Der „GDPRLocal Master Service Agreement“ und die darin enthaltenen zusätzlichen Bedingungen regeln unsere Produkte, Dienstleistungen und Kundenbeziehungen.
Es bestehen keine Verpflichtungen zum Kauf von Dienstleistungen. Für die Anmeldung ist keine Kreditkarte erforderlich, und nach der Registrierung können Dienstleistungen jederzeit erworben und aktiviert werden.
Dieser Anhang ist Bestandteil des Rahmenvertrags („Vertrag“) zwischen dem Kunden und GDPRLocal Ltd („GDPRLocal“). Er legt den Umfang der von GDPRLocal (dem „bestellten Vertreter“) zu erbringenden Dienstleistungen gemäß Artikel 27 des britischen Datenschutzgesetzes fest. Die in diesem Anhang verwendeten Begriffe haben dieselbe Bedeutung wie im Rahmenvertrag oder in den geltenden Vorschriften.
1. Leistungsumfang
1.1 Ernennung. Mit Wirkung ab dem Datum des Leistungsbeginns ernennt der Kunde den benannten Vertreter gemäß Artikel 27 der geltenden Vorschriften zu seinem Vertreter im Vereinigten Königreich. Dieser Anhang stellt das gemäß Artikel 27 Absatz 1 der britischen DSGVO erforderliche schriftliche Mandat dar. Der benannte Vertreter nimmt diese Ernennung an und erklärt sich bereit, die in diesem Anhang beschriebenen Vertretungsleistungen in Übereinstimmung mit Artikel 27 der geltenden Vorschriften zu erbringen. Das Mandat verleiht keine Befugnis, im Namen des Kunden wesentliche Entscheidungen bezüglich der Verarbeitungsvorgänge zu treffen, den Kunden an Compliance-Verpflichtungen zu binden oder als gesetzlicher Vertreter in Rechtsstreitigkeiten oder Vollstreckungsverfahren aufzutreten.
1.2 Artikel 27 Pflichten des Beauftragten. Gemäß Artikel 27 der geltenden Vorschriften hat GDPRLocal (über den benannten Beauftragten):
2. Leistungsumfänge und zu erbringende Leistungen
2.1 Erbringung der Dienstleistung. GDPRLocal handelt auf Anweisung des im Kundenprofil angegebenen Kundenansprechpartners oder einer anderen Person, die vom Kunden ausdrücklich schriftlich bevollmächtigt wurde.
2.2 Beratung und Berichterstattung. Erhält GDPRLocal eine Mitteilung einer Aufsichtsbehörde oder einer betroffenen Person, die eine Antwort innerhalb einer festgelegten Frist erfordert, benachrichtigt GDPRLocal unverzüglich den Kundenkontakt und gibt die Antwortfrist an. Erteilt der Kunde nicht rechtzeitig Anweisungen, kann GDPRLocal entweder (a) mit einer Empfangsbestätigung antworten oder (b) der Aufsichtsbehörde oder der betroffenen Person mitteilen, dass die Angelegenheit an den Kunden weitergeleitet wird. Der Kunde erkennt an, dass GDPRLocal nicht für versäumte Fristen haftbar gemacht werden kann, die darauf zurückzuführen sind, dass der Kunde keine rechtzeitigen Anweisungen erteilt hat.
