Allgemeine Geschäftsbedingungen

1 Allgemeines – Anwendungsbereich

(1) Die Allgemeinen Geschäftsbedingungen (AGB) von Martina Lankes Bürodienstleistungen, Mühlgasse 14 A, 85748 Garching b. München, (nachfolgend Auftragnehmerin) sind Vertragsbestandteil und gelten ausschließlich. Entgegenstehende oder von den AGB der Auftragnehmerin abweichende Bedingungen des Kunden erkennt die Auftragnehmerin nicht an, sofern die Auftragnehmerin deren Geltung nicht explizit zugestimmt hat. Die Auftragnehmerin erkennt abweichende Bedingungen auch dann nicht an, wenn die Auftragnehmerin in Kenntnis entgegenstehender oder abweichender Bedingungen des Kunden den Auftrag vorbehaltlos ausführt.

(2) Die Auftragnehmerin bietet ihre Serviceleistungen ausschließlich für Unternehmen an. Die AGB der Auftragnehmerin gelten nur gegenüber Unternehmern.

(3) Sämtliche Vereinbarungen aus dem Vertrag sind in Textform niederzulegen. Mündliche Vereinbarungen sind nur verbindlich, wenn die Auftragnehmerin sie in Textform bestätigt hat.

2 Angebot – Leistungsinhalt

(1) Die Auftragnehmerin assistiert dem Kunden auf selbständiger Basis bei dessen Aufgaben, soweit nicht ein anderes vereinbart ist. Gegenstand der Tätigkeit der Auftragnehmerin ist die vereinbarte Dienstleistung und nicht die Herbeiführung eines bestimmten wirtschaftlichen Erfolges.

(2) Die Darstellung von Angeboten der Auftragnehmerin auf der Webseite ist nur eine Einladung an den Kunden, ein Angebot abzugeben. Die Auftragnehmerin wird dem Auftraggeber ein Angebot mit den im Einzelnen enthaltenen Leistungen machen. Aus diesem Angebot ergeben sich die vertragsgegenständlichen Tätigkeiten der Auftragnehmerin. Soweit der Kunde weitergehende Tätigkeiten anfragt, ist darüber eine ergänzende Einigung erforderlich.

(3) Soweit der Kunde Aufträge an die Auftragnehmerin mündlich erteilt, sind diese bindend. Die Auftragnehmerin hat Anspruch darauf, dass der Kunde mündlich erteilte Aufträge unverzüglich in Textform bestätigt. Ein Auftrag gilt insoweit als erteilt, wenn die Auftragnehmerin vor einer Einigung über alle Punkte eines Auftrages in Kenntnis des Kunden mit einem Teil der Auftragsdurchführung beginnt, ohne dass der Kunde widerspricht. Ein Auftrag kann durch die Auftragnehmerin auch durch Ausführung der Tätigkeit angenommen werden, wenn über alle Punkte eines Auftrages bereits Klarheit hergestellt ist. Im Zweifel ist anzunehmen, dass die Bestimmungen dieses Vertrages auch für Erweiterungen der Tätigkeit gelten.

3 Preise, Zahlungsbedingungen, Aufrechnung, Zurückbehaltung

(1) Die Preisvereinbarung ergibt sich aus dem Angebot der Auftragnehmerin, ersatzweise aus dieser Bestimmung.

(2) Alle Preise gegenüber Unternehmern sind Nettopreise zuzüglich der jeweils gültigen gesetzlichen Mehrwertsteuer, soweit diese anfällt und nicht ein anderes vereinbart ist. Bei längerer Vertragsdauer hat die Auftragnehmerin das Recht, eine Anpassung der Vergütung geltend zu machen, der Kunde ist verpflichtet, mit der Auftragnehmerin hierüber in Verhandlungen zu treten.

(3) Soweit nicht ein anderes vereinbart ist, ist die Leistung der Auftragnehmerin nach Zeit abzurechnen. Der Stundenlohn der Auftragsnehmerin beträgt 65,00 EUR netto zuzüglich Spesen und Auslagen in nachgewiesener und erforderlicher Höhe. Ansonsten sind Leistungen durch den Kunden nach den ortsüblichen und angemessenen Stundensätzen zuzüglich erforderlicher Spesen und Auslagen zu vergüten.

(4) Ist ein Paket- oder ein Pauschalpreis vereinbart, gilt dieser, soweit nach der Vereinbarung oder den Umständen die Leistungspflicht der Auftragnehmerin definiert ist. Soweit nicht ein anderes vereinbart, umfasst der Paketpreis immer nur das Entgelt für die Tätigkeiten der Auftragnehmerin. Alle erforderlichen Beistellungen, Ausstattungen, Spesen, Auslagen, Kosten für Dritte (mit Ausnahme von Subunternehmern der Auftragnehmerin) sind von dem Kunden zusätzlich zu zahlen. Auch Leistungen der Auftragnehmerin, die nicht in dem jeweiligen Paket oder der jeweiligen Pauschale enthalten sind, hat der Kunde zusätzlich nach den vertraglich vereinbarten, ersatzweise den ortsüblichen und angemessenen Stundensätzen zuzüglich erforderlicher Spesen und Auslagen zu vergüten.

(5) Die Zahlung des Kunden ist sofort fällig. Der Kunde wird darauf hingewiesen, dass er spätestens 30 Tage nach Zugang der Rechnung in Verzug gerät. Der Auftragnehmerin stehen die gesetzlichen Rechte, insbesondere der Zinssatz gem. § 288 Abs. 2 und die Pauschale nach § 288 Abs. 5 zu.

(6) Der Kunde kann nur aufrechnen, wenn seine Gegenansprüche rechtskräftig festgestellt, unbestritten oder von der Auftragnehmerin anerkannt sind oder das Aufrechnungsrecht auf Rechten des Kunden wegen nicht vollständiger oder mangelhafter Leistung aus demselben Vertragsverhältnis beruht.

(7) Zur Ausübung eines Zurückbehaltungsrechts ist die Auftragnehmerin wegen sämtlicher Forderungen aus der Geschäftsverbindung zu dem Kunden befugt.

(8) Der Kunde wird hiermit darauf hingewiesen, dass bei Aufträgen zu Leistungen künstlerischer und konzeptioneller Natur im Bereich Werbung und Öffentlichkeitsarbeit, eine Künstlersozialabgabe an die Künstlersozialkasse zu leisten sein kann. Diese Abgabe ist nicht Bestandteil der Vergütung und vom Kunden zusätzlich zu tragen, soweit anfallend. Für die Einhaltung der Anmelde- und Abgabepflicht ist der Kunde zuständig und verantwortlich.

4 Leistungserbringung, Leistungszeit, Verzug, Höhere Gewalt

(1) Die Auftragnehmerin ist berechtigt, Subunternehmer einzuschalten und den Auftrag ganz oder teilweise an Dritte weiterzugeben.

(2) Der Kunde kann einer Weitervergabe jedoch widersprechen, wenn dadurch seine schutzwürdigen Interessen beeinträchtigt werden.

(3) Der Beginn einer eventuell angegebenen Leistungszeit setzt die Abklärung aller technischen, rechtlichen und gestalterischen Fragen und die rechtzeitige und ordnungsgemäße Erfüllung der Verpflichtungen des Kunden voraus. Die Einrede des nicht erfüllten Vertrages für die Auftragnehmerin bleibt vorbehalten.

(4) Liefer- und Leistungszeiten als auch deren Änderungen sind nur dann verbindlich, wenn sie im Vertrag vereinbart wurden.

(5) Sofern die Auftragnehmerin für ihre Leistungserbringung auf Leistungen eines oder mehrerer Vorlieferanten angewiesen ist, gelten vereinbarte Leistungsfristen vorbehaltlich einer fristgerechten Selbstbelieferung durch die Vorlieferanten der Auftragnehmerin. Der Vorbehalt gilt nicht für solche Verzögerungen, die die Auftragnehmerin selbst zu vertreten hat.

(6) Höhere Gewalt oder bei der Auftragnehmerin oder den Subunternehmern der Auftragnehmerin eintretende Betriebsstörungen, z. B. durch Aufruhr, Streik oder Aussperrung, die die Auftragnehmerin ohne eigenes Verschulden vorübergehend daran hindert, die Leistung zu einem eventuell vereinbarten Termin oder innerhalb einer eventuell vereinbarten Frist zu liefern, verändern die Leistungszeiten um die Dauer der durch die Umstände bedingten Leistungsstörung. Führt eine entsprechende Störung zu einem Leistungsaufschub von mehr als zwei Wochen oder fällt schon vorher das Interesse des Kunden an der Vertragserfüllung objektiv weg, ist der Kunde berechtigt, vom Vertrag zurückzutreten.

