Stellar Cyber ​​Data Protection Addendum

Diese Datenschutzvereinbarung (einschließlich aller Anhänge) ist Bestandteil der Vereinbarung zwischen Stellar Cyber ​​Inc. („Stellar Cyber“) und dem Kunden (die „Vereinbarung“), bestehend aus der Endbenutzervereinbarung und der jeweiligen Bestellung. Die Parteien vereinbaren, dass diese Datenschutzvereinbarung ihre Verpflichtungen hinsichtlich der Verarbeitung und Sicherheit der Kundendaten im Zusammenhang mit der Nutzung der Liefergegenstände durch den Kunden festlegt.

1. ÜBERBLICK

Diese Datenverarbeitungsvereinbarung (DPA) gilt ausschließlich für die Verarbeitung von Kundendaten in Umgebungen, die von Stellar Cyber ​​(einschließlich Unterauftragnehmern von Stellar Cyber) kontrolliert werden. Dies umfasst Kundendaten, die im Rahmen der Leistungserbringung an Stellar Cyber ​​übermittelt werden, jedoch keine Daten, die sich noch in den Räumlichkeiten des Kunden oder in von diesem ausgewählten Betriebsumgebungen Dritter befinden. Diese DPA tritt mit dem Wirksamkeitsdatum des Vertrags in Kraft und ersetzt alle zuvor geltenden Bestimmungen zur Verarbeitung und Sicherheit von Kundendaten. Großgeschriebene Begriffe, die in dieser DPA verwendet, aber nicht definiert werden, haben die im Vertrag festgelegte Bedeutung.

2. DEFINITIONEN

2.1. „Anwendbares Datenschutzrecht“ bezeichnet , soweit es für die Verarbeitung von Kundendaten (einschließlich darin enthaltener personenbezogener Daten) gilt, alle nationalen, föderalen, EU-, einzelstaatlichen, provinziellen oder sonstigen Datenschutzgesetze oder -vorschriften.

2.2. „Kundendaten“ bezeichnet im Sinne dieser DPA und ungeachtet einer etwaigen Definition von „Kundendaten“ in der Vereinbarung Daten, die von Client-Endpunkten erfasst oder auf andere Weise vom Client oder in dessen Auftrag an Stellar Cyber ​​im Rahmen der Nutzung der Liefergegenstände durch den Client bereitgestellt werden, mit Ausnahme von Systemdaten.

2.3. „Kundendaten“ bezeichnet die in den Kundendaten enthaltenen personenbezogenen Daten, einschließlich aller besonderen Kategorien personenbezogener Daten oder sensibler Daten, die gemäß den geltenden Datenschutzgesetzen definiert sind.

2.4. „EU-DSGVO“ bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG.

2.5. „Sicherheitsverletzung“ bezeichnet eine Verletzung der Sicherheit von Stellar Cyber, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf Kundendaten führt.

2.6. „Unterauftragnehmer“ bezeichnet einen Dritten, der gemäß dieser Auftragsverarbeitungsvereinbarung als weiterer Auftragsverarbeiter autorisiert ist, Kundendaten zu verarbeiten, um die Leistungen zu erbringen.

2.7 „Systemdaten“ sind technische, betriebliche, diagnostische, Nutzungs-, Telemetrie-, Leistungs-, Konfigurations-, Bedrohungsanalyse- und ähnliche Daten, die durch den Betrieb, die Leistung, die Sicherheit oder die Nutzung der Liefergegenstände erzeugt werden oder damit in Zusammenhang stehen, jedoch mit Ausnahme personenbezogener Daten des Kunden.

2.8. Die Begriffe „personenbezogene Daten“, „betroffene Person“, „Verantwortlicher“ und „Auftragsverarbeiter“ haben in dieser Datenverarbeitungsvereinbarung die Bedeutung, die ihnen durch das anwendbare Datenschutzrecht oder, falls es keine solche Bedeutung oder kein solches Gesetz gibt, durch die EU-Datenschutz-Grundverordnung (DSGVO) zukommt.

3. RECHTSKONFORMITÄT UND RECHTSSPEZIFISCHE BESTIMMUNGEN

3.1. Rollen der Parteien. Stellar Cyber ​​ist Auftragsverarbeiter und der Kunde ist je nach Sachlage Verantwortlicher oder Auftragsverarbeiter der Kundendaten.

3.2. Einhaltung der Gesetze. Jede Partei verpflichtet sich, ihre Verpflichtungen im Zusammenhang mit der Verarbeitung von Kundendaten gemäß den geltenden Datenschutzgesetzen einzuhalten.

3.3. Länderspezifische Bestimmungen. Soweit die Verarbeitung von Kundendaten einem anwendbaren Datenschutzrecht unterliegt, das in Anhang 3 (Länderspezifische Datenschutzgesetze) beschrieben ist, gelten auch die entsprechenden Bestimmungen in Anhang 3. Im Falle eines Widerspruchs zwischen den allgemeinen Bestimmungen dieser Vereinbarung zur Auftragsverarbeitung und Anhang 3 haben die Bestimmungen in Anhang 3 Vorrang.

4. Verarbeitung von Kundendaten

4.1. Zusammenfassung der Verarbeitung. Gegenstand und Einzelheiten der Verarbeitung von Kundendaten sind in Anhang 1 (Einzelheiten der Verarbeitung von Kundendaten) beschrieben.

4.2. Verpflichtung von Stellar Cyber. Stellar Cyber ​​verpflichtet sich: (a) Kundendaten ausschließlich zur Erbringung der Leistungen gemäß diesem Vertrag (einschließlich der Bestimmungen dieser Datenverarbeitungsvereinbarung und der in Anhang 1 dieser Datenverarbeitungsvereinbarung beschriebenen Bestimmungen) und geltendem Recht zu verarbeiten (der „zulässige Zweck“); und (b) den Kunden unverzüglich zu benachrichtigen, wenn Stellar Cyber ​​der Ansicht ist, dass geltendes Datenschutzrecht die Einhaltung des zulässigen Zwecks durch Stellar Cyber ​​untersagt oder Stellar Cyber ​​aus anderen Gründen nicht in der Lage ist, den zulässigen Zweck zu erfüllen.

4.3. Anweisungen und Pflichten des Kunden. Der Kunde erteilt Stellar Cyber ​​hiermit: (a) den Auftrag, die Kundendaten gemäß dem zulässigen Zweck zu verarbeiten; (b) die Zusicherung, dass er jederzeit ordnungsgemäß und wirksam befugt ist und bleibt, die hierin enthaltenen Anweisungen im Namen jedes relevanten Verantwortlichen für die Kundendaten zu erteilen; und (c) die Zusicherung, dass der jeweilige Verantwortliche für die Kundendaten alle nach geltendem Datenschutzrecht erforderlichen Hinweise gegeben und alle erforderlichen Einwilligungen eingeholt hat, um Stellar Cyber ​​die Kundendaten im Rahmen dieser Vereinbarung zur Verfügung zu stellen.

5. SICHERHEIT

5.1. Sicherheitsmaßnahmen. Stellar Cyber ​​implementiert und pflegt die in Anhang 2 (Sicherheitsmaßnahmen) aufgeführten technischen und organisatorischen Maßnahmen (die „Sicherheitsmaßnahmen“). Stellar Cyber ​​kann die Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren, sofern diese Aktualisierungen nicht zu einer Verringerung der Sicherheit der Liefergegenstände oder der Verpflichtungen von Stellar Cyber ​​aus diesem Vertrag führen.

5.2. Sicherheitsverantwortung des Kunden. Unbeschadet der Verpflichtungen von Stellar Cyber ​​gemäß Abschnitt 5.1 (Sicherheitsmaßnahmen) und anderen Bestimmungen dieser Vereinbarung ist der Kunde für die Nutzung der Liefergegenstände verantwortlich, insbesondere für: (a) die Nutzung der Liefergegenstände unter Gewährleistung eines dem Risiko für die Kundendaten angemessenen Sicherheitsniveaus; (b) die Sicherung der Anmeldeinformationen, Systeme und Geräte, die der Kunde für den Zugriff auf die Liefergegenstände verwendet; und (c) die ordnungsgemäße Sicherung seiner Kundendaten.

5.3. Sicherheitsbewertung des Kunden. Der Kunde stimmt zu, dass die von Stellar Cyber ​​implementierten und aufrechterhaltenen Leistungen und Sicherheitsmaßnahmen ein dem Risiko für die Kundendaten angemessenes Sicherheitsniveau gewährleisten.

5.4. Vertraulichkeit. Stellar Cyber ​​stellt sicher, dass die mit der Verarbeitung von Kundendaten betrauten Mitarbeiter (a) diese Daten ausschließlich gemäß den Anweisungen des Kunden oder wie in dieser Datenverarbeitungsvereinbarung beschrieben verarbeiten und (b) zur Wahrung der Vertraulichkeit und Sicherheit dieser Daten auch nach Beendigung ihres Auftrags verpflichtet sind. Stellar Cyber ​​bietet seinen Mitarbeitern regelmäßig verpflichtende Schulungen und Sensibilisierungsmaßnahmen zum Thema Datenschutz und Datensicherheit gemäß geltendem Datenschutzrecht und Branchenstandards an.

5.5. Sicherheitslücken.

5.5.1. Benachrichtigung. Stellar Cyber ​​benachrichtigt den Kunden unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung einer Sicherheitsverletzung, und ergreift unverzüglich angemessene Maßnahmen, um den Schaden zu minimieren und die Kundendaten zu sichern.

5.5.2. Einzelheiten der Benachrichtigung. Die Benachrichtigung von Stellar Cyber ​​über eine Sicherheitsverletzung enthält folgende Angaben: (a) Art der Sicherheitsverletzung einschließlich der betroffenen Kundenressourcen; (b) Maßnahmen, die Stellar Cyber ​​ergriffen hat oder plant zu ergreifen, um die Sicherheitsverletzung zu beheben und das potenzielle Risiko zu minimieren; (c) gegebenenfalls empfohlene Maßnahmen von Stellar Cyber ​​an den Kunden zur Behebung der Sicherheitsverletzung; und (d) die Kontaktdaten für weitere Informationen. Sollten nicht alle Informationen gleichzeitig verfügbar sein, enthält die erste Benachrichtigung von Stellar Cyber ​​die zu diesem Zeitpunkt verfügbaren Informationen. Weitere Informationen werden unverzüglich nachgereicht, sobald sie verfügbar sind.

5.5.3. Kein Schuldeingeständnis oder Haftungsübernahme. Die Benachrichtigung von Stellar Cyber ​​über eine Sicherheitsverletzung oder deren Reaktion gemäß diesem Abschnitt gilt nicht als Schuldeingeständnis oder Haftungsübernahme seitens Stellar Cyber ​​in Bezug auf die Sicherheitsverletzung.

6. UNTERVERARBEITUNG

6.1. Spezielle Einwilligung. Der Kunde ermächtigt Stellar Cyber ​​ausdrücklich, die in Abschnitt 6.2 (Details zu den Unterauftragnehmern) aufgeführten Unternehmen zum Zeitpunkt des Inkrafttretens dieser Datenverarbeitungsvereinbarung als Unterauftragnehmer einzusetzen. Darüber hinaus und unbeschadet der Bestimmungen in Abschnitt 6.3 (Einsatz neuer Unterauftragnehmer) ermächtigt der Kunde generell den Einsatz weiterer Dritter (jeweils ein „neuer Unterauftragnehmer“) als Unterauftragnehmer gemäß Abschnitt 6.3.

6.2. Details zu Unterauftragnehmern. Informationen über Unterauftragnehmer, einschließlich ihrer Funktionen und Standorte, sind in Anhang 6.3 (der „Unterauftragnehmerliste“) aufgeführt, deren aktuelle Version unter https://stellarcyber.ai/dpa/subprocessors verwaltet wird (und von Stellar Cyber ​​gemäß dieser DPA gegebenenfalls aktualisiert wird).

