Der „GDPRLocal Master Service Agreement“ und die darin enthaltenen zusätzlichen Bedingungen regeln unsere Produkte, Dienstleistungen und Kundenbeziehungen.
Es bestehen keine Verpflichtungen zum Kauf von Dienstleistungen. Für die Anmeldung ist keine Kreditkarte erforderlich, und nach der Registrierung können Dienstleistungen jederzeit erworben und aktiviert werden.
Letzte Aktualisierung: 3. November 2026
Diese Datenverarbeitungsvereinbarung („DPA“) zwischen der EU und dem Vereinigten Königreich ergänzt die Vereinbarung, auf deren Grundlage GDPRLocal dem Kunden die Dienstleistungen erbringt, sei es das GDPRLocal-Rahmenvertrag über Dienstleistungen oder eine andere unterzeichnete Vereinbarung, ein Auftrag oder ein Bestellformular (die „Vereinbarung“), die zwischen dem Kunden, der diese DPA unterzeichnet („Kunde“), und GDPRLocal Ltd. mit Sitz in 1st Floor Front Suite, 27-29 North Street, Brighton, England, BN1 1EB (das „Unternehmen“), im eigenen Namen und im Namen seiner verbundenen Unternehmen geschlossen wurde. Durch die Unterzeichnung der DPA gemäß Abschnitt 11 dieser Vereinbarung schließt der Kunde diese DPA in eigenem Namen und, soweit dies nach den geltenden Datenschutzgesetzen (wie nachstehend definiert) erforderlich ist, im Namen und im Auftrag seiner verbundenen Unternehmen (wie nachstehend definiert) ab. Diese DPA umfasst die Bestimmungen der Vereinbarung, und alle in dieser DPA nicht definierten Begriffe haben die in der Vereinbarung festgelegte Bedeutung.
1.1„Verbundenes Unternehmen“ bezeichnet (i) ein Unternehmen, an dem eine Partei direkt oder indirekt fünfzig Prozent (50 %) oder mehr der Aktien oder sonstigen Kapitalanteile hält, (ii) ein Unternehmen, das mindestens fünfzig Prozent (50 %) oder mehr der Aktien oder sonstigen Kapitalanteile einer Vertragspartei hält, oder (iii) ein Unternehmen, das mit einer Vertragspartei unter gemeinsamer Kontrolle steht, indem mindestens fünfzig Prozent (50 %) oder mehr der Aktien oder sonstigen Kapitalanteile dieses Unternehmens und einer Vertragspartei von derselben Person gehalten werden; ein solches Unternehmen gilt jedoch nur so lange als verbundenes Unternehmen, wie diese Beteiligungsverhältnisse bestehen.
1.2„Befugter Unterauftragsverarbeiter“ bezeichnet einen Dritten, der Kenntnis von den personenbezogenen Daten des Kunden erlangen oder anderweitig darauf zugreifen muss, damit das Unternehmen seinen Verpflichtungen aus dieser DPA oder der Vereinbarung nachkommen kann, und der entweder (1) in Anhang B (4) aufgeführt ist oder (2) nachträglich gemäß Abschnitt 4.2 dieser DPA autorisiert wurde.
1.3„Unternehmenskontodaten“ bezeichnet personenbezogene Daten, die sich auf die Beziehung des Unternehmens zum Kunden beziehen, einschließlich der Namen oder Kontaktdaten von Personen, die vom Kunden zum Zugriff auf dessen Konto autorisiert wurden, sowie der Rechnungsdaten von Personen, die der Kunde mit seinem Konto verknüpft hat. Zu den Unternehmenskontodaten gehören auch alle Daten, die das Unternehmen möglicherweise erheben muss, um seine Beziehung zum Kunden zu verwalten, die Identität zu überprüfen oder um sonstigen Anforderungen geltender Gesetze und Vorschriften nachzukommen.
1.4„Nutzungsdaten des Unternehmens“ bezeichnet Daten zur Nutzung der Dienste, die vom Unternehmen im Zusammenhang mit der Bereitstellung der Dienste erhoben und verarbeitet werden, einschließlich, aber nicht beschränkt auf Daten zur Identifizierung der Quelle und des Ziels einer Kommunikation, Aktivitätsprotokolle sowie Daten, die zur Optimierung und Aufrechterhaltung der Leistung der Dienste sowie zur Untersuchung und Verhinderung von Systemmissbrauch verwendet werden.
1.5„Datenexporteur“ bezeichnet den Kunden, mit Ausnahme von Auslandsübermittlungen gemäß Abschnitt 6.7, bei denen das Unternehmen oder die jeweilige repräsentative Stelle als Datenexporteur fungiert.
1.6„Datenimporteur“ bezeichnet das Unternehmen, mit Ausnahme von Auslandsübermittlungen gemäß Abschnitt 6.7, bei denen der Kunde der Datenimporteur ist.
1.7„Datenschutzgesetze“ bezeichnet alle geltenden Gesetze und Vorschriften in jeder relevanten Rechtsordnung, die sich auf die Nutzung oder Verarbeitung personenbezogener Daten beziehen, einschließlich: (i) des California Consumer Privacy Act („CCPA“), (ii) der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) („EU-DSGVO“) sowie die EU-DSGVO, soweit sie gemäß § 3 des European Union (Withdrawal) Act 2018 Bestandteil des Rechts von England und Wales ist (die „UK-DSGVO“) (zusammenfassend als „DSGVO“ bezeichnet), (iii) das Schweizer Bundesgesetz über den Datenschutz vom 25. September 2020 (das „BDSG“); (iv) dem britischen Datenschutzgesetz von 2018; (v) den Vorschriften über den Datenschutz und die elektronische Kommunikation (EG-Richtlinie) von 2003; (vi) dem singapurischen Gesetz zum Schutz personenbezogener Daten von 2012 (das „PDPA“); sowie (vii) die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (das „EU-KI-Gesetz“), soweit sie für die Verarbeitung personenbezogener Daten gilt, einschließlich der Fälle, in denen das Unternehmen als bevollmächtigter Vertreter des Kunden gemäß Artikel 22 oder Artikel 54 des EU-KI-Gesetzes handelt; jeweils in der jeweils gültigen Fassung, die von Zeit zu Zeit aktualisiert, geändert oder ersetzt wird. Die Begriffe „betroffene Person“, „personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“, „Auftragsverarbeiter“, „Verantwortlicher“ und „Aufsichtsbehörde“ haben die in der DSGVO festgelegten Bedeutungen.
1.8„DSB-Mitteilungen“ bezeichnet Anfragen, Beschwerden und sonstige Mitteilungen sowie die darin enthaltenen personenbezogenen Daten, die von Einzelpersonen oder Aufsichtsbehörden an das Unternehmen in seiner Eigenschaft als Datenschutzbeauftragter des Kunden gesendet werden.
1.9„EU-SCCs“ bezeichnet die von der Europäischen Kommission in ihrem Beschluss 2021/914 vom 4. Juni 2021 genehmigten Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Länder, denen von der Europäischen Kommission nicht anderweitig ein angemessenes Schutzniveau für personenbezogene Daten zuerkannt wurde (in ihrer jeweils gültigen Fassung), in der durch Abschnitt 6.2 dieser DPA geänderten Fassung.
1.10„Übermittlung außerhalb des EWR“ bezeichnet die Übermittlung personenbezogener Daten, die gemäß der DSGVO verarbeitet werden, vom Datenexporteur an den Datenimporteur (oder dessen Geschäftsräume) außerhalb des Europäischen Wirtschaftsraums (des „EWR“), wobei diese Übermittlung nicht unter eine Angemessenheitsentscheidung der Europäischen Kommission gemäß den einschlägigen Bestimmungen der DSGVO fällt.
1.11„Übermittlung aus dem Vereinigten Königreich“ bezeichnet die Übermittlung von personenbezogenen Daten, die unter Kapitel V der britischen DSGVO fallen und gemäß der britischen DSGVO sowie dem Datenschutzgesetz von 2018 verarbeitet werden, vom Datenexporteur an den Datenimporteur (oder dessen Räumlichkeiten) außerhalb des Vereinigten Königreichs (das „Vereinigte Königreich“), und diese Übermittlung unterliegt keiner Angemessenheitsentscheidung des Staatssekretärs gemäß den einschlägigen Bestimmungen der britischen DSGVO und des Datenschutzgesetzes von 2018.
1.12„Ausgehende Übermittlung“ bezeichnet eine Übermittlung personenbezogener Daten vom Unternehmen oder einer vertretenen Stelle an den Kunden, einschließlich der Kommunikation mit Vertretern, der Kommunikation mit dem Datenschutzbeauftragten sowie der personenbezogenen Daten, die in Leistungen, Berichten, Empfehlungen oder anderen Materialien enthalten sind, die dem Kunden im Rahmen einer Dienstleistung zur Verfügung gestellt werden.
1.13„Mitteilungen an den Beauftragten“ bezeichnet Anfragen, Beschwerden und sonstige Mitteilungen sowie alle darin enthaltenen personenbezogenen Daten, die von Einzelpersonen oder Aufsichtsbehörden im Zusammenhang mit dem Kunden an eine beauftragte Stelle gesendet werden.
1.14„Vertretungsstelle“ bezeichnet, sofern der Kunde den entsprechenden Vertretungsdienst aktiviert hat: (i) Instant EU GDPR Representative Limited (Irland) als Vertreter des Kunden gemäß Artikel 27 der EU-DSGVO; (ii) GDPRLocal Ltd als Vertreter des Kunden gemäß Artikel 27 der britischen DSGVO; und (iii) ALTRION Sagl (Schweiz) als Vertreter des Kunden gemäß Artikel 14 des DSG. Instant EU GDPR Representative Limited und ALTRION Sagl sind unabhängige Partnerunternehmen und keine verbundenen Unternehmen der Gesellschaft.
1.15Der Begriff „Dienstleistungen“ hat die in der Vereinbarung festgelegte Bedeutung.
1.16„Standardvertragsklauseln“ bezeichnet die EU-SCCs und die UK-SCCs.
1.17„UK SCCs“ bezeichnet die EU-SCCs in der durch den UK-Nachtrag geänderten Fassung.
