Der „GDPRLocal Master Service Agreement“ und die darin enthaltenen zusätzlichen Bedingungen regeln unsere Produkte, Dienstleistungen und Kundenbeziehungen.
Es bestehen keine Verpflichtungen zum Kauf von Dienstleistungen. Für die Anmeldung ist keine Kreditkarte erforderlich, und nach der Registrierung können Dienstleistungen jederzeit erworben und aktiviert werden.
Dieser Anhang ist Bestandteil des Rahmenvertrags über Dienstleistungen („Vertrag“) zwischen dem Kunden (in seiner Eigenschaft als „Verantwortlicher“) und GDPRLocal Ltd („GDPRLocal“). Er legt den Umfang der von GDPRLocal zu erbringenden Dienstleistungen des Datenschutzbeauftragten („DSB“) fest. Die in diesem Anhang verwendeten Begriffe haben dieselbe Bedeutung wie im Rahmenvertrag oder in der Datenschutz-Grundverordnung (EU 2016/679) („DSGVO“).
In diesem Anhang beziehen sich Verweise auf den „Verantwortlichen“ auf den Kunden, der in seiner Eigenschaft als Verantwortlicher im Sinne der DSGVO handelt.
1. Leistungsumfang
1.1 Ernennung. Der Verantwortliche ernennt GDPRLocal gemäß Artikel 37 DSGVO zu seinem externen Datenschutzbeauftragten („DSB“). GDPRLocal nimmt diese Ernennung an und verpflichtet sich, die in diesem Anhang beschriebenen DSB-Dienstleistungen in Übereinstimmung mit der DSGVO zu erbringen.
1.2 Aufgaben des Datenschutzbeauftragten. Gemäß Artikel 39 DSGVO hat GDPRLocal folgende Aufgaben:
Der Datenschutzbeauftragte hat bei der Wahrnehmung seiner Aufgaben das mit den Verarbeitungsvorgängen verbundene Risiko gebührend zu berücksichtigen, wobei er die Art, den Umfang, den Kontext und die Zwecke der Verarbeitung zu berücksichtigen hat.
1.3 Zusätzliche Leistungen. Alle vom Verantwortlichen angeforderten Leistungen, die über den Umfang der in diesem Anhang beschriebenen DSB-Leistungen hinausgehen, können gemäß dem Rahmenvertrag über Dienstleistungen als abrechnungsfähige Zusatzleistungen und Aufgaben in Auftrag gegeben werden.
2. Unabhängigkeit des Datenschutzbeauftragten
2.1 Unabhängigkeit. Die Parteien erkennen ausdrücklich an und vereinbaren, dass:
2.2 Interessenkonflikt. Der Verantwortliche stellt sicher, dass zusätzliche Aufgaben, die GDPRLocal übertragen werden, nicht zu einem Konflikt mit den Aufgaben des Datenschutzbeauftragten führen oder dessen Unabhängigkeit beeinträchtigen, gemäß Artikel 38 Absatz 6 DSGVO.
3. Leistungsumfänge und zu erbringende Leistungen
3.1 Erbringung der Dienstleistungen. GDPRLocal erbringt die in diesem Anhang beschriebenen Dienstleistungen in Abständen, die zwischen dem Kundenansprechpartner (der im Kundenprofil angegeben ist) und GDPRLocal vereinbart wurden, unter Berücksichtigung der Art, des Umfangs, des Kontexts und des Risikoprofils der Verarbeitungsvorgänge des Verantwortlichen.
3.2 Beratung und Berichterstattung. GDPRLocal erbringt Beratungsleistungen, gibt Empfehlungen ab und erstellt Berichte innerhalb angemessener Fristen, die von Zeit zu Zeit zwischen den Parteien vereinbart werden, wobei die Komplexität und Dringlichkeit der Angelegenheit berücksichtigt werden.
