Anhang zur Datenverarbeitung

Dieser Anhang ist integraler Bestandteil des Vertrags und wird geschlossen zwischen : 

1. (i) Der Kunde (« Datenträgergeber ») ; und
2. (ii) IQUALIF (« Datenträgerempfänger »),

jeweils eine « Partei » und gemeinsam die « Parteien ».

Präambel

IM HINBLICK DARAUF, DASS der Datenträgerempfänger professionelle Softwaredienstleistungen, IT-Dienstleistungen und ähnliche Leistungen (wie Browser mit erweiterten Suchfunktionen) bereitstellt ;

IM HINBLICK DARAUF, dass der Datenträgerempfänger kraft des Vertrags zugestimmt hat, dem Datenträgergeber die im Vertrag beschriebenen Dienstleistungen (die « Dienstleistungen ») zu erbringen ;

IM HINBLICK DARAUF, dass der Datenträgerempfänger bei der Erbringung der Dienstleistungen Zugang zu Informationen des Datenträgergebers oder zu Informationen anderer Personen erhält oder davon profitiert, die eine (potenzielle) Beziehung zum Datenträgergeber haben, und dass diese Informationen personenbezogene Daten im Sinne der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (« DSGVO ») und anderen anwendbaren Datenschutzgesetzen sein können ;

IM HINBLICK DARAUF, dass diese Anlage die allgemeinen Bedingungen für die Erhebung, Verarbeitung und Nutzung dieser personenbezogenen Daten durch den Datenträgerempfänger als vom Datenträgergeber bevollmächtigten Auftragsverarbeiter regelt, mit dem Ziel sicherzustellen, dass die Parteien die geltenden Datenschutzgesetze einhalten.

DESHALB und um den Parteien die Fortsetzung ihrer Beziehung in gesetzeskonformer Weise zu ermöglichen, haben die Parteien diesen Anhang wie folgt geschlossen :

Teil 1

1. Aufbau des Dokuments und Definitionen

1.1 Aufbau

Dieser Anhang besteht aus verschiedenen Teilen, wie folgt :

Teil 1 :	enthält die allgemeinen Bestimmungen, z. B. betreffend die in diesem Anhang verwendeten Definitionen, die Einhaltung lokaler Gesetze, Laufzeit und Kündigung ;
Teil 2 :	enthält den unveränderten Haupttext der Musterklauseln ;
Anhang 1.1 und folgende des Teils 2 :	enthält die Details zu den Verarbeitungsoperationen, die der Datenträgerempfänger für den Datenträgergeber als bevollmächtigter Auftragsverarbeiter im Rahmen dieses Anhangs durchführt (einschließlich Gegenstand der Verarbeitung, Art und Zweck der Verarbeitung, Kategorien personenbezogener Daten und Kategorien betroffener Personen) ;
Anhang 2 des Teils 2 :	enthält eine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen des Datenträgerempfängers, die konsistent auf alle in Anhang 1.1 und folgende des Teils 2 beschriebenen Verarbeitungsaktivitäten angewendet werden ;
Teil 3 :	enthält die Unterschriften der Parteien, die erklären, an diesen Anhang gebunden zu sein, und identifiziert jeden Datenträgerempfänger.

1.2 Terminologie und Definitionen

Für die Zwecke dieses Anhangs gelten die vom DSGVO verwendeten Begriffe und Definitionen (ebenfalls im Haupttext der Musterklauseln in Teil 2, wo die definierten Begriffe nicht großgeschrieben sind). Zusätzlich hierzu, 

« État membre"	bezeichnet ein Land der Europäischen Union oder des Europäischen Wirtschaftsraums ;
« Catégories spéciales de données (personnelles) »	bezieht sich auf personenbezogene Daten, die die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder Gewerkschaftszugehörigkeit offenbaren, sowie genetische Daten, biometrische Daten, sofern sie zur eindeutigen Identifizierung einer natürlichen Person verarbeitet werden, Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer Person ;
« Clauses types »	bezeichnet die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern gemäß der Entscheidung der Kommission 2010/87/EU vom 5. Februar 2010, geändert durch die Durchführungsentscheidung der Kommission (EU) 2016/2297 vom 16. Dezember 2016 ;
« Sous-traitant »	bezeichnet jeden Auftragsverarbeiter, innerhalb oder außerhalb der EU/des EWR, der bereit ist, vom Datenträgerempfänger oder einem anderen Unterauftragnehmer des Datenträgerempfängers personenbezogene Daten ausschließlich zum Zweck der Durchführung von Tätigkeiten im Auftrag des Datenträgergebers nach der Übermittlung und gemäß den Anweisungen des Datenträgergebers sowie den Bedingungen dieses Anhangs und des Vertrags mit dem Datenträgerempfänger zu erhalten.

2. Pflichten des Datenträgergebers

2.1 Der Datenträgergeber ist verpflichtet, die Einhaltung aller nach der DSGVO und sonstigen anwendbaren Datenschutzgesetzen auf den Datenträgergeber anwendbaren Pflichten sicherzustellen und diese Einhaltung wie in Art. 5 Abs. 2 der DSGVO verlangt nachzuweisen. Der Datenträgergeber sichert dem Datenträgerempfänger zu, dass er zuvor die Einwilligung der betroffenen Personen gemäß Art. 6 Abs. a der DSGVO eingeholt hat und seiner Informationspflicht gegenüber den betroffenen Personen gemäß Art. 13 und 14 der DSGVO nachgekommen ist.

2.2 Der Datenträgergeber ist verpflichtet, dem Datenträgerempfänger die jeweiligen Verzeichnisse der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 1 der DSGVO in Bezug auf die Dienstleistungen im Rahmen dieses Anhangs zur Verfügung zu stellen, soweit dies erforderlich ist, damit der Datenträgerempfänger seine Verpflichtung nach Art. 30 Abs. 2 der DSGVO erfüllen kann. 

2.3 Der Datenträgergeber muss, soweit dies nach dem anwendbaren Datenschutzrecht erforderlich ist, einen Datenschutzbeauftragten oder einen Datenschutzvertreter benennen. Der Datenträgergeber ist verpflichtet, dem Datenträgerempfänger die Kontaktdaten des Datenschutzbeauftragten oder -vertreters, falls vorhanden, mitzuteilen. 

2.4. Der Datenträgergeber bestätigt durch die Annahme dieses Anhangs vor Beginn der Verarbeitung, dass die in Anhang 2 zu Teil 2 definierten technischen und organisatorischen Sicherheitsmaßnahmen des Datenträgerempfängers geeignet und ausreichend sind, die Rechte der betroffenen Personen zu schützen, und bestätigt, dass der Datenträgerempfänger diesbezüglich hinreichende Garantien bietet.

3. Einhaltung des lokalen Rechts

Um den Anforderungen an Auftragsverarbeiter gemäß Art. 28 der DSGVO gerecht zu werden, gelten die folgenden Ergänzungen :

3.1 Anweisungen

1. (i) Der Datenträgergeber erteilt dem Datenträgerempfänger die Anweisung, personenbezogene Daten ausschließlich im Auftrag des Datenträgergebers zu verarbeiten. Die Anweisungen des Datenträgergebers sind in diesem Anhang und im Vertrag enthalten. Der Datenträgergeber hat sicherzustellen, dass alle dem Datenträgerempfänger erteilten Anweisungen mit den anwendbaren Datenschutzgesetzen vereinbar sind. Der Datenträgerempfänger ist verpflichtet, personenbezogene Daten nur gemäß den vom Datenträgergeber erteilten Anweisungen zu verarbeiten, es sei denn, eine Rechtsvorschrift der Europäischen Union oder des Mitgliedstaats verlangt etwas anderes (in diesem letzteren Fall gilt Teil 1 Klausel 3.2 (iv) (c)).
2. (ii) Alle sonstigen Anweisungen, die über die in diesem Anhang oder im Vertrag enthaltenen Anweisungen hinausgehen, fallen in den Anwendungsbereich dieses Anhangs und des Vertrags. Führt die Umsetzung einer solchen zusätzlichen Anweisung zu Kosten für den Datenträgerempfänger, wird dieser den Datenträgergeber über diese Kosten informieren und eine Erläuterung geben, bevor er die Anweisung umsetzt. Erst nachdem der Datenträgergeber die Übernahme dieser Kosten für die Umsetzung der Anweisung bestätigt hat, wird der Datenträgerempfänger diese zusätzliche Anweisung ausführen. Zusätzliche Anweisungen sind grundsätzlich schriftlich zu erteilen, es sei denn, Dringlichkeit oder besondere Umstände erfordern eine andere Form (z. B. mündlich, elektronisch). Anweisungen in anderer als der schriftlichen Form sind vom Datenträgergeber unverzüglich schriftlich zu bestätigen.

