Datenverarbeitungs­vereinbarung

Version 1.2, September 2023. Gemäß Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 im Hinblick auf die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter, zwischen

dem Kunden, der das Angebot der DSML Deutschland GmbH annimmt (Firma/Name, Anschrift und USt-IdNr. wie im Angebot angegeben),
im Folgenden „Datenverantwortlicher“ genannt,

und

Poul Schou A/S, Dansk Sikkerhedsmakulering
im Auftrag der DSML Deutschland GmbH, Skandinavien Bogen 6, 24983 Handewitt
Logistikvej 25B, DK-5250 Odense SV, USt-IdNr. DK13246505,
im Folgenden „Auftragsverarbeiter“ genannt.

Im Folgenden gemeinsam als „die Parteien“ und einzeln als „Partei“ bezeichnet. Zur Einhaltung der Datenschutzbestimmungen und zur Gewährleistung des Schutzes der Privatsphäre sowie der Grundrechte und Grundfreiheiten natürlicher Personen haben die Parteien die folgenden Vertragsbestimmungen (die Bestimmungen) vereinbart. Diese Bestimmungen wurden zuletzt am 8. September 2023 (Version 1.2) geändert.

1. Präambel

1. Diese Bestimmungen regeln die Rechte und Pflichten des Auftragsverarbeiters, wenn er personenbezogene Daten im Auftrag des Datenverantwortlichen verarbeitet.
2. Diese Bestimmungen dienen der Einhaltung von Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung „DSGVO“).
3. Im Zusammenhang mit der Lieferung von Sicherheitszerkleinerung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Datenverantwortlichen gemäß diesen Bestimmungen.
4. Die Bestimmungen gehen etwaigen entsprechenden Bestimmungen in anderen Vereinbarungen zwischen den Parteien vor.
5. Zu diesen Bestimmungen gibt es vier Anhänge, die integraler Bestandteil der Bestimmungen sind.
6. Anhang A enthält detaillierte Informationen zur Verarbeitung personenbezogener Daten, einschließlich des Zwecks und der Art der Verarbeitung, der Art der personenbezogenen Daten, der Kategorien der betroffenen Personen und der Dauer der Verarbeitung.
7. Anhang B enthält die Bedingungen des Datenverantwortlichen für die Nutzung von Unterauftragsverarbeitern durch den Auftragsverarbeiter sowie eine Liste der Unterauftragsverarbeiter, deren Einsatz der Verantwortliche genehmigt hat.
8. Anhang C enthält die Weisungen des Datenverantwortlichen hinsichtlich der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter, eine Beschreibung der Sicherheitsmaßnahmen, die der Auftragsverarbeiter mindestens ergreifen muss, und wie der Auftragsverarbeiter und etwaige Unterauftragsverarbeiter überwacht werden.
9. Anhang D enthält Regelungen zu anderen Tätigkeiten, die nicht unter die Bestimmungen fallen.
10. Die Bestimmungen mit den dazugehörigen Anhängen sind von beiden Parteien schriftlich, auch elektronisch, aufzubewahren.
11. Diese Bestimmungen entbinden den Auftragsverarbeiter nicht von Pflichten, die ihm aus der DSGVO oder anderen Rechtsvorschriften auferlegt werden.

2. Definitionen

1. Personenbezogene Daten sind alle Informationen, die einer bestimmten Person zugeordnet werden können.
2. Eine vertragsgemäße Datenverarbeitung ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Datenverantwortlichen (Art. 4 Abs. 2 DSGVO).
3. Eine Weisung betrifft den konkreten datenschutzrechtlichen Umgang (z. B. Veröffentlichung, Anonymisierung, Sperrung oder Löschung) durch den Auftragsverarbeiter mit den Daten des Verantwortlichen. Die Weisungen werden durch den Hauptvertrag festgelegt und können durch gesonderte schriftliche Weisungen (Einzelweisungen) geändert, ergänzt oder ersetzt werden.