5 Pflichten des Kunden

(1) Der Kunde ist verpflichtet, der Auftragnehmerin vor Auftragserteilung alle Gesetze, Normen und sonstigen Vorschriften zu nennen, die die Auftragnehmerin für die Erbringung der Leistung beachten soll. Eine rechtliche Beratung oder Überprüfung nimmt die Auftragnehmerin nicht vor. Dafür ist vom Kunden ein Rechtsanwalt einzuschalten.

(2) Der Kunde ist verpflichtet, der Auftragnehmerin rechtzeitig die für die Ausführung der Dienste erforderlichen Informationen und Materialien liefern (z. B. Zugänge zu Plattformen, Passwörter, generelle oder konkrete Handlungsanweisungen, zu verwendende Logos, Layout-Vorlagen für Textverkehr oder sonstige vereinbarte Beistellungen des Kunden, Format- und Längenangaben oder sonstige vereinbarte Beistellungen des Kunden). Die Auftragnehmerin ist berechtigt, mit der Leistung nicht zu beginnen oder mit Platzhaltern zu arbeiten, wenn Informationen, Unterlagen oder Vorlagen (z.B. Texte, Audiomaterial, Sprechervorgaben, stilistische Vorgaben) nicht rechtzeitig oder vollständig vorhanden sind Das nachträgliche Einpflegen von zu spät geliefertem Material zählt als Änderung des Auftrags und ist zusätzlich nach Aufwand mit einem Stundensatz von 65,00 € zzgl. Umsatzsteuer zu vergüten.

(4) Der Kunde ist verpflichtet, erforderliche Materialien in einem gängigen, unmittelbar verwertbaren digitalen Format zu übergeben. Die Überprüfung der rechtlichen Zulässigkeit im Hinblick auf Immaterialgüter- und Urheberrecht kann nur von einem Rechtsanwalt vorgenommen werden und ist nicht Gegenstand des Auftrages.

(5) Sofern der Kunde der Auftragnehmerin körperliche oder nicht körperliche Gegenstände, insbesondere Bild-, Text- oder Tondateien, zur Verfügung stellt, welche die Rechte Dritter verletzen, ist der Kunde verpflichtet, die Auftragnehmerin auf erstes Anfordern von jeglicher Inanspruchnahme Dritter freizuhalten. Dies umfasst insbesondere auch die Kosten der Rechtsverfolgung.

(6) Der Kunde ist verpflichtet, im Rahmen der Eigensicherung erforderliche Datensicherungen selbständig durchzuführen, insbesondere auch vor Auftragsbeginn. Eine Haftung der Auftragnehmerin für verlorene Daten besteht insoweit nicht, als sie bei ordnungsgemäßer Datensicherung durch den Kunden noch verfügbar wären.

(7) Der Kunde ist damit einverstanden, dass die Auftragnehmerin die Leistung für den Kunden mit dessen Name und Logo als Referenz benennt. Die Auftragnehmerin darf hierfür Auszüge aus ihrem Werk für den Kunden abbilden, die URL verlinken, Name, Marke und Logo des Kunden dafür nutzen. Dieses Einverständnis kann der Kunde mit Wirkung für die Zukunft aus wichtigem Grund schriftlich widerrufen.

6 Annahmeverzug und Haftung des Kunden

(1) Kommt der Kunde mit der Annahme der Dienste der Auftragnehmerin in Verzug, ist er zur Fortzahlung des Entgeltes bis zur Beendigung des Vertrages verpflichtet. Die Auftragnehmerin wird sich ersparte Aufwendungen anrechnen lassen sowie dasjenige, was sie durch anderweitige Verwertung ihrer Arbeitskraft erwirbt. Der Kunde wird darauf hingewiesen, dass die Auftragnehmerin projektbezogen arbeitet und nicht mehr als eine bestimmte Anzahl von Projekten gleichzeitig wahrnimmt.

(2) Sollten Informationen, Unterlagen oder Vorlagen wie beispielsweise Zugänge, Layouts oder Handlungsanweisungen nicht rechtzeitig und vollständig vorhanden sein, ist die Auftragnehmerin berechtigt, mit der Leistung nach § 4 nicht zu beginnen. Vom Kunden zu vertretende Wartezeiten der Auftragnehmerin oder ihrer Mitarbeiter werden wie Arbeitszeiten vergütet, wenn eine anderweitige Beschäftigung nicht möglich war.

(3) Soweit der Kunde seine Informations- und Mitwirkungspflichten verletzt, ist der Kunde verpflichtet, entsprechende Mehrkosten zu tragen. Die Auftragnehmerin haftet nicht für Schäden, die auf die Verletzung von Mitwirkungspflichten oder auf die Überlieferung falscher oder unvollständiger Informationen zurückzuführen sind.

7 Kündigung

(1) Sofern in dem Vertrag eine feste Laufzeit vereinbart ist, gilt diese. Eine Kündigung ist in diesem Fall nicht möglich. Erfolgt zum Ende einer fest vereinbarten Laufzeit eine Einigung auf eine neue Festlaufzeit nicht, wird der Vertrag zu einem unbefristeten Vertrag und kann nach Abs. 2 beendet werden.

(2) Ist eine feste Laufzeit nicht vereinbart, kann der Vertrag von jeder der Parteien mit einer Frist von zwei Wochen zum Monatsende schriftlich gekündigt werden. Das Recht zur außerordentlichen Kündigung wird hiervon nicht berührt.

(3) Kündigt der Kunde den Vertrag, werden die Leistungen der Auftragnehmerin anteilig bis zum Wirksamwerden der Kündigung abgerechnet. Darüber hinaus ersetzt der Kunde der Auftragnehmerin diejenigen Kosten, die ihr aus Anlass und zum direkten Zweck der Durchführung des gekündigten Leistungsumfangs unter Beachtung der kaufmännischen Sorgfalt nachweislich entstanden sind und im Rahmen des Zumutbaren nicht mehr vermeidbar waren oder sind (z.B. noch erforderliche Datensicherungen).

8 Haftung

(1) Die Auftragnehmerin haftet gleich aus welchem Rechtsgrund für vorsätzliches und grob fahrlässiges Verhalten sowie bei einer schuldhaften Verletzung von Leben, Körper und Gesundheit oder bei einem Verstoß gegen das Produkthaftungsgesetz mit einer zugesicherten Eigenschaft der Höhe nach unbeschränkt.

(2) Bei einer leicht fahrlässigen Vertragsverletzung nicht wesentlicher Vertragspflichten haftet die Auftragnehmerin gar nicht. Bei der Verletzung nicht wesentlicher Vertragspflichten ist die Haftung der Auftragnehmerin auf den Ersatz des bei Vertragsschluss vorhersehbaren, typischen Schadens beschränkt. Wesentliche Vertragspflichten sind solche Pflichten, die vertragswesentliche Rechtspositionen des Kunden schützen, die dem Kunden also der Vertrag nach seinem Inhalt und Zweck gerade zu gewähren hat sowie Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf.

(3) Im Übrigen ist die Haftung der Auftragnehmerin gleich aus welchem Rechtsgrund ausgeschlossen. Die Haftungsbeschränkung gilt auch zugunsten der Angestellten und Mitarbeiter der Auftragnehmerin sowie dessen Erfüllungs- und Verrichtungsgehilfen und Subunternehmer. Eine Umkehr der Beweislast ist mit den vorstehenden Regelungen nicht verbunden.

9 Vermögensverschlechterung des Kunden

(1) Werden der Auftragnehmerin nach Vertragsschluss Tatsachen bekannt, die die Zahlungsfähigkeit des Kunden in Frage stellen, ist sie berechtigt, vor der weiteren Ausführung des Auftrages volle Bezahlung der vereinbarten Vergütung oder die Stellen einer geeigneten Sicherheitsleistung zu verlangen.

(2) Sofern der Kunde mit der Bezahlung einer Rechnung in Verzug gerät, ist die Auftragnehmerin berechtigt, die weitere Leistung bis zur Zahlung der Vergütung oder Stellung einer ausreichenden Sicherheit für die restliche Vergütung auszusetzen. Kommt der Kunde der Aufforderung zur Zahlung oder Stellung einer Sicherheitsleistung nicht binnen angemessener Frist nach, ist die Auftragnehmerin berechtigt, den Vertrag aus wichtigem Grund fristlos zu kündigen. Weitergehende Ansprüche der Auftragnehmerin bleiben davon unberührt.