1. 1. Sofern der Datenträgergeber die Berichtigung, Löschung oder Einschränkung der Verarbeitung personenbezogener Daten nicht selbst vornehmen kann, können sich die Anweisungen auch auf die in Teil 1 Klausel 3.3 festgelegten Berichtigungs-, Löschungs- und/oder Einschränkungsmaßnahmen beziehen. 
2. 2. Der Datenträgerempfänger hat den Datenträgergeber unverzüglich zu informieren, wenn er der Ansicht ist, dass eine Anweisung gegen die DSGVO oder andere anwendbare Datenschutzvorschriften der Europäischen Union oder eines Mitgliedstaats verstößt (« beanstandete Anweisung »). Ist der Datenträgerempfänger der Ansicht, dass eine Anweisung gegen die DSGVO oder andere anwendbare Datenschutzvorschriften der EU oder eines Mitgliedstaats verstößt, ist er nicht verpflichtet, der beanstandeten Anweisung zu folgen. Bestätigt der Datenträgergeber die beanstandete Anweisung nach Erhalt der Informationen des Datenträgerempfängers und übernimmt die Verantwortung für die beanstandete Anweisung, wird der Datenträgerempfänger diese beanstandete Anweisung umsetzen, außer wenn sie sich (i) auf die Umsetzung technischer und organisatorischer Maßnahmen, (ii) auf die Rechte der betroffenen Personen oder (iii) auf die Beauftragung von Unterauftragnehmern bezieht. In den Fällen (i) bis (iii) kann der Datenträgerempfänger eine zuständige Aufsichtsbehörde einschalten, damit diese die beanstandete Anweisung rechtlich bewertet. Erklärt die Aufsichtsbehörde, dass die beanstandete Anweisung rechtmäßig ist, muss der Datenträgerempfänger die beanstandete Anweisung anwenden. Teil 1 Klausel 3.1 (ii) bleibt anwendbar.

3.2 Pflichten des Datenträgerempfängers

1. (i) Der Datenträgerempfänger hat sicherzustellen, dass Personen, die von ihm zur Verarbeitung personenbezogener Daten des Datenträgergebers befugt sind, insbesondere seine Mitarbeiter sowie die Mitarbeiter eines jeden Unterauftragnehmers, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Vertraulichkeitsverpflichtung unterliegen, und dass diese Personen, die Zugang zu personenbezogenen Daten haben, diese gemäß den Anweisungen des Datenträgergebers verarbeiten.
2. (ii) Der Datenträgerempfänger ist verpflichtet, die in Anhang 2 zu Teil 2 festgelegten technischen und organisatorischen Sicherheitsmaßnahmen umzusetzen, bevor er personenbezogene Daten des Datenträgergebers verarbeitet. Der Datenträgerempfänger kann die technischen und organisatorischen Sicherheitsmaßnahmen von Zeit zu Zeit ändern, sofern diese keinen geringeren Schutz bieten als die in Anhang 2 zu Teil 2 festgelegten Maßnahmen.
3. (iii) Der Datenträgerempfänger muss dem Datenträgergeber auf dessen Anfrage Informationen zur Verfügung stellen, um die Einhaltung seiner Verpflichtungen aus diesem Anhang nachzuweisen. Die Parteien vereinbaren, dass diese Informationspflicht durch die Übermittlung eines Prüfberichts (der die Sicherheitsprinzipien, Systemverfügbarkeit und Vertraulichkeit abdeckt) (« Prüfbericht ») an den Datenträgergeber erfüllt wird. Sofern gesetzlich zusätzliche Prüfaktivitäten erforderlich sind, kann der Datenträgergeber Inspektionen durch den Datenträgergeber selbst oder einen anderen vom Datenträgergeber beauftragten Prüfer verlangen, sofern dieser Prüfer eine Vertraulichkeitsvereinbarung mit dem Datenträgerempfänger zu dessen angemessener Zufriedenheit unterzeichnet (« Audit »). Dieses Audit unterliegt folgenden Bedingungen: (i) der vorherigen schriftlichen formellen Zustimmung des Datenträgerempfängers; und (ii) der Datenträgergeber trägt alle Kosten, die aus oder im Zusammenhang mit dem Vor-Ort-Audit für den Datenträgergeber und den Datenträgerempfänger entstehen. Der Datenträgergeber ist verpflichtet, einen Prüfbericht zu erstellen, der die Ergebnisse und Feststellungen des Vor-Ort-Audits zusammenfasst (« Vor-Ort-Prüfbericht »). Vor-Ort-Prüfberichte sowie Prüfberichte sind vertrauliche Informationen des Datenträgerempfängers und dürfen nicht an Dritte weitergegeben werden, es sei denn, das anwendbare Datenschutzrecht verlangt dies oder mit Zustimmung des Datenträgerempfängers. 
4. (iv) Der Datenträgerempfänger ist verpflichtet, den Datenträgergeber unverzüglich zu informieren über:
   1. a. jede rechtsverbindliche Anforderung einer Strafverfolgungsbehörde zur Offenlegung personenbezogener Daten, sofern nicht anderweitig verboten, etwa durch ein strafrechtliches Verbot zum Schutz der Vertraulichkeit einer Ermittlungsmaßnahme ;
   2. b. jede Beschwerde und Anfrage, die direkt von einer betroffenen Person eingeht (z. B. Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch gegen die Datenverarbeitung, automatisierte Entscheidungsfindung), ohne diese Anfrage zu beantworten, es sei denn, der Datenträgerempfänger ist dazu befugt ;
   3. c. wenn er nach dem Recht der Europäischen Union oder des Mitgliedstaats, dem der Datenträgerempfänger oder der Unterauftragnehmer unterliegt, verpflichtet ist, personenbezogene Daten über die Anweisungen des Datenträgergebers hinaus zu verarbeiten, bevor er diese darüber hinausgehende Verarbeitung vornimmt, es sei denn, dieses Recht der EU oder des Mitgliedstaats untersagt diese Mitteilung aus wichtigen Gründen des öffentlichen Interesses; in diesem Fall muss die Mitteilung an den Datenträgergeber die gesetzliche Verpflichtung nach diesem EU- oder Mitgliedstaatenrecht angeben; oder
   4. d. wenn der Datenträgerempfänger Kenntnis von einer Datenschutzverletzung hat, die ausschließlich ihm selbst oder seinem Unterauftragnehmer zuzuschreiben ist und die die personenbezogenen Daten des Datenträgergebers, die durch diesen Vertrag abgedeckt sind, betreffen, in welchem Fall der Datenträgerempfänger den Datenträgergeber bei dessen Verpflichtung nach dem geltenden Datenschutzrecht unterstützen wird, die betroffenen Personen und gegebenenfalls die Aufsichtsbehörden zu informieren, indem er die ihm vorliegenden Informationen gemäß Art. 33 Abs. 3 der DSGVO bereitstellt. 
   5. (v) Auf Anforderung des Datenträgergebers unterstützt der Datenträgerempfänger diesen bei dessen Verpflichtung, eine Datenschutz-Folgenabschätzung gemäß Art. 35 der DSGVO vorzunehmen und gegebenenfalls eine vorherige Konsultation nach Art. 36 der DSGVO durchzuführen in Bezug auf die vom Datenträgerempfänger dem Datenträgergeber im Rahmen dieses Anhangs erbrachten Dienstleistungen, indem er dem Datenträgergeber die notwendigen und verfügbaren Informationen bereitstellt. Der Datenträgerempfänger ist nur insoweit verpflichtet, diese Unterstützung zu leisten, als der Datenträgergeber nicht in der Lage ist, seine Verpflichtung auf anderem Wege zu erfüllen. Der Datenträgerempfänger wird den Datenträgergeber über die Kosten dieser Unterstützung informieren. Sobald der Datenträgergeber bestätigt, dass er diese Kosten tragen kann, wird der Datenträgerempfänger die Unterstützung leisten.
   6. (vi) Nach Beendigung der Dienstleistungen kann der Datenträgergeber die Rückgabe der im Rahmen dieses Anhangs vom Datenträgerempfänger verarbeiteten personenbezogenen Daten innerhalb eines Monats nach Ende der Dienstleistungen verlangen. Sofern nicht das Recht des Mitgliedstaats oder der Europäischen Union den Datenträgerempfänger verpflichtet, diese personenbezogenen Daten aufzubewahren oder zu speichern, wird der Datenträgerempfänger alle diese personenbezogenen oder nicht personenbezogenen Daten nach Ablauf eines Monats löschen, unabhängig davon, ob sie auf Anfrage an den Datenträgergeber zurückgegeben wurden oder nicht.

