Terms
Datenverarbeitungsvereinbarung
Letzte Aktualisierung : 15. Oktober 2026
Diese Datenverarbeitungsvereinbarung einschließlich ihrer Anlagen und Verweise (die DVV) findet Anwendung, wenn eine Vertragspartei personenbezogene Daten im Auftrag der anderen Partei verarbeitet, um sicherzustellen, dass diese Verarbeitung im Einklang mit den geltenden Rechtsvorschriften erfolgt und die Rechte der Personen, deren personenbezogene Daten verarbeitet werden, gewahrt bleiben. Im Zusammenhang mit jeder Verarbeitungsmaßnahme bezeichnet „Verantwortlicher“ die Partei, die rechtmäßige, dokumentierte Anweisungen erteilt, und „Auftragsverarbeiter“ die Partei, die personenbezogene Daten in seinem Auftrag verarbeitet, einschließlich als Unterauftragsverarbeiter. Ist die auftraggebende Partei selbst ein Auftragsverarbeiter, so handelt es sich bei dem Begriff „Verantwortlicher“ um eine vertragliche Kurzbezeichnung, die nichts an ihrer rechtlichen Rolle ändert. Jede der beiden Parteien kann in beiden Rollen auftreten; die tatsächlichen Zwecke und Mittel bestimmen die rechtliche Rolle.
1. Begriffsbestimmungen
Vereinbarung bedeutet die zwischen Pax8 und der anderen Partei geschlossene Vereinbarung in Bezug auf die Dienstleistungen;
Verbundenes Unternehmen bedeutet jede Einrichtung, die das betreffende Unternehmen direkt oder indirekt kontrolliert, von ihm kontrolliert wird oder unter gemeinsamer Kontrolle mit ihm steht. Kontrolle im Sinne dieser Definition bedeutet direktes oder indirektes Eigentum oder Kontrolle von mehr als 50 % der Stimmrechtsanteile des Unternehmens;
CCPA bezeichnet den California Consumer Privacy Act von 2018;
Vertragliche Schutzmaßnahmen bedeutet (i) wenn die DSGVO Anwendung findet, die SCCs und (ii) wenn die UK General Data Protection Regulation (UK GDPR) Anwendung findet, die SCCs in der Fassung des anwendbaren UK-Zusatzes in Anhang 3 (UK-Zusatz);
Die Begriffe Verantwortlicher, betroffene Person, personenbezogene Daten (ungeachtet der Definition in Großbuchstaben, die weiter unten gegeben wird), Verarbeitung, und Auftragsverarbeiter haben die gleiche Bedeutung wie in der Datenschutzgesetzgebung definiert. Andere relevante Begriffe wie Geschäft, Geschäftszweck, Verbraucher, personenbezogene Daten, Verkauf (einschließlich der Begriffe verkaufen, verkauft und anderer Abwandlungen davon), Dienstleister und Dritte haben die Bedeutung, die diesen Begriffen gemäß CCPA zukommt;
Datenschutzgesetzgebung bezeichnet die geltenden nationalen, bundesstaatlichen, landesweiten, provinziellen und lokalen Gesetze und Vorschriften, die die Verwendung und Offenlegung von personenbezogenen Daten regeln;
DSGVO bezeichnet die Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung);
Pax8 bezeichnet das Pax8-Rechtssubjekt, das eine Partei dieser DVV und/oder dieser Vereinbarung ist und das personenbezogene Daten im Sinne der einschlägigen Datenschutzgesetze verarbeitet;
Personenbezogene Daten sind die personenbezogenen Daten, die jede der Parteien als Auftragsverarbeiter im Auftrag des Datenverantwortlichen verarbeitet;
Verletzung des Schutzes personenbezogener Daten bedeutet eine Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Änderung, zur unbefugten Offenlegung oder zum Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete personenbezogene Daten führt;
Eingeschränkte Übertragung bedeutet: (i) wenn die DSGVO gilt, eine Übertragung personenbezogener Daten aus dem EWR in ein Land außerhalb des EWR oder eine (Weiter-)Übertragung aus einem Land außerhalb des EWR innerhalb desselben Landes oder in ein anderes Land außerhalb des EWR, die nicht Gegenstand eines Angemessenheitsbeschlusses der Europäischen Kommission gemäß Artikel 45 DSGVO sind; und (ii) wenn die UK GDPR Anwendung findet, eine Übertragung personenbezogener Daten aus dem Vereinigten Königreich in ein anderes Land oder eine (Weiter-)Übertragung aus einem Land außerhalb des Vereinigten Königreichs innerhalb desselben Landes oder in ein anderes Land außerhalb des Vereinigten Königreichs, die nicht Gegenstand von Angemessenheitsvorschriften gemäß Artikel 45(1) UK GDPR in Verbindung mit Abschnitt 17A des United Kingdom Data Protection Act 2018 sind;
Dienstleistungen sind die Dienstleistungen oder Produkte, die von einer der Parteien in Übereinstimmung mit einer geltenden Vereinbarung zur Verfügung gestellt werden;
SCCs (standard contractual clauses) sind (i) die Standardvertragsklauseln zwischen für Datenverantwortlichen und Auftragsverarbeitern, die von der Europäischen Kommission in ihrem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 angenommen wurden, wie in Anhang 2 dargelegt (die „2021 Verantwortlicher-zu-Auftragsverarbeiter-Klauseln“); oder (ii) die Standardvertragsklauseln zwischen Auftragsverarbeitern, die von der Europäischen Kommission in ihrem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 angenommen wurden (die „2021 Auftragsverarbeiter-zu-Auftragsverarbeiter-Klauseln“); soweit anwendbar.