10 Verschwiegenheit

(1) Einer Geheimhaltungsverpflichtung der Auftragnehmerin unterfallen nur Informationen, Daten, Pläne oder sonstige Unterlagen des Kunden, die dieser ausdrücklich als geheim gekennzeichnet hat.

(2) Die Geheimhaltungsverpflichtung entfällt, wenn die Information allgemein bekannt ist oder ohne das Verschulden der Auftragnehmerin allgemein bekannt ist oder wird oder ohne ihr Verschulden allgemeinen bekannt wird, wenn sie sich die geheimhaltungsbedürftige Information selbständig und ohne Heranziehung der Informationen des Kunden erarbeiten hat oder wenn das Gesetz oder eine Behörde aufgrund gesetzlicher Vorschrift eine Offenbarung verlangt.

12 Mediation

(1) Bei Streitigkeiten aus der Geschäftsbeziehung zwischen Auftragnehmerin und Kunden, sind die Parteien verpflichtet, eine gütliche Lösung anzustreben. Kommt eine Einigung nicht zustande, verpflichten sie sich, vor der Inanspruchnahme des Rechtsweges, ihre Differenzen in einer Mediation zu schlichten. Unberührt bleibt die Möglichkeit eines Eilverfahrens im Wege des einstweiligen Rechtsschutzes. Nicht als Streitigkeit im Sinne dieser Bestimmung gilt die schlichte Nichtzahlung der Vergütung durch den Kunden.

(2) Beantragt eine Partei eine Mediation bei der anderen Partei, sind beide Parteien verpflichtet, sich innerhalb von acht Tagen auf einen Mediator zu einigen. Kommt diese Einigung nicht fristgerecht zustande, ist ein anwaltlicher Mediator – wobei primär solche Mediatoren gewählt werden sollen, die eine Online-Mediation anbieten – bindend für die Parteien auf Antrag einer der Parteien von dem Präsidenten der Rechtsanwaltskammer oder einem Vertreter am Sitz der Auftragnehmerin zu bestimmen. Dies ist auch der Ort der Mediation, sofern das Kammerpräsidium keinen Vorschlag für eine Online-Mediation macht. Die Mediationssprache ist Deutsch, es sei denn, alle Beteiligten einigen sich auf eine andere Sprache.

(3) Der Rechtsweg (oder ein alternativ vereinbartes Schiedsverfahren, soweit zutreffend) ist erst zulässig, wenn die Mediation gescheitert ist, weil (a) die Parteien einvernehmlich die Mediation für beendet erklären, (b) nach der ersten Mediationssitzung weitere Verhandlungen von einer Partei verweigert werden, (c) der Mediator die Mediation für gescheitert erklärt oder (d) eine Einigung nicht binnen 3 Monaten nach Beginn der ersten Mediationssitzung zustande kommt, soweit die Parteien die Frist nicht einvernehmlich verlängern.

(4) Die Kosten einer erfolglosen Mediation sind von den Parteien gegenüber dem Mediator intern hälftig zu tragen. Ungeachtet dieser Regelung im Verhältnis zum Mediator bleibt es den Parteien unbenommen, diese Kosten und die einer eventuell begleitenden Rechtsberatung als Rechtsverfolgungskosten in einem anschließenden Verfahren erstattet zu verlangen, es gilt dann die jeweilige Streitentscheidung. Kommt eine Einigung zustande, gilt die dabei vereinbarte Kostenregelung.

13 Datenschutz

(1) Für den Vertrag werden gem. Art. 6 Abs. 1 lit. b DSGVO Vertragsdaten erhoben (z.B. Name, Anschrift und Mail-Adresse, ggf. in Anspruch genommene Leistungen und alle anderen elektronisch oder zur Speicherung übermittelten Daten, die für die Durchführung des Vertrages erforderlich sind), soweit sie für die Begründung, inhaltliche Ausgestaltung oder Änderung eines Vertrages erforderlich sind.

(2) Die Vertragsdaten werden an Dritte nur weitergegeben, soweit es (nach Art. 6 Abs. 1 lit. b DSGVO) für die Erfüllung des Vertrages erforderlich ist, dies dem überwiegenden Interesse an einer effektiven Leistung (gem. Art. 6 Abs. 1 lit. f DSGVO) entspricht oder eine Einwilligung (nach Art. 6 Abs. 1 lit. a DSGVO) oder sonstige gesetzliche Erlaubnis vorliegt. Die Daten werden nicht in ein Land außerhalb der EU weitergegeben, soweit dafür nicht von der EU-Kommission ein vergleichbarer Datenschutz wie in der EU festgestellt ist, eine Einwilligung hierzu vorliegt oder mit dem dritten Anbieter die Standardvertragsklauseln vereinbart wurden.

(3) Betroffene können jederzeit kostenfrei Auskunft über die gespeicherten personenbezogenen Daten verlangen. Sie können jederzeit Berichtigung unrichtiger Daten verlangen (auch durch Ergänzung) sowie eine Einschränkung ihrer Verarbeitung oder auch die Löschung Ihrer Daten. Dies gilt insbesondere, wenn der Verarbeitungszweck erloschen ist, eine erforderliche Einwilligung widerrufen wurde und keine andere Rechtsgrundlage vorliegt oder die Datenverarbeitung unrechtmäßig ist. Die personenbezogenen Daten werden dann im gesetzlichen Rahmen unverzüglich berichtigt, gesperrt oder gelöscht. Es besteht jederzeit das Recht, eine erteilte Einwilligung zur Verarbeitung der personenbezogenen Daten zu widerrufen. Dies kann durch eine formlose Mitteilung erfolgen, z.B. per Mail. Der Widerruf berührt die Rechtmäßigkeit der bis dahin vorgenommenen Datenverarbeitung nicht. Es kann Übertragung der Vertragsdaten in maschinenlesbarer Form verlangt werden. Soweit durch die Datenverarbeitung eine Rechtverletzung befürchtet wird, kann bei der zuständigen Aufsichtsbehörde eine Beschwerde eingereicht werden.

(4) Die Daten bleiben grundsätzlich nur so lange gespeichert, wie es der Zweck der jeweiligen Datenverarbeitung erfordert. Eine weitergehende Speicherung kommt vor allem in Betracht, wenn dies zur Rechtsverfolgung oder aus berechtigten Interessen noch erforderlich ist oder eine gesetzliche Pflicht besteht, die Daten noch aufzubewahren (z.B. steuerliche Aufbewahrungsfristen, Verjährungsfrist).

14 Gerichtsstand, Erfüllungsort

(1) Sofern der Kunde Kaufmann ist, ist der Geschäftssitz der Auftragnehmerin Gerichtsstand, die Auftragnehmerin ist jedoch berechtigt, den Kunden auch an seinem Wohn- oder Geschäftssitz zu verklagen.

(2) Sofern sich aus der Auftragsbestätigung oder dem Vertrag nicht ein anderes ergibt, ist der Geschäftssitz der Auftragnehmerin Erfüllungsort.

Garching b. München, 28.05.2024

Vertraulichkeitsvereinbarung

für externe Dienstleister

Präambel

Damit die Auftragnehmerin ihre Tätigkeit ausführen kann, ist es erforderlich, dass der Kunde oder von ihm beauftragte Dritte vertrauliche Informationen offenlegen bzw. dem Auftragnehmer hierauf Zugriff geben.

1 Vertrauliche Informationen

(1) Vertrauliche Informationen“ im Sinne dieser Vereinbarung sind personenbezogene Daten nach Art. 4 DSGVO, sämtliche Informationen, Unterlagen und Materialien, egal ob verkörpert oder nicht, die der Auftraggeber der Auftragnehmerin – einschließlich deren Mitarbeitern, gesetzlichen Vertretern und Gesellschaftern („nahestehenden Personen“) – im Rahmen des Punkt 1 direkt oder indirekt selbst oder durch Dritte zugänglich gemacht hat, sowie Schlussfolgerungen daraus. Das Zugänglichmachen kann in beliebiger Form erfolgen, beispielsweise, aber nicht abschließend, schriftlich, elektronisch, mündlich oder durch Möglichkeit der Kenntnisnahme.

Als vertrauliche Informationen im Sinne dieser Vereinbarung gelten auch sämtliche Kopien vertraulicher Informationen, Notizen oder Protokolle über vertrauliche Informationen und sonstige Verkörperungen von vertraulichen Informationen, unabhängig davon, wer diese angefertigt hat.