3.3 Rechte der betroffenen Personen

1. 1. (i) Der Datenträgergeber ist vorrangig für die Bearbeitung von Anträgen betroffener Personen und die Beantwortung dieser Anträge verantwortlich. Der Datenträgerempfänger ist nicht verpflichtet, direkt auf betroffene Personen zu reagieren. 
   2. (ii) Benötigt der Datenträgergeber die Hilfe des Datenträgerempfängers zur Bearbeitung von Anträgen betroffener Personen und zur Beantwortung dieser Anträge, wird er eine ergänzende Anweisung gemäß Klausel 3.1 (ii) von Teil 1 erteilen. Der Datenträgerempfänger wird den Datenträgergeber durch geeignete und mögliche technische und organisatorische Maßnahmen unterstützen, um den Anträgen auf Ausübung der Rechte betroffener Personen gemäß Kapitel III der DSGVO zu entsprechen: 
   3. a. Bezüglich Auskunftsanträgen wird der Datenträgerempfänger dem Datenträgergeber nur die Informationen nach Art. 13 und 14 der DSGVO bereitstellen, die ihm vorliegen, wenn der Datenträgergeber diese nicht selbst ermitteln kann.
   4. b. Bezüglich Zugriffsanträgen (Art. 15 DSGVO) wird der Datenträgerempfänger dem Datenträgergeber nur die Informationen zur Verfügung stellen, die einer betroffenen Person für den genannten Zugriffsantrag bereitgestellt werden müssen und die ihm vorliegen, wenn der Datenträgergeber diese nicht selbst ermitteln kann.
   5. c. Bezüglich Berichtigungsanträgen (Art. 16 DSGVO), Löschungsanträgen (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) oder Datenübertragbarkeitsanträgen (Art. 20 DSGVO) und nur wenn der Datenträgergeber diese Berichtigung, Löschung, Einschränkung oder Übermittlung an einen Dritten nicht selbst vornehmen kann, bietet der Datenträgerempfänger dem Datenträgergeber die Möglichkeit, die betreffenden personenbezogenen Daten zu berichtigen oder, gegebenenfalls, zu löschen, einzuschränken oder an den Dritten zu übermitteln, oder, wenn dies nicht möglich ist, die erforderliche Unterstützung zu leisten, um diese Maßnahmen vorzunehmen.
   6. d. Bezüglich der Benachrichtigung über Berichtigung, Löschung oder Einschränkung der Verarbeitung (Art. 19 DSGVO) wird der Datenträgerempfänger den Datenträgergeber unterstützen, indem er auf Wunsch des Datenträgergebers alle Empfänger, an die personenbezogene Daten durch den Datenträgerempfänger als Unterauftragnehmer weitergegeben wurden, benachrichtigt, sofern der Datenträgergeber dies nicht selbst veranlassen kann. 
   7. e. Bezüglich des Widerspruchsrechts einer betroffenen Person (Art. 21 und 22 DSGVO) wird der Datenträgergeber entscheiden, ob der Widerspruch berechtigt ist und wie damit verfahren werden soll.
   8. (iii) Die Unterstützungsverpflichtungen des Datenträgerempfängers beschränken sich auf personenbezogene Daten, die im Rahmen seiner Infrastruktur verarbeitet werden (z. B. Datenbanken, Systeme, Anwendungen, die sich im Eigentum des oder vom Datenträgerempfänger bereitgestellt werden).  
   9. (iv) Der Datenträgergeber muss feststellen, ob eine betroffene Person berechtigt ist, die in Klausel 3.1 dieses Teils 1 dargelegten Rechte auszuüben, und dem Datenträgerempfänger mitteilen, in welchem Umfang die in den Klauseln 3.3 (ii), (iii) dieses Teils 1 spezifizierte Unterstützung erforderlich ist.
   10. (v) Fordert der Datenträgergeber zur Erfüllung der Rechte betroffener Personen zusätzliche oder geänderte technische und organisatorische Maßnahmen, die über die vom Datenträgerempfänger gemäß Klausel 3.3 (ii), (iii) dieses Teils 1 geleistete Unterstützung hinausgehen, wird der Datenträgerempfänger den Datenträgergeber über die Kosten zur Umsetzung dieser zusätzlichen oder geänderten Maßnahmen informieren.  Sobald der Datenträgergeber bestätigt, dass er diese Kosten tragen kann, wird der Datenträgerempfänger diese zusätzlichen oder geänderten technischen und organisatorischen Maßnahmen umsetzen, um den Datenträgergeber bei der Beantwortung der Anträge betroffener Personen zu unterstützen.
   11. (vi) Unbeschadet der Bestimmung in Klausel 3.3 (v) dieses Teils 1 ist der Datenträgergeber verpflichtet, dem Datenträgerempfänger die angemessenen Auslagen zu erstatten, die diesem durch die Anträge betroffener Personen entstehen.

3.4 Unterauftragsvergabe

1. 1. (i) Der Datenträgergeber gestattet dem Datenträgerempfänger den Einsatz von Unterauftragnehmern zur Erbringung der Dienstleistungen im Rahmen dieses Anhangs. Der Datenträgerempfänger wird diese Unterauftragnehmer sorgfältig auswählen. Der Datenträgergeber genehmigt die in Anhang 1.1 am Ende von Teil 2 aufgeführten Unterauftragnehmer.
   2. (ii) Der Datenträgerempfänger wird seine Verpflichtungen aus diesem Anhang gegenüber den Unterauftragnehmern im Umfang der ausgelagerten Dienste weitergeben. 
   3. (iii) Der Datenträgerempfänger kann nach eigenem Ermessen weitere geeignete und vertrauenswürdige Unterauftragnehmer einstellen, ersetzen oder entlassen. Fordert der Datenträgergeber dies schriftlich, ist der Datenträgerempfänger verpflichtet, das nachfolgend beschriebene Verfahren zu befolgen :

1. 1. a. Der Datenträgerempfänger wird den Datenträgergeber im Voraus über alle Änderungen der Liste der gemäß Klausel 3.4 (i) dieses Teils 1 referenzierten Unterauftragnehmer informieren. Erhebt der Datenträgergeber innerhalb von dreißig Tagen nach Erhalt der Mitteilung des Datenträgerempfängers gemäß Klausel 3.4. (b) dieses Teils 1 keinen Einspruch, gelten die zusätzlichen Unterauftragnehmer als genehmigt.
   2. b. Hat der Datenträgergeber einen begründeten Einwand gegen einen zusätzlichen Unterauftragnehmer, wird er den Datenträgerempfänger innerhalb von dreißig Tagen nach Erhalt der Mitteilung des Datenträgerempfängers schriftlich informieren und dies in jedem Fall vor dem Beginn der vom zusätzlichen Unterauftragnehmer zu erbringenden Leistung tun. Legt der Datenträgergeber Einspruch gegen die Nutzung eines zusätzlichen Unterauftragnehmers ein, hat der Datenträgerempfänger das Recht, den Einspruch durch eine der folgenden Optionen zu beseitigen (nach seiner Wahl): (A) der Datenträgerempfänger wird seine Pläne zur Nutzung des zusätzlichen Unterauftragnehmers in Bezug auf die personenbezogenen Daten des Datenträgergebers aufgeben; (B) der Datenträgerempfänger wird die vom Datenträgergeber in seinem Einspruch geforderten Abhilfemaßnahmen ergreifen (wodurch der Einspruch aufgehoben wird) und den zusätzlichen Unterauftragnehmer hinsichtlich der personenbezogenen Daten des Datenträgergebers einsetzen; (C) der Datenträgerempfänger kann die Erbringung oder der Datenträgergeber kann zustimmen, einen bestimmten Aspekt der Dienstleistung, der die Nutzung des zusätzlichen Unterauftragnehmers für die personenbezogenen Daten des Datenträgergebers erforderlich machen würde, nicht mehr bereitzustellen (vorübergehend oder dauerhaft).

1. 1. (iv) Falls ein Unterauftragnehmer außerhalb der EU/EWR in einem Land ansässig ist, das nach einer Entscheidung der Europäischen Kommission kein angemessenes Datenschutzniveau bietet, wird der Datenträgerempfänger die erforderlichen Maßnahmen ergreifen, um ein angemessenes Datenschutzniveau gemäß der DSGVO sicherzustellen (derartige Maßnahmen können unter anderem - je nach Fall - die Verwendung von Datenverarbeitungsverträgen auf Basis der Standardvertragsklauseln der EU, die Übermittlung an selbstzertifizierte Unterauftragnehmer im Rahmen des EU-US-Privacy Shield oder ein ähnliches Programm umfassen).

3.5 Laufzeit

Die Laufzeit dieses Anhangs entspricht der Laufzeit des entsprechenden Vertrags. Sofern in diesem Anhang nicht anders vorgesehen, sind die Kündigungsrechte und -pflichten dieselben wie im Vertrag.

4. Haftungsbeschränkung

4.1 Jede Partei ist für die Erfüllung ihrer Verpflichtungen aus diesem Anhang und dem anwendbaren Datenschutzrecht verantwortlich.

4.2 Jegliche Haftung, die wegen oder im Zusammenhang mit einer Verletzung der Verpflichtungen aus diesem Anhang oder dem anwendbaren Datenschutzrecht entsteht, unterliegt den im Vertrag festgelegten oder auf diesen Vertrag anwendbaren Haftungsbestimmungen und wird von diesen geregelt, sofern in diesem Anhang nichts anderes bestimmt ist. Wird die Haftung durch die im Vertrag genannten Haftungsbestimmungen oder auf diesen Vertrag anwendbaren Bestimmungen geregelt, so wird eine Haftung, die im Rahmen dieses Anhangs entsteht, für die Zwecke der Berechnung von Haftungsobergrenzen oder der Feststellung der Anwendbarkeit anderer Haftungsbeschränkungen so behandelt, als sei sie im Rahmen des Vertrags entstanden.