1.18„UK-Zusatz“ bezeichnet den Zusatz zum internationalen Datentransfer gemäß den EU-Standardvertragsklauseln, der vom Information Commissioner gemäß § 119A des Datenschutzgesetzes von 2018 (Fassung B1.0) herausgegeben wurde, wie in Anlage D wiedergegeben.
2.1Die Parteien erkennen an und vereinbaren, dass der Kunde im Hinblick auf die Verarbeitung personenbezogener Daten entweder als Verantwortlicher oder als Auftragsverarbeiter auftreten kann und dass das Unternehmen, sofern in dieser DPA oder der Vereinbarung nicht ausdrücklich anders festgelegt, als Auftragsverarbeiter fungiert. Der Kunde hat bei der Nutzung der Dienste stets die personenbezogenen Daten unter Einhaltung der Datenschutzgesetze zu verarbeiten und Anweisungen für die Verarbeitung personenbezogener Daten zu erteilen. Der Kunde hat sicherzustellen, dass die Verarbeitung personenbezogener Daten gemäß seinen Anweisungen nicht dazu führt, dass das Unternehmen gegen die Datenschutzgesetze verstößt. Der Kunde ist allein verantwortlich für die Richtigkeit, Qualität und Rechtmäßigkeit (i) der personenbezogenen Daten, die dem Unternehmen vom Kunden oder in dessen Namen zur Verfügung gestellt werden, (ii) der Art und Weise, wie der Kunde diese personenbezogenen Daten erhoben hat, und (iii) der Anweisungen, die er dem Unternehmen hinsichtlich der Verarbeitung dieser personenbezogenen Daten erteilt. Der Kunde darf dem Unternehmen keine personenbezogenen Daten zur Verfügung stellen oder übermitteln, die gegen die Vereinbarung verstoßen oder anderweitig für die Art der Dienstleistungen ungeeignet sind, und hat das Unternehmen von allen damit verbundenen Ansprüchen und Verlusten freizustellen.
2.2Das Unternehmen darf personenbezogene Daten nicht (i) für andere als die in der Vereinbarung und/oder in Anhang A festgelegten Zwecke verarbeiten, (ii) in einer Weise, die im Widerspruch zu den in dieser DPA festgelegten Bedingungen oder anderen vom Kunden erteilten dokumentierten Anweisungen steht, einschließlich in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation, es sei denn, dies ist nach dem Recht der EU oder eines Mitgliedstaats oder nach dem Recht des Vereinigten Königreichs oder der Schweiz, dem das Unternehmen unterliegt, vorgeschrieben; in einem solchen Fall hat das Unternehmen den Kunden vor der Verarbeitung über diese gesetzliche Verpflichtung zu informieren, es sei denn, dieses Recht verbietet eine solche Unterrichtung aus wichtigen Gründen des öffentlichen Interesses, oder (iii) unter Verstoß gegen Datenschutzgesetze. Der Kunde weist das Unternehmen hiermit an, personenbezogene Daten gemäß den vorstehenden Bestimmungen und im Rahmen jeder vom Kunden bei der Nutzung der Dienste initiierten Verarbeitung zu verarbeiten. Gegenstand, Art, Zweck und Dauer dieser Verarbeitung sowie die Arten der erhobenen personenbezogenen Daten und die Kategorien der betroffenen Personen sind in Anhang A zu dieser DPA beschrieben.
2.3Nach Abschluss der Dienstleistungen wird das Unternehmen nach Wahl des Kunden dessen personenbezogene Daten zurückgeben oder löschen, es sei denn, eine weitere Speicherung dieser personenbezogenen Daten ist erforderlich oder durch geltendes Recht zulässig. Ist eine Rückgabe oder Vernichtung undurchführbar oder durch Gesetze, Vorschriften oder Verordnungen untersagt, ergreift das Unternehmen Maßnahmen, um diese personenbezogenen Daten für jede weitere Verarbeitung zu sperren (mit Ausnahme des Umfangs, der für deren fortgesetzte Speicherung oder Verarbeitung erforderlich ist, die durch Gesetze, Vorschriften oder Verordnungen vorgeschrieben ist), und schützt die in seinem Besitz, seiner Verwahrung oder seiner Kontrolle verbleibenden personenbezogenen Daten weiterhin in angemessener Weise. Haben der Kunde und das Unternehmen Standardvertragsklauseln gemäß Abschnitt 6 (Übermittlung personenbezogener Daten) vereinbart, so vereinbaren die Parteien, dass die in Klausel 8.1(d) und Klausel 8.5 der EU-SCCs (soweit anwendbar) beschriebene Bescheinigung über die Löschung personenbezogener Daten vom Unternehmen dem Kunden nur auf dessen Anfrage hin zur Verfügung gestellt wird. Mitteilungen des Beauftragten und des Datenschutzbeauftragten werden auf dem Portal des Unternehmens ausschließlich zum Empfang und zur Weiterleitung an den Kunden aufbewahrt. Sechs (6) Monate nach Abschluss einer Anfrage benachrichtigt das Unternehmen den Kunden über das Portal, dass die zugehörigen Dateien gelöscht werden sollen, damit der Kunde erforderliche Kopien herunterladen kann, und löscht sie anschließend aus dem Portal. Für alle anderen Dienste gilt dieser Abschnitt 2.3 am Ende jedes Auftragsverhältnisses.
2.4 CCPA.Mit Ausnahme der Unternehmenskontodaten und der Unternehmensnutzungsdaten erkennen die Parteien an und vereinbaren, dass das Unternehmen im Sinne des CCPA (soweit dieser anwendbar ist) als Dienstleister fungiert und personenbezogene Daten vom Kunden erhält, um die Dienste gemäß der Vereinbarung zu erbringen, was einen geschäftlichen Zweck darstellt. Das Unternehmen wird keine personenbezogenen Daten verkaufen. Das Unternehmen darf keine vom Kunden gemäß der Vereinbarung bereitgestellten personenbezogenen Daten speichern, verwenden oder offenlegen, es sei denn, dies ist für den spezifischen Zweck der Erbringung der Dienste für den Kunden gemäß der Vereinbarung erforderlich oder anderweitig in der Vereinbarung dargelegt oder gemäß dem CCPA zulässig. Die Begriffe „personenbezogene Daten“, „Dienstleister“, „Verkauf“ und „verkaufen“ haben die in Abschnitt 1798.140 des CCPA festgelegte Bedeutung. Das Unternehmen bestätigt, dass es die Einschränkungen gemäß Abschnitt 2.4 versteht.
2.5 Dienstleistungen des Datenschutzbeauftragten.Soweit das Unternehmen gemäß Artikel 37 der DSGVO als Datenschutzbeauftragter des Kunden fungiert, verarbeitet es personenbezogene Daten als Auftragsverarbeiter des Kunden im Rahmen dieser DPA. Der Kunde hat sicherzustellen, dass das Unternehmen keine Weisungen hinsichtlich der Wahrnehmung der in Artikel 39 DSGVO festgelegten Aufgaben erhält (Artikel 38 Absatz 3 DSGVO). Dies berührt nicht die Weisungen des Kunden gemäß Abschnitt 2.2 zur Verarbeitung personenbezogener Daten. Das Unternehmen ist hinsichtlich der Wahrnehmung dieser Aufgaben gemäß geltendem Recht zur Verschwiegenheit oder Vertraulichkeit verpflichtet (Artikel 38 Absatz 5 DSGVO). Keine Bestimmung dieser DPA schränkt die Zusammenarbeit des Unternehmens mit den Aufsichtsbehörden und den betroffenen Personen oder seine Rolle als Ansprechpartner für diese ein (Artikel 38 Absatz 4 sowie Artikel 39 Absatz 1 Buchstaben d und e DSGVO).
3.1Das Unternehmen stellt sicher, dass jede Person, die es zur Verarbeitung personenbezogener Daten befugt, sich verpflichtet hat, personenbezogene Daten gemäß den Vertraulichkeitsverpflichtungen des Unternehmens aus dem Vertrag zu schützen. Der Kunde erklärt sich damit einverstanden, dass das Unternehmen personenbezogene Daten an seine Mitarbeiter, Auftragnehmer, Fachberater und Wirtschaftsprüfer, die an Vertraulichkeitsverpflichtungen gebunden sind, sowie an autorisierte Unterauftragsverarbeiter gemäß Abschnitt 4 weitergeben darf, jeweils nur soweit dies im Zusammenhang mit der Erfüllung seiner Verpflichtungen aus dieser DPA, dem Vertrag oder der Erbringung von Dienstleistungen für den Kunden angemessen erforderlich ist.
4.1Der Kunde nimmt zur Kenntnis und erklärt sich damit einverstanden, dass das Unternehmen (1) seine verbundenen Unternehmen sowie die in der Liste (wie nachstehend definiert) aufgeführten autorisierten Unterauftragsverarbeiter damit beauftragen darf, im Zusammenhang mit den Dienstleistungen auf personenbezogene Daten zuzugreifen und diese zu verarbeiten, und (2) von Zeit zu Zeit weitere Dritte zum Zweck der Erbringung der Dienstleistungen, einschließlich, aber nicht beschränkt auf die Verarbeitung personenbezogener Daten, beauftragen darf. Mit dieser DPA erteilt der Kunde dem Unternehmen eine allgemeine schriftliche Ermächtigung, Unterauftragsverarbeiter einzubeziehen, soweit dies zur Erbringung der Dienste erforderlich ist.
