Verwerkersovereenkomst (VWO)

Preambule

Deze verwerkersovereenkomst („Verwerkersovereenkomst“) wordt gesloten tussen de in de overeenkomst over het gebruik van de software „HERO“ („Software“) genoemde klant („Opdrachtgever“) en HERO Software GmbH, Göttinger Hof 9, 30453 Hannover, Duitsland („Opdrachtnemer“ of „HERO“ of „wij“/„ons“), elk afzonderlijk ook aangeduid als „Partij“ en gezamenlijk als „Partijen“. In het kader van de uitvoering van de Hoofdovereenkomst kan het noodzakelijk zijn dat de Opdrachtnemer persoonsgegevens in opdracht van de Opdrachtgever verwerkt. Ter nadere invulling van de wederzijdse rechten en verplichtingen op het gebied van gegevensbescherming krachtens de Algemene Verordening Gegevensbescherming (AVG) sluiten de Partijen de onderhavige Verwerkersovereenkomst

1.1 Deze Verwerkersovereenkomst is van toepassing op de verwerking van alle persoonsgegevens (hierna ook „Gegevens“ genoemd) die door de Opdrachtnemer in opdracht van de Opdrachtgever worden verwerkt ten behoeve van het verlenen van de diensten krachtens de overeenkomst over het gebruik van de Software („Hoofdovereenkomst“). De omvang, de aard en het doel van de verwerking worden bepaald door de Hoofdovereenkomst en zijn opgenomen in Bijlage 1 (Doel, aard en omvang van de gegevensverwerking; soort gegevens en categorieën van betrokkenen) bij deze Verwerkersovereenkomst.

1.2 Voor zover in deze Verwerkersovereenkomst niet anders is bepaald, gelden voor de looptijd en de beëindiging van deze Verwerkersovereenkomst de bepalingen inzake looptijd en beëindiging van de Hoofdovereenkomst. Deze Verwerkersovereenkomst blijft gedurende de gehele looptijd van de Hoofdovereenkomst van kracht, voor zover zij niet door een opvolgende regeling wordt vervangen. Beëindiging van de Hoofdovereenkomst leidt automatisch tot beëindiging van deze Verwerkersovereenkomst. Met de beëindiging van de Hoofdovereenkomst eindigt deze Verwerkersovereenkomst, maar zij blijft ten aanzien van nog aanwezige persoonsgegevens van toepassing tot aan de volledige teruggave respectievelijk verwijdering daarvan.

1.3 De verwerking vindt in beginsel plaats binnen de Europese Unie (EU) / de Europese Economische Ruimte (EER). Voor zover de verwerking in het kader van deze Verwerkersovereenkomst buiten het grondgebied van de EU/EER plaatsvindt, dragen de Partijen er zorg voor dat aan de bijzondere voorwaarden van art. 44 e.v. AVG wordt voldaan

1.4 Voor zover in deze Verwerkersovereenkomst niet anders is bepaald, gelden de definities van de Hoofdovereenkomst ook voor deze Verwerkersovereenkomst

2.1 De Partijen zijn verantwoordelijk voor de naleving van de toepasselijke voorschriften inzake gegevensbescherming. De Opdrachtgever kan de Opdrachtnemer te allen tijde instrueren om de in het kader van deze Verwerkersovereenkomst verwerkte Gegevens vrij te geven, te rectificeren, aan te passen, te wissen en te beperken.

2.2 De Opdrachtnemer verwerkt de Gegevens in opdracht en volgens de instructies van de Opdrachtgever in de zin van art. 28 AVG. De Opdrachtgever blijft de verwerkingsverantwoordelijke in de zin van art. 4 punt 7 AVG

2.3 De Opdrachtnemer mag Gegevens uitsluitend volgens de instructies van de Opdrachtgever verwerken, tenzij de Opdrachtnemer op grond van het Unierecht of het recht van de lidstaat waaraan de Opdrachtnemer is onderworpen, tot een afwijkende verwerking verplicht is (bijv. onderzoeken door strafvervolgings- of nationale veiligheidsautoriteiten); in dat geval dient de Opdrachtnemer de Opdrachtgever vóór de verwerking over deze wettelijke vereisten te informeren, tenzij het betreffende recht een dergelijke kennisgeving om gewichtige redenen van algemeen belang verbiedt (art. 28 lid 3 tweede zin onder a AVG)

