Bestimmungen zur Auftragsdatenverarbeitung gem. Art. 28 DSGVO

(1) Diese Bestimmungen regeln die Rechte und Pflichten von Auftraggeber und -nehmer im Rahmen einer Verarbeitung von personenbezogenen Daten im Auftrag. Es gelten die Begriffsbestimmungen entsprechend Art. 4 DSGVO.

(2) Der Auftragnehmer erbringt für den Auftraggeber Leistungen auf Grundlage des geschlossenen Hauptvertrages. Dabei erhalten der Auftragnehmer und seine Beschäftigten oder durch den Auftragnehmer Beauftragte Zugriff auf personenbezogene Daten und verarbeiten diese ausschließlich im Auftrag und nach Weisung des Auftraggebers. Umfang und Zweck der Datenverarbeitung durch den Auftragnehmer ergeben sich aus dem Hauptvertrag. Dem Auftraggeber obliegt die Beurteilung der Zulässigkeit der Datenverarbeitung.

(3) Zur Konkretisierung der beiderseitigen datenschutzrechtlichen Rechte und Pflichten schließen die Parteien die vorliegende Vereinbarung. Die Regelungen des vorliegenden Vertrages gehen im Zweifel den Regelungen des Hauptvertrags vor.

(4) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrages, sofern sich aus den nachfolgenden Bestimmungen nicht über die Laufzeit des Hauptvertrages hinausgehende Verpflichtungen ergeben. Sich aus diesem Vertrag ergebende Kündigungsrechte bleiben von der vorstehenden Regelung unberührt.

(5) Die vorliegende Vereinbarung bleibt über das Ende des Hauptvertrags hinaus solange gültig, wie der Auftragnehmer über personenbezogene Daten verfügt, die ihm vom Auftraggeber zugeleitet wurden oder die er für diesen erhoben hat.

(6) Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedstaat der Europäischen Union oder einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.

(1) These provisions govern the rights and obligations of the client and the contractor in connection with the processing of personal data on behalf of the client. The definitions set forth in Article 4 of the GDPR apply.

(2) The Contractor shall provide services to the Client on the basis of the concluded main contract. In doing so, the Contractor and its employees or persons commissioned by the Contractor shall have access to personal data and shall process such data exclusively on behalf of and in accordance with the instructions of the Client. The scope and purpose of the data processing by the Contractor are set forth in the main contract. The Client is responsible for assessing the lawfulness of the data processing.

(3) To specify the mutual rights and obligations under data protection law, the parties enter into this agreement. In case of doubt, the provisions of this agreement shall take precedence over those of the main contract.

(4) The term of this agreement is based on the term of the main contract, unless the following provisions give rise to obligations extending beyond the term of the main contract. Rights of termination arising from this agreement remain unaffected by the foregoing provision.

(5) This agreement shall remain in effect beyond the termination of the main contract for as long as the Contractor holds personal data that was provided to it by the Client or that it collected on the Client's behalf.

(6) The contractually agreed data processing shall be performed exclusively in a Member State of the European Union or another State party to the Agreement on the European Economic Area. Any transfer to a third country requires the prior consent of the Client and may only take place if the specific requirements of Articles 44 et seq. of the GDPR are met.

Zweck der Verarbeitung ist die Bereitstellung und der Betrieb der Plattform (Software-as-a-Service) für die digitale Pathologie – insbesondere Ansicht, Annotation und Analyse histopathologischer Bilddaten (Whole-Slide-Imaging) – einschließlich der Verwaltung von Nutzern, Gruppen und Organisationen.

Im Rahmen der Durchführung des Hauptvertrags erhält der Auftragnehmer Zugriff auf folgende näher spezifizierten personenbezogenen Daten:

The purpose of the processing is the provision and operation of the platform (Software-as-a-Service) for digital pathology—in particular, the viewing, annotation, and analysis of histopathological image data (whole-slide imaging)—including the management of users, groups, and organizations.

As part of the performance of the main contract, the Contractor shall be granted access to the following specifically identified personal data:

3.1 Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Dazu werden die Schutzziele von Art. 32 Abs. 1 DSGVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.