4.2Eine Liste der derzeitigen autorisierten Unterauftragsverarbeiter des Unternehmens (die „Liste“) ist in Anhang B(4) aufgeführt. Diese Liste kann vom Unternehmen von Zeit zu Zeit aktualisiert werden. Das Unternehmen wird einen Mechanismus bereitstellen, um den Kunden regelmäßig über neue autorisierte Unterauftragsverarbeiter zu informieren. Spätestens fünfzehn (15) Tage, bevor einem Dritten, der kein bestehender autorisierter Unterauftragsverarbeiter ist, der Zugriff auf personenbezogene Daten oder die Beteiligung an deren Verarbeitung gewährt wird, wird das Unternehmen diesen Dritten in die Liste aufnehmen und die Abonnenten, einschließlich des Kunden, über die Benachrichtigungen informieren. Der Kunde kann gegen eine solche Beauftragung Widerspruch einlegen, indem er das Unternehmen innerhalb von fünfzehn (15) Tagen nach Erhalt der Benachrichtigung schriftlich darüber informiert. Ein solcher Widerspruch muss schriftlich erfolgen und auf angemessenen datenschutzrechtlichen Gründen beruhen. Der Kunde erkennt an, dass bestimmte Unterauftragsverarbeiter für die Erbringung der Dienste unerlässlich sind und dass ein Widerspruch gegen den Einsatz eines Unterauftragsverarbeiters das Unternehmen daran hindern kann, dem Kunden die Dienste anzubieten.
4.3Erhebt der Kunde gemäß Abschnitt 4.2 einen begründeten Einwand gegen eine Beauftragung und kann das Unternehmen nicht innerhalb einer angemessenen Frist eine wirtschaftlich vertretbare Alternative anbieten, kann der Kunde die Nutzung des betroffenen Dienstes durch schriftliche Mitteilung an das Unternehmen einstellen. Die Einstellung der Nutzung entbindet den Kunden nicht von der Zahlung der dem Unternehmen gemäß dem Vertrag geschuldeten Gebühren.
4.4Erhebt der Kunde innerhalb von fünfzehn (15) Tagen nach Benachrichtigung durch das Unternehmen keinen Widerspruch gegen die Beauftragung eines Dritten gemäß Abschnitt 4.2, so gilt dieser Dritte als autorisierter Unterauftragsverarbeiter im Sinne dieser DPA.
4.5Das Unternehmen schließt mit dem autorisierten Unterauftragsverarbeiter eine schriftliche Vereinbarung ab, die dem autorisierten Unterauftragsverarbeiter hinsichtlich des Schutzes personenbezogener Daten dieselben Datenschutzverpflichtungen auferlegt, wie sie dem Unternehmen im Rahmen dieser DPA auferlegt sind. Sollte ein autorisierter Unterauftragsverarbeiter seinen Datenschutzverpflichtungen aus einer solchen schriftlichen Vereinbarung mit dem Unternehmen nicht nachkommen, haftet das Unternehmen gegenüber dem Kunden weiterhin für die Erfüllung der Verpflichtungen des autorisierten Unterauftragsverarbeiters aus dieser Vereinbarung.
4.6Haben der Kunde und das Unternehmen Standardvertragsklauseln gemäß Abschnitt 6 (Weitergabe personenbezogener Daten) vereinbart, so (i) gelten die vorstehenden Genehmigungen als vorherige schriftliche Zustimmung des Kunden zur Vergabe der Verarbeitung personenbezogener Daten an Unterauftragsverarbeiter durch das Unternehmen, sofern eine solche Zustimmung gemäß den Standardvertragsklauseln erforderlich ist, und (ii) vereinbaren die Parteien, dass die Kopien der Vereinbarungen mit autorisierten Unterauftragsverarbeitern, die das Unternehmen dem Kunden gemäß Ziffer 9(c) der EU-SCCs zur Verfügung stellen muss, zuvor vom Unternehmen um geschäftliche Informationen oder Informationen, die nicht im Zusammenhang mit den Standardvertragsklauseln oder deren Äquivalenten stehen, bereinigt werden dürfen und dass diese Kopien vom Unternehmen nur auf Anfrage des Kunden bereitgestellt werden.
4.7 KI-Tools.Die Mitarbeiter des Unternehmens dürfen die in Anhang B(4) aufgeführten KI-Tools nutzen, um Materialien für die Dienste zu lesen, zusammenzufassen und zu entwerfen. Jede Ausgabe wird vor der Verwendung von einer Person überprüft; kein KI-Tool versendet etwas oder führt Maßnahmen durch, ohne dass eine menschliche Bestätigung vorliegt, und die personenbezogenen Daten des Kunden werden nicht zum Trainieren von KI-Modellen verwendet. Der Kunde kann durch schriftliche Mitteilung verlangen, dass seine personenbezogenen Daten nicht mithilfe von KI-Tools verarbeitet werden; in diesem Fall wird das Unternehmen das Material ab fünf (5) Werktagen nach der Mitteilung ohne diese Tools bearbeiten.
5.1Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie des Risikos unterschiedlicher Wahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen trifft das Unternehmen geeignete technische und organisatorische Maßnahmen, um ein Sicherheitsniveau zu gewährleisten, das dem Risiko der Verarbeitung personenbezogener Daten angemessen ist. Anhang C enthält weitere Informationen zu den technischen und organisatorischen Sicherheitsmaßnahmen des Unternehmens.
6.1Die Parteien vereinbaren, dass das Unternehmen personenbezogene Daten, die im Rahmen dieser DPA verarbeitet werden, außerhalb des EWR, des Vereinigten Königreichs oder der Schweiz übermitteln darf, soweit dies für die Erbringung der Dienste erforderlich ist. Der Kunde erkennt an, dass die primären Verarbeitungsvorgänge des Unternehmens im Vereinigten Königreich stattfinden und dass die Übermittlung der personenbezogenen Daten des Kunden in das Vereinigte Königreich für die Erbringung der Dienste für den Kunden erforderlich ist. Übermittelt das Unternehmen personenbezogene Daten, die unter diese DPA fallen, in eine Rechtsordnung, für die keine Angemessenheitsentscheidung gemäß den Datenschutzgesetzen vorliegt, stellt das Unternehmen sicher, dass angemessene Schutzmaßnahmen für die Übermittlung personenbezogener Daten in Übereinstimmung mit den Datenschutzgesetzen getroffen wurden. Übermittlungen an autorisierte Unterauftragsverarbeiter in solchen Rechtsordnungen erfolgen gemäß den EU-Standardvertragsklauseln (Modul 3) oder, bei Übermittlungen aus dem Vereinigten Königreich, gemäß den britischen Standardvertragsklauseln, gestützt durch eine Folgenabschätzung zur Datenübermittlung. Der Standort sowie der für jeden autorisierten Unterauftragsverarbeiter verwendete Übermittlungsmechanismus sind in Anhang B(4) aufgeführt. Das Unternehmen führt Folgenabschätzungen zur Datenübermittlung für diese Übermittlungen und stellt auf Anfrage eine Zusammenfassung zur Verfügung.
6.2 Datenübermittlungen außerhalb des EWR.Die Parteien vereinbaren, dass Datenübermittlungen außerhalb des EWR gemäß den EU-Standardvertragsklauseln erfolgen, die als abgeschlossen (und durch diesen Verweis in diese DPA aufgenommen) und wie folgt umgesetzt gelten:
6.2.1Modul 1 (Verantwortlicher zu Verantwortlichem) der EU-Standardvertragsklauseln findet Anwendung, wenn das Unternehmen personenbezogene Daten als Verantwortlicher gemäß § 9 dieser Datenschutzvereinbarung verarbeitet.
6.2.2Modul 2 (Verantwortlicher zu Auftragsverarbeiter) der EU-Standardvertragsklauseln findet Anwendung, wenn der Kunde der Verantwortliche ist und das Unternehmen personenbezogene Daten für den Kunden als Auftragsverarbeiter gemäß Abschnitt 2 dieser Datenschutzvereinbarung verarbeitet.
6.2.3Modul 3 (Auftragsverarbeiter zu Unterauftragsverarbeiter) der EU-Standardvertragsklauseln findet Anwendung, wenn der Kunde ein Auftragsverarbeiter ist und das Unternehmen personenbezogene Daten im Auftrag des Kunden als Unterauftragsverarbeiter verarbeitet.
6.3Für jedes Modul gilt, soweit zutreffend, Folgendes:
6.3.1Die optionale Andockklausel in Ziffer 7 findet keine Anwendung.
6.3.2In Ziffer 9 gilt Option 2 (allgemeine schriftliche Genehmigung), und die Mindestfrist für die vorherige Ankündigung von Änderungen bei Unterauftragsverarbeitern richtet sich nach Abschnitt 4.2 dieser DPA;
6.3.3In Ziffer 13 gilt Folgendes: Ist der Kunde in einem EU-Mitgliedstaat ansässig, gilt die erste Option; ist der Kunde nicht in einem EU-Mitgliedstaat ansässig und hat er Instant EU GDPR Representative Limited gemäß Artikel 27 Absatz 1 der EU-DSGVO als seinen Vertreter benannt, gilt die zweite Option, und die zuständige Aufsichtsbehörde ist die Datenschutzkommission (Irland); in allen anderen Fällen gilt die dritte Option;
6.3.4In Ziffer 17 (Option 1) unterliegen die EU-Standardvertragsklauseln irischem Recht.
6.3.5Gemäß Ziffer 18 Buchstabe b werden Streitigkeiten vor den irischen Gerichten beigelegt;
6.3.6Anlage B zu dieser Datenschutzvereinbarung enthält die in Anhang I und Anhang III der EU-Standardvertragsklauseln geforderten Angaben;
6.3.7Anlage C zu dieser Datenschutzvereinbarung enthält die in Anhang II der EU-Standardvertragsklauseln geforderten Angaben; und
6.3.8Mit dem Abschluss dieser DPA gelten die hierin aufgenommenen EU-Standardvertragsklauseln, einschließlich ihrer Anhänge, als von den Parteien unterzeichnet.
6.4 Datenübermittlungen aus dem Vereinigten Königreich.Die Parteien vereinbaren, dass Datenübermittlungen aus dem Vereinigten Königreich gemäß den britischen Standardvertragsklauseln (SCCs) erfolgen, die durch Verweis als abgeschlossen und in diese DPA aufgenommen gelten und gemäß dem britischen Nachtrag, der als Anlage D dieser DPA beigefügt ist, geändert und ergänzt werden.