6.3. Beauftragung neuer Unterauftragnehmer. Wird während der Laufzeit dieser Auftragsverarbeitungsvereinbarung ein neuer Unterauftragnehmer beauftragt, benachrichtigt Stellar Cyber ​​den Kunden mindestens dreißig (30) Tage im Voraus schriftlich über die Beauftragung des neuen Unterauftragnehmers. Die Benachrichtigung muss Einzelheiten zur vom neuen Unterauftragnehmer durchzuführenden Datenverarbeitung enthalten. Stellar Cyber ​​kann diese Benachrichtigung durch Aktualisierung der Unterauftragnehmerliste und Bereitstellung eines Benachrichtigungsmechanismus, über den der Kunde solche Aktualisierungen abonnieren kann, vornehmen. In diesem Fall beginnt die Frist von dreißig (30) Tagen mit dem Datum der Veröffentlichung der Aktualisierung und der Bereitstellung der Benachrichtigung. Erhebt der Kunde innerhalb von dreißig (30) Tagen nach Erhalt dieser Benachrichtigung schriftlich Einwände gegen die geplante Beauftragung und begründet diese Einwände nachvollziehbar und begründet sie mit der mangelnden Fähigkeit des neuen Unterauftragnehmers, die Kundendaten angemessen zu schützen, so gilt Folgendes: (a) Stellar Cyber ​​wird in gutem Glauben mit dem Kunden zusammenarbeiten, um die Einwände des Kunden bezüglich des neuen Unterauftragnehmers auszuräumen; b) Falls die Anliegen des Kunden nicht innerhalb von dreißig (30) Tagen nach Eingang der Mitteilung des Kunden bei Stellar Cyber ​​ausgeräumt werden können, kann der Kunde ungeachtet der Bestimmungen dieser Vereinbarung durch schriftliche Mitteilung an Stellar Cyber ​​die Bestellung(en) nur hinsichtlich derjenigen Aspekte kündigen, die von Stellar Cyber ​​nicht ohne den Einsatz des neuen Unterauftragnehmers erbracht werden können.

6.4. Sorgfaltspflichten gegenüber Unterauftragnehmern. Stellar Cyber ​​verpflichtet sich hinsichtlich jedes Unterauftragnehmers: (a) vor der ersten Verarbeitung von Kundendaten durch den Unterauftragnehmer eine angemessene Sorgfaltsprüfung durchzuführen, um sicherzustellen, dass der Unterauftragnehmer die ihm gemäß diesem Vertrag (einschließlich dieser Auftragsverarbeitungsvereinbarung) übertragenen Verpflichtungen erfüllen kann; (b) den Unterauftragnehmer regelmäßig neu zu bewerten, um sicherzustellen, dass er weiterhin in der Lage ist, die ihm gemäß diesem Vertrag (einschließlich dieser Auftragsverarbeitungsvereinbarung) übertragenen Verpflichtungen zu erfüllen; (c) sicherzustellen, dass die Verarbeitung von Kundendaten durch den Unterauftragnehmer durch einen schriftlichen Vertrag geregelt wird, der Bestimmungen enthält, die den Schutz von Kundendaten mindestens gewährleisten und die den Unterauftragnehmer gemäß dieser Auftragsverarbeitungsvereinbarung geltenden Datenschutzverpflichtungen auferlegen; und (d) für alle an den Unterauftragnehmer übertragenen Verpflichtungen sowie für alle Handlungen und Unterlassungen des Unterauftragnehmers uneingeschränkt zu haften.

7. ZUSAMMENARBEIT

7.1. Rechte der betroffenen Personen. Unter Berücksichtigung der Art der Verarbeitung wird Stellar Cyber ​​den Kunden durch die Umsetzung geeigneter technischer und organisatorischer Maßnahmen unterstützen, soweit dies möglich ist, um die Verpflichtungen des Kunden zur Beantwortung von Anfragen zur Ausübung der Rechte von betroffenen Personen gemäß geltendem Datenschutzrecht zu erfüllen.

7.2. Anfragen von Einzelpersonen. Stellar Cyber ​​verpflichtet sich: (a) den Kunden unverzüglich zu benachrichtigen, wenn Stellar Cyber ​​eine Anfrage einer Einzelperson gemäß geltendem Datenschutzrecht in Bezug auf Kundendaten erhält, sofern Stellar Cyber ​​die Anfrage als den Kunden betreffend erkennt; und (b) sicherzustellen, dass Stellar Cyber ​​auf diese Anfrage nur auf dokumentierte Anweisung des Kunden oder soweit dies nach geltendem Recht erforderlich ist, antwortet. In diesem Fall informiert Stellar Cyber ​​den Kunden, soweit dies nach geltendem Recht zulässig ist, über diese rechtliche Verpflichtung, bevor Stellar Cyber ​​auf die Anfrage antwortet.

7.3. Folgenabschätzungen und Konsultationen. Soweit Stellar Cyber ​​nach geltendem Datenschutzrecht dazu verpflichtet ist, wird Stellar Cyber ​​(unter Berücksichtigung der Art der Verarbeitung und der Stellar Cyber ​​zur Verfügung stehenden Informationen) dem Kunden angemessene Unterstützung bei Folgenabschätzungen oder Konsultationen mit Datenschutzbehörden leisten, indem Informationen gemäß Abschnitt 7.4 (Audits und Aufzeichnungen) bereitgestellt werden.

7.4. Prüfungen und Aufzeichnungen. Stellar Cyber ​​stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung des geltenden Datenschutzrechts und dieser Vereinbarung zur Auftragsverarbeitung (AVV) erforderlich sind. Die Vorgehensweise ist wie folgt: (a) Stellar Cyber ​​übermittelt dem Kunden die aktuellsten Zertifizierungen und/oder zusammenfassenden Prüfberichte, die Stellar Cyber ​​zur regelmäßigen Prüfung, Bewertung und Beurteilung der Wirksamkeit der Sicherheitsmaßnahmen eingeholt hat. (b) Stellar Cyber ​​arbeitet in angemessenem Umfang mit dem Kunden zusammen und stellt ihm verfügbare zusätzliche Informationen zu den Sicherheitsmaßnahmen zur Verfügung, um ihm ein besseres Verständnis dieser Maßnahmen zu ermöglichen. (c) Benötigt der Kunde weitere Informationen zur Erfüllung seiner eigenen oder der Prüfungspflichten anderer Verantwortlicher oder auf Anfrage einer zuständigen Aufsichtsbehörde, informiert er Stellar Cyber. Die Parteien erörtern dann in gutem Glauben den Inhalt und die Übermittlung der benötigten Informationen.

8. Standorte der Datenverarbeitung

8.1. Standort der Datenspeicherung. Stellar Cyber ​​speichert ruhende Kundendaten ausschließlich in den von Stellar Cyber ​​angebotenen und vom Kunden in einer Bestellung ausgewählten Regionen oder wie vom Kunden anderweitig über die Liefergegenstände konfiguriert (der „Speicherort“).

8.2. Ort der Datenverarbeitung. Unter Berücksichtigung der in dieser Datenverarbeitungsvereinbarung festgelegten Sicherheitsvorkehrungen können Kundendaten in den Vereinigten Staaten oder in jedem anderen Land verarbeitet werden, in dem Stellar Cyber ​​oder seine Unterauftragnehmer tätig sind.

9. Datenlöschung

9.1. Löschung nach Beendigung. Stellar Cyber ​​löscht unverzüglich, spätestens jedoch innerhalb von neunzig (90) Tagen nach Beendigung der Erbringung von Leistungen im Zusammenhang mit der Verarbeitung von Kundendaten (der „Beendigungstermin“), alle Kopien der Kundendaten, es sei denn, geltendes Recht schreibt eine Aufbewahrung vor.

9.2. Löschbescheinigung. Stellar Cyber ​​stellt dem Kunden innerhalb von zehn (10) Tagen nach Eingang der schriftlichen Anfrage des Kunden eine schriftliche Bestätigung über die Einhaltung dieses Abschnitts aus.

10. ALLGEMEINE BEDINGUNGEN

10.1. Auslegung. Im Hinblick auf den Gegenstand dieser DPA haben im Falle von Widersprüchen zwischen den Bestimmungen dieser DPA und anderen Vereinbarungen zwischen den Parteien, einschließlich dieser Vereinbarung und (sofern nicht ausdrücklich schriftlich und im Namen der Parteien unterzeichnet) Vereinbarungen, die nach dem Datum dieser DPA geschlossen wurden oder angeblich geschlossen wurden, die Bestimmungen dieser DPA Vorrang.

10.2. Haftung. Jegliche Haftung im Zusammenhang mit der Nichteinhaltung dieser Datenschutzvereinbarung unterliegt den in der Vereinbarung festgelegten Haftungsbeschränkungen.

10.3. Unwirksame oder undurchsetzbare Bestimmungen. Sollte eine Bestimmung dieser Vereinbarung über die Datenverarbeitung (DPA) unwirksam oder undurchsetzbar sein, so bleibt der Rest dieser DPA wirksam und in Kraft. Die unwirksame oder undurchsetzbare Bestimmung ist entweder (a) so abzuändern, dass ihre Wirksamkeit und Durchsetzbarkeit unter Wahrung der Absichten der Parteien so weit wie möglich gewährleistet sind, oder, falls dies nicht möglich ist, (b) so auszulegen, als ob der unwirksame oder undurchsetzbare Teil nie Bestandteil dieser Vereinbarung gewesen wäre.

ZU URKUND DESSEN haben die Parteien dieses Stellar Cyber ​​Data Protection Addendum durch ihre ordnungsgemäß bevollmächtigten Vertreter zum Zeitpunkt des Inkrafttretens der Vereinbarung unterzeichnen lassen.

ANHANG 1:

DETAILS ZUR VERARBEITUNG VON KUNDENDATEN

Gegenstand und Dauer der Bearbeitung

Stellar Cyber ​​verarbeitet Kundendaten, einschließlich darin enthaltener personenbezogener Daten, ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen, einschließlich etwaiger vom Kunden für bestimmte Leistungen erworbener Aufbewahrungsfristen. Die Verarbeitung erfolgt bis zum Ablauf oder der Kündigung des Vertrags. Anschließend löscht Stellar Cyber ​​die Kundendaten gemäß Abschnitt 9 (Datenlöschung).

Art und Zweck der Verarbeitung

Stellar Cyber ​​verarbeitet Kundendaten nur für den zulässigen Zweck.

Datenkategorien

Die genaue Art der von Stellar Cyber ​​verarbeiteten Kundendaten hängt von den vom Kunden erworbenen Leistungen ab, bezieht sich aber im Allgemeinen auf die folgenden Datenkategorien:

• Sämtliche Protokolldaten und unstrukturierte Daten aus Anwendungen, die über APIs an Stellar Cyber ​​vom Kunden zur Erfüllung der Liefergegenstände übermittelt werden.
• Endpunkt- und Endpunktprotokolldaten (z. B. Gerätename, Betriebssysteminformationen, Benutzername, IP-Adresse, Prozessname, Anwendungsname, Protokolle und Ereignisse).
• Netzwerk- und Netzwerknutzungsdaten (z. B. 5-Tupel in IP-Paketen, einschließlich IP-Adressen, URLs, Zertifikatsinformationen, Benutzername, E-Mail-Adresse, Paketgröße).
• Dateidaten (z. B. Dateiname, Dateihash, Dateityp, Dateigröße)
• Benutzerdaten (z. B. Benutzername, E-Mail-Adresse)

Besondere Kategorien von Daten

Die Leistungserbringung ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten vorgesehen, und die Verarbeitung solcher Daten ist für die Erbringung der Leistungserbringung an den Auftraggeber nicht erforderlich. Ungeachtet dessen kann Stellar Cyber ​​besondere Kategorien personenbezogener Daten im Auftrag des Auftraggebers verarbeiten, wenn dieser die an Stellar Cyber ​​übermittelten Daten kontrolliert oder im Rahmen bestimmter Dienstleistungsaufträge (z. B. forensische Untersuchungen, die eine Analyse der zugrunde liegenden Daten erfordern). Art und Umfang der übermittelten besonderen Kategorien sensibler personenbezogener Daten sind unter Umständen erst nach der Verarbeitung bekannt. Zu diesen Daten können jedoch personenbezogene Daten gehören, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, die Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten, Gesundheitsdaten oder Daten über das Sexualleben oder die sexuelle Orientierung einer natürlichen Person hervorgehen.

Datensubjekte

Zu den betroffenen Personen gehören die Personen, über die Stellar Cyber ​​im Rahmen der Liefergegenstände vom Kunden (oder auf dessen Anweisung) Daten erhält, und können die Mitarbeiter, Vertreter, Berater, Auftragnehmer und Consultants des Kunden umfassen; die Ansprechpartner, Kunden, Interessenten und Geschäftspartner der Vertriebspartner und Lieferanten des Kunden; sowie alle anderen autorisierten Benutzer der Endpunkte des Kunden, auf denen die Liefergegenstände installiert sind, oder der Liefergegenstände selbst.