(2) Vertrauliche Informationen im Sinne dieser Vereinbarung sind zudem sämtliche Informationen i. S. d. Abs. 1, die die Auftragnehmerin im Rahmen seiner Tätigkeit entsprechend nach 1 alleine oder zusammen mit dem Auftraggeber oder Dritten entwickelt, recherchiert, erstellt oder sonst erfahren hat.

Davon ausgenommen bleiben allgemeine Ideen, Konzepte oder Modelle, die die Auftragnehmerin im Rahmen des Punkt 1 entwickelt hat.

(3) Einen Anspruch auf Zugänglichmachung zu den vertraulichen Informationen des Auftraggebers besteht aufgrund dieser Vereinbarung nicht.

(4) Lizenzrechte, Geschäftsgeheimnisse, Know-how oder Schutzrechte des Auftraggebers werden in keinem Fall durch diese Vereinbarung übertragen.

2 Vertraulichkeits- und Informationspflichten

(1 Die Auftragnehmerin verpflichtet sich, alle vertraulichen Informationen streng vertraulich zu behandeln. Sie verpflichtet sich insbesondere,

die vertraulichen Informationen des Auftraggebers keinem Dritten – direkt oder indirekt, schriftlich, mündlich oder in sonstiger Weise – zugänglich zu machen
sie ausschließlich im Rahmen des Punkt 1 zu verwenden und
alle erforderlichen Maßnahmen zu treffen, um Kenntnisnahme und Verwertung der vertraulichen Informationen durch Dritte zu verhindern („Verpflichtung zur Geheimhaltung, Nichtbenutzung und Sicherung“).

(2) Die vertraulichen Informationen dürfen auch nahestehenden Personen der Auftragnehmerin nicht offengelegt werden, außer in dem zur Umsetzung der in Punkt 1 definierten Ziele und zur Erfüllung der Verpflichtungen aus dieser Vereinbarung nötigen Umfang und unter der Voraussetzung, dass diese nahestehenden Personen in mindestens gleichem Umfang zur Geheimhaltung und Nichtbenutzung der vertraulichen Informationen verpflichtet sind. Die Auftragnehmerin steht vollumfänglich dafür ein, dass die Bestimmungen dieser Vereinbarung von seinen nahestehenden Personen beachtet werden, und zwar auch nach Beendigung eines etwaigen Vertrags- bzw. Näheverhältnisses zwischen der Auftragnehmerin und der nahestehenden Person.

(3) Nicht unter die Verpflichtung zur Geheimhaltung, Nichtbenutzung und Sicherung fallen vertrauliche Informationen, die nachweislich

a) vor der Zugänglichmachung durch den Auftraggeber rechtmäßig im Besitz der Auftragnehmerin waren und die weder direkt noch indirekt vom Auftraggeber stammen,

b öffentlich bekannt sind oder werden, außer aufgrund einer Verletzung von Vertraulichkeitspflichten,

c) grundsätzlich mit Informationen übereinstimmen, die der Auftragnehmerin durch einen Dritten, der rechtmäßig darüber verfügen kann, ohne Verpflichtung zu Geheimhaltung oder Nichtbenutzung übermittelt wurden oder
d) unabhängig von der Offenlegung der vertraulichen Informationen durch den Auftraggeber von der Auftragnehmerin entwickelt wurden.

(4) Ist die Auftragnehmerin aufgrund gesetzlicher, behördlicher oder gerichtlicher Anordnungen verpflichtet, vertrauliche Informationen offenzulegen, ist dies im absolut notwendigen Umfang zulässig, vorausgesetzt, die Auftragnehmerin setzt den Auftraggeber hiervon unverzüglich in Kenntnis und unterstützt ihn bei den erforderlichen Schritten zur Vermeidung oder Begrenzung der Offenlegung.

(5) Die Auftragnehmerin verpflichtet sich, den Auftraggeber unverzüglich im Einzelnen zu informieren, wenn vertrauliche Informationen abhandengekommen oder Unbefugten bekannt geworden sind oder ein derartiger Verdacht besteht („Zwischenfall“). Gleiches gilt, wenn die Auftragnehmerin der Ansicht ist, dass für eine vertrauliche Information Absatz 5 oder Absatz 6 eingreift, so dass sie nicht bzw. nur beschränkt der Verpflichtung zur Geheimhaltung, Nichtbenutzung und Sicherung unterfällt.

(6) Im Falle einer Datenschutzverletzung i.S.d. Art. 33 DSGVO wird dieAuftragnehmerin diese unverzüglich dem Auftraggeber mitteilen, wenn dieser Vorfall auch vertrauliche Informationen des Auftraggebers betrifft.

3 Einsatz von Subunternehmern

(1) Sollte die Auftragnehmerin Unterauftragnehmer einsetzen oder vertrauliche Informationen an Dritte (einschließlich verbundener Unternehmen und Unterauftragnehmern) ist dies gemäß dem vereinbarten Hauptvertrag (AGB) genehmigt. Im Falle einer Zustimmung müssen die Dritten ebenfalls zur Vertraulichkeit verpflichtet werden. Auf Nachfrage ist dieses nachzuweisen.

(2) Die Einbindung von Auftragsverarbeitern durch die Auftragnehmerin, die im Zusammenhang mit der Erbringung von Leistungen für den Auftraggeber personenbezogene Daten verarbeiten, ist nur zulässig, wenn dies unter Einhaltung der Vorgaben des Art. 28 DSGVO erfolgt. Der Auftragsverarbeiter gilt nicht als „Dritter“ i.S.d. Absatz 1 dieser Vereinbarung.

(3 Die Auftragnehmerin verpflichtet sich, bei der Einbindung von Dritten diesen nur die Informationen zugänglich zu machen, die für die Erfüllung von Leistungen für den Auftraggeber benötigt werden.

4 Herausgabe- und Löschungspflichten

(1) Mit (1) Ablauf der Verpflichtung zur Geheimhaltung, Nichtbenutzung und Sicherung, (2) Beendigung der Tätigkeit der Auftragnehmerin oder (3) auf Verlangen des Auftraggebers – je nachdem, was früher eintritt – hat die Auftragnehmerin dem Auftraggeber unverzüglich alle vertraulichen Informationen, die nicht im Zusammenhang mit der Tätigkeit der Auftragnehmerin nach Punkt 1 aufgebraucht wurden, zurückzugeben. Das Eigentum an allen vertraulichen Informationen verbleibt jederzeit beim Auftraggeber; eventuelle Kopien und Verkörperungen vertraulicher Informationen fertigt die Auftragnehmerin für den Auftraggeber an, überträgt das Eigentum an den verwendeten Datenträgern an den Auftraggeber und verwahrt die Kopien, Verkörperungen und Datenträger für diesen.

(2) Soweit vertrauliche Informationen auf Datenträgern Dritter gespeichert sind, sind diese zu löschen und die Löschung dem Auftraggeber schriftlich zu bestätigen; der Auftraggeber ist berechtigt, die Löschung zu überprüfen, es sei denn, dies ist der Auftragnehmerin ausnahmsweise nicht zuzumuten. Eine Löschung kann auch durch Löschung des Schlüssels erfolgen, wenn die Daten mit einem Verschlüsselungsverfahren nach dem Stand der Technik verschlüsselt sind und der Schlüssel nicht rekonstruiert werden kann.

(3) Gesetzliche Aufbewahrungspflichten bleiben von den Pflichten gem. Absatz 1 unberührt. Die gem. Satz 1 aufbewahrten Unterlagen dürfen nur entsprechend den Zwecken der gesetzlichen Aufbewahrungspflicht genutzt werden und unterliegen im Übrigen seitens der Auftragnehmerin einem absoluten Nutzungs-, Verwertungs- und Weitergabeverbot. Die Auftragnehmerin hat die Einhaltung dieses Verbots durch technische und organisatorische Maßnahmen sicherzustellen, jede unbefugte Kenntnisnahme zu verhindern und den Auftraggeber unverzüglich von jeder tatsächlichen, vermuteten oder beabsichtigten Kenntnisnahme Dritter („Vertraulichkeits-Zwischenfall“) zu informieren.

(4) Die Geltendmachung eines Zurückbehaltungsrechts gegen die Pflichten gem. Absatz 1 und Absatz 2 ist ausgeschlossen.

5 Datenschutzrechtliche Pflichten der Auftragnehmerin

(1) Die Auftragnehmerin verpflichtet sich, die jeweils aktuellen datenschutzrechtlichen Pflichten der EU-DSGVO und des BDSG-neu bei der Ausführung seiner Tätigkeiten für den Auftraggeber einzuhalten.

