1.1.    Die vor Abschluss dieser Vereinbarung bestehende Vereinbarung zur Auftragsverarbeitung wird mit Abschluss dieser Vereinbarung vollständig aufgehoben und wird durch diese neue Vereinbarung vollständig ersetzt. Die Parteien sind sich dabei einig, dass die Vereinbarung zur Auftragsverarbeitung durch Abschluss dieser Vereinbarung im Einklang mit den Bestimmungen aus 12. in der Vereinbarung zur Auftragsverarbeitung aufgehoben wird.  Die Gültigkeit anderer vertraglicher Abreden zwischen den Parteien bliebt hiervon unberührt.  

1.2.    Im Falle von Konflikten zwischen dieser Vereinbarung und jeglichen anderen geltenden vertraglichen Abreden zwischen den Parteien, hat dieser Vereinbarung stets Vorrang. 

1.3.    Diese Vereinbarung gilt für alle Verarbeitungen personenbezogener Daten, bei denen der Auftragnehmer oder von ihm beauftragte weitere Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO „Unterauftragsverarbeiter“ im Auftrag und gemäß den Weisungen des Auftraggebers personenbezogene Daten verarbeiten.

2.1.    Der Auftragnehmer ist Anbieter u. a. von Warenwirtschaftssystemen für Apotheken und bietet in diesem Zusammenhang weitere Zusatzfunktionen und Leistungen für Apotheken an. Die Einzelheiten der Leistungen ergeben sich aus den jeweiligen vertraglichen Vereinbarungen zur Leistung „Leistungsvereinbarungen“ nebst diesbezüglicher auftragsspezifischer Leistungsbeschreibungen „Auftragsscheine“. Alle vor dem Abschluss dieser Vereinbarung abgeschlossenen Leistungsvereinbarungen und Auftragsscheine bleiben weiterhin gültig und sind für diese Vereinbarung relevant. In Leistungsvereinbarungen und Auftragsscheinen sind Details zu den unter dieser Vereinbarung geregelten Verarbeitungen personenbezogener Daten spezifiziert.

2.2.    Die Dauer der Auftragsverarbeitung entspricht der Laufzeit der jeweiligen Leistungsvereinbarungen, sofern sich aus der vorliegenden Vereinbarung nicht darüberhinausgehende Verpflichtungen oder Kündigungsrechte ergeben. Eine Kündigung einzelner Leistungsvereinbarungen führt nicht zu einer Kündigung des Auftragsverarbeitungsverhältnisses insgesamt. Die Möglichkeit zur fristlosen Kündigung bleibt hiervon unberührt. 

2.3.    Die Arten und Zwecke der Verarbeitung umfassen alle Tätigkeiten, die der Auftragnehmer gemäß den jeweiligen Leistungsvereinbarungen und wie in den Auftragsscheinen konkretisiert erbringt, soweit diese in Form einer Auftragsverarbeitung erfolgen. Dies gilt auch, sofern die Leistungsvereinbarungen und die jeweiligen Auftragsscheine nicht ausdrücklich Bezug auf diese Vereinbarung nehmen. Die jeweiligen Auftragsscheine sind ein fester Bestandteil dieser Vereinbarung. Für die Vertragsbeziehung der Parteien gelten die individuell zwischen den Parteien schon abgeschlossenen und künftig noch abgeschlossenen Leistungsvereinbarungen und Auftragsscheine. Eine Übersicht über alle möglichen, aber nicht zwangsläufig auch zwischen den Parteien vereinbarten Auftragsscheine, ist zum Zeitpunkt des Vertragsabschlusses unter folgender URL abrufbar: https://www.adg.de/rechtliches/download.  

2.4.    Die Art der beauftragten Verarbeitungen personenbezogener Daten durch den Auftraggeber umfassen unter anderem das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung und andere Formen der Bereitstellung, den Abgleich und die Verknüpfung, die Einschränkung, die Anonymisierung, das Löschen und die Vernichtung.

2.5.    Gegenstand der beauftragten Verarbeitung personenbezogener Daten sind alle Arten personenbezogener Daten, die der Auftraggeber dem Auftragnehmer zur Verfügung stellt oder die der Auftragnehmer aus anderen Gründen im Auftrag des Auftraggebers i.S.d. Ziffer 2.4 verarbeitet. Hiervon umfasst können auch besondere Kategorien personenbezogener Daten (bspw. Gesundheitsdaten) sein. Die konkreten Datenarten/-kategorien ergeben sich aus dem jeweiligen Auftragsschein, der entweder schon zwischen den Parteien vereinbart wurde oder künftig noch vereinbart wird und dann als weitere Weisung gilt.

