers durch eine betroffene Person hinsichtlich etwaiger Ansprüche nach Art. 82 DSGVO, gilt §5 Abs. 10 entsprechend.

(4) Der Auftraggeber nennt dem Auftragnehmer den Ansprechpartner für im Rahmen des Vertrages anfallende Datenschutzfragen (Anlage A).

7. Anfragen betroffener Personen

(1) Wendet sich eine betroffene Person mit Forderungen zur Berichtigung Löschung oder Auskunft an den Auftragnehmer, wird der Auftragnehmer die betroffene Person an den Auftraggeber verweisen, sofern eine Zuordnung an den Auftraggeber nach Angaben der betroffenen Person möglich ist. Der Auftragnehmer leitet den Antrag der betroffenen Person unverzüglich an den Auftraggeber weiter. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten auf Weisung des Auftraggebers. Der Auftragnehmer haftet nicht, wenn das Ersuchen der betroffenen Person vom Auftraggeber nicht, nicht richtig oder nicht fristgerecht beantwortet wird.

8. Prüf- und Kontrollrechte, Nachweismöglichkeiten

(1) Der Auftraggeber darf beim Auftragnehmer Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten einholen und zu diesem Zwecke Überprüfungen beim Auftragnehmer durchführen. Derartige Überprüfungen erfolgen regelmäßig durch Einholung einer Selbstauskunft beim Auftragnehmer.

(2) Der Auftragnehmer kann dem Auftraggeber die Einhaltung des Datenschutzes neben einer Selbstauskunft mittels einem vom Auftraggeber übermittelten Fragebogens auch durch Übersendung einer von einer externen Stelle (z.B. externen Datenschutzbeauftragten) testierten Konformitätsbestätigung gemäß Art. 5 Abs. 2 DSGVO und Art. 24 Abs. 1 DSGVO nachweisen, sofern diese nicht älter als achtzehn Monate ist. Testate bzw. Zertifizierungen müssen sich auf die technischen und organisatorischen Maßnahmen beziehen, die in dem zum Zeitpunkt der Überprüfung, durch den Auftraggeber in den jeweils aktuellen technischen und organisatorischen Maßnahmen, enthalten sind.

(3) Vor-Ort Prüf-, Zutritts- und Auskunftsrechte im Rahmen der in Art. 28 DSGVO niedergelegten Pflichten kann nur der Auftraggeber selbst durch eigene Arbeitnehmer oder durch von ihm auf eigene Kosten zu beauftragende externe Prüfer wahrnehmen. Die konkrete Person ist vorab namentlich anzukündigen. Zusätzlich ist vor der Prüfung die Unterzeichnung einer Verschwiegenheitsverpflichtung hinsichtlich der Daten anderer Kunden obligatorisch. Eine Anmeldung des externen Prüfers hat ebenfalls rechtzeitig (mindestens mit einer Vorlaufzeit von 14 Tagen) und im Rahmen ähnlicher Bürozeiten in den Betriebsräumen des Auftragnehmers ohne wesentliche Störung des Betriebsablaufs zu erfolgen.

(4) Auftraggeber hat die von ihm vorgenommene Kontrolle vor Ort und ihre Ergebnisse zeitnah (14 Tage) zu dokumentieren und die Dokumentation unverzüglich nach Erstellung dem Auftragnehmer vollständig in Kopie zu überlassen.

(5) Für die Unterstützung bei der Durchführung einer Inspektion auf Wunsch des Auftraggebers darf der Auftragsnehmer eine Vergütung verlangen. Der Aufwand einer solchen Inspektion ist für den Auftragnehmer grundsätzlich auf einen Tag pro Kalenderjahr begrenzt.

(6) Der Auftragnehmer ermöglicht eine ordnungsgemäße Datenschutzkontrolle und Aufsicht durch die zuständige Aufsichtsbehörde. Insbesondere erteilt er der Aufsichtsbehörde richtig, vollständig und rechtzeitig Auskunft, duldet Prüfungen und Kontrollmaßnahmen und vollzieht Anordnungen (der Aufsichtsbehörde). Der Auftragnehmer wird den Auftraggeber unverzüglich informieren, falls sich die Aufsichtsbehörde im Rahmen ihrer Datenschutzkontrolle und Aufsicht unmittelbar an den Auftragsverarbeiter wenden sollte.