(2) Die Auftragnehmerin verpflichtet alle Mitarbeiter zur Vertraulichkeit insbesondere im Bezug auf die Verarbeitung von personenbezogenen Daten.

(3) Die Auftragnehmerin hat die in Art. 32 DSGVO erwähnten erforderlichen Datensicherheitsmaßnahmen zu treffen. Auf Nachfrage des Auftraggebers hat sie die Einhaltung dieser Maßnahmen in geeigneter Weise nachzuweisen.

6 Dauer der Verpflichtungen

(1) Diese Vereinbarung tritt mit Unterzeichnung des Hauptvertrags (Angebot, Dienstleistungsvertrag) durch beide Parteien in Kraft. Sie endet nach Beendigung aller zwischen den Parteien ansonsten bestehenden Vertragsverhältnisse.

(2) Sämtliche Pflichten aus dieser Vereinbarung gelten auch nach Beendigung der Tätigkeit der Auftragnehmerin fort. Sie gelten auch dann, wenn eine solche Tätigkeit nicht zustande kommt.

7 Schlussbestimmungen

(1) Diese Vereinbarung unterliegt deutschem Recht unter Ausschluss des Kollisionsrechts.

(2) Als ausschließlicher Gerichtsstand wird das Landgericht München vereinbart. Der Auftraggeber kann für Streitigkeiten aus diesem Vertrag auch ein nach den allgemeinen Gesetzen zuständiges Gericht wählen. Das Recht der Parteien, einstweiligen Rechtsschutz vor den nach den allgemeinen Gesetzen zuständigen Gerichten zu beantragen, bleibt unberührt.

(3) Sollten eine oder mehrere Bestimmungen dieser Vereinbarung unwirksam oder undurchführbar sein oder werden, bleibt diese Vereinbarung im Übrigen wirksam; dies gilt insbesondere auch für die einzelnen Regelungen des § 7. Die Parteien verpflichten sich, in diesem Fall über eine wirksame und durchführbare Regelung zu verhandeln, die dem von den Parteien mit der unwirksamen beziehungsweise undurchführbaren Bestimmung verfolgten Zweck möglichst nahekommt.

Garching, 28.05.2024

Vertrag zur Auftragsverarbeitung (AVV)

1Präambel

Im Rahmen der Leistungserbringung durch geschlossenen Hauptvertrag arbeitet die Auftragnehmerin mit personenbezogenen Daten. Für diese Daten ist der Auftraggeber die verantwortliche Stelle im Sinne des Datenschutzrechts.

Dieser Auftragsverarbeitungsvertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der beiden Parteien.

2 Allgemeines

1) Verantwortlicher ist gem. Art. 4 Abs. 7 DSGVO die Stelle, die allein oder gemeinsam mit anderen Verantwortlichen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Der Auftraggeber ist der datenschutzrechtliche Verantwortliche.

(2) Auftragsverarbeiter ist gem. Art. 4 Abs. 8 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Der Auftraggeber entscheidet selbst, welche Leistungen er vom Auftragsverarbeiter im Einzelnen in Anspruch nehmen möchte.

Die Auftragnehmerin ist Auftragsverarbeiter.

(3) Personenbezogene Daten sind gem. Art. 4 Abs. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

(4) Verarbeitung ist gem. Art. 4 Abs. 2 DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten. Nämlich das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

(5) Aufsichtsbehörde ist gem. Art. 4 Abs. 21 DSGVO eine von einem Mitgliedstaat gem. Art. 51 DSGVO eingerichtete unabhängige staatliche Stelle.

3 Vertragsgegenstand

(1) Die Auftragnehmerin erbringt auf der Grundlage ihrer Allgemeinen Geschäftsbedingungen in der jeweils aktuellen Fassung („Hauptvertrag“) für den Auftraggeber Leistungen im Bereich Büroservice. Dabei erhält die Auftragnehmerin Zugriff auf personenbezogene Daten und verarbeitet diese ausschließlich im Auftrag und nach Weisung des Aufraggebers.

(2) Umfang und Zweck der Datenverarbeitung durch die Auftragnehmerin ergeben sich aus dem Hauptvertrag und den Leistungen, die der Auftraggeber in Anspruch nimmt.

In Anlage 1 zu diesem Vertrag erfolgt eine Auflistung der Arten der personenbezogenen Daten und der Kategorien betroffener Personen. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.

(3) Die Auftragnehmerin kann von der Möglichkeit Gebrauch machen, die Auftraggeber-Daten zu anonymisieren oder derart zusammenzutragen, dass keine Identifizierung betroffener Personen mehr möglich ist. Diese Daten darf die Auftragnehmerin zur Erfüllung und Weiterentwicklung der nach Maßgabe des Hauptvertrages vereinbarten Dienste verwenden. Die Parteien sind sich darüber einig, dass anonymisierte bzw. aggregierte Auftraggeber-Daten nicht mehr als Auftraggeber-Daten im Sinne dieser Vereinbarung gelten.

(4) Die Bestimmungen dieses Vertrages finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei der Auftragnehmerin, bei der Auftragnehmerin Beschäftigten oder durch von der Auftragnehmerin Beauftragten mit personenbezogenen Daten in Berührung kommen und die von dem Auftraggeber stammen oder für ihn erhoben wurden.

(5) Die Auftragnehmerin verpflichtet sich, die Verarbeitung der Auftraggeber-Daten durch Auftragnehmer grundsätzlich innerhalb der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) durchzuführen. Die Verarbeitung von Auftraggeber-Daten -unter Einhaltung der Bestimmungen dieses Vertrags- in einem Drittland, ist gestattet, wenn er den Auftraggeber vorab in Textform per E-Mail über den Ort der Datenverarbeitung informiert und die Voraussetzungen der Art. 44 – 48 DSGVO erfüllt sind oder eine Ausnahme nach Art. 49 DSGVO vorliegt.

Der Auftraggeber kann in diesem Fall in einer angemessenen Frist (14 Tage) Einspruch einlegen. Verstreicht diese Frist, ohne einen Einspruch, ist dies als eine Genehmigung zu sehen.

Erfolgt ein Einspruch hat die Auftragnehmerin das Recht den Hauptvertrag mit einer Frist von 2 Wochen zum Monatsende zu kündigen.

4 Weisungsrecht

(1) Die Auftragnehmerin darf Daten nur im Rahmen des Hauptvertrags und gemäß den Weisungen in diesem Vertrag vom Auftraggeber erheben, verarbeiten oder nutzen; dies gilt insbesondere in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation.

(2) Die Weisungen des Auftraggebers werden durch den Hauptvertrag festgelegt und können danach in schriftlicher Form oder in Textform durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Der Auftraggeber ist zu jeder Zeit berechtigt, eine solche Weisung zu erteilen. Insbesondere werden davon Weisungen im Hinblick auf die Berichtigung, Löschung und Sperrung von Daten erfasst.

Anfragen durch den Auftraggeber sind an die folgende E-Mail-Adresse zu richten:

lankes@bueroservice-lankes.de

(3) Änderungen, Ergänzungen oder Ersetzungen, die über die hauptvertraglich vereinbarte Leistung hinausgehen, werden als Antrag auf Leistungsänderung behandelt und bedürfen der vorherigen Zustimmung in Textform per E-Mail durch die Auftragnehmerin

(4) Die Weisungen werden dokumentiert und gespeichert.

(5) Die Auftragnehmerin gewährleistet die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen in Bezug auf die auftragsgemäße Verarbeitung von personenbezogenen Daten.

(6) Verstößt nach Ansicht der Auftragnehmerin eine Weisung des Auftraggebers gegen das geltende Datenschutzrecht oder gegen den Hauptvertrag, ist sie – nach einer entsprechenden Mitteilung an den Auftraggeber – berechtigt, die Durchführung der Weisung, bis zu einer Bestätigung oder Änderung des Auftraggebers auszusetzen. Die Bestätigung bzw. Änderung des Auftraggebers muss in Textform per E-Mail erfolgen.

(7) Der Auftraggeber trägt die alleinige Verantwortung für die weisungsgemäße Verarbeitung der Auftraggeber-Daten.

5 Verantwortlichkeit des Auftraggebers

(1) Der Auftraggeber ist Verantwortlicher gem. Art. 4 Abs. 7 DSGVO. Sowohl für die Rechtmäßigkeit der Verarbeitung der Auftraggeber-Daten als auch für die Wahrung der Rechte Betroffener.