2.4 De instructies van de Opdrachtgever zijn in de bepalingen van deze Verwerkersovereenkomst in beginsel uitputtend geregeld en gedocumenteerd. Aanvullende instructies die van de bepalingen van deze Verwerkersovereenkomst afwijken of aanvullende eisen stellen, behoeven de instemming van de Opdrachtnemer en dienen in beginsel schriftelijk of per e-mail aan de Opdrachtnemer te worden verstrekt. Mondelinge instructies dienen door de Opdrachtnemer onverwijld schriftelijk of elektronisch te worden bevestigd. De meerkosten die voor de Opdrachtnemer uit dergelijke aanvullende instructies voortvloeien, komen voor rekening van de Opdrachtgever.

2.5 Wijzigingen van het onderwerp van de verwerking dienen gezamenlijk te worden overeengekomen en gedocumenteerd. De Opdrachtnemer mag de Gegevens zonder rechtsgrondslag (bijv. een wettelijke verplichting of een instructie van de Opdrachtgever) niet voor andere doeleinden gebruiken en is in het bijzonder niet gerechtigd deze Gegevens aan derden door te geven. De Opdrachtnemer is niet gerechtigd Gegevens zonder medeweten van de Opdrachtgever te kopiëren of te vermenigvuldigen

2.6 Indien de Opdrachtnemer van mening is dat een instructie van de Opdrachtgever in strijd is met de toepasselijke voorschriften inzake gegevensbescherming, stelt hij de Opdrachtgever daarvan onverwijld in kennis. De Opdrachtnemer is gerechtigd de uitvoering van de betreffende instructie op te schorten totdat de instructie door de Opdrachtgever is bevestigd of gewijzigd.

3.1 De Partijen ondersteunen elkaar bij het aantonen en documenteren van de op hen rustende verantwoordingsplicht met betrekking tot de beginselen van behoorlijke gegevensverwerking, met inbegrip van de uitvoering van de noodzakelijke technische en organisatorische maatregelen (art. 5 lid 2, art. 24 lid 1 AVG). De Opdrachtnemer stelt de Opdrachtgever hiertoe indien nodig de desbetreffende informatie ter beschikking

3.2 De Partijen komen de specifieke technische en organisatorische beveiligingsmaatregelen overeen die zijn opgenomen in Bijlage 3 („Technische en organisatorische maatregelen overeenkomstig art. 32 AVG“) bij deze Verwerkersovereenkomst. Bijlage 3 vormt een wezenlijk onderdeel van deze Verwerkersovereenkomst.

3.3 Technische en organisatorische maatregelen zijn onderhevig aan de technische vooruitgang. Het is de Opdrachtnemer in zoverre toegestaan alternatieve, maar passende maatregelen te treffen overeenkomstig de toepasselijke voorschriften inzake gegevensbescherming en deze Verwerkersovereenkomst. Wezenlijke wijzigingen van de maatregelen dienen te worden gedocumenteerd.

3.4 Op verzoek van de Opdrachtgever dient de Opdrachtnemer passend bewijs over te leggen van de naleving van de in Bijlage 3 vastgelegde technische en organisatorische maatregelen.

3.5 De Opdrachtnemer draagt er zorg voor dat alle personen die met de verwerking van Gegevens van de Opdrachtgever zijn belast (hierna „Medewerkers“), vóór aanvang van hun werkzaamheden schriftelijk of in elektronische vorm tot vertrouwelijkheid overeenkomstig art. 28 lid 3 onder b AVG worden verplicht. De Opdrachtnemer waarborgt met de vereiste zorgvuldigheid de naleving van deze verplichting en legt de Opdrachtgever op verzoek de desbetreffende vertrouwelijkheidsverklaringen over.

4.1 De Opdrachtgever is in de verhouding tussen de Partijen als enige verantwoordelijk voor de rechtmatigheid van de gegevensverwerking en voor het waarborgen van de rechten van de betrokkenen. Indien derden jegens de Opdrachtnemer aanspraken geldend maken die berusten op de verwerking van Gegevens overeenkomstig deze Verwerkersovereenkomst, vrijwaart de Opdrachtgever de Opdrachtnemer op eerste verzoek tegen al dergelijke aanspraken.