Stellar Cyber ​​unterhält ein Informationssicherheitsprogramm zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Kundendaten (das „Stellar Cyber ​​Informationssicherheitsprogramm“). Dieses Programm ist unternehmensweit implementiert und gewährleistet die Einhaltung geltender Datenschutzgesetze durch Stellar Cyber. Ab dem Datum des Inkrafttretens implementiert und pflegt Stellar Cyber ​​die in Anhang 2 beschriebenen Sicherheitsmaßnahmen. Diese umfassen unter anderem die folgenden Maßnahmen zur Gewährleistung der fortlaufenden Vertraulichkeit, Integrität und Verfügbarkeit von Daten sowie zur Verhinderung von unbefugtem Zugriff, unbefugter Nutzung, unbefugter Änderung oder unbefugter Offenlegung von Daten:

Die Bestimmungen in jedem Modul dieses Anhangs 3 gelten nur, wenn das entsprechende Recht auf die Verarbeitung von Kundendaten Anwendung findet.

MODUL 1: EUROPÄISCHES DATENSCHUTZRECHT

1. ZUSÄTZLICHE DEFINITIONEN

1.1. „Angemessenes Land“ bedeutet : a) für Daten, die gemäß der EU-DSGVO verarbeitet werden: jedes Land innerhalb des EWR oder ein Land oder Gebiet, für das die Europäische Kommission einen Angemessenheitsbeschluss gemäß Artikel 45 Absatz 1 DSGVO erlassen hat; b) für Daten, die gemäß der britischen DSGVO verarbeitet werden: das Vereinigte Königreich oder ein Land oder Gebiet, für das Angemessenheitsvorschriften gemäß Artikel 45 Absatz 1 der britischen DSGVO und Abschnitt 17A des Data Protection Act 2018 gelten; und/oder c) für Daten, die gemäß dem schweizerischen Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) verarbeitet werden: die Schweiz oder ein Land oder Gebiet, das i) in der Liste der Staaten aufgeführt ist, deren Gesetzgebung ein angemessenes Schutzniveau gewährleistet, die vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten veröffentlicht wird, oder ii) für das der Bundesrat einen Angemessenheitsbeschluss gemäß dem schweizerischen EDÖB erlassen hat.

1.2. „Alternativer Übermittlungsmechanismus“ bezeichnet einen anderen Mechanismus als die Standardvertragsklauseln, der die rechtmäßige Übermittlung personenbezogener Daten an ein Drittland im Einklang mit dem europäischen Datenschutzrecht ermöglicht (beispielsweise dem EU-US-Datenschutzrahmen, einschließlich der britischen Erweiterung des EU-US-Datenschutzrahmens und des Schweizer-US-Datenschutzrahmens, oder einem anderen Rahmenwerk, das als geeignet anerkannt ist, sicherzustellen, dass die teilnehmenden Stellen ein angemessenes Schutzniveau gewährleisten).

1.3. „Europäisches Datenschutzrecht“ bezeichnet je nach Anwendbarkeit: (a) die EU-Datenschutz-Grundverordnung (DSGVO); (b) die britische Datenschutz-Grundverordnung (DSGVO); oder (c) das schweizerische Datenschutzgesetz (EDPA).

1.4. „Europäisches Recht“ bezeichnet je nach Anwendbarkeit: (a) das Recht der EU oder eines EU-Mitgliedstaates (wenn die EU-DSGVO auf die Verarbeitung von Kundendaten Anwendung findet); (b) das Recht des Vereinigten Königreichs oder eines Teils des Vereinigten Königreichs (wenn die britische DSGVO auf die Verarbeitung von Kundendaten Anwendung findet); oder (c) das Recht der Schweiz (wenn das Schweizer Datenschutzgesetz auf die Verarbeitung von Kundendaten Anwendung findet).

1.5. „Beschränkte Übermittlung“ bedeutet die Übermittlung oder Verarbeitung personenbezogener Daten des Kunden in ein Land, das kein angemessenes Datenschutzniveau besitzt.

1.6. „SCCs“ bezeichnet je nach Anwendbarkeit die SCCs (Controller-to-Processor) bzw. die SCCs (Processor-to-Processor).

1.7. „SCCs (Controller-to-Processor)“ bezeichnet die EU-Standardvertragsklauseln, die gemäß Modul Zwei (Controller-to-Processor) gelten, wie in Anhang 4 dieser Datenverarbeitungsvereinbarung dargelegt.

1.8. „SCCs (Auftragsverarbeiter-zu-Auftragsverarbeiter)“ bezeichnet die EU-Standardvertragsklauseln, die gemäß Modul Drei (Auftragsverarbeiter-zu-Auftragsverarbeiter) gelten, wie in Anhang 4 dieser Datenverarbeitungsvereinbarung dargelegt.

1.9. „Schweizer EDPA“ bezeichnet das geänderte Bundesdatenschutzgesetz vom 25. September 2020 (Schweiz) in seiner geänderten oder ersetzten Fassung.

1.10. „UK GDPR“ bezeichnet die EU-DSGVO in ihrer geänderten und in britisches Recht übernommenen Fassung gemäß dem UK European Union (Withdrawal) Act 2018 sowie die auf Grundlage desselben erlassenen untergeordneten Rechtsvorschriften.

1.11. „UK IDTA“ bezeichnet den vom britischen Informationsbeauftragten herausgegebenen internationalen Datentransferzusatz zu den Standardvertragsklauseln der EU-Kommission, wie er in Anhang 5 dieser Datenverarbeitungsvereinbarung aufgeführt ist.

2. Mitteilung über die Einhaltung der Vorschriften

Unbeschadet der Verpflichtungen von Stellar Cyber ​​gemäß Abschnitt 4.3 (Auftragsermächtigungen und Pflichten des Auftraggebers) der Datenschutzvereinbarung oder sonstiger Rechte und Pflichten beider Parteien aus diesem Vertrag wird Stellar Cyber ​​den Auftraggeber unverzüglich benachrichtigen, wenn – und soweit eine solche Benachrichtigung nicht durch europäisches Recht untersagt ist – Stellar Cyber ​​der Ansicht ist, dass: (a) europäisches Recht Stellar Cyber ​​die Befolgung einer Anweisung untersagt; (b) eine Anweisung nicht mit europäischem Datenschutzrecht vereinbar ist; oder (c) Stellar Cyber ​​aus anderen Gründen nicht in der Lage ist, eine Anweisung zu befolgen. Ist der Auftraggeber ein Auftragsverarbeiter, leitet er jede von Stellar Cyber ​​gemäß diesem Abschnitt übermittelte Benachrichtigung unverzüglich an den jeweiligen Verantwortlichen weiter.

3. DATENÜBERTRAGUNG

3.1. Beschränkte Übermittlungen; Primärer Mechanismus. Sofern die Verarbeitung personenbezogener Daten des Kunden eine beschränkte Übermittlung darstellt, stützt sich Stellar Cyber ​​zunächst auf einen alternativen Übermittlungsmechanismus, um eine rechtmäßige Grundlage für diese beschränkte Übermittlung zu schaffen, vorausgesetzt, ein solcher Mechanismus wurde von Stellar Cyber ​​eingeführt und ist für diese beschränkte Übermittlung verfügbar und gültig. Stellar Cyber ​​stellt dem Kunden auf Anfrage Informationen über den verwendeten alternativen Übermittlungsmechanismus zur Verfügung.

3.2. Standardvertragsklauseln als Ausweichklausel. Sofern kein alternativer Übertragungsmechanismus für eine eingeschränkte Datenübermittlung verfügbar, angenommen oder gültig ist – insbesondere wenn ein von Stellar Cyber ​​genutzter alternativer Übertragungsmechanismus ungültig wird, ausgesetzt wird oder anderweitig keine Rechtsgrundlage mehr für die eingeschränkte Datenübermittlung bietet –, gelten die Standardvertragsklauseln (je nachdem, ob der Kunde Verantwortlicher und/oder Auftragsverarbeiter ist) für diese eingeschränkte Datenübermittlung zwischen Stellar Cyber ​​und dem Kunden. Sofern die britische DSGVO auf eine eingeschränkte Datenübermittlung Anwendung findet, werden die Standardvertragsklauseln durch das in Anhang 5 aufgeführte britische Datenschutzgesetz (IDTA) ergänzt und geändert. Sofern das schweizerische Datenschutzgesetz (EDPA) auf eine eingeschränkte Datenübermittlung Anwendung findet, werden die Standardvertragsklauseln durch die am Ende von Anhang 4 aufgeführten schweizerischen Änderungen ergänzt.

3.3. Informationen über eingeschränkte Überweisungen. Stellar Cyber ​​stellt dem Kunden Informationen zur Verfügung, die für eine eingeschränkte Überweisung relevant sind, wie in Abschnitt 7.4 (Prüfungen und Aufzeichnungen) der DPA beschrieben.

3.4. SCC-Prüfung. Sofern die SCCs wie in Abschnitt 3.2 dieses Moduls 1 beschrieben Anwendung finden, gestattet Stellar Cyber ​​dem Kunden oder einem vom Kunden beauftragten unabhängigen Prüfer die Durchführung von Prüfungen gemäß den SCCs und stellt während einer Prüfung alle in den SCCs geforderten Informationen gemäß Abschnitt 7.4 (Prüfungen und Aufzeichnungen) der DPA zur Verfügung.

3.5. Keine Änderung der Standardvertragsklauseln. Nichts in dieser Vereinbarung (einschließlich dieses Anhangs 3) ist dazu bestimmt, Standardvertragsklauseln zu ändern oder ihnen zu widersprechen oder die Grundrechte und -freiheiten der betroffenen Personen nach europäischem Datenschutzrecht zu beeinträchtigen.

3.6. Vorrang der Standardvertragsklauseln. Soweit die Standardvertragsklauseln Anwendung finden und ein Widerspruch oder eine Unstimmigkeit zwischen den Standardvertragsklauseln und dem Rest der Vereinbarung, einschließlich dieses Anhangs, besteht, haben die Standardvertragsklauseln Vorrang.

MODUL 2: DATENSCHUTZGESETZE DER US-BUNDESSTAATEN

1. ZUSÄTZLICHE DEFINITIONEN

1.1. „CCPA“ bezeichnet den California Consumer Privacy Act von 2018 in seiner geänderten Fassung, einschließlich der Änderungen durch den California Privacy Rights Act von 2020, zusammen mit allen Durchführungsbestimmungen.

1.2. „CPA“ bezeichnet den Colorado Privacy Act, Colo. Rev. Stat. §§ 6-1-1301 ff., sowie alle dazugehörigen Durchführungsbestimmungen.

1.3. „CTDPA“ bezeichnet den Connecticut Data Privacy Act und alle dazugehörigen Durchführungsbestimmungen.

1.4. „UCPA“ bezeichnet den Utah Consumer Privacy Act, Utah Code Ann. §§ 13-61-101 ff., und alle dazugehörigen Durchführungsbestimmungen.

1.5. „VCDPA“ bezeichnet den Virginia Consumer Data Protection Act, Va. Code Ann. §§ 59.1-575 ff., sowie alle dazugehörigen Durchführungsbestimmungen.

1.6. „US-Datenschutzrecht“ bezeichnet , soweit anwendbar, den CCPA, den CPA, den CTDPA, den UCPA, den VCDPA sowie alle anderen Gesetze und Vorschriften in Bezug auf Datenschutz, die Verarbeitung personenbezogener Daten, Privatsphäre und/oder elektronische Kommunikation, die jeweils in den Vereinigten Staaten gelten.

2. VERBOTE

Unbeschadet der Verpflichtungen von Stellar Cyber ​​gemäß Abschnitt 4.3 (Anweisungen und Pflichten des Kunden) der Datenschutzvereinbarung (DPA) hinsichtlich der Verarbeitung von Kundendaten gemäß dem CCPA wird Stellar Cyber, sofern nicht nach US-amerikanischem Datenschutzrecht anders zulässig, Folgendes nicht tun: (a) Kundendaten verkaufen oder weitergeben; (b) Kundendaten für andere als die in der Vereinbarung und der DPA festgelegten Zwecke speichern, verwenden oder offenlegen; (c) Kundendaten für andere als die in der Vereinbarung und der DPA festgelegten Geschäftszwecke speichern, verwenden oder offenlegen, einschließlich der Betreuung eines anderen Unternehmens; (d) Kundendaten außerhalb der direkten Geschäftsbeziehung zwischen Stellar Cyber ​​und dem Kunden speichern, verwenden oder offenlegen; oder (e) Kundendaten mit anderen personenbezogenen Daten kombinieren oder aktualisieren, die Stellar Cyber ​​von oder im Auftrag eines Dritten erhält oder im Rahmen eigener Interaktionen mit dem Kunden erhebt. Stellar Cyber ​​bestätigt, die Einschränkungen in diesem Abschnitt 2 zu verstehen und einzuhalten.