3. Rechte und Pflichten des Datenverantwortlichen

1. Der Datenverantwortliche ist dafür verantwortlich, dass die Verarbeitung personenbezogener Daten im Einklang mit der DSGVO (siehe Art. 24), den datenschutzrechtlichen Bestimmungen des sonstigen EU-Rechts oder dem nationalen Recht der Mitgliedstaaten sowie diesen Bestimmungen erfolgt.
2. Der Datenverantwortliche hat das Recht und die Pflicht, darüber zu entscheiden, zu welchem Zweck und mit welchen Mitteln personenbezogene Daten verarbeitet werden dürfen.
3. Der Datenverantwortliche ist unter anderem dafür verantwortlich, sicherzustellen, dass für die Verarbeitung personenbezogener Daten, mit deren Durchführung der Auftragsverarbeiter beauftragt wird, eine Rechtsgrundlage besteht.

4. Der Auftragsverarbeiter handelt weisungsgebunden

1. Der Auftragsverarbeiter darf personenbezogene Daten nur nach dokumentierter Weisung des Datenverantwortlichen verarbeiten, sofern er nicht durch EU-Recht oder das nationale Recht der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist. Diese Weisungen sind in den Anhängen A und C festzulegen. Nachträgliche Weisungen können auch während der Verarbeitung personenbezogener Daten erteilt werden; sie sind jedoch stets schriftlich, auch elektronisch, zusammen mit diesen Bestimmungen zu dokumentieren und aufzubewahren.
2. Der Auftragsverarbeiter teilt dem Datenverantwortlichen unverzüglich mit, wenn eine Weisung nach seiner Ansicht gegen die DSGVO oder datenschutzrechtliche Bestimmungen im sonstigen EU-Recht oder im nationalen Recht der Mitgliedstaaten verstößt.

5. Vertraulichkeit

1. Der Auftragsverarbeiter darf personenbezogene Daten, die im Auftrag des Datenverantwortlichen verarbeitet werden, nur solchen Personen zugänglich machen, die seiner Weisungsbefugnis unterliegen und sich zur Vertraulichkeit verpflichtet haben oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen, und nur im erforderlichen Umfang. Die Liste der Personen, denen Zugang gewährt wurde, ist fortlaufend zu überprüfen. Aufgrund dieser Prüfung kann der Zugang zu personenbezogenen Daten gesperrt werden, wenn er nicht mehr erforderlich ist; die personenbezogenen Daten dürfen diesen Personen dann nicht mehr zur Verfügung stehen.
2. Der Auftragsverarbeiter muss auf Verlangen des Datenverantwortlichen nachweisen, dass die Personen, die seiner Weisungsbefugnis unterliegen, der oben genannten Verschwiegenheitspflicht unterliegen.

6. Sicherheit der Verarbeitung

1. Nach Artikel 32 DSGVO treffen der Datenverantwortliche und der Auftragsverarbeiter unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Datenverantwortliche muss die durch die Verarbeitung entstehenden Risiken für die Rechte und Freiheiten natürlicher Personen bewerten und Maßnahmen zur Bewältigung dieser Risiken ergreifen. Je nach Relevanz kann dies Folgendes umfassen:
   1. Pseudonymisierung und Verschlüsselung personenbezogener Daten;
   2. die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
   3. die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
   4. ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
2. Gemäß Artikel 32 DSGVO muss der Auftragsverarbeiter – unabhängig vom Datenverantwortlichen – auch die Risiken bewerten, die die Verarbeitung für die Rechte natürlicher Personen mit sich bringt, und Maßnahmen zur Bewältigung dieser Risiken ergreifen. Zu diesem Zweck stellt der Datenverantwortliche dem Auftragsverarbeiter die notwendigen Informationen zur Verfügung, die es ihm ermöglichen, solche Risiken zu erkennen und einzuschätzen.
3. Darüber hinaus unterstützt der Auftragsverarbeiter den Datenverantwortlichen bei der Einhaltung seiner Pflicht nach Artikel 32 DSGVO, indem er ihm z. B. die notwendigen Informationen über die technischen und organisatorischen Sicherheitsmaßnahmen zur Verfügung stellt, die er nach Artikel 32 DSGVO bereits umgesetzt hat, sowie alle anderen Informationen, die der Datenverantwortliche zur Erfüllung dieser Pflicht benötigt. Erfordert die Bewältigung der identifizierten Risiken nach Einschätzung des Datenverantwortlichen zusätzliche Maßnahmen über die bereits umgesetzten hinaus, muss der Datenverantwortliche diese in Anhang C angeben.

