Datenverarbeitungsvereinbarung

Schlüsselbegriffe

Begriff	Wert
Vereinbarung	Diese DPA ergänzt die Terms of Service
Genehmigte Unterauftragsverarbeiter	Cloudflare (USA; DNS-, Netzwerk- und Sicherheitsanbieter), DataPacket (USA/UK; Hosting-Anbieter), Digital Ocean (USA; Hosting-Anbieter), Vultr (USA; Hosting-Anbieter), Stripe (USA; Zahlungsabwickler), PayPal (USA; Zahlungsabwickler)
Sicherheitskontakt des Anbieters	security@forwardemail.net
Sicherheitsrichtlinie	our Security Policy on GitHub anzeigen
Regierender Staat	Der Staat Delaware, USA

Änderungen an der Vereinbarung

Dieses Dokument ist eine Ableitung von Gemeinsame Standardbedingungen für das DPA-Papier (Version 1.0) und es wurden die folgenden Änderungen vorgenommen:

Geltendes Recht und Gerichtsstand wurde unten als Abschnitt mit dem oben genannten Governing State eingefügt.
Dienstanbieterbeziehung wurde unten als Abschnitt eingefügt.

1. Prozessor- und Subprozessorbeziehungen

1. Anbieter als Verarbeiter

In Situationen, in denen der Kunde ein Verantwortlicher für die personenbezogenen Daten des Kunden ist, wird der Anbieter als Verarbeiter betrachtet, der personenbezogene Daten im Auftrag des Kunden verarbeitet.

2. Anbieter als Unterauftragsverarbeiter

In Situationen, in denen der Kunde ein Verarbeiter der personenbezogenen Daten des Kunden ist, wird der Anbieter als Unterverarbeiter der personenbezogenen Daten des Kunden betrachtet.

2. Verarbeitung

1. Verarbeitungsdetails

Anhang I(B) auf dem Deckblatt beschreibt Gegenstand, Art, Zweck und Dauer dieser Verarbeitung sowie die Kategorien der erfassten personenbezogenen Daten und die Kategorien der betroffenen Personen.

2. Verarbeitungsanweisungen

Der Kunde weist den Anbieter an, personenbezogene Daten des Kunden zu verarbeiten: (a) um den Dienst bereitzustellen und aufrechtzuerhalten; (b) wie durch die Nutzung des Dienstes durch den Kunden näher spezifiziert; (c) wie in der Vereinbarung dokumentiert; und (d) wie in anderen schriftlichen Anweisungen des Kunden dokumentiert, die vom Anbieter zur Verarbeitung personenbezogener Daten des Kunden im Rahmen dieser DPA erteilt und bestätigt wurden. Der Anbieter wird diese Anweisungen befolgen, sofern ihm dies nicht durch geltende Gesetze untersagt ist. Der Anbieter wird den Kunden unverzüglich informieren, falls er den Verarbeitungsanweisungen nicht folgen kann. Der Kunde hat nur Anweisungen erteilt und wird dies auch weiterhin tun, wenn diese den geltenden Gesetzen entsprechen.

3. Verarbeitung durch Anbieter

Der Anbieter verarbeitet personenbezogene Daten des Kunden nur in Übereinstimmung mit dieser Datenverarbeitungsvereinbarung, einschließlich der Details auf dem Deckblatt. Wenn der Anbieter den Dienst aktualisiert, um bestehende Produkte, Features oder Funktionen zu aktualisieren oder neue hinzuzufügen, kann der Anbieter die Kategorien betroffener Personen, die Kategorien personenbezogener Daten, die Daten besonderer Kategorien, die Einschränkungen oder Schutzmaßnahmen für Daten besonderer Kategorien, die Häufigkeit der Übertragung, die Art und den Zweck der Verarbeitung und die Dauer der Verarbeitung nach Bedarf ändern, um die Aktualisierungen widerzuspiegeln, indem er den Kunden über die Aktualisierungen und Änderungen informiert.

4. Kundenabwicklung

Ist der Kunde Auftragsverarbeiter und der Anbieter Unterauftragsverarbeiter, verpflichtet sich der Kunde zur Einhaltung aller geltenden Gesetze, die für die Verarbeitung personenbezogener Daten des Kunden gelten. Die Vereinbarung mit dem Verantwortlichen verpflichtet den Kunden ebenfalls zur Einhaltung aller geltenden Gesetze als Auftragsverarbeiter. Darüber hinaus verpflichtet sich der Kunde zur Einhaltung der Anforderungen an Unterauftragsverarbeiter in der Vereinbarung mit dem Verantwortlichen.