3. Mitteilung über die Einhaltung der Vorschriften

Unbeschadet der Verpflichtungen von Stellar Cyber ​​gemäß Abschnitt 4.3 (Anweisungen und Pflichten des Kunden) der DPA oder sonstiger Rechte und Pflichten beider Parteien aus diesem Vertrag wird Stellar Cyber ​​den Kunden benachrichtigen, wenn Stellar Cyber ​​nach Ansicht von Stellar Cyber ​​nicht in der Lage ist, seinen Verpflichtungen nach US-amerikanischem Datenschutzrecht nachzukommen, es sei denn, eine solche Benachrichtigung ist nach geltendem Recht verboten.

4. Anonymisierte Daten

Falls Kundendaten anonymisierte Daten enthalten, wird Stellar Cyber ​​(a) angemessene Maßnahmen ergreifen, um sicherzustellen, dass die Informationen nicht mit einem Verbraucher in Verbindung gebracht werden können; (b) sich öffentlich verpflichten, anonymisierte Daten ausschließlich in anonymisierter Form zu verarbeiten und nicht zu versuchen, die Informationen zu reidentifizieren; und (c) alle Empfänger anonymisierter Daten vertraglich verpflichten, die vorstehenden Anforderungen und das US-amerikanische Datenschutzrecht einzuhalten.

5. KUNDENENTSCHÄDIGUNG

Stellar Cyber ​​räumt dem Kunden das Recht ein, nach angemessener Vorankündigung angemessene und geeignete Maßnahmen zu ergreifen, um jede unberechtigte Nutzung von Kundendaten zu unterbinden und zu beheben.

Die Parteien vereinbaren, dass die dem Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 beigefügten Standardvertragsklauseln (die „genehmigten EU-Standardvertragsklauseln“) durch diese Bezugnahme vollständig in diese Auftragsverarbeitungsvereinbarung aufgenommen werden, wobei Folgendes gilt: Modul 2 (Verantwortlicher an Auftragsverarbeiter) findet Anwendung, wenn der Auftraggeber Verantwortlicher für personenbezogene Daten des Auftraggebers ist, und Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), wenn der Auftraggeber Auftragsverarbeiter für personenbezogene Daten des Auftraggebers ist; die optionale Anknüpfungsklausel in Klausel 7 ist enthalten; in Klausel 9(a) ist Option 2 (allgemeine schriftliche Genehmigung) mit einer Mindestfrist von dreißig (30) Tagen zu wählen; die optionale Formulierung in Klausel 11(a) ist nicht enthalten; in Klausel 17 ist niederländisches Recht anwendbar; in Klausel 18(b) sind die Gerichte der Niederlande zuständig; und die Anhänge gelten als mit den in Anhang 4 enthaltenen Informationen vervollständigt. Der nachfolgende Text dient lediglich der Übersichtlichkeit für die Parteien. Im Falle eines Widerspruchs oder einer Unstimmigkeit zwischen dem nachstehenden Text und den gemäß diesem Absatz erstellten genehmigten EU-Standardvertragsklauseln haben die genehmigten EU-Standardvertragsklauseln Vorrang.

ABSCHNITT I.

Klausel 1

Zweck und Umfang

Der Zweck dieser Standardvertragsklauseln besteht darin, die Einhaltung der Anforderungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und darüber sicherzustellen den freien Datenverkehr (Datenschutz-Grundverordnung) für die Übermittlung personenbezogener Daten in ein Drittland.

Die Parteien: (i) die natürliche(n) oder juristische(n) Person(en), Behörde(n), Einrichtung(en) oder sonstige Stelle(n) („Stellung(en)“), die die personenbezogenen Daten übermitteln, wie in Anhang IA aufgeführt (jeweils ein „Datenexporteur“), und (ii) die Stelle(n) in einem Drittland, die die personenbezogenen Daten vom Datenexporteur direkt oder indirekt über eine andere Stelle, die ebenfalls Vertragspartei dieser Klauseln ist, wie in Anhang IA aufgeführt (jeweils ein „Datenimporteur“), haben diesen Standardvertragsklauseln („Klauseln“) zugestimmt.

Diese Klauseln gelten in Bezug auf die Übermittlung personenbezogener Daten gemäß Anhang IB

Der Anhang zu diesen Klauseln mit den darin genannten Anhängen bildet einen integralen Bestandteil dieser Klauseln.

Klausel 2

Wirkung und Unveränderlichkeit der Klauseln

Diese Klauseln legen angemessene Schutzmaßnahmen fest, einschließlich durchsetzbarer Rechte der betroffenen Personen und wirksamer Rechtsbehelfe, gemäß Artikel 46 Absatz 1 und Artikel 46 Absatz 2 Buchstabe c der Verordnung (EU) 2016/679. Im Hinblick auf Datenübermittlungen von Verantwortlichen an Auftragsverarbeiter und/oder von Auftragsverarbeitern an Auftragsverarbeiter gelten Standardvertragsklauseln gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679, sofern diese nicht geändert werden, außer zur Auswahl des/der entsprechenden Moduls/Module oder zur Ergänzung oder Aktualisierung von Informationen im Anhang. Dies hindert die Parteien nicht daran, die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfassenderen Vertrag aufzunehmen und/oder weitere Klauseln oder zusätzliche Schutzmaßnahmen hinzuzufügen, sofern diese diesen Klauseln weder direkt noch indirekt widersprechen oder die Grundrechte und Grundfreiheiten der betroffenen Personen beeinträchtigen.

Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Datenexporteur aufgrund der Verordnung (EU) 2016/679 unterliegt.

Klausel 3

Drittbegünstigte

Betroffene Personen können diese Klauseln als Drittbegünstigte gegenüber dem Datenexporteur und/oder Datenimporteur geltend machen und durchsetzen, mit folgenden Ausnahmen: (i) Klausel 1, Klausel 2, Klausel 3, Klausel 6, Klausel 7; (ii) Klausel 8 – Modul 1: Klausel 8.5(e) und Klausel 8.9(b); Modul 2: Klausel 8.1(b), 8.9(a), (c), (d) und (e); Modul 3: Klausel 8.1(a), (c) und (d) sowie Klausel 8.9(a), (c), (d), (e), (f) und (g); Modul 4: Klausel 8.1(b) und Klausel 8.3(b); (iii) Klausel 9 – Modul 2: Klausel 9(a), (c), (d) und (e); Modul 3: Klausel 9(a), (c), (d) und (e). (iv) Klausel 12 – Modul Eins: Klausel 12(a) und (d); Module Zwei und Drei: Klausel 12(a), (d) und (f); (v) Klausel 13; (vi) Klausel 15.1(c), (d) und (e); (vii) Klausel 16(e); (viii) Klausel 18 – Module Eins, Zwei und Drei: Klausel 18(a) und (b); Modul Vier: Klausel 18.

Absatz (a) berührt nicht die Rechte der betroffenen Personen gemäß der Verordnung (EU) 2016/679.

Klausel 4

Dolmetschen

Wenn in diesen Klauseln Begriffe verwendet werden, die in der Verordnung (EU) 2016/679 definiert sind, haben diese Begriffe die gleiche Bedeutung wie in dieser Verordnung.

Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 zu lesen und auszulegen.

Diese Klauseln dürfen nicht so ausgelegt werden, dass sie im Widerspruch zu den in der Verordnung (EU) 2016/679 vorgesehenen Rechten und Pflichten stehen.

Klausel 5

Hierarchie

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen verwandter Vereinbarungen zwischen den Parteien, die zum Zeitpunkt der Vereinbarung oder des Abschlusses dieser Klauseln bestehen, haben diese Klauseln Vorrang.

Klausel 6

Beschreibung der Übertragung(en)

Die Einzelheiten der Übermittlung(en) und insbesondere die Kategorien personenbezogener Daten, die übermittelt werden, und der/die Zweck(e), zu dem/denen sie übermittelt werden, sind in Anhang IB aufgeführt

Klausel 7 — Optional

Andockklausel

Ein Unternehmen, das keine Vertragspartei dieser Klauseln ist, kann diesen Klauseln mit Zustimmung der Parteien jederzeit entweder als Datenexporteur oder als Datenimporteur beitreten, indem es den Anhang ausfüllt und Anhang IA unterzeichnet

Sobald es den Anhang ausgefüllt und Anhang IA unterzeichnet hat, wird das beitretende Unternehmen Vertragspartei dieser Klauseln und hat die Rechte und Pflichten eines Datenexporteurs oder Datenimporteurs gemäß seiner Bezeichnung in Anhang IA

Das beitretende Unternehmen hat keine Rechte oder Pflichten aus diesen Klauseln aus der Zeit, bevor es Partei wurde.

ABSCHNITT II – VERPFLICHTUNGEN DER PARTEIEN

Klausel 8

Datenschutzvorkehrungen

Der Datenexporteur garantiert, dass er angemessene Anstrengungen unternommen hat, um festzustellen, dass der Datenimporteur in der Lage ist, durch die Umsetzung geeigneter technischer und organisatorischer Maßnahmen seinen Verpflichtungen gemäß diesen Klauseln nachzukommen.

MODUL EINS: Transfer von Controller zu Controller

8.1 Zweckbindung

Der Datenimporteur darf die personenbezogenen Daten nur für den/die in Anhang IB genannten Zweck(e) der Übermittlung verarbeiten. Eine Verarbeitung der personenbezogenen Daten für einen anderen Zweck ist nur zulässig, wenn: (i) die betroffene Person zuvor ihre Einwilligung erteilt hat; (ii) dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen im Rahmen eines bestimmten Verwaltungs-, Aufsichts- oder Gerichtsverfahrens erforderlich ist; oder (iii) dies zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich ist.

8.2 Transparenz

Um den betroffenen Personen die effektive Ausübung ihrer Rechte gemäß Ziffer 10 zu ermöglichen, informiert der Datenimporteur sie entweder direkt oder über den Datenexporteur über seine Identität und Kontaktdaten, die Kategorien der verarbeiteten personenbezogenen Daten, das Recht auf Erhalt einer Kopie dieser Ziffern sowie, falls er die personenbezogenen Daten weitergeben möchte, über den oder die Empfänger, den Zweck der Weitergabe und die Rechtsgrundlage gemäß Ziffer 8.7. Diese Verpflichtung gilt nicht, wenn die betroffene Person bereits über die Informationen verfügt oder deren Bereitstellung unmöglich ist oder einen unverhältnismäßigen Aufwand bedeuten würde. In diesem Fall stellt der Datenimporteur die Informationen nach Möglichkeit öffentlich zur Verfügung. Auf Anfrage stellen die Parteien der betroffenen Person unentgeltlich eine Kopie dieser Ziffern zur Verfügung, vorbehaltlich geeigneter Schwärzungen zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen. Diese Absätze lassen die Verpflichtungen des Datenexporteurs gemäß Artikel 13 und 14 der Verordnung (EU) 2016/679 unberührt.

8.3 Genauigkeit und Datenminimierung

Jede Partei stellt sicher, dass die personenbezogenen Daten richtig und, falls erforderlich, auf dem neuesten Stand sind und trifft alle angemessenen Maßnahmen, um unrichtige Daten unverzüglich zu löschen oder zu berichtigen. Sobald eine Partei feststellt, dass von ihr übermittelte oder empfangene personenbezogene Daten unrichtig oder veraltet sind, unterrichtet sie die andere Partei unverzüglich. Der Datenimporteur stellt sicher, dass die personenbezogenen Daten angemessen, relevant und auf das für den/die Verarbeitungszweck(e) notwendige Maß beschränkt sind.

8.4 Speicherbegrenzung

Der Datenimporteur darf die personenbezogenen Daten nicht länger aufbewahren, als es für den/die Zweck(e) ihrer Verarbeitung erforderlich ist, und muss geeignete technische und organisatorische Maßnahmen ergreifen, um die Einhaltung dieser Verpflichtung zu gewährleisten, einschließlich der Löschung oder Anonymisierung der Daten und aller Sicherungskopien am Ende des Aufbewahrungszeitraums.

