Datenschutzinformation: Postkartenaktion

Vertrag über gemeinsame Verantwortlichkeit nach Art. 26 DS-GVO

Vertrag über die Verarbeitung personenbezogener Daten in gemeinsamer Verantwortlichkeit der Parteien gemäß Art. 26 DS-GVO 

Präambel

Die ABDA – Bundesvereinigung Deutscher Apothekerverbände e. V. initiiert eine Postkarten-Aktion, welche es Patientinnen und Patienten ermöglichen soll, ihre persönliche Wertschätzung für die Apotheke vor Ort zu äußern und die Bundesregierung aufzufordern, die Apotheken vor Ort zu stärken und zu stabilisieren. Dazu sollen an die Bundesregierung adressierte Postkarten in Apotheken ausgelegt werden, die durch die Patientinnen und Patienten der teilnehmenden Apotheken mit Namen und Wohnort sowie einer persönlichen Botschaft über die Apotheke versehen werden können. Die ausgefüllten Postkarten werden von den teilnehmenden Apotheken direkt an das Aktionsbüro (Wentker-Druck GmbH, Gutenbergstr. 5-9, 48268 Greven) zurückgesendet. Die von der ABDA – Bundesvereinigung Deutscher Apothekerverbände e. V. beauftragte Kommunikationsagentur (Cyrano Kommunikation GmbH, Hohenzollernring 49-51, 48145 Münster) sichtet die Postkarten stichprobenartig und sucht einige heraus, um diese zu digitalisieren und – anonymisiert – auf einer Pressekonferenz im Rahmen der Aktion vorzustellen. Von der Summe der eingegangenen Postkarten soll ein Foto angefertigt werden. Die ausgewählten, digitalisierten Postkarten sollen auf einem USB-Stick – anonymisiert – der Politik und den Medien übergeben werden.

Die so beschriebene Aktion wird im Folgenden „Aktion“ genannt.

Die ABDA – Bundesvereinigung Deutscher Apothekerverbände e. V. schließt mit den an der Aktion teilnehmenden Apotheken diesen Vertrag über die gemeinsame Verantwortlichkeit nach Art.26 DSGVO. Der Abschluss dieses Vertrages über die gemeinsame Verantwortlichkeit ist Bedingung für die Teilnahme an der Aktion.

Die Durchführung der Aktion bringt es mit sich, dass die ABDA – Bundesvereinigung Deutscher Apothekerverbände e. V. und die an der Aktion teilnehmenden Apotheken gemeinsam über die Zwecke und/oder Mittel der Verarbeitung von bestimmten personenbezogenen Daten (nachfolgend nur "Daten" oder "Datenverarbeitung" genannt) bestimmen. Im Rahmen dieser Zusammenarbeit agieren sie als gemeinsame Verantwortliche i.S.v. Art. 26 DSGVO i.V.m. Art. 4 Nr. 7 DSGVO.

Dies vorausgeschickt, regeln die Parteien ihre datenschutzrechtlichen Rechte und Pflichten in Bezug auf die gemeinsame Verarbeitung der Daten i.S.d. Art 26 DSGVO wie folgt:

§ 1 Konkretisierung der Datenverarbeitung

• (1) Gegenstand der Datenverarbeitung ist die Durchführung der Aktion. Zur Durchführung der Aktion ist es erforderlich, dass die von der ABDA – Bundesvereinigung Deutscher Apothekerverbände e. V. bereitgestellten Postkarten in den Verkaufsräumlichkeiten der teilnehmenden Apotheken ausgelegt, von den Patientinnen und Patienten der teilnehmenden Apotheken beschriftet und dort auch abgegeben werden können. Die so gesammelten Postkarten werden von den teilnehmenden Apotheken im Sinne der weiteren Durchführung der Aktion an das Aktionsbüro (Wentker-Druck GmbH, Gutenbergstr. 5-9, 48268 Greven) zurückgesendet.
• (2) Der Zweck der Datenverarbeitung erschöpft sich in der Durchführung der Aktion. Die Mittel der Datenverarbeitung sind die zur Verfügung gestellten Postkarten, der Versand zwischen den an der Aktion beteiligten Akteure, die Auswertung der Postkarten durch die beauftragte Kommunikationsagentur (Cyrano Kommunikation GmbH, Hohenzollernring 49-51, 48145 Münster) und die Digitalisierung zwecks Verwertung gegenüber Politik und Medien. Der Umfang der Datenverarbeitung ist auf das zur Durchführung der Aktion erforderliche Maß beschränkt. Die Art der personenbezogenen Daten (Name, Wohnort), den Zweck und die Mittel der Datenverarbeitung wurden seitens der ABDA – Bundesvereinigung Deutscher Apothekerverbände e. V. als Initiatorin der Aktion bestimmt. Durch Teilnahme an der Aktion entscheiden die Apotheken darüber, ob die so bestimmten Parameter auf die von der ABDA – Bundesvereinigung Deutscher Apothekerverbände e. V. vorgesehene Weise zur Anwendung gelangen. Das gilt vom Zeitpunkt der Auslage der Postkarte in der Apotheke bis zum Rückversand der Postkarten an das Aktionsbüro.
• (3) Bei der Ansprache der Patientinnen und Patienten auf die Aktion in den Apotheken ist seitens des Apotheken-Personals auf die Freiwilligkeit der Teilnahme durch die Patientinnen und Patienten zu achten und darauf zu achten, dass es explizit nicht um die Angabe gesundheitsbezogener Daten geht. Es geht um eine Nachricht über die Wertschätzung für die Apotheke vor Ort.
• (4) Die Parteien stimmen darin überein, dass die Datenverarbeitung ausschließlich in der Bundesrepublik Deutschland stattfindet. 