Der Kunde hat alle geltenden Datenschutzgesetze hinsichtlich der Bereitstellung personenbezogener Kundendaten an den Anbieter und/oder den Dienst eingehalten und wird dies auch weiterhin tun. Dies umfasst die Vornahme aller Offenlegungen, die Einholung aller Einwilligungen, die Bereitstellung angemessener Auswahlmöglichkeiten und die Umsetzung der gemäß den geltenden Datenschutzgesetzen erforderlichen Sicherheitsvorkehrungen.

6. Unterprozessoren

a. Der Anbieter stellt keine personenbezogenen Daten des Kunden einem Unterauftragsverarbeiter zur Verfügung, überträgt sie oder händigt sie diesem aus, es sei denn, der Kunde hat den Unterauftragsverarbeiter genehmigt. Die aktuelle Liste der Genehmigten Unterauftragsverarbeiter enthält die Identität der Unterauftragsverarbeiter, ihr Sitzland und ihre voraussichtlichen Verarbeitungsaufgaben. Der Anbieter informiert den Kunden mindestens 10 Werktage im Voraus schriftlich über geplante Änderungen der Genehmigten Unterauftragsverarbeiter, sei es durch Hinzufügung oder Austausch eines Unterauftragsverarbeiters, sodass dem Kunden genügend Zeit bleibt, Einspruch gegen die Änderungen zu erheben, bevor der Anbieter den/die neuen Unterauftragsverarbeiter einsetzt. Der Anbieter stellt dem Kunden die erforderlichen Informationen zur Verfügung, damit der Kunde sein Widerspruchsrecht gegen die Änderung der Genehmigten Unterauftragsverarbeiter ausüben kann. Der Kunde hat nach Bekanntgabe einer Änderung der genehmigten Unterauftragsverarbeiter 30 Tage Zeit, Einspruch zu erheben. Andernfalls gelten die Änderungen als vom Kunden akzeptiert. Erhebt der Kunde innerhalb von 30 Tagen nach Bekanntgabe Einspruch, arbeiten Kunde und Anbieter nach Treu und Glauben zusammen, um den Einspruch oder die Bedenken des Kunden zu klären.

b. Bei der Beauftragung eines Unterauftragsverarbeiters schließt der Anbieter mit dem Unterauftragsverarbeiter eine schriftliche Vereinbarung ab, die sicherstellt, dass der Unterauftragsverarbeiter auf personenbezogene Daten des Kunden nur zugreift und diese verwendet, (i) soweit dies zur Erfüllung der ihm übertragenen Verpflichtungen erforderlich ist, und (ii) im Einklang mit den Bedingungen der Vereinbarung.

c. Wenn die DSGVO auf die Verarbeitung personenbezogener Kundendaten Anwendung findet, (i) gelten die in dieser Datenverarbeitungsvereinbarung beschriebenen Datenschutzpflichten (wie in Artikel 28(3) der DSGVO, falls anwendbar) auch für den Unterauftragsverarbeiter und (ii) wird die Vereinbarung zwischen dem Anbieter und dem Unterauftragsverarbeiter diese Pflichten beinhalten, einschließlich Einzelheiten darüber, wie sich der Anbieter und sein Unterauftragsverarbeiter abstimmen, um auf Anfragen oder Anforderungen bezüglich der Verarbeitung personenbezogener Kundendaten zu reagieren. Darüber hinaus wird der Anbieter auf Anfrage des Kunden eine Kopie seiner Vereinbarungen (einschließlich aller Änderungen) mit seinen Unterauftragsverarbeitern teilen. Soweit dies zum Schutz von Geschäftsgeheimnissen oder sonstigen vertraulichen Informationen, einschließlich personenbezogener Daten, erforderlich ist, kann der Anbieter den Text seiner Vereinbarung mit seinem Unterauftragsverarbeiter redigieren, bevor er eine Kopie weitergibt.

d. Der Anbieter bleibt voll haftbar für alle an seine Unterauftragsverarbeiter übertragenen Verpflichtungen, einschließlich der Handlungen und Unterlassungen seiner Unterauftragsverarbeiter bei der Verarbeitung personenbezogener Kundendaten. Der Anbieter wird den Kunden über jegliche Nichterfüllung wesentlicher Verpflichtungen seiner Unterauftragsverarbeiter in Bezug auf personenbezogene Kundendaten gemäß der Vereinbarung zwischen dem Anbieter und dem Unterauftragsverarbeiter informieren.