8.5 Sicherheit der Verarbeitung

Der Datenimporteur und während der Übermittlung auch der Datenexporteur treffen geeignete technische und organisatorische Maßnahmen, um die Sicherheit der personenbezogenen Daten, einschließlich des Schutzes vor Datenschutzverletzungen, zu gewährleisten. Dabei sind der Stand der Technik, die Implementierungskosten sowie Art, Umfang, Kontext und Zweck der Verarbeitung und die damit verbundenen Risiken zu berücksichtigen. Die Parteien haben die in Anhang II aufgeführten Maßnahmen vereinbart, und der Datenimporteur führt regelmäßige Überprüfungen durch, um sicherzustellen, dass diese weiterhin ein angemessenes Sicherheitsniveau gewährleisten. Der Datenimporteur stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen der Vertraulichkeit unterliegen. Im Falle einer Datenschutzverletzung ergreift der Datenimporteur geeignete Maßnahmen, um diese zu beheben. Sofern die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, benachrichtigt er unverzüglich sowohl den Datenexporteur als auch die zuständige Aufsichtsbehörde gemäß Klausel 13 mit den in den Klauseln geforderten Informationen. Bei voraussichtlich hohem Risiko benachrichtigt er auch die betroffenen Personen, sofern keine Risikominderungsmaßnahmen getroffen wurden. Der Datenimporteur dokumentiert alle relevanten Fakten im Zusammenhang mit der Datenschutzverletzung.

8.6 Sensible Daten

Sofern es sich bei der Übermittlung um sensible Daten handelt, muss der Datenimporteur spezifische Beschränkungen und/oder zusätzliche Sicherheitsvorkehrungen treffen, die auf die besondere Art der Daten und die damit verbundenen Risiken abgestimmt sind.

8.7 Weiterversetzungen

Der Datenimporteur darf die personenbezogenen Daten nicht an Dritte außerhalb der Europäischen Union weitergeben, es sei denn, der Dritte ist gemäß dem entsprechenden Modul an diese Klauseln gebunden oder erklärt sich damit einverstanden, oder eine der in Ziffer 8.7(i)–(vi) der genehmigten EU-Standardvertragsklauseln (SCCs) genannten Bedingungen trifft zu (einschließlich Übermittlung in ein Land mit angemessenem Datenschutzniveau, geeignete Garantien gemäß Artikel 46 oder 47, ein verbindliches Instrument, das einen gleichwertigen Schutz gewährleistet, Notwendigkeit zur Geltendmachung von Rechtsansprüchen, Schutz lebenswichtiger Interessen oder die ausdrückliche Einwilligung der betroffenen Person). Jede Weitergabe unterliegt der Einhaltung aller anderen in diesen Klauseln festgelegten Garantien durch den Datenimporteur, insbesondere der Zweckbindung.

8.8 Verarbeitung unter der Verantwortung des Datenimporteurs

Der Datenimporteur stellt sicher, dass jede ihm unterstellte Person, einschließlich eines Auftragsverarbeiters, die Daten nur auf seine Weisung verarbeitet.

8.9 Dokumentation und Einhaltung

Jede Vertragspartei muss die Einhaltung ihrer Verpflichtungen gemäß diesen Klauseln nachweisen können. Insbesondere hat der Datenimporteur geeignete Dokumentationen über die in seiner Verantwortung durchgeführten Verarbeitungstätigkeiten zu führen und diese der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.

MODUL ZWEI: Übertragung des Controllers an den Prozessor

8.1 Anweisungen

Der Datenimporteur darf die personenbezogenen Daten nur gemäß den dokumentierten Anweisungen des Datenexporteurs verarbeiten. Der Datenexporteur kann diese Anweisungen während der gesamten Vertragslaufzeit erteilen. Der Datenimporteur hat den Datenexporteur unverzüglich zu informieren, falls er diesen Anweisungen nicht nachkommen kann.

8.2 Zweckbindung

Der Datenimporteur verarbeitet die personenbezogenen Daten nur für den (die) bestimmten Zweck(e) der Übermittlung gemäß Anhang IB, sofern der Datenexporteur keine weiteren Anweisungen erteilt.

8.3 Transparenz

Auf Anfrage stellt der Datenexporteur der betroffenen Person kostenlos eine Kopie dieser Klauseln einschließlich des von den Parteien ausgefüllten Anhangs zur Verfügung, vorbehaltlich geeigneter Schwärzungen. Diese Klausel lässt die Verpflichtungen des Datenexporteurs gemäß Artikel 13 und 14 der Verordnung (EU) 2016/679 unberührt.

8.4-Genauigkeit

Stellt der Datenimporteur fest, dass die erhaltenen personenbezogenen Daten unrichtig oder veraltet sind, so hat er den Datenexporteur unverzüglich zu informieren. In diesem Fall ist der Datenimporteur verpflichtet, mit dem Datenexporteur bei der Löschung oder Berichtigung der Daten zusammenzuarbeiten.

8.5 Dauer der Verarbeitung und Löschung oder Rückgabe der Daten

Die Verarbeitung durch den Datenimporteur darf nur für die in Anhang IB angegebene Dauer erfolgen. Nach Beendigung der Verarbeitungsdienstleistungen löscht der Datenimporteur nach Wahl des Datenexporteurs alle im Auftrag des Datenexporteurs verarbeiteten personenbezogenen Daten und bestätigt dies oder gibt diese personenbezogenen Daten zurück und löscht bestehende Kopien. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Datenimporteur weiterhin die Einhaltung dieser Klauseln. Sofern lokale Gesetze die Rückgabe oder Löschung untersagen, sichert der Datenimporteur zu, die Einhaltung weiterhin zu gewährleisten und die Daten nur in dem Umfang und so lange zu verarbeiten, wie es nach dem jeweiligen lokalen Recht erforderlich ist.

8.6 Sicherheit der Verarbeitung

Der Datenimporteur und während der Übermittlung auch der Datenexporteur treffen geeignete technische und organisatorische Maßnahmen, um die Sicherheit der Daten zu gewährleisten. Dabei sind der Stand der Technik, die Kosten sowie Art, Umfang, Kontext und Zweck der Verarbeitung und die damit verbundenen Risiken zu berücksichtigen. Der Datenimporteur setzt mindestens die in Anhang II genannten Maßnahmen um und führt regelmäßige Kontrollen durch. Er gewährt seinen Mitarbeitern nur im unbedingt erforderlichen Umfang Zugriff auf personenbezogene Daten und gewährleistet deren Vertraulichkeit. Im Falle einer Verletzung des Schutzes personenbezogener Daten ergreift der Datenimporteur geeignete Maßnahmen und benachrichtigt den Datenexporteur unverzüglich nach Kenntniserlangung mit den in den Klauseln geforderten Informationen. Sind nicht alle Informationen sofort verfügbar, können sie ohne weitere Verzögerung schrittweise übermittelt werden. Der Datenimporteur arbeitet mit dem Datenexporteur zusammen und unterstützt ihn bei der Erfüllung seiner Verpflichtungen gemäß der Verordnung (EU) 2016/679, insbesondere bei der Benachrichtigung der zuständigen Aufsichtsbehörde und der betroffenen Personen.

8.7 Sensible Daten

Sofern die Übermittlung sensible Daten umfasst, hat der Datenimporteur die in Anhang IB beschriebenen spezifischen Beschränkungen und/oder zusätzlichen Sicherheitsvorkehrungen anzuwenden.

8.8 Weiterversetzungen

Der Datenimporteur darf personenbezogene Daten nur auf dokumentierte Anweisung des Datenexporteurs an Dritte weitergeben. Darüber hinaus dürfen die Daten nur dann an Dritte außerhalb der Europäischen Union weitergegeben werden, wenn diese Dritten gemäß dem entsprechenden Modul an diese Klauseln gebunden sind oder sich dazu verpflichten, oder wenn eine der Bedingungen in Klausel 8.8(i)–(iv) zutrifft (Angemessenheit, geeignete Garantien gemäß Artikel 46 oder 47, Notwendigkeit zur Geltendmachung von Rechtsansprüchen oder Schutz lebenswichtiger Interessen). Jede Weitergabe unterliegt der Einhaltung aller anderen in diesen Klauseln festgelegten Garantien durch den Datenimporteur, insbesondere der Zweckbindung.

8.9 Dokumentation und Einhaltung

Der Datenimporteur hat Anfragen des Datenexporteurs im Zusammenhang mit der Datenverarbeitung gemäß diesen Klauseln unverzüglich und angemessen zu beantworten. Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können, und der Datenimporteur hat die entsprechenden Unterlagen aufzubewahren. Der Datenimporteur stellt dem Datenexporteur alle Informationen zur Verfügung, die zum Nachweis der Einhaltung erforderlich sind, und ermöglicht und unterstützt Audits in angemessenen Abständen oder bei Anzeichen für Nichteinhaltung. Der Datenexporteur kann das Audit selbst durchführen oder einen unabhängigen Auditor beauftragen und dabei relevante Zertifizierungen des Datenimporteurs berücksichtigen. Die Parteien stellen die Auditergebnisse der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung.

MODUL DREI: Transfer von Prozessor zu Prozessor

8.1 Anweisungen

Der Datenexporteur hat den Datenimporteur darüber informiert, dass er als Auftragsverarbeiter gemäß den Anweisungen seines/ihres Verantwortlichen handelt. Diese Anweisungen stellt der Datenexporteur dem Datenimporteur vor der Verarbeitung zur Verfügung. Der Datenimporteur verarbeitet die personenbezogenen Daten ausschließlich gemäß den dokumentierten Anweisungen des Verantwortlichen, die ihm vom Datenexporteur übermittelt wurden, sowie gemäß allen weiteren dokumentierten Anweisungen des Datenexporteurs, sofern diese nicht im Widerspruch zu den Anweisungen des Verantwortlichen stehen. Der Datenimporteur hat den Datenexporteur unverzüglich zu informieren, falls er diesen Anweisungen nicht nachkommen kann. Der Datenexporteur sichert zu, dass er dem Datenimporteur dieselben Datenschutzverpflichtungen auferlegt hat, die im Vertrag oder einem anderen Rechtsakt zwischen dem Verantwortlichen und dem Datenexporteur festgelegt sind.

8.2 Zweckbindung

Der Datenimporteur darf die personenbezogenen Daten nur für den/die spezifischen Zweck(e) der Übermittlung gemäß Anhang IB verarbeiten, es sei denn, der Verantwortliche (der vom Datenexporteur mitgeteilt wird) oder der Datenexporteur erteilt andere Anweisungen.

8.3 – 8.4 Transparenz und Genauigkeit

Auf Anfrage stellt der Datenexporteur der betroffenen Person kostenlos eine Kopie dieser Klauseln zur Verfügung, gegebenenfalls nach Schwärzung. Stellt der Datenimporteur fest, dass die personenbezogenen Daten unrichtig oder veraltet sind, unterrichtet er den Datenexporteur unverzüglich und wirkt an der Berichtigung oder Löschung der Daten mit.

8.5 Dauer der Verarbeitung und Löschung oder Rückgabe der Daten

Die Verarbeitung darf nur für die in Anhang IB angegebene Dauer erfolgen. Nach Beendigung der Verarbeitungsdienstleistungen löscht oder gibt der Datenimporteur nach Wahl des Datenexporteurs alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten zurück und löscht vorhandene Kopien. Er gewährleistet weiterhin die Einhaltung dieser Klauseln bis zur Löschung oder Rückgabe der Daten. Sofern lokale Gesetze die Rückgabe oder Löschung untersagen, sichert der Datenimporteur zu, die Einhaltung weiterhin zu gewährleisten und die Daten nur in dem Umfang und so lange zu verarbeiten, wie es nach dem jeweiligen lokalen Recht erforderlich ist.

8.6 Sicherheit der Verarbeitung

Die Parteien treffen geeignete technische und organisatorische Maßnahmen, um die Sicherheit der Daten zu gewährleisten. Dabei berücksichtigen sie den Stand der Technik, die Kosten sowie Art, Umfang, Kontext und Zweck der Verarbeitung und die damit verbundenen Risiken. Der Datenimporteur setzt mindestens die in Anhang II aufgeführten Maßnahmen um, gewährt Personal nur im unbedingt erforderlichen Umfang Zugriff, gewährleistet die Vertraulichkeit und ergreift im Falle einer Verletzung des Schutzes personenbezogener Daten geeignete Maßnahmen. Er benachrichtigt den Datenexporteur (und gegebenenfalls den Verantwortlichen) unverzüglich und übermittelt ihm die in den Klauseln geforderten Informationen. Der Datenimporteur arbeitet mit dem Datenexporteur zusammen und unterstützt ihn dabei, die zuständige Aufsichtsbehörde und die betroffenen Personen zu benachrichtigen.

