zwischen
dem Nutzer der Plattform skillsforwork als auftraggebenden Kunden
(im Folgenden auch genannt: Auftraggeber oder Verantwortlicher)
und
skillsforwork, einem Unternehmensbereich der VNR Verlag für die Deutsche Wirtschaft AG, Theodor-Heuss-Straße 2-4, 53177 Bonn (im Folgenden auch genannt: Auftragnehmer oder Auftragsverarbeiter)
Vorbemerkung
Der Auftraggeber verarbeitet personenbezogene Daten bei der Nutzung der Leistungen des Auftragnehmers. Vor diesem Hintergrund gestalten die Parteien durch diese Vereinbarung die in diesem Vertrag in Bezug genommene Tätigkeit als Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DS-GVO). Der Auftraggeber ist und bleibt für die Erfüllung seiner datenschutzrechtlichen Pflichten selbst und allein verantwortlich.
1.1 Die Leistung des Auftragnehmers ist in der Leistungsbeschreibung festgelegt. Der Auftraggeber entscheidet durch das Einpflegen der Mitarbeitenden oder das Verknüpfen zu einer anderen Plattform (bspw. EntraID) darüber, welche personenbezogenen Daten der Auftragnehmer verarbeitet. Über die Mittel und Zwecke der Verarbeitung dieser personenbezogenen Daten entscheidet allein der Auftraggeber.
1.2 Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen (vgl. Art. 28 Abs. 3 Satz 1 DS-GVO) sind in der Leistungsbeschreibung und der sie ergänzenden Regelungen, sowie den Nutzungsbedingungen und Bestellkonditionen geregelt.
1.3 Soweit der Auftragnehmer aus rechtlichen Gründen zu einer von der Vorgabe des Auftraggebers abweichenden Verarbeitung verpflichtet ist, teilt der Auftragnehmer dies dem Auftraggeber vor Verarbeitung der personenbezogenen Daten mit, sofern dem Auftragnehmer eine solche Mitteilung nicht rechtlich verboten ist (Art. 28 Abs. 3 Satz 2 lit. a DS-GVO).
1.4 Eine Übertragung von personenbezogenen Daten an ein Drittland (also ein Land außerhalb der Europäischen Union) oder eine internationale Organisation und/oder sonstige Verarbeitung in einem Drittland oder durch eine internationale Organisation erfolgt nur aufgrund schriftlicher, was auch in elektronischer Form erfolgen kann (Art. 28 Abs. 9 DS-GVO), Weisung des Auftraggebers.
1.5 Der weitere Umfang der Datenverarbeitungstätigkeit des Auftragnehmers für den Auftraggeber kann sich aus den Einzelweisungen des Auftraggebers ergeben. Weisungen des Auftraggebers, die in der Leistungsbeschreibung nicht vorgesehen sind, werden als Antrag auf Änderung der Leistung und der Vergütung behandelt.
2.1 Der Auftraggeber erteilt alle Einzelweisungen schriftlich, was auch in elektronischer Form erfolgen kann (Art. 28 Abs. 9 DS-GVO).
2.2 Die Vertragsparteien informieren sich und arbeiten bei Anfragen von Aufsichtsbehörden zu Themen aus dem Auftragsverhältnis zusammen und unterstützen sich.
3.1 Der Auftragnehmer erhebt und verwendet personenbezogene Daten und sonstige Informationen des Auftraggebers ausschließlich nach den Weisungen des Auftraggebers und für die erforderlichen auftragsbezogenen Tätigkeiten (Artt. 28, 29 DS-GVO).
3.2 Der Auftragnehmer unterstützt unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Auftraggeber bei der Einhaltung der in Artt. 32 bis 36 DS-GVO genannten Pflichten (Art. 28 Abs. 3 Satz 2 lit. f DS-GVO).
4.1 Der Auftraggeber und der Auftragnehmer treffen nach Art. 32 DS-GVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
4.2 Die Festlegung der Schutzmaßnahmen erfolgt in einer gesonderten Beschreibung der Sicherheit der Verarbeitung. Der Auftragnehmer wird die dort geregelten Schutzmaßnahmen ergreifen.