3. Eingeschränkte Übertragungen

1. Autorisierung

Der Kunde erklärt sich damit einverstanden, dass der Anbieter personenbezogene Daten des Kunden außerhalb des EWR, des Vereinigten Königreichs oder anderer relevanter geografischer Gebiete übermitteln darf, soweit dies zur Bereitstellung des Dienstes erforderlich ist. Überträgt der Anbieter personenbezogene Daten des Kunden in ein Gebiet, für das die Europäische Kommission oder eine andere relevante Aufsichtsbehörde keinen Angemessenheitsbeschluss erlassen hat, wird der Anbieter angemessene Sicherheitsvorkehrungen für die Übermittlung personenbezogener Daten des Kunden in dieses Gebiet im Einklang mit den geltenden Datenschutzgesetzen treffen.

2. Überweisungen außerhalb des EWR

Kunde und Anbieter vereinbaren, dass, sofern die DSGVO die Übermittlung personenbezogener Kundendaten schützt, die Übermittlung vom Kunden innerhalb des EWR an den Anbieter außerhalb des EWR erfolgt und die Übermittlung keinem Angemessenheitsbeschluss der Europäischen Kommission unterliegt, mit dem Abschluss dieser Datenverarbeitungsvereinbarung (DPA) die EWR-Standardvertragsklauseln und deren Anhänge als unterzeichnet gelten, die durch Verweis einbezogen werden. Jede derartige Übermittlung erfolgt gemäß den EWR-Standardvertragsklauseln, die wie folgt ausgefüllt werden:

a. Modul Zwei (Verantwortlicher gegenüber Auftragsverarbeiter) der EWR-Standardvertragsklauseln gilt, wenn der Kunde Verantwortlicher ist und der Anbieter als Auftragsverarbeiter personenbezogene Daten des Kunden für den Kunden verarbeitet.

b. Modul Drei (Auftragsverarbeiter an Unterauftragsverarbeiter) der EWR-Standardvertragsklauseln gilt, wenn der Kunde ein Auftragsverarbeiter ist und der Anbieter personenbezogene Daten des Kunden im Auftrag des Kunden als Unterauftragsverarbeiter verarbeitet.

c. Für jedes Modul gilt (sofern zutreffend):

Die optionale Andockklausel in Klausel 7 findet keine Anwendung;
In Klausel 9 gilt Option 2 (allgemeine schriftliche Genehmigung) und die Mindestfrist für die Vorankündigung von Änderungen beim Unterauftragsverarbeiter beträgt 10 Werktage;
In Klausel 11 findet die optionale Formulierung keine Anwendung;
Alle eckigen Klammern in Abschnitt 13 werden entfernt;
In Klausel 17 (Option 1) unterliegen die Standardvertragsklauseln des EWR den Gesetzen des maßgebenden Mitgliedstaats.
In Klausel 18(b) werden Streitigkeiten vor den Gerichten des Regierungsmitgliedstaats beigelegt; und
Das Deckblatt dieser DPA enthält die in Anhang I, Anhang II und Anhang III der EWR-Standardvertragsklauseln geforderten Informationen.

3. Überweisungen außerhalb des Vereinigten Königreichs

Kunde und Anbieter vereinbaren, dass, sofern die UK-DSGVO die Übertragung personenbezogener Kundendaten schützt, die Übertragung vom Kunden innerhalb des Vereinigten Königreichs an den Anbieter außerhalb des Vereinigten Königreichs erfolgt und die Übertragung nicht durch einen Angemessenheitsbeschluss des britischen Außenministers geregelt ist, mit dem Abschluss dieser DPA der UK-Nachtrag und seine Anhänge als unterzeichnet gelten, die durch Bezugnahme Bestandteil dieser Vereinbarung werden. Jede derartige Übertragung erfolgt gemäß dem UK-Nachtrag, der wie folgt ausgefüllt wird:

a. Abschnitt 3.2 dieser DPA enthält die in Tabelle 2 des UK-Nachtrags erforderlichen Informationen.