5. Allgemeine Bestimmungen

5.1 Sollen Widersprüche oder Abweichungen zwischen Teil 1 und Teil 2 dieses Anhangs bestehen, haben die Bestimmungen von Teil 2 Vorrang. Insbesondere bleiben dennoch die Bestimmungen von Teil 1, die lediglich ergänzend zu Teil 2 sind (d. h. die Bedingungen der Musterklausel), solange sie Teil 2 nicht widersprechen, gültig.

5.2 Im Falle von Widersprüchen zwischen den Bestimmungen dieses Anhangs und denen anderer Verträge zwischen den Parteien haben die Bestimmungen dieses Anhangs Vorrang in Bezug auf die datenschutzbezogenen Verpflichtungen der Parteien. Bei Unsicherheit darüber, ob Bestimmungen anderer Verträge datenschutzbezogene Verpflichtungen der Parteien betreffen, hat dieser Anhang Vorrang.

5.3 Sollte eine Bestimmung dieses Anhangs ungültig oder nicht durchsetzbar sein, bleibt der Rest dieses Anhangs voll gültig. Die ungültige oder nicht durchsetzbare Bestimmung wird (i) gegebenenfalls geändert, um ihre Gültigkeit und Durchsetzbarkeit sicherzustellen, wobei die Intention der Parteien so weit wie möglich zu wahren ist, oder - falls dies nicht möglich ist - (ii) so ausgelegt, als wäre diese ungültige oder nicht durchsetzbare Bestimmung niemals Teil des Vertrags gewesen.  Das Vorstehende gilt ebenfalls, wenn dieser Anhang eine Lücke aufweisen sollte.

5.5 Soweit erforderlich, sind die Parteien berechtigt, Änderungen an Teil 1, Klausel 3 (Einhaltung der lokalen Gesetzgebung)  oder anderen Teilen des Anhangs zu verlangen, um den Auslegungen, Richtlinien oder Anordnungen der zuständigen Behörden der Union oder der Mitgliedstaaten, den nationalen Umsetzungsbestimmungen oder sonstigen rechtlichen Entwicklungen in Bezug auf die DSGVO oder sonstige Vorgaben zur Delegation an alle an der Datenverarbeitung beteiligten Einheiten gerecht zu werden, insbesondere in Bezug auf die Verwendung der Musterklauseln im Rahmen der DSGVO. Die Bedingungen der Musterklauseln dürfen nur dann geändert oder ersetzt werden, wenn die Europäische Kommission dies ausdrücklich genehmigt (z. B. durch neue angemessene und standardisierte Datenschutzklauseln).

5.6 Jegliche Bezugnahme in diesem Anhang auf «Klauseln» ist auf alle Bestimmungen dieses Anhangs zu beziehen, sofern nicht anders bestimmt. 

5.7 Die Wahl des anwendbaren Rechts in Teil 2, Klausel 9, betrifft den gesamten Vertrag.

6. Von den Parteien übermittelte und für eigene Zwecke verarbeitete personenbezogene Daten (Übermittlung von Verantwortlichem an Verantwortlichen)

6.1 Die Parteien sind sich bewusst, dass bestimmte personenbezogene Daten vom Datenträgergeber an den Datenträgerempfänger und umgekehrt übermittelt werden und dass diese Daten von jeder Partei für eigene Zwecke verarbeitet werden. Für diese personenbezogenen Daten gelten die übrigen Bestimmungen dieses Anhangs nicht (mit Ausnahme dieser Klausel 6).

6.2 Der Datenträgergeber kann personenbezogene Daten in Bezug auf das Personal des Datenträgerempfängers an denselben Datenträgerempfänger übermitteln, insbesondere Informationen über Sicherheitsvorfälle oder sonstige Dokumente oder Dateien, die der Datenträgergeber im Zusammenhang mit den vom Personal des Datenträgerempfängers erbrachten Dienstleistungen erstellt hat. Der Datenträgerempfänger kann diese personenbezogenen Daten für eigene Zwecke verarbeiten, insbesondere im Rahmen seiner beruflichen Beziehungen zum Personal des Datenträgerempfängers, zur Qualitätssicherung, Ausbildung oder zu kommerziellen Zwecken.

6.3. Der Datenträgerempfänger kann personenbezogene Daten an den Datenträgergeber übermitteln, insbesondere Namen und Kontaktdaten des Personals des Datenträgerempfängers. Der Datenträgergeber kann diese personenbezogenen Daten für eigene Zwecke verarbeiten.

6.4 Beide Parteien halten bei der Erhebung, Verarbeitung und Nutzung dieser personenbezogenen Daten, die sie von der jeweils anderen Partei gemäß dieser Klausel 1 von Teil 1 erhalten, alle geltenden Datenschutzgesetze, insbesondere die DSGVO, ein. Insbesondere treffen beide Parteien angemessene Sicherheitsmaßnahmen, die ein gleichwertiges Schutzniveau wie die in Anhang 2 von Teil 2 genannten Sicherheitsmaßnahmen gewährleisten. Der Zugriff auf diese personenbezogenen Daten ist auf das notwendige Maß zu beschränken.

6.5 Beide Parteien sind verpflichtet, diese personenbezogenen Daten so bald wie möglich zu löschen, sobald die Zwecke, für die sie verarbeitet wurden, erreicht sind.

Teil 2

 ENTSCHEIDUNG DER KOMMISSION 

vom 5. Februar 2010

über die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern gemäß Richtlinie 95/46/EG des Europäischen Parlaments und des Rates

Erste Klausel 

Definitionen 

Im Sinne der Klauseln: 

a) „personenbezogene Daten“, „besondere Kategorien personenbezogener Daten“, „verarbeiten/Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Aufsichtsbehörde“ haben dieselbe Bedeutung wie in Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ( 1 ); 

b) der „Datenträgergeber“ ist der Verantwortliche, der die personenbezogenen Daten übermittelt; 

c) der „Datenträgerempfänger“ ist der Auftragsverarbeiter, der vom Datenträgergeber übernommene personenbezogene Daten annimmt, die nach der Übermittlung für dessen Rechnung und gemäß dessen Anweisungen und den Bestimmungen dieses Vertrags zu verarbeiten sind und der nicht dem Mechanismus eines Drittlandes unterliegt, das nach Artikel 25 Absatz 1 der Richtlinie 95/46/EG einen angemessenen Schutz gewährleistet; d) der „nachgelagerte Auftragsverarbeiter“ ist der Auftragsverarbeiter, den der Datenträgerempfänger oder ein anderer nachgelagerter Auftragsverarbeiter beauftragt und der bereit ist, personenbezogene Daten vom Datenträgerempfänger oder einem anderen nachgelagerten Auftragsverarbeiter ausschließlich zur Durchführung von Verarbeitungstätigkeiten für den Datenträgergeber nach der Übermittlung entsprechend dessen Anweisungen, den Bestimmungen dieser Klauseln und den Bedingungen des schriftlichen Unterauftragsvertrags zu erhalten; 

e) das „anwendbare Datenschutzrecht“ ist die Gesetzgebung, die die Freiheiten und Grundrechte natürlicher Personen schützt, insbesondere das Recht auf Privatsphäre in Bezug auf die Verarbeitung personenbezogener Daten, und die auf einen Verantwortlichen in dem Mitgliedstaat Anwendung findet, in dem der Datenträgergeber niedergelassen ist; 

f) die „technischen und organisatorischen Maßnahmen in Bezug auf die Sicherheit“ sind Maßnahmen zum Schutz personenbezogener Daten vor unbeabsichtigter oder unrechtmäßiger Vernichtung, Verlust, Veränderung, Offenlegung oder unbefugtem Zugriff, insbesondere wenn die Verarbeitung die Übermittlung von Daten über ein Netzwerk umfasst, sowie vor jeder anderen unrechtmäßigen Form der Verarbeitung. 

Klausel 2 

Einzelheiten der Übermittlung 

Die Einzelheiten der Übermittlung und insbesondere gegebenenfalls die besonderen Kategorien personenbezogener Daten sind in Anlage 1, die Bestandteil dieser Klauseln ist, angegeben. 

Klausel 3 

Klausel zugunsten Dritter 

1. Die betroffene Person kann diese Klausel gegenüber dem Datenträgergeber sowie die Klausel 4 Buchstaben b) bis i), Klausel 5 Buchstaben a) bis e) und g) bis j), Klausel 6 Absätze 1 und 2, Klausel 7, Klausel 8 Absatz 2 und die Klauseln 9 bis 12 als Drittbegünstigte durchsetzen. 

2. Die betroffene Person kann diese Klausel gegenüber dem Datenträgerempfänger durchsetzen sowie die Klausel 5 Buchstaben a) bis e) und g), Klausel 6, Klausel 7, Klausel 8 Absatz 2 und die Klauseln 9 bis 12 in den Fällen, in denen der Datenträgergeber materiell verschwunden ist oder nicht mehr existent ist, es sei denn, alle seine rechtlichen Verpflichtungen wurden durch Vertrag oder Gesetz auf die nachfolgenden Stellen übertragen, die folglich die Rechte und Pflichten des Datenträgergebers übernommen haben, gegen die die betroffene Person die genannten Klauseln durchsetzen kann. 