(2) Sollten Dritte gegen die Auftragnehmerin aufgrund der weisungsgemäßen Verarbeitung von Auftraggeber-Daten nach Maßgabe dieses Vertrages Ansprüche geltend machen, wird der Auftraggeber die Auftragnehmerin von allen diesbezüglichen Ansprüchen nach Aufforderung freistellen.

(3) Der Auftraggeber muss der Auftragnehmerin die Auftraggeber-Daten rechtzeitig zur Verfügung stellen, damit die Erfüllung des Hauptvertrages möglich ist. Er ist darüber hinaus auch für die Qualität der Auftraggeber-Daten verantwortlich.

(4) Sollte der Auftraggeber Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen oder seiner Weisungen feststellen, muss der Auftraggeber die Auftragnehmerin umfassend und unverzüglich darüber informieren.

(5) Der Auftraggeber hat der Auftragnehmerin auf Anforderung die in Artikel 30 Absatz 2 DSGVO aufgeführten Angaben zur Verfügung zu stellen, soweit sie der Auftragnehmerin nicht selbst vorliegen.

6 Anforderungen an Personal/Geheimhaltungsvereinbarung

Die Auftragnehmerin hat alle Personen, die Auftraggeber-Daten verarbeiten, bezüglich der Verarbeitung von Auftraggeber-Daten zur Vertraulichkeit zu verpflichten. Um dieses zu gewährleisten hat die Auftragnehmerin mit den entsprechenden Personen Verschwiegenheitserklärungen nach der DSGVO abgeschlossen. Auf Anfrage des Auftraggebers wird das Vorliegen der entsprechenden Vereinbarung nachgewiesen.

7 Art der verarbeiteten Daten und Kreis der Betroffenen

(1) Im Rahmen der Durchführung des Hauptvertrags erhält die Auftragnehmerin Zugriff auf die in Anlage 2 näher spezifizierten personenbezogenen Daten. Diese Daten umfassen besondere Kategorien personenbezogener Daten. Diese werden in Anlage 2 aufgelistet.

(2) Der Kreis der von der Datenverarbeitung Betroffenen ist ebenfalls in Anlage 2 dargestellt.

8 Schutzmaßnahmen des Auftragnehmers

(1) Die Auftragnehmerin ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich des Auftraggebers erlangten Informationen nicht ohne Auftrag an Dritte weiterzugeben oder deren Zugriff auszusetzen. Unterlagen und Daten sind gegen die Kenntnisnahme durch Unbefugte unter Berücksichtigung des Standes der Technik zu sichern.

(2) Die Auftragnehmerin gestaltet seinen Verantwortungsbereich und die innerbetriebliche Organisation so, dass er den besonderen Anforderungen des Datenschutzes gerecht wird. Die Auftragnehmerin trifft alle erforderlichen technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers gem. Art. 32 DSGVO. Insbesondere die in Anlage 3 aufgeführten Maßnahmen.

(3) Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt der Auftragnehmerin vorbehalten, wobei sichergestellt werden muss, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

(4) Ansprechpartner für den Datenschutz ist Martina Lankes, lankes@bueroservice-lankes.de.

9 Informationspflichten

(1) Bei Störungen, Verdacht auf Datenschutzverletzungen oder Verletzungen vertraglicher Verpflichtungen, Verdacht auf sicherheitsrelevante Vorfälle oder andere Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten durch die Auftragnehmerin, bei der Auftragnehmerin im Rahmen des Auftrags beschäftigten Personen oder durch Dritte, wird die Auftragnehmerin den Auftraggeber in Textform per E-Mail informieren. Dasselbe gilt für Prüfungen der Auftragnehmerin durch die Datenschutz-Aufsichtsbehörde. Die Meldung über eine Verletzung des Schutzes personenbezogener Daten enthält zumindest folgende Informationen:

eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der Zahl der betroffenen Personen, der betroffenen Kategorien und der Zahl der betroffenen personenbezogenen Datensätze;
eine Beschreibung der von Auftragnehmer ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(2) Die Auftragnehmerin trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen und informiert den Auftraggeber hierüber.

(3) Die Auftragnehmerin ist darüber hinaus verpflichtet, dem Auftraggeber jederzeit Auskünfte zu erteilen, soweit die Daten von einer Verletzung nach Absatz 1 betroffen sind.

(4) Über wesentliche Änderung der Sicherheitsmaßnahmen nach § 8 Abs. 2 wird die Auftragnehmerin den Auftraggeber zeitnah unterrichten.

(5) Die Auftragnehmerin führt ein Verzeichnis zu allen Kategorien von im Auftrag des Auftraggebers durchgeführten Tätigkeiten der Verarbeitung, das alle Angaben gem. Art. 30 Abs. 2 DSGVO enthält.

10 Einsatz von weiteren Auftragsverarbeitern (Subunternehmer)

(1) Der Auftraggeber erteilt der Auftragnehmerin hiermit die allgemeine Genehmigung, weitere Auftragsverarbeiter hinsichtlich der Verarbeitung von Auftraggeber-Daten hinzuzuziehen. Alle zum Vertragsschluss bereits hinzugezogenen und durch den Auftraggeber genehmigten weiteren Auftragsverarbeiter ergeben sich aus Anlage 4.

(2) Generell nicht genehmigungspflichtig sind Vertragsverhältnisse mit Dienstleistern, die als reine Nebenleistungen in Anspruch genommen werden. Dies sind beispielsweise Leistungen, die die Prüfung oder Wartung von Datenverarbeitungsverfahren oder -anlagen durch andere Stellen oder andere Nebenleistungen zum Gegenstand haben, auch wenn dabei ein Zugriff auf Auftraggeber-Daten nicht ausgeschlossen werden kann. Die Auftragnehmerin hat insofern angemessene Regelungen zum Schutz der Vertraulichkeit der Auftraggeber-Daten zu treffen.

(3) Die Auftragnehmerin hat die Verpflichtung, den Auftraggeber über die Hinzuziehung oder Änderung weiterer Auftragsverarbeiter zu informieren, wobei die Information per E-Mail in Textform ausreichend ist.

(4) Sofern der Auftraggeber mit der Änderung oder Hinzuziehung nicht einverstanden ist, hat er das Recht, Einspruch gegen die Änderung oder Hinzuziehung zu erheben.

(5) Das Einspruchsrecht erlischt, sofern der Auftraggeber nicht innerhalb von 14 Tagen nach Zugang der Benachrichtigung über die Änderung oder Hinzuziehung Einspruch erhebt.

(6) Im Falle eines Einspruchs durch den Auftraggeber, hat die Auftragnehmerin das Recht, den Hauptvertrag sowie diesen Auftragsverarbeitungsvertrag mit einer Frist von 2 Wochen zu kündigen.

(7) Die Auftragnehmerin ist verpflichtet sicherzustellen, dass der Vertrag zwischen dem Auftragnehmer und einem weiteren Auftragsverarbeiter denselben Regelungen und ggf. ergänzenden Weisungen des Auftraggebers unterliegt, wie sie der Auftragnehmerin Kraft dieses Vertrages obliegen. Diese Voraussetzungen ist gegeben, wenn der Vertrag zwischen der Auftragnehmerin und dem Auftragsverarbeiter den Voraussetzungen des Art. 28 DSGVO entspricht.

(8) Die Auftragnehmerin wählt jeden zusätzlichen Auftragsverarbeiter sorgfältig nach dessen Eignung und Zuverlässigkeit aus.

(9) Die Auftragnehmerin hat dafür Sorge zu tragen, dass der Auftraggeber seine Rechte -insbesondere seine Prüf- und Kontrollrechte- auch gegenüber dem Subunternehmer ausüben kann.
Der Auftraggeber ist verpflichtet, die Auftragnehmerin über anstehende Maßnahmen zu informieren.

(10) Sofern eine Einbeziehung von Auftragsverarbeitern in einem Drittland erfolgen soll, hat die Auftragnehmerin sicherzustellen, dass bei dem jeweiligen Subunternehmer ein angemessenes Datenschutzniveau gewährleistet ist (z. B. durch Abschluss einer Vereinbarung auf Basis der EU-Standarddatenschutzklauseln). Die Auftragnehmerin hat dem Kunden auf Verlangen den Abschluss der vorgenannten Vereinbarungen mit ihren Auftragsverarbeitern nachweisen.

(11) Die Mitteilungsverpflichtung der Auftragnehmerin, das Einspruchsrecht des Auftraggebers und ein gegebenenfalls bestehendes besondere Kündigungsrecht der Auftragnehmerin gelten entsprechend der Absätze 2-9 auch für die Einbeziehung von Subunternehmern aus einem Drittland.