Unterauftragsverarbeiter bezeichnet jeden vom Auftragsverarbeiter beauftragten Auftragsverarbeiter, der sich bereit erklärt, personenbezogene Daten entgegenzunehmen, die im Zusammenhang mit den Dienstleistungen zur Verarbeitung im Auftrag des Verantwortlichen bestimmt sind;
Aufsichtsbehörde bezeichnet eine unabhängige öffentliche Behörde oder eine andere juristische Person, die in einem Land mit Datenschutzgesetzen eingerichtet wurde und für die Überwachung der geltenden Datenschutzgesetze zuständig ist.
2. Geltungsbereich und Anwendung dieser DVV
2.1 Diese DVV findet Anwendung, wenn diese DVV in die Vereinbarung einbezogen wird und eine Partei personenbezogene Daten im Auftrag der anderen Partei verarbeitet. Tritt der Verantwortliche im Auftrag seiner eigenen Kunden oder Auftraggeber als Auftragsverarbeiter auf, bestätigt der Verantwortliche, dass er von diesen ermächtigt ist, diese DVV abzuschließen und dem Auftragsverarbeiter in deren Namen Anweisungen zu erteilen; der Auftragsverarbeiter handelt dabei als Unterauftragsverarbeiter des Verantwortlichen, und der Verantwortliche bleibt gegenüber dem Auftragsverarbeiter für die von ihm erteilten Anweisungen verantwortlich sowie dafür, sicherzustellen, dass seine Kunden oder Auftraggeber an Bestimmungen gebunden sind, die mit dieser Datenverarbeitungsvereinbarung im Einklang stehen. Die Vertragsparteien verpflichten sich, die Bedingungen dieser DVV einzuhalten, die in die Vereinbarung aufgenommen und von den Parteien in ihrem eigenen Namen und dem ihrer verbundenen Unternehmen abgeschlossen wurde.
2.2 Gegenstand, Art, Zweck und Dauer der Verarbeitung, Arten personenbezogener Daten, Kategorien betroffener Personen, Aufbewahrungsfristen, Verarbeitungsorte sowie die anzuwendenden technischen und organisatorischen Maßnahmen sind vor Beginn der Verarbeitung in der Vereinbarung oder in einem versionsgekennzeichneten Verarbeitungsdatenblatt, das ausdrücklich in die Vereinbarung aufgenommen wurde, im Einzelnen festzulegen. Für Pax8 gelten die Angaben, die im Pax8 Trust Center unter folgender Adresse veröffentlicht sind: https://trust.pax8.com/ und wie anderweitig in den spezifischen Produktbedingungen, den Dienstleistungsbedingungen und/oder dem Leistungsumfang festgelegt. Die in Anhang 1 aufgeführten länderspezifischen Bedingungen gelten ebenfalls für alle personenbezogenen Daten, die durch die Datenschutzgesetze in den jeweiligen Rechtsordnungen geschützt sind. Die Einzelheiten zur Datenverarbeitung ergänzen diese DVV und unterliegen Abschnitt 12.1.
2.3 Jede Partei hat bei der Datenverarbeitung, die sie für eigene Zwecke durchführt, die Datenschutzgesetze einzuhalten. In der Vereinbarung oder dem darin enthaltenen Datenblatt sind die Rollen und etwaige Zwecke anzugeben. Ein Auftragsverarbeiter darf personenbezogene Daten nicht für eigene Zwecke oder zum Trainieren oder Feinabstimmen von KI-Modellen verwenden, es sei denn, dies ist in der Vereinbarung ausdrücklich gestattet; er darf lediglich aggregierte Informationen ableiten, die keine Rückschlüsse auf einzelne Personen zulassen und bei denen vernünftigerweise nicht davon ausgegangen werden kann, dass sie zur Identifizierung einer Person verwendet werden können.
2.4 Der übrige Teil dieser DVV gilt nur insoweit, als eine der Parteien in Bezug auf die betreffenden personenbezogenen Daten als Auftragsverarbeiter auftritt.
3. Datenverarbeitung
Der Auftragsverarbeiter verpflichtet sich, die personenbezogenen Daten gemäß den datenschutzrechtlichen Vorschriften und dieser DVV zu verarbeiten. Insbesondere verpflichtet sich der Auftragsverarbeiter zu Folgendem:
3.1 ausschließlich auf schriftliche Anweisungen und Weisungen des Verantwortlichen hin zu handeln, auch im Hinblick auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation, es sei denn, der Auftragsverarbeiter ist aufgrund von Gesetzen, denen er unterliegt, dazu verpflichtet; in einem solchen Fall hat der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese gesetzliche Verpflichtung zu informieren, es sei denn, dieses Gesetz verbietet eine solche Unterrichtung aus wichtigen Gründen des öffentlichen Interesses. Für die Zwecke dieses Abschnitts umfassen die Anweisungen des Verantwortlichen die Anweisungen, die in dieser DVV, der Vereinbarung oder anderweitig vom Verantwortlichen gegebenenfalls erhalten werden; Zulässige Konfigurationen, Eingabeaufforderungen und Maßnahmen, die im Rahmen der vereinbarten Zwecke und Berechtigungen vorgenommen werden, können als dokumentierte Anweisungen gelten; Inhalte von Dritten, auf die die Dienste stoßen, stellen jedoch keine Anweisung dar und berechtigen nicht zu einer zusätzlichen Verarbeitung oder zu weiteren Berechtigungen;
3.2 die personenbezogenen Daten nur auf dokumentierte Anweisung des Verantwortlichen an staatliche Stellen oder Dritte weiterzugeben (einschließlich der Weitergabe an autorisierte Unterauftragsverarbeiter gemäß Abschnitt 4) oder sofern dies zur Einhaltung gesetzlicher Vorschriften oder einer verbindlichen Anordnung einer staatlichen Stelle erforderlich ist. Sofern dies nicht gegen geltendes Recht oder eine verbindliche Anordnung verstoßen würde, wird der Auftragsverarbeiter den Verantwortlichen über jede rechtliche Anforderung oder Anordnung in Kenntnis setzen;
3.3 den Verantwortlichen unverzüglich zu benachrichtigen, wenn der Auftragsverarbeiter der Ansicht ist, dass die Befolgung von Anweisungen des Verantwortlichen zu einem Verstoß gegen die Datenschutzvorschriften führen würde;
3.4 geeignete technische und organisatorische Maßnahmen zu ergreifen und aufrechtzuerhalten, um die im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten gemäß den Anforderungen der Datenschutzgesetzgebung angemessen vor Zerstörung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff zu schützen.