3. Pflichten des Kunden
Zusätzlich zu den in MSA § 6 festgelegten Verpflichtungen hat der Kunde folgende Pflichten:
3.1 GDPRLocal alle Informationen, Unterlagen und die Unterstützung zur Verfügung zu stellen, die für die Erbringung der Dienstleistungen in angemessener Weise erforderlich sind, darunter: genaue Angaben zur juristischen Person des Kunden oder zu den juristischen Personen, die unter den Auftrag fallen; Angaben zu den Verarbeitungsvorgängen im Rahmen des jeweiligen Auftrags; sowie eine Kopie des Verzeichnisses der Verarbeitungsvorgänge;
3.2 unverzüglich auf alle von GDPRLocal weitergeleiteten Mitteilungen zu reagieren und rechtzeitig die für die Bearbeitung dieser Mitteilungen erforderlichen Anweisungen, Informationen und Entscheidungen bereitzustellen;
3.3 GDPRLocal unverzüglich über Folgendes zu informieren: (a) jede vermutete oder tatsächliche Datenschutzverletzung; (b) jede Änderung der Verarbeitungsaktivitäten des Kunden, die den Umfang oder die Art der Bestellung des Vertreters wesentlich beeinflusst; (c) jede direkte Mitteilung, die der Kunde von einer Aufsichtsbehörde erhält; (d) alle gegen den Kunden eingeleiteten Rechtsstreitigkeiten oder behördlichen Verfahren im Zusammenhang mit seiner Verarbeitung personenbezogener Daten von betroffenen Personen im Vereinigten Königreich; und (e) alle Anträge betroffener Personen im Zusammenhang mit Rechten gemäß der UK-DSGVO;
3.4 die Kontaktdaten des Vertreters im Vereinigten Königreich zu veröffentlichen und diese gemäß den Anforderungen der britischen DSGVO an die Aufsichtsbehörde zu übermitteln, wobei die im Anhang zu diesem Anhang aufgeführten Kontaktdaten des bestellten Vertreters zu verwenden sind, und sicherzustellen, dass diese Kontaktdaten in allen Datenschutzerklärungen des Kunden, den Datenschutzrichtlinien auf seiner Website und in der Kommunikation mit den betroffenen Personen gemäß den Artikeln 13 und 14 der britischen DSGVO korrekt wiedergegeben werden;
3.5 Die alleinige Verantwortung für die Richtigkeit, Vollständigkeit und Aktualität der ROPA liegt bei uns. Die Verpflichtung des benannten Vertreters gemäß Artikel 30 Absatz 4 der britischen DSGVO hängt davon ab, dass der Kunde eine korrekte ROPA vorlegt;
3.6 keine Maßnahmen zu ergreifen, die (a) GDPRLocal oder den benannten Vertreter einem Vollstreckungsverfahren oder behördlichen Sanktionen aussetzen würden, sofern dies nicht eine unvermeidbare Folge der Rolle des benannten Vertreters ist; (b) GDPRLocal oder den benannten Vertreter dazu veranlassen würden, gegenüber einer Aufsichtsbehörde unrichtige Angaben zu machen; oder (c) dazu führen würden, dass GDPRLocal oder der benannte Vertreter gegen geltende Vorschriften verstoßen.
4. Leistungen, die nicht in den Geltungsbereich fallen
4.1 Sofern bei der Aktivierung nicht ausdrücklich vereinbart, umfassen die Dienstleistungen keine substanzielle Beratung oder Dienstleistungen zur Einhaltung der DSGVO (die gegebenenfalls in separaten Dienstleistungsanhängen geregelt sind) sowie keine Rechtsberatung oder Rechtsvertretung. Ist eine Rechtsberatung erforderlich, sollte der Kunde einen unabhängigen Rechtsbeistand hinzuziehen.
4.2 GDPRLocal und der benannte Vertreter übernehmen keine Führungsverantwortung und keine Entscheidungsbefugnis in operativen Angelegenheiten.
4.3 Die Rolle des benannten Vertreters im Zusammenhang mit Anträgen betroffener Personen hat beratenden und überwachenden Charakter; die operative Bearbeitung dieser Anträge liegt weiterhin in der alleinigen Verantwortung des Kunden.
4.4 Alle Leistungen, die über die in § 27 gesetzlich festgelegte Vertretungsfunktion hinausgehen, können gemäß dem Rahmenvertrag über Dienstleistungen als abrechnungspflichtige Zusatzleistungen und Aufgaben in Auftrag gegeben werden.
5. Haftung und Freistellung (Dienstleistungsspezifische Ergänzung zu MSA § 10 / § 11)
5.1 Rahmenvereinbarung zur Haftungsanerkennung. Die Parteien erkennen Folgendes an:
5.2 Haftungsbeschränkung (dienstleistungsspezifisch).
5.2.1 Vorbehaltlich der Ziffer 5.5 darf die Gesamthaftung einer der Parteien gemäß diesem Anhang den Gesamtbetrag der vom Kunden für die Vertretungsdienstleistung gemäß Artikel 27 im Vereinigten Königreich gezahlten oder zu zahlenden Gebühren in dem Zwölfmonatszeitraum (12 Monate) nicht übersteigen, der dem Ereignis, das den Anspruch begründet, unmittelbar vorausging.