8.7 – 8.8 Sensible Daten und deren Weitergabe

Bei Übermittlungen sensibler Daten hat der Datenimporteur die in Anhang IB aufgeführten spezifischen Beschränkungen und/oder zusätzlichen Schutzmaßnahmen anzuwenden. Der Datenimporteur darf personenbezogene Daten nur auf dokumentierte Anweisung des Verantwortlichen, die ihm vom Datenexporteur übermittelt wurde, an Dritte weitergeben. Die Weitergabe an Dritte außerhalb der Europäischen Union ist nur zulässig, wenn diese Dritten gemäß den Bestimmungen des entsprechenden Moduls an diese Klauseln gebunden sind oder sich dazu verpflichten, oder wenn Angemessenheit, geeignete Garantien gemäß Artikel 46 oder 47, die Notwendigkeit zur Geltendmachung von Rechtsansprüchen oder der Schutz lebenswichtiger Interessen gegeben sind. Jede Weitergabe unterliegt der Einhaltung aller anderen in diesen Klauseln vorgesehenen Schutzmaßnahmen, insbesondere der Zweckbindung.

8.9 Dokumentation und Einhaltung

Der Datenimporteur beantwortet Anfragen des Datenexporteurs oder des Verantwortlichen unverzüglich und angemessen, führt die erforderlichen Unterlagen, stellt dem Datenexporteur alle zur Wahrung der Einhaltung der Vorschriften notwendigen Informationen zur Verfügung (welcher diese dem Verantwortlichen weiterleitet) und ermöglicht und unterstützt Audits durch den Datenexporteur (auch auf dessen Anweisung) in angemessenen Abständen oder bei Anzeichen für Nichteinhaltung. Der Datenexporteur kann das Audit selbst durchführen oder einen unabhängigen Auditor beauftragen. Die Parteien stellen die Auditergebnisse der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung.

MODUL VIER: Übertragung des Auftragsverarbeiters an den für die Verarbeitung Verantwortlichen

8.1 Anweisungen

Der Datenexporteur darf die personenbezogenen Daten nur gemäß den dokumentierten Anweisungen des Datenimporteurs als dessen Verantwortlichen verarbeiten und hat den Datenimporteur unverzüglich zu informieren, falls er diesen Anweisungen nicht nachkommen kann, insbesondere wenn diese gegen die Verordnung (EU) 2016/679 oder andere Datenschutzgesetze der Union oder der Mitgliedstaaten verstoßen. Der Datenimporteur hat jegliche Handlungen zu unterlassen, die den Datenexporteur an der Erfüllung seiner Pflichten gemäß der Verordnung (EU) 2016/679 hindern würden. Nach Beendigung der Verarbeitungsdienstleistungen löscht oder gibt der Datenexporteur nach Wahl des Datenimporteurs alle in dessen Auftrag verarbeiteten personenbezogenen Daten zurück und vernichtet alle vorhandenen Kopien.

8.2 – 8.3 Sicherheit der Verarbeitung und Vertraulichkeit

Die Parteien treffen geeignete technische und organisatorische Maßnahmen, um die Sicherheit der Daten, auch während der Übertragung, zu gewährleisten. Der Datenexporteur unterstützt den Datenimporteur bei der Gewährleistung angemessener Sicherheitsvorkehrungen und benachrichtigt den Datenimporteur im Falle einer Verletzung des Schutzes personenbezogener Daten, die die von ihm verarbeiteten Daten betrifft, unverzüglich und unterstützt ihn bei deren Behebung. Der Datenexporteur stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen der Vertraulichkeit unterliegen.

Klausel 9

Einsatz von Unterauftragsverarbeitern

MODUL ZWEI und MODUL DREI

OPTION 2: ALLGEMEINE SCHRIFTLICHE GENEHMIGUNG. Der Datenimporteur verfügt über die allgemeine Genehmigung des Datenexporteurs (Modul 2) bzw. des Verantwortlichen (Modul 3) zur Beauftragung von Unterauftragnehmern aus einer vereinbarten Liste. Der Datenimporteur unterrichtet den Datenexporteur (bzw. im Falle von Modul 3 den Verantwortlichen, der wiederum den Datenexporteur unterrichtet) mindestens dreißig (30) Tage im Voraus schriftlich über beabsichtigte Änderungen dieser Liste durch Hinzufügung oder Austausch von Unterauftragnehmern. Dadurch wird ausreichend Zeit für einen Widerspruch vor der Beauftragung der Unterauftragnehmer eingeräumt. Der Datenimporteur stellt die zur Ausübung des Widerspruchsrechts erforderlichen Informationen bereit. Die Liste der autorisierten Unterauftragnehmer ist in Anhang III aufgeführt, der von den Parteien auf dem neuesten Stand gehalten wird.

Beauftragt der Datenimporteur einen Unterauftragnehmer, so hat dies auf Grundlage eines schriftlichen Vertrags zu erfolgen, der im Wesentlichen dieselben Datenschutzverpflichtungen enthält wie diejenigen, die für den Datenimporteur gemäß diesen Klauseln gelten, einschließlich der Rechte Dritter für betroffene Personen. Durch die Einhaltung dieser Klausel erfüllt der Datenimporteur seine Verpflichtungen gemäß Klausel 8.8. Der Datenimporteur hat sicherzustellen, dass der Unterauftragnehmer die für ihn geltenden Verpflichtungen einhält.

Der Datenimporteur stellt auf Verlangen des Datenexporteurs (bzw. im Falle von Modul Drei des Datenexporteurs oder Verantwortlichen) eine Kopie der Unterauftragsverarbeitungsvereinbarung und aller nachfolgenden Änderungen, vorbehaltlich geeigneter Schwärzungen, zur Verfügung.

Der Datenimporteur bleibt gegenüber dem Datenexporteur vollumfänglich für die Erfüllung der Verpflichtungen des Unterauftragnehmers verantwortlich und hat den Datenexporteur über jede Nichterfüllung der Verpflichtungen durch den Unterauftragnehmer zu informieren.

Der Datenimporteur vereinbart mit dem Unterauftragnehmer eine Drittbegünstigungsklausel, wonach der Datenexporteur im Falle des tatsächlichen Verschwindens, der Auflösung seiner rechtlichen Existenz oder der Insolvenz des Datenimporteurs das Recht hat, den Vertrag mit dem Unterauftragnehmer zu kündigen und diesen anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben. Diese Anforderung kann erfüllt werden, indem der Unterauftragnehmer diesen Klauseln gemäß Klausel 7 im entsprechenden Modul beitritt.

Klausel 10

Betroffenenrechte

MODUL ZWEI: Übertragung des Controllers an den Prozessor

Der Datenimporteur ist verpflichtet, den Datenexporteur unverzüglich über jede Anfrage eines Betroffenen zu informieren und darf diese Anfrage nicht selbst beantworten, es sei denn, er ist vom Datenexporteur dazu ermächtigt.

Der Datenimporteur unterstützt den Datenexporteur bei der Erfüllung seiner Verpflichtungen zur Beantwortung von Anfragen betroffener Personen gemäß der Verordnung (EU) 2016/679. Die Vertragsparteien legen in Anhang II die geeigneten technischen und organisatorischen Maßnahmen fest, mit denen diese Unterstützung zu leisten ist, sowie den Umfang und die Reichweite der erforderlichen Unterstützung.

Bei der Erfüllung seiner Verpflichtungen hat der Datenimporteur die Anweisungen des Datenexporteurs zu befolgen.

MODUL DREI: Transfer von Prozessor zu Prozessor

Der Datenimporteur ist verpflichtet, den Datenexporteur und gegebenenfalls den Verantwortlichen unverzüglich über jede Anfrage eines Betroffenen zu informieren, ohne darauf zu antworten, es sei denn, der Verantwortliche ermächtigt ihn dazu.

Der Datenimporteur unterstützt, soweit erforderlich, in Zusammenarbeit mit dem Datenexporteur den Verantwortlichen bei der Erfüllung seiner Pflichten zur Beantwortung von Anfragen betroffener Personen. Die Parteien legen in Anhang II die geeigneten Maßnahmen sowie Umfang und Art der erforderlichen Unterstützung fest.

Bei der Erfüllung seiner Verpflichtungen hat der Datenimporteur die Anweisungen des Verantwortlichen zu befolgen, die ihm vom Datenexporteur mitgeteilt werden.

Klausel 11

Wiedergutmachung

Der Datenimporteur informiert betroffene Personen in transparenter und leicht zugänglicher Form, entweder durch individuelle Mitteilung oder auf seiner Website, über eine zur Bearbeitung von Beschwerden befugte Kontaktstelle und bearbeitet Beschwerden unverzüglich. Im Falle einer Streitigkeit zwischen einer betroffenen Person und einer Vertragspartei hinsichtlich der Einhaltung dieser Klauseln bemüht sich die Vertragspartei nach besten Kräften um eine gütliche und zeitnahe Beilegung des Problems. Die Parteien halten sich gegenseitig auf dem Laufenden und arbeiten zusammen. Macht eine betroffene Person ein Recht eines Drittbegünstigten geltend, akzeptiert der Datenimporteur die Entscheidung der betroffenen Person, eine Beschwerde bei der zuständigen Aufsichtsbehörde einzureichen oder den Streitfall gemäß Klausel 18 vor die zuständigen Gerichte zu bringen. Die betroffene Person kann sich durch eine gemeinnützige Einrichtung, Organisation oder Vereinigung gemäß Artikel 80 Absatz 1 der Verordnung (EU) 2016/679 vertreten lassen.

Klausel 12

Haftungsausschluss

MODUL ZWEI und MODUL DREI

Jede Partei haftet gegenüber der/den anderen Partei/en für alle Schäden, die sie der/den anderen Partei/en durch einen Verstoß gegen diese Klauseln zufügt.

Der Datenimporteur haftet gegenüber der betroffenen Person, und die betroffene Person hat Anspruch auf Entschädigung für alle materiellen oder immateriellen Schäden, die der Datenimporteur oder sein Unterauftragsverarbeiter der betroffenen Person durch die Verletzung der Rechte Dritter zufügt unter diesen Klauseln.

Ungeachtet des Vorstehenden haftet der Datenexporteur gegenüber der betroffenen Person für alle materiellen oder immateriellen Schäden, die der Datenexporteur oder der Datenimporteur (oder dessen Unterauftragnehmer) durch die Verletzung der Rechte Dritter verursacht, unbeschadet der Haftung des Datenexporteurs (und, sofern es sich um einen Auftragsverarbeiter handelt, des Verantwortlichen) gemäß der Verordnung (EU) 2016/679.

Wird der Datenexporteur für Schäden haftbar gemacht, die vom Datenimporteur (oder dessen Unterauftragnehmer) verursacht wurden, ist er berechtigt, den entsprechenden Teil des Schadensersatzes vom Datenimporteur zurückzufordern. Sind mehrere Parteien verantwortlich, haften alle verantwortlichen Parteien gesamtschuldnerisch und können untereinander einen Ausgleichsanspruch geltend machen. Der Datenimporteur kann sich nicht auf das Verhalten eines Unterauftragnehmers berufen, um seiner eigenen Haftung zu entgehen.

Klausel 13

Aufsicht

Die zuständige Aufsichtsbehörde ist in Anhang IC aufgeführt. Der Datenimporteur verpflichtet sich, sich der Gerichtsbarkeit der zuständigen Aufsichtsbehörde zu unterwerfen und mit ihr bei allen Verfahren zusammenzuarbeiten, die darauf abzielen, die Einhaltung dieser Klauseln sicherzustellen, einschließlich der Beantwortung von Anfragen, der Unterwerfung unter Prüfungen und der Einhaltung der von der Behörde getroffenen Maßnahmen, und leistet eine schriftliche Bestätigung darüber, dass die erforderlichen Maßnahmen ergriffen wurden.

