Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 30. März 2026

Hier finden Sie den Auftragsverarbeitungsvertrag, der im Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter gilt. Wir weisen ausdrücklich darauf hin, dass Sie den nachstehenden Auftragsverarbeitungsvertrag akzeptieren, wenn Sie den Kooperationsvertrag mit OPARKO unterzeichnen, wie es auch aus dem Kooperationsvertrag selbst hervorgeht. OPARKO ist der Auftragsverarbeiter, und der Verantwortliche ist der Parkbetreiber oder Platzeigentümer, der einen Kooperationsvertrag mit OPARKO abgeschlossen hat.

1. Hintergrund des Auftragsverarbeitungsvertrags

1.1
Dieser Vertrag legt die Rechte und Pflichten fest, die zur Anwendung kommen, wenn der Auftragsverarbeiter im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet.
1.2
Der Vertrag ist darauf ausgerichtet, dass die Parteien Artikel 28 Abs. 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) einhalten, die spezifische Anforderungen an den Inhalt eines Auftragsverarbeitungsvertrags stellt.
1.3
Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter erfolgt zur Erfüllung des "Hauptvertrags" der Parteien.
1.4
Der Auftragsverarbeitungsvertrag und der "Hauptvertrag" sind voneinander abhängig und können nicht getrennt gekündigt werden. Der Auftragsverarbeitungsvertrag kann jedoch, ohne den "Hauptvertrag" zu kündigen, durch einen anderen gültigen Auftragsverarbeitungsvertrag ersetzt werden.
1.5
Dieser Auftragsverarbeitungsvertrag hat Vorrang vor etwaigen entsprechenden Bestimmungen in anderen Verträgen zwischen den Parteien, einschließlich des "Hauptvertrags".
1.6
Zu diesem Vertrag gehören vier Anlagen. Die Anlagen sind integraler Bestandteil des Auftragsverarbeitungsvertrags.
1.7
Anlage A des Auftragsverarbeitungsvertrags enthält nähere Angaben zur Verarbeitung, einschließlich des Zwecks und der Art der Verarbeitung, der Art der personenbezogenen Daten, der Kategorien betroffener Personen und der Dauer der Verarbeitung.
1.8
Anlage B des Auftragsverarbeitungsvertrags enthält die Bedingungen des Verantwortlichen dafür, dass der Auftragsverarbeiter etwaige Unterauftragsverarbeiter in Anspruch nehmen darf, sowie eine Liste der etwaigen Unterauftragsverarbeiter, die der Verantwortliche genehmigt hat.
1.9
Anlage C des Auftragsverarbeitungsvertrags enthält eine nähere Weisung dazu, welche Verarbeitung der Auftragsverarbeiter im Auftrag des Verantwortlichen vorzunehmen hat (Gegenstand der Verarbeitung), welche Sicherheitsmaßnahmen mindestens einzuhalten sind sowie wie die Kontrolle des Auftragsverarbeiters und etwaiger Unterauftragsverarbeiter erfolgt.
1.10
Der Auftragsverarbeitungsvertrag mit den zugehörigen Anlagen wird von beiden Parteien schriftlich, einschließlich elektronisch, aufbewahrt.
1.11
Dieser Auftragsverarbeitungsvertrag befreit den Auftragsverarbeiter nicht von Pflichten, die dem Auftragsverarbeiter nach der Datenschutz-Grundverordnung oder sonstigen Rechtsvorschriften unmittelbar auferlegt sind.

2. Pflichten und Rechte des Verantwortlichen

2.1
Der Verantwortliche trägt gegenüber der Außenwelt (einschließlich der betroffenen Person) grundsätzlich die Verantwortung dafür, dass die Verarbeitung personenbezogener Daten im Rahmen der Datenschutz-Grundverordnung und des Datenschutzgesetzes erfolgt.
2.2
Der Verantwortliche hat daher sowohl die Rechte als auch die Pflichten, Entscheidungen darüber zu treffen, zu welchen Zwecken und mit welchen Mitteln eine Verarbeitung erfolgen darf.
2.3
Der Verantwortliche ist unter anderem dafür verantwortlich, dass eine Rechtsgrundlage für die Verarbeitung vorliegt, zu der der Auftragsverarbeiter angewiesen wird.