6.5 Datenübermittlungen aus der Schweiz.Die Parteien vereinbaren, dass Datenübermittlungen aus der Schweiz gemäß den EU-Standardvertragsklauseln mit den folgenden Änderungen erfolgen:
6.5.1Die Begriffe „Datenschutz-Grundverordnung“ oder „Verordnung (EU) 2016/679“, wie sie in den EU-Standardvertragsklauseln verwendet werden, sind so auszulegen, dass sie in Bezug auf Datenübermittlungen, die dem FADP unterliegen, auch das FADP einschließen.
6.5.2Ziffer 13 der EU-Standardvertragsklauseln wird dahingehend geändert, dass der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte („EDÖB“) der Schweiz für Datenübermittlungen zuständig ist, die dem FADP unterliegen, und die zuständige EU-Aufsichtsbehörde für Datenübermittlungen zuständig ist, die der DSGVO unterliegen. Vorbehaltlich des Vorstehenden sind alle übrigen Anforderungen von Ziffer 13 einzuhalten.
6.5.3Der Begriff „EU-Mitgliedstaat“, wie er in den EU-Standardvertragsklauseln verwendet wird, darf nicht so ausgelegt werden, dass betroffene Personen in der Schweiz daran gehindert werden, ihre Rechte an ihrem gewöhnlichen Aufenthaltsort gemäß Ziffer 18 Buchstabe c der EU-Standardvertragsklauseln auszuüben.
6.6 Ergänzende Maßnahmen.Für jede Datenübermittlung aus dem EWR oder aus dem Vereinigten Königreich gelten die folgenden ergänzenden Maßnahmen:
6.6.1Zum Zeitpunkt des Inkrafttretens dieser DPA hat der Datenimporteur keine formellen rechtlichen Anfragen von staatlichen Nachrichtendiensten oder Sicherheitsbehörden des Landes, in das die personenbezogenen Daten exportiert werden, bezüglich des Zugriffs auf (oder der Bereitstellung von Kopien der) personenbezogenen Daten des Kunden („Anfragen staatlicher Behörden“) erhalten;
6.6.2Erhält das Unternehmen nach dem Datum dieser DPA Anfragen von Behörden, wird das Unternehmen als Datenimporteur versuchen, die Strafverfolgungs- oder Regierungsbehörde dazu anzuleiten, diese Daten direkt beim Kunden anzufordern. Im Rahmen dieser Bemühungen kann das Unternehmen der Behörde die grundlegenden Kontaktdaten des Kunden übermitteln. Sollte das Unternehmen gezwungen sein, personenbezogene Daten des Kunden an eine Strafverfolgungs- oder Regierungsbehörde offenzulegen, wird es den Kunden in angemessener Frist über die Aufforderung informieren und mit ihm zusammenarbeiten, damit dieser eine Schutzanordnung oder andere geeignete Rechtsmittel beantragen kann, es sei denn, dies ist dem Unternehmen gesetzlich untersagt. Das Unternehmen wird personenbezogene Daten nicht freiwillig an Strafverfolgungs- oder Regierungsbehörden offenlegen. Der Datenexporteur und der Datenimporteur werden (sobald dies vernünftigerweise möglich ist) erörtern und festlegen, ob alle oder bestimmte Übermittlungen personenbezogener Daten gemäß dieser DPA angesichts solcher Anfragen von Regierungsbehörden ausgesetzt werden sollten; und
6.6.3Der Datenexporteur und der Datenimporteur werden bei Bedarf zusammenkommen, um zu prüfen, ob:
(i) der durch die Rechtsvorschriften des Landes des Datenimporteurs gewährte Schutz für betroffene Personen, deren personenbezogene Daten übermittelt werden, ausreichend ist, um einen im Großen und Ganzen gleichwertigen Schutz wie den im EWR bzw. im Vereinigten Königreich gewährten zu gewährleisten;
(ii) zusätzliche Maßnahmen sind nach vernünftigem Ermessen erforderlich, um sicherzustellen, dass die Übermittlung im Einklang mit den Datenschutzgesetzen erfolgt; und
(iii) die Übermittlung personenbezogener Daten an den betreffenden Datenempfänger ist unter Berücksichtigung aller den Parteien vorliegenden relevanten Informationen sowie der Leitlinien der Aufsichtsbehörden nach wie vor angemessen.
6.6.4Wenn entweder (i) eine der in dieser DPA festgelegten Rechtsgrundlagen für die Übermittlung personenbezogener Daten außerhalb des EWR, des Vereinigten Königreichs oder der Schweiz ihre Gültigkeit verliert oder (ii) eine Aufsichtsbehörde verlangt, dass die Übermittlungen personenbezogener Daten gemäß diesen Maßnahmen ausgesetzt werden, so kann der Datenimporteur durch Mitteilung an den Datenexporteur mit Wirkung ab dem in dieser Mitteilung genannten Datum die Regelungen für diese Übermittlungen gemäß den Datenschutzgesetzen ändern oder alternative Regelungen treffen.
6.7 Datenübermittlungen ins Ausland.Befindet sich der Kunde in einem Land, für das keine Angemessenheitsentscheidung gemäß den Datenschutzgesetzen vorliegt, gilt für Datenübermittlungen ins Ausland Folgendes:
6.7.1Bei Datenübermittlungen ins Ausland ist das Unternehmen oder die jeweilige vertretene Stelle der Datenexporteur, der als Auftragsverarbeiter fungiert, und der Kunde ist der Datenimporteur, der als Verantwortlicher fungiert.
6.7.2Sofern der Kunde hinsichtlich der betreffenden Verarbeitung nicht der EU-DSGVO oder der britischen DSGVO unterliegt, erfolgen Auslandsübermittlungen durch Instant EU GDPR Representative Limited gemäß den EU-Standardvertragsklauseln, Modul 4 (Auftragsverarbeiter an Verantwortlichen), wobei gemäß den Klauseln 17 und 18 das Recht und die Gerichte Irlands gelten. Sofern die personenbezogenen Daten vom Kunden an das Unternehmen oder eine vertretene Einrichtung übermittelt wurden, stützen sich die Parteien auf die Ausnahme in Abschnitt III der EU-Standardvertragsklauseln für Modul 4. Stammen die Daten aus Europa, halten sich die Parteien in vollem Umfang an Abschnitt III, einschließlich einer Folgenabschätzung zur Datenübermittlung.
6.7.3Unterliegt der Kunde gemäß Artikel 3 Absatz 2 der EU-DSGVO oder der britischen DSGVO, die für jeden Kunden der Vertretungsdienste gilt, ist der Kunde hinsichtlich dieser Verarbeitung unmittelbar an die DSGVO gebunden, und die Europäische Kommission hat erklärt, dass die Standardvertragsklauseln von 2021 nicht für Importeure in dieser Position konzipiert sind (Fragen und Antworten der Kommission, Nr. 24). Dementsprechend: [OPTION A: Die Parteien vereinbaren die Klauseln des Moduls 4 als verbindliche vertragliche Garantien zusätzlich zu den direkten Verpflichtungen des Kunden gemäß der DSGVO, gestützt durch eine Folgenabschätzung zur Datenübermittlung, und werden diese innerhalb von sechzig (60) Tagen nach deren Verabschiedung durch etwaige Standardvertragsklauseln ersetzen, die die Europäische Kommission oder der Information Commissioner für dieses Szenario verabschiedet; das Unternehmen gibt keine Zusicherung, dass diese Klauseln einen genehmigten Übermittlungsmechanismus für dieses Szenario darstellen.] [OPTION B: Ausgehende Übermittlungen stützen sich auf [die noch zu spezifizierende(n) Ausnahmeregelung(en) gemäß Artikel 49 Absatz 1 DSGVO] als gelegentliche Übermittlungen, die für den Kunden zur Bearbeitung der betreffenden Mitteilungen erforderlich sind, wobei die Klauseln aus Modul 4 als vertragliche Schutzmaßnahmen dienen.
6.7.4Datenübermittlungen durch die Company Ltd – sei es in ihrer Eigenschaft als Vertreter im Vereinigten Königreich, als Datenschutzbeauftragter oder im Rahmen der Erbringung von Beratungs-, Projekt-, Schulungs- oder KI-Governance-Dienstleistungen – erfolgen gemäß den Standardvertragsklauseln des Vereinigten Königreichs (SCCs), Modul 4, wie in Anhang D dargelegt.
6.7.5Datenübermittlungen durch ALTRION Sagl erfolgen gemäß den EU-Standardvertragsklauseln (SCCs), Modul 4, in der durch Abschnitt 6.4 geänderten Fassung.
6.7.6Die gemäß Anhang I der EU-Standardvertragsklauseln für diese Datenübermittlungen erforderlichen Angaben sind in Anlage B(5) aufgeführt, und die in Anlage C genannten Maßnahmen gelten für das Unternehmen und die repräsentativen Stellen.
6.7.7Jede vertretene Stelle schließt durch Unterzeichnung dieser DPA die Standardvertragsklauseln gemäß diesem Abschnitt 6.7 ab, und die Annahme dieser DPA durch den Kunden gilt als dessen Unterzeichnung in seiner Eigenschaft als Datenimporteur.
6.7.8Personenbezogene Daten, die der Kunde von außerhalb des EWR, des Vereinigten Königreichs und der Schweiz an das Unternehmen oder eine vertretene Stelle übermittelt, stellen keine eingeschränkte Übermittlung im Sinne der DSGVO oder des DSG dar, und die Abschnitte 6.2 bis 6.5 gelten hierfür nur insoweit, als dies nach den Datenschutzgesetzen erforderlich ist.
7.1Das Unternehmen wird den Kunden, soweit gesetzlich zulässig, unverzüglich nach Erhalt, spätestens jedoch innerhalb von drei (3) Werktagen, über einen Antrag einer betroffenen Person auf Ausübung ihrer Rechte auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung oder Einstellung der Verarbeitung, Widerruf der Einwilligung zur Verarbeitung und/oder Widerspruch gegen eine Verarbeitung, die eine automatisierte Entscheidungsfindung darstellt (solche Anträge einzeln und gemeinsam „Anträge betroffener Personen“), zu informieren. Erhält das Unternehmen einen Antrag einer betroffenen Person in Bezug auf die Daten des Kunden, leitet das Unternehmen diesen Antrag an den Kunden weiter, und der Kunde ist für die Beantwortung dieses Antrags verantwortlich, sofern im jeweiligen Dienstleistungsanhang nichts anderes vereinbart ist. Der Kunde ist allein dafür verantwortlich, sicherzustellen, dass genehmigte Anträge betroffener Personen auf Löschung, Einschränkung oder Einstellung der Verarbeitung oder auf Widerruf der Einwilligung zur Verarbeitung personenbezogener Daten dem Unternehmen mitgeteilt werden, und gegebenenfalls dafür zu sorgen, dass für jede betroffene Person eine Aufzeichnung der Einwilligung zur Verarbeitung geführt wird, sofern im jeweiligen Dienstleistungsanhang nichts anderes vereinbart ist.
