Zusatz zur Datenverarbeitung

NEWFORMA-ZUSATZVEREINBARUNG ZUR DATENVERARBEITUNG

Diese Zusatzvereinbarung zur Datenverarbeitung („DPA“) ist Bestandteil des Rahmenvertrags über Software und Dienstleistungen oder eines anderen Vertrags über die Erbringung von Dienstleistungen durch den Anbieter für den Kunden (der „Vertrag“) und wird in diesen einbezogen. Der Vertrag wurde geschlossen zwischen:

dem im Vertrag bezeichneten Kunden (dem „Kunden“);

und

der im Vertrag bezeichneten Newforma-Gesellschaft (dem „Anbieter“).

Kunde und Anbieter werden hierin jeweils als „Partei“ und gemeinsam als „Parteien“ bezeichnet.

Diese DPA gilt, wenn der Anbieter im Zusammenhang mit den Dienstleistungen Personenbezogene Daten des Kunden im Auftrag des Kunden verarbeitet.

1. BEGRIFFSBESTIMMUNGEN

1.1. In dieser DPA haben die Begriffe „Verantwortlicher“, „Auftragsverarbeiter“, „Betroffene Person“, „Personenbezogene Daten“, „Verarbeitung“, „Aufsichtsbehörde“, „Unternehmen“ („Business“), „Dienstleister“ („Service Provider“), „Verbraucher“, „Sensible personenbezogene Informationen“, „Verletzung des Schutzes personenbezogener Daten“ und entsprechende Begriffe die ihnen nach den Anwendbaren Datenschutzgesetzen zugewiesene Bedeutung.

1.2. In dieser DPA bezeichnet:

„Anwendbare Datenschutzgesetze“ sämtliche Gesetze, Vorschriften, rechtsverbindlichen regulatorischen Anforderungen und rechtsverbindlichen Leitlinien zum Schutz der Privatsphäre, Datenschutz, zur Cybersicherheit, Vertraulichkeit, Daten-Governance und Verarbeitung Personenbezogener Daten, soweit sie auf die Tätigkeiten einer Partei im Rahmen dieses Vertrags anwendbar sind, insbesondere:

1. die DSGVO und die anwendbaren nationalen Durchführungsgesetze;
2. die UK GDPR und den Data Protection Act 2018;
3. das schweizerische Bundesgesetz über den Datenschutz;
4. den California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung sowie andere anwendbare Datenschutzgesetze des US-Bundes und der US-Bundesstaaten;
5. den kanadischen Personal Information Protection and Electronic Documents Act (PIPEDA) und die anwendbaren Datenschutzgesetze der Provinzen einschließlich Québecs Gesetz zum Schutz personenbezogener Informationen im Privatsektor in der durch Gesetz 25 geänderten Fassung;
6. den australischen Privacy Act 1988 (Cth), einschließlich der Australian Privacy Principles, und die anwendbaren Datenschutzgesetze der Bundesstaaten und Territorien; und
7. Singapurs Personal Data Protection Act 2012,

zusammen mit allen anwendbaren Durchführungsvorschriften, jeweils in der von Zeit zu Zeit geänderten, erweiterten, ersetzten oder abgelösten Fassung.

„Personenbezogene Daten des Kunden“ sämtliche Personenbezogenen Daten, die der Anbieter oder ein Unterauftragsverarbeiter im Zusammenhang mit der Erbringung der Dienstleistungen im Auftrag des Kunden verarbeitet.

„Beschränkte Übermittlung“ jede Übermittlung Personenbezogener Daten des Kunden, die nach den Anwendbaren Datenschutzgesetzen die Umsetzung eines zugelassenen Übermittlungsmechanismus erfordert.

„Sicherheitsvorfall“ jedes tatsächliche oder vernünftigerweise vermutete Ereignis, das Vertraulichkeit, Integrität, Verfügbarkeit oder Belastbarkeit Personenbezogener Daten des Kunden oder der zu ihrer Verarbeitung eingesetzten Systeme beeinträchtigt.

„Unterauftragsverarbeiter“ jeden vom Anbieter beauftragten Dritten, der Personenbezogene Daten des Kunden im Auftrag des Kunden verarbeitet.

1.3. Mit Großbuchstaben beginnende Begriffe, die in dieser DPA nicht anderweitig definiert sind, haben die ihnen im Vertrag zugewiesene Bedeutung.

2. STELLUNG DER PARTEIEN

2.1. Die Parteien erkennen an und vereinbaren, dass hinsichtlich Personenbezogener Daten des Kunden:

1. der Kunde als Verantwortlicher, Unternehmen oder gleichwertige regulierte Organisation handelt;
2. der Anbieter als Auftragsverarbeiter, Dienstleister oder gleichwertige regulierte Organisation handelt; und
3. der Anbieter ausschließlich als Auftragsverarbeiter oder Dienstleister handelt.

2.2. Diese DPA hindert den Anbieter nicht daran, Personenbezogene Daten zu Verarbeiten, für die er als eigenständiger Verantwortlicher handelt, sofern diese Verarbeitung getrennt erfolgt und keine nach dem Vertrag verarbeiteten Personenbezogenen Daten des Kunden umfasst.

2.3. Jede Partei erfüllt ihre jeweiligen Pflichten nach den Anwendbaren Datenschutzgesetzen.

3. VERARBEITUNG PERSONENBEZOGENER DATEN DES KUNDEN

3.1. Der Anbieter verarbeitet Personenbezogene Daten des Kunden ausschließlich:

1. zur Erbringung der Dienstleistungen und Erfüllung seiner Vertragspflichten;
2. gemäß dieser DPA;
3. gemäß den dokumentierten Weisungen des Kunden; oder
4. soweit anwendbares Recht ihn dazu verpflichtet.