3.5 sicherzustellen, dass alle Mitarbeiter des Auftragsverarbeiters, die mit der Verarbeitung personenbezogener Daten betraut sind, sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Vertraulichkeitspflicht unterliegen, die nicht weniger streng ist als die in der Vereinbarung enthaltenen Vertraulichkeitsverpflichtungen; 3.6 dem Verantwortlichen auf Anfrage angemessene Unterstützung zu leisten, um ihn bei der Erfüllung seiner Verpflichtungen gemäß der Datenschutzgesetzgebung (einschließlich der Artikel 32 bis 36 der UK GDPR und der EU-DSGVO, soweit anwendbar) und/oder bei der Beantwortung von Anfragen betroffener Personen zu unterstützen;
3.7 alle geeigneten Maßnahmen gemäß Artikel 32 der UK GDPR und/oder der EU-DSGVO (je nach Anwendbarkeit) zu ergreifen, unter Berücksichtigung des Stands der technischen Entwicklung und der Kosten für die Umsetzung der Maßnahmen;
3.8 Aufzeichnungen über seine Verarbeitungstätigkeiten zu führen und dem Datenverantwortlichen die Zusammenarbeit und die Informationen zur Verfügung zu stellen, die für den Verantwortlichen erforderlich sind, um die Einhaltung seiner Verpflichtungen gemäß der Datenschutzgesetzgebung nachzuweisen;
4. Unterauftragsverarbeiter
4.1 Beauftragte Unterauftragsverarbeiter Der Verantwortliche erklärt sich damit einverstanden, dass der Auftragsverarbeiter Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen beauftragen darf. Bei den vom Auftragsverarbeiter beauftragten und vom Verantwortlichen autorisierten Unterauftragsverarbeitern handelt es sich um diejenigen, die in dem genehmigten, versionierten Verzeichnis der Unterauftragsverarbeiter aufgeführt sind, das ausdrücklich Bestandteil dieser Vereinbarung ist. Die Unterauftragsverarbeiter von Pax8 sind im Pax8 Trust Center unter folgender Adresse veröffentlicht: https://trust.pax8.com/ und wie anderweitig in den spezifischen Produktbedingungen, den Dienstleistungsbedingungen und/oder dem Leistungsumfang festgelegt; bei von der anderen Partei erbrachten Dienstleistungen ist das genehmigte Verzeichnis dieser Partei anzugeben. Der Auftragsverarbeiter hat den Verantwortlichen mindestens dreißig (30) Tage vor Beginn der Verarbeitung personenbezogener Daten durch einen Unterauftragsverarbeiter schriftlich über die beabsichtigte Hinzunahme oder den beabsichtigten Austausch eines Unterauftragsverarbeiters zu unterrichten, damit der Verantwortliche seine Einspruchsrechte gemäß Anhang 1, der Datenschutzgesetzgebung und den vertraglichen Schutzmaßnahmen ausüben kann. Die Benachrichtigung kann per E-Mail an die in der Vereinbarung angegebene Kontaktperson oder an eine E-Mail-Adresse erfolgen, die der Verantwortliche für den Empfang von Benachrichtigungen des Unterauftragsverarbeiters registriert hat; die Veröffentlichung einer Änderung auf einer Website ohne Benachrichtigung des Verantwortlichen gilt nicht als ausreichende Benachrichtigung. Ist eine kürzere Frist erforderlich, um die Sicherheit oder Kontinuität der Dienste zu gewährleisten, hat der Auftragsverarbeiter den Verantwortlichen so bald wie vernünftigerweise möglich zu benachrichtigen, wobei die Widerspruchsrechte des Verantwortlichen weiterhin gelten. Der Auftragsverarbeiter hat den Verantwortlichen zudem über die Ablösung eines Unterauftragsverarbeiters zu unterrichten.
4.2 Pflichten von Unterauftragsverarbeitern Der Auftragsverarbeiter wird: (i) mit jedem Unterauftragsverarbeiter einen schriftlichen Vertrag abschließen, der Datenschutzverpflichtungen enthält, die mindestens das gleiche Schutzniveau für personenbezogene Daten bieten wie die in dieser DVV enthaltenen, soweit dies auf die Art der von diesem Unterauftragsverarbeiter erbrachten Dienstleistung zutrifft und von der geltenden Datenschutzgesetzgebung gefordert wird; und (ii) für die Einhaltung der Verpflichtungen dieser DVV durch diesen Unterauftragsverarbeiter und für alle Handlungen oder Unterlassungen dieses Unterauftragsverarbeiters verantwortlich bleiben, die dazu führen, dass der Auftragsverarbeiter eine seiner Verpflichtungen aus dieser DVV verletzt. Der Verantwortliche erkennt an und erklärt sich damit einverstanden, dass der Auftragsverarbeiter seine Verpflichtungen gemäß Klausel 9 der SCCs (soweit zutreffend) durch die Einhaltung dieses Abschnitts erfüllt und dass der Auftragsverarbeiter aufgrund von Vertraulichkeitsbeschränkungen daran gehindert sein kann, dem Verantwortlichen Unterauftragsverarbeitervereinbarungen offenzulegen, aber der Auftragsverarbeiter wird sich auf Anfrage in angemessener Weise bemühen, dem Verantwortlichen alle relevanten Informationen zur Verfügung zu stellen, die ihm im Zusammenhang mit Unterauftragsverarbeitervereinbarungen möglich sind.