3.2 Die technischen und organisatorischen Maßnahmen entsprechen dem aktuellen Stand der Technik und setzen die Vorgaben zu „Privacy by Design“ und „Privacy by Default“ um.

3.3 Die vereinbarten technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer zukünftig gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren. Eine Darstellung dieser technischen und organisatorischen Maßnahmen erfolgt in Anhang 1 zu diesen Bestimmungen.

3.4 Der Auftraggeber prüft im Vorfeld die Angemessenheit der im Anhang 1 beschriebenen technischen und organisatorischen Maßnahmen. Durch Annahme dieses Vertrages erkennt er diese als angemessen an.

3.1 A level of protection appropriate to the risk to the rights and freedoms of the natural persons affected by the processing is ensured for the specific order processing. To this end, the protection objectives of Article 32(1) of the GDPR—such as the confidentiality, integrity, and availability of the systems and services, as well as their resilience with regard to the nature, scope, context, and purpose of the processing—are taken into account in such a way that the risk is permanently mitigated through appropriate technical and organizational safeguards.

3.2 The technical and organizational measures reflect the current state of the art and implement the principles of “Privacy by Design” and “Privacy by Default.”

3.3 The agreed-upon technical and organizational measures are subject to technical progress and further development. In this regard, the Contractor is permitted to implement alternative, adequate measures in the future. However, the security level of the specified measures must not be compromised. Significant changes must be documented. A description of these technical and organizational measures is provided in Appendix 1 to these provisions.

3.4 The Client shall review in advance the adequacy of the technical and organizational measures described in Appendix 1. By accepting this contract, the Client acknowledges these measures as adequate.

4.1 Der Auftragnehmer unterstützt den Auftraggeber in seinem Verantwortungsbereich und soweit möglich mittels geeigneter technisch-organisatorischer Maßnahmen bei der Beantwortung und Umsetzung von Anträgen betroffener Personen hinsichtlich ihrer Datenschutzrechte.

4.2 Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken.

4.3 Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten. Soweit vom Leistungsumfang umfasst, sind die Rechte auf Auskunft, Berichtigung, Einschränkung der Verarbeitung, Löschung sowie Datenportabilität nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.

4.4 Der Auftraggeber ist Verantwortlicher im Sinne der DSGVO und hat die Rechtmäßigkeit der Verarbeitung personenbezogener Daten sicherzustellen.

4.5 Der Auftraggeber ist für die Einhaltung der datenschutzrechtlichen Vorgaben, insbesondere für die Erfüllung der Betroffenenrechte verantwortlich. Der Auftragnehmer unterstützt dabei auf Aufforderung.

4.1 The Contractor shall assist the Client, within its area of responsibility and to the extent possible, by implementing appropriate technical and organizational measures to respond to and fulfill requests from data subjects regarding their data protection rights.

4.2 The Contractor may not correct, delete, or restrict the processing of data processed on behalf of the Client on its own initiative, but only in accordance with documented instructions from the Client.

4.3 If a data subject contacts the Contractor directly regarding this matter, the Contractor shall forward this request to the Client without delay. To the extent covered by the scope of services, the Contractor shall ensure the rights of access, rectification, restriction of processing, erasure, and data portability directly, in accordance with the Client's documented instructions.

4.4 The Client is the data controller within the meaning of the GDPR and must ensure the lawfulness of the processing of personal data.

4.5 The Client is responsible for compliance with data protection regulations, in particular for fulfilling the rights of data subjects. The Contractor shall provide support in this regard upon request.

5.1 Der Auftragnehmer hat, zusätzlich zu der Einhaltung der Regelungen dieses Vertrags, eigene gesetzliche Pflichten gemäß der DSGVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:

5.2 Die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DSGVO. Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die berechtigterweise Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Auftraggebers verarbeiten, einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind. Der Auftragnehmer verpflichtet sich, sämtliche Mitarbeitende sowie beauftragte Subunternehmer, die mit der Verarbeitung der betreffenden Daten betraut sind, gemäß § 1 Verpflichtungsgesetz (VerpflG) auf die Einhaltung der Geheimschutzregelungen zu verpflichten.