b. Tabelle 4 des UK-Nachtrags wird wie folgt geändert: Keine der Parteien darf den UK-Nachtrag gemäß Abschnitt 19 des UK-Nachtrags beenden. Sofern das ICO einen überarbeiteten genehmigten Nachtrag gemäß Abschnitt 18 des UK-Nachtrags herausgibt, werden die Parteien nach Treu und Glauben daran arbeiten, diese DPA entsprechend zu überarbeiten.

c. Das Deckblatt enthält die in Anhang 1A, Anhang 1B, Anhang II und Anhang III des UK-Nachtrags geforderten Informationen.

4. Andere internationale Überweisungen

Bei der Übermittlung personenbezogener Daten, bei der aufgrund des internationalen Charakters der Übermittlung Schweizer Recht (und nicht das Recht eines EWR-Mitgliedstaats oder des Vereinigten Königreichs) gilt, werden die Verweise auf die DSGVO in Klausel 4 der Standardvertragsklauseln für den EWR, soweit gesetzlich erforderlich, dahingehend geändert, dass sie stattdessen auf das Schweizer Bundesgesetz über den Datenschutz oder dessen Nachfolgegesetz verweisen. Der Begriff der Aufsichtsbehörde umfasst dann den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten.

4. Reaktion auf Sicherheitsvorfälle

Sobald der Anbieter von einem Sicherheitsvorfall Kenntnis erlangt, wird er: (a) den Kunden nach Möglichkeit unverzüglich, spätestens jedoch 72 Stunden nach Kenntniserlangung des Sicherheitsvorfalls, benachrichtigen; (b) zeitnah Informationen über den Sicherheitsvorfall bereitstellen, sobald dieser bekannt wird oder auf begründete Anfrage des Kunden; und (c) umgehend angemessene Schritte unternehmen, um den Sicherheitsvorfall einzudämmen und zu untersuchen. Die Benachrichtigung oder Reaktion des Anbieters über einen Sicherheitsvorfall gemäß dieser DPA gilt nicht als Eingeständnis eines Verschuldens oder einer Haftung des Anbieters für den Sicherheitsvorfall.

5. Audit und Berichte

1. Prüfrechte

Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis seiner Einhaltung dieser DPA erforderlich sind, und der Anbieter ermöglicht und unterstützt Audits, darunter Inspektionen durch den Kunden, um die Einhaltung dieser DPA durch den Anbieter zu beurteilen. Der Anbieter darf jedoch den Zugriff auf Daten oder Informationen einschränken, wenn der Zugriff des Kunden auf die Informationen die geistigen Eigentumsrechte, Vertraulichkeitsverpflichtungen oder andere Verpflichtungen des Anbieters gemäß geltendem Recht beeinträchtigen würde. Der Kunde erkennt an und erklärt sich damit einverstanden, dass er seine Auditrechte gemäß dieser DPA und alle ihm durch geltendes Datenschutzrecht gewährten Auditrechte nur dann ausübt, wenn er den Anbieter anweist, die unten aufgeführten Berichts- und Sorgfaltspflichten zu erfüllen. Der Anbieter führt Aufzeichnungen über seine Einhaltung dieser DPA für drei Jahre nach Ende der DPA.

2. Sicherheitsberichte

Der Kunde nimmt zur Kenntnis, dass der Anbieter regelmäßig von unabhängigen Prüfern auf die Einhaltung der in der Sicherheitsrichtlinie festgelegten Standards geprüft wird. Auf schriftliche Anfrage stellt der Anbieter dem Kunden vertraulich eine Zusammenfassung seines jeweils aktuellen Berichts zur Verfügung, damit dieser die Einhaltung der in der Sicherheitsrichtlinie festgelegten Standards durch den Anbieter überprüfen kann.

3. Sicherheitsprüfung

Zusätzlich zum Bericht beantwortet der Anbieter angemessene Informationsanfragen des Kunden, um die Einhaltung dieser DPA durch den Anbieter zu bestätigen. Dies umfasst Antworten auf Informationssicherheits-, Due-Diligence- und Audit-Fragebögen oder die Bereitstellung zusätzlicher Informationen zu seinem Informationssicherheitsprogramm. Alle derartigen Anfragen müssen schriftlich erfolgen und an den Sicherheitskontakt des Anbieters gerichtet werden und dürfen nur einmal jährlich gestellt werden.