4.3 Es liegt in der Verantwortung des Auftraggebers zu bewerten, ob die vorgesehenen Schutzmaßnahmen nach Maßgabe des Art. 32 DS-GVO angemessen sind. Dem Auftragnehmer ist diese Beurteilung nicht möglich, da er mit seiner Leistung dem Auftraggeber nur dessen Verarbeitung personenbezogener Daten ermöglicht.
5.1 Der Auftraggeber ist für die Wahrung und Erfüllung der Rechte der Betroffenen, insbesondere nach Artt. 13 ff. DS-GVO, verantwortlich und zuständig.
5.2 Der Auftragnehmer sieht nach Möglichkeit und unter Berücksichtigung der Art der Verarbeitung technische und organisatorischen Maßnahmen vor, um den Auftraggeber bei der Einhaltung und Erfüllung der Rechte der betroffenen Personen (Artt. 12-23 DS-GVO) zu unterstützen (Art. 28 Abs. 3 S. 2 lit. e DS-GVO, vgl. Art. 12 DS-GVO).
6.1 Der Auftragnehmer überprüft in regelmäßigen Abständen die Einhaltung der Vorgaben dieser Vereinbarung, insbesondere der Vorgaben zur Sicherheit der Verarbeitung.
6.2 Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DS-GVO) bekannt wird, meldet er diese dem Verantwortlichen unverzüglich (Art. 33 Abs. 2 DS-GVO). Die Meldung erfolgt durch den Auftragnehmer an die durch den Auftraggeber bei der Registrierung oder beim Vertragsabschluss benannte E-Mail-Adresse. Der Auftraggeber wird in eigener Verantwortung die Entgegennahme von Meldungen sicherstellen.
6.3 Der Auftragnehmer ist berechtigt, die ihm geeignet erscheinenden Maßnahmen zur Unterbindung der Verletzung des Schutzes personenbezogener Daten zu ergreifen.
6.4 Der Auftraggeber teilt dem Auftragnehmer den Inhalt der Unterrichtungen nach Art. 33, 34 DS-GVO zum Zeitpunkt deren Versendung mit. Der Auftragnehmer ist jedenfalls ab diesem Zeitpunkt berechtigt, sich selbst an die Empfänger der Unterrichtungen nach Artt. 33, 34 DS-GVO, insbesondere die Datenschutzaufsichtsbehörde, zu wenden und Stellung zu nehmen.
6.5 Der Auftragnehmer informiert den Auftraggeber unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen die DS-GVO oder gegen sonstige Datenschutzbestimmungen verstößt (Art. 28 Abs. 3 S. 3 DS-GVO). Eine rechtliche Prüfung durch den Auftragsverarbeiter ist damit nicht verbunden.
7.1 Der Auftragnehmer stellt dem Auftraggeber nach Möglichkeit und unter Berücksichtigung der Art der Auftragsverarbeitung alle Informationen zur Verfügung, welche der Auftraggeber zum Nachweis der Einhaltung der datenschutzrechtlichen Vorgaben, insbesondere der Vorgaben des Art. 28 DS-GVO, benötigt (vgl. Art. 28 Abs. 3 S. 2 lit. h DS-GVO).
7.2 Zur Ausübung seiner gesetzlichen Kontrollpflicht hat der Auftraggeber oder ein von ihm beauftragter Prüfer ein Kontrollrecht beim Auftragnehmer vor Ort im Hinblick auf die datenschutzkonforme Verarbeitung der personenbezogenen Daten und sonstigen Betriebsdaten, die im Auftrag des Auftraggebers verarbeitet werden, sowie auf die technisch-organisatorischen Maßnahmen zu deren Sicherheit (vgl. Art. 28 Abs. 3 S. 2 lit. h DS-GVO). Die Kontrollrechte werden in Abstimmung mit dem Auftragnehmer wahrgenommen. Der Auftragnehmer hat die Kontrollen zu dulden und zu unterstützen.