3. Der Auftragsverarbeiter handelt nach Weisung

3.1
Der Auftragsverarbeiter darf personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, es sei denn, er ist nach dem Unionsrecht oder dem nationalen Recht der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet, vgl. Artikel 28 Abs. 3 lit. a.
3.2
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen die Datenschutz-Grundverordnung oder gegen Datenschutzbestimmungen des sonstigen Unionsrechts oder des nationalen Rechts der Mitgliedstaaten verstößt.

4. Vertraulichkeit

4.1
Der Auftragsverarbeiter stellt sicher, dass nur die Personen, die aktuell hierzu autorisiert sind, Zugang zu den personenbezogenen Daten haben, die im Auftrag des Verantwortlichen verarbeitet werden. Der Zugang zu den Daten ist daher unverzüglich zu sperren, wenn die Autorisierung entzogen wird oder abläuft.
4.2
Es dürfen ausschließlich Personen autorisiert werden, für die der Zugang zu den personenbezogenen Daten erforderlich ist, um die Pflichten des Auftragsverarbeiters gegenüber dem Verantwortlichen zu erfüllen.
4.3
Der Auftragsverarbeiter muss auf Verlangen des Verantwortlichen nachweisen können, dass die betreffenden Mitarbeiter der oben genannten Verschwiegenheitspflicht unterliegen.

5. Sicherheit der Verarbeitung

5.1
Der Auftragsverarbeiter ergreift alle Maßnahmen, die nach Artikel 32 der Datenschutz-Grundverordnung erforderlich sind, aus dem unter anderem hervorgeht, dass unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der betreffenden Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen umzusetzen sind, um ein diesen Risiken angemessenes Schutzniveau zu gewährleisten.
5.2
Die vorstehende Verpflichtung bedeutet, dass der Auftragsverarbeiter eine Risikobewertung vornehmen und anschließend Maßnahmen umsetzen muss, um den festgestellten Risiken zu begegnen. Dabei kann es sich unter anderem, je nachdem, was relevant ist, um folgende Maßnahmen handeln:
- •
  Pseudonymisierung und Verschlüsselung personenbezogener Daten.
- •
  Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und Dienste auf Dauer sicherzustellen.
- •
  Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen.
- •
  Ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
5.3
Der Auftragsverarbeiter muss im Zusammenhang mit dem Vorstehenden in allen Fällen mindestens das Sicherheitsniveau und die Maßnahmen umsetzen, die in Anlage C dieses Vertrags näher spezifiziert sind.
5.4
Eine etwaige Regelung/Vereinbarung der Parteien über eine Vergütung oder Ähnliches im Zusammenhang mit dem nachträglichen Verlangen des Verantwortlichen oder des Auftragsverarbeiters nach der Einrichtung zusätzlicher Sicherheitsmaßnahmen ergibt sich aus dem "Hauptvertrag" der Parteien.