4.2 De Opdrachtgever is ervoor verantwoordelijk de Opdrachtnemer tijdig de voor het verlenen van de diensten krachtens de Hoofdovereenkomst benodigde Gegevens ter beschikking te stellen en is verantwoordelijk voor de kwaliteit van de Gegevens. De Opdrachtgever stelt de Opdrachtnemer onverwijld en volledig in kennis indien hij bij de controle van de resultaten van de Opdrachtnemer fouten of onregelmatigheden met betrekking tot de toepasselijke voorschriften inzake gegevensbescherming of zijn instructies vaststelt.

4.3 Op verzoek stelt de Opdrachtgever de Opdrachtnemer de in art. 30 lid 2 AVG genoemde informatie ter beschikking, voor zover deze niet reeds bij de Opdrachtnemer beschikbaar is.

4.4 Indien de Opdrachtnemer verplicht is een overheidsinstantie of persoon informatie te verstrekken over de verwerking van Gegevens of anderszins met deze instanties samen te werken, is de Opdrachtgever op eerste verzoek verplicht de Opdrachtnemer bij het verstrekken van deze informatie en bij het nakomen van overige samenwerkingsverplichtingen te ondersteunen.

5.1 De Opdrachtnemer is verplicht de Opdrachtgever onverwijld te informeren indien hij een ernstige verstoring van zijn bedrijfsvoering vaststelt, indien hij vermoedt dat hij in strijd handelt met deze Verwerkersovereenkomst en met de toepasselijke voorschriften inzake gegevensbescherming, of indien hij overige onregelmatigheden bij de verwerking van de Gegevens van de Opdrachtgever vaststelt. Dit geldt in het bijzonder met het oog op de meldplicht krachtens art. 33 lid 2 AVG alsmede voor de overeenkomstige verplichtingen van de verwerkingsverantwoordelijke krachtens art. 33 en art. 34 AVG (meldplichten bij inbreuken in verband met persoonsgegevens). De Opdrachtnemer draagt er zorg voor dat hij de Opdrachtgever op passende wijze ondersteunt bij het nakomen van diens verplichtingen krachtens art. 33 en 34 AVG, voor zover dit noodzakelijk is. De Opdrachtnemer mag de meldingen krachtens art. 33 of 34 AVG voor de Opdrachtgever uitsluitend na voorafgaande instructie overeenkomstig artikel 2 van deze Verwerkersovereenkomst verrichten.

5.2 De Opdrachtnemer informeert de Opdrachtgever onverwijld over controles en maatregelen van de toezichthoudende autoriteiten of indien een toezichthoudende autoriteit in het kader van haar bevoegdheid bij de Opdrachtnemer informatie opvraagt, onderzoek verricht of anderszins inlichtingen inwint.

6.1 De Opdrachtgever is als enige verantwoordelijk voor zijn register van verwerkingsactiviteiten (art. 30 lid 1 AVG). Op verzoek van de Opdrachtgever stelt de Opdrachtnemer de Opdrachtgever informatie ter beschikking ten behoeve van het verwerkingsregister. De Opdrachtnemer houdt eveneens een register bij van alle categorieën van verwerkingsactiviteiten die in opdracht van de Opdrachtgever worden verricht, overeenkomstig art. 30 lid 2 AVG.

6.2 Functionaris voor gegevensbescherming van de Opdrachtnemer is: 
Mevrouw Marion Albrecht, advocaat, gespecialiseerd advocaat IT-recht (Fachanwältin für IT-Recht), activeLAW Rechtsanwälte, Hans-Böckler-Allee 26, 30173 Hannover, Duitsland.

Een wisseling van de functionaris voor gegevensbescherming dient onverwijld aan de Opdrachtgever te worden meegedeeld.