6. Koordination und Zusammenarbeit

1. Antwort auf Anfragen

Erhält der Anbieter eine Anfrage oder Aufforderung zur Verarbeitung personenbezogener Kundendaten, benachrichtigt er den Anbieter hierüber und beantwortet diese nicht ohne dessen vorherige Zustimmung. Beispiele hierfür sind gerichtliche, behördliche oder behördliche Anordnungen zu personenbezogenen Kundendaten, sofern die Benachrichtigung des Kunden nicht durch geltendes Recht untersagt ist, oder Anfragen von betroffenen Personen. Soweit gesetzlich zulässig, befolgt der Anbieter die angemessenen Anweisungen des Kunden zu diesen Anfragen, einschließlich der Bereitstellung von Statusaktualisierungen und anderen vom Kunden in angemessener Weise angeforderten Informationen. Wenn eine betroffene Person gemäß den geltenden Datenschutzgesetzen eine gültige Anfrage zur Löschung oder zum Widerspruch gegen die Weitergabe personenbezogener Kundendaten an den Anbieter stellt, unterstützt der Anbieter den Kunden bei der Erfüllung der Anfrage gemäß den geltenden Datenschutzgesetzen. Der Anbieter kooperiert mit dem Kunden und bietet ihm auf Kosten des Kunden angemessene Unterstützung bei allen rechtlichen Antworten oder anderen Verfahrensschritten, die der Kunde als Reaktion auf eine Anfrage eines Dritten bezüglich der Verarbeitung personenbezogener Kundendaten durch den Anbieter gemäß dieser DPA unternimmt.

2. DPIAs und DTIAs

Falls gemäß den geltenden Datenschutzgesetzen erforderlich, wird der Anbieter den Kunden in angemessenem Umfang bei der Durchführung aller vorgeschriebenen Datenschutz-Folgenabschätzungen oder Datenübertragungs-Folgenabschätzungen sowie bei Konsultationen mit den zuständigen Datenschutzbehörden unterstützen und dabei die Art der Verarbeitung und der personenbezogenen Daten des Kunden berücksichtigen.

7. Löschung personenbezogener Kundendaten

1. Löschung durch den Kunden

Der Anbieter ermöglicht dem Kunden, personenbezogene Kundendaten in einer Weise zu löschen, die mit der Funktionalität der Dienste vereinbar ist. Der Anbieter wird dieser Anweisung so schnell wie möglich nachkommen, es sei denn, eine weitere Speicherung personenbezogener Kundendaten ist gesetzlich vorgeschrieben.

2. Löschung bei Ablauf des DPA

a. Nach Ablauf der DPA wird der Anbieter die personenbezogenen Kundendaten auf Anweisung des Kunden zurückgeben oder löschen, es sei denn, eine weitere Speicherung der personenbezogenen Kundendaten ist gesetzlich vorgeschrieben oder zulässig. Ist die Rückgabe oder Vernichtung nicht durchführbar oder gesetzlich verboten, wird der Anbieter angemessene Anstrengungen unternehmen, um eine weitere Verarbeitung der personenbezogenen Kundendaten zu verhindern und die in seinem Besitz, seiner Obhut oder seiner Kontrolle verbleibenden personenbezogenen Kundendaten weiterhin zu schützen. Beispielsweise kann der Anbieter gesetzlich verpflichtet sein, die personenbezogenen Kundendaten weiterhin zu hosten oder zu verarbeiten.

b. Wenn Kunde und Anbieter im Rahmen dieser DPA die EWR-Standardvertragsklauseln oder den UK-Nachtrag abgeschlossen haben, stellt Anbieter dem Kunden die in Klausel 8.1(d) und Klausel 8.5 der EWR-Standardvertragsklauseln beschriebene Bescheinigung über die Löschung der personenbezogenen Daten nur dann aus, wenn Kunde danach fragt.

8. Haftungsbeschränkung

1. Haftungsbegrenzungen und Schadensersatzverzicht

Soweit es die geltenden Datenschutzgesetze zulassen, unterliegt die gesamte kumulative Haftung jeder Partei gegenüber der anderen Partei, die sich aus dieser DPA ergibt oder damit in Zusammenhang steht, den in der Vereinbarung genannten Haftungsverzichten, -ausschlüssen und -beschränkungen.