6. Inanspruchnahme von Unterauftragsverarbeitern

6.1
Der Auftragsverarbeiter muss die in Artikel 28 Abs. 2 und 4 der Datenschutz-Grundverordnung genannten Bedingungen erfüllen, um einen anderen Auftragsverarbeiter (Unterauftragsverarbeiter) in Anspruch zu nehmen.
6.2
Der Auftragsverarbeiter darf daher ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen keinen anderen Auftragsverarbeiter (Unterauftragsverarbeiter) zur Erfüllung des Auftragsverarbeitungsvertrags in Anspruch nehmen.
6.3
Im Falle einer allgemeinen schriftlichen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen über etwaige geplante Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter und gibt dem Verantwortlichen dadurch die Möglichkeit, gegen solche Änderungen Einspruch zu erheben.
6.4
Die näheren Bedingungen des Verantwortlichen für die Inanspruchnahme etwaiger Unterauftragsverarbeiter durch den Auftragsverarbeiter ergeben sich aus Anlage B dieses Vertrags.
6.5
Eine etwaige Genehmigung bestimmter Unterauftragsverarbeiter durch den Verantwortlichen ist in Anlage B dieses Vertrags aufgeführt.
6.6
Wenn der Auftragsverarbeiter die Genehmigung des Verantwortlichen zur Inanspruchnahme eines Unterauftragsverarbeiters hat, sorgt der Auftragsverarbeiter dafür, dem Unterauftragsverarbeiter dieselben Datenschutzpflichten aufzuerlegen, die in diesem Auftragsverarbeitungsvertrag festgelegt sind, und zwar durch einen Vertrag oder ein anderes Rechtsdokument nach dem Unionsrecht oder dem nationalen Recht der Mitgliedstaaten, wobei insbesondere die erforderlichen Garantien dafür geboten werden, dass der Unterauftragsverarbeiter die geeigneten technischen und organisatorischen Maßnahmen so umsetzt, dass die Verarbeitung die Anforderungen der Datenschutz-Grundverordnung erfüllt. Der Auftragsverarbeiter ist somit dafür verantwortlich, durch den Abschluss eines Unterauftragsverarbeitungsvertrags einem etwaigen Unterauftragsverarbeiter mindestens die Pflichten aufzuerlegen, denen der Auftragsverarbeiter selbst nach den Datenschutzvorschriften und diesem Auftragsverarbeitungsvertrag mit den zugehörigen Anlagen unterliegt.
6.7
Der Unterauftragsverarbeitungsvertrag und etwaige spätere Änderungen daran werden dem Verantwortlichen auf dessen Verlangen in Kopie übermittelt, wodurch der Verantwortliche die Möglichkeit hat, sich zu vergewissern, dass zwischen dem Auftragsverarbeiter und dem Unterauftragsverarbeiter ein gültiger Vertrag geschlossen wurde. Etwaige kommerzielle Bedingungen, beispielsweise Preise, die den datenschutzrechtlichen Inhalt des Unterauftragsverarbeitungsvertrags nicht berühren, müssen dem Verantwortlichen nicht übermittelt werden.
6.8
Der Auftragsverarbeiter muss in seinem Vertrag mit dem Unterauftragsverarbeiter den Verantwortlichen als begünstigten Dritten für den Fall der Insolvenz des Auftragsverarbeiters aufnehmen, damit der Verantwortliche in die Rechte des Auftragsverarbeiters eintreten und sie gegenüber dem Unterauftragsverarbeiter geltend machen kann, damit der Verantwortliche zum Beispiel den Unterauftragsverarbeiter anweisen kann, die Daten zu löschen oder zurückzugeben.

7. Übermittlung von Daten an internationale Organisationen

7.1
Der Auftragsverarbeiter darf personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, einschließlich in Bezug auf die Übermittlung (Überlassung, Weitergabe sowie interne Nutzung) personenbezogener Daten an Drittländer oder internationale Organisationen, es sei denn, er ist nach dem Unionsrecht oder dem nationalen Recht der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet, vgl. Artikel 28 Abs. 3 lit. a.
7.2
Ohne Weisung oder Genehmigung des Verantwortlichen darf der Auftragsverarbeiter im Rahmen des Auftragsverarbeitungsvertrags daher unter anderem nicht:
- 7.2.1
  die personenbezogenen Daten an einen Verantwortlichen in einem Drittland oder in einer internationalen Organisation weitergeben,
- 7.2.2
  die Verarbeitung personenbezogener Daten einem Unterauftragsverarbeiter in einem Drittland überlassen,
- 7.2.3
  die Daten in einer anderen Abteilung des Auftragsverarbeiters verarbeiten lassen, die in einem Drittland gelegen ist.
7.3
Eine etwaige Weisung oder Genehmigung des Verantwortlichen, dass eine Übermittlung personenbezogener Daten an ein Drittland erfolgt, ergibt sich aus Anlage C dieses Vertrags.