7.1 De Opdrachtgever is gerechtigd zich regelmatig te vergewissen van de naleving van de bepalingen van deze Verwerkersovereenkomst, in het bijzonder van de uitvoering en naleving van de technische en organisatorische maatregelen overeenkomstig artikel 3 van deze Verwerkersovereenkomst („Controle“). De Opdrachtnemer toont op verzoek van de Opdrachtgever de uitvoering van de technische en organisatorische maatregelen aan. Dit bewijs kan ook worden geleverd door overlegging van een actuele verklaring, van rapporten of uittreksels uit rapporten van onafhankelijke instanties (bijv. accountants, interne audit, functionaris voor gegevensbescherming, IT-beveiligingsafdeling, gegevensbeschermingsauditors, kwaliteitsauditors) of van een passende certificering door middel van een IT-beveiligings- of gegevensbeschermingsaudit (bijv. volgens BSI-Grundschutz). De Opdrachtnemer verplicht zich de Opdrachtgever onverwijld te informeren over elke vorm van intrekking of wezenlijke wijziging van de voornoemde bewijsstukken. Daarnaast is de Opdrachtgever gerechtigd de technische en organisatorische maatregelen van de Opdrachtnemer tijdens de gebruikelijke kantooruren, zonder verstoring van de bedrijfsvoering en met strikte inachtneming van de bedrijfs- en handelsgeheimen van de Opdrachtnemer, zelf persoonlijk dan wel door een deskundige derde te laten controleren.

7.2 De Opdrachtgever informeert de Opdrachtnemer tijdig (in de regel twee weken van tevoren) over alle met de uitvoering van de Controle verband houdende omstandigheden. De Opdrachtgever zal Controles uitsluitend in de noodzakelijke omvang (in beginsel één Controle per kalenderjaar) uitvoeren en daarbij passend rekening houden met de bedrijfsprocessen van de Opdrachtnemer. Over het tijdstip en de aard van de controle stemmen de Partijen tijdig met elkaar af. Verdere Controles worden na voorafgaand overleg met de Opdrachtnemer uitgevoerd en de daarmee verbonden kosten worden in beginsel door de Opdrachtgever vergoed.

7.3 Indien de Opdrachtgever een deskundige derde met de uitvoering van de Controle belast, verplicht de Opdrachtgever de derde schriftelijk op dezelfde wijze als hij zich jegens de Opdrachtnemer overeenkomstig dit artikel 7 van deze Verwerkersovereenkomst verplicht. Daarnaast verplicht de Opdrachtgever de derde tot geheimhouding en vertrouwelijkheid, tenzij de derde aan een beroepsgeheim is onderworpen. Op verzoek van de Opdrachtnemer legt de Opdrachtgever hem onverwijld de met de derde gesloten verplichtingsovereenkomsten over. De Opdrachtgever mag geen concurrent, d.w.z. een derde die met de Opdrachtnemer in een rechtstreekse concurrentieverhouding staat, met de uitvoering van de Controle belasten.

7.4 De Opdrachtgever documenteert het resultaat van de Controle en deelt dit aan de Opdrachtnemer mee. Bij fouten of onregelmatigheden die de Opdrachtgever vaststelt, dient hij de Opdrachtnemer onverwijld te informeren. Indien bij de Controle omstandigheden worden vastgesteld waarvan het toekomstig voorkomen wijzigingen van de voorgeschreven procedure vereist, deelt de Opdrachtgever de Opdrachtnemer de noodzakelijke procedurewijzigingen onverwijld mee.

8.1 De Opdrachtnemer ondersteunt de Opdrachtgever waar mogelijk door middel van passende technische en organisatorische maatregelen bij het nakomen van diens verplichtingen krachtens art. 12 tot en met 22 alsmede art. 32 tot en met 36 AVG. Indien een betrokkene zich rechtstreeks tot de Opdrachtnemer wendt om zijn rechten uit te oefenen, stuurt deze het verzoek onverwijld door aan de Opdrachtgever.

9.1 De huidige subverwerkers die voor de uitvoering van deze Verwerkersovereenkomst worden ingezet en tussen de Partijen zijn overeengekomen, zijn in Bijlage 2 afzonderlijk opgesomd.

9.2 Indien de Opdrachtnemer verdere subverwerkers met de verwerking van persoonsgegevens wil belasten, informeert hij de Opdrachtgever hierover vooraf en verleent hij hem het recht binnen 14 dagen bezwaar te maken tegen de inschakeling van de betreffende subverwerker, waarbij de Opdrachtgever uitsluitend om een zakelijke reden bezwaar mag maken. Indien deze termijn ongebruikt verstrijkt, geldt de aangekondigde subverwerker als goedgekeurd.

9.3 Indien het voor de Opdrachtnemer als gevolg van een tijdig bezwaar overeenkomstig artikel 9.2 niet mogelijk is de krachtens de Hoofdovereenkomst verschuldigde prestatie te verrichten, of dit slechts met economisch onredelijke inspanningen mogelijk is, komt de Opdrachtnemer een buitengewoon opzeggingsrecht toe.