(7) Der Auftragnehmer ist berechtigt, nach eigenem Ermessen unter Berücksichtigung der gesetzlichen Verpflichtungen des Auftraggebers, Informationen nicht zu offenbaren, die sensibel im Hinblick auf die Geschäfte des Auftragnehmers sind oder, wenn der Auftragnehmer durch deren Offenbarung gegen gesetzliche oder andere vertragliche Regelungen verstoßen würde. Der Auftraggeber erhält keinen Zugang zu Daten, Räumlichkeiten oder Informationen über andere Kunden des Auftragnehmers, zu Informationen hinsichtlich Kosten, zu Qualitätsprüfungs- und Vertrags- Managementberichten sowie zu sämtlichen anderen vertraulichen Daten des Auftragnehmers, die nicht unmittelbar relevant für die vereinbarten Überprüfungszwecke sind.

9. Subunternehmer (weitere Auftragsverarbeiter)

(1) Der Auftraggeber stimmt zu, dass der Auftragnehmer Subunternehmer hinzuziehen darf. Eine Liste aller für den Auftraggeber eingesetzten Subunternehmer befindet sich in der Anlage A.

(2) Im Rahmen der Hinzuziehung neuer Subunternehmern oder bei Ersetzung bestehender Subunternehmern informiert der Auftragnehmer den Auftraggeber entsprechend. Der Auftraggeber kann der Änderung aus wichtigem Grund innerhalb von 14 Tagen gegenüber der vom Auftraggeber bezeichneten Stelle widersprechen. Erfolgt kein Widerspruch innerhalb der Frist gilt die Zustimmung zur Änderung als gegeben. Liegt ein wichtiger datenschutzrechtlicher Grund vor, und sofern eine einvernehmliche Lösungsfindung zwischen den Parteien nicht möglich ist, wird dem Auftraggeber und dem Auftragnehmer ein Sonderkündigungsrecht eingeräumt.

(3) Ein zustimmungspflichtiges Subunternehmerverhältnis gemäß Absatz 2 liegt vor, wenn der Auftragnehmer weitere Auftragnehmer mit der ganzen oder einer Teilleistung der im Vertrag vereinbarten Leistung beauftragt. Der Auftragnehmer wird mit diesen Dritten im erforderlichen Umfang Vereinbarungen treffen, um angemessene Datenschutz- und Informationssicherheitsmaßnahmen zu gewährleisten und datenschutzrechtliche Pflichten aus diesem Vertrag dem Subunternehmer zu übertragen.

10. Datenverarbeitung innerhalb der NOBIX Gruppe

(1) Der Auftragnehmer gehört zur NOBIX Systemhaus Firmengruppe der NOBIX Group GmbH, Industriestraße 18, 89423 Gundelfingen a. d. Donau, Internet: www.nobix-group.de, E-Mail: info@nobix-group.de, Tel.: +49 9073 83 800. Der Auftragnehmer ist ein von der Nobix Group GmbH direkt oder indirekt beherrschtes Unternehmen im Sinne von § 15 ff. des deutschen Aktiengesetzes.

(2) Zur Sicherstellung eines optimalen Kundenservice und einer leistungsfähigen Auftragsabwicklung setzt der Auftragnehmer im Rahmen der Leistungserbringung zentralisierte Dienste der NOBIX Firmengruppe ein. Gemäß Erwägungsgrund 48 DSGVO sind Gruppen-IT-Dienste durch eine gruppenweite Datenorganisation für eine Unternehmensgruppe von berechtigtem Interesse im Sinne von Art. 6 Abs 1 lit f DSGVO. In Übereinstimmung mit Erwägungsgrund 48 der DSGVO haben die Parteien ein berechtigtes (gemeinsames) Interesse an einer konzernweiten Datenorganisation und -verwaltung sowie am Austausch personenbezogener Daten innerhalb der Unternehmensgruppe insbesondere für interne Verwaltungs-, Service- und Kundenbetreuungszwecke.