8. Unterstützung des Verantwortlichen

8.1
Dies bedeutet, dass der Auftragsverarbeiter den Verantwortlichen soweit möglich dabei unterstützt, dass der Verantwortliche die Einhaltung des Folgenden sicherstellt:
- 8.1.1
  die Informationspflicht bei der Erhebung personenbezogener Daten bei der betroffenen Person.
- 8.1.2
  die Informationspflicht, wenn personenbezogene Daten nicht bei der betroffenen Person erhoben wurden.
- 8.1.3
  das Auskunftsrecht der betroffenen Person.
- 8.1.4
  das Recht auf Berichtigung.
- 8.1.5
  das Recht auf Löschung ("Recht auf Vergessenwerden").
- 8.1.6
  das Recht auf Einschränkung der Verarbeitung.
- 8.1.7
  die Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung.
- 8.1.8
  das Recht auf Datenübertragbarkeit.
- 8.1.9
  das Widerspruchsrecht.
- 8.1.10
  das Recht, dem Ergebnis automatisierter Entscheidungen im Einzelfall, einschließlich Profiling, zu widersprechen.
8.2
Der Auftragsverarbeiter unterstützt den Verantwortlichen dabei, die Einhaltung der Pflichten des Verantwortlichen gemäß Artikel 32-36 der Datenschutz-Grundverordnung sicherzustellen, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen, vgl. Artikel 28 Abs. 3 lit. f.
- 8.2.1
  Dies bedeutet, dass der Auftragsverarbeiter unter Berücksichtigung der Art der Verarbeitung den Verantwortlichen dabei unterstützt, dass der Verantwortliche die Einhaltung des Folgenden sicherstellt:
- 8.2.2
  die Verpflichtung, geeignete technische und organisatorische Maßnahmen umzusetzen, um ein Sicherheitsniveau zu gewährleisten, das den mit der Verarbeitung verbundenen Risiken angemessen ist.
- 8.2.3
  die Verpflichtung, eine Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde (Datatilsynet (die dänische Datenschutzbehörde)) ohne unangemessene Verzögerung und möglichst binnen 72 Stunden, nachdem der Verantwortliche von der Verletzung Kenntnis erlangt hat, zu melden, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte oder Freiheiten natürlicher Personen führt.
- 8.2.4
  die Verpflichtung, die betroffene Person oder die betroffenen Personen ohne unangemessene Verzögerung über eine Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn eine solche Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
- 8.2.5
  die Verpflichtung, eine Datenschutz-Folgenabschätzung durchzuführen, wenn eine Art der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
- 8.2.6
  die Verpflichtung, die Aufsichtsbehörde (Datatilsynet) vor der Verarbeitung zu konsultieren, sofern eine Datenschutz-Folgenabschätzung ergibt, dass die Verarbeitung zu einem hohen Risiko führen würde, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft.
8.3
Eine etwaige Regelung/Vereinbarung der Parteien über eine Vergütung oder Ähnliches im Zusammenhang mit der Unterstützung des Verantwortlichen durch den Auftragsverarbeiter ergibt sich aus dem "Hauptvertrag" der Parteien.

9. Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten

9.1
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen ohne unangemessene Verzögerung, nachdem er darauf aufmerksam geworden ist, dass beim Auftragsverarbeiter oder einem etwaigen Unterauftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten eingetreten ist.
- 9.1.1
  Die Benachrichtigung des Verantwortlichen durch den Auftragsverarbeiter muss möglichst binnen 48 Stunden erfolgen, nachdem dieser von der Verletzung Kenntnis erlangt hat, sodass der Verantwortliche die Möglichkeit hat, seiner etwaigen Verpflichtung nachzukommen, die Verletzung binnen 72 Stunden der Aufsichtsbehörde zu melden.
9.2
In Übereinstimmung mit Abschnitt 10.2 lit. b dieses Vertrags unterstützt der Auftragsverarbeiter den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen dabei, die Verletzung der Aufsichtsbehörde zu melden.
- 9.2.1
  Das kann bedeuten, dass der Auftragsverarbeiter unter anderem dabei helfen muss, die nachstehenden Angaben bereitzustellen, die nach Artikel 33 Abs. 3 der Datenschutz-Grundverordnung in der Meldung des Verantwortlichen an die Aufsichtsbehörde enthalten sein müssen:
- 9.2.2
  die Art der Verletzung des Schutzes personenbezogener Daten, einschließlich, soweit möglich, der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze.
- 9.2.3
  die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten.
- 9.2.4
  die Maßnahmen, die ergriffen wurden oder deren Ergreifung vorgeschlagen wird, um die Verletzung des Schutzes personenbezogener Daten zu behandeln, einschließlich, soweit relevant, Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

10. Löschung und Rückgabe von Daten

10.1
Bei Beendigung der Verarbeitungsdienste ist der Auftragsverarbeiter verpflichtet, nach Wahl des Verantwortlichen alle personenbezogenen Daten zu löschen oder dem Verantwortlichen zurückzugeben sowie vorhandene Kopien zu löschen, es sei denn, das Unionsrecht oder das nationale Recht schreibt die Speicherung der personenbezogenen Daten vor.

11. Kontrolle und Überprüfung

11.1
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 der Datenschutz-Grundverordnung und dieses Vertrags durch den Auftragsverarbeiter erforderlich sind, und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen vom Verantwortlichen beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.
11.2
Das nähere Verfahren für die Kontrolle des Auftragsverarbeiters durch den Verantwortlichen ergibt sich aus Anlage C dieses Vertrags.
11.3
Die Kontrolle etwaiger Unterauftragsverarbeiter durch den Verantwortlichen erfolgt grundsätzlich über den Auftragsverarbeiter. Das nähere Verfahren hierfür ergibt sich aus Anlage C dieses Vertrags.
11.4
Der Auftragsverarbeiter ist verpflichtet, Behörden, die nach der jeweils geltenden Gesetzgebung Zugang zu den Einrichtungen des Verantwortlichen und des Auftragsverarbeiters haben, oder Vertretern, die im Namen der Behörde auftreten, gegen gebührende Legitimation Zugang zu den physischen Einrichtungen des Auftragsverarbeiters zu gewähren.

12. Inkrafttreten und Beendigung

12.1
Dieser Vertrag tritt mit der Unterzeichnung durch beide Parteien in Kraft.
12.2
Der Vertrag kann von beiden Parteien zur Neuverhandlung verlangt werden, wenn Gesetzesänderungen oder Unzweckmäßigkeiten im Vertrag hierzu Anlass geben.
12.3
Die Kündigung des Auftragsverarbeitungsvertrags kann nach den Kündigungsbedingungen, einschließlich der Kündigungsfrist, erfolgen, die sich aus dem "Hauptvertrag" ergeben.
12.4
Der Vertrag gilt, solange die Verarbeitung besteht. Ungeachtet der Kündigung des "Hauptvertrags" und/oder des Auftragsverarbeitungsvertrags bleibt der Auftragsverarbeitungsvertrag bis zur Beendigung der Verarbeitung und der Löschung der Daten beim Auftragsverarbeiter und etwaigen Unterauftragsverarbeitern in Kraft.
12.5
Unterschrift.
- 12.5.1
  Mit der Unterzeichnung des Hauptvertrags durch jede Partei akzeptieren der Kooperationspartner bzw. OPARKO diesen Auftragsverarbeitungsvertrag.