4. Pflichten des Verantwortlichen
Zusätzlich zu den in MSA § 6 festgelegten Verpflichtungen hat der Verantwortliche folgende Pflichten:
4.1 GDPRLocal die Ressourcen sowie den Zugang zu Informationen, Systemen und Personal zur Verfügung zu stellen, die für die Erbringung der Dienstleistungen gemäß Artikel 38 Absatz 2 DSGVO angemessen erforderlich sind. Der Verantwortliche hat sicherzustellen, dass GDPRLocal rechtzeitig in alle Projekte oder Änderungen einbezogen wird, die die Verarbeitung personenbezogener Daten betreffen;
4.2 GDPRLocal unverzüglich über (a) jede vermutete oder tatsächliche Datenschutzverletzung; (b) jede Mitteilung einer Aufsichtsbehörde; und (c) jeden Antrag einer betroffenen Person im Zusammenhang mit Rechten gemäß der DSGVO zu informieren;
4.3 die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen und sie der Aufsichtsbehörde gemäß Artikel 37 Absatz 7 DSGVO unter Verwendung der im Anhang zu diesem Anhang aufgeführten Kontaktdaten mitzuteilen sowie diese Angaben unverzüglich zu aktualisieren, sobald GDPRLocal schriftlich über etwaige Änderungen informiert.
5. Leistungen, die nicht unter den Geltungsbereich fallen
5.1 Die Dienstleistungen beschränken sich auf die in Ziffer 1.2 beschriebenen gesetzlichen Aufgaben des Datenschutzbeauftragten. Die Dienstleistungen umfassen keine Rechtsberatung, keine Rechtsgutachten und keine rechtliche Vertretung in Rechtsstreitigkeiten, behördlichen Verfahren oder sonstigen formellen Verfahren. Ist eine Rechtsberatung oder Vertretung erforderlich, sollte der Verantwortliche unabhängigen Rechtsbeistand einholen.
5.2 Die Rolle von GDPRLocal im Zusammenhang mit Anträgen auf Ausübung der Rechte betroffener Personen ist beratender und überwachender Natur. Die operative Bearbeitung und Erfüllung von Anträgen auf Ausübung der Rechte betroffener Personen, einschließlich Auskunftsrecht, Recht auf Löschung und Recht auf Datenübertragbarkeit, liegt weiterhin in der alleinigen Verantwortung des Verantwortlichen.
5.3 Alle Leistungen, die über den gesetzlichen Aufgabenbereich des Datenschutzbeauftragten hinausgehen, einschließlich der operativen Umsetzung von Compliance-Maßnahmen oder einer umfassenderen Datenschutzberatung, können gemäß dem Rahmenvertrag über Dienstleistungen als abrechnungsfähige Zusatzleistungen und Aufgaben in Auftrag gegeben werden.
6. Vertraulichkeit (Dienstleistungsspezifische Ergänzung zu MSA §7)
6.1 Die Parteien erkennen ausdrücklich an, dass GDPRLocal in seiner Eigenschaft als Datenschutzbeauftragter gemäß Artikel 38 Absatz 5 DSGVO der Geheimhaltungspflicht hinsichtlich der Wahrnehmung seiner Aufgaben als Datenschutzbeauftragter unterliegt. Diese Verpflichtung gilt unabhängig von und zusätzlich zu den gegenseitigen Geheimhaltungsverpflichtungen gemäß § 7 des Rahmenvertrags. Insbesondere gilt Folgendes:
7. Haftung und Freistellung (Dienstleistungsspezifische Ergänzung zu MSA § 10 / § 11)
7.1 Anerkennungen. Die Parteien erkennen an und vereinbaren Folgendes:
7.2 Haftungsbeschränkung (dienstleistungsspezifisch).
7.2.1 Vorbehaltlich der Ziffer 7.4 darf die Gesamthaftung einer der Parteien gemäß diesem Anhang die Gesamtsumme der Gebühren nicht übersteigen, die der Verantwortliche im Zusammenhang mit dem DSB-Service in den zwölf (12) Monaten unmittelbar vor dem Ereignis, das den Anspruch begründet, an GDPRLocal gezahlt hat oder zu zahlen hat.