ABSCHNITT III — LOKALE GESETZE UND VERPFLICHTUNGEN BEI ZUGRIFF DURCH ÖFFENTLICHE BEHÖRDEN

Klausel 14

Lokale Gesetze und Praktiken, die die Einhaltung der Klauseln betreffen

Die Parteien gewährleisten, dass sie keinen Grund zu der Annahme haben, dass die im Drittland der Bestimmung geltenden Gesetze und Gepflogenheiten, die für die Verarbeitung der personenbezogenen Daten durch den Datenimporteur gelten, einschließlich etwaiger Offenlegungspflichten oder Maßnahmen, die öffentlichen Behörden den Zugriff ermöglichen, den Datenimporteur an der Erfüllung seiner Verpflichtungen aus diesen Klauseln hindern. Bei der Abgabe dieser Gewährleistung haben die Parteien insbesondere Folgendes berücksichtigt: die spezifischen Umstände der Übermittlung; die im Lichte dieser Umstände relevanten Gesetze und Gepflogenheiten des Drittlandes der Bestimmung sowie die geltenden Beschränkungen und Schutzmaßnahmen; und alle relevanten vertraglichen, technischen oder organisatorischen Schutzmaßnahmen, die zur Ergänzung der Schutzmaßnahmen gemäß diesen Klauseln getroffen wurden. Der Datenimporteur gewährleistet, dass er sich nach besten Kräften bemüht hat, dem Datenexporteur relevante Informationen bereitzustellen, und weiterhin mit ihm zusammenarbeiten wird. Die Parteien vereinbaren, die Bewertung zu dokumentieren und der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Der Datenimporteur verpflichtet sich, den Datenexporteur unverzüglich zu benachrichtigen, wenn er Grund zu der Annahme hat, dass er Gesetzen oder Gepflogenheiten unterliegt oder unterliegt, die nicht mit diesen Anforderungen vereinbar sind. Nach einer solchen Benachrichtigung oder wenn der Datenexporteur anderweitig Grund zu der Annahme hat, dass der Datenimporteur seinen Verpflichtungen nicht mehr nachkommen kann, ermittelt der Datenexporteur unverzüglich geeignete Maßnahmen und setzt, falls keine geeigneten Garantien gewährleistet werden können (oder falls die zuständige Aufsichtsbehörde dies anordnet), die Übermittlung aus und kann den Vertrag kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft.

Klausel 15

Pflichten des Datenimporteurs bei Zugriff durch Behörden

15.1 Benachrichtigung

Der Datenimporteur verpflichtet sich, den Datenexporteur und, soweit möglich, die betroffene Person unverzüglich zu benachrichtigen, wenn er von einer Behörde eine rechtsverbindliche Anfrage zur Offenlegung personenbezogener Daten erhält, die gemäß diesen Klauseln übermittelt wurden, oder wenn er Kenntnis von einem direkten Zugriff durch Behörden erlangt, einschließlich der in den Klauseln genannten Informationen. Ist die Benachrichtigung untersagt, verpflichtet sich der Datenimporteur, nach besten Kräften eine Ausnahmegenehmigung von diesem Verbot zu erwirken und diese Bemühungen zu dokumentieren. Soweit zulässig, übermittelt der Datenimporteur dem Datenexporteur regelmäßig relevante Informationen zu den eingegangenen Anfragen, bewahrt diese Informationen für die Dauer des Vertrags auf und stellt sie der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung.

15.2 Überprüfung der Rechtmäßigkeit und Datenminimierung

Der Datenimporteur verpflichtet sich, die Rechtmäßigkeit jeder Auskunftsanfrage zu prüfen, diese anzufechten, wenn er nach vernünftigem Ermessen zu dem Schluss kommt, dass sie rechtswidrig ist, und Rechtsmittel einzulegen, einstweilige Maßnahmen zu beantragen und die angeforderten personenbezogenen Daten erst dann offenzulegen, wenn dies nach den geltenden Verfahrensvorschriften erforderlich ist. Der Datenimporteur verpflichtet sich, seine rechtliche Prüfung und etwaige Anfechtungen zu dokumentieren und diese, soweit zulässig, dem Datenexporteur und der zuständigen Aufsichtsbehörde zur Verfügung zu stellen. Der Datenimporteur verpflichtet sich, bei der Beantwortung einer Anfrage die minimal zulässigen Informationen auf Grundlage einer vernünftigen Auslegung der Anfrage bereitzustellen.

ABSCHNITT IV – SCHLUSSBESTIMMUNGEN

Klausel 16

Nichteinhaltung der Klauseln und Kündigung

Der Datenimporteur hat den Datenexporteur unverzüglich zu informieren, wenn er diese Klauseln nicht einhalten kann. Verstößt der Datenimporteur gegen diese Klauseln oder kann er sie nicht einhalten, setzt der Datenexporteur die Übermittlung aus, bis die Einhaltung wiederhergestellt ist, oder kündigt den Vertrag. Der Datenexporteur kann den Vertrag, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, kündigen, wenn: (i) er die Übermittlung ausgesetzt hat und die Einhaltung nicht innerhalb einer angemessenen Frist, spätestens jedoch innerhalb eines Monats nach Aussetzung, wiederhergestellt wird; (ii) der Datenimporteur erheblich oder wiederholt gegen diese Klauseln verstößt; oder (iii) der Datenimporteur einer verbindlichen Entscheidung eines zuständigen Gerichts oder einer Aufsichtsbehörde nicht nachkommt. Personenbezogene Daten, die vor der Kündigung übermittelt wurden, werden nach Wahl des Datenexporteurs vollständig, einschließlich Kopien, zurückgegeben oder gelöscht. Der Datenimporteur bestätigt die Löschung. Jede Partei kann ihre Zustimmung zur Bindung widerrufen, wenn die Europäische Kommission einen Angemessenheitsbeschluss für die Übermittlung erlässt oder die Verordnung (EU) 2016/679 Bestandteil der Rechtsordnung des Landes wird, in das die Daten übermittelt werden.

Klausel 17

Geltendes Recht

Diese Klauseln unterliegen dem Recht eines EU-Mitgliedstaates, sofern dieses Recht Rechte Dritter vorsieht. Die Parteien vereinbaren, dass dies das Recht der Niederlande sein soll.

Klausel 18

Gerichtsstands- und Gerichtsstandswahl

Alle Streitigkeiten aus diesen Klauseln werden von den Gerichten eines EU-Mitgliedstaates entschieden; die Parteien vereinbaren, dass dies die Gerichte der Niederlande sind. Eine betroffene Person kann auch vor den Gerichten des Mitgliedstaats, in dem sie ihren gewöhnlichen Aufenthalt hat, gegen den Datenexporteur und/oder Datenimporteur klagen. Die Parteien unterwerfen sich der Zuständigkeit dieser Gerichte.

ANHANG ZU DEN STANDARDVERTRAGSKLAUSELN

ANHANG IA — LISTE DER PARTEIEN

Datenexporteur: Kunde, wie im Vertrag angegeben. Datenimporteur: Stellar Cyber ​​Inc., wie im Vertrag angegeben.

ANHANG IB — BESCHREIBUNG DER ÜBERTRAGUNG

Kategorien der betroffenen Personen: alle Mitarbeiter, Vertreter, Berater, Unterauftragnehmer oder Ansprechpartner der Vertriebspartner, Kunden, Interessenten, Geschäftspartner und Lieferanten des Datenexporteurs sowie alle anderen Benutzer der Endgeräte des Kunden, auf denen die Liefergegenstände installiert sind, oder andere autorisierte Benutzer der Liefergegenstände.

Kategorien der übermittelten personenbezogenen Daten:

Angaben zum Kundenunternehmen; Titel, E-Mail-Adressen, Telefonnummern und Namen der Kundenvertreter; Rechnungsinformationen; Geschäftsinformationen; und sonstige Daten oder Informationen, die der Kunde Stellar Cyber ​​im Rahmen der Liefergegenstände oder auf anderem Wege zur Verfügung stellt.

Benutzer- und Endpunktdaten: Agenten-ID, Endpunktname, Active Directory-Benutzer-ID, Benutzername, installierte Anwendungen (Installationszeitpunkt, Größe, Herausgeber und Version), SMTP-Benutzername und Konfigurationsdaten im Zusammenhang mit der Active Directory-Integration.

Vollständiger Dateipfad (enthält nur dann personenbezogene Daten, wenn der vom Kunden vergebene Dateiname personenbezogene Daten enthält).

Netzwerkdaten (interne Netzwerk-IP-Adresse, öffentliche IP-Adresse, MAC-Adresse).

Rekonstruierte Dateien: Dateien, die über das Netzwerk rekonstruiert wurden.

Systemeinstellungen, die von der Managementkonsole empfangen wurden (Benutzernamen, E-Mail-Adressen und Telefonnummern).

Informationen zur Bedrohung (Dateipfad, Signatur der Angriffserkennung, die Benutzernamen, IP-Adressen und Dateinamen enthalten kann).

Live-Netzwerküberwachung (URLs, URL-Header, Zeitstempel).

Wenn der Kunde eine Funktionalität der Liefergegenstände auslöst, die es dem Kunden oder den Administratoren des Kunden ermöglicht, Dateien abzurufen, zu sammeln oder zur Analyse an Stellar Cyber ​​zu übermitteln.

Übermittelte sensible Daten: siehe Anhang 1 (Details zur Verarbeitung von Kundendaten), „Besondere Kategorien personenbezogener Daten“. Häufigkeit der Übermittlung: fortlaufend während der gesamten Vertragslaufzeit. Zweck der Datenübermittlung und Weiterverarbeitung: Stellar Cyber ​​erbringt die Leistungen für den Kunden. Hierfür werden personenbezogene Daten verarbeitet, soweit dies für die Leistungserbringung und die Einhaltung des Vertrags und dieser Datenverarbeitungsvereinbarung erforderlich ist. Speicherdauer: Die Verarbeitung erfolgt bis zum Ablauf oder der Kündigung des Vertrags. Anschließend werden die Kundendaten gemäß Abschnitt 9 (Datenlöschung) gelöscht. Übermittlungen an Unterauftragnehmer: Stellar Cyber ​​setzt Unterauftragnehmer zur Unterstützung seiner Infrastruktur, Telekommunikation und Netzwerktechnik sowie Datenspeicherung und Inhaltsbereitstellung ein. Die Verarbeitung personenbezogener Daten durch Unterauftragnehmer erfolgt für die Zwecke und die Dauer des jeweiligen Stellar Cyber-Dienstleistungsvertrags oder Auftrags. Eine Liste der Unterauftragnehmer finden Sie in Anhang III.

Übertragungshäufigkeit: kontinuierlich während der gesamten Laufzeit des Vertrags.

ANHANG IC — ZUSTÄNDIGE AUFSICHTSBEHÖRDE

Für Angelegenheiten im Zusammenhang mit Datenübermittlungen gemäß Verordnung (EU) 2016/679: die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens, https://www.autoriteitpersoonsgegevens.nl/en).

ANHANG II – TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN

Die vom Datenimporteur getroffenen technischen und organisatorischen Maßnahmen sind in Anhang 2 (Sicherheitsmaßnahmen) dieser Datenverarbeitungsvereinbarung aufgeführt. Bei Übermittlungen an Unterauftragnehmer verpflichtet Stellar Cyber ​​diese, im Wesentlichen gleichwertige technische und organisatorische Maßnahmen wie die von Stellar Cyber ​​getroffenen einzuhalten.

ANHANG III — LISTE DER UNTERAUFTRAGNEHMER

Der Verantwortliche hat die Nutzung der Unterauftragnehmer genehmigt. Die entsprechende Regelung ist in Abschnitt 6.3 zu finden und wird dort aktualisiert. Die aktuelle Version ist unter https://stellarcyber.ai/dpa/subprocessors abrufbar (und kann von Stellar Cyber ​​gemäß dieser Datenverarbeitungsvereinbarung von Zeit zu Zeit aktualisiert werden).

SCHWEIZER BEITRAG

Die nachfolgenden Bestimmungen ergänzen die Standardvertragsklauseln nur insoweit, als und soweit die Standardvertragsklauseln auf Datenübermittlungen Anwendung finden, die dem Bundesdatenschutzgesetz vom 25. September 2020 (Schweiz) unterliegen: Der Begriff „Mitgliedstaat“ ist so auszulegen, dass es einer betroffenen Person in der Schweiz ermöglicht wird, ihre Rechte aus den Klauseln an ihrem gewöhnlichen Aufenthaltsort (Schweiz) gemäß Klausel 18(c) dieser Klauseln auszuüben.