3. Die betroffene Person kann diese Klausel gegenüber dem nachgelagerten Auftragsverarbeiter durchsetzen sowie die Klausel 5 Buchstaben a) bis e) und g), Klausel 6, Klausel 7, Klausel 8 Absatz 2 und die Klauseln 9 bis 12, jedoch nur in den Fällen, in denen der Datenträgergeber und der Datenträgerempfänger materiell verschwunden sind, nicht mehr existieren oder zahlungsunfähig geworden sind, es sei denn, alle rechtlichen Verpflichtungen des Datenträgergebers wurden durch Vertrag oder Gesetz auf den rechtlichen Nachfolger übertragen, dem folglich die Rechte und Pflichten des Datenträgergebers zufallen und gegen den die betroffene Person die genannten Klauseln durchsetzen kann. Die zivilrechtliche Haftung des nachgelagerten Auftragsverarbeiters ist auf seine eigenen Verarbeitungstätigkeiten gemäß diesen Klauseln zu beschränken. 4. Die Parteien haben nichts gegen die Vertretung der betroffenen Person durch einen Verband oder eine andere Einrichtung, sofern dies gewünscht ist und das nationale Recht dies zulässt. 

Klausel 4 

Pflichten des Datenträgergebers 

Der Datenträgergeber erklärt sich einverstanden und gewährleistet Folgendes: 

a) die Verarbeitung, einschließlich der eigentlichen Übermittlung personenbezogener Daten, wurde und wird in Übereinstimmung mit den einschlägigen Bestimmungen des anwendbaren Datenschutzrechts durchgeführt (und gegebenenfalls den zuständigen Behörden des Mitgliedstaats, in dem der Datenträgergeber niedergelassen ist, angezeigt) und verstößt nicht gegen die einschlägigen Bestimmungen dieses Staates; 

b) er hat den Datenträgerempfänger beauftragt und wird ihn während der Dauer der personenbezogenen Datenverarbeitungsdienste beauftragen, die übermittelten personenbezogenen Daten ausschließlich für die Rechnung des Datenträgergebers und in Übereinstimmung mit dem anwendbaren Datenschutzrecht und diesen Klauseln zu verarbeiten; 

c) der Datenträgerempfänger wird ausreichende Garantien bezüglich der in Anlage 2 dieses Vertrags spezifizierten technischen und organisatorischen Maßnahmen bieten; 

d) nach Prüfung der Anforderungen des anwendbaren Datenschutzrechts sind die Sicherheitsmaßnahmen angemessen, um personenbezogene Daten vor unbeabsichtigter oder unrechtmäßiger Vernichtung, versehentlichem Verlust, Veränderung, Offenlegung oder unbefugtem Zugriff zu schützen, insbesondere wenn die Verarbeitung die Übermittlung von Daten über ein Netzwerk umfasst, sowie vor jeder anderen unrechtmäßigen Form der Verarbeitung, und sie gewährleisten ein der Art der Verarbeitung und den zu schützenden Daten angemessenes Sicherheitsniveau unter Berücksichtigung des Stands der Technik und der Umsetzungsaufwendungen; 

e) er wird die Einhaltung der Sicherheitsmaßnahmen sicherstellen; 

f) falls die Übermittlung besondere Kategorien von Daten betrifft, wurde oder wird die betroffene Person vor der Übermittlung oder so bald wie möglich nach der Übermittlung darüber informiert, dass ihre Daten an ein Drittland übermittelt werden könnten, das nach Richtlinie 95/46/EG kein angemessenes Schutzniveau bietet; 

g) er wird jede Mitteilung, die er vom Datenträgerempfänger oder einem nachgelagerten Auftragsverarbeiter gemäß Klausel 5 Buchstabe b) und Klausel 8 Absatz 3 erhält, an die zuständige Datenschutzaufsichtsbehörde weiterleiten, falls er sich entscheidet, die Übermittlung fortzusetzen oder deren Aussetzung aufzuheben; 

h) er stellt den betroffenen Personen auf Anfrage eine Kopie dieser Klauseln, mit Ausnahme von Anlage 2, und eine zusammenfassende Beschreibung der Sicherheitsmaßnahmen sowie eine Kopie eines jeden nachgelagerten Unterauftragsvertrags, der gemäß diesen Klauseln geschlossen wurde, zur Verfügung, es sei denn, die Klauseln oder der Vertrag enthalten Geschäftsgeheimnisse, in welchem Fall er diese Informationen unkenntlich machen kann; 

i) im Falle einer nachgelagerten Unterauftragsvergabe wird die Verarbeitung gemäß Klausel 11 von einem nachgelagerten Auftragsverarbeiter durchgeführt, der mindestens das gleiche Datenschutzniveau und die gleichen Rechte der betroffenen Person wie der Datenträgerempfänger gemäß diesen Klauseln bietet; und 

j) er wird die Einhaltung der Klausel 4 Buchstaben a) bis i) sicherstellen. 

Klausel 5 

Pflichten des Datenträgerempfängers  

Der Datenträgerempfänger erklärt sich einverstanden und gewährleistet Folgendes: 

a) er wird die personenbezogenen Daten ausschließlich für die Rechnung des Datenträgergebers und gemäß dessen Anweisungen sowie diesen Klauseln verarbeiten; ist er aus irgendeinem Grund nicht in der Lage, dem nachzukommen, wird er den Datenträgergeber unverzüglich über seine Unfähigkeit informieren, woraufhin dieser berechtigt ist, die Übermittlung der Daten auszusetzen und/oder den Vertrag zu kündigen; 

b) er hat keinen Anlass zu der Annahme, dass die ihn betreffenden gesetzlichen Bestimmungen ihn daran hindern, den Anweisungen des Datenträgergebers und den ihm nach dem Vertrag obliegenden Verpflichtungen nachzukommen, und sollte sich diese Gesetzgebung derart ändern, dass die von den Klauseln gewährten Garantien und Verpflichtungen erheblich beeinträchtigt werden könnten, wird er dies dem Datenträgergeber unverzüglich nach Kenntnisnahme mitteilen, woraufhin dieser berechtigt ist, die Übermittlung auszusetzen und/oder den Vertrag zu kündigen; c) er hat die in Anlage 2 spezifizierten technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung der übermittelten personenbezogenen Daten umgesetzt;

d) er wird dem Datenträgergeber unverzüglich mitteilen: 

i) jede rechtsverbindliche Anforderung zur Offenlegung personenbezogener Daten durch eine Strafverfolgungsbehörde, sofern nicht anders vorgeschrieben, wie z. B. ein strafrechtliches Verbot zur Wahrung der Vertraulichkeit einer polizeilichen Untersuchung; 

ii) jeden unbeabsichtigten oder unbefugten Zugriff; und 

iii) jede direkt von betroffenen Personen eingegangene Anfrage, ohne diese zu beantworten, es sei denn, er ist dazu befugt; 

e) er wird alle Auskunftsanforderungen des Datenträgergebers in Bezug auf seine Verarbeitung der übertragenen personenbezogenen Daten unverzüglich und angemessen bearbeiten und sich bezüglich der Verarbeitung der übermittelten Daten an die Auffassung der Aufsichtsbehörde halten; 

f) auf Verlangen des Datenträgergebers wird er seine Verarbeitungsmittel einer Überprüfung der in diesen Klauseln geregelten Verarbeitungstätigkeiten durch den Datenträgergeber oder eine aus unabhängigen Mitgliedern mit den erforderlichen beruflichen Qualifikationen bestehende Prüfinstanz unterziehen, die einer Geheimhaltungspflicht unterliegt und gegebenenfalls mit Zustimmung der Aufsichtsbehörde vom Datenträgergeber ausgewählt wird; 

g) er stellt der betroffenen Person auf Anfrage eine Kopie dieser Klauseln oder eines bestehenden nachgelagerten Unterauftragsvertrags zur Verfügung, es sei denn, die Klauseln oder der Vertrag enthalten Geschäftsgeheimnisse, in welchem Fall er diese Informationen unkenntlich machen kann, mit Ausnahme von Anlage 2, die durch eine zusammenfassende Beschreibung der Sicherheitsmaßnahmen ersetzt wird, wenn die betroffene Person keine Kopie vom Datenträgergeber erhalten kann; 

h) im Falle nachgelagerter Unterauftragsvergabe wird er den Datenträgergeber zuvor informieren und dessen schriftliche Zustimmung einholen; 

i) die vom nachgelagerten Auftragsverarbeiter erbrachten Verarbeitungsdienste entsprechen Klausel 11; 

j) er wird dem Datenträgergeber unverzüglich eine Kopie jedes von ihm gemäß diesen Klauseln mit einem nachgelagerten Auftragsverarbeiter geschlossenen Vertrags zusenden. 

Klausel 6 

Haftung 

1. Die Parteien vereinbaren, dass jede betroffene Person, die einen Schaden durch eine Verletzung der Pflichten nach Klausel 3 oder Klausel 11 durch eine der Parteien oder einen nachgelagerten Auftragsverarbeiter erlitten hat, einen Anspruch auf Schadenersatz gegen den Datenträgergeber hat. 