7.2Das Unternehmen ergreift auf Verlangen des Kunden und unter Berücksichtigung der Art der Verarbeitung, die für einen Antrag einer betroffenen Person maßgeblich ist, geeignete technische und organisatorische Maßnahmen, um den Kunden bei der Erfüllung seiner Verpflichtung zur Beantwortung eines solchen Antrags einer betroffenen Person und/oder beim Nachweis dieser Erfüllung zu unterstützen, soweit dies möglich ist, vorausgesetzt, dass (i) der Kunde ohne die Unterstützung des Unternehmens selbst nicht in der Lage ist, zu antworten, und (ii) das Unternehmen dazu im Einklang mit allen geltenden Gesetzen, Vorschriften und Bestimmungen in der Lage ist. Der Kunde trägt, soweit gesetzlich zulässig, die Verantwortung für alle Kosten und Aufwendungen, die sich aus einer solchen Unterstützung durch das Unternehmen ergeben. Hat der Kunde einen Vertreter- oder Datenschutzbeauftragten-Service aktiviert, so ist der Empfang und die Weiterleitung von Vertreter- oder Datenschutzbeauftragten-Mitteilungen Bestandteil dieses Service und wird gemäß diesem Abschnitt 7.2 nicht in Rechnung gestellt. Die im Rahmen von Beratungs-, Projekt- oder Schulungsdienstleistungen erbrachte Unterstützung wird gemäß den Bestimmungen des geltenden Leistungsplans und der Preisliste in Rechnung gestellt.
8.1Das Unternehmen wird unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen dem Kunden in angemessenem Umfang mitwirken und ihn unterstützen, soweit dies erforderlich ist, damit der Kunde seinen Verpflichtungen gemäß der DSGVO zur Durchführung einer Datenschutz-Folgenabschätzung und/oder zum Nachweis der Einhaltung dieser Verpflichtungen nachkommen kann, sofern der Kunde anderweitig keinen Zugang zu den relevanten Informationen hat. Der Kunde trägt, soweit gesetzlich zulässig, die Kosten und Aufwendungen, die durch eine solche Unterstützung durch das Unternehmen entstehen.
8.2Das Unternehmen wird unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen dem Kunden angemessene Zusammenarbeit und Unterstützung im Hinblick auf die Zusammenarbeit des Kunden und/oder die vorherige Konsultation einer Aufsichtsbehörde gewähren, sofern dies erforderlich ist und die DSGVO dies vorschreibt. Der Kunde trägt, soweit gesetzlich zulässig, die Kosten und Aufwendungen, die sich aus einer solchen Unterstützung durch das Unternehmen ergeben, sofern im jeweiligen Leistungsanhang nichts anderes vereinbart ist.
8.3Das Unternehmen hat Aufzeichnungen zu führen, die ausreichen, um die Einhaltung seiner Verpflichtungen aus dieser DPA nachzuweisen, und diese Aufzeichnungen für einen Zeitraum von einem (1) Jahr nach Beendigung der Vereinbarung aufzubewahren. Der Kunde hat das Recht, nach einer angemessenen Vorankündigung von mindestens dreißig (30) Werktagen gegenüber dem Unternehmen diese Aufzeichnungen in den Geschäftsräumen des Unternehmens während der regulären Geschäftszeiten einzusehen, zu prüfen und zu kopieren.
8.4Auf schriftliche Anfrage des Kunden in angemessenen Abständen und vorbehaltlich angemessener Vertraulichkeitsmaßnahmen wird das Unternehmen entweder (i) dem Kunden Kopien von Zertifizierungen oder Berichten zur Einsicht zur Verfügung stellen, aus denen die Einhaltung der geltenden Datensicherheitsstandards durch das Unternehmen im Zusammenhang mit der Verarbeitung der personenbezogenen Daten des Kunden hervorgeht, oder (ii) falls die Bereitstellung von Berichten oder Zertifizierungen gemäß (i) nach den Datenschutzgesetzen nicht in angemessener Weise ausreicht, dem unabhängigen Vertreter des Kunden von dritter Seite gestatten, eine Prüfung oder Inspektion der Datensicherheitsinfrastruktur und -verfahren des Unternehmens durchzuführen, die ausreicht, um die Einhaltung der Verpflichtungen des Unternehmens gemäß den Datenschutzgesetzen nachzuweisen, vorausgesetzt, dass (a) der Kunde eine solche Aufforderung zur Prüfung in angemessener Weise im Voraus schriftlich ankündigt und diese Inspektion den Geschäftsbetrieb des Unternehmens nicht in unzumutbarer Weise beeinträchtigt; (b) eine solche Prüfung darf nur während der Geschäftszeiten durchgeführt werden und höchstens einmal pro Kalenderjahr stattfinden; und (c) eine solche Prüfung ist auf die für den Kunden relevanten Daten zu beschränken. Der Kunde trägt die Kosten für solche Prüfungen oder Einsichtnahmen, einschließlich, aber nicht beschränkt auf die Erstattung der dem Unternehmen für Vor-Ort-Prüfungen aufgewendeten Zeit. Haben der Kunde und das Unternehmen Standardvertragsklauseln gemäß Abschnitt 6 (Übermittlung personenbezogener Daten) vereinbart, so vereinbaren die Parteien, dass die in Ziffer 8.9 der EU-Standardvertragsklauseln beschriebenen Prüfungen gemäß diesem Abschnitt 8.4 durchgeführt werden.
8.5Das Unternehmen hat den Kunden unverzüglich, spätestens jedoch 72 Stunden nach Bekanntwerden, zu benachrichtigen, wenn eine Anweisung nach Ansicht des Unternehmens gegen datenschutzrechtliche Vorschriften verstößt.
8.6Im Falle einer Verletzung des Schutzes personenbezogener Daten hat das Unternehmen den Kunden unverzüglich, spätestens jedoch 48 Stunden nach Bekanntwerden, über die Verletzung des Schutzes personenbezogener Daten zu informieren und die Maßnahmen zu ergreifen, die das Unternehmen nach eigenem Ermessen für notwendig und angemessen hält, um die Verletzung des Schutzes personenbezogener Daten zu beheben (soweit die Behebung im Rahmen der zumutbaren Kontrolle des Unternehmens liegt).
8.7Im Falle einer Verletzung des Schutzes personenbezogener Daten leistet das Unternehmen unter Berücksichtigung der Art der Verarbeitung und der dem Unternehmen zur Verfügung stehenden Informationen dem Kunden angemessene Zusammenarbeit und Unterstützung, die erforderlich ist, damit der Kunde seinen Verpflichtungen gemäß der DSGVO hinsichtlich der unverzüglichen Benachrichtigung (i) der zuständigen Aufsichtsbehörde und (ii) der von dieser Verletzung des Schutzes personenbezogener Daten betroffenen Personen nachkommen kann.
8.8Wenn eine Verletzung des Schutzes personenbezogener Daten auf Handlungen oder Unterlassungen des Kunden zurückzuführen ist, hat das Unternehmen den Kunden dennoch gemäß Abschnitt 8.6 zu benachrichtigen; etwaige Abhilfemaßnahmen gemäß Abschnitt 8.6 und Unterstützung gemäß Abschnitt 8.7 gehen jedoch zu Lasten des Kunden. Die Verpflichtung des Unternehmens zur Meldung oder Reaktion auf eine Verletzung des Schutzes personenbezogener Daten gemäß den Abschnitten 8.6 und 8.7 ist nicht als Anerkennung eines Verschuldens oder einer Haftung des Unternehmens im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten auszulegen.
Die Parteien erkennen an und vereinbaren, dass das Unternehmen in Bezug auf die Unternehmenskontodaten und die Unternehmensnutzungsdaten ein eigenständiger Verantwortlicher ist und nicht gemeinsam mit dem Kunden als Verantwortlicher auftritt. Das Unternehmen verarbeitet die Unternehmenskontodaten und die Unternehmensnutzungsdaten als Verantwortlicher (i) zur Pflege der Geschäftsbeziehung mit dem Kunden; (ii) zur Durchführung der Kerngeschäftsprozesse des Unternehmens, wie beispielsweise Buchhaltung, Wirtschaftsprüfung, Steuererhebung und -erklärung sowie zur Einhaltung gesetzlicher Vorschriften; (iii) zur Überwachung, Untersuchung, Verhinderung und Aufdeckung von Betrug, Sicherheitsvorfällen und anderem Missbrauch der Dienste sowie zur Verhinderung von Schäden für den Kunden; (iv) zum Zwecke der Identitätsprüfung; (v) zur Einhaltung gesetzlicher oder behördlicher Verpflichtungen, die für die Verarbeitung und Aufbewahrung personenbezogener Daten gelten und denen das Unternehmen unterliegt; und (vi) soweit dies nach den Datenschutzgesetzen und in Übereinstimmung mit dieser DPA und der Vereinbarung anderweitig zulässig ist. Das Unternehmen darf die Nutzungsdaten des Unternehmens zudem als Verantwortlicher verarbeiten, um die Dienste bereitzustellen, zu optimieren und zu warten, soweit dies nach den Datenschutzgesetzen zulässig ist. Jede Verarbeitung durch das Unternehmen als Verantwortlicher erfolgt in Übereinstimmung mit der Datenschutzerklärung des Unternehmens, die unterhttps://gdprlocal.com/terms/privacy-policy/ aufgeführt ist.