5. Datenübertragung
5.1 Der Verantwortliche ermächtigt den Auftragsverarbeiter und seine Unterauftragsverarbeiter, eingeschränkte Übertragungen personenbezogener Daten vorzunehmen, um die Anweisungen des Verantwortlichen im Rahmen dieser DVV zu erfüllen und die Verpflichtungen aus dem Vertrag zu erfüllen, sofern diese eingeschränkte Übertragung mit der Datenschutzgesetzgebung übereinstimmt.
5.2 Standorte von Rechenzentren Der Verantwortliche erkennt an, dass der Auftragsverarbeiter personenbezogene Daten an die in der Vereinbarung oder in den gemäß Abschnitt 2.2 beigefügten Einzelheiten zur Datenverarbeitung genannten Standorte übertragen und dort verarbeiten darf, wozu auch die Vereinigten Staaten und andere Länder gehören können, in denen der Auftragsverarbeiter, seine verbundenen Unternehmen oder seine Unterauftragsverarbeiter Datenverarbeitungsvorgänge durchführen. Der Auftragsverarbeiter stellt jederzeit sicher, dass solche Übertragungen in Übereinstimmung mit den Anforderungen der Datenschutzgesetzgebung und dieser DVV erfolgen.
5.3 Datenübertragung EWR Soweit die personenbezogenen Daten durch die DSGVO geschützt sind und eine Übertragung in ein Land außerhalb des Europäischen Wirtschaftsraums (EWR) erforderlich ist, das nicht als Land anerkannt ist, das ein angemessenes Schutzniveau für personenbezogene Daten bietet (wie in der DSGVO oder den geltenden Datenschutzgesetzen in Europa beschrieben), verpflichten sich die Parteien, diese personenbezogenen Daten in Übereinstimmung mit den SCCs zu verarbeiten, die in diese DVV aufgenommen werden und einen integralen Bestandteil dieser DVV bilden sollen. Modul 2 findet Anwendung, wenn der tatsächliche Datenexporteur der Verantwortliche und der Importeur der Auftragsverarbeiter ist. Modul 3 findet Anwendung, wenn der tatsächliche Datenexporteur ein Auftragsverarbeiter ist und der Importeur dessen Auftragsverarbeiter oder Unterauftragsverarbeiter ist. Gemäß Klausel 9(a) der SCCs gilt Option 2 (allgemeine schriftliche Ermächtigung), und die Kündigungsfrist beträgt die in Abschnitt 4.1 festgelegten dreißig (30) Tage. Die erforderlichen Angaben zu den beteiligten Parteien, die Modulauswahl sowie die Einzelheiten der Anhänge sind vor der tatsächlichen Datenübertragung zu vervollständigen; die vertragliche Kurzbezeichnung „Verantwortlicher“ ist nicht ausschlaggebend für die Festlegung der Rollen im Rahmen der SCCs.
5.4 Datenübertragung Vereinigtes Königreich Für Übertragungen, für welche die UK GDPR oder der britische Data Protection Act 2018 Anwendung finden, gelten die SCCs in der durch den UK-Zusatz geänderten Fassung. Der UK-Zusatz gilt als von den Parteien ausgefertigt, wird in diese DVV aufgenommen und bildet einen integralen Bestandteil derselben.
6. Rechte betroffener Personen
6.1 Der Auftragsverarbeiter hat folgende Pflichten:
6.1.1 Sobald der Auftragsverarbeiter Kenntnis davon erlangt, hat er den Verantwortlichen unverzüglich zu benachrichtigen, falls er von einer betroffenen Person eine Anfrage gemäß den Bestimmungen eines Datenschutzgesetzes in Bezug auf personenbezogene Daten erhält;
6.1.2 nicht auf diese Anfrage zu reagieren, außer auf dokumentierte Anweisungen des Verantwortlichen oder auf Verlangen einer Aufsichtsbehörde; und
6.1.3 auf Ersuchen des Verantwortlichen, sofern dies nach den datenschutzrechtlichen Vorschriften erforderlich ist und im Rahmen der Dienstleistungen erfolgt, den Verantwortlichen in angemessener Weise bei der Bearbeitung einer berechtigten Anfrage einer betroffenen Person zu unterstützen, soweit der Verantwortliche dieser Anfrage ohne die Unterstützung des Auftragsverarbeiters nicht nachkommen kann. Der Auftragsverarbeiter kann diesem Ersuchen nachkommen, indem er Funktionen bereitstellt, die es dem Verantwortlichen ermöglichen, derartigen Anfragen betroffener Personen ohne zusätzliche Verarbeitung durch den Auftragsverarbeiter nachzukommen. Sofern eine solche Funktion nicht verfügbar ist, muss der Verantwortliche, damit der Auftragsverarbeiter eine angemessene Unterstützung leisten kann, dem Auftragsverarbeiter diese Anfrage schriftlich übermitteln und dabei ausreichende Informationen bereitstellen, die es dem Auftragsverarbeiter ermöglichen, den betreffenden Datensatz zu identifizieren und anschließend zu berichtigen, zu exportieren oder zu löschen.
7. Verletzung des Schutzes personenbezogener Daten
7.1 Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, wenn der Auftragsverarbeiter oder ein Unterauftragsverarbeiter von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt, und wenn die anwendbare Datenschutzgesetzgebung eine Meldung an eine Aufsichtsbehörde innerhalb von 72 Stunden vorschreiben, muss diese Benachrichtigung innerhalb von 48 Stunden an den Verantwortlichen erfolgen. Vorbehaltlich des nachstehenden Abschnitts 7.3 muss eine solche Benachrichtigung mindestens folgende Angaben enthalten: 7.1.1 eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, der Kategorien und der Anzahl der betroffenen Personen sowie der Kategorien und der Anzahl der betroffenen Datensätze;
7.1.2 den Namen und die Kontaktdaten des Datenschutzbeauftragten des Auftragsverarbeiters oder eines anderen zuständigen Ansprechpartners, bei dem weitere Informationen eingeholt werden können;
7.1.3 eine Beschreibung der voraussichtlichen Folgen der Verletzung des Schutzes personenbezogener Daten, soweit der Auftragsverarbeiter dies unter Berücksichtigung der Art der Dienstleistungen und der Verletzung des Schutzes personenbezogener Daten feststellen kann; und
7.1.4 eine Beschreibung der Maßnahmen, die ergriffen wurden oder ergriffen werden sollen, um die Verletzung des Schutzes personenbezogener Daten zu beheben.