5.2.2 Keine der Parteien haftet für indirekte, Folge-, Sonder- oder Strafschäden.
5.2.3 GDPRLocal und der benannte Vertreter haften nicht für: gegen den Kunden verhängte DSGVO-Geldbußen oder Sanktionen; Verluste, die sich aus der Nichteinhaltung der geltenden Vorschriften durch den Kunden oder aus der Nichtbereitstellung korrekter/rechtzeitiger ROPA-Angaben oder Anweisungen ergeben; Folgen der Nichtaktualisierung von Datenschutzerklärungen mit korrekten Kontaktdaten; Schäden, die darauf zurückzuführen sind, dass der Kunde ein relevantes Ereignis gemäß Ziffer 3 nicht gemeldet hat; Schäden, die dadurch entstehen, dass GDPRLocal Mitteilungen in gutem Glauben weitergeleitet hat, auf die der Kunde nicht angemessen reagiert hat.
5.3 Freistellung durch den Kunden. Der Kunde verpflichtet sich, GDPRLocal, den benannten Vertreter sowie deren jeweilige verbundene Unternehmen, Führungskräfte, Mitarbeiter und Beauftragte (jeweils eine „freigestellte Person“) von Verlusten (einschließlich angemessener Rechtskosten auf der Grundlage einer vollständigen Freistellung) freizustellen, zu verteidigen und schadlos zu halten, die sich ergeben aus: Vollstreckungsverfahren; Ansprüchen betroffener Personen im Zusammenhang mit der Verarbeitung durch den Kunden; der Nichteinhaltung der Verpflichtungen aus Ziffer 3 durch den Kunden; der Nichtvorlage eines korrekten ROPA; sowie Kosten für die Beantwortung von Durchsetzungsverfahren oder Anfragen von Aufsichtsbehörden im Namen des Kunden.
5.4 Verteidigungsverfahren. Bei Bekanntwerden eines potenziell entschädigungsfähigen Anspruchs: GDPRLocal benachrichtigt den Kunden unverzüglich; der Kunde übernimmt die Verteidigung auf eigene Kosten (die entschädigungsberechtigte Person kann auf Kosten des Kunden mitwirken; ein für die entschädigungsberechtigte Person nachteiliger Vergleich darf nicht ohne deren Zustimmung geschlossen werden); die entschädigungsberechtigte Person leistet in angemessener Weise Mitwirkung; wird die Verteidigung nicht innerhalb von 15 Werktagen übernommen, kann GDPRLocal die Verteidigung auf Kosten des Kunden übernehmen.
5.5 Ausnahmen von der Haftungsbeschränkung. Die in Ziffer 5.2 festgelegte Haftungsobergrenze gilt nicht für: die Entschädigungsverpflichtungen des Kunden gemäß Ziffer 5.3; die Haftung für Tod oder Körperverletzung aufgrund von Fahrlässigkeit; Betrug oder arglistige Täuschung; sowie jede sonstige Haftung, die nach den geltenden Vorschriften nicht beschränkt werden kann.
5.6 Berufshaftpflichtversicherung. GDPRLocal muss während der gesamten Vertragslaufzeit eine Berufshaftpflichtversicherung mit einer Deckungssumme von mindestens 1.000.000 £ pro Schadensfall und insgesamt pro Versicherungsjahr unterhalten. Ein entsprechender Nachweis ist auf begründete schriftliche Anfrage hin vorzulegen.
6. Laufzeit und Kündigung (dienstspezifisch)
6.1 Laufzeit. Dieser Anhang tritt am Datum des Dienstbeginns in Kraft und gilt für eine anfängliche Laufzeit von zwölf (12) Monaten („anfängliche Laufzeit“), sofern er nicht gemäß dieser Ziffer 6 oder § 12 des Rahmenvertrags vorzeitig gekündigt wird. Er verlängert sich automatisch um jeweils zwölf Monate, sofern nicht mindestens neunzig (90) Tage vor Ablauf der jeweils laufenden Laufzeit eine Kündigung ausgesprochen wird.
6.2 Kündigung aus Beliebigkeit. Ungeachtet § 12.3 des Rahmenvertrags kann jede Partei diesen Anhang mit einer schriftlichen Kündigungsfrist von mindestens neunzig (90) Tagen kündigen, wobei dieses Recht erst nach Ablauf der anfänglichen Laufzeit ausgeübt werden kann. Die 90-tägige Kündigungsfrist trägt dem berechtigten Interesse von GDPRLocal an Kontinuität sowie der Notwendigkeit des Kunden Rechnung, einen Ersatz für den gemäß Artikel 27 benannten Vertreter zu finden, um einen Verstoß gegen Artikel 27 der britischen DSGVO zu vermeiden.