7.2.2 Keine der Parteien haftet für indirekte, Folge-, Sonder- oder Strafschäden.
7.2.3 GDPRLocal übernimmt keine Haftung für: Verluste, die sich aus der Nichtumsetzung der Empfehlungen des Datenschutzbeauftragten durch den Verantwortlichen ergeben; behördliche Feststellungen, Geldbußen oder Durchsetzungsmaßnahmen, die sich aus den Verarbeitungsaktivitäten des Verantwortlichen ergeben; Verluste, die auf unrichtige, unvollständige oder irreführende Informationen zurückzuführen sind, die GDPRLocal zur Verfügung gestellt wurden; Verluste, die darauf zurückzuführen sind, dass der Verantwortliche die Bestimmungen der Ziffern 2.2 und 4 nicht eingehalten hat.
7.3 Haftungsfreistellung.
7.3.1 Der Verantwortliche stellt GDPRLocal von jeglichen Verlusten, Kosten, Ansprüchen, Schäden, Geldbußen oder behördlichen Sanktionen (einschließlich angemessener Rechtskosten) frei, die sich ergeben aus: jeglichen Ansprüchen einer Aufsichtsbehörde oder eines Dritten, die darauf zurückzuführen sind, dass der Verantwortliche die angemessenen Empfehlungen des Datenschutzbeauftragten von GDPRLocal nicht umgesetzt hat oder dass der Verantwortliche gegen geltendes Recht verstoßen hat; jeder Forderung, die sich aus einer vom Verantwortlichen durchgeführten Verarbeitung ergibt, zu der GDPRLocal eine schriftliche Empfehlung abgegeben hat, die nicht befolgt wurde; der Nichterfüllung der Verpflichtungen des Verantwortlichen gemäß den Ziffern 2.2 und 4.
7.3.2 Die Haftungsfreistellung gilt nicht, soweit der betreffende Schaden unmittelbar und überwiegend auf grobe Fahrlässigkeit oder vorsätzliches Fehlverhalten seitens GDPRLocal zurückzuführen ist. Zur Klarstellung: Die von GDPRLocal in gutem Glauben vorgenommene unabhängige Beurteilung als Datenschutzbeauftragter (einschließlich aller Empfehlungen, Bewertungen oder Stellungnahmen, die im Rahmen der Ausübung der gesetzlich vorgeschriebenen Aufgaben als Datenschutzbeauftragter abgegeben werden) stellt keine Fahrlässigkeit oder kein Fehlverhalten dar.
7.4 Ausnahmen von der Haftungsbegrenzung. Die in Ziffer 7.2 festgelegte Haftungsbegrenzung gilt nicht für: Tod oder Körperverletzung aufgrund von Fahrlässigkeit; Betrug oder arglistige Täuschung; sonstige Haftungsfälle, die nach geltendem Recht nicht beschränkt werden können.
7.5 Berufshaftpflichtversicherung. GDPRLocal muss während der gesamten Laufzeit eine Berufshaftpflichtversicherung mit einer Deckungssumme von mindestens 1.000.000 £ pro Schadensfall und insgesamt pro Versicherungsjahr unterhalten. Ein entsprechender Nachweis ist auf begründete schriftliche Anfrage hin vorzulegen.
8. Laufzeit und Kündigung (dienstspezifisch)
8.1 Laufzeit. Dieser Anhang tritt am Datum des Dienstbeginns in Kraft und gilt für eine anfängliche Laufzeit von zwölf (12) Monaten („anfängliche Laufzeit“), sofern er nicht gemäß dieser Klausel 8 oder § 12 des Rahmenvertrags vorzeitig gekündigt wird. Er verlängert sich automatisch um jeweils zwölf Monate, sofern nicht mindestens neunzig (90) Tage vor Ablauf der jeweils laufenden Laufzeit eine Kündigung ausgesprochen wird.