2.6.    Die konkreten Kategorien betroffener Personen ergeben sich aus dem jeweiligen Auftragsschein.

3.1.    Der Auftraggeber erteilt gegenüber dem Auftragnehmer innerhalb dieser Vereinbarung und Leistungsvereinbarungen und Auftragsscheinen die abschließenden Weisungen gegenüber dem Auftragnehmer. Neue Weisungen können in neu vereinbarten Leistungsvereinbarungen und Auftragsscheinen auch nach Abschluss dieser Vereinbarung erteilt werden. Die Parteien sind sich darüber einig, dass mündliche Weisungen des Auftraggebers vom Auftragnehmer nicht umgesetzt werden müssen und weitere Weisungen des Auftraggebers nach Abschluss dieser Vereinbarung immer vom Auftragnehmer zumindest in Textform bestätigt werden müssen. Der Auftragnehmer ist jedoch nicht zur Bestätigung einer nach Abschluss dieser Vereinbarung erteilten Weisung verpflichtet.

3.2.    Der Auftragnehmer wird die Verarbeitungen personenbezogener Daten nur auf dokumentierte Weisung des Verantwortlichen vornehmen, sofern der Auftragnehmer nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, zur Vornahme anderweitiger Verarbeitungen personenbezogener Daten verpflichtet ist oder diese Vereinbarung etwas anderes bestimmt. Der Auftragnehmer soll dem Auftraggeber die für ihn geltenden rechtlichen Verpflichtungen zur Verarbeitung personenbezogener Daten vorab mitteilen. Der Auftragnehmer teilt hiermit mit, dass er unter anderem gesetzlichen Aufbewahrungspflichten unterliegt, z. B. aufgrund von Steuer- und Rechnungslegungsvorschriften, und dass der Auftragnehmer verpflichtet ist, ein angemessenes Sicherheitsniveau für die Verarbeitung zu gewährleisten. Weitere rechtliche Pflichten kann der Auftragnehmer dem Auftraggeber in Textform nach Abschluss dieser Vereinbarung einseitig ohne Notwendigkeit einer Bestätigung mitteilen. 

3.3.    Der Auftragnehmer informiert den Auftraggeber mit Blick auf Art. 28 Abs. 3 lit. h DSGVO unverzüglich, falls der Auftragnehmer der Ansicht ist, dass eine Weisung des Auftraggebers gegen gesetzliche Vorgaben (insbesondere aus der DSGVO und anderen Datenschutzbestimmungen der Union oder der Mitgliedstaaten) verstößt. Die Informationserteilung kann der Auftragnehmer formlos und beispielsweise in Textform vornehmen. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung, ohne jegliche Form von Haftung gegenüber dem Auftraggeber, solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird. Sofern der Auftraggeber die vom Auftragnehmer als unrechtmäßig angesehene Weisung beibehält, stellt der Auftraggeber hiermit den Auftragnehmer von jeglichen Ansprüchen frei und der Auftraggeber haftet vollständig allein für jegliche Schäden und Kosten, die direkt oder indirekt im Zusammenhang mit so einer Weisung stehen. 

3.4.    Der Auftragnehmer ist dazu befugt, dem Auftraggeber von ihm gegenüber dem Auftragnehmer zu erteilende Weisungen vorzuschlagen. Für so einen Vorschlag gelten keine Formvorgaben. Sofern der Auftraggeber eine vorgeschlagene Weisung in Textform akzeptiert, wird so eine Weisung ein fester Bestandteil der vom Auftraggeber erteilten Weisungen. Die Bestätigung in Textform dient als Dokumentation der Weisung.

4.1.    Der Auftraggeber unterliegt Schweigepflichten aus § 203 Strafgesetzbuch „StGB“. Der Auftraggeber beauftragt hiermit den Auftragnehmer, als an der beruflichen oder dienstlichen Tätigkeit des Auftraggebers Mitwirkender im Sinne von § 203 Abs. 3 Satz 2 StGB tätig zu werden. Unterauftragsverarbeiter gelten als sonstige mitwirkende Personen im Sinne von § 203 Abs. 3 Satz 2 StGB.

4.2.    Der Auftragnehmer hat sicherzustellen, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Im Rahmen dessen hat der Auftragnehmer die speziellen Vorgaben zum Berufsgeheimnis zu achten und die relevanten Personen im angemessenen Maße zur Geheimhaltung zu verpflichten.

5.1.    Der Auftragnehmer wird alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen ergreifen. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen. 