7.3 Der Auftragnehmer hat dem Auftraggeber die Kontrolle zu ermöglichen und dazu beizutragen (vgl. Art. 28 Abs. 3 S. 2 lit. h DS-GVO) und hierzu die erforderlichen Auskünfte zu erteilen (vgl. Art. 28 Abs. 3 S. 2 lit. h DS-GVO).
Der Auftragnehmer gewährleistet, dass er, soweit erforderlich, entsprechend den gesetzlichen Bestimmungen bei der zuständigen Aufsichtsbehörde gemeldet ist und einen betrieblichen Datenschutzbeauftragten entsprechend den gesetzlichen Vorgaben ausgewählt, benannt und bei der zuständigen Aufsichtsbehörde gemeldet hat.
Unseren Datenschutzbeauftragten erreichen Sie unter:
Der Datenschutzbeauftragte
Theodor-Heuss-Str. 4
53177 Bonn
Tel.: 0228 8205 66004
E-Mail: datenschutzbeauftragter@vnr.de
9.1 Der Auftragnehmer nimmt keinen weiteren Auftragnehmer (hier auch bezeichnet als: Unterauftragnehmer) ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Auftraggebers in Anspruch (Art. 28 Abs. 2 Satz 1 DS-GVO). Die bestehenden Unterauftragnehmer sind in den Technischen und Organisatorischen Maßnahmen genannt. Im Fall einer allgemeinen schriftlichen Genehmigung informiert der Auftragnehmer den Auftraggeber immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragnehmer, wodurch der Auftraggeber die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben (Art. 28 Abs. 2 Satz 2 DS-GVO). Letzteres vereinbaren die Parteien in Ziffer 9.3.
9.2 Nimmt der Auftragnehmer die Dienste eines weiteren Auftragnehmers (hier auch bezeichnet als: Unterauftragnehmer) in Anspruch, um bestimmte Verarbeitungstätigkeiten im Namen des Auftraggebers auszuführen, so werden diesem Unterauftragnehmer durch schriftliche Vereinbarung (was auch in elektronischer Form erfolgen kann (Art. 28 Abs. 9 DS-GVO)) nach Maßgabe der DS-GVO, insbesondere Art. 28, 29 DS-GVO, Datenschutzpflichten auferlegt, die der vorliegenden Vereinbarung zwischen dem Auftraggeber und dem Auftragnehmer entsprechen (Art. 28 Abs. 4 Satz 1 DS-GVO). Dabei müssen insbesondere hinreichende Garantien dafür geboten werden, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen dieser Verordnung erfolgt (Art. 28 Abs. 4 Satz 1 DS-GVO).
9.3 Die in den Technischen und Organisatorischen Maßnahmen genannten Unterauftragnehmer sind für den Auftragnehmer mit dort genanntem Auftragsinhalt in dem dort genannten Umfang tätig.
Mit der Beauftragung dieser Unterauftragnehmer erklärt sich der Auftraggeber einverstanden. Im Übrigen werden Unterauftragnehmer zur Erledigung der übertragenen Arbeiten vom Auftragnehmer nur dann einbezogen, wenn der Auftraggeber zuvor hierüber informiert und angemessen Zeit zum Widerspruch gegen deren Einbindung hatte.
Mit Beendigung des Vertragsverhältnisses kann der Auftraggeber die Löschung aller personenbezogenen Daten anfordern. Zuvor hat dieser die Möglichkeit, alle Schulungsnachweise herunterzuladen.
11.1 Die Laufzeit und Kündigungsfrist sind in den Bestellkonditionen und der sie ergänzenden Regelungen sowie den Nutzungsbedingungen geregelt. Mit Beendigung des Leistungsbezugs endet auch diese Vereinbarung über die Auftragsverarbeitung automatisch, ohne dass es einer gesonderten Kündigung bedarf. Mit der Beendigung dieser Vereinbarung gilt die Regelung „Herausgabe der Daten" (Ziffer 10).