5.3 Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

5.4 Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftraggebers vertraulich zu behandeln. Diese Verpflichtungen müssen so gefasst sein, dass sie auch nach Beendigung dieses Vertrages oder des Beschäftigungsverhältnisses zwischen dem Beschäftigten und dem Auftragnehmer bestehen bleiben. Dem Auftraggeber sind die Verpflichtungen auf Verlangen in geeigneter Weise nachzuweisen.

5.5 Die unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Vertrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.

5.6 Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten, einem anderen Anspruch oder einem Informationsersuchen im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer nach besten Kräften zu unterstützen.

5.7 Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.

5.8 Der Auftragnehmer meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich an den Auftraggeber in der Weise, dass der Auftraggeber seinen gesetzlichen Pflichten, insbesondere nach Art. 33, 34 DSGVO nachkommen kann. Der Auftragnehmer unterstützt den Auftraggeber auf Aufforderung bei der Behandlung von Datenschutzvorfällen. Er fertigt über den gesamten Vorgang eine Dokumentation an, die er dem Auftraggeber für weitere Maßnahmen zur Verfügung stellt.

5.9 Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung, Einschränkung oder Löschung seiner Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.

5.10 Ist der Auftraggeber aufgrund geltender Datenschutzgesetze gegenüber einer betroffenen Person verpflichtet, Auskünfte zur Verarbeitung von Daten dieser Person zu geben, wird der Auftragnehmer den Auftraggeber dabei unterstützen, diese Informationen bereitzustellen, vorausgesetzt der Auftraggeber hat den Auftragnehmer hierzu schriftlich aufgefordert.

5.11 Der Auftragnehmer unterstützt den Auftraggeber in seinem Verantwortungsbereich und soweit möglich im Rahmen bestehender Informationspflichten gegenüber Aufsichtsbehörden und Betroffenen und stellt ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung.

5.12 Der Auftragnehmer und gegebenenfalls sein Vertreter führen ein Verzeichnis zu allen Kategorien von im Auftrag des Auftraggebers durchgeführten Tätigkeiten der Verarbeitung, das alle Angaben gem. Art. 30 Abs. 2 DSGVO enthält. Das Verzeichnis ist dem Auftraggeber auf Anforderung zur Verfügung zu stellen.

5.13 An der Erstellung des Verfahrensverzeichnisses durch den Auftraggeber sowie bei der Erstellung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO und ggf. bei der vorherigen Konsultation der Aufsichtsbehörden gemäß Art. 36 DSGVO hat der Auftragnehmer im angemessenen Umfang mitzuwirken. Er hat dem Auftraggeber die jeweils erforderlichen Angaben in geeigneter Weise mitzuteilen.

5.14 Der Auftragnehmer stellt auf Anforderung dem Auftraggeber die für das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DS-GVO notwendigen Angaben zur Verfügung und führt als Auftragsverarbeiter selbst ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DS-GVO.

5.1 In addition to complying with the provisions of this Agreement, the Contractor has its own legal obligations under the GDPR; in this regard, it shall, in particular, ensure compliance with the following requirements:

5.2 Maintenance of confidentiality in accordance with Art. 28(3), sentence 2, subparagraph (b), Art. 29, and Art. 32(4) of the GDPR. In performing the work, the Contractor shall employ only employees who are bound by confidentiality obligations and who have been made familiar in advance with the data protection provisions relevant to them. The Contractor and any person reporting to the Contractor who has legitimate access to personal data may process such data exclusively in accordance with the Client's instructions, including the authorities granted in this Agreement, unless they are legally obligated to process the data. The Contractor undertakes to require all employees and subcontractors entrusted with the processing of the relevant data to comply with confidentiality regulations in accordance with Section 1 of the Obligations Act (VerpflG).

5.3 Upon request, the Client and the Contractor shall cooperate with the supervisory authority in the performance of its duties.