7. Einsatz von Unterauftragsverarbeitern

1. Der Auftragsverarbeiter muss die in Artikel 28 Absatz 2 und 4 DSGVO genannten Bedingungen erfüllen, um einen anderen Auftragsverarbeiter (Unterauftragsverarbeiter) zu beauftragen.
2. Der Auftragsverarbeiter darf sich daher ohne vorherige ausdrückliche schriftliche Zustimmung des Datenverantwortlichen keines Unterauftragsverarbeiters zur Erfüllung dieser Datenverarbeitungsvereinbarung bedienen.
3. Der Auftragsverarbeiter darf Unterauftragsverarbeiter nur mit vorheriger ausdrücklicher schriftlicher Zustimmung des Datenverantwortlichen einsetzen. Er muss den Antrag auf eine solche Genehmigung mindestens 14 Tage vor dem Einsatz des jeweiligen Unterauftragsverarbeiters stellen. Die Liste der bereits genehmigten Unterauftragsverarbeiter ist in Anhang B angegeben.
4. Setzt der Auftragsverarbeiter für bestimmte Verarbeitungstätigkeiten im Namen des Datenverantwortlichen einen Unterauftragsverarbeiter ein, muss er diesem durch einen Vertrag oder ein anderes Rechtsinstrument nach dem EU-Recht oder dem Recht der Mitgliedstaaten dieselben Datenschutzpflichten auferlegen, die in diesen Bestimmungen festgelegt sind. Dabei müssen insbesondere hinreichende Garantien dafür bestehen, dass der Unterauftragsverarbeiter die technischen und organisatorischen Maßnahmen so umsetzt, dass die Verarbeitung den Anforderungen dieser Bestimmungen und der DSGVO entspricht. Der Auftragsverarbeiter ist daher dafür verantwortlich, vom Unterauftragsverarbeiter zu verlangen, dass er mindestens die Pflichten des Auftragsverarbeiters nach diesen Bestimmungen und der DSGVO einhält.
5. Die Unterauftragsverarbeitervereinbarung(en) und etwaige spätere Änderungen werden dem Datenverantwortlichen auf Verlangen in Kopie übermittelt, damit er prüfen kann, ob dem Unterauftragsverarbeiter entsprechende Datenschutzpflichten auferlegt wurden. Regelungen zu Geschäftsbedingungen, die den datenschutzrechtlichen Inhalt der Unterauftragsverarbeitervereinbarung nicht berühren, müssen nicht übermittelt werden.
6. Der Auftragsverarbeiter muss den Datenverantwortlichen in seiner Vereinbarung mit dem Unterauftragsverarbeiter für den Fall seiner Insolvenz als begünstigten Dritten aufnehmen, damit der Verantwortliche in die Rechte des Auftragsverarbeiters eintreten und diese gegenüber dem Unterauftragsverarbeiter geltend machen kann – z. B. um ihn anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.
7. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Datenverantwortlichen in vollem Umfang für die Erfüllung der Pflichten des Unterauftragsverarbeiters. Die Rechte der betroffenen Person aus der DSGVO, insbesondere aus den Artikeln 79 und 82, gegenüber dem Verantwortlichen und dem Auftragsverarbeiter einschließlich des Unterauftragsverarbeiters bleiben hiervon unberührt.
8. Die detaillierten Bedingungen des Datenverantwortlichen für den Einsatz von Unterauftragsverarbeitern sind in Anhang B aufgeführt.