11.2 Die in der Leistungsbeschreibung beschriebenen Tätigkeiten sind mit der Vergütung für die Nutzung abgegolten. Zusätzliche Leistungen nach dieser Vereinbarung über die Auftragsverarbeitung (insbesondere Ziffern 2.2, 3.2, 5.1 und 7.3), die nicht in der Leistungsbeschreibung enthalten sind, sind durch den Auftraggeber gegenüber dem Auftragnehmer zusätzlich zu vergüten, es sei denn, diese beruhen auf einem schuldhaften Fehlverhalten des Auftragnehmers.
12.1 Der Auftragnehmer haftet für sich und seine Erfüllungsgehilfen, gleich aus welchem Rechtsgrund, nur, falls eine wesentliche Vertragspflicht schuldhaft verletzt wurde oder der Schaden auf grobe Fahrlässigkeit oder Vorsatz zurückzuführen ist. Als wesentliche Vertragspflicht gilt eine Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Vertragspartner regelmäßig vertrauen darf.
12.2 Erfolgt die schuldhafte Verletzung einer solchen wesentlichen Vertragspflicht nicht grob fahrlässig oder vorsätzlich, ist die Haftung der Höhe nach beschränkt auf die bei Vertragsschluss vorhersehbaren und vertragstypischen Schäden.
12.3 Die Haftung des Auftragnehmers für arglistig verschwiegene Mängel, Garantien für die Beschaffenheit einer Sache (insbesondere zugesicherte Eigenschaften) und für Personenschäden (Leben, Körper und Gesundheit) sowie nach den Vorschriften des Produkthaftungsgesetzes bleiben unberührt.
12.4 Soweit die Haftung des Auftragnehmers nach den vorstehenden Regelungen dieser Ziffer 12 (Haftung des Auftragnehmers) wirksam ausgeschlossen oder beschränkt ist, gilt dies auch für die persönliche Haftung der Arbeitnehmer, der sonstigen Mitarbeiter, Organe, Vertreter und Erfüllungsgehilfen von Auftragnehmer.
13.1 Sollte der Auftragnehmer von Dritten, eingeschlossen staatliche Institutionen, in Anspruch genommen werden, die angebliche Rechtsverletzungen oder eine sonstige Rechtswidrigkeit der Nutzung der vertragsgegenständlichen Leistungen und Produkte geltend machen, wird der Auftraggeber den Auftragnehmer bei der Rechtsverteidigung (zu der der Auftragnehmer berechtigt, aber nicht verpflichtet ist) die notwendige Unterstützung bieten und den Auftragnehmer von den Kosten der Rechtsverteidigung freistellen.
13.2 Sollte der Auftraggeber von Dritten, eingeschlossen staatliche Institutionen, in Anspruch genommen werden, die Rechtsverletzungen oder eine sonstige Rechtswidrigkeit der Nutzung der vertragsgegenständlichen Leistungen und Produkte geltend machen, wird der Auftragnehmer den Auftraggeber von diesen Ansprüchen im Außenverhältnis freistellen. Voraussetzung hierfür ist, dass der Auftragnehmer den Auftraggeber über geltend gemachte Ansprüche umgehend informiert und bis dahin keine Zugeständnisse oder Anerkenntnisse oder diesen gleichkommende Erklärungen abgibt und dem Auftraggeber die Abwehr der Ansprüche gegenüber dem Dritten auf dessen Kosten ermöglicht.
13.3 Die Regelungen gelten entsprechend zugunsten von Geschäftsführern, Organen, Mitarbeitern und Agenten des Auftragnehmers, soweit sie aufgrund ihrer Tätigkeit im Sinne dieser Regelung betroffen sind.
13.4 Die Pflicht zur Freistellung besteht nicht, wenn der Auftraggeber die Inanspruchnahme verschuldet hat.
14.1 Der Auftragnehmer wird die im Rahmen dieses Auftrags übertragenen sowie durch ihn erhobenen personenbezogenen Daten vertraulich behandeln und nur im Rahmen der Weisung des Auftraggebers verarbeiten (Artt. 28 Abs. 1 lit. a, 29 DS-GVO).
