ito consult GmbH
Auftragsverarbeitungsbedingungen
Stand: 06.12.2022

1. Anwendungsbereich

1.1 Bei der Erbringung der Leistungen gemäß dem jeweiligen Auftrag kann ito personenbezogene Daten, die der Auftraggeber zur Erbringung der Leistungen zur Verfügung gestellt hat und bezüglich derer der Auftraggeber als Verantwortlicher im datenschutzrechtlichen Sinn fungiert, verarbeiten (nachfolgend „Auftraggeber-Daten“).

1.2 Diese Auftragsverarbeitungsbedingungen spezifizieren die Datenschutzpflichten und -rechte der Parteien im Zusammenhang mit der Verarbeitung der Auftraggeber-Daten zur Erbringung der Leistungen nach dem jeweiligen Einzelvertrag.

2. Umfang der Beauftragung und Weisungsbefugnisse des Auftraggebers

2.1 ito wird die Auftraggeber-Daten ausschließlich im Auftrag und gemäß den Weisungen des Auftraggebers verarbeiten, sofern ito nicht gesetzlich dazu verpflichtet ist. In letzterem Fall teilt ito dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Gesetz eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2.2 Die Verarbeitung von Auftraggeber-Daten durch ito erfolgt ausschließlich in der Art, dem Umfang und zu dem Zweck wie im Einzelvertrag spezifiziert; die Verarbeitung betrifft ausschließlich die darin bezeichneten Arten personenbezogener Daten (z.B. Beschäftigten- oder Kundendaten) und Kategorien betroffener Personen (z.B. Beschäftigte und Kunden des Auftraggebers).

2.3 Die Dauer der Verarbeitung entspricht der Laufzeit des Einzelvertrages.

2.4 Der Auftraggeber behält sich das Recht zur Erteilung von Weisungen über Art, Umfang, Zwecke und Mittel der Verarbeitung von Auftraggeber-Daten vor.

3. Anforderungen an Personal

3.1 ito hat alle Personen, die Auftraggeber-Daten verarbeiten, bezüglich der Verarbeitung von Auftraggeber-Daten zur Vertraulichkeit zu verpflichten.

3.2 ito stellt sicher, dass ihm unterstellte natürliche Personen, die Zugang zu Auftraggeber-Daten haben, diese nur auf seine Anweisung verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.

4. Sicherheit der Verarbeitung

4.1 ito ergreift alle geeigneten technischen und organisatorischen Maßnahmen, die unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung der Auftraggeber-Daten sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen erforderlich sind, um ein dem Risiko angemessenes Schutzniveau für die Auftraggeber- Daten zu gewährleisten.

4.2 ito hat vor dem Beginn der Verarbeitung der Auftraggeber-Daten technische und organisatorischen Maßnahmen zu ergreifen und während des Einzelvertrags aufrechtzuerhalten sowie sicherzustellen, dass die Verarbeitung von Auftraggeber-Daten im Einklang mit diesen Maßnahmen durchgeführt wird.

5. Weiterer Auftragsverarbeiter

5.1 Der Auftraggeber genehmigt hiermit in allgemeiner Weise die Inanspruchnahme weiterer Auftragsverarbeiter durch ito. Die gegenwärtig von ito eingesetzten weiteren Auftragsverarbeiter finden sich in Anhang 1.

5.2 ito wird den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter informieren. Der Auftraggeber ist berechtigt, gegen jede beabsichtigte Änderung Einspruch zu erheben. Ein Einspruch darf vom Auftraggeber nur aus wichtigem, ito nachzuweisenden Grund erhoben werden. Soweit der Auftraggeber nicht innerhalb von 14 Tagen nach Zugang der Benachrichtigung Einspruch erhebt, erlischt sein Einspruchsrecht bezüglich der entsprechenden Beauftragung. Erhebt der Auftraggeber Einspruch, ist ito berechtigt, den Einzelvertrag und diese Bedingungen mit einer Frist von 3 Monaten zu kündigen. Im Falle zugelassener Änderungen wird ito die Liste der Unterauftragnehmer in Anhang 1 entsprechend aktualisieren und dem Auftraggeber unverlangt zur Verfügung stellen.

5.3 ito wird jedem weiteren Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten auferlegen, die in diesen Bedingungen in Bezug auf ito festgelegt sind. Die Parteien stimmen überein, dass diese Anforderung erfüllt ist, wenn der Vertrag ein diesen Bedingungen entsprechendes Schutzniveau aufweist bzw. dem weiteren Auftragsverarbeiter die in Art. 28 Abs. 3 DSGVO festgelegten Pflichten auferlegt sind.

5.4 ito wird vor jeder Beauftragung sowie regelmäßig während der Beauftragung überprüfen, dass die weiteren Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen ergriffen haben und diese so durchgeführt werden, dass die Verarbeitung der Auftraggeber-Daten gemäß diesen Bedingungen erfolgt.

6. Rechte der betroffenen Personen

6.1 ito wird den Auftraggeber im Rahmen des Zumutbaren mit technischen und organisatorischen Maßnahmen dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der ihnen zustehenden Rechte betroffener Personen nachzukommen.