5.2.    Der Auftragnehmer ist grundsätzlich verpflichtet, die Zustimmung des Auftraggebers vor Vornahme von Änderungen bei Sicherheitsmaßnahmen einzuholen. Hiermit erteilt der Auftraggeber gegenüber dem Auftragnehmer seine Zustimmung für jegliche Änderungen an Sicherheitsmaßnahmen, die nicht zu einer Verringerung des Gesamtschutzniveaus führen. In so einem Fall ist der Auftragnehmer von der Pflicht befreit, eine gesonderte Zustimmung einzuholen. Die Einholung einer Zustimmung zu Änderungen bei Sicherheitsmaßnahmen unterliegt keinen Formvorgaben. 

5.3.    Die zum Zeitpunkt des Abschlusses dieser Vereinbarung implementierten Sicherheitsmaßnahmen werden als Anlage zu dieser Vereinbarung beschrieben. Der Auftraggeber bestätigt mit Abschluss dieser Vereinbarung, dass er die getroffenen Maßnahmen unter Beachtung der von ihm konkret beauftragten Verarbeitungen personenbezogener Daten für dem Risiko der Datenverarbeitung angemessen befunden hat.

6.1.    Dem Auftragnehmer steht es frei, Datenübermittlungen in Drittländer vorzunehmen, Datenverarbeitungen in Drittländer auszulagern und Unterauftragsverarbeiter zu involvieren, die in Drittländern Datenverarbeitungen vornehmen. Dies gilt auch dann, wenn für ein Drittland kein Angemessenheitsbeschluss der Europäischen Kommission besteht.  Sofern der Auftragnehmer unmittelbar selbst Datenübermittlungen in Drittländer vornimmt, muss der Auftragnehmer die Einhaltung der Vorgaben aus Kapitel V DSGVO sicherstellen.

6.2.    Der Auftraggeber erteilt hiermit eine allgemeine Zustimmung zur Involvierung von Unterauftragsverarbeitern. Der Auftragnehmer hält auf seiner Website (zum Zeitpunkt des Vertragsabschlusses unter folgender URL: https://www.adg.de/rechtliches/download) eine Liste an Unterauftragsverarbeitern bereit und aktualisiert die Liste. Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern im elektronischen Format.  Die Informationserteilung erfolgt innerhalb eines angemessenen Zeitraums vorab, wobei 14 Kalendertage in der Regel als angemessen gelten. Der Auftraggeber kann ab Erhalt der Information vom Auftragnehmer 10 Kalendertage lang einen Widerspruch erteilen und im Falle eines ausgebliebenen Widerspruchs in diesem Zeitraum, gilt der Widerspruch des Auftraggebers als nicht erteilt. Vor Erteilung eines Widerspruchs gegen Änderungen bei Unterauftragsverarbeitern ist der Auftraggeber verpflichtet, den Auftragnehmer formlos zu kontaktieren und mit diesem eine gemeinsame Lösung zu finden, die für beide Parteien datenschutzrechtlich und wirtschaftlich tragbar ist. 

6.3.    Nach Erhalt eines Widerspruchs durch den Auftraggeber wird der Auftragnehmer versuchen, die Leistungserbringung auch ohne die Hinzuziehung oder die Ersetzung fortzusetzen. Sofern der Auftragnehmer hierzu nicht oder nur mit einem hohen Aufwand oder hohen Kosten verbunden in der Lage ist, steht dem Auftragnehmer ein außerordentliches Kündigungsrecht aller bestehenden Leistungsvereinbarungen zu, in deren Zusammenhang eine Verarbeitung personenbezogener Daten im Auftrag durch den Auftragnehmer erfolgt. Macht der Auftragnehmer von diesem Kündigungsrecht Gebrauch, so hat er die bereits vom Auftraggeber geleisteten Zahlungen anteilig zu ersetzen.  

6.4.    Bei der Involvierung von Unterauftragsverarbeitern hat der Auftragnehmer die Vorgaben aus Art. 28 Abs. 4 DSGVO einzuhalten.

6.5.    Neben der allgemeinen Zustimmung aus 6.2 in dieser Vereinbarung stimmt der Auftraggeber außerdem gesondert den in den jeweils relevanten bestehenden Auftragsscheinen erwähnten Unterauftragsverarbeitern explizit mit Abschluss dieser Vereinbarung zu. Dasselbe gilt für in künftigen Auftragsscheinen genannten Unterauftragsverarbeitern, wenn nach Abschluss dieser Vereinbarung ein weiterer Auftragsschein zwischen den Parteien vereinbart wird.