5.4 The Contractor is obligated to treat as confidential all knowledge of the Client's trade secrets and data security measures obtained within the scope of the contractual relationship. These obligations must be formulated in such a way that they remain in effect even after the termination of this Agreement or the employment relationship between the employee and the Contractor. Upon request, the Client must be provided with appropriate evidence of these obligations.

5.5 The Contractor must immediately inform the Client of any inspections or measures taken by the supervisory authority, to the extent that they relate to this contract. This also applies if a competent authority is investigating the Contractor in connection with administrative or criminal proceedings regarding the processing of personal data in the context of data processing on behalf of the Client.

5.6 To the extent that the Client is itself subject to an inspection by the supervisory authority, administrative or criminal proceedings, a liability claim by a data subject or a third party, any other claim, or a request for information in connection with the data processing performed by the Contractor, the Contractor shall support the Client to the best of its ability.

5.7 The Contractor shall regularly review its internal processes as well as its technical and organizational measures to ensure that processing within its area of responsibility complies with the requirements of applicable data protection law and that the rights of data subjects are safeguarded.

5.8 The Contractor shall immediately report personal data breaches to the Client in such a way that the Client can fulfill its legal obligations, in particular those under Articles 33 and 34 of the GDPR. Upon request, the Contractor shall assist the Client in handling data protection incidents. The Contractor shall prepare documentation of the entire process and make it available to the Client for further action.

5.9 If a data subject contacts the Contractor directly to request the rectification, restriction, or erasure of their data, the Contractor shall forward this request to the Client without delay.

5.10 If the Client is obligated under applicable data protection laws to provide a data subject with information regarding the processing of that person's data, the Contractor shall assist the Client in providing this information, provided that the Client has requested the Contractor to do so in writing.

5.11 The Contractor shall assist the Client within its area of responsibility and, to the extent possible, in fulfilling existing obligations to provide information to supervisory authorities and data subjects, and shall promptly make all relevant information available to the Client in this regard.

5.12 The Contractor and, where applicable, its representative shall maintain a record of all categories of processing activities carried out on behalf of the Client, containing all information required under Article 30(2) of the GDPR. The record shall be made available to the Client upon request.

5.13 The Contractor shall cooperate to an appropriate extent in the Client's preparation of the record of processing activities, as well as in the preparation of a data protection impact assessment pursuant to Article 35 of the GDPR and, where applicable, in the prior consultation with supervisory authorities pursuant to Article 36 of the GDPR. The Contractor shall provide the Client with the necessary information in an appropriate manner.

5.14 Upon request, the Contractor shall provide the Client with the information necessary for the record of processing activities pursuant to Article 30(1) of the GDPR and, as a data processor, shall itself maintain a record of processing activities pursuant to Article 30(2) of the GDPR.

6.1 Im Rahmen dieses Auftrages können auch Daten verarbeitet werden, die unter ein Berufsgeheimnis im Sinne von § 203 StGB fallen. Der Auftragnehmer verpflichtet sich, über Berufsgeheimnisse Stillschweigen zu bewahren und sich nur insoweit Kenntnis von diesen Daten zu verschaffen, wie dies zur Erfüllung der ihm zugewiesenen Aufgaben erforderlich ist. Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich Personen, die an der beruflichen Tätigkeit eines Berufsgeheimnisträgers mitwirken und unbefugt ein fremdes Geheimnis offenbaren, das ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt geworden ist, nach § 203 Abs. 4 S. 1 StGB strafbar machen. Zudem macht sich eine mitwirkende Person nach § 203 Abs. 4 S. 2 StGB strafbar, sollte sie sich einer weiteren mitwirkenden Person bedienen, die ihrerseits unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde.

6.2 Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung von dem Berufsgeheimnis unterliegenden Daten des Auftraggebers befassten Beschäftigten und andere für den Auftragnehmer tätigen Personen (z. B. Subunternehmer), die damit befasst sind, sich in Textform dazu verpflichtet haben, die ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenen Berufsgeheimnisse nicht unbefugt zu offenbaren und sie über die mögliche Strafbarkeit nach § 203 Abs. 4 StGB belehrt wurden. Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich eine mitwirkende Person nach § 203 Abs. 4 S. 2 StGB strafbar macht, sollte sie sich einer weiteren mitwirkenden Person bedienen, die ihrerseits unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, und die mitwirkende Person nicht dafür Sorge getragen hat, dass die weitere mitwirkende Person zur Geheimhaltung verpflichtet wurde.