14.2 Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 S. 2 lit. b DS-GVO) und die personenbezogenen Daten nur entsprechend der Weisung des Auftraggebers an den Auftragnehmer verarbeiten (Art. 29 DS-GVO). Der Auftragnehmer setzt für die Verarbeitung (vgl. Art. 4 Nr. 2 DS-GVO) der personenbezogenen Daten nur Mitarbeiter ein und diese nur, wenn diese die über die Schutzbestimmungen dieser Vereinbarung, über die jeweils geltenden Bestimmungen des Datenschutzrechts und die Pflicht zur Verarbeitung nur entsprechend der erteilten Weisungen belehrt (vgl. Art. 28 Abs. 3 S. 2 lit. b, Art. 29 DS-GVO). Sonstige Regelungen und Vereinbarungen zwischen den Vertragsparteien über die Vertraulichkeit und/oder Geheimhaltung bleiben unberührt.
14.3 Der Auftragnehmer verpflichtet sich auch im Übrigen zu strikter Vertraulichkeit Dritten gegenüber. Insbesondere ist der Auftragnehmer verpflichtet, alle ihm anlässlich der Durchführung des Auftrags bekannt werdenden Geschäfts- und Betriebsgeheimnisse, Herstellungsverfahren, Arbeitsmethoden und sonstigen geschäftlichen bzw. betrieblichen Tatsachen, Unterlagen und Informationen des Auftraggebers sowie seiner Kunden und Geschäftspartner streng vertraulich zu behandeln, in keiner Weise Dritten zugänglich zu machen oder sonst zu verwenden. Die Weitergabe solcher Informationen ist nur mit vorheriger schriftlicher Zustimmung des Auftraggebers zulässig.
14.4 Mit Ausnahme der Vertraulichkeit in Bezug auf die nach dieser Vereinbarung verarbeiteten personenbezogenen Daten findet die vorgenannte Verpflichtung insoweit keine Anwendung, als der Auftragnehmer darlegen kann, dass diese Information
14.4.1 öffentlich zugänglich und zum Zeitpunkt der Offenlegung verfügbar ist, oder danach der Öffentlichkeit zugänglich geworden ist und zwar ohne Verletzungshandlung oder -unterlassung durch den Auftragnehmer oder eines seiner Vertreter oder Angestellten, oder
14.4.2 vor dem Erhalt von dem Auftraggeber im Besitz des Auftragnehmers oder ihm bekannt war, oder
14.4.3 dem Auftragnehmer durch eine andere Person ohne Einschränkung rechtmäßig offengelegt wurde, oder
14.4.4 von dem Auftragnehmer ohne Zugang zur Information des Auftraggebers unabhängig entwickelt wurde, oder
14.4.5 nach gesetzlichen oder verwaltungsrechtlichen Vorschriften offengelegt werden muss, wenn dem Auftraggeber dieses Erfordernis unverzüglich bekannt gegeben wird und der Umfang solcher Offenlegung so weit wie möglich eingeschränkt wird, oder aufgrund einer gerichtlichen Entscheidung offengelegt werden muss, wenn dem Auftraggeber von dieser Entscheidung unverzügliche Nachricht gegeben wurde und wenn nicht die Möglichkeit besteht, diese Entscheidung anzufechten.
14.5 Der Auftragnehmer verpflichtet sich, seinen Mitarbeitern und Subunternehmen (Ziffer 7) die vorstehende Verpflichtung im Rahmen der gesetzlichen Möglichkeiten auch für die Zeit nach ihrem Ausscheiden bzw. Beendigung schriftlich aufzuerlegen, soweit dies — insbesondere arbeitsvertraglich — nicht bereits geschehen ist.
15.1 Es gelten die Schlussbestimmungen des Hauptvertrags entsprechend.
15.2 Allgemeine Geschäftsbedingungen des Auftraggebers finden auf diese Vereinbarung keine Anwendung.
Datum des Vertragsabschlusses:
Name des Vertragspartners:
E-Mail-Adresse des Vertragspartners:
DE 
EN 
NL