11 Rechte Betroffener

(1) Für die Wahrung der Rechte Betroffener ist der Auftraggeber alleine verantwortlich.

(2) Die Auftragnehmerin ist dazu verpflichtet, im Rahmen des technisch und organisatorisch Zumutbaren, dem Auftraggeber die notwendigen Informationen, die zur Bearbeitung von Anträgen Betroffener benötigt werden, zugänglich zu machen, damit dieser seinen Pflichten nach Art. 12 Abs. 3 DSGVO nachkommen kann.

Soweit ein Betroffener einen Antrag auf Wahrnehmung seiner ihm zustehenden Rechte nach Art. 12 Abs. 3 DSGVO unmittelbar gegenüber der Auftragnehmerin geltend macht, wird die Auftragnehmerin dieses Ersuchen zeitnah an den Auftraggeber weiterleiten.

(3) Die Auftragnehmerin wird dem Auftraggeber Informationen über die gespeicherten Auftraggeber-Daten und deren Empfänger, an die die Auftragnehmerin sie auftragsgemäß weitergibt, geben. Ferner wird er den Zweck der Speicherung mitteilen, sofern dem Auftraggeber diese Informationen nicht schon selbst vorliegen oder er sich diese selber beschaffen kann.

(4) Sollten Auftraggeber-Daten zu berichtigen, zu löschen oder ihre weitere Verarbeitung einzuschränken sein, wird die Auftragnehmerin dies im Rahmen des Zumutbaren und Erforderlichen und gegen Erstattung der hierdurch entstehenden Aufwendungen und Kosten ermöglichen.

Soweit dem Auftraggeber die Vornahme der Berichtigung, der Löschung oder der Einschränkung der weiteren Verarbeitung unmöglich oder nur eingeschränkt möglich ist, wird die Auftragnehmerin diese Maßnahmen gegen Erstattung der hierdurch entstehenden Aufwendungen und Kosten vornehmen.

(5) Hat der Betroffene gegenüber dem Auftraggeber ein Recht auf Datenübertragbarkeit bezüglich der Auftraggeber-Daten nach Artikel 20 DSGVO, wird die Auftragnehmerin dem Auftraggeber die entsprechenden Daten zugänglich machen, wenn der Auftraggeber sich die Daten nicht anderweitig beschaffen kann.

(6) Die Zugänglichmachung nach Absatz 5 erfolgt in zumutbarem und erforderlichem Maße und gegen Erstattung der der Auftragnehmerin hierdurch entstehenden nachzuweisenden Aufwendungen und Kosten.

12 Dauer des Vertrages und besonderes Kündigungsrecht

(1) Sowohl die Laufzeit als auch die normale Kündigung dieses Vertrages richten sich nach den diesbezüglichen Bestimmungen Hauptvertrages.

(2) Das besondere Kündigungsrecht der Auftragnehmerin bei einer Nichtgenehmigung von weiteren Auftraggebern, oder der Nichtgenehmigung von Datenspeicherungen etc. in einem Drittland wirkt sich auf den Hauptvertrag bzw. die Einzelvereinbarung aus.

Die Kündigung der Autragnehmerin kann in Textform per E-Mail erfolgen. Die Kündigungsfrist beträgt

2 Wochen.

In diesem Fall wird sowohl dieser Auftragsverarbeitungsvertrag, als auch der Hauptvertrag beendet.

13 Datenlöschung

(1) Die Auftragnehmerin wird die Auftraggeber-Daten nach Beendigung dieses Vertrags löschen. Etwaige gesetzliche Verpflichtungen der Auftragnehmerin zur weiteren Speicherung der Auftraggeber-Daten bleiben unberührt.

(2) Die Löschung ist zu dokumentieren. Die Dokumentationen, die dem Nachweis des Auftrags und ordnungsgemäßen Verarbeitung von Auftraggeber-Daten dienen, dürfen durch die Auftragnehmerin auch nach Vertragsende für einen angemessenen Zeitraum aufbewahrt werden.

14 Nachweise und Kontrollen

(1) Der Auftraggeber ist berechtigt, die Auftragnehmerin in erforderlichem Umfang bezüglich der Einhaltung der gesetzlichen Vorschriften, der vertraglichen Vereinbarungen zwischen den Parteien und der Einhaltung der Weisungen des Auftraggebers durch die Auftragnehmerin zu kontrollieren.

(2) Die Auftragnehmerin wird dem Auftraggeber auf dessen Begehren hin alle erforderlichen Informationen, die der Durchführung der Kontrolle in Absatz 1 dienen, zur Verfügung stellen.

Sie hat das Recht, Informationen dann zurückzuhalten, wenn er durch die Herausgabe gegen gesetzliche oder andere vertragliche Regelungen verstoßen würde. Die Zurückbehaltung erfolgt nach Ermessen der Auftragnehmerin unter Berücksichtigung der gesetzlichen Verpflichtungen des Auftraggebers.

(3) Der Auftraggeber hat das Recht zu den üblichen Geschäftszeiten auf eigene Kosten die Kontrolle nach Absatz 1 in erforderlichem Umfang vorzunehmen. Er hat dafür zu sorgen, dass der Betriebsablauf nicht unverhältnismäßig gestört wird und die Betriebs- und Geschäftsgeheimnisse gewahrt werden.

(4) Der Auftraggeber hat die Auftragnehmerin rechtzeitig, unter einer angemessenen Fristsetzung über alle mit der Durchführung der Überprüfung zusammenhängenden Umstände zu informieren.

(5) Eine Überprüfung darf nur einmal pro Kalenderjahr erfolgen. Zusätzliche Prüfungen können nach Abstimmung mit der Auftragnehmerin und gegen Kostenerstattung vorgenommen werden.

(6) Bei Beauftragung eines Dritten zur Vornahme der Kontrolle muss der Dritte durch den Auftraggeber ebenso verpflichtet werden, wie wenn der Auftraggeber verpflichtet wäre, wenn er selbst die Kontrolle durchführen würde.

Sollte der Dritte nicht ohnehin einer beruflichen Verschwiegenheit unterliegen, hat der Auftraggeber diesen zur Verschwiegenheit und Geheimhaltung schriftlich zu verpflichten. Die Vorlage dieser Verpflichtungsvereinbarung kann die Auftragnehmerin jederzeit verlangen.

(7) Mit der Kontrolle darf kein Wettbewerber der Auftragnehmerin beauftragt werden.

15 Haftungsbeschränkung

(1) Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Auftraggeber und Auftragnehmerin als Gesamtschuldner.

(2) Die Auftragnehmerin trägt die Beweislast dafür, dass ein Schaden nicht Folge eines von ihm zu vertretenden Umstandes ist, soweit die relevanten Daten von ihm unter dieser Vereinbarung verarbeitet wurden. Solange dieser Beweis nicht erbracht wurde, stellt die Auftragnehmerin den Auftraggeber auf erste Anforderung von allen Ansprüchen frei, die im Zusammenhang mit der Auftragsverarbeitung gegen den Auftraggeber erhoben werden. Unter diesen Voraussetzungen ersetzt die Auftragnehmerin dem Auftraggeber ebenfalls sämtliche entstandenen Kosten der Rechtsverteidigung.

(3) Die Auftragnehmerin haftet dem Auftraggeber für Schäden, die die Auftragnehmerin, ihre Mitarbeiter bzw. die von ihr mit der Vertragsdurchführung Beauftragten oder die von ihr eingesetzten Subunternehmer im Zusammenhang mit der Erbringung der beauftragten vertraglichen Leistung schuldhaft verursachen.

(4) Die Absätze (2) und (3) gelten nicht, soweit der Schaden durch die korrekte Umsetzung der beauftragten Dienstleistung oder einer vom Auftraggeber erteilten Weisung entstanden ist.

16 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Der Vorrang individueller Vertragsabreden bleibt hiervon unberührt.

(2) Im Fall von Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarung zwischen den Parteien, insbesondere dem Hauptvertrag, gehen die Regelungen aus diesem Vertrag vor.

(3) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden oder eine Lücke enthalten, so bleiben die übrigen Bestimmungen hiervon unberührt.

Die Parteien verpflichten sich, anstelle der unwirksamen Regelung eine solche gesetzlich zulässige Regelung zu treffen, die dem Zweck der unwirksamen Regelung am nächsten kommt und dabei den Anforderungen des Artikels 28 DSGVO genügt.

(4) Diese Vereinbarung unterliegt deutschem Recht unter Ausschluss des in Deutschland geltenden UN-Kaufrechts. Ausschließlicher Gerichtsstand ist München.