6.3 Der Auftragnehmer ist berechtigt, Unterauftragnehmer zur Vertragserfüllung heranzuziehen. Dabei sind die Voraussetzungen von Punkt 7 zu beachten. Im Ausland dürfen Unterauftragnehmer zur Vertragserfüllung nur dann herangezogen werden, wenn der dort bestehende Schutz der Geheimnisse dem Schutz im Inland vergleichbar ist. Der Auftragnehmer wird etwaige Unterauftragnehmer sorgfältig auswählen und diese, soweit sie im Rahmen ihrer Tätigkeit Kenntnis von fremden Geheimnissen im Sinne dieser Vereinbarung erlangen könnten, zur Geheimhaltung verpflichten. Der Auftragnehmer wird ferner etwaige Unterauftragnehmer dazu verpflichten, sämtliche von diesen eingesetzten Personen und etwaige weitere Unterauftragnehmer, die bestimmungsgemäß mit Geheimnisschutzdaten in Berührung kommen oder bei denen dies nicht auszuschließen ist, nach den zuvor genannten Grundsätzen zur Verschwiegenheit zu verpflichten und über die Folgen einer Pflichtverletzung zu belehren. Des Weiteren werden Subunternehmer über das bestehende Schweigerecht gemäß § 53a StPO sowie den Beschlagnahmeschutz gemäß § 97 StPO informiert; dies beinhaltet auch den Hinweis bzgl. des Rechts des Berufsgeheimnisträgers, über dieses Recht zu entscheiden und der damit verbundenen Pflicht des Auftragnehmers, unverzüglich den Auftraggeber bzgl. der Wahrnehmung dieser Rechte zu kontaktieren. Diese Verpflichtung gilt für sämtliche weitere Unterbeauftragungen.

6.4 Der Auftragnehmer wird darauf hingewiesen, dass Daten, die er im Auftrag eines Berufsgeheimnisträgers verarbeitet, u. U. dem Zeugnisverweigerungsrecht von sogenannten mitwirkenden Personen gem. § 53a StPO unterliegen. Entsprechend § 53a StPO entscheidet jedoch der Berufsgeheimnisträger über die Ausübung des Schweigerechts. Im Falle einer Befragung wird der Auftragnehmer unter Hinweis auf § 53a StPO dieser widersprechen und unverzüglich den Auftraggeber informieren, der daraufhin bzgl. der Wahrnehmung des Schweigerechts entscheidet.

6.5 Der Auftragnehmer wird darauf hingewiesen, dass die in seinem Gewahrsam befindlichen Geheimnisschutzdaten dem Beschlagnahmeverbot gemäß § 97 Abs. 2 StPO unterliegen. Die Daten dürfen nicht ohne das Einverständnis des Auftraggebers (Berufsgeheimnisträger) herausgegeben werden. Im Falle einer Beschlagnahme wird der Auftragnehmer dieser widersprechen und unverzüglich den Auftraggeber informieren.

6.1 Within the scope of this engagement, data subject to professional secrecy within the meaning of Section 203 of the German Criminal Code (StGB) may also be processed. The Contractor undertakes to maintain confidentiality regarding professional secrets and to obtain knowledge of such data only to the extent necessary to fulfill the tasks assigned to it. The Client hereby informs the Contractor that persons who assist a professional bound by professional secrecy in the performance of their professional duties and who, without authorization, disclose another person's secret that has come to their knowledge in the course of or in connection with their activities are liable to prosecution under Section 203(4), sentence 1, of the German Criminal Code (StGB). Furthermore, a participating person is liable to prosecution under Section 203(4), sentence 2, of the German Criminal Code (StGB) if they make use of another participating person who, in turn, discloses without authorization a third party's secret that became known to them in the course of or in connection with their professional activities, and the participating person has failed to ensure that the other person was bound by a duty of confidentiality.