7.2 Der Auftragsverarbeiter arbeitet mit dem Verantwortlichen zusammen und unternimmt die angemessenen kommerziellen Schritte, die erforderlich sind, um bei der Untersuchung, Eindämmung und Behebung einer solchen Verletzung des Schutzes personenbezogener Daten zu helfen.
7.3 Wenn es nicht möglich ist, die in Abschnitt 7.1 genannten Informationen gleichzeitig zu übermitteln, können die Informationen ohne unangemessene Verzögerung schrittweise bereitgestellt werden. Die Verpflichtung des Auftragsverarbeiters, eine Verletzung des Schutzes personenbezogener Daten zu melden oder darauf zu reagieren, ist nicht als Anerkennung eines Verschuldens oder einer Haftung seitens des Auftragsverarbeiters (oder seiner verbundenen Unternehmen) in Bezug auf eine Verletzung des Schutzes personenbezogener Daten zu verstehen und wird nicht als solche ausgelegt. 7.4 Der Verantwortliche erklärt sich damit einverstanden, dass der Auftragsverarbeiter nicht verpflichtet ist, den Verantwortlichen zu benachrichtigen, wenn ein Versuch unternommen wird, sich Zugang zu den personenbezogenen Daten oder der Infrastruktur und den Netzwerken zu verschaffen, die die Dienstleistungen bereitstellen (wie in der Vereinbarung definiert) (einschließlich Pings, Denial-of-Service-Angriffe, Angriffe auf Firewalls oder Edge-Server, Port-Scans, erfolglose Anmeldeversuche, Packet-Sniffing oder andere unbefugte Zugriffe auf Verkehrsdaten), der nicht zu einer Verletzung des Schutzes personenbezogener Daten führt.
8. Dauer, Beendigung, Rückgabe oder Löschung personenbezogener Daten
8.1 Diese DVV wird wirksam, wenn die Vereinbarung der Parteien in Kraft tritt, in die diese DVV aufgenommen wurde.
8.2 Diese DVV erlischt automatisch mit dem späteren der folgenden Zeitpunkte: (i) Beendigung oder Ablauf der Vereinbarung und (ii) Beendigung der Verarbeitung der personenbezogenen Daten durch den Auftragsverarbeiter. Bei Beendigung dieser DVV löscht der Auftragsverarbeiter alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten (und bestätigt die Löschung auf Verlangen), es sei denn, der Verantwortliche verlangt die Rückgabe der personenbezogenen Daten oder die Datenschutzgesetzgebung schreibt die Aufbewahrung dieser personenbezogenen Daten vor. Bis zur vollständigen Rückgabe oder Löschung, einschließlich während einer gesetzlich vorgeschriebenen Aufbewahrungsfrist, gewährleistet diese DVV weiterhin den Schutz der personenbezogenen Daten.
9. Andere Datenschutzgesetze
9.1 Soweit sich die Verarbeitung auf personenbezogene Daten bezieht, die aus einer Gerichtsbarkeit stammen oder einer Rechtsordnung unterliegen, die über die in dieser DVV festgelegten Anforderungen hinausgeht, können beide Parteien zusätzliche Maßnahmen vereinbaren, die erforderlich sind, um die Einhaltung der geltenden Datenschutzgesetzgebung zu gewährleisten und jede zusätzliche Maßnahme, auf die sich die Parteien geeinigt haben, wird in einem ordnungsgemäß ausgefertigten schriftlichen Zusatz oder einer Änderung zu dieser DVV oder in einer Anordnung dokumentiert.
9.2 Sollte aufgrund einer Änderung der Datenschutzgesetzgebung eine Anpassung dieser DVV erforderlich sein, einschließlich etwaiger Anpassungen der vertraglichen Schutzmaßnahmen, so kann jede Partei die andere Partei schriftlich über diese Gesetzesänderung in Kenntnis setzen. Die Parteien werden nach Treu und Glauben alle notwendigen Änderungen dieser DVV, einschließlich der vertraglichen Schutzmaßnahmen, besprechen und aushandeln, um solche Änderungen zu berücksichtigen.
10. Überprüfungs-, Audit- und Inspektionsrechte
10.1 Auf begründete Aufforderung des Verantwortlichen legt der Auftragsverarbeiter alle relevanten und erforderlichen Unterlagen, Dokumentationen und Informationen in Bezug auf die technischen und organisatorischen Sicherheitsmaßnahmen des Auftragsverarbeiters zum Schutz der personenbezogenen Daten im Zusammenhang mit den erbrachten Dienstleistungen vor, um die Einhaltung der Datenschutzgesetze nachzuweisen.
10.2 Der Auftragsverarbeiter stellt sicher, dass mindestens einmal jährlich ein Sicherheitsaudit seiner technischen und organisatorischen Sicherheitsmaßnahmen in Übereinstimmung mit der Datenschutzgesetzgebung durchgeführt wird. Ein solches Sicherheitsaudit wird von einem qualifizierten oder unabhängigen Auditor gemäß ISO 27001 oder einer gleichwertigen, anerkannten Norm durchgeführt. Die Ergebnisse eines solchen Sicherheitsaudits werden in einem zusammenfassenden Bericht dokumentiert. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage unverzüglich (i) eine vertrauliche Zusammenfassung eines solchen Berichts und (ii) Nachweise über die angemessene Behebung kritischer Probleme innerhalb von vier (4) Wochen ab dem Datum der Ausstellung des Auditberichts zur Verfügung.