Im Falle von Widersprüchen oder Unstimmigkeiten gilt folgende Rangfolge: (1) die Standardvertragsklauseln (einschließlich, bei Übermittlungen aus dem Vereinigten Königreich, des UK-Nachtrags) in Bezug auf Angelegenheiten, die darin ausdrücklich geregelt sind; (2) etwaige Service-Aktivierungsunterlagen oder sonstige mit dem Kunden vereinbarte schriftliche Änderungen, jedoch nur insoweit, als diese ausdrücklich auf eine Bestimmung dieser DPA Bezug nehmen und diese abändern; (3) diese DPA; und (4) der Vertrag in der darin festgelegten Rangfolge. Die Datenschutzerklärung des Unternehmens gilt nur für die Verarbeitung durch das Unternehmen als Verantwortlicher gemäß Abschnitt 9 und hat keinen Vorrang vor den oben genannten Bestimmungen. Alle im Zusammenhang mit dieser DPA geltend gemachten Ansprüche unterliegen den in der Vereinbarung festgelegten Haftungsausschlüssen und -beschränkungen, es sei denn, diese Ausschlüsse oder Beschränkungen würden die Haftung einer der Parteien gegenüber den betroffenen Personen einschränken oder sind gemäß den Standardvertragsklauseln oder den Datenschutzgesetzen anderweitig unzulässig.
Diese Datenverarbeitungsvereinbarung ist Bestandteil des Vertrags und bildet einen integralen Bestandteil desselben. Diese Datenverarbeitungsvereinbarung gilt mit der Annahme oder Unterzeichnung des Vertrags durch den Kunden als abgeschlossen, tritt am selben Tag in Kraft wie der Vertrag und bleibt für die Dauer des Vertrags sowie für den zusätzlichen Zeitraum in vollem Umfang in Kraft, der erforderlich ist, damit die Parteien ihre jeweiligen Verpflichtungen nach Beendigung oder Ablauf des Vertrags erfüllen können, einschließlich der Löschung oder Rückgabe personenbezogener Daten. Diese DPA ist durch die am Anfang angegebene Versionsnummer und das Datum des Inkrafttretens gekennzeichnet. Das Unternehmen wird den Kunden mindestens fünfzehn (15) Tage im Voraus über jede Änderung dieser DPA informieren.
Art und Zweck der Verarbeitung:Das Unternehmen verarbeitet die personenbezogenen Daten des Kunden in dem Umfang, der zur Erbringung der Dienstleistungen gemäß dem Vertrag erforderlich ist, zu den im Vertrag und in dieser DPA genannten Zwecken sowie gemäß den in dieser DPA festgelegten Anweisungen des Kunden. Die Art der Verarbeitung umfasst unter anderem:
Zwecke nach Dienstleistung:
Dauer der Verarbeitung:Das Unternehmen verarbeitet die personenbezogenen Daten des Kunden so lange, wie dies (i) zur Erbringung der Dienstleistungen für den Kunden im Rahmen des Vertrags oder (ii) gemäß geltendem Recht oder geltenden Vorschriften erforderlich ist. Die Unternehmenskontodaten und die Unternehmensnutzungsdaten werden gemäß den Bestimmungen in der Datenschutzerklärung des Unternehmens verarbeitet und gespeichert. Die Kommunikation mit Vertretern und die Kommunikation mit dem Datenschutzbeauftragten werden gemäß Abschnitt 2.3 aufbewahrt.
Kategorien von betroffenen Personen:Mitarbeiter, Berater, Auftragnehmer und/oder Beauftragte des Kunden; Personen, die Anträge bezüglich der Rechte betroffener Personen bei einer Vertretungsstelle oder beim Unternehmen als Datenschutzbeauftragter des Kunden einreichen; Mitarbeiter von Aufsichtsbehörden, die sich bezüglich des Kunden an eine Vertretungsstelle oder das Unternehmen wenden; sowie Personen, deren personenbezogene Daten in Aufzeichnungen, Dokumenten oder Systemen enthalten sind, die der Kunde für die Dienste zur Verfügung stellt.
Kategorien personenbezogener Daten:Der Kunde kann personenbezogene Daten an die Dienste übermitteln, deren Kategorien von der Nutzung der Dienste durch den Kunden abhängen, die der Kunde nach eigenem Ermessen festlegt und steuert; dazu können unter anderem Vornamen, Nachnamen, Telefonnummern, geschäftliche E-Mail-Adressen, Kontaktdaten, Anschriften, Funktionen und Berufsbezeichnungen, Finanzinformationen oder sonstige Informationen, die von Personen bereitgestellt werden, die Anträge im Rahmen der Rechte betroffener Personen stellen, sowie den Inhalt von Mitteilungen von Vertretern und Datenschutzbeauftragten, einschließlich Unterlagen zur Identitätsprüfung und Fallreferenzen von Aufsichtsbehörden; personenbezogene Daten, die in Verarbeitungsprotokollen, Datenschutz-Folgenabschätzungen, Protokollen zu Datenschutzverletzungen, Akten zu Anträgen betroffener Personen, Verträgen und anderen Dokumenten enthalten sind, die der Kunde zur Überprüfung bereitstellt; sowie Namen und Kontaktdaten von Schulungsteilnehmern. Darüber hinaus werden die Unternehmenskontodaten und die Unternehmensnutzungsdaten gemäß dieser DPA erhoben, verarbeitet und gespeichert.
Sensible Daten oder besondere Datenkategorien:Eine regelmäßige Übermittlung sensibler Daten ist nicht vorgesehen. Sollten wir jedoch im Auftrag des Kunden im Rahmen unserer Dienstleistungen tätig werden, kann es erforderlich sein, dass wir die betreffenden sensiblen Daten übermitteln müssen, oder es kann vorkommen, dass eine Person diese Daten unerwartet in ihrer Kommunikation angibt, um ihre Rechte als betroffene Person auszuüben.
Häufigkeit der Übermittlung:Kontinuierlich während der gesamten Dauer der Dienstleistungen. Mitteilungen von Vertretern und des Datenschutzbeauftragten werden ad hoc bei Eingang übermittelt; sonstige personenbezogene Daten werden je nach Bedarf im Rahmen des jeweiligen Auftrags übermittelt.
Im Folgenden sind die Informationen aufgeführt, die gemäß Anhang I und Anhang III der EU-Standardvertragsklauseln sowie gemäß Tabelle 1, Anhang 1A und Anhang 1B des britischen Nachtrags erforderlich sind.
Datenexporteur(e):
Name: Wie in der Vereinbarung festgelegt.
Handelsname (falls abweichend): Wie in der Vereinbarung festgelegt.
Anschrift: Wie in der Vereinbarung festgelegt.
Offizielle Registrierungsnummer (falls vorhanden) (Firmennummer oder ähnliche Kennung): Wie in der Vereinbarung festgelegt.
Name, Position und Kontaktdaten der Kontaktperson: Wie in der Vereinbarung festgelegt.
Rolle (Verantwortlicher/Auftragsverarbeiter): Verantwortlicher oder Auftragsverarbeiter, je nach Anwendbarkeit gemäß Abschnitt 6.2
Datenimporteur(e):
Name: GDPRLocal Ltd
Handelsname (falls abweichend): GDPRLocal
Adresse: 1st Floor Front Suite, 27-29 North Street, Brighton, England, BN1 1EB
Offizielle Registrierungsnummer (falls vorhanden) (Unternehmensnummer oder ähnliche Kennung): 12969035 (England und Wales)
Name, Position und Kontaktdaten der Kontaktperson: [email protected]; Datenschutzbeauftragte: Lejla Robeli
Rolle (Verantwortlicher/Auftragsverarbeiter): Auftragsverarbeiter (Verantwortlicher für die Unternehmenskontodaten und die Unternehmensnutzungsdaten gemäß Abschnitt 9)
Bei Auslandsübermittlungen gemäß Abschnitt 6.7 ist das Unternehmen oder die jeweilige repräsentative Stelle der Datenexporteur und der Kunde der Datenimporteur: siehe Anhang B(5).
| Betroffene Personen | Wie in Anhang A der DPA beschrieben |
| Kategorien personenbezogener Daten | Wie in Anhang A der DPA beschrieben |
| Personenbezogene Daten besonderer Kategorien (falls zutreffend) | Wie in Anhang A der DPA beschrieben |
| Art der Verarbeitung | Wie in Anhang A der DPA beschrieben |
| Zwecke der Verarbeitung | Wie in Anhang A der DPA beschrieben |
| Dauer der Verarbeitung und Aufbewahrung (bzw. die Kriterien zur Festlegung dieser Frist) | Wie in Anhang A der DPA beschrieben |
| Häufigkeit der Übertragung | Wie in Anhang A der DPA beschrieben |
| Empfänger der an den Datenimporteur übermittelten personenbezogenen Daten | Aufgeführt in Anhang B(4) der DPA |
Die zuständige Aufsichtsbehörde wird gemäß Ziffer 13 der EU-Standardvertragsklauseln in der durch Abschnitt 6.2 ergänzten Fassung bestimmt. Ist der Kunde nicht im EWR ansässig und hat er Instant EU GDPR Representative Limited als seinen Vertreter benannt, ist dies die Datenschutzkommission (Irland). Bei Übermittlungen, die dem FADP unterliegen, ist dies der FDPIC. Die Aufsichtsbehörde im Sinne des UK-Nachtrags ist das UK Information Commissioner’s Office.