Anlage A: Angaben zur Verarbeitung

Der Zweck der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen ist:
- personenbezogene Daten zu verwenden, um im vereinbarten Bereich Parkkontrollen durchzuführen. Darüber hinaus, dass der Verantwortliche die Systeme des Auftragsverarbeiters nutzen kann, um Daten zu erheben und zu verarbeiten.
Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen betrifft in erster Linie (Art der Verarbeitung):
- Der Auftragsverarbeiter stellt Systeme zur Verfügung, die es dem Verantwortlichen ermöglichen, im vereinbarten Bereich eigenständig Parkkontrollen durchzuführen. Darüber hinaus, dass die personenbezogenen Daten der Mitglieder des Verantwortlichen im System sowie auf Servern gespeichert werden.
Die Verarbeitung umfasst folgende Arten personenbezogener Daten über die betroffenen Personen:
- Name, E-Mail-Adresse, Telefonnummer, Adresse, Zahlungsdaten, Art der Mitgliedschaft, Kennzeichen, Anzahl der erstellten Gebühren und Genehmigungen.
Die Verarbeitung umfasst folgende Kategorien betroffener Personen:
- Die Verarbeitung umfasst Personen, die beim Verantwortlichen registriert sind oder waren. Dies umfasst diejenigen, die registriert werden, um auf dem Platz parken zu dürfen, denen der Verantwortliche eine befristete oder dauerhafte Genehmigung erteilt hat, was nicht die Gäste umfasst, die in Einzelfällen ein Ticket gekauft haben.
Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen kann nach dem Inkrafttreten dieses Vertrags aufgenommen werden. Die Verarbeitung hat folgende Dauer:
- Die Verarbeitung ist nicht zeitlich befristet und dauert an, bis der Vertrag von einer der Parteien gekündigt oder aufgehoben wird.

Anlage B: Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern durch den Auftragsverarbeiter und Liste der genehmigten Unterauftragsverarbeiter

B.1
Bedingungen für die Inanspruchnahme etwaiger Unterauftragsverarbeiter durch den Auftragsverarbeiter.
- Der Auftragsverarbeiter darf Unterauftragsverarbeiter ausschließlich nach vorheriger gesonderter schriftlicher Genehmigung des Verantwortlichen in Anspruch nehmen. Dies erfolgt in Abstimmung zwischen dem Auftragsverarbeiter und dem Verantwortlichen. Das entsprechende Verlangen des Auftragsverarbeiters muss dem Verantwortlichen mindestens 1 Monat, bevor die Inanspruchnahme oder die Änderung in Kraft treten soll, vorliegen. Sofern ein Unterauftragsverarbeiter im Vertrag enthalten ist, ist der Auftragsverarbeiter nicht dafür verantwortlich, mindestens 1 Monat vor Inkrafttreten der Inanspruchnahme oder der Änderung zu informieren. Der Verantwortliche kann die Genehmigung nur verweigern, sofern der Verantwortliche hierfür angemessene, konkrete Gründe hat.
B.2
Genehmigte Unterauftragsverarbeiter.
- In diesem Standardvertrag sind keine bestimmten genehmigten Unterauftragsverarbeiter aufgeführt. Etwaige genehmigte Unterauftragsverarbeiter werden gesondert vereinbart und ergeben sich im Zusammenhang mit dem Kooperationsvertrag.

