Auftragsverarbeitungsvertrag (Muster)

Dieses Muster gilt für Auftragsstudien: Ein Unternehmen (Agentur, Institut, Auftraggeber) lässt über NeuroScreen ein Teilnehmerpanel messen. Dann ist der Auftraggeber Verantwortlicher und NeuroScreen Auftragsverarbeiter. Für die eigenen Tests der Plattform gilt das Umgekehrte — dort sind wir Verantwortlicher und es gilt die Datenschutzerklärung.

Der Vertrag ist vor Beginn der ersten Messung zu schließen. Ohne ihn darf keine Auftragsstudie starten. Die ausfüllbaren Felder sind mit […] markiert.

Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

und

§ 1 Gegenstand, Dauer und Rollenverteilung

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Erbringung der Leistung „Messung eines Teilnehmerpanels über die Plattform NeuroScreen“ gemäß Hauptvertrag/Angebot vom [Datum].
2. Der Verantwortliche entscheidet allein über Zwecke und Mittel der Verarbeitung. Der Auftragsverarbeiter erhebt und verarbeitet die Daten ausschließlich weisungsgebunden.
3. Die Vereinbarung beginnt mit Unterzeichnung und endet mit Beendigung des Hauptvertrags. Sie kann vom Verantwortlichen jederzeit ohne Frist gekündigt werden; Folge ist die Beendigung der Verarbeitung und das Verfahren nach § 10.
4. Einzelheiten von Art, Umfang, Zweck, Datenarten und betroffenen Personen ergeben sich aus Anlage 1.

§ 2 Weisungsrecht

1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch bei einer Übermittlung in Drittländer — es sei denn, er ist unionsrechtlich oder mitgliedstaatlich zur Verarbeitung verpflichtet. In diesem Fall teilt er dies vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Weisungen erfolgen in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Weisungsbefugte Personen sind in Anlage 1 benannt.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
4. Verarbeitet der Auftragsverarbeiter Daten entgegen Weisung zu eigenen Zwecken, wird er insoweit selbst Verantwortlicher (Art. 28 Abs. 10 DSGVO).

§ 3 Besondere Kategorien personenbezogener Daten

1. Die Verarbeitung umfasst EEG-Aufzeichnungen — Gesundheitsdaten im Sinne des Art. 9 DSGVO. Beide Parteien behandeln sie mit entsprechend erhöhter Sorgfalt.
2. Der Verantwortliche stellt sicher, dass für jede teilnehmende Person eine wirksame ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO vorliegt, bevor die Messung beginnt, und dass die Betroffenen über Zweck, Empfänger und Widerrufsmöglichkeit informiert wurden. Der Auftragsverarbeiter stellt hierfür den Einwilligungsbildschirm des Einladungslinks bereit; die inhaltliche Verantwortung für die Rechtmäßigkeit der Einwilligung bleibt beim Verantwortlichen.
3. Der Auftragsverarbeiter weist darauf hin und der Verantwortliche nimmt zur Kenntnis, dass NeuroScreen kein Medizinprodukt ist und keine Diagnosen liefert. Ergebnisse dürfen gegenüber Teilnehmenden nicht als medizinische Aussage dargestellt werden.
4. Trennung von der Normdatenbank: Daten aus Auftragsstudien fließen nicht in die Vergleichs- bzw. Normdatenbank von NeuroScreen ein und werden nicht für eigene Zwecke des Auftragsverarbeiters ausgewertet. Eine Nutzung über den Auftrag hinaus setzt eine gesonderte, schriftliche Vereinbarung und eine eigene Einwilligung der Betroffenen voraus.

§ 4 Vertraulichkeit

1. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen sind. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.
2. Der Zugriff erfolgt nach dem Prinzip der geringsten Rechte und ist auf Personen beschränkt, die ihn für Betrieb oder Auswertung benötigen.