8. Übermittlung an Drittländer oder internationale Organisationen

1. Eine Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen durch den Auftragsverarbeiter darf nur auf Grundlage dokumentierter Weisungen des Datenverantwortlichen und stets im Einklang mit Kapitel V der DSGVO erfolgen.
2. Ist eine Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen, die nicht im Auftrag des Datenverantwortlichen erfolgt, nach dem EU-Recht oder dem Recht des Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, erforderlich, informiert der Auftragsverarbeiter den Datenverantwortlichen vor der Verarbeitung über diese rechtlichen Anforderungen, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
3. Ohne dokumentierte Weisungen des Datenverantwortlichen ist der Auftragsverarbeiter im Rahmen dieser Bestimmungen nicht berechtigt,
   1. personenbezogene Daten an einen Verantwortlichen oder Auftragsverarbeiter in einem Drittland oder an eine internationale Organisation zu übermitteln,
   2. die Verarbeitung personenbezogener Daten einem Unterauftragsverarbeiter in einem Drittland zu überlassen,
   3. die personenbezogenen Daten in einem Drittland zu verarbeiten.
4. Die Weisungen des Datenverantwortlichen zur Übermittlung personenbezogener Daten in ein Drittland, einschließlich der Übermittlungsgrundlage nach Kapitel V der DSGVO, sind in Anhang C.6 anzugeben.
5. Diese Bestimmungen sind keine Standardvertragsklauseln im Sinne von Artikel 46 Absatz 2 Buchstaben c und d DSGVO und können keine Grundlage für eine Übermittlung personenbezogener Daten im Sinne von Kapitel V der DSGVO sein.

9. Unterstützung des Datenverantwortlichen

1. Der Auftragsverarbeiter unterstützt den Datenverantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, Anträge auf Wahrnehmung der Rechte betroffener Personen nach Kapitel III der DSGVO zu beantworten. Dies bedeutet, dass der Auftragsverarbeiter den Datenverantwortlichen im Rahmen seiner Möglichkeiten unterstützt bei:
   1. der Informationspflicht bei Erhebung personenbezogener Daten bei der betroffenen Person,
   2. der Informationspflicht, wenn personenbezogene Daten nicht bei der betroffenen Person erhoben werden,
   3. dem Auskunftsrecht,
   4. dem Recht auf Berichtigung,
   5. dem Recht auf Löschung („Recht auf Vergessenwerden“),
   6. dem Recht auf Einschränkung der Verarbeitung,
   7. der Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung,
   8. dem Recht auf Datenübertragbarkeit,
   9. dem Widerspruchsrecht,
   10. dem Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden.
2. Zusätzlich zu seiner Unterstützungspflicht nach Ziffer 6.3 unterstützt der Auftragsverarbeiter den Datenverantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen auch bei:
   1. der Pflicht des Datenverantwortlichen, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde, der dänischen Datenschutzbehörde (Datatilsynet), zu melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen;
   2. der Pflicht des Datenverantwortlichen, die betroffene Person unverzüglich von einer Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat;
   3. der Pflicht des Datenverantwortlichen, vor der Verarbeitung eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchzuführen (Datenschutz-Folgenabschätzung);
   4. der Pflicht des Datenverantwortlichen, vor der Verarbeitung die zuständige Aufsichtsbehörde, die dänische Datenschutzbehörde (Datatilsynet), zu konsultieren, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Datenverantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft.
3. Die Parteien geben in Anhang C an, mit welchen technischen und organisatorischen Maßnahmen und in welchem Umfang der Auftragsverarbeiter den Datenverantwortlichen unterstützen muss. Dies gilt für die Pflichten aus Ziffer 9.1 und 9.2.

10. Meldung einer Verletzung des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter benachrichtigt den Datenverantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist.
2. Die Benachrichtigung muss nach Möglichkeit spätestens 24 Stunden nach Bekanntwerden der Verletzung erfolgen, damit der Datenverantwortliche seiner Pflicht zur Meldung an die zuständige Aufsichtsbehörde nach Artikel 33 DSGVO nachkommen kann.
3. Gemäß Ziffer 9.2 a unterstützt der Auftragsverarbeiter den Datenverantwortlichen bei der Meldung an die zuständige Aufsichtsbehörde. Das bedeutet, dass er bei der Bereitstellung der folgenden Informationen hilft, die nach Artikel 33 Absatz 3 DSGVO in der Meldung enthalten sein müssen:
   1. die Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen Datensätze;
   2. die wahrscheinlichen Folgen der Verletzung;
   3. die vom Datenverantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
4. Die Parteien geben in Anhang C an, welche Informationen der Auftragsverarbeiter im Rahmen dieser Unterstützung bereitstellen muss.

