Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO
§ 1 Gegenstand der Vereinbarung
·
Gegenstand dieser Vereinbarung
ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im
Auftrag des Verantwortlichen zur Ausführung von Druckdienstleistungen. Dies
umfasst insbesondere die Gestaltung, Verarbeitung, den Druck sowie ggf. die
Vorbereitung für den Versand von Druckerzeugnissen, die personenbezogene Daten
enthalten (z. B. Visitenkarten, personalisierte Briefe, Rechnungen,
Etiketten).
§ 2 Dauer der Vereinbarung
·
Diese Vereinbarung gilt für die
Dauer der gesamten Geschäftsbeziehung und endet automatisch mit der endgültigen
Beendigung aller Druckaufträge und dem vollständigen Abschluss aller damit
verbundenen Leistungen.
§ 3 Art und Zweck der Verarbeitung
·
Art der Verarbeitung:
Entgegennahme, Sichtung, ggf. Anpassung von Druckdaten, Speicherung auf
Arbeitsstationen, Aufbereitung und Durchführung des Druckvorgangs, ggf.
Übergabe an Versanddienstleister.
·
Zweck der Verarbeitung:
Erstellung von Druckerzeugnissen auf Weisung des Verantwortlichen.
·
Betroffene Personen:
Mitarbeitende, Kunden, Geschäftspartner oder sonstige vom Verantwortlichen
benannte Personen.
·
Verarbeitete Datenarten: Namen,
Kontaktdaten (z. B. Adresse, E-Mail, Telefonnummer), Funktionstitel, ggf.
abgebildete Logos, Bilder oder sonstige auftragsbezogene Inhalte.
§ 4 Weisungsgebundenheit
·
Der Auftragsverarbeiter
verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des
Verantwortlichen. Mündliche Weisungen sind nachträglich schriftlich oder elektronisch zu bestätigen.
·
Der Auftragnehmer
hat den Auftraggeber unverzüglich
zu informieren, wenn er der Meinung ist, eine Weisung
verstoße gegen Datenschutzvorschriften. Der Auftragnehmer
ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
§ 5 Pflichten des Auftragsverarbeiters
·
Vertraulichkeit: Sicherstellung
der Vertraulichkeit durch Verpflichtung aller mit der Verarbeitung betrauten
Personen.
·
Datensicherheit: Umsetzung
geeigneter technischer und organisatorischer Maßnahmen (siehe § 6).
·
Unterstützung bei
Betroffenenrechten: Unterstützung des Verantwortlichen beim Umgang mit Rechten
betroffener Personen (z. B. Auskunft, Löschung).
·
Unterstützung bei
Datenschutz-Folgenabschätzungen: Der Auftragsverarbeiter unterstützt den
Verantwortlichen bei der Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO,
soweit erforderlich.
·
Meldung von
Datenschutzverstößen: Datenschutzvorfälle werden dem Verantwortlichen
unverzüglich gemeldet.
·
Nachweispflicht und Auditrecht:
Bereitstellung relevanter Informationen zur Prüfung der Einhaltung dieser
Vereinbarung durch den Verantwortlichen.
·
Subunternehmer: Einsatz
weiterer Auftragsverarbeiter nur mit vorheriger schriftlicher Zustimmung des
Verantwortlichen.
·
Datenrückgabe oder -löschung:
Nach Beendigung der Verarbeitung werden alle personenbezogenen Daten gelöscht
oder auf Wunsch des Verantwortlichen zurückgegeben, sofern keine gesetzliche
Aufbewahrungspflicht besteht.
§ 6 Technische und organisatorische Maßnahmen (TOMs)
·
Zugriffskontrolle: Verarbeitung
erfolgt ausschließlich an einem eigens eingerichteten Arbeitsplatz auf einem
lokal gesicherten Rechner mit Internetzugang. Die personenbezogenen Druckdaten
werden auf einer externen USB-Festplatte gespeichert, die ausschließlich für
diesen Zweck verwendet wird.
·
Speicherkontrolle: Die externe
USB-Festplatte ist nicht verschlüsselt. Um unbefugten Zugriff zu verhindern,
wird sie bei Nichtgebrauch in einem abschließbaren Schrank aufbewahrt, der nur
autorisierten Mitarbeitenden zugänglich ist.
·
Hinweis: Obwohl derzeit keine
Verschlüsselung der USB-Festplatte erfolgt, wird die physische Sicherheit
gewährleistet. Eine Verschlüsselung wird für zukünftige Prozesse geprüft, um
das Sicherheitsniveau weiter zu erhöhen.
·
Zugriffsrechte: Zugriff auf die
gespeicherten Daten haben ausschließlich autorisierte und auf Datenschutz
verpflichtete Mitarbeitende. Die Zugriffsrechte sind rollenbasiert und werden
regelmäßig überprüft.
·
Datenlöschung: Daten auf der
digitalen Druckmaschine werden nach dem Druck für maximal 14 Kalendertage
gespeichert und danach automatisch gelöscht. Manuelle vorzeitige Löschung ist
jederzeit möglich.
·
Sichere Datenübertragung: Der
Verantwortliche verpflichtet sich, personenbezogene Druckdaten ausschließlich
über den folgenden TeamBeam-Link zu übermitteln:
https://transfer.teambeam.de/88091/7813494/public.html. Andere Übertragungswege
bedürfen vorheriger Zustimmung.
·
Keine Sicherung/Backup:
Druckdaten werden nach Abschluss des Druckauftrags manuell gelöscht, sofern
keine gesetzliche Aufbewahrungspflicht besteht.
§ 7 Web-to-Print-Systeme
·
Der Auftragsverarbeiter stellt
dem Verantwortlichen auf Wunsch ein browserbasiertes Web-to-Print-System zur
Verfügung, über das personalisierte Druckerzeugnisse erstellt und beauftragt
werden können.
·
Die Eingabe personenbezogener
Daten erfolgt durch den Verantwortlichen oder durch von ihm autorisierte
Nutzer.
·
Die eingegebenen Daten werden
ausschließlich zur Durchführung der Druckaufträge verwendet und nicht dauerhaft
gespeichert, es sei denn, dies ist zur technischen Abwicklung oder auf
ausdrückliche Anweisung erforderlich.
·
Der Zugriff auf das System
erfolgt über eine verschlüsselte Verbindung (HTTPS). Der Zugang ist
passwortgeschützt und rollenbasiert.
·
Sofern der Auftragsverarbeiter
zur Bereitstellung des Web-to-Print-Systems einen externen Dienstleister
einsetzt, wird dieser vertraglich zur Einhaltung der Datenschutzvorgaben nach
Art. 28 DSGVO verpflichtet.
§ 8 Schlussbestimmungen
·
1. Änderungen oder Ergänzungen
dieser Vereinbarung bedürfen der Schriftform.
·
2. Sollten einzelne
Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam sein oder
werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt.
·
3. Es gilt das Recht der
Bundesrepublik Deutschland.
·
4. Diese Vereinbarung wird
online abgeschlossen und ist auch ohne eigenhändige Unterschrift
rechtsverbindlich. Die Vertragspartner bestätigen die Gültigkeit durch
elektronische Zustimmung oder durch Ausführung des ersten Druckauftrags.