Garching, 28.05.2024

Anlagen

Anlage 1 Leistungsbeschreibung,

Beschreibung der Datenkategorien/ Beschreibung der Betroffenen/Betroffenengruppen

Anlage 2 Technische und organisatorische Maßnahmen der Auftragnehmerin

Anlage 3 Genehmigte Subunternehmer

Anlage 1: Beschreibung der Angebotenen Leistungen

Transkription von digitalen Diktaten
Nachkorrektur von übermittelten Texten
Formatieren oder Personalisieren von Dokumenten
Abschrift von (handschriftlichen) Originaldokumenten
Internetrecherchen
Bearbeitung von Excel-Tabellen, Word-Vorlagen/-Dokumenten, Checklisten etc. (alternativ Google Docs, Sheets)
Bearbeiten von PowerPoint-Präsentationen
Vorbereitende Buchhaltung nach § 6 Nr. 3 StBergG
E-Mail-Management
Datenerfassung und -pflege
Allgemeine Büro- und Assistenztätigkeiten

Datenkategorien der gespeicherten Daten

Art der Daten (Datenkategorie)

Personenstammdaten (Name, Vorname, Adresse)
Kommunikationsdaten (E-Mail, Telefonnummer)
Rechnungsdaten
Zugangsdaten
Vertragsstammdaten (Vertragsbeziehung, Produkt- bzw. Vertragsinteresse), anonymisierte IP-Adressen
Daten Dritter, die im Zusammenhang mit der Zusammenarbeit verarbeitet werden müssen

Zweck der Datenverarbeitung

Vertragsabwicklung zur Erfüllung der bei uns durch den Kunden gebuchten Leistungen – siehe Hauptvertrag.

Betroffene Personen

Websitenbesucher / Follower in SocialMedia
Kunden
Kunden unserer Kunden
Lieferanten
Mitarbeiter und Subunternehmer
Interessenten
Dritte im Rahmen des Mandats-/Kundenverhältnisses

Anlage 2: Technische und organisatorische Maßnahmen

Teil – Vertraulichkeit

Zutrittskontrolle

Das Gebäude befindet sich in einem Wohn-/Gewerbegebiet und ist ein Wohn-/Gewerbegebäude. Die Tür ist mit einer normalen Schließanlage versehen. Es gibt keinen Empfang. Besucher werden an der Tür abgeholt.

Zugangskontrolle

Es gibt keine Server vor Ort. Es wird Google WorkSpace Business eingesetzt.

Die Inhaberin beschäftigt Mitarbeiter, die ausschließlich remote arbeiten. Zugänge zu Software-Lösungen und Daten werden von der Auftragnehmerin vergeben/verwaltet. Folgende Maßnahmen werden umgesetzt:

Zugang zum EDV-System erfolgt über eine eindeutige User-ID mit Passwort/PIN.
Eine Rechnersperre bei vorübergehender Abwesenheit ist aktiv.
Die systemeigene Firewall ist aktiv.
Als Virenschutzprogramm wird AVIRA Antivirus Pro eingesetzt.
Das W-LAN ist passwortgeschützt. Zusätzlich wird VPN von AVIRA Antivirus Pro verwendet.
Datenverschlüsselung mobiler Endgeräte ist aktiv.

Alle Dienstleister werden sorgfältig ausgewählt und überprüft. Der Einsatz von Dienstleistern wird protokolliert.

Zugriffskontrolle

Nur die Inhaberin und Ihre Mitarbeiter (und bei cloudbasiertem Datenaustausch auch der Kunde) selbst hat Zugriff auf die genutzten Datenverarbeitungssysteme. Die Administratorrechte liegen bei der Inhaberin.

Nicht mehr verwendete Datenträger werden gemäß Schutzklasse vernichtet. Das bedeutet, dass Datenträger (Festplatten) physisch unbrauchbar gemacht werden. Hierfür gibt es ein Protokoll. Papierunterlagen werden durch einen Aktenvernichter vernichtet.

Trennung

Die Daten der verschiedenen Kunden werden in unterschiedlichen Ordnern gespeichert.

Pseudonymisierung und Verschlüsselung

Die Daten werden soweit möglich verschlüsselt gespeichert. Eine Pseudonymisierung wird nicht durchgeführt, da nach Ablauf der gesetzlichen Löschpflichten keine Daten weiterverarbeitet werden.

Teil – Integrität

Eingabekontrolle

Eine Protokollierung über Eingabe, Veränderung oder Löschung von Daten findet nicht statt, da sie ausschließlich vom Inhaber selbst eingegeben, verändert oder gelöscht werden.

Für E-Mails gilt seit dem 1. Januar 2017 eine besondere Aufbewahrungs- und Archivierungspflicht gemäß GoBD. Nach Beendigung des Vertragsverhältnisses und der gesetzlichen Aufbewahrungspflichten werden die Daten des Auftraggebers gelöscht.

Weitergabekontrollen

Die Datenübertragung an den Auftraggeber/Kunden per E-Mail erfolgt per SSL-Verschlüsselung. Eventuelle E-Mail-Anhänge werden – sofern der Kunde es wünscht – passwortgeschützt und ggf. verschlüsselt übertragen. Eine Weitergabe auf externen Datenträgern findet nicht statt.

Der Datenaustausch erfolgt digital, über mit dem Auftraggeber abgestimmte Wege, z.B. Cloud-Services, Projektmanagement-Tools etc. bzw. über das Kundenportal der Auftragnehmerin.

Auftragskontrolle

Die Sicherheitsmaßnahmen und deren Dokumentation der Auftragnehmer werden vor Auftragsvergabe geprüft. Eine sorgfältige Auswahl von Auftragnehmern ist gewährleistet. Das Vertragsverhältnis mit Auftragnehmern basiert auf Auftragsverarbeitungsverträgen. Es ist sichergestellt, dass nach Beendigung des Auftrags die Daten vernichtet werden. Bei einer längeren Zusammenarbeit wird das Schutzniveau regelmäßig überprüft.

Teil – Verfügbarkeit und Belastbarkeit

Es gibt keine unterbrechungsfreie Stromversorgung. Es sind keine Server im Einsatz. Es gibt eine Rauchmeldeanlage.

Es wird eine Anti-Viren- und Anti-Schadsoftware eingesetzt. Eine Datensicherung auf einer externen Festplatte sowie einer Cloud wird regelmäßig durchgeführt.

Teil – Verfahren zur regelmäßigen Überprüfung, Bewertung, Evaluierung

Datenschutzmanagement

Die Inhaberin hat die Verantwortung für Datenschutz/Informationssicherheit übernommen. Es ist sichergestellt, dass Anfragen von Betroffenen fristgemäß beantwortet werden. Ein Verzeichnis der Verarbeitungstätigkeiten ist vorhanden. Datenschutz wird im Unternehmen als kontinuierlicher Verbesserungsprozess gesehen und ständig weiterentwickelt.

Incident-Response-Management

Firewall, Spamfilter und Virenscanner werden eingesetzt und regelmäßig aktualisiert. Es gibt ein eigenes, abgesichertes W-LAN.

Privacy by Design/Privacy by Default

Es werden nicht mehr personenbezogene Daten erhoben, als für die Zweckerfüllung nötig ist. Dies entspricht dem Grundsatz der Datensparsamkeit. Bei der Prozessentwicklung wird darauf geachtet, dass die Rechte der betroffenen Personen gewahrt werden.

Garching, 28.05.2024

Anlage 3: Genehmigte Subunternehmer

Die nachfolgenden Unternehmen sind genehmigte Subunternehmer im Sinne der Nr. 10:

Clickbits GmbH Funktion: Zeiterfassung / Abrechnung

Viktoriastr. 15 A Tool: clocko:do

59425 Unna

Deutschland

1&1 IONOS SE Funktion: Serverstruktur (Kundenportal)

Eltendorfer Str. 57

46410 Montabaur

Deutschland

fileee GmbH Funktion: Dokumentenverwaltung

Winthorststr. 68 Tool: fileee

48143 Münster

Deutschland

MeisterLabs GmbH Funktion: Projekt- und Aufgabenverwaltung

Zugspitzstr. 2 Tool: MeisterTask

85591 Vaterstetten

Deutschland

Google Cloud EMEA Ltd. Funktion: E-Mail, Kalender, Videokonferenzen, Office-Software

70 Sir John Rogerson’s Quay (cloudbasiert), Cloud-Speicher

Dublin 2 Tool: Google Workspace Business

Leopardstown, Dublin

Ireland

Garching, 28.05.2024