11. Löschung und Rückgabe von Informationen

1. Da die Verarbeitung durch den Auftragsverarbeiter darin besteht, personenbezogene Daten für den Verantwortlichen zu löschen (zu vernichten), ist eine Rückgabe nicht möglich.

12. Audit, einschließlich Inspektion

1. Der Auftragsverarbeiter stellt dem Datenverantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO und dieser Bestimmungen erforderlich sind, und ermöglicht und unterstützt Überprüfungen, einschließlich Inspektionen, die vom Datenverantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden.
2. Die Verfahren für Überprüfungen, einschließlich Inspektionen, beim Auftragsverarbeiter und bei Unterauftragsverarbeitern sind in Anhang C.7 und C.8 beschrieben.
3. Der Auftragsverarbeiter gewährt Aufsichtsbehörden, die nach geltendem Recht Zugang zu den Räumlichkeiten des Datenverantwortlichen oder des Auftragsverarbeiters haben, oder in ihrem Namen handelnden Vertretern gegen ordnungsgemäßen Ausweis Zutritt zu seinen Räumlichkeiten.

13. Vereinbarungen der Parteien zu anderen Angelegenheiten

1. Die Parteien können für die Dienstleistung weitere Regelungen zur Verarbeitung personenbezogener Daten vereinbaren, z. B. zur Haftung, sofern diese weder direkt noch indirekt im Widerspruch zu diesen Bestimmungen stehen oder die Grundrechte und Grundfreiheiten der betroffenen Personen aus der DSGVO beeinträchtigen.

14. Inkrafttreten und Kündigung

1. Die Bestimmungen treten in Kraft, sobald der Datenverantwortliche sie annimmt – elektronisch mit der Annahme des Angebots der DSML Deutschland GmbH, in der er diese Bestimmungen gemeinsam mit den AGB bestätigt, oder durch Unterzeichnung durch beide Parteien.
2. Beide Parteien können eine Neuverhandlung der Bestimmungen verlangen, wenn Gesetzesänderungen oder Unzulänglichkeiten der Bestimmungen Anlass dazu geben.
3. Die Bestimmungen gelten für die Dauer der Dienstleistung im Zusammenhang mit der Verarbeitung personenbezogener Daten. Während dieses Zeitraums können sie nicht gekündigt werden, es sei denn, die Parteien vereinbaren andere Bestimmungen zur Erbringung der Dienstleistung hinsichtlich der Verarbeitung personenbezogener Daten.
4. Wird die Erbringung der Dienstleistung im Zusammenhang mit der Verarbeitung personenbezogener Daten eingestellt und sind die personenbezogenen Daten gemäß Ziffer 11.1 und Anhang C.4 gelöscht oder an den Datenverantwortlichen zurückgegeben, können die Bestimmungen von jeder Partei durch schriftliche Mitteilung gekündigt werden.

15. Ansprechpartner

1. Die Parteien können über die unten aufgeführten Ansprechpartner miteinander in Kontakt treten.
2. Die Parteien sind verpflichtet, sich gegenseitig laufend über Änderungen der Ansprechpartner zu informieren.

Für den Auftragsverarbeiter:
Dr. Claus Sehested, Geschäftsführer Deutschland, Telefon +45 2024 3627, clse@dsml.de
Datenschutz Poul Schou A/S: Brian Christiansen, Telefon +45 6616 0385, gdpr@poulschou.dk

Für den Datenverantwortlichen: die im Angebot bzw. in der Auftragsbestätigung genannte Kontaktperson.

Anhänge A bis D

Die Anhänge A bis D (Einzelheiten der Verarbeitung, Unterauftragsverarbeiter, Weisungen und Sicherheitsmaßnahmen, sonstige Tätigkeiten) senden wir Ihnen auf Anfrage gern zu – per E-Mail an info@dsml.de. Wünschen Sie eine unterschriebene Fassung dieser Vereinbarung, schicken wir Ihnen diese ebenfalls.