7.1.    Der Auftragnehmer hat den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, seinen Pflichten zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Betroffenenrechte nachzukommen. Die Parteien gehen davon aus, dass der Auftraggeber die Betroffenenrechte mit Blick auf die unter dieser Vereinbarung geregelten Datenverarbeitungen eigenständig ohne gesonderte Hilfe des Auftragnehmers erfüllen kann.  

7.2.    Sofern sich eine betroffene Person bezüglich einer dieser Vereinbarung unterfallenden Verarbeitung personenbezogener Daten unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer die betroffene Person an den Auftraggeber verweisen und den Auftraggeber über das Ersuchen der betroffenen Person informieren, um seinen Pflichten aus 7.1 in dieser Vereinbarung nachzukommen.

8.1.    Unter Berücksichtigung der Art der Verarbeitung und der dem Auftragnehmer zur Verfügung stehenden Informationen wird der Auftragnehmer den Auftraggeber bei der Einhaltung der in Art. 32 DSGVO bis Art. 36 DSGVO genannten Pflichten unterstützen. Dies erfolgt insbesondere durch die Bereitstellung von Informationen, die der Auftraggeber beim Auftragnehmer anfragt. Davon abweichend gilt im Falle einer Verletzung des Schutzes personenbezogener Daten die Pflicht des Auftragnehmers, ohne gesonderte Anfrage den Auftraggeber eigenständig zu informieren. Sofern der Auftraggeber selbst über die zur Erfüllung der Pflichten aus Art. 32 DSGVO bis Art. 36 DSGVO benötigten Informationen verfügt, wird der Auftraggeber solche Informationen nicht beim Auftragnehmer anfragen, und es besteht ungeachtet einer Anfrage in solchen Fällen keine Unterstützungspflicht des Auftragnehmers. 

8.2.    Nach Abschluss der Erbringung der Verarbeitungsleistungen wird der Auftragnehmer alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löschen oder zurückgeben und die vorhandenen Kopien löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Mit Abschluss dieser Vereinbarung trifft der Auftraggeber die Wahl, dass der Auftragnehmer die personenbezogenen Daten für 30 Tage nach Ende der Zusammenarbeit zum Export bereitstellen soll und die Daten anschließend – vorbehaltlich etwaiger Aufbewahrungspflichten – löschen soll.

8.3.    Der Auftragnehmer stellt dem Auftraggeber auf dessen explizite Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Sofern der Auftraggeber selbst über Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO verfügt, wird der Auftraggeber solche Informationen nicht beim Auftragnehmer anfragen, und es besteht unge-achtet einer Anfrage in solchen Fällen keine Unterstützungspflicht des Auftragnehmers. 

8.4.    Im Rahmen der Pflicht des Auftragnehmers aus 8.3 in dieser Vereinbarung hat der Auftraggeber auch das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer, die nicht Wettbewerber des Auftragnehmers stehen dürfen, durchführen zu lassen. Der Auftragnehmer ermöglicht solche Überprüfungen und trägt zu ihnen bei. Die Überprüfungen sind vom Auftraggeber 30 Kalendertage im Voraus anzukündigen und hinsichtlich des Inhalts und der Tragweite und Dauer abzustimmen und dürfen nur zu üblichen Geschäftszeiten ohne Störung des Regelbetriebs vorgenommen werden. Vorortüberprüfungen sollen nur dann durchgeführt werden, wenn eine andere Form von Überprüfung (wie beispielsweise per Videokonferenz oder Sichtung von Dokumenten und Zertifikaten und Auditberichten) zuvor durchgeführt wurde und dabei nicht die für den Auftraggeber erforderlichen Informationen erkennbar wurden. Die Parteien sind sich darüber einig, dass eine Überprüfung pro Kalenderjahr als angemessen gilt und weitere Prüfungen nicht verpflichten vom Auftragnehmer ermöglicht werden müssen, sofern eine Prüfung nicht von einer Datenschutzaufsichtsbehörde explizit gefordert wurde oder andere objektive Umstände eine Überprüfung zwingend erfordern. 

8.5.    Soweit rechtlich zulässig, kann der Auftragnehmer für Unterstützungsleistungen, die auf Grundlage von 8.4 oder 8.3 dieser Vereinbarung erfolgen, eine angemessene Vergütung vom Auftraggeber verlangen. 

8.6.    Sofern der Auftragnehmer im Rahmen seiner Erfüllung der Pflichten aus 8.3 und 8.4 in dieser Vereinbarung Geschäfts- und Betriebsgeheimnisse gegenüber dem Auftraggeber offenbart, hat der Auftraggeber diese angemessen zu schützen und streng vertraulich zu behandeln.