6.2 The Contractor shall ensure that all employees involved in the processing of the Client's data subject to professional secrecy, as well as other persons working for the Contractor (e.g., subcontractors) involved in such processing have undertaken in writing not to disclose without authorization any professional secrets that have come to their knowledge in the course of or in connection with their work, and have been informed of the potential criminal liability under Section 203(4) of the German Criminal Code (StGB). The client hereby informs the contractor that, pursuant to Section 203(4), sentence 2, of the German Criminal Code (StGB), a participating person is liable to prosecution if they enlist the assistance of another participating person who, in turn, unauthorizedly discloses a third party's secret that has come to their knowledge in the course of or in connection with their work, and the participating person has not ensured that the other participating person was bound by a duty of confidentiality.

6.3 The Contractor is entitled to engage subcontractors to fulfill the contract. In doing so, the requirements set forth in Section 7 must be observed. Subcontractors may be engaged abroad to fulfill the contract only if the protection of trade secrets in that country is comparable to that in Germany. The Contractor shall carefully select any subcontractors and shall require them to maintain confidentiality to the extent that they may gain knowledge of third-party confidential information within the meaning of this Agreement in the course of their work. The Contractor shall further require any subcontractors to oblige all persons employed by them and any other subcontractors who, in the ordinary course of their duties, come into contact with confidential data or for whom such contact cannot be ruled out, to maintain confidentiality in accordance with the aforementioned principles and to inform them of the consequences of a breach of this obligation. Furthermore, subcontractors will be informed of their existing right to remain silent pursuant to Section 53a of the German Code of Criminal Procedure (StPO) and their protection against seizure pursuant to Section 97 StPO; this also includes a notice regarding the right of the holder of professional secrecy to decide on the exercise of this right and the Contractor's associated obligation to immediately contact the Client regarding the exercise of these rights. This obligation applies to all further subcontracting.

6.4 The contractor is advised that data processed on behalf of a person bound by professional secrecy may be subject to the right to refuse to testify of so-called “participating persons” pursuant to § 53a StPO. However, pursuant to § 53a StPO, the person bound by professional secrecy decides whether to exercise the right to remain silent. In the event of questioning, the contractor shall object with reference to § 53a of the German Code of Criminal Procedure (StPO) and shall immediately inform the client, who shall then decide whether to exercise the right to remain silent.

6.5 The contractor is advised that the confidential data in its custody is subject to the prohibition on seizure pursuant to § 97(2) of the Code of Criminal Procedure (StPO). The data may not be disclosed without the consent of the client (holder of professional secrecy). In the event of a seizure, the contractor will object to it and immediately inform the client.

7.1 Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer in Anspruch nimmt, z.B. Telekommunikationsleistungen, Post-Transport-Dienstleistungen, Reinigungsleistungen. Wartungs- und Prüfleistungen stellen dann ein Unterauftragsverhältnis dar, wenn sie für IT-Systeme erbracht werden, die im Zusammenhang mit einer Leistung des Auftragnehmers nach diesem Vertrag erbracht werden. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.

7.2 Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher schriftlicher bzw. dokumentierter Zustimmung des Auftraggebers beauftragen. Dies gilt in gleicher Weise für den Fall, dass weitere Unterauftragsverhältnisse durch Unterauftragnehmer begründet werden.

7.3 Zum Zeitpunkt des Abschlusses dieses Vertrages sind die in der Anlage 2 aufgeführten Unternehmen als Unterauftragnehmer für Teilleistungen für den Auftragnehmer tätig und verarbeiten in diesem Zusammenhang auch unmittelbar die Daten des Auftraggebers. Für diese Unterauftragnehmer gilt die Einwilligung für das Tätigwerden als erteilt.

7.4 Im Sinne von 7.2. erteilt der Auftraggeber hiermit die allgemeine Genehmigung zum Einsatz von Subunternehmern sowie zum Wechsel bestehender Subunternehmer, soweit: der Auftragnehmer eine solche Auslagerung auf Unterauftragnehmer dem Auftraggeber in einer angemessenen Zeit, die 14 Tage nicht unterschreiten darf, vorab schriftlich oder in Textform anzeigt, der Auftraggeber nicht innerhalb von 14 Tagen gegenüber dem Auftragnehmer schriftlich oder in Textform Einspruch gegen die geplante Auslagerung erhebt, und eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2–4 DSGVO zugrunde gelegt wird.