Alle Ansprüche, die gegen den Anbieter oder seine verbundenen Unternehmen geltend gemacht werden und die sich aus dieser DPA ergeben oder damit in Zusammenhang stehen, können nur von der Kunden-Einheit geltend gemacht werden, die Vertragspartei der Vereinbarung ist.

3. Ausnahmen

Diese DPA beschränkt nicht die Haftung gegenüber einer Person hinsichtlich ihrer Datenschutzrechte gemäß den geltenden Datenschutzgesetzen. Darüber hinaus beschränkt diese DPA nicht die Haftung zwischen den Parteien für Verstöße gegen die EWR-Standardvertragsklauseln oder den UK-Nachtrag.

9. Konflikte zwischen Dokumenten

Diese DPA ist Bestandteil der Vereinbarung und ergänzt diese. Bei Widersprüchen zwischen dieser DPA, der Vereinbarung oder deren Teilen hat der zuvor genannte Teil Vorrang vor dem später genannten Teil: (1) die EWR-Standardvertragsklauseln oder der UK-Nachtrag, (2) diese DPA und (3) die Vereinbarung.

10. Vertragsdauer

Diese DPA beginnt, sobald Anbieter und Kunde einem Deckblatt für die DPA zustimmen und die Vereinbarung unterzeichnen oder elektronisch akzeptieren. Sie gilt bis zum Ablauf oder der Kündigung der Vereinbarung. Anbieter und Kunde unterliegen jedoch weiterhin den Verpflichtungen dieser DPA und den geltenden Datenschutzgesetzen, bis Kunde die Übermittlung personenbezogener Kundendaten an Anbieter einstellt und Anbieter die Verarbeitung personenbezogener Kundendaten einstellt.

11. Geltendes Recht und Gerichtsstand

Ungeachtet des geltenden Rechts oder ähnlicher Klauseln dieser Vereinbarung unterliegen sämtliche Auslegungen und Streitigkeiten im Zusammenhang mit dieser DPA den Gesetzen des Staates, unter Ausschluss der Kollisionsnormen. Darüber hinaus vereinbaren die Parteien ungeachtet der Gerichtsstandsvereinbarung, der Zuständigkeit oder ähnlicher Klauseln dieser Vereinbarung, sämtliche Rechtsstreitigkeiten, Klagen oder Verfahren im Zusammenhang mit dieser DPA vor den Gerichten des Staates zu führen, und jede Partei unterwirft sich unwiderruflich der ausschließlichen Zuständigkeit dieser Gerichte.

12. Dienstanbieterbeziehung

Soweit der California Consumer Privacy Act, Cal. Civ. Code § 1798.100 ff. („CCPA“) Anwendung findet, erkennen die Parteien an und vereinbaren, dass der Anbieter ein Dienstanbieter ist und personenbezogene Daten vom Kunden erhält, um den Dienst wie in der Vereinbarung vereinbart bereitzustellen, was einen Geschäftszweck darstellt. Der Anbieter wird keine vom Kunden im Rahmen der Vereinbarung bereitgestellten personenbezogenen Daten verkaufen. Darüber hinaus wird der Anbieter keine vom Kunden im Rahmen der Vereinbarung bereitgestellten personenbezogenen Daten aufbewahren, verwenden oder offenlegen, außer wenn dies zur Bereitstellung des Dienstes für den Kunden erforderlich ist, wie in der Vereinbarung angegeben, oder wie nach geltendem Datenschutzrecht zulässig. Der Anbieter bestätigt, dass er die Beschränkungen dieses Absatzes versteht.