| System/Anwendung | Zweck |
|---|---|
| Microsoft | E-Mail, Produktivität, Zusammenarbeit |
| Azure | Cloud-Anbieter |
| E-Mail, Dokumentenverwaltung, Speicherung, Tools für die Zusammenarbeit, Videokonferenzen | |
| Chargify | Rechnungsstellung und Abonnementverwaltung |
| Calendly | Terminvereinbarung und Terminplanung |
| Docusign | Elektronische Signatur und Vertragsmanagement |
| HubSpot | Kundenbeziehungsmanagement |
| Zoom | Durchführung von virtuellen Besprechungen und Schulungen |
| GDPRLocal DOOEL | Interne Geschäftsabläufe, einschließlich des Empfangs, der Erfassung und der Weiterleitung von Mitteilungen der Vertreter und der Datenschutzbeauftragten sowie der Erbringung von Dienstleistungen im Zusammenhang mit Datenschutzbeauftragten, Beratung und Projekten. Standort: Nordmazedonien. Übermittlungsmechanismus: EU-Standardvertragsklauseln (Modul 3) und britische Standardvertragsklauseln, einschließlich einer Folgenabschätzung zur Datenübermittlung. |
| Atlassian (JIRA, Confluence) | Verwaltung von Technik- und Produktdokumentation |
| Anthropic (Claude) | Ein KI-Assistent, der von den Mitarbeitern des Unternehmens zum Lesen, Zusammenfassen und Verfassen von Dokumenten und Korrespondenz genutzt wird, wobei jede Ausgabe vor der Verwendung von einer Person überprüft wird. Standort: Vereinigte Staaten. Übermittlungsmechanismus: EU-Standardvertragsklauseln und britischer Zusatz im Datenverarbeitungsvertrag von Anthropic. Kundeninhalte werden nicht zum Trainieren von Modellen verwendet. |
| Composio, Inc. | Integrationsdienst, der den KI-Assistenten mit dem Google Workspace des Unternehmens (Gmail, Kalender, Drive) verbindet, um Informationen abzurufen und Entwürfe zu speichern. Standort: Vereinigte Staaten. Übertragungsmechanismus: EU-Standardvertragsklauseln und Zusatzvereinbarung für das Vereinigte Königreich. |
| Instant EU GDPR Representative Limited (Partnerunternehmen, kein verbundenes Unternehmen) | EU-Vertreter gemäß Artikel 27 der EU-DSGVO, sofern diese Bestimmung zur Anwendung kommt. Standort: Irland. |
| ALTRION Sagl (Partnerunternehmen, kein verbundenes Unternehmen) | Schweizer Vertreter gemäß Artikel 14 des FADP, sofern aktiviert. Standort: Schweiz. |
Datenexporteure:GDPRLocal Ltd (Datenschutzbeauftragter, Beratung, Projektmanagement, Schulungen und Dienstleistungen im Bereich KI-Governance sowie Vertretungsdienste im Vereinigten Königreich) und die Vertretungsstellen (Vertretungsdienste in der EU und der Schweiz). Rolle: Auftragsverarbeiter.
Datenimporteur:Der Kunde, wie in der Vereinbarung festgelegt. Rolle: Verantwortlicher.
Betroffene Personen:Personen, die sich an eine vertretene Stelle oder an das Unternehmen in seiner Eigenschaft als Datenschutzbeauftragter des Kunden wenden; Mitarbeiter von Aufsichtsbehörden; Personen, deren personenbezogene Daten in den dem Kunden bereitgestellten Arbeitsergebnissen, Berichten oder Empfehlungen enthalten sind.
Kategorien personenbezogener Daten:Identifikations- und Kontaktdaten; Inhalt der Anfrage, Beschwerde oder Korrespondenz; von der betroffenen Person vorgelegte Unterlagen zur Identitätsprüfung; Aktenzeichen der Aufsichtsbehörde; personenbezogene Daten, die in den dem Kunden bereitgestellten Ergebnissen, Berichten oder Empfehlungen enthalten sind.
Daten besonderer Kategorien:keine vorgesehen. Alle Daten besonderer Kategorien, die eine Person freiwillig zur Verfügung stellt, werden unverändert weitergeleitet und nicht weiter verarbeitet.
Häufigkeit:nach Bedarf, sobald Mitteilungen eingehen.
Art und Zweck:Entgegennahme, Protokollierung und sichere Weiterleitung von Mitteilungen an den Kunden sowie Rücksendung von Arbeitsergebnissen zur Wahrnehmung der Vertretungsfunktion (Artikel 27 der EU-DSGVO oder der britischen DSGVO bzw. Artikel 14 des FADP), der Funktion des Datenschutzbeauftragten (Artikel 37 bis 39 der DSGVO) oder der Erbringung von Beratungs-, Projekt-, Schulungs- und KI-Governance-Dienstleistungen.
Aufbewahrungsfrist:wie in Abschnitt 2.3 dargelegt.
Zuständige Aufsichtsbehörde:trifft auf Modul 4 nicht zu.
Der Datenimporteur hat angemessene technische und organisatorische Maßnahmen getroffen und wird diese aufrechterhalten, um personenbezogene Daten vor versehentlicher oder unrechtmäßiger Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff zu schützen und die Vertraulichkeit, Integrität und Verfügbarkeit der im Auftrag des Kunden verarbeiteten personenbezogenen Daten zu gewährleisten.
Zu diesen Maßnahmen gehören:
Personenbezogene Daten werden in einer verschlüsselten Microsoft SQL Server-Datenbank gespeichert, die in einem Microsoft Azure-Rechenzentrum in London, Vereinigtes Königreich, gehostet wird.
Der Zugriff auf personenbezogene Daten erfolgt ausschließlich über die internen Plattformen des Unternehmens. Der Zugriff ist standardmäßig gesperrt und wird nur autorisierten Mitarbeitern nach dem Need-to-know-Prinzip gewährt, gegebenenfalls auch den zuständigen Teams. Das Unternehmen wendet rollen- und benutzerbasierte Authentifizierungskontrollen an, um den Zugriff entsprechend den jeweiligen Aufgabenbereichen zu beschränken. Die Mitarbeiter von GDPRLocal DOOEL in Nordmazedonien greifen aus der Ferne auf personenbezogene Daten zu, wobei dieselben Kontrollen gelten.
Es werden geeignete logische Zugriffskontrollen durchgesetzt, um sicherzustellen, dass der Zugriff auf personenbezogene Daten entsprechend der Organisationsstruktur und den funktionalen Zuständigkeiten des Unternehmens beschränkt ist. Das Unternehmen nutzt rollenbasierte Berechtigungen, um den Mitarbeitern je nach ihren Aufgaben unterschiedliche Zugriffsebenen zuzuweisen.
Für alle Administratorbenutzer, die auf das Unternehmensportal zugreifen, ist die Multi-Faktor-Authentifizierung vorgeschrieben.
Personenbezogene Daten werden sowohl bei der Übertragung als auch im Ruhezustand verschlüsselt. Darüber hinaus sind alle für geschäftliche Zwecke genutzten Computer durch verschlüsselte Festplatten geschützt.
Das Unternehmen hat an allen Standorten angemessene physische Zugangskontrollen eingerichtet, um seine Datenbestände zu schützen. Die vom Unternehmen genutzten Microsoft Azure-Rechenzentren unterliegen strengen physischen Sicherheitsmaßnahmen. Weitere Informationen zur physischen Sicherheit von Azure finden Sie in der von Microsoft veröffentlichten Dokumentation.
Das Unternehmen schließt mit seinen autorisierten Unterauftragsverarbeitern Datenverarbeitungsvereinbarungen ab, die diesen dieselben Datenschutzverpflichtungen auferlegen wie die in dieser DPA festgelegten.
Das Unternehmen hat Maßnahmen zur Gewährleistung der Rechenschaftspflicht ergriffen, darunter die unternehmensweite Umsetzung von Richtlinien zum Datenschutz und zur Informationssicherheit, Verfahren zur Erfassung und Meldung von Verletzungen des Schutzes personenbezogener Daten sowie die formelle Zuweisung von Rollen und Verantwortlichkeiten für die Bereiche Informationssicherheit und Datenschutz. Darüber hinaus führt das Unternehmen regelmäßige Lieferantenbewertungen durch, um die Einhaltung seiner Datenschutz- und Sicherheitsstandards zu überprüfen.
Das Unternehmen unterhält ein Sicherheitsprogramm, das administrative, organisatorische, technische und physische Sicherheitsmaßnahmen umfasst, die in angemessener Weise darauf ausgelegt sind, die Dienste sowie die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten zu schützen.
Das Unternehmen führt regelmäßig Datensicherungen durch. Die Wiederherstellung der Sicherungskopien wird in regelmäßigen Abständen gemäß den Richtlinien des Unternehmens zur Informationssicherheit und zum Datenmanagement getestet.
Zusatzvereinbarung zum internationalen Datentransfer zu den Standardvertragsklauseln der EU-Kommission
Tabelle 1: Parteien
| Die Parteien | Exporteur | Importeur |
|---|---|---|
| Startdatum | Dieser Nachtrag für das Vereinigte Königreich tritt zum gleichen Zeitpunkt in Kraft wie die DPA | |
| Angaben zu den Parteien | Kunde | GDPRLocal GmbH |
| Hauptansprechpartner | Siehe Anlage B dieser DPA | Siehe Anlage B dieser DPA |
Tabelle 2: Ausgewählte SCCs, Module und ausgewählte Klauseln
| EU-Standardvertragsklauseln | Die Fassung der genehmigten EU-Standardvertragsklauseln, der dieser britische Nachtrag gemäß der Definition im DPA beigefügt ist und die durch die Abschnitte 6.2 und 6.3 des DPA (Module eins bis drei) sowie Abschnitt 6.7 des DPA (Modul vier) ergänzt wird. |
Tabelle 3: Informationen zum Anhang
„Anhangsangaben“ bezeichnet die Angaben, die für die ausgewählten Module gemäß dem Anhang der genehmigten EU-SCCs (mit Ausnahme der Vertragsparteien) bereitzustellen sind und die für diesen britischen Nachtrag in folgenden Dokumenten aufgeführt sind:
| a) Anhang 1A: Liste der Vertragsparteien | b) Gemäß Tabelle 1 oben |
| c) Anhang 1B: Beschreibung der Übertragung | d) Siehe Anlage B dieser DPA |
| e) Anhang II: Technische und organisatorische Maßnahmen, einschließlich technischer und organisatorischer Maßnahmen zur Gewährleistung der Datensicherheit: | f) Siehe Anlage C dieser DPA |
| g) Anhang III: Liste der Unterauftragsverarbeiter (nur Module 2 und 3): | h) Siehe Anlage B dieser DPA |
Tabelle 4: Beendigung dieses britischen Nachtrags bei Änderungen am genehmigten britischen Nachtrag
| Beendigung dieses UK-Nachtrags bei Änderungen am genehmigten UK-Nachtrag | ☒ Importeur ☐ Exporteur ☒ Keine der beiden Parteien |
Beitritt zu diesem Zusatz für das Vereinigte Königreich:
1.Jede Partei erklärt sich damit einverstanden, an die in diesem Zusatz für Großbritannien festgelegten Bedingungen gebunden zu sein, sofern die andere Partei ebenfalls zustimmt, an diesen Zusatz für Großbritannien gebunden zu sein.