2. Sollte eine betroffene Person daran gehindert sein, die in Absatz 1 genannte Schadensersatzklage gegen den Datenträgergeber wegen eines Versäumnisses des Datenträgerempfängers oder seines nachgelagerten Auftragsverarbeiters in Bezug auf eine der Pflichten nach Klausel 3 oder Klausel 11 zu erheben, weil der Datenträgergeber materiell verschwunden ist, nicht mehr existiert oder insolvent geworden ist, stimmt der Datenträgerempfänger zu, dass die betroffene Person gegen ihn klagen kann, als wäre er der Datenträgergeber, es sei denn, alle rechtlichen Verpflichtungen des Datenträgergebers wurden vertraglich oder gesetzlich auf den Rechtsnachfolger übertragen, gegen den die betroffene Person ihre Ansprüche geltend machen kann. Der Datenträgerempfänger kann sich nicht auf ein Versäumnis eines nachgelagerten Auftragsverarbeiters berufen, um sich seiner eigenen Haftung zu entziehen. 

3. Sollte eine betroffene Person daran gehindert sein, die in den Absätzen 1 und 2 genannten Klagen gegen den Datenträgergeber oder den Datenträgerempfänger wegen eines Versäumnisses des nachgelagerten Auftragsverarbeiters in Bezug auf eine der Pflichten aus Klausel 3 oder Klausel 11 zu erheben, weil der Datenträgergeber und der Datenträgerempfänger materiell verschwunden sind, nicht mehr existieren oder insolvent geworden sind, stimmt der nachgelagerte Auftragsverarbeiter zu, dass die betroffene Person gegen ihn in Bezug auf seine eigenen Verarbeitungstätigkeiten gemäß diesen Klauseln klagen kann, als wäre er der Datenträgergeber oder der Datenträgerempfänger, es sei denn, alle rechtlichen Verpflichtungen des Datenträgergebers oder des Datenträgerempfängers wurden vertraglich oder gesetzlich auf den Rechtsnachfolger übertragen, gegen den die betroffene Person dann ihre Ansprüche geltend machen kann. Die Haftung des nachgelagerten Auftragsverarbeiters ist auf seine eigenen Verarbeitungstätigkeiten gemäß diesen Klauseln zu beschränken. 

Klausel 7 

Mediation und Gerichtsstand 

1. Der Datenträgerempfänger stimmt zu, dass, falls die betroffene Person gemäß den Klauseln gegen ihn das Recht als Drittbegünstigter geltend macht und/oder Schadenersatz verlangt, er die Entscheidung der betroffenen Person akzeptiert: 

a) das Verfahren einem unabhängigen Mediator oder gegebenenfalls der Aufsichtsbehörde zu unterziehen; 

b) den Rechtsweg vor den Gerichten des Mitgliedstaats zu beschreiten, in dem der Datenträgergeber niedergelassen ist. 

2. Die Parteien vereinbaren, dass die von der betroffenen Person getroffene Wahl die prozessualen oder materiellen Rechte dieser Person, Anspruch auf Entschädigung gemäß anderen Bestimmungen des nationalen oder internationalen Rechts zu erhalten, nicht beeinträchtigt. 

Klausel 8 

Zusammenarbeit mit den Aufsichtsbehörden 

1. Der Datenträgergeber erklärt sich einverstanden, eine Kopie dieses Vertrags bei der Aufsichtsbehörde einzureichen, falls diese dies verlangt oder falls dies nach dem anwendbaren Datenschutzrecht vorgesehen ist. 

2. Die Parteien vereinbaren, dass die Aufsichtsbehörde das Recht hat, Überprüfungen beim Datenträgerempfänger und bei jedem nachgelagerten Auftragsverarbeiter in demselben Umfang und unter denselben Bedingungen durchzuführen wie bei Überprüfungen beim Datenträgergeber gemäß dem anwendbaren Datenschutzrecht. 

3. Der Datenträgerempfänger informiert den Datenträgergeber unverzüglich über das Bestehen von Rechtsvorschriften, die ihn oder einen nachgelagerten Auftragsverarbeiter daran hindern, Überprüfungen gemäß Absatz 2 zuzulassen. In diesem Fall ist der Datenträgergeber berechtigt, die in Klausel 5 Buchstabe b) vorgesehenen Maßnahmen zu ergreifen. 

Klausel 9 

Anwendbares Recht 

Die Klauseln unterliegen dem Recht des Mitgliedstaats, in dem der Datenträgergeber niedergelassen ist., 

Klausel 10 

Änderung des Vertrags 

Die Parteien verpflichten sich, diese Klauseln nicht zu ändern. Die Parteien sind frei, zusätzliche handelsübliche Klauseln aufzunehmen, die sie für notwendig halten, vorausgesetzt, diese widersprechen nicht diesen Klauseln. 

Klausel 11 

Nachgelagerte Unterauftragsvergabe 

1. Der Datenträgerempfänger darf keine seiner Verarbeitungstätigkeiten, die er für den Datenträgergeber gemäß diesen Klauseln durchführt, ohne vorherige schriftliche Zustimmung des Datenträgergebers an einen Unterauftragnehmer vergeben. Der Datenträgerempfänger vergibt die Verpflichtungen, die ihm gemäß diesen Klauseln obliegen, mit Zustimmung des Datenträgergebers nur mittels eines schriftlichen Vertrags mit dem nachgelagerten Auftragsverarbeiter, der diesem dieselben Verpflichtungen auferlegt, wie sie dem Datenträgerempfänger gemäß diesen Klauseln obliegen). Verstößt der nachgelagerte Auftragsverarbeiter gegen die ihm in diesem schriftlichen Vertrag auferlegten datenschutzrechtlichen Verpflichtungen, bleibt der Datenträgerempfänger gegenüber dem Datenträgergeber vollständig für die Einhaltung dieser Verpflichtungen verantwortlich. 

2. Der schriftliche Vorvertrag zwischen dem Datenträgerempfänger und dem nachgelagerten Auftragsverarbeiter enthält ebenfalls eine Klausel zugunsten Dritter gemäß Klausel 3 für den Fall, dass die betroffene Person daran gehindert ist, die in Klausel 6 Absatz 1 genannte Schadensersatzforderung gegen den Datenträgergeber oder den Datenträgerempfänger zu erheben, weil diese materiell verschwunden sind, nicht mehr existieren oder insolvent geworden sind, und die rechtlichen Verpflichtungen des Datenträgergebers oder des Datenträgerempfängers nicht durch Vertrag oder Gesetz auf einen nachfolgenden Rechtsträger übertragen wurden. Die zivilrechtliche Haftung des nachgelagerten Auftragsverarbeiters ist auf seine eigenen Verarbeitungstätigkeiten gemäß diesen Klauseln zu beschränken. 

3. Die Bestimmungen in Bezug auf datenschutzbezogene Aspekte der nachgelagerten Unterauftragsvergabe in dem Vertrag nach Absatz 1 unterliegen dem Recht des Mitgliedstaats, in dem der Datenträgergeber niedergelassen ist. 

4. Der Datenträgergeber führt eine Liste der gemäß diesen Klauseln geschlossenen und vom Datenträgerempfänger gemäß Klausel 5 Buchstabe j) gemeldeten nachgelagerten Unterauftragsverträge, die mindestens einmal jährlich aktualisiert wird. Diese Liste wird der zuständigen Datenschutzaufsichtsbehörde des Datenträgergebers zur Verfügung gestellt. 

Klausel 12 

Pflicht nach Beendigung der personenbezogenen Datenverarbeitungsdienste 

1. Die Parteien vereinbaren, dass nach Beendigung der Datenverarbeitungsdienste der Datenträgerempfänger und der nachgelagerte Auftragsverarbeiter dem Datenträgergeber, nach dessen Wahl, alle übermittelten personenbezogenen Daten und alle Kopien zurückgeben oder alle diese Daten vernichten und dem Datenträgergeber einen Nachweis darüber erbringen, es sei denn, die geltende Gesetzgebung hindert den Datenträgerempfänger daran, ganz oder teilweise die personenbezogenen Daten zurückzugeben oder zu vernichten. In diesem Fall gewährleistet der Datenträgerempfänger, dass er die Vertraulichkeit der übermittelten personenbezogenen Daten wahrt und diese Daten nicht aktiv weiterverarbeitet. 

2. Der Datenträgerempfänger und der nachgelagerte Auftragsverarbeiter gewährleisten, dass sie auf Verlangen des Datenträgergebers und/oder der Aufsichtsbehörde ihre Verarbeitungsmittel einer Überprüfung der in Absatz 1 genannten Maßnahmen unterziehen. 

Anhang 1.1 von Teil 2

Einzelheiten der Übermittlung

Datenträgergeber

Der Datenträgergeber ist der im Vertrag definierte Kunde.

Datenträgerempfänger

Der Datenträgerempfänger ist IQUALIF und ist mit der Datenverarbeitung beauftragt und erbringt die Dienstleistungen für den Datenträgergeber.

Betroffene Personen

Die übermittelten personenbezogenen Daten betreffen die folgenden Kategorien betroffener Personen :

☒ in das allgemeine Verzeichnis eingetragene Telefonanschlüsse

☐ Andere, insbesondere :

Kategorien von Daten

Die übermittelten personenbezogenen Daten betreffen die folgenden Datenkategorien :

Kategorien personenbezogener Daten der betroffenen Personen des Datenträgergebers, insbesondere

☒ Vollständiger Name

☒ Postanschrift

☒ Kontaktdaten (E-Mail, Telefon, IP-Adresse, etc.)