10.3 Sollte der Verantwortliche nach Abschluss der in den vorstehenden Abschnitten 10.1 und 10.2 dargelegten Schritte Grund zu der Annahme haben, dass der Auftragsverarbeiter die Datenschutzvorschriften nicht einhält, kann der Verantwortliche vom Auftragsverarbeiter verlangen, dass dieser – entweder im Rahmen eines Webinars oder bei einer persönlichen Überprüfung – Auszüge aus allen relevanten Informationen zur Verfügung stellt, die erforderlich sind, um die Einhaltung der Datenschutzvorschriften weiter nachzuweisen. Der für die Durchführung einer solchen Überprüfung zuständige Verantwortliche hat den Auftragsverarbeiter in angemessener Frist über jede Überprüfung zu unterrichten, indem er sich an den Datenschutzbeauftragten des Auftragsverarbeiters wendet und eine Anfrage über den in der Vereinbarung genannten Ansprechpartner für Datenschutzangelegenheiten des Auftragsverarbeiters einreicht.
10.4 Die Rechte des Verantwortlichen gemäß diesem Abschnitt dürfen nur einmal pro Kalenderjahr ausgeübt werden, es sei denn, der Verantwortliche hat berechtigten Grund zu der Annahme, dass der Auftragsverarbeiter seine Verpflichtungen aus dieser DVV oder den Datenschutzvorschriften in erheblicher Weise verletzt. Keine Bestimmung in diesem Abschnitt schränkt die gemäß den Datenschutzvorschriften oder den vertraglichen Schutzmaßnahmen vorgeschriebenen Prüfungs- oder Kontrollrechte ein.
11. Haftung
11.1 Die in der Vereinbarung festgelegten Haftungsbeschränkungen und -ausschlüsse einer Partei gelten für die Haftung dieser Partei im Rahmen dieser DVV (und der vertraglichen Schutzmaßnahmen), wobei das Vorstehende nicht dazu dient, die Haftung einer Partei gegenüber einer betroffenen Person im Rahmen der vertraglichen Garantien zu beschränken oder auszuschließen.
12. Allgemeines
12.1 Im Falle eines Widerspruchs zwischen den Bestimmungen der Vereinbarung und den Bestimmungen dieser DVV haben die Bestimmungen der DVV Vorrang, mit der Ausnahme, dass die in der Vereinbarung oder in einem gemäß den Abschnitten 2.2, 2.3 und 4.1 festgelegten Rollen, Verarbeitungsdetails und das Verzeichnis der Unterauftragsverarbeiter wie dort angegeben gelten, sofern keine Bestimmung der Vereinbarung oder eines Datenblatts den durch diese DVV oder die vertraglichen Schutzmaßnahmen gewährten Schutz personenbezogener Daten einschränkt. Im Falle eines Widerspruchs oder einer Unstimmigkeit zwischen dieser DVV und den vertraglichen Schutzmaßnahmen haben die vertraglichen Schutzmaßnahmen Vorrang.
12.2 Änderungen oder Ergänzungen dieser DVV bedürfen der Schriftform und müssen zwischen den Parteien vereinbart werden, um wirksam zu sein. Dies gilt auch für Änderungen dieses Schriftformerfordernisses. Für die Zwecke dieses Abschnitts schließt das Erfordernis der Schriftform die Unterzeichnung durch handelsübliche elektronische Mittel ein, nicht aber die E-Mail. Sofern die Vereinbarung einer Partei gestattet, die von ihr veröffentlichten Bestimmungen zu aktualisieren (einschließlich dieser DVV, Datenblätter und Verzeichnisse der Unterauftragsverarbeiter), treten diese Aktualisierungen gemäß den Bestimmungen der Vereinbarung in Kraft, sofern keine Aktualisierung den durch die vertraglichen Schutzmaßnahmen oder die Datenschutzgesetzgebung gewährten Schutz mindert und etwaige Änderungen an den vertraglichen Schutzmaßnahmen gemäß Abschnitt 9.2 vereinbart werden.
12.3 Sollte eine Bestimmung dieser DVV unwirksam sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen davon unberührt.
12.4 Etwaige Verpflichtungen, die sich aus gesetzlichen Bestimmungen oder aufgrund einer gerichtlichen oder behördlichen Entscheidung ergeben, bleiben von dieser DVV unberührt.
12.5 Diese DVV unterliegt demselben Recht wie die Vereinbarung zwischen den Parteien, mit der Maßgabe, dass a) für personenbezogene Daten, die dem Schutz der DSGVO unterliegen, niederländisches Recht gilt und b) für die vertraglichen Schutzmaßnahmen das Recht gilt, das nach den jeweils anwendbaren vertraglichen Schutzmaßnahmen maßgeblich ist.
Anhang 1: Gerichtsbarkeitsspezifische Bedingungen
EU:
- Widerspruch gegen Unterauftragsverarbeiter Der Verantwortliche kann innerhalb von dreißig (30) Kalendertagen nach Erhalt einer Mitteilung gemäß Abschnitt 4 der DVV schriftlich Widerspruch gegen die Benennung eines neuen Unterauftragsverarbeiters durch den Auftragsverarbeiter einlegen, sofern dieser Widerspruch auf triftigen Gründen im Zusammenhang mit dem Datenschutz beruht. In einem solchen Fall werden die Parteien diese Bedenken in gutem Glauben erörtern, um eine wirtschaftlich angemessene Lösung zu finden. Wenn keine solche Lösung erreicht werden kann, wird der Auftragsverarbeiter nach eigenem Ermessen entweder einen solchen Unterauftragsverarbeiter nicht ernennen oder es dem Verantwortlichen gestatten, die betreffende Dienstleistung gemäß den Kündigungsbestimmungen in der Vereinbarung auszusetzen oder zu beenden, ohne dass eine der Parteien dafür haftbar gemacht werden kann (jedoch unbeschadet der Gebühren, die dem Verantwortlichen vor der Aussetzung oder Beendigung entstanden sind).