ANHANG 5:

Nachtrag zum internationalen Datentransfer im Vereinigten Königreich

Dieser Nachtrag wurde vom Information Commissioner für Parteien herausgegeben, die eingeschränkte Übertragungen vornehmen. Der Information Commissioner ist der Ansicht, dass er angemessene Garantien für eingeschränkte Übertragungen bietet, wenn diese als rechtsverbindlicher Vertrag abgeschlossen werden.

Teil 1: Tabellen

Tabelle 1 (Parteien): Der Exporteur (der die beschränkte Übertragung versendet) und der Importeur (der die beschränkte Übertragung empfängt) sowie deren Angaben sind im Vertrag festgelegt. Beginn: das Datum des Inkrafttretens des Vertrags.

Tabelle 2 (Ausgewählte Standardvertragsklauseln, Module und ausgewählte Klauseln): Die Fassung der genehmigten EU-Standardvertragsklauseln, der dieser Nachtrag einschließlich der Informationen im Anhang beigefügt ist, ist die in Anhang 4 dieser Datenverarbeitungsvereinbarung aufgeführte Fassung.

Tabelle 3 (Anhangsinformationen): „Anhangsinformationen“ bezeichnet die Informationen, die für die ausgewählten Module gemäß dem Anhang der genehmigten EU-Standardvertragsklauseln (mit Ausnahme der Vertragsparteien) bereitzustellen sind und die für diesen Nachtrag in den Anhängen zu den Standardvertragsklauseln in Anhang 4 dieser Datenverarbeitungsvereinbarung aufgeführt sind.

Tabelle 4 (Beendigung dieses Nachtrags bei Änderung des genehmigten Nachtrags): Entweder der Importeur oder der Exporteur kann diesen Nachtrag gemäß Abschnitt 19 der obligatorischen Klauseln beenden.

Teil 2: Pflichtklauseln

Jede Partei verpflichtet sich, an die in diesem Nachtrag festgelegten Bedingungen gebunden zu sein, im Gegenzug verpflichtet sich die andere Partei ebenfalls, an diesen Nachtrag gebunden zu sein. Obwohl Anhang 1.A. und Klausel 7 der genehmigten EU-Standardvertragsklauseln (SCCs) die Unterschrift der Parteien erfordern, können die Parteien zum Zwecke eingeschränkter Datenübermittlungen diesen Nachtrag in jeder Weise abschließen, die ihn für die Parteien rechtsverbindlich macht und es den betroffenen Personen ermöglicht, ihre in diesem Nachtrag festgelegten Rechte durchzusetzen. Der Abschluss dieses Nachtrags hat dieselbe Wirkung wie die Unterzeichnung der genehmigten EU-Standardvertragsklauseln und jeglicher Teile davon.

Auslegung dieses Nachtrags

Wenn in diesem Nachtrag Begriffe verwendet werden, die in den genehmigten EU-Standardvertragsklauseln (EU SCCs) definiert sind, haben diese Begriffe dieselbe Bedeutung wie in den genehmigten EU SCCs. Darüber hinaus bedeutet: „Nachtrag“ diesen internationalen Datentransfer-Nachtrag einschließlich der EU SCCs des Nachtrags; „EU SCCs des Nachtrags“ die Version(en) der genehmigten EU SCCs, denen dieser Nachtrag beigefügt ist, einschließlich der Informationen im Anhang; „Angemessene Schutzmaßnahmen“ den nach britischem Datenschutzrecht erforderlichen Schutzstandard für personenbezogene Daten und die Rechte der betroffenen Personen bei einer eingeschränkten Datenübermittlung auf Grundlage von Standarddatenschutzklauseln gemäß Artikel 46 Absatz 2 Buchstabe d der britischen DSGVO; „Genehmigter Nachtrag“ den vom ICO herausgegebenen und dem Parlament gemäß § 119A des Data Protection Act 2018 am 2. Februar 2022 vorgelegten Musternachtrag in der Fassung gemäß Abschnitt 18. „Genehmigte EU-Standardvertragsklauseln“ bezeichnet die Standardvertragsklauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission vom 4. Juni 2021; „ICO“ bezeichnet den Information Commissioner; „Beschränkte Übermittlung“ bezeichnet eine Übermittlung, die unter Kapitel V der britischen DSGVO fällt; „UK“ bezeichnet das Vereinigte Königreich Großbritannien und Nordirland; „britische Datenschutzgesetze“ bezeichnet alle jeweils im Vereinigten Königreich geltenden Gesetze zum Datenschutz, zur Verarbeitung personenbezogener Daten, zur Privatsphäre und/oder zur elektronischen Kommunikation, einschließlich der britischen DSGVO und des Data Protection Act 2018; und „britische DSGVO“ hat die in Abschnitt 3 des Data Protection Act 2018 festgelegte Bedeutung.

Dieses Addendum ist stets im Einklang mit den britischen Datenschutzgesetzen auszulegen, sodass die Verpflichtungen der Parteien zur Bereitstellung angemessener Schutzmaßnahmen erfüllt werden. Sollte eine Bestimmung des Addendums die genehmigten EU-Standardvertragsklauseln (EU-SCCs) in einer Weise ändern, die weder nach den genehmigten EU-SCCs noch nach dem genehmigten Addendum zulässig ist, wird diese Änderung nicht übernommen, und die entsprechende Bestimmung der genehmigten EU-SCCs tritt an ihre Stelle. Im Falle von Widersprüchen oder Konflikten zwischen den britischen Datenschutzgesetzen und diesem Addendum gelten die britischen Datenschutzgesetze; ist die Auslegung unklar, so ist diejenige maßgebend, die den britischen Datenschutzgesetzen am nächsten kommt. Bezugnahmen auf Rechtsvorschriften beziehen sich auf die jeweils gültige Fassung der Rechtsvorschriften.

Obwohl Klausel 5 der genehmigten EU-Standardvertragsklauseln (SCCs) festlegt, dass diese Vorrang vor allen damit zusammenhängenden Vereinbarungen haben, vereinbaren die Parteien, dass für eingeschränkte Übermittlungen die Rangfolge gemäß Abschnitt 10 der obligatorischen Klauseln gilt. Im Falle von Widersprüchen oder Unstimmigkeiten zwischen dem genehmigten Nachtrag und den EU-Standardvertragsklauseln im Nachtrag hat der genehmigte Nachtrag Vorrang vor den EU-Standardvertragsklauseln im Nachtrag, es sei denn, die widersprüchlichen Bestimmungen der EU-Standardvertragsklauseln im Nachtrag bieten einen besseren Schutz für die betroffenen Personen; in diesem Fall haben diese Bestimmungen Vorrang vor dem genehmigten Nachtrag.

Aufnahme und Änderungen der EU SCCs

Dieser Nachtrag enthält die EU-Standardvertragsklauseln (SCCs) des Nachtrags, die insoweit geändert werden, als dies erforderlich ist, damit: (a) sie gemeinsam für Datenübermittlungen des Datenexporteurs an den Datenimporteur gelten, soweit die britischen Datenschutzgesetze auf die Verarbeitung durch den Datenexporteur Anwendung finden, und sie angemessene Schutzmaßnahmen für diese Übermittlungen vorsehen; (b) die Abschnitte 9 bis 11 der obligatorischen Klauseln Klausel 5 (Hierarchie) der EU-Standardvertragsklauseln des Nachtrags außer Kraft setzen; und (c) dieser Nachtrag dem Recht von England und Wales unterliegt und alle Streitigkeiten, die sich daraus ergeben, von den Gerichten von England und Wales entschieden werden, es sei denn, die Parteien haben ausdrücklich das Recht und/oder die Gerichte von Schottland oder Nordirland gewählt.

Folgende Änderungen werden an den EU-Standardvertragsklauseln (Addendum EU SCCs) vorgenommen: Bezugnahmen auf die „Klauseln“ beziehen sich auf dieses Addendum einschließlich der EU-Standardvertragsklauseln; in Klausel 2 werden die Wörter „und in Bezug auf Datenübermittlungen von Verantwortlichen an Auftragsverarbeiter und/oder von Auftragsverarbeitern an Auftragsverarbeiter Standardvertragsklauseln gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679“ gestrichen; Klausel 6 wird ersetzt durch: „Die Einzelheiten der Übermittlung(en), insbesondere die Kategorien der übermittelten personenbezogenen Daten und der/die Zweck(e) der Übermittlung, sind in Anhang IB aufgeführt, sofern die britischen Datenschutzgesetze auf die Verarbeitung durch den Datenexporteur bei dieser Übermittlung Anwendung finden“; Klausel 8.7(i) von Modul 1 und Klausel 8.8(i) der Module 2 und 3 werden ersetzt, um auf ein Land zu verweisen, das von Angemessenheitsvorschriften gemäß Abschnitt 17A der britischen DSGVO profitiert; Verweise auf „Verordnung (EU) 2016/679“ und „diese Verordnung“ werden durch „britische Datenschutzgesetze“ ersetzt, und Verweise auf spezifische Artikel durch den entsprechenden Artikel oder Abschnitt der britischen Datenschutzgesetze; Verweise auf die Verordnung (EU) 2018/1725 werden entfernt; Verweise auf „Europäische Union“, „Union“, „EU“, „EU-Mitgliedstaat“, „Mitgliedstaat“ und „EU oder Mitgliedstaat“ werden durch „Vereinigtes Königreich“ ersetzt; der Verweis auf „Klausel 12(c)(i)“ in Klausel 10(b)(i) von Modul Eins wird durch „Klausel 11(c)(i)“ ersetzt; Klausel 13(a) und Teil C von Anhang I werden nicht verwendet; „zuständige Aufsichtsbehörde“ und „Aufsichtsbehörde“ werden durch den „Informationsbeauftragten“ ersetzt; In Klausel 16(e) wird Unterabschnitt (i) durch folgenden Text ersetzt: „Der Staatssekretär erlässt gemäß Abschnitt 17A des Datenschutzgesetzes 2018 Vorschriften, die die Übermittlung personenbezogener Daten regeln, auf die diese Klauseln Anwendung finden.“ Klausel 17 wird durch folgenden Text ersetzt: „Diese Klauseln unterliegen dem Recht von England und Wales.“ Klausel 18 wird durch folgenden Text ersetzt: „Alle Streitigkeiten aus diesen Klauseln werden von den Gerichten von England und Wales entschieden. Eine betroffene Person kann auch vor den Gerichten eines beliebigen Landes im Vereinigten Königreich gegen den Datenexporteur und/oder Datenimporteur klagen. Die Parteien unterwerfen sich der Gerichtsbarkeit dieser Gerichte.“ Die Fußnoten zu den genehmigten EU-Standardvertragsklauseln sind mit Ausnahme der Fußnoten 8, 9, 10 und 11 nicht Bestandteil des Nachtrags.

Änderungen an diesem Nachtrag

Die Parteien können vereinbaren, Klausel 17 und/oder 18 des Nachtrags zu den EU-Standardvertragsklauseln (EU SCCs) so zu ändern, dass sie auf die Gesetze und/oder Gerichte Schottlands oder Nordirlands verweisen. Sie können außerdem das Format der Informationen in Teil 1: Tabellen schriftlich ändern, sofern die Änderung die angemessenen Schutzmaßnahmen nicht beeinträchtigt. Die ICO kann von Zeit zu Zeit einen überarbeiteten genehmigten Nachtrag herausgeben, der angemessene und verhältnismäßige Änderungen enthält und/oder Änderungen des britischen Datenschutzrechts berücksichtigt. Dieser Nachtrag wird ab dem angegebenen Startdatum automatisch gemäß dem überarbeiteten genehmigten Nachtrag geändert. Falls ein überarbeiteter genehmigter Nachtrag als direkte Folge dazu führen würde, dass einer in Tabelle 4 ausgewählten Partei im Rahmen des Nachtrags eine erhebliche, unverhältnismäßige und nachweisbare Erhöhung ihrer direkten Kosten und/oder ihres Risikos entsteht (nachdem sie zuvor angemessene Maßnahmen zu deren Reduzierung ergriffen hat), kann diese Partei diesen Nachtrag mit einer angemessenen Kündigungsfrist durch schriftliche Mitteilung vor dem Startdatum des überarbeiteten genehmigten Nachtrags beenden. Die Parteien benötigen keine Zustimmung Dritter, um Änderungen an diesem Nachtrag vorzunehmen; etwaige Änderungen müssen jedoch in Übereinstimmung mit dessen Bestimmungen erfolgen.

ANHANG 6.3