☒ Angaben zu Marketingaktivitäten in Bezug auf den Telefonanschluss

☒ Andere, insbesondere : Wohnungsart, Durchschnittseinkommen und durchschnittliches Alter pro Stadt, anonymisiert dargestellt

Besondere Kategorien von Daten (gegebenenfalls)

Die übermittelten personenbezogenen Daten betreffen die folgenden besonderen Kategorien von Daten :

☒ Die Übermittlung besonderer Datenkategorien ist nicht vorgesehen

☐ Rasse oder ethnische Herkunft

☐ Religiöse oder philosophische Überzeugungen

☐ Gewerkschaftszugehörigkeit

☐ Politische Meinungen

☐ Genetische Angaben 

☐ Biometrische Angaben

☐ Angaben zur sexuellen Orientierung oder zum Sexualleben

☐ Gesundheitsdaten

Verarbeitungstätigkeiten

Die übermittelten personenbezogenen Daten unterliegen den folgenden grundlegenden Verarbeitungstätigkeiten :

• • • Gegenstand der Verarbeitung

Die im Auftrag des Datenträgergebers durchgeführte Verarbeitung umfasst insbesondere die folgenden Bereiche :

☒ Betreuung von Produkten oder Dienstleistungen, die vom Datenträgergeber angeboten werden

☒ Angebot eines Produkts oder einer Dienstleistung, die die angerufene Person anfordern kann

☒ Annahme von Bestellungen bei angerufenen Personen und anschließende Bearbeitung dieser Bestellungen

☒ Fragebögen, Studien und Analysen

☒ Telemarketing

☐ Sonstige, insbesondere :

• • • Art und Zweck der Verarbeitung

Der Datenträgerempfänger verarbeitet die personenbezogenen Daten der betroffenen Personen im Auftrag des Datenträgergebers, um die folgenden Dienstleistungen, insbesondere, zu erbringen :

☒ Vertrieb und Marketing

☒ Sonstiges, insbesondere : Aktualisierung von Datenbanken von Rathäusern und politischen Parteien

• • • Erbringung der Dienstleistungen und Einsatz von Dienstleistern

IQUALIF kombiniert, zentralisiert und erbringt hauptsächlich die Dienstleistungen für den Datenträgergeber. Die von dem genannten Dienstleister erbrachten Leistungen können (unter anderem und je nach Fall) folgende unterstützende Dienste umfassen: (i) Bereitstellung von Anwendungen, Werkzeugen, Systemen und einer IT-Infrastruktur im Zusammenhang mit den genutzten Rechenzentren, um die Dienstleistungen zu erbringen und zu unterstützen, insbesondere die Verarbeitung der oben beschriebenen personenbezogenen Daten der betroffenen Personen mittels solcher Anwendungen, Werkzeuge und Systeme; (ii) IT-Support, Wartung und weitere Dienstleistungen im Zusammenhang mit diesen Anwendungen, Werkzeugen, Systemen und der IT-Infrastruktur, einschließlich eines möglichen Zugriffs auf in diesen Anwendungen, Werkzeugen und Systemen gespeicherte personenbezogene Daten; und (iii) Bereitstellung von Datenschutzdiensten, Datenschutzüberwachung und Vorfallreaktionsdiensten, einschließlich eines möglichen Zugriffs auf personenbezogene Daten bei der Erbringung solcher Schutzdienste. IQUALIF kann, wie nachstehend angegeben, Unterauftragnehmer beauftragen, um die Dienstleistungen, insbesondere die unterstützenden Dienste, zu erbringen.

• • • Externe Drittanbieter als untergeordnete Einheiten, die mit der Datenverarbeitung beauftragt sind

IQUALIF beauftragt externe Drittanbieter, die keine Tochtergesellschaften von IQUALIF sind, um die Erbringung der Dienstleistungen für den Datenträgergeber zu unterstützen. Der Datenträgergeber genehmigt diese Art externer Drittanbieter als untergeordnete Einheiten, die an der Datenverarbeitung beteiligt sind

Befindet sich eine untergeordnete, mit der Datenverarbeitung beauftragte Einheit außerhalb der EU/EWR in einem Land, das gemäß einer Entscheidung der Europäischen Kommission nicht über ein angemessenes Datenschutzniveau verfügt, wird der Datenträgerempfänger Maßnahmen ergreifen, um ein ausreichendes Datenschutzniveau gemäß der DSGVO sowie Abschnitt 3.4 (iv) von Teil 1 zu gewährleisten.

Anhang 2, Teil 2

Technische und organisatorische Schutzmaßnahmen

Der Datenträgerempfänger trifft die folgenden technischen und organisatorischen Schutzmaßnahmen, gegebenenfalls vom Datenträgergeber bestätigt, um ein angemessenes Sicherheitsniveau für die Rechte und Freiheiten der Personen unter Berücksichtigung der Risiken zu gewährleisten. Bei der Bewertung des erforderlichen Schutzniveaus hat der Datenträgergeber insbesondere die Risiken in Bezug auf die Verarbeitung berücksichtigt, wie etwa unbeabsichtigte oder unrechtmäßige Zerstörung, Veränderung, unbefugte Offenlegung oder Zugriff auf die übermittelten, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten. Zur Klarstellung: Diese technischen und organisatorischen Schutzmaßnahmen betreffen nicht Anwendungen, Werkzeuge, Systeme und/oder IT-Infrastrukturen, die vom Datenträgergeber bereitgestellt werden.

1 Allgemeine technische und organisatorische Schutzmaßnahmen

1.1 Allgemeine Strategien zum Schutz von Informationen und Daten

Die folgenden Maßnahmen sind zu ergreifen, um die allgemeinen Strategien zum Schutz von Daten und Informationen zu verfolgen :

a) Maßnahmen zur Bewertung der ergriffenen technischen und organisatorischen Schutzmaßnahmen ergreifen ;

b) Schulungen zur Sensibilisierung der Mitarbeiter anbieten ;

c) Beschreibung der betroffenen Systeme vorhalten und den Mitarbeitern Zugang gewähren ;

d) ein formelles Dokumentationsverfahren einführen, wann immer Systeme implementiert oder geändert werden ;

e) Dokumentation der Organisationsstruktur, der Prozesse, Verantwortlichkeiten und der jeweiligen Bewertungen ;

1.2 Organisation des Informationsschutzes

Die folgenden Maßnahmen sind zu ergreifen, um die Aktivitäten zum Schutz von Daten und Informationen zu koordinieren :

a) definierte Verantwortlichkeiten für Informations- und Datenschutz (z. B. durch eine Datenschutzleitlinie) ;

b) Aufrechterhaltung der erforderlichen Kompetenzen im Informations- und Datenschutzbereich ;

c) alle Mitarbeiter verpflichten sich, personenbezogene Daten vertraulich zu behandeln, und wurden über die möglichen Konsequenzen bei Verletzung dieser Verpflichtung informiert.

1.3 Zugangskontrolle zu Verarbeitungsbereichen

Die folgenden Maßnahmen sind zu ergreifen, um unbefugten Personen den Zugang zu Datenverarbeitungssystemen (einschließlich Software und Hardware) zu verwehren, wenn personenbezogene Daten verarbeitet, gespeichert oder übertragen werden :

a) Sichere Bereiche einrichten ;

b) Zugang zu Datenverarbeitungssystemen schützen und einschränken ;

c) Zugriffsberechtigungen für Mitarbeiter und Dritte festlegen, einschließlich der entsprechenden Dokumentation ;

d) jeglicher Zugang zu den Rechenzentren, in denen personenbezogene Daten gehostet werden, wird protokolliert.

1.4 Zugangskontrolle zu Datenverarbeitungssystemen

Die folgenden Maßnahmen sind zu ergreifen, um unbefugten Zugriff auf Datenverarbeitungssysteme zu verhindern:

a) Richtlinien und Verfahren zur Benutzerauthentifizierung ;

b) Passwörter auf allen IT-Systemen verwenden ;

c) Fernzugriff auf das Netzwerk erfordert Multi-Faktor-Authentifizierung und wird dem zuständigen Personal je nach Verantwortlichkeit und nach Genehmigung gewährt ;

d) Zugriff auf spezifische Funktionen basiert auf beruflichen Funktionen und/oder individuell zugewiesenen Attributen des Benutzerkontos ;

e) Zugriffsrechte in Bezug auf personenbezogene Daten werden regelmäßig überprüft ;

f) Aufzeichnungen über Änderungen der Zugriffsrechte führen.