- Anfragen von Behörden auf Zugang zu Daten In der Regel gewährt der Auftragsverarbeiter staatlichen Stellen oder Behörden (einschließlich Strafverfolgungsbehörden) nicht freiwillig Zugang zu Konten beim Auftragsverarbeiter oder Informationen über diese Konten (einschließlich personenbezogener Daten). Erhält der Auftragsverarbeiter eine zwingende Aufforderung (sei es durch eine Vorladung, einen Gerichtsbeschluss, einen Durchsuchungsbefehl oder ein anderes gültiges rechtliches Verfahren) von einer staatlichen Stelle oder Behörde (einschließlich Strafverfolgungsbehörden) bezüglich des Zugriffs auf oder der Auskunft über das Konto des Auftragsverarbeiters (einschließlich personenbezogener Daten), das einem Verantwortlichen gehört, dessen primäre Kontaktdaten darauf hindeuten, dass der Verantwortliche seinen Sitz in der EU hat, hat der Auftragsverarbeiter: (i) die Rechtmäßigkeit der Anfrage zu prüfen; (ii) der staatlichen Behörde mitzuteilen, dass der Auftragsverarbeiter als Auftragsverarbeiter der Daten fungiert; (iii) zu versuchen, die Behörde dazu anzuleiten, die Daten direkt vom Verantwortlichen anzufordern; (iv) den Verantwortlichen per E-Mail an dessen primäre Kontakt-E-Mail-Adresse über die Anfrage in Kenntnis setzen, damit der Verantwortliche eine Schutzanordnung oder andere geeignete Rechtsmittel beantragen kann; und (v) bei der Beantwortung der Anfrage an die Behörde oder Stelle auf der Grundlage einer angemessenen Auslegung der Anfrage nur die minimal zulässigen Informationen bereitstellen. Im Rahmen dieser Bemühungen kann der Auftragsverarbeiter die Haupt- und Rechnungskontaktdaten des Verantwortlichen an die Behörde weitergeben. Der Auftragsverarbeiter ist nicht verpflichtet, diesem Absatz 2 nachzukommen, wenn ihm dies gesetzlich untersagt ist oder wenn er in gutem Glauben und nach vernünftigem Ermessen davon ausgeht, dass ein dringender Zugriff erforderlich ist, um eine unmittelbar drohende Gefahr eines schwerwiegenden Schadens für eine Person, die öffentliche Sicherheit oder das Eigentum des Auftragsverarbeiters, die Website des Auftragsverarbeiters oder den Dienst abzuwenden. Sollte es dem Auftragsverarbeiter jedoch gesetzlich untersagt sein, den Verantwortlichen über solche Anfragen zu informieren, so hat er sich nach besten Kräften zu bemühen, eine Aufhebung dieses Verbots zu erwirken.
Kalifornien:
- Sofern nicht anders angegeben, umfassen die Definitionen von: „Verantwortlicher“ auch „Unternehmen“; „Auftragsverarbeiter“ auch „Dienstleister“; „betroffene Person“ auch „Verbraucher“; „personenbezogene Daten“ auch „personenbezogene Informationen“; jeweils im Sinne des CCPA.
- Ausschließlich für den Abschnitt „Kalifornien“ umfassen „zulässige Zwecke“ die Verarbeitung personenbezogener Daten ausschließlich zu den in dieser DVV beschriebenen Zwecken und in Übereinstimmung mit den in dieser DVV festgelegten, dokumentierten rechtmäßigen Anweisungen des Verantwortlichen, soweit dies zur Einhaltung geltender Gesetze erforderlich ist oder anderweitig schriftlich vereinbart wurde, einschließlich, jedoch nicht beschränkt auf in der Vereinbarung oder wie dies anderweitig für „Dienstleister“ gemäß dem CCPA zulässig sein mag.
- Sofern und soweit der Auftragsverarbeiter personenbezogene Daten verarbeitet, bei denen es sich um personenbezogene Informationen im Sinne des CCPA handelt, fungiert der Auftragsverarbeiter als Dienstleister und der Verantwortliche als Unternehmen, jeweils im Sinne des CCPA. Der Verantwortliche gibt diese personenbezogenen Daten an den Auftragsverarbeiter ausschließlich weiter, um (i) einen berechtigten geschäftlichen Zweck zu erfüllen und (ii) dem Auftragsverarbeiter die Erbringung der Dienstleistungen gemäß der Vereinbarung zu ermöglichen. Der Auftragsverarbeiter wird (i) die personenbezogenen Daten weder verkaufen noch weitergeben; (ii) sie zu keinem anderen Zweck – einschließlich kommerzieller Zwecke – speichern, verwenden oder offenlegen als zur Erbringung der Dienstleistungen oder soweit dies gemäß dem CCPA anderweitig zulässig ist; und (iii) sie nicht außerhalb der direkten Geschäftsbeziehung zwischen den Parteien speichern, verwenden oder offenlegen.
- Die Verpflichtungen des Auftragsverarbeiters hinsichtlich Anfragen betroffener Personen, wie in Abschnitt 6 (Rechte betroffener Personen) dieser DVV beschrieben, erstrecken sich auch auf Anfragen im Rahmen des CCPA.
- Ungeachtet etwaiger an anderer Stelle in dieser DVV enthaltener Nutzungsbeschränkungen verarbeitet der Auftragsverarbeiter personenbezogene Daten zur Erbringung der Dienstleistung, für die zulässigen Zwecke und/oder gemäß den dokumentierten rechtmäßigen Anweisungen des Verantwortlichen oder soweit dies nach geltendem Recht anderweitig zulässig oder erforderlich ist.