6.3 Zusätzliches Kündigungsrecht. GDPRLocal kann den Vertrag zusätzlich mit sofortiger Wirkung kündigen, wenn (a) der Kunde wesentlich unrichtige ROPA-Angaben macht, sodass die Vertragserfüllung eine Falschdarstellung gegenüber den Aufsichtsbehörden zur Folge hätte; oder (b) die Anweisungen des Kunden rechtswidrige Handlungen erfordern würden oder GDPRLocal oder den benannten Vertreter einer unverhältnismäßigen Haftung aussetzen würden.
6.4 Rücktrittsrecht in Vollstreckungssituationen. Die marktübliche Praxis für Vertreter gemäß Artikel 27 sieht ein spezifisches Rücktrittsrecht vor, wenn der Kunde während eines Vollstreckungsverfahrens die Zusammenarbeit einstellt. GDPRLocal kann mit sofortiger Wirkung zurücktreten, wenn:
Ein sofortiger Rücktritt unter solchen Umständen stellt keinen Vertragsbruch dar. Der Kunde übernimmt die alleinige Verantwortung für etwaige regulatorische Konsequenzen, die sich aus einer Deckungslücke ergeben.
6.5 Folgen der Kündigung. Innerhalb von 5 Werktagen: GDPRLocal tritt nicht mehr als Vertreter des Kunden auf und benachrichtigt die zuständigen Aufsichtsbehörden, sofern dies nach nationalem Recht erforderlich ist; der Kunde aktualisiert alle Datenschutzerklärungen, um die Angaben zum benannten Vertreter zu entfernen. Innerhalb von 15 Werktagen: GDPRLocal übermittelt eine Kopie des ROPA sowie des Kommunikationsprotokolls. Alle anhängigen Durchsetzungsverfahren werden gemäß den Übergangsregelungen abgewickelt (sofern dies nicht innerhalb von 10 Werktagen geschieht, kann GDPRLocal die zuständige Aufsichtsbehörde über die Kündigung informieren und diese an den Kunden verweisen). Der Kunde zahlt ausstehende Gebühren und Kosten. Die Klauseln 5 und 6.5 bleiben auch nach der Kündigung bestehen.
6.6 Rechtlicher Hinweis. Der Kunde übernimmt die alleinige Verantwortung dafür, vor oder unmittelbar nach der Kündigung einen Ersatzbeauftragten gemäß Artikel 27 zu benennen, um einen Verstoß gegen Artikel 27 der britischen DSGVO zu vermeiden. GDPRLocal wird aus Kulanzgründen mit jedem Ersatzbeauftragten zu den jeweils geltenden Standardtarifen zusammenarbeiten.
__________________________________________________
Diese Leistungsbeschreibung („SOW“) ist diesem Anhang beigefügt und bildet einen Bestandteil desselben; dieser Anhang wiederum ist Bestandteil des Rahmenvertrags über Dienstleistungen zwischen dem Kunden und GDPRLocal Ltd. Großgeschriebene Begriffe haben dieselbe Bedeutung wie im Anhang oder im Vertrag.
Die Leistungsbeschreibung wird von GDPRLocal zum Zeitpunkt der Aktivierung der Dienstleistung (sei es über die GDPRLocal-Plattform oder durch schriftliche Bestätigung) erstellt und erfasst den maßgeschneiderten Umfang, die Gebühren und die operativen Parameter dieses Auftrags. Die Kundenidentität wird automatisch aus dem Kundenprofil übernommen und hier nicht erneut erfasst.