1.4 Zugangskontrolle zu bestimmten Anwendungsbereichen der Datenverarbeitungssysteme

Die folgenden Maßnahmen sind zu ergreifen, um sicherzustellen, dass befugte Benutzer des Datenverarbeitungssystems nur auf Daten zugreifen können, die in ihren Zuständigkeitsbereich und ihre Zugriffsberechtigungen fallen, und damit personenbezogene Daten nicht ohne Erlaubnis gelesen, kopiert, verändert oder gelöscht werden können:

a) Richtlinien, Anweisungen und Mitarbeiterschulungen bezüglich der Pflichten jedes Einzelnen in Bezug auf Vertraulichkeit, Zugriffsrechte auf personenbezogene Daten und Umfang der Datenverarbeitung;

b) disziplinarische Maßnahmen gegen Personen, die unbefugt auf personenbezogene Daten zugreifen ;

c) Zugriff auf personenbezogene Daten wird nur autorisierten Personen gewährt, und zwar nach dem Need-to-know-Prinzip ;

d) Führung einer Liste der Systemadministratoren und entsprechende Maßnahmen zur Überwachung der Systemadministratoren ;

e) keine Kopien oder Reproduktionen personenbezogener Daten auf allen Speichersystemen zulassen, die unbefugten Personen das Entfernen von Informationen ermöglichen würden ;

f) kontrollierte und dokumentierte Löschung oder Vernichtung von Daten ;

g) alle aufzubewahrenden personenbezogenen Daten sicher speichern (z. B. gesetzliche Aufbewahrungspflichten) und nur so lange, wie es das Recht erfordert.

1.6 Übertragungskontrolle

Die folgenden Maßnahmen sind zu ergreifen, um zu verhindern, dass personenbezogene Daten während der Übertragung oder beim Transport von Datenträgern (je nach Art der Verarbeitung personenbezogener Daten) von unbefugten Dritten gelesen, kopiert, verändert oder gelöscht werden:

a) Einsatz von Firewalls ;

b) Vermeidung der Speicherung personenbezogener Daten auf mobilen Speichermedien zum Zweck des Transports, oder Verschlüsselung der Geräte c) Diese nur auf Laptops und anderen mobilen Geräten verwenden, wenn der Schutz durch Verschlüsselung aktiviert ist ;

d) Protokollierung der Übertragungen personenbezogener Daten.

1.7 Eingabekontrolle

Die folgenden Maßnahmen sind zu ergreifen, um sicherzustellen, dass überprüft und festgestellt werden kann, ob personenbezogene Daten in die Datenverarbeitungssysteme eingegeben oder gelöscht wurden, und wer dies vorgenommen hat:

a) eine Richtlinie zur Berechtigung der Lese-, Änderungs- und Löschrechte gespeicherter Daten ;

b) Schutzmaßnahmen bezüglich des Lesens, Änderns und Löschens gespeicherter Daten.

1.8 Kontrolle der Verarbeitung

Im Falle einer delegierten Verarbeitung personenbezogener Daten sind die folgenden Maßnahmen zu ergreifen, um sicherzustellen, dass diese Daten gemäß den Anweisungen des Verantwortlichen verarbeitet werden:

a) Auswahl der Einheiten oder Untereinheiten, die mit der Datenverarbeitung beauftragt sind, mit Sorgfalt (Dienstleister, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten);

b) Anweisungen an Mitarbeiter sowie an die Einheiten oder Untereinheiten, die mit der Datenverarbeitung beauftragt sind, über den Umfang jeder Verarbeitung personenbezogener Daten ;

c) vereinbarte Prüfungsrechte mit den Einheiten oder Untereinheiten, die mit der Datenverarbeitung beauftragt sind

d) Verträge mit den Einheiten oder Untereinheiten, die mit der Datenverarbeitung beauftragt sind.

1,9 Trennung der Verarbeitung für andere Zwecke

Die folgenden Maßnahmen sind zu ergreifen, um sicherzustellen, dass zu anderen Zwecken erhobene Daten getrennt verarbeitet werden können:

a) Zugriff auf personenbezogene Daten entsprechend den geltenden Nutzerrechten trennen ;

b) Schnittstellen, Batch-Verarbeitungen und Reports sind für andere Ziele und Funktionen bestimmt, sodass Daten, die zu anderen Zwecken erhoben wurden, getrennt verarbeitet werden können.

1.10 Pseudonymisierung

Die folgenden Maßnahmen sind in Bezug auf die Pseudonymisierung personenbezogener Daten zu ergreifen:

a) Wenn der Datenträgergeber eine bestimmte Verarbeitung anordnet oder der Datenträgerempfänger dies für angemessen hält und dies gemäß den geltenden Datenschutzgesetzen für bestimmte Verarbeitungsvorgänge erforderlich ist, wird die Verarbeitung personenbezogener Daten so erfolgen, dass die Daten ohne die Verwendung zusätzlicher Informationen nicht mehr einer konkreten Person zugeordnet werden können. Diese zusätzlichen Informationen werden getrennt aufbewahrt ;

b) Einsatz von Pseudonymisierungstechniken, einschließlich Randomisierung mit Zuordnungslisten; Erzeugung von Hash-Werten.

1,11 Verschlüsselung

Die folgenden Maßnahmen sind zu ergreifen, um personenbezogene Daten im Rahmen von Anwendungen und Übertragungen, die Verschlüsselung unterstützen, zu verschlüsseln: a) Einsatz von Verschlüsselungstechniken ;

b) Einführung eines Schlüsselmanagements zur Unterstützung der angewandten Verschlüsselungstechniken ;

c) Unterstützung der Nutzung von Kryptographie durch Verfahren und Protokolle zur Generierung, Änderung, Widerruf, Vernichtung, Verteilung, Zertifizierung, Speicherung, Eingabe, Nutzung und Archivierung von Kryptografieschlüsseln zum Schutz gegen unbefugte Veränderung und Offenlegung.

1.12 Integrität der Datenverarbeitungssysteme und Dienste

Die folgenden Maßnahmen sind zu ergreifen, um die Integrität der Datenverarbeitungssysteme und Dienste zu gewährleisten :

a) Schutz der Datenverarbeitungssysteme gegen Manipulation oder Zerstörung durch geeignete Mittel (z. B. Antivirensoftware, Data Loss Prevention-Software und Anti-Malware-Software, Software-Patches, Firewalls und verwalteter Schutz von Desktops) ;

b) Installation schädlicher Dienste oder Software, die Systeme, Dienstleistungen oder die Verarbeitung personenbezogener Daten beeinträchtigen könnten, untersagen ;

c) Einsatz eines Intrusion Detection und Prevention Systems im Netzwerkaufbau.

1,14 Verfügbarkeit der Datenverarbeitungssysteme und -dienste sowie Wiederherstellbarkeit des Zugriffs und der Nutzung personenbezogener Daten im Fall eines Hardware- oder technischen Vorfalls

Die folgenden Maßnahmen sind zu ergreifen, um die Verfügbarkeit der Datenverarbeitungssysteme zu gewährleisten und die Verfügbarkeit und den Zugang zu personenbezogenen Daten im Fall eines Hardware- oder technischen Vorfalls schnell wiederherstellen zu können (insbesondere durch Schutz der personenbezogenen Daten vor unbeabsichtigter Zerstörung oder Verlust):

a) Verfahren zur Sicherung und Wiederherstellung von Backups einrichten ;

b) Infrastruktur-Redundanz und Funktionstests ;

c) physischer Schutz der IT-Ressourcen ;

d) Einsatz von Tools zur Überwachung des Zustands und der Verfügbarkeit des internen Netzwerks ;

e) Vorfallberichte und Reaktionsrichtlinien, die das Vorgehen bei Vorfällen regeln, sowie regelmäßige Schulungen zur Wiederholung der Einhaltung dieser Richtlinien ;

f) Backups (teilweise auch extern), um das System wiederherzustellen und dessen Funktionalität wieder zu gewährleisten ;

g) Business-Continuity- und Disaster-Recovery-Pläne.

1.12 Resilienz der Datenverarbeitungssysteme und -dienste

Die folgenden Maßnahmen sind zu ergreifen, um die Resilienz der Datenverarbeitungssysteme und Dienste zu gewährleisten :

a) harmonisch konfigurierte Systeme mit genehmigten Sicherheitseinstellungen ;

b) Netzwerkredundanz ;

c) Isolation kritischer Systeme zum Schutz.

1,16 Verfahren zur regelmäßigen Prüfung, Bewertung und Beurteilung der Wirksamkeit der technischen und organisatorischen Maßnahmen zum Schutz der Datenverarbeitung

Verfahren zur regelmäßigen Prüfung, Bewertung und Beurteilung der Wirksamkeit der technischen und organisatorischen Maßnahmen zum Schutz der Datenverarbeitung

a) Maßnahmen zur Bewertung der Risiken und der Minderungsstrategien ergreifen ;

b) Service-Analyse-Meetings der IT-Abteilung abhalten, um aktuelle Probleme zu behandeln ;

c) Business-Continuity- und Disaster-Recovery-Pläne regelmäßig aktualisieren.

Teil 3

Unterschriften der Parteien und Liste der Datenträgerempfänger

Zum Zeitpunkt des Ausfüllens und Bestätigens Ihres Online-Bestellformulars durch Ankreuzen des Feldes zur Annahme der Allgemeinen Geschäftsbedingungen kommt der Vertrag zwischen dem Kunden und IQUALIF zustande. 

Die Zusendung der Zahlung an IQUALIF gilt als ausreichende Annahme zur Bildung des Vertrags.