§ 5 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.
2. Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und auf Anfrage mitgeteilt.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung der in Anlage 3 genannten Unterauftragsverarbeiter.
2. Jede beabsichtigte Änderung — Hinzuziehung oder Ersetzung — teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen. Kann der Einwand nicht ausgeräumt werden, darf der Verantwortliche den Hauptvertrag außerordentlich kündigen.
3. Der Auftragsverarbeiter verpflichtet Unterauftragnehmer auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und haftet für deren Verhalten wie für eigenes.
4. Reine Nebenleistungen (Telekommunikation, Post, Reinigung, Wartung durch Hersteller) gelten nicht als Unterauftragsverarbeitung; auch dort werden angemessene Schutz- maßnahmen getroffen.

§ 7 Unterstützung bei Betroffenenrechten

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen nach Art. 15–22 DSGVO.
2. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er den Antrag unverzüglich weiter und beantwortet ihn nicht selbst.
3. Auskunfts-, Berichtigungs-, Lösch- und Einschränkungsverlangen setzt der Auftragsverarbeiter nur auf Weisung um. Kennung der Teilnehmenden ist die E-Mail-Adresse, über die eingeladen wurde.

§ 8 Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, in Textform an die in Anlage 1 genannte Adresse.
2. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Gegenmaßnahmen.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Pflichten nach Art. 33 und 34 DSGVO. Meldungen an Aufsichtsbehörden und Betroffene erfolgen durch den Verantwortlichen.

§ 9 Unterstützung bei Folgenabschätzung und Konsultation

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und vorherigen Konsultationen (Art. 36 DSGVO), soweit dies angesichts der Art der Verarbeitung und der ihm vorliegenden Informationen erforderlich ist. Wegen der Verarbeitung von Gesundheitsdaten in größerem Umfang ist eine Folgenabschätzung regelmäßig erforderlich.

§ 10 Löschung und Rückgabe

1. Nach Abschluss der Studie, spätestens nach Beendigung des Vertrags, löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Verantwortlichen heraus — innerhalb von 30 Tagen nach entsprechender Weisung.
2. Die Herausgabe erfolgt in einem gängigen, maschinenlesbaren Format.
3. Verschlüsselte Sicherungskopien laufen im jeweiligen Sicherungszyklus aus, längstens nach 90 Tagen; bis dahin bleiben sie gesperrt und werden nicht verarbeitet.
4. Dokumentationen, die dem Nachweis ordnungsgemäßer Verarbeitung dienen, darf der Auftragsverarbeiter über das Vertragsende hinaus nach den jeweiligen Aufbewahrungs- fristen verwahren. Die Löschung wird auf Verlangen in Textform bestätigt.

§ 11 Nachweise und Kontrollen

1. Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus Art. 28 DSGVO nach — vorrangig durch aktuelle Selbstauskunft, Beschreibung der Maßnahmen nach Anlage 2 oder Zertifikate und Prüfberichte seiner Unterauftragnehmer.
2. Genügen diese Nachweise nicht, ermöglicht der Auftragsverarbeiter Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen von ihm beauftragten, nicht mit ihm im Wettbewerb stehenden Prüfer. Kontrollen sind mit angemessener Vorlaufzeit (in der Regel zwei Wochen) anzukündigen, auf Werktage zu Geschäftszeiten zu legen und dürfen den Betrieb nicht unangemessen stören.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

§ 12 Haftung

Es gilt Art. 82 DSGVO. Im Innenverhältnis haften die Parteien einander nach den gesetzlichen Vorschriften; Haftungsbeschränkungen des Hauptvertrags bleiben unberührt, soweit sie Ansprüche betroffener Personen nicht einschränken.

§ 13 Schlussbestimmungen

1. Änderungen und Ergänzungen bedürfen der Textform; das gilt auch für die Aufhebung dieses Formerfordernisses.
2. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um Datenschutz geht.
3. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.
4. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.

Anlage 1 — Beschreibung der Verarbeitung

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Weitere Unterauftragsverarbeiter werden nach dem Verfahren des § 6 Abs. 2 mitgeteilt.