7.5 Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestattet. Die Einhaltung und Umsetzung der technisch-organisatorischen Maßnahmen beim Unterauftragnehmer wird unter Berücksichtigung des Risikos beim Unterauftragnehmer vorab der Verarbeitung personenbezogener Daten und sodann regelmäßig durch den Auftragnehmer kontrolliert. Der Auftragnehmer stellt dem Auftraggeber die Kontrollergebnisse auf Anfrage zur Verfügung. Der Auftragnehmer stellt ferner sicher, dass der Auftraggeber seine Rechte aus dieser Vereinbarung (insbesondere seine Kontrollrechte) auch direkt gegenüber den Unterauftragnehmern wahrnehmen kann.

7.1 For the purposes of this provision, subcontracting relationships are defined as services that are directly related to the performance of the main service. This does not include ancillary services utilized by the Contractor, such as telecommunications services, postal and transportation services, and cleaning services. Maintenance and testing services constitute a subcontracting relationship if they are provided for IT systems that are used in connection with a service provided by the Contractor under this contract. However, the Contractor is obligated to enter into appropriate and legally compliant contractual agreements and to implement control measures to ensure the data protection and data security of the Client's data, even in the case of outsourced ancillary services.

7.2 The Contractor may engage subcontractors (additional data processors) only with the Client's prior express written or documented consent. This applies equally in the event that further subcontracting relationships are established by subcontractors.

7.3 As of the date of execution of this Agreement, the companies listed in Annex 2 are acting as subcontractors for the Contractor in connection with partial services and, in this context, also directly process the Client's data. Consent for these subcontractors to perform their services is hereby deemed to have been granted.

7.4 Pursuant to Section 7.2, the Client hereby grants general authorization for the use of subcontractors and for the replacement of existing subcontractors, provided that: the Contractor notifies the Client in advance, in writing or in text form, of such outsourcing to subcontractors within a reasonable period of time, which must not be less than 14 days, the Client does not object to the planned outsourcing in writing or in text form to the Contractor within 14 days, and a contractual agreement is based on the provisions of Article 28(2)–(4) of the GDPR.

7.5 The transfer of the Client's personal data to the subprocessor and the subprocessor's initial performance of services are permitted only once all requirements for subcontracting have been met. The Contractor shall monitor the subprocessor's compliance with and implementation of technical and organizational measures, taking into account the risk posed by the subprocessor, prior to the processing of personal data and thereafter on a regular basis. The Contractor shall make the results of these checks available to the Client upon request. The Contractor shall further ensure that the Client can exercise its rights under this Agreement (in particular its rights of supervision) directly against the subprocessors.

8.1 Jede Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation bedarf einer dokumentierten Weisung des Auftraggebers und bedarf der Einhaltung der Vorgaben zur Übermittlung personenbezogener Daten in Drittländer nach Kapitel V der DSGVO.

8.2 Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt.

8.1 Any transfer of personal data to a third country or to an international organization requires a documented instruction from the Client and must comply with the requirements for the transfer of personal data to third countries set forth in Chapter V of the GDPR.

8.2 The contractually agreed data processing shall be performed exclusively in a member state of the European Union or in another state party to the Agreement on the European Economic Area.

9.1 Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb während der üblichen Geschäftszeiten zu überzeugen.

9.2 Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragsnehmers nach Art. 28 DSGVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technisch-organisatorischen Maßnahmen nachzuweisen.

9.3 Der Nachweis der technisch-organisatorischen Maßnahmen zur Einhaltung der besonderen Anforderungen des Datenschutzes allgemein sowie solche, die den Auftrag betreffen, kann erfolgen durch eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach DIN ISO 27001).