- Ungeachtet etwaiger Nutzungsbeschränkungen, die an anderer Stelle in diesem Anhang 1 enthalten sind, darf der Auftragsverarbeiter personenbezogene Daten nur in dem Umfang anonymisieren oder aggregieren, wie dies gemäß Abschnitt 2.3 der DVV und der Vereinbarung zulässig ist. 7 Sofern Unterauftragsverarbeiter personenbezogene Daten von Kontakten des Verantwortlichen verarbeiten, ergreift der Auftragsverarbeiter Maßnahmen, um sicherzustellen, dass es sich bei diesen Unterauftragsverarbeitern entweder um Dienstleister im Sinne des CCPA handelt, mit denen der Auftragsverarbeiter einen schriftlichen Vertrag abgeschlossen hat, der Bestimmungen enthält, die im Wesentlichen diesem Abschnitt „Kalifornien“ entsprechen, oder dass sie anderweitig von der Definition des Begriffs „Verkauf“ im Sinne des CCPA ausgenommen sind. Der Auftragsverarbeiter führt eine angemessene Sorgfaltsprüfung seiner Unterauftragsverarbeiter durch.
Kanada:
- Der Auftragsverarbeiter ergreift Maßnahmen, um sicherzustellen, dass seine Unterauftragsverarbeiter, wie in Abschnitt 4 („Unterauftragsverarbeiter“) der DVV beschrieben, Dritte im Sinne des PIPEDA sind, mit denen der Auftragsverarbeiter einen schriftlichen Vertrag abgeschlossen hat, der Bestimmungen enthält, die im Wesentlichen mit dieser DVV übereinstimmen. Der Auftragsverarbeiter führt eine angemessene Sorgfaltsprüfung seiner Unterauftragsverarbeiter durch.
- Der Auftragsverarbeiter setzt die technischen und organisatorischen Maßnahmen um, die in der Vereinbarung festgelegt sind oder durch die in Abschnitt 2.2 einbezogenen Angaben zur Verarbeitung Bestandteil der Vereinbarung werden.
Anhang 2: Standardvertragsklauseln
- Gründung Bei den SCCs handelt es sich um Modul 2 (Verantwortlicher zu Auftragsverarbeiter) und Modul 3 (Auftragsverarbeiter zu Auftragsverarbeiter) der Standardvertragsklauseln im Anhang zum Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 (https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj). Sie werden durch Verweis in diese DVV aufgenommen und gelten gemäß den Bestimmungen in Abschnitt 5.3. Sie wurden nicht verändert.
- Wahlrechte Für die Zwecke der SCCs:
- Klausel 7 (Beitrittsklausel) findet Anwendung.
- Klausel 9(a): Es gilt Option 2 (allgemeine schriftliche Ermächtigung), und die Kündigungsfrist beträgt dreißig (30) Tage, wie in Abschnitt 4.1 festgelegt.
- Klausel 11(a): Der optionale Wortlaut zur unabhängigen Streitbeilegung findet keine Anwendung.
- Klausel 13: Die zuständige Aufsichtsbehörde wird gemäß Anhang I.C bestimmt.
- Klausel 17: Es gilt Option 1, und das anwendbare Recht ist das niederländische Recht.
- Klausel 18(b): die Gerichte der Niederlande.
- Anhänge Anhang I (A: Vertragsparteien, B: Beschreibung der Übertragung, C: zuständige Aufsichtsbehörde) wird anhand der Vereinbarung oder des Datenblatts ausgefüllt, die bzw. das gemäß Abschnitt 2.2 beigefügt ist. Anhang II (technische und organisatorische Maßnahmen) wird vervollständigt, indem die geltenden Maßnahmen anhand des Dokumenttitels, der Version oder des Datums des Inkrafttretens sowie der URL oder einer beigefügten Kopie angegeben werden. Anhang III (Unterauftragsverarbeiter) ist das gemäß Abschnitt 4.1 geführte Verzeichnis. Jeder Anhang wird vor der tatsächlichen Übertragung finalisiert.
- Hierarchie Sollte es zu einem Widerspruch zwischen den SCCs und den übrigen Bestimmungen dieser DVV oder der Vereinbarung kommen, haben die SCCs Vorrang.
Anhang 3: Zusatz internationaler Datentransfer Vereinigtes Königreich
- Aufnahme Der Zusatz für das Vereinigte Königreich ist der Zusatz zum internationalen Datentransfer zu den Standardvertragsklauseln der EU-Kommission, Version B1.0, der vom Informationsbeauftragten gemäß Abschnitt 119A des Datenschutzgesetzes von 2018 herausgegeben wurde und seit dem 21. März 2022 in Kraft ist. Der Zusatz wird durch Verweis in diese DVV aufgenommen, einschließlich der gemäß Abschnitt 18 dieser Vereinbarung vorgenommenen Änderungen, und gilt für eingeschränkte Datenübertragungen, auf die die UK GDPR Anwendung findet.
- Tabellen
- Tabelle 1 (Vertragsparteien): wie in der Vereinbarung oder im Datenblatt angegeben, für jede Übertragung. Das Datum des Inkrafttretens ist das Datum, an dem die Vereinbarung in Kraft tritt.
- Tabelle 2 (Ausgewählte SCCs): Bei den genehmigten EU-SCCs handelt es sich um die Module 2 und 3 gemäß Anhang 2. Es gilt Klausel 7, der fakultative Wortlaut von Klausel 11 findet keine Anwendung, und Klausel 9(a) stellt eine allgemeine Ermächtigung mit einer Frist von dreißig (30) Tagen dar.
- Tabelle 3 (Anhang-Informationen): gemäß Absatz 3 von Anhang 2.
- Tabelle 4 (Beendigung des Zusatzes bei Änderungen des genehmigten Zusatzes): keine der Parteien.
- Konflikt Sollte es zu einem Konflikt zwischen dem UK-Zusatz und dieser DVV kommen, hat der UK-Zusatz Vorrang.
ENDE