2.Obwohl Anhang 1A und Klausel 7 der genehmigten EU-SCCs die Unterzeichnung durch die Parteien vorschreiben, können die Parteien zum Zwecke der Durchführung von Datenübermittlungen aus dem Vereinigten Königreich diesen UK-Nachtrag in jeder Form abschließen, die ihn für die Parteien rechtsverbindlich macht und es den betroffenen Personen ermöglicht, ihre in diesem UK-Nachtrag festgelegten Rechte durchzusetzen. Der Abschluss dieses UK-Nachtrags hat dieselbe Wirkung wie die Unterzeichnung der genehmigten EU-SCCs und jedes Teils der genehmigten EU-SCCs.
Auslegung dieses Nachtrags für das Vereinigte Königreich
3.Soweit in diesem britischen Nachtrag Begriffe verwendet werden, die in den genehmigten EU-SCCs definiert sind, haben diese Begriffe dieselbe Bedeutung wie in den genehmigten EU-SCCs. Darüber hinaus haben die folgenden Begriffe die folgende Bedeutung:
| Nachtrag für Großbritannien | bedeutet, dass dieser Nachtrag zum internationalen Datentransfer die EU-Standardvertragsklauseln enthält, die der Datenschutzvereinbarung als Anlage D beigefügt sind. |
| EU-Standardvertragsklauseln | bezeichnet die Version(en) der genehmigten EU-SCCs, denen dieser britische Nachtrag beigefügt ist, wie in Tabelle 2 dargelegt, einschließlich der Informationen im Anhang |
| Informationen zum Anhang | sind in Tabelle 3 aufgeführt |
| Angemessene Schutzmaßnahmen | bezeichnet das Schutzniveau für personenbezogene Daten und die Rechte der betroffenen Personen, das gemäß den britischen Datenschutzgesetzen erforderlich ist, wenn Sie eine Datenübermittlung aus dem Vereinigten Königreich unter Berufung auf die Standarddatenschutzklauseln gemäß Artikel 46 Absatz 2 Buchstabe d der britischen DSGVO vornehmen. |
| Genehmigter Nachtrag für Großbritannien | bezeichnet den vom ICO herausgegebenen Muster-Nachtrag, der dem Parlament am 2. Februar 2022 gemäß § 119A des Datenschutzgesetzes von 2018 vorgelegt wurde, in der gegebenenfalls gemäß § 18 des britischen Nachtrags geänderten Fassung. |
| Genehmigte EU-Standardvertragsklauseln | bezeichnet die von der Europäischen Kommission im Beschluss 2021/914 vom 4. Juni 2021 genehmigten Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Länder, denen von der Europäischen Kommission nicht anderweitig ein angemessenes Schutzniveau für personenbezogene Daten zuerkannt wurde (in ihrer jeweils gültigen Fassung). |
| ICO | bezeichnet den Informationsbeauftragten des Vereinigten Königreichs. |
| Transfer aus Großbritannien | hat dieselbe Bedeutung wie in der DPA festgelegt. |
| Großbritannien | bezeichnet das Vereinigte Königreich Großbritannien und Nordirland |
| Datenschutzgesetze im Vereinigten Königreich | bezeichnet alle Gesetze in Bezug auf Datenschutz, die Verarbeitung personenbezogener Daten, die Privatsphäre und/oder die elektronische Kommunikation, die jeweils im Vereinigten Königreich gelten, einschließlich der britischen DSGVO und des Datenschutzgesetzes von 2018. |
| DSGVO im Vereinigten Königreich | hat die im DPA festgelegte Bedeutung. |
4.Der Zusatz für das Vereinigte Königreich ist stets in einer Weise auszulegen, die mit den britischen Datenschutzgesetzen im Einklang steht und sicherstellt, dass die Parteien ihrer Verpflichtung zur Bereitstellung angemessener Schutzmaßnahmen nachkommen.
5.Sollten die im britischen Nachtrag enthaltenen Bestimmungen die genehmigten EU-SCCs in einer Weise ändern, die gemäß den genehmigten EU-SCCs oder dem genehmigten britischen Nachtrag nicht zulässig ist, werden diese Änderungen nicht in den britischen Nachtrag aufgenommen, und an ihre Stelle tritt die entsprechende Bestimmung der genehmigten EU-SCCs.
6.Bei Unstimmigkeiten oder Widersprüchen zwischen den britischen Datenschutzgesetzen und dem britischen Nachtrag gelten die britischen Datenschutzgesetze.
7.Sollte die Bedeutung des UK-Nachtrags unklar sein oder mehrere Bedeutungen zulassen, gilt die Bedeutung, die den britischen Datenschutzgesetzen am ehesten entspricht.
8.Verweise auf Rechtsvorschriften (oder bestimmte Bestimmungen von Rechtsvorschriften) bedeuten, dass sich diese Rechtsvorschriften (oder bestimmte Bestimmungen) im Laufe der Zeit ändern können. Dies gilt auch für Fälle, in denen diese Rechtsvorschriften (oder bestimmte Bestimmungen) nach Abschluss des Zusatzabkommens zum Vereinigten Königreich konsolidiert, neu erlassen und/oder ersetzt wurden.
Hierarchie
9.Obwohl in Klausel 5 der genehmigten EU-Standardvertragsklauseln festgelegt ist, dass diese Vorrang vor allen damit zusammenhängenden Vereinbarungen zwischen den Parteien haben, vereinbaren die Parteien, dass bei Datenübermittlungen aus dem Vereinigten Königreich die in Abschnitt 10 unten festgelegte Rangfolge Vorrang hat.
10.Bei Unstimmigkeiten oder Widersprüchen zwischen dem genehmigten britischen Nachtrag und den EU-Standardvertragsklauseln (soweit anwendbar) hat der genehmigte britische Nachtrag Vorrang vor den EU-Standardvertragsklauseln, es sei denn, die unvereinbaren oder widersprüchlichen Bestimmungen der EU-Standardvertragsklauseln bieten den betroffenen Personen einen besseren Schutz; in diesem Fall haben diese Bestimmungen Vorrang vor dem genehmigten britischen Nachtrag.
11.Soweit dieser UK-Nachtrag EU-Standardvertragsklauseln enthält, die zum Schutz von Datenübermittlungen aus der EU im Rahmen der DSGVO vereinbart wurden, erkennen die Parteien an, dass keine Bestimmung des UK-Nachtrags Auswirkungen auf diese EU-Standardvertragsklauseln hat.
Einbeziehung und Änderungen der EU-Standardvertragsklauseln:
12.Dieser britische Nachtrag enthält die EU-Standardvertragsklauseln, die soweit erforderlich angepasst wurden, damit:
13.Sofern die Parteien keine alternativen Änderungen vereinbart haben, die den Anforderungen von Abschnitt 12 dieses UK-Nachtrags entsprechen, gelten die Bestimmungen von Abschnitt 15 dieses UK-Nachtrags.
14.Es dürfen keine Änderungen an den genehmigten EU-Standardvertragsklauseln vorgenommen werden, es sei denn, diese dienen der Erfüllung der Anforderungen gemäß Abschnitt 12 dieses britischen Nachtrags.
15.Es werden folgende Änderungen an den EU-Standardvertragsklauseln (im Sinne von Abschnitt 12 dieses britischen Nachtrags) vorgenommen:
Änderungen am Anhang für das Vereinigte Königreich
16.Die Parteien können vereinbaren, die Klauseln 17 und/oder 18 der EU-Standardvertragsklauseln so zu ändern, dass sie auf das Recht und/oder die Gerichte von Schottland oder Nordirland verweisen.
17.Möchten die Vertragsparteien das Format der in Teil 1: Tabellen des genehmigten britischen Nachtrags enthaltenen Informationen ändern, so können sie dies durch eine schriftliche Vereinbarung über die Änderung tun, sofern die Änderung nicht zu einer Schwächung der angemessenen Schutzmaßnahmen führt.
18.Von Zeit zu Zeit kann die ICO einen überarbeiteten „Approved UK Addendum“ herausgeben, der:
In dem überarbeiteten genehmigten UK-Nachtrag wird das Datum festgelegt, ab dem die Änderungen am genehmigten UK-Nachtrag wirksam werden, sowie angegeben, ob die Parteien diesen UK-Nachtrag einschließlich der Informationen im Anhang überprüfen müssen. Dieser UK-Nachtrag wird ab dem festgelegten Datum automatisch gemäß den Bestimmungen des überarbeiteten genehmigten UK-Nachtrags geändert.
19.Wenn die ICO gemäß Abschnitt 18 dieses UK-Nachtrags einen überarbeiteten genehmigten UK-Nachtrag herausgibt und sich für eine Partei als direkte Folge der Änderungen im genehmigten UK-Nachtrag eine erhebliche, unverhältnismäßige und nachweisbare Erhöhung ergibt bei:
und in beiden Fällen zunächst angemessene Maßnahmen ergriffen hat, um diese Kosten oder Risiken so weit zu verringern, dass sie nicht erheblich und unverhältnismäßig sind, so kann diese Partei diesen UK-Nachtrag zum Ende einer angemessenen Kündigungsfrist beenden, indem sie der anderen Partei vor dem Datum des Inkrafttretens des überarbeiteten genehmigten UK-Nachtrags eine schriftliche Kündigung für diese Frist zukommen lässt.
20.Die Parteien benötigen keine Zustimmung Dritter, um Änderungen an diesem Nachtrag für das Vereinigte Königreich vorzunehmen; diese Änderungen müssen jedoch im Einklang mit dessen Bestimmungen erfolgen.