Anlage C: Weisung zur Verarbeitung personenbezogener Daten

C.1
Gegenstand der Verarbeitung/Weisung. Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen erfolgt dadurch, dass der Auftragsverarbeiter Folgendes ausführt:
- •
  Erhebung von Parkgebühren.
- •
  Registrierung von Parkgenehmigungen.
- •
  Information über neue Maßnahmen und Änderungen beim Auftragsverarbeiter.
C.2
Sicherheit der Verarbeitung. Es handelt sich um die Verarbeitung gewöhnlicher, nicht sensibler personenbezogener Daten, weshalb ein "niedriges" Sicherheitsniveau eingerichtet werden muss. Der Auftragsverarbeiter ist danach berechtigt und verpflichtet, Entscheidungen darüber zu treffen, welche technischen und organisatorischen Sicherheitsmaßnahmen anzuwenden sind, um das erforderliche (und vereinbarte) Sicherheitsniveau rund um die Daten zu schaffen. Der Auftragsverarbeiter muss jedoch in allen Fällen und mindestens folgende Maßnahmen umsetzen, die mit dem Verantwortlichen vereinbart wurden:
- •
  Bei der Übertragung personenbezogener Daten zwischen Rechenzentren untereinander sowie bei der Übertragung zwischen Rechenzentren und den Nutzern ist eine anerkannte Verschlüsselung zu verwenden.
- •
  Die Speicherung personenbezogener Daten in Rechenzentren ist angemessen gegen den Zugang Unbefugter zu sichern.
- •
  Es ist ein wirksames Backup-Verfahren einzurichten, das den Zugang des Auftragsverarbeiters zu allen erforderlichen Verarbeitungssystemen sicherstellt.
- •
  Der Auftragsverarbeiter muss alle physischen Standorte gegen den Zugang von außen sichern, unter anderem durch Alarmsysteme, Zugangskontrolle und persönliche Steuerung des Zugangs der Mitarbeiter.
- •
  Die Mitarbeiter des Auftragsverarbeiters dürfen nur in dem Umfang Zugang zu personenbezogenen Daten haben, in dem dies für die Ausführung der Arbeit erforderlich ist.
- •
  Die Mitarbeiter des Auftragsverarbeiters dürfen personenbezogene Daten nicht außerhalb der vereinbarten Betriebsumgebung ohne vorherige Genehmigung des Verantwortlichen verarbeiten.
- •
  Personenbezogene Daten dürfen nicht lokal auf den Geräten der Mitarbeiter oder auf mobilen Geräten gespeichert werden, einschließlich externer Festplatten und USB-Sticks.
- •
  Der Auftragsverarbeiter muss sicherstellen, dass Mitarbeiter, die Zugang zu personenbezogenen Daten erhalten, eine Verschwiegenheitserklärung unterzeichnet haben. Die Verschwiegenheitspflicht gilt sowohl während des Beschäftigungsverhältnisses als auch nach dessen Beendigung.
- •
  Personenbezogene Daten sind bei der Entsorgung von IT-Geräten wirksam und auf sichere Weise zu löschen.
C.3
Aufbewahrungsdauer/Löschroutine. Die personenbezogenen Daten werden beim Auftragsverarbeiter aufbewahrt, bis der Hauptvertrag endet oder der Verantwortliche verlangt, dass die Daten gelöscht oder zurückgegeben werden.
C.4
Ort der Verarbeitung. Die Verarbeitung der vom Vertrag umfassten personenbezogenen Daten darf ohne vorherige schriftliche Genehmigung des Verantwortlichen nicht an anderen Orten als den folgenden erfolgen:
- 1)
  Die Verarbeitung personenbezogener Daten findet beim Auftragsverarbeiter an dessen Adresse statt.
- 2)
  Die Verarbeitung kann außerdem bei den Unterauftragsverarbeitern stattfinden, die sich gemäß Anlage B ergeben.
C.5
Weisung oder Genehmigung zur Übermittlung personenbezogener Daten an Drittländer. Wenn der Verantwortliche in diesem Abschnitt oder durch eine spätere schriftliche Mitteilung keine Weisung oder Genehmigung zur Übermittlung personenbezogener Daten an ein Drittland erteilt hat, darf der Auftragsverarbeiter im Rahmen des Auftragsverarbeitungsvertrags eine solche Übermittlung nicht vornehmen.
C.6
Nähere Verfahren für die Kontrolle der beim Auftragsverarbeiter durchgeführten Verarbeitung durch den Verantwortlichen. Die personenbezogenen Daten können beim Auftragsverarbeiter kontrolliert werden, wenn der Verantwortliche der Auffassung ist, dass hierfür ein Bedarf entsteht.