13. Definitionen

„Geltende Gesetze“ bezeichnet die Gesetze, Regeln, Vorschriften, Gerichtsbeschlüsse und sonstigen verbindlichen Anforderungen einer zuständigen Regierungsbehörde, die für eine Partei gelten oder für sie gelten.
„Geltende Datenschutzgesetze“ bezeichnet die geltenden Gesetze, die regeln, wie der Dienst personenbezogene Informationen, persönliche Daten, persönlich identifizierbare Informationen oder andere ähnliche Begriffe einer Person verarbeiten oder verwenden darf.
„Verantwortlicher“ hat die in den geltenden Datenschutzgesetzen angegebene(n) Bedeutung(en) für das Unternehmen, das den Zweck und den Umfang der Verarbeitung personenbezogener Daten bestimmt.
„Deckblatt“ bezeichnet ein von den Parteien unterzeichnetes oder elektronisch akzeptiertes Dokument, das diese DPA-Standardbedingungen enthält und den Anbieter, den Kunden sowie den Gegenstand und die Einzelheiten der Datenverarbeitung identifiziert.
„Personenbezogene Daten des Kunden“ sind personenbezogene Daten, die der Kunde im Rahmen des Dienstes hochlädt oder dem Anbieter bereitstellt und die dieser Datenverarbeitungsvereinbarung unterliegen.
„DPA“ bezeichnet diese DPA-Standardbedingungen, das Deckblatt zwischen Anbieter und Kunden sowie die Richtlinien und Dokumente, auf die im Deckblatt verwiesen wird oder die diesem beigefügt sind.
„EWR-Standardvertragsklauseln“ bezeichnet die Standardvertragsklauseln im Anhang des Durchführungsbeschlusses 2021/914 der Europäischen Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Europäischen Rates.
„Europäischer Wirtschaftsraum“ oder „EWR“ bezeichnet die Mitgliedstaaten der Europäischen Union, Norwegen, Island und Liechtenstein.
„DSGVO“ bezeichnet die Verordnung 2016/679 der Europäischen Union, wie sie in den jeweiligen EWR-Mitgliedsstaaten durch lokales Recht umgesetzt wird.
„Personenbezogene Daten“ haben die Bedeutung(en), die in den geltenden Datenschutzgesetzen für persönliche Informationen, personenbezogene Daten oder andere ähnliche Begriffe festgelegt werden.
„Verarbeitung“ oder „Verarbeiten“ hat/haben die in den geltenden Datenschutzgesetzen angegebene(n) Bedeutung(en) für jede Verwendung oder Durchführung von Computeroperationen mit personenbezogenen Daten, auch mit automatischen Methoden.
„Auftragsverarbeiter“ hat die in den geltenden Datenschutzgesetzen angegebene(n) Bedeutung(en) für das Unternehmen, das personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
„Bericht“ bezeichnet Prüfberichte, die von einem anderen Unternehmen gemäß den in der Sicherheitsrichtlinie festgelegten Standards im Auftrag des Anbieters erstellt werden.
„Eingeschränkte Übermittlung“ bedeutet (a) sofern die DSGVO gilt, eine Übermittlung personenbezogener Daten aus dem EWR in ein Land außerhalb des EWR, das keiner Angemessenheitsfeststellung der Europäischen Kommission unterliegt; und (b) sofern die UK-DSGVO gilt, eine Übermittlung personenbezogener Daten aus dem Vereinigten Königreich in ein anderes Land, das nicht den gemäß Abschnitt 17A des britischen Datenschutzgesetzes 2018 erlassenen Angemessenheitsbestimmungen unterliegt.
„Sicherheitsvorfall“ bezeichnet eine Verletzung des Schutzes personenbezogener Daten gemäß der Definition in Artikel 4 der DSGVO.
„Dienstleistung“ bezeichnet das in der Vereinbarung beschriebene Produkt und/oder die beschriebenen Dienstleistungen.
„Daten besonderer Kategorien“ haben die in Artikel 9 der DSGVO angegebene Bedeutung.
„Unterauftragsverarbeiter“ hat die in den geltenden Datenschutzgesetzen angegebene(n) Bedeutung(en) für ein Unternehmen, das mit Genehmigung und Zustimmung des Verantwortlichen den Auftragsverarbeiter bei der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen unterstützt.
„UK GDPR“ bezeichnet die Verordnung 2016/679 der Europäischen Union, wie sie im Vereinigten Königreich durch Abschnitt 3 des European Union (Withdrawal) Act des Vereinigten Königreichs von 2018 umgesetzt wird.
„UK-Nachtrag“ bezeichnet den Nachtrag zum internationalen Datentransfer zu den Standardvertragsklauseln des EWR, der vom Information Commissioner für Parteien herausgegeben wird, die eingeschränkte Transfers gemäß S119A(1) Data Protection Act 2018 vornehmen.

Guthaben

Dieses Dokument ist eine Ableitung von Gemeinsame Standardbedingungen für das DPA-Papier (Version 1.0) und ist unter CC BY 4.0 lizenziert.