6.2 ito wird insbesondere:

• a) den Auftraggeber unverzüglich informieren, falls sich eine betroffene Person mit einem Antrag auf Wahrnehmung ihrer Rechte in Bezug auf Auftraggeber-Daten unmittelbar an ito wenden sollte;
• b) dem Auftraggeber auf Anfrage alle bei ihm vorhandenen Informationen über die Verarbeitung von Auftraggeber-Daten geben, die der Auftraggeber zur Beantwortung des Antrags einer betroffenen Person benötigt und über die der Auftraggeber nicht selbst verfügt.

7. Sonstige Unterstützungspflichten von ito

7.1 ito meldet dem Auftraggeber, unverzüglich nachdem ihm eine solche bekannt geworden ist, jede Verletzung des Schutzes von Auftraggeber-Daten, insbesondere Vorkommnisse, die zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu Auftraggeber-Daten führen. Die Meldung enthält nach Möglichkeit eine Beschreibung:

• a) der Art der Verletzung des Schutzes der Auftraggeber-Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
• b) der wahrscheinlichen Folgen der Verletzung des Schutzes der Auftraggeber-Daten;
• c) der von ito ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes der Auftraggeber-Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

7.2 Für den Fall, dass der Auftraggeber verpflichtet ist, die Aufsichtsbehörden und/oder Betroffenen nach Art. 33, 34 DSGVO zu informieren, wird ito den Auftraggeber auf dessen Anfrage unterstützen, diese Pflichten einzuhalten.

7.3 ito wird den Auftraggeber im Rahmen des Zumutbaren bei etwa von ihm durchzuführenden Datenschutz-Folgenabschätzungen und sich gegebenenfalls anschließenden Konsultationen der Aufsichtsbehörden nach Art. 35, 36 DSGVO unterstützen.

8. Datenlöschung und -zurückgabe

8.1 ito wird auf die Weisung des Auftraggebers hin mit Beendigung des Einzelvertrages alle Auftraggeber- Daten entweder vollständig und unwiderruflich löschen oder an den Auftraggeber zurückgeben, sofern nicht gesetzlich eine Verpflichtung von ito zur weiteren Speicherung der Auftraggeber-Daten besteht.

8.2 Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung von Auftraggeber-Daten dienen, dürfen durch den ito auch nach Vertragsende aufbewahrt werden.

9. Nachweise und Überprüfungen

9.1 ito hat sicherzustellen und regelmäßig zu kontrollieren, dass die Verarbeitung der Auftraggeber-Daten gemäß diesen Bedingungen, einschließlich des festgelegten Umfangs der Verarbeitung der Auftraggeber-Daten, sowie den Weisungen des Auftraggebers in Einklang steht.

9.2 ito wird die Umsetzung der Pflichten nach diesen Bedingungen in geeigneter Weise dokumentieren und dem Auftraggeber entsprechende Nachweise auf dessen Anfrage vorlegen. ito wird insbesondere dokumentieren:

• a) alle Vertraulichkeitsverpflichtungen von Personen, die Auftraggeber-Daten verarbeiten;
• b) alle sich in seinem Einwirkungsbereich ereignenden Verletzungen des Schutzes von Auftraggeber- Daten einschließlich aller damit im Zusammenhang stehenden Fakten, deren Auswirkungen und von ihm ergriffene Abhilfemaßnahmen;
• c) alle Verträge über die Inanspruchnahme weiterer Auftragsverarbeiter und alle Prüfungen weiterer Auftragsverarbeiter im Sinne von Ziff. 5.;
• d) alle auf Weisung des Auftraggebers erfolgten Löschungen von Auftraggeber-Daten.

9.3 Der Auftraggeber ist berechtigt, ito vor dem Beginn der Verarbeitung von Auftraggeber-Daten und regelmäßig während der Laufzeit des Einzelvertrags bezüglich der Einhaltung der Regelungen dieser Bedingungen, insbesondere der Umsetzung der technischen und organisatorischen Maßnahmen, selbst oder durch einen von ihm beauftragten Prüfer zu überprüfen; einschließlich durch Inspektionen. ito ermöglicht solche Überprüfungen und trägt durch alle zweckmäßigen und zumutbaren Maßnahmen zu solchen Überprüfungen bei, unter anderem durch:

• a) die Gewährung der notwendigen Zugangs- und Zugriffsrechte und
• b) der Bereitstellung aller notwendigen Informationen.

Anlage 1:Weitere Auftragsverarbeiter

- Sophos Technology GmbH
65189 Wiesbaden
Gustav-Stresemann-Ring 1
+49 800 2782761 2nd, 3rd Level Support (Verarbeitung von Log, Konfigurationsdateien, Online Support)

- Palo Alto Networks (Germany)
Rosenheimer Str. 143C
81671 München
+08007239771 2nd, 3rd Level Support (Verarbeitung von Log, Konfigurationsdateien, Online Support)

- AnyDesk Software GmbH
Türlenstraße 2
70191 Stuttgart
0711 217246704
Remote-Desktop-Verbindungen