Der Auftraggeber erteilt hiermit die Weisung, dass der Auftragnehmer personenbezogene Daten vorab anonymisieren muss, sofern der Auftragnehmer vom Auftraggeber erhaltene Daten für eigene Zwecke i.S.d. Ziffer 2.4 verarbeiten möchte und soweit eine solche Datennutzung nicht die Erfüllung einer Rechtspflicht betrifft.

Der Auftraggeber informiert den Auftragnehmer unverzüglich, sofern der Auftraggeber bezüglich einer unter dieser Vereinbarung geregelten Verarbeitung personenbezogener Daten von einer Datenschutzaufsichtsbehörde kontaktiert wird. Die Parteien koordinieren ihre Antworten auf Anfragen von Datenschutzaufsichtsbehörden bezüglich der unter dieser Vereinbarung geregelten Verarbeitungen personenbezogener Daten, soweit dies rechtlich zulässig und angemessen ist. Die Parteien sind sich einig, dass Aufsichtsmaßnahmen grundsätzlich befolgt werden sollten. Ungeachtet dessen konsultieren die Parteien einander darüber, ob und inwieweit sie gegen Maßnahmen einer Datenschutzbehörde Rechtsmittel einlegen wollen. Das Recht jeder der Parteien, einzeln Rechtsmittel gegen Maßnahmen einer Behörde einzulegen, bleibt hiervon unberührt.

Solange die Parteien sich über Änderungen, Ergänzungen oder Aufhebungen dieser Vereinbarung einig sind, kann diese Vereinbarung jederzeit in einem elektronischen Format im Sinne des Art. 28 Abs. 9 DSGVO – also in Textform – geändert, ergänzt und aufgehoben werden.

12.1.    Diese Vereinbarung tritt entweder durch eine elektronische Unterschrift der Parteien oder durch eine andere Handlung einer zur Abgabe von Willenserklärungen für den Auftraggeber befugten Partei in Kraft. Eine solche andere Handlung kann bspw. durch Angabe von Informationen in einem Web-Formular und Betätigung einer für den Abschluss dieser Vereinbarung dort vorgesehenen Schaltfläche erfolgen.

12.2.    Dauer der Auftragsverarbeitung entspricht der Laufzeit der jeweiligen Leistungsvereinbarungen und enden mit der letzten Leistungsvereinbarung, welche eine Verarbeitung personenbezogener Daten im Auftrag durch den Auftragnehmer darstellt. Hiervon bleibt das Recht auf außerordentliche Kündigung unberührt.

13.1.    Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam, nichtig oder undurchführbar sein oder werden, so wird dadurch die Wirksamkeit, Bestandskraft und Durchsetzbarkeit der übrigen Bestimmungen dieser Vereinbarung nicht berührt. Die Parteien verpflichten sich, die unwirksamen, nichtigen oder nicht durchführbaren Bestimmungen durch eine rechtlich zulässige Regelung zu ersetzen, die dem mit der unwirksamen, nichtigen oder nicht durchführbaren Bestimmung verfolgten Zweck am nächsten kommt und den Anforderungen nach geltendem Recht (insbesondere der DSGVO) entspricht.

13.2.    Diese Vereinbarung unterliegt deutschem Recht. Gerichtsstand für alle Streitigkeiten aus dieser Vereinbarung und über deren Gültigkeit ist Mannheim.

13.3.    Für die Haftung der Parteien im Außenverhältnis gelten die Vorgaben aus der DSGVO. Im Innenverhältnis haftet der Auftragnehmer gegenüber dem Auftraggeber nur dann, wenn ein Verstoß gegen spezielle Vorgaben für Auftragsverarbeiter das haftungsauslösende Ereignis ist. In anderen Fällen haftet der Verantwortliche, der eine Datenverarbeitung durch den Auftragnehmer beauftragt hat, solange der Auftragnehmer gemäß den Weisungen des Auftraggebers die Datenverarbeitung vorgenommen hat. Die Parteien vereinbaren, dass jede Partei Informationen aus dieser Vereinbarung zum Zwecke der Exkulpation (Art. 82 Abs. 3 DSGVO) Dritten gegenüber offenlegen darf. 

13.4.    Sofern in dieser Vereinbarung auf eine URL des Auftragnehmers verwiesen wird, ist der Auftragnehmer dazu berechtigt, die jeweils relevanten Informationen auf einer anderen URL bereitzustellen. In so einem Fall hat der Auftragnehmer den Auftraggeber über die neue URL im elektronischen Format zu informieren.

Technische und organisatorische Maßnahmen i.S.d. Art 32 I DSGVO der ADG Apotheken-Dienstleistungsgesellschaft mbH, abrufbar unter https://www.adg.de/rechtliches/download.