8.2 Kündigung aus Beliebigkeit. Ungeachtet § 12.3 des Rahmenvertrags kann jede Partei diesen Anhang unter Einhaltung einer schriftlichen Kündigungsfrist von mindestens neunzig (90) Tagen kündigen, wobei dieses Recht erst nach Ablauf der anfänglichen Laufzeit ausgeübt werden kann und den behördlichen Meldepflichten gemäß Ziffer 8.5 unterliegt.
8.3 Kündigung aus wichtigem Grund.
8.3.1 Die Kündigung aus wichtigem Grund richtet sich nach § 12.2 des MSA (wesentlicher Vertragsverstoß, Insolvenz, Einstellung der Geschäftstätigkeit) sowie nach den zusätzlichen dienstleistungsspezifischen Bestimmungen in dieser Ziffer 8.3.
8.3.2 Der Verantwortliche kann diesen Anhang nur dann mit sofortiger Wirkung kündigen, wenn festgestellt wird, dass GDPRLocal bei der unmittelbaren Erfüllung seiner Aufgaben als Datenschutzbeauftragter gemäß diesem Anhang bösgläubig gehandelt oder seine beruflichen Pflichten schwerwiegend und vorsätzlich verletzt hat, sofern dies durch eine rechtskräftige, nicht anfechtbare Entscheidung eines zuständigen Gerichts oder einer Aufsichtsbehörde festgestellt wurde. Diese Einschränkung ist erforderlich, um Artikel 38 Absatz 3 DSGVO umzusetzen.
8.3.3 GDPRLocal kann diesen Anhang mit sofortiger Wirkung kündigen, wenn (a) der Verantwortliche wiederholt die angemessenen Empfehlungen von GDPRLocal nicht umsetzt, sodass eine Fortsetzung der Leistung eine weiterhin wesentliche Nichteinhaltung der Vorschriften bei der Datenverarbeitung erfordern würde; (b) der Verantwortliche versucht, GDPRLocal in einer Weise Anweisungen zu erteilen, die die gemäß Artikel 38 Absatz 3 DSGVO erforderliche Unabhängigkeit beeinträchtigen würde; oder (c) der Verantwortliche unbestrittene Gebühren nicht innerhalb von 30 Tagen nach Fälligkeit bezahlt und den Mangel nicht innerhalb von 15 Tagen nach schriftlicher Aufforderung behebt.
8.4 Folgen der Kündigung. GDPRLocal erstellt innerhalb von 15 Werktagen einen schriftlichen Übergabbericht, der offene Angelegenheiten des Datenschutzbeauftragten, anhängige Korrespondenz mit Aufsichtsbehörden und offene DSAR-Anfragen umfasst (beschränkt auf zum Zeitpunkt der Kündigung laufende Angelegenheiten, keine neuen Aufgaben). Eine Übergangsphase der Zusammenarbeit mit einem neuen Datenschutzbeauftragten für bis zu 30 Tage zu den Standardtarifen von GDPRLocal, vorbehaltlich der Begleichung ausstehender Gebühren. Innerhalb von 30 Tagen Rückgabe oder Vernichtung vertraulicher Informationen auf schriftliche Anfrage (vorbehaltlich gesetzlicher Aufbewahrungsausnahmen). Die Klauseln 6, 7 und 8.4 bleiben auch nach Beendigung des Vertrags bestehen.
8.5 Aufsichtsrechtlicher Hinweis. Die Parteien arbeiten zusammen, um sicherzustellen, dass die Beendigung dieses Anhangs unter Einhaltung aller geltenden Anforderungen der Aufsichtsbehörden erfolgt, einschließlich der Benachrichtigung der zuständigen Aufsichtsbehörde über die Beendigung der Bestellung des Datenschutzbeauftragten, der Aktualisierung der veröffentlichten Kontaktdaten des Datenschutzbeauftragten sowie etwaiger Registrierungen bei den Aufsichtsbehörden und der Gewährleistung, dass der Verantwortliche während eines etwaigen vorgeschriebenen Bestellungszeitraums nicht ohne einen rechtmäßig bestellten Datenschutzbeauftragten tätig ist.