§ 2 Zuständigkeitsaufteilung und Verantwortung bei der Datenverarbeitung

• (1) Die Apotheken sind im Sinne der Durchführung der Aktion für die Erhebung der Daten bei den Patientinnen und Patienten zuständig. Sie speichern diese Daten in einem analogen Dateiensystem, in dem sie die ausgefüllten Postkarten sammeln und als solche systematisiert an das Aktionsbüro zurücksenden. Die weitere Bearbeitung der Daten im Sinne der Durchführung der Aktion erfolgt dann durch die ABDA – Bundesvereinigung Deutscher Apothekerverbände e. V. bzw. des von ihr dazu beauftragten Kommunikationsbüros.
• (2) Beide Parteien dürfen die Daten nur innerhalb ihrer Zuständigkeiten und nur für die unter § 1 dieses Vertrags festgelegte Zwecke verwenden.
• (3) Ungeachtet der getroffenen Zuständigkeitsaufteilung hinsichtlich der Datenverarbeitung haften die Parteien gegenüber den Betroffenen gemeinsam für die Datenschutzkonformität der Verarbeitung (Art.26 Abs.3 DSGVO).

§ 3 Informationspflichten

• (1) Die Informationsplichten nach Art. 13 und 14 DSGVO werden von den teilnehmenden Apotheken erfüllt. Dafür stellt die ABDA – Bundesvereinigung Deutscher Apothekerverbände e. V. den Apotheken eine Datenschutzerklärung zur Verfügung.
• (2) Den betroffenen Personen sind die erforderlichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form unentgeltlich zur Verfügung zu stellen. Ferner hat die nach § 3 Absatz 1 dieses Vertrages zuständige Partei der betroffenen Person den wesentlichen Inhalt dieses Vertrags zur Verfügung zu stellen.

§ 4 Wahrnehmung sonstiger Betroffenenrechte

• (1) Für die Erfüllung der Betroffenenrechte nach Art. 15 ff. DSGVO ist die ABDA – Bundesvereinigung Deutscher Apothekerverbände e. V. zuständig.
• (2) Ungeachtet dessen sind sich die Parteien einig, dass sich betroffene Personen zwecks Wahrnehmung ihrer Betroffenenrechte an beide Parteien wenden können. In diesem Fall wird die jeweils andere Partei das Ersuchen an die nach § 4 Abs. 1 dieses Vertrags zuständige Partei unverzüglich weiterleiten.

§ 5 Datensicherheit

• (1) Die Parteien ergreifen die technischen und organisatorischen Maßnahmen, die nach Maßgabe der Artikel 32 und 25 DSGVO geeignet und erforderlich sind, ein dem Risiko für Rechte und Freiheiten der betroffenen Personen angemessenes Schutzniveau zu gewährleisten und die Datenschutzgrundsätze zu wahren.
• (2) Die technischen und organisatorischen Maßnahmen sind vor Beginn der Verarbeitung zu implementieren und müssen während der Dauer des Vertrages aufrechtgehalten werden.