9.1 The Client has the right, in consultation with the Contractor, to conduct audits or to have them conducted by auditors to be designated on a case-by-case basis. The Client has the right to verify, through random spot checks—which must generally be announced in advance—that the Contractor is complying with this Agreement in the course of its business operations during normal business hours.

9.2 The Contractor shall ensure that the Client can verify the Contractor's compliance with its obligations under Article 28 of the GDPR. The Contractor undertakes to provide the Client with the necessary information upon request and, in particular, to demonstrate the implementation of the technical and organizational measures.

9.3 Proof of the technical and organizational measures taken to comply with the specific data protection requirements in general, as well as those pertaining to the contract, may be provided through appropriate certification via an IT security or data protection audit (e.g., in accordance with DIN ISO 27001).

10.1 Der Auftragnehmer verarbeitet personenbezogene Daten nur auf Basis dokumentierter Weisungen des Auftraggebers, es sei denn er ist nach dem Recht des Mitgliedstaats oder nach Unionsrecht zu einer Verarbeitung verpflichtet. Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder per E-Mail (in Textform) bestätigen. Der Auftragnehmer notiert sich Datum, Uhrzeit und Person, welche die mündliche Weisung erteilte, sowie den Grund, warum keine schriftliche Beauftragung erfolgen konnte. Die anfänglichen Weisungen des Auftraggebers werden durch diesen Vertrag festgelegt.

10.2 Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

10.1 The Contractor shall process personal data only on the basis of documented instructions from the Client, unless the Contractor is obligated to process such data under the law of a Member State or under Union law. The Client shall immediately confirm verbal instructions in writing or by email (in text form). The Contractor shall record the date, time, and person who issued the verbal instruction, as well as the reason why a written instruction could not be provided. The Client's initial instructions are set forth in this Agreement.

10.2 The Contractor must immediately inform the Client if it believes that an instruction violates data protection regulations. The Contractor is entitled to suspend the execution of the relevant instruction until it is confirmed or amended by the Client.

11.1 Während der laufenden Beauftragung berichtigt, sperrt oder löscht der Auftragnehmer die vertragsgegenständlichen Daten nur auf Anweisung des Auftraggebers. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber zur Freigabe weiterleiten.

11.2 Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

11.3 Zum Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Auftraggeber – spätestens aber mit Beendigung der Leistungsvereinbarung – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial.

11.1 During the term of the engagement, the Contractor shall correct, block, or delete the data covered by the contract only upon instruction from the Client. If a data subject contacts the Contractor directly regarding this matter, the Contractor shall immediately forward this request to the Client for approval.

11.2 Copies or duplicates of the data shall not be created without the Client's knowledge. Exceptions to this are backup copies, to the extent they are necessary to ensure proper data processing, as well as data required to comply with statutory retention obligations.

11.3 Upon completion of the contractually agreed-upon work or earlier upon request by the Client—but no later than the termination of the service agreement—the Contractor shall either hand over to the Client all documents that have come into its possession, all processing and usage results produced, and all data sets related to the contractual relationship, or, upon prior consent, destroy them in accordance with data protection regulations. The same applies to test and scrap material.

12.1 Für Änderungen und/oder Ergänzungen dieser Vereinbarung ist ein dokumentiertes elektronisches Format erforderlich.

12.2 Sollten sich einzelne Bestimmungen dieses Vertrages ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen der Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden, bleiben die übrigen Vertragsbestimmungen und die Wirksamkeit des Vertrages im Ganzen hiervon unberührt.

12.3 Ausschließlicher Gerichtsstand für alle Streitigkeiten, die sich aus oder im Zusammenhang mit dieser Vereinbarung ergeben, ist – soweit rechtlich zulässig – Jena.

12.1 Any amendments and/or additions to this agreement must be made in a documented electronic format.

12.2 Should any individual provisions of this agreement prove to be wholly or partially invalid or unenforceable, or become invalid or unenforceable as a result of changes in legislation after the conclusion of the agreement, the remaining provisions of the agreement and the validity of the agreement as a whole shall remain unaffected.

12.3 The exclusive venue for all disputes arising out of or in connection with this Agreement shall be—to the extent permitted by law—Jena.