Der Verantwortliche übernimmt die alleinige Verantwortung dafür, dass die Ernennung seines Datenschutzbeauftragten auch nach Beendigung dieses Anhangs fortbesteht.
__________________________________________________
Hinweis: Diese Leistungsbeschreibung („SOW“) ist dem Dienstleistungsanhang 4 (Dienstleistungen des Datenschutzbeauftragten) beigefügt und bildet einen Bestandteil desselben; dieser wiederum ist Bestandteil des Rahmenvertrags über Dienstleistungen („MSA“) zwischen [Firmenname] (dem „Verantwortlichen“) und GDPRLocal Ltd („GDPRLocal“). Großgeschriebene Begriffe haben dieselbe Bedeutung wie im Anhang oder im MSA.
Gültigkeitsdatum: Das Datum, an dem die DPO-Dienste gemäß dem Dienstaktivierungsprotokoll aktiviert werden.
Anfängliche Laufzeit: 12 Monate ab dem Datum des Inkrafttretens, mit automatischer Verlängerung gemäß Anhang 4 § 8.1.
| Firmenname | [Firmenname] |
| Ansprechpartner | [Ansprechpartner] |
| E-Mail-Adresse für Kontaktanfragen | [E-Mail-Adresse] |
| Kontaktnummer | [Kontaktnummer] |
| Als Datenschutzbeauftragter benannte Stelle | GDPRLocal GmbH |
| Eingetragener Firmensitz | Suite im 1. Stock auf der Vorderseite, 27–29 North Street, Brighton, England BN1 1EB |
| [email protected] | |
| Tel. | +44 1772 217 800 |
Im Folgenden werden die im Rahmen dieser Leistungsbeschreibung zu erbringenden Datenschutzbeauftragten-Dienstleistungen dargelegt.
| DPO-Servicee | Zu den Dienstleistungen gehörend |
| Den Verantwortlichen, dessen Geschäftsleitung und Mitarbeiter über ihre Verpflichtungen gemäß der DSGVO informieren und beraten. | Laufend während der gesamten Vertragslaufzeit. |
| Überwachung der Einhaltung der DSGVO sowie der Datenschutzrichtlinien und -verfahren des Verantwortlichen durch den Verantwortlichen, unter anderem durch regelmäßige Compliance-Prüfungen, interne Audits und die Überprüfung der einschlägigen Datenschutzdokumentation. | Eine erste Compliance-Prüfung zu Beginn des Auftrags sowie eine jährliche Compliance-Prüfung, die spätestens bis zum Ende jedes Vertragsjahres abzuschließen ist. |
| Überprüfung und Aktualisierung der Aufzeichnungen des für die Datenverarbeitung Verantwortlichen über die Verarbeitungsvorgänge im Rahmen der laufenden Überwachung der Einhaltung der Vorschriften. | Einmal pro Vertragsjahr, wobei die Angaben innerhalb eines Kalendermonats nach Bekanntgabe wesentlicher neuer oder geänderter Verarbeitungsvorgänge zu aktualisieren sind. Die Vorlage „Aufzeichnungen über Verarbeitungsvorgänge“ ist beigefügt. |
| Den Verantwortlichen hinsichtlich des Schulungsbedarfs der Mitarbeiter im Zusammenhang mit der Einhaltung der Datenschutzvorschriften beraten und, sofern dies ausdrücklich vereinbart wurde, Maßnahmen zur Sensibilisierung unterstützen. | Eine Bedarfsanalyse für Schulungen pro Vertragsjahr, die in einer Richtlinie und einem Plan zur Mitarbeiterschulung dokumentiert ist. |
| Beratung zu Datenschutz-Folgenabschätzungen (DPIA) und gegebenenfalls zu anderen Datenschutz-Risikobewertungen leisten sowie deren Durchführung überwachen. | Strategische Beratung zur Datenschutz-Folgenabschätzung (DPIA) auf der Grundlage der anfänglichen Konformitätsprüfung, die jährlich aktualisiert wird. Strategische Beratung zur DPIA bei der Meldung einer geplanten neuen oder geänderten Verarbeitungsaktivität oder eines neuen oder geänderten Verarbeitungssystems. *Die Erstellung von DPIAs fällt nicht in den Umfang dieser Dienstleistungen und gilt als Zusatzleistung (Aufgabenrahmen, MSA §5.5). |