(3) Die Unternehmen der NOBIX Firmengruppe haben einen umfassenden Gruppendatenverarbeitungsvertrag abgeschlossen, der den Schutz und die gesetzeskonforme Verarbeitung personenbezogener Daten innerhalb der Firmengruppe definiert und sicher stellt. Informationen zu den Datenverarbeitungen und dem Datenschutz innerhalb der NOBIX Systemhaus Firmengruppe sind abrufbar unter https://nobix-group.de/datenschutz/firmengruppe.

11. Haftung und Schadensersatz

Auftraggeber und Auftragnehmer haften im Außenverhältnis nach Artikel 82 Abs 1 DSGVO für materielle und immaterielle Schäden, die eine Person wegen eines Verstoßes gegen die DSGVO erleidet. Sind sowohl der Auftraggeber als auch der Auftragnehmer für einen solchen Schaden gemäss Art 82. Abs. 2 DSGVO verantwortlich, haften die Parteien im Innenverhältnis für diese Schäden entsprechend ihres Anteils an der Verantwortung. Nimmt eine Person in einem solchen Fall eine Partei ganz oder überwiegend auf Schadenersatz in Anspruch, so kann diese von der jeweils anderen Partei Freistellung oder Schadloshaltung verlangen, soweit dies ihrem Anteil an der Verantwortung entspricht.

12. Verpflichtung zur Geheimhaltung von Berufsgeheimnissen (§ 203 StGB)

(1) Gehört der Auftraggeber zu einer Gruppe, die einem Berufsgeheimnis unterliegen, so gelten zusätzlich die Bestimmungen diese Paragraphen.

(2) Dem Auftragnehmer ist in diesem Fall bewußt, dass sich Personen, die an der beruflichen Tätigkeit eines Berufsgeheimnisträgers mitwirken und unbefugt ein fremdes Geheimnis von ihm offenbaren, das ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt geworden ist, nach § 203 Abs. 4 lit 1 StGB strafbar machen.

(3) Der Auftragnehmer verpflichtet sich, über Berufsgeheimnisse des Auftraggebers Stillschweigen zu bewahren und sich nur insoweit Kenntnis von diesen Daten zu verschaffen, wie dies zur Erfüllung der ihm zugewiesenen Aufgaben erforderlich ist. Der Auftraggeber stellt sicher, dass durch die Organisation seiner Berufsgeheimnisse die mögliche Kenntnisnahme auf das Maß beschränkt wird, welches zur Erfüllung der Aufgaben des Auftragnehmers notwendig ist.

(4) Dem Auftragnehmer ist bekannt, dass er sich gemäß § 203 Abs. 4 lit 2 StGB strafbar macht, sollte er sich einer weiteren mitwirkenden Person bedienen, die ihrerseits unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde.

(5) Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung von dem Berufsgeheimnis unterliegenden Daten des Auftraggebers befassten Beschäftigten und andere für den Auftragnehmer tätigen Personen (z.B. Subunternehmer), die damit befasst sind, sich in Textform dazu verpflichtet haben, die ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenen Berufsgeheimnisse nicht unbefugt zu offenbaren und sie über die mögliche Strafbarkeit nach § 203 Abs. 4 StGB belehrt wurden.

13. Informationspflichten, Schriftformklausel, Rechtswahl

(1) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als »Verantwortlicher « im Sinne der Datenschutz-Grundverordnung liegen.

(2) Änderungen und Ergänzungen dieser Anlage und aller ihrer Bestandteile – einschließlich etwaiger Zusicherungen des Auftragnehmers – bedürfen einer schriftlichen Vereinbarung, die auch in einem elektronischen Format (Textform) erfolgen kann, und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

(3) Bei etwaigen Widersprüchen gehen Regelungen dieser Anlage zum Datenschutz den Regelungen des Vertrages vor. Sollten einzelne Teile dieser Anlage unwirksam sein, so berührt dies die Wirksamkeit der Anlage im Übrigen nicht.

(4) Gerichtsstand für sämtliche Streitigkeiten aus oder im Zusammenhang mit dieser Vereinbarung
sowie datenschutzrelevante Streitigkeiten ist der Sitz des Auftragnehmers.

(5) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.