9.4 De Opdrachtnemer selecteert subverwerkers zorgvuldig en verplicht hen contractueel overeenkomstig art. 28 lid 4 AVG. Hij stelt de Opdrachtgever de vereiste bewijsstukken over de naleving van deze verplichtingen ter beschikking. De controlerechten van de Opdrachtgever worden jegens de Opdrachtnemer overeenkomstig artikel 7 uitgeoefend. Bij verwerkingen in derde landen waarborgt de Opdrachtnemer de naleving van de voorwaarden van art. 44 e.v. AVG.

9.5 Van een subverwerkingsrelatie in de zin van deze bepalingen is geen sprake indien de Opdrachtnemer derden belast met diensten die als louter ondersteunende diensten zijn aan te merken. Daartoe behoren bijv. post-, transport- en verzenddiensten, schoonmaakdiensten, telecommunicatiediensten zonder concreet verband met de diensten die de Opdrachtnemer voor de Opdrachtgever verricht, en bewakingsdiensten.

10.1 Voor zover gegevensdragers en gegevensbestanden ter beschikking worden gesteld, blijven deze eigendom van de Opdrachtgever.

10.2 Na beëindiging van de contractueel overeengekomen diensten of eerder op een daartoe strekkend verzoek van de Opdrachtgever, doch uiterlijk bij beëindiging van deze Verwerkersovereenkomst, dient de Opdrachtnemer alle in zijn bezit gekomen documenten, verwerkings- en gebruiksresultaten en gegevensbestanden (alsmede kopieën of reproducties daarvan) die verband houden met de contractuele relatie aan de Opdrachtgever af te geven of op een met de gegevensbescherming verenigbare wijze te vernietigen, tenzij de Opdrachtgever anders bepaalt. Dit geldt ook voor test- en afgekeurd materiaal. Wettelijke bewaarplichten blijven onverlet. In zoverre wordt de verwerking beperkt tot de wettelijk vereiste opslag. Op verzoek bevestigt de Opdrachtnemer de verwijdering.

10.3 De Opdrachtnemer is verplicht de Gegevens die hem in verband met de Hoofdovereenkomst bekend zijn geworden, ook na het einde van de Hoofdovereenkomst vertrouwelijk te behandelen.

10.4 De geheimhoudingsplicht blijft van kracht na afloop van de Hoofdovereenkomst.

10.5 Een retentierecht is uitgesloten.

11.1 Voor de aansprakelijkheid van de Opdrachtnemer krachtens deze Verwerkersovereenkomst gelden de in de Hoofdovereenkomst opgenomen uitsluitingen en beperkingen van aansprakelijkheid. Voor zover derden jegens de Opdrachtnemer aanspraken geldend maken die erop berusten dat de Opdrachtgever verwijtbaar in strijd heeft gehandeld met deze Verwerkersovereenkomst of met een op hem als verwerkingsverantwoordelijke rustende verplichting inzake gegevensbescherming, vrijwaart de Opdrachtgever de Opdrachtnemer op eerste verzoek tegen deze aanspraken.

11.2 De Opdrachtnemer is jegens de Opdrachtgever ook aansprakelijk voor verwijtbare schendingen van verplichtingen inzake gegevensbescherming  door de door hem ingeschakelde subverwerkers, in de wettelijke omvang.

11.3 De Opdrachtgever verplicht zich de Opdrachtnemer op eerste verzoek te vrijwaren tegen alle eventuele geldboeten die aan de Opdrachtnemer worden opgelegd en die overeenkomen met het aandeel van de Opdrachtgever in de met de geldboete gesanctioneerde overtreding.

12.1 Op deze Verwerkersovereenkomst is het recht van de Bondsrepubliek Duitsland van toepassing.

12.2 Indien de Opdrachtgever een koopman (Kaufmann), een publiekrechtelijke rechtspersoon of een publiekrechtelijk afgezonderd vermogen is, is de rechter van de vestigingsplaats van de Opdrachtnemer bij uitsluiting bevoegd. De Opdrachtnemer blijft gerechtigd een vordering in te stellen bij de rechter van de vestigingsplaats van de Opdrachtgever.

12.3 Indien afzonderlijke bepalingen van deze Verwerkersovereenkomst ongeldig of niet uitvoerbaar zijn, tast dit de geldigheid van de overige bepalingen niet aan.