| Als Ansprechpartner für betroffene Personen bei Fragen im Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten und der Ausübung ihrer Rechte gemäß der DSGVO fungieren, unter anderem indem der für die Verarbeitung Verantwortliche bei Bedarf bei der Bearbeitung von Anträgen betroffener Personen auf Ausübung ihrer Rechte angeleitet wird. | Die Kontaktdaten des Datenschutzbeauftragten werden den betroffenen Personen zur Verfügung gestellt. Der Zugriff auf den „Privacy Manager“ über das GDPRLocal-Portal ist inbegriffen. Die operative Bearbeitung und Erfüllung von Anträgen betroffener Personen auf Ausübung ihrer Rechte – einschließlich Auskunft, Löschung und Datenübertragbarkeit – liegt weiterhin in der alleinigen Verantwortung des Verantwortlichen. *Die direkte Unterstützung des Verantwortlichen bei der Verwaltung von Angelegenheiten im Zusammenhang mit Datenschutzrechten fällt nicht in den Umfang dieser Dienstleistungen und gilt als Zusatzleistung. |
| Als Ansprechpartner für die zuständige Aufsichtsbehörde in Fragen der Verarbeitung personenbezogener Daten fungieren und bei Bedarf mit der Aufsichtsbehörde zusammenarbeiten. | Die Kontaktdaten des Datenschutzbeauftragten werden den zuständigen Aufsichtsbehörden zur Verfügung gestellt. Eine erste Beratung in regulatorischen Fragen ist darin enthalten. *Die direkte Unterstützung des Verantwortlichen bei der Bearbeitung von Anfragen der Aufsichtsbehörden fällt nicht in den Umfang dieser Dienstleistungen und gilt als Zusatzleistung. |
| Beraten Sie den Verantwortlichen bei Bedarf hinsichtlich der Meldepflichten bei Datenschutzverletzungen gemäß den Artikeln 33 und 34 DSGVO, nachdem eine vermutete oder bestätigte Datenschutzverletzung gemeldet wurde. | Zugang zum „Data Breach Manager“ auf dem GDPRLocal-Portal ist enthalten. Erste Beratung bei Meldung eines vermuteten oder bestätigten Verstoßes gegen den Datenschutz. Vorlage für eine Richtlinie zu Datenschutzverletzungen ist enthalten. *Die direkte Unterstützung des Verantwortlichen bei der Bewältigung von Datenschutzverletzungen fällt nicht in den Umfang dieser Dienstleistungen und gilt als Zusatzleistung. |
| Dem obersten Führungsgremium des Controllers regelmäßig über den Stand der Einhaltung der Vorschriften, wesentliche Datenschutzrisiken und Empfehlungen, die sich aus der Wahrnehmung der Aufgaben des Datenschutzbeauftragten ergeben, Bericht erstatten. | Es fanden Datenschutzbeauftragten-Sitzungen in mit dem Verantwortlichen vereinbarten und bestätigten Abständen statt. Alle sechs Monate wurde ein Compliance-Bericht des Datenschutzbeauftragten vorgelegt. |
Diese Leistungsbeschreibung kann durch schriftliche Vereinbarung zwischen den Parteien überprüft und aktualisiert werden, sofern dies erforderlich ist, um wesentliche Änderungen der Verarbeitungsaktivitäten des Verantwortlichen, der Dienstleistungsanforderungen oder der Compliance-Prioritäten Rechnung zu tragen.
Diese schriftliche Vereinbarung wird von den bevollmächtigten Vertretern der Vertragsparteien vereinbart und unterzeichnet.