§ 6 Vorgehen bei Datenschutzverletzungen/Kommunikation mit Aufsichtsbehörden

• (1) Für die Prüfung und Bearbeitung aller Verletzungen des Schutzes personenbezogener Daten, einschließlich der Erfüllung deshalb bestehender Meldepflichten gegenüber der zuständigen Aufsichtsbehörde (Art. 33 DSGVO) bzw. den Betroffenen (Art. 34 DSGVO) ist die die ABDA – Bundesvereinigung Deutscher Apothekerverbände e. V. zuständig.
• (2) Wird einer der Parteien eine Verletzung des Datenschutzes bekannt oder tritt eine sicherheitsrelevante Störung des Datenverarbeitungsprozesses auf, sind die Parteien ungeachtet der Zuständigkeitsverteilung verpflichtet, innerhalb ihrer Organisation unverzüglich Maßnahmen zu ergreifen, die zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen erforderlich sind. Der Vorfall ist der jeweils anderen Partei unverzüglich zu melden.
• (3) Ungeachtet der Zuständigkeitsverteilung gemäß § 6 Abs. 1 dieses Vertrages werden die Parteien der jeweils anderen Partei unverzüglich anzeigen, wenn sich eine Aufsichtsbehörde im Zusammenhang mit diesem Vertrag an sie wendet. Die Parteien stimmen darin überein, dass sie den Aufforderungen zuständiger Aufsichtsbehörden grundsätzlich Folge leisten werden, insbesondere in Bezug auf Anfragen und die Überlassung von Informationen.

§ 7 Sonstige Pflichten

• (1) Die Parteien werden alle mit der Datenverarbeitung beschäftigten Personen schriftlich zur Vertraulichkeit im Hinblick auf die Daten verpflichten.
• (2) Die Parteien führen ein Verzeichnis zu allen Kategorien von in gemeinsamer Verantwortung durchgeführten Tätigkeiten der Verarbeitung, das alle Angaben nach Art. 30 Abs. 2 DSGVO enthält.
• (3) Sofern und solange die gesetzlichen Voraussetzungen gegeben sind, werden die Parteien einen fachkundigen und zuverlässigen Datenschutzbeauftragten gemäß Art. 37 DSGVO bestellen und diesen in der Datenschutzerklärung angeben. Andernfalls ist in der Datenschutzerklärung darauf hinzuweisen, dass die Benennung eines Datenschutzbeauftragter nicht erforderlich ist.

§ 8 Einschaltung von Auftragsverarbeitern

• (1) Die ABDA – Bundesvereinigung Deutscher Apothekerverbände e. V. ist zum Abschluss eines Auftragsdatenverarbeitungsvertrags mit der Cyrano Kommunikation GmbH, Hohenzollernring 49-51, 48145 Münster, mit dem Recht zur Beauftragung von Subunternehmern (Wentker-Druck GmbH, Gutenbergstr. 5-9, 48268 Greven) im Sinne der Durchführung der Aktion berechtigt.
• (2) Die Einschaltung der Cyrano Kommunikation GmbH erfolgt durch schriftliche Vereinbarung, die den Anforderungen der Art. 28 und 29 DSGVO entspricht.
• (3) Die Cyrano Kommunikation GmbH wurde unter besonderer Berücksichtigung ihrer Eignung sorgfältig ausgewählt. Die ABDA – Bundesvereinigung Deutscher Apothekerverbände e. V. hat sich von der Einhaltung der seitens der Cyrano Kommunikation GmbH getroffenen technischen und organisatorischen Maßnahmen überzeugt.

§ 9 Haftung

• (1) Die Parteien haften gegenüber den Betroffenen nach Art. 82 DSGVO.
• (2) Im Innenverhältnis haften die Parteien einander nur für ihren Anteil an der haftungsauslösenden Ursache. § 9 Abs. 2 S. 1 dieses Vertrages gilt entsprechend im Falle einer gegen eine Partei wegen eines Verstoß gegen Datenschutzvorschriften verhängten Geldbuße, sofern die mit der Geldbuße belegte Partei die Rechtsmittel gegen den Bußgeldbescheid ausgeschöpft hat. Bleibt eine Partei mit einer Geldbuße belastet, die nicht ihrem Verantwortungsanteil an dem Verstoß entspricht, ist die jeweils andere Partei verpflichtet, sie von der Geldbuße in dem Umfang freizustellen, in dem sie die Verantwortung für den sanktionierten Verstoß trägt. Ungeachtet dessen bleibt durch diesen Vertrag die volle Eigenverantwortung der Parteien gegenüber Betroffenen unberührt (Art. 26 Abs. 3 DSGVO).

§ 10 Schlussbestimmungen

• (1) Für die Laufzeit und Beendigung des Vertrages gelten die Teilnahme und Durchführung der Aktion. Im Falle von Widersprüchen zwischen diesem Vertrag und den zwecks Durchführung der Aktion getroffenen Vereinbarungen gehen die Regelungen dieses Vertrages vor.
• (2) Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als unwirksam erweisen oder eine Lücke enthalten, bleiben die übrigen Vertragsbestimmungen und die Wirksamkeit des Vertrages im Ganzen hiervon unberührt. An die Stelle der unwirksamen Regelung soll eine gesetzlich zulässige Regelung treten, die dem Sinn und Zweck der unwirksamen Regelung am nächsten kommt und den Anforderungen des Art. 26 DSGVO entspricht.
• (3) Der Vertrag unterliegt deutschem Recht einschließlich der DSGVO. Gerichtsstand ist Berlin.