1. Kundendaten
| Firmenname | [Firmenname] |
| Ansprechpartner | [Ansprechpartner] |
| E-Mail-Adresse für Kontaktanfragen | [E-Mail-Adresse] |
| Kontaktnummer | [Kontaktnummer] |
2. Inkrafttreten und Laufzeit
3. Leistungsumfang
4. Servicegebühren
5. Beauftragtes Personal
| Beauftragte Vertretung | GDPRLocal GmbH |
| Eingetragener Firmensitz | Suite im 1. Stock auf der Vorderseite, 27–29 North Street, Brighton, England, BN1 1EB, Vereinigtes Königreich |
| [email protected] | |
| Tel. | +44 1772 217 800 |
6. Wortlaut der Datenschutzerklärung
Der Kunde hat in seinen Datenschutzhinweisen, den Datenschutzerklärungen auf seiner Website sowie in allen sonstigen Mitteilungen, die gemäß den Artikeln 13 und 14 der britischen DSGVO erforderlich sind, den folgenden Wortlaut (oder einen gleichwertigen Wortlaut, der dieselben Informationen vermittelt) zu veröffentlichen:
„Unser Vertreter im Vereinigten Königreich gemäß Artikel 27 der britischen DSGVO ist GDPRLocal Ltd, 1st Floor Front Suite, 27–29 North Street, Brighton, England, BN1 1EB. Website: https://gdprlocal.com. Betroffene Personen im Vereinigten Königreich sowie Aufsichtsbehörden können sich unter [email protected] oder +44 1772 217 800 an unseren Vertreter im Vereinigten Königreich wenden.“
Der Kunde ist verpflichtet, diese Angaben unverzüglich zu aktualisieren, sobald er von GDPRLocal schriftlich über eine Änderung dieser Kontaktdaten informiert wird.
7. Vertretungsleistungen und Leistungen in Großbritannien
| Service | Im Preis inbegriffene Leistungen | Zeitleiste |
| Ernennung und Vertretung | Formelle Benennung als Vertreter im Vereinigten Königreich gemäß Artikel 27 der britischen DSGVO für Verarbeitungsvorgänge, die unter Artikel 3 Absatz 2 der britischen DSGVO fallen; Bevollmächtigung zur Vertretung; Aufnahme in die Datenschutzerklärung | Einmalig (Onboarding) |
| Ansprechpartner für regulatorische Angelegenheiten | Entgegennahme und Weiterleitung von Mitteilungen der Aufsichtsbehörde; Unterstützung bei der Koordinierung der Antworten | Versand innerhalb von 1–3 Werktagen |
| Kontaktfunktion für betroffene Personen | Entgegennahme und Weiterleitung von Anträgen betroffener Personen (DSARs); gegebenenfalls Protokollierung | Versand innerhalb von 1–3 Werktagen |
| Verarbeitungsprotokolle (ROPA) | Gewährleistung des Zugriffs auf Unterlagen gemäß Artikel 30 für behördliche Kontrollen; sichere Aufbewahrung und Zugriffsmöglichkeiten; Bereitstellung für Behörden auf Anfrage | Laufend / auf Anfrage |
| Unterstützung bei der Zusammenarbeit im Regulierungsbereich | Koordination der Kommunikation bei Anfragen oder Ermittlungen; Nachverfolgung des Austauschs mit den Aufsichtsbehörden | Wie erforderlich |
| Kommunikationsabwicklung und Eskalation | Rechtzeitige Eskalation von Mitteilungen zu regulatorischen Angelegenheiten oder mit hohem Risiko; Kennzeichnung dringender Angelegenheiten als Priorität | Wie erforderlich |
| Compliance-Schnittstelle | Allgemeine Leitlinien zu den Verpflichtungen gemäß Artikel 27; Mitteilungen über relevante regulatorische Entwicklungen; praktische Hinweise (keine Rechtsberatung) | Nach Bedarf |
8. Überprüfung der Dienstleistungen
Diese Leistungsbeschreibung kann durch schriftliche Vereinbarung zwischen den Parteien überprüft und aktualisiert werden, sofern dies erforderlich ist, um wesentliche Änderungen der Verarbeitungsaktivitäten, der Dienstleistungsanforderungen oder der Compliance-Prioritäten des Kunden Rechnung zu tragen. Jede derartige Aktualisierung wird als überarbeitete Leistungsbeschreibung im Zusammenhang mit dem Konto des Kunden erfasst.
9. Annahme
Diese Leistungsbeschreibung gilt ab dem Zeitpunkt der Aktivierung der Dienstleistung (sei es durch Aktivierung über das Portal oder durch eine von GDPRLocal akzeptierte schriftliche Bestätigung) als vom Kunden angenommen. Eine handschriftliche Unterschrift ist nicht erforderlich.