3.2. Ist der Anbieter gesetzlich verpflichtet, Personenbezogene Daten des Kunden außerhalb dessen Weisungen zu Verarbeiten, informiert er den Kunden vor der Verarbeitung über diese rechtliche Verpflichtung, sofern dies nicht gesetzlich verboten ist.

3.3. Der Anbieter informiert den Kunden unverzüglich, wenn er vernünftigerweise davon ausgeht, dass eine erhaltene Weisung gegen Anwendbare Datenschutzgesetze verstößt.

3.4. Der Anbieter darf nicht:

1. Personenbezogene Daten des Kunden verkaufen;
2. diese Daten für kontextübergreifende verhaltensbezogene Werbung weitergeben;
3. diese Daten für zielgerichtete Werbung verwenden;
4. diese Daten offenlegen, außer wie nach dieser DPA gestattet oder gesetzlich vorgeschrieben; oder
5. diese Daten für andere als vom Kunden ausdrücklich genehmigte Zwecke Verarbeiten.

4. VERTRAULICHKEIT

4.1. Der Anbieter stellt sicher, dass sämtliches zur Verarbeitung Personenbezogener Daten des Kunden berechtigtes Personal durchsetzbaren Vertraulichkeitspflichten unterliegt und geeignete Schulungen zum Schutz Personenbezogener Daten erhält.

4.2. Der Anbieter stellt sicher, dass der Zugang zu Personenbezogenen Daten des Kunden auf Personal beschränkt ist, das ihn zur Erfüllung seiner Aufgaben im Zusammenhang mit den Dienstleistungen benötigt.

4.3. Der Anbieter stellt sicher, dass Vertraulichkeitspflichten nach Beendigung des Arbeitsverhältnisses, der Beauftragung oder der Zugriffsrechte fortgelten.

5. SICHERHEIT DER VERARBEITUNG

5.1. Der Anbieter implementiert und unterhält geeignete technische und organisatorische Maßnahmen, um ein dem Risiko der Verarbeitung Personenbezogener Daten des Kunden angemessenes Sicherheitsniveau zu gewährleisten.

5.2. Bei dessen Bestimmung berücksichtigt der Anbieter Art, Umfang, Umstände und Zwecke der Verarbeitung, ihre Risiken, Eintrittswahrscheinlichkeit und Schwere von Schäden für Betroffene Personen, den Stand der Technik und die Implementierungskosten.

5.3. Der Anbieter unterhält ein dokumentiertes Informationssicherheitsprogramm zur Wahrung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit Personenbezogener Daten des Kunden und der zu ihrer Verarbeitung verwendeten Systeme.

5.4. Unbeschadet Abschnitt 5.1 unterhält der Anbieter Maßnahmen zu Identitäts- und Zugriffsmanagement, Authentifizierung, Berechtigungsmanagement, Verschlüsselung, Schwachstellenmanagement, Schutz vor Schadsoftware, Protokollierung, Überwachung und Personalsicherheit.

5.5. Der Anbieter testet, beurteilt und bewertet regelmäßig die Wirksamkeit seiner technischen und organisatorischen Maßnahmen und setzt Verbesserungen um, soweit vernünftigerweise erforderlich.

6. SICHERHEITSVORFÄLLE UND VERLETZUNGEN DES SCHUTZES PERSONENBEZOGENER DATEN

6.1. Der Anbieter benachrichtigt den Kunden ohne unangemessene Verzögerung und, soweit vernünftigerweise möglich, innerhalb von vierundzwanzig (24) Stunden, nachdem er von einer Verletzung des Schutzes personenbezogener Daten erfährt, die Personenbezogene Daten des Kunden betrifft.

6.2. Die Benachrichtigung enthält sämtliche dem Anbieter vernünftigerweise verfügbaren Informationen über:

1. die Art der Verletzung des Schutzes personenbezogener Daten;
2. die Kategorien der von der Verletzung Betroffenen Personen und deren ungefähre Anzahl;
3. die Kategorien und den ungefähren Umfang betroffener Personenbezogener Daten des Kunden;
4. die wahrscheinlichen Folgen der Verletzung;
5. ergriffene oder vorgeschlagene Maßnahmen zur Minderung ihrer Auswirkungen; und
6. Kontaktdaten des für die Vorfallreaktion zuständigen Personals des Anbieters.

6.3. Der Anbieter untersucht die Verletzung unverzüglich und ergreift angemessene Maßnahmen zu ihrer Eindämmung, Minderung und Behebung.

6.4. Der Anbieter arbeitet bei daraus folgenden Benachrichtigungspflichten, Untersuchungen oder Abhilfemaßnahmen in angemessenem Umfang mit dem Kunden zusammen.

7. RECHTE BETROFFENER PERSONEN

7.1. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Anbieter den Kunden angemessen bei der Beantwortung von Anträgen Betroffener Personen, die Rechte nach den Anwendbaren Datenschutzgesetzen ausüben.

7.2. Erhält der Anbieter unmittelbar von einer Betroffenen Person einen Antrag zu Personenbezogenen Daten des Kunden, informiert er den Kunden unverzüglich und antwortet nur auf dessen dokumentierte Weisung oder soweit gesetzlich vorgeschrieben.

8. UNTERSTÜTZUNGSPFLICHTEN

8.1. Der Anbieter leistet dem Kunden die angemessene Unterstützung, die erforderlich ist, damit dieser seine Pflichten nach den Anwendbaren Datenschutzgesetzen erfüllen kann.

8.2. Dies umfasst Unterstützung bei:

1. Datenschutz-Folgenabschätzungen;
2. Folgenabschätzungen für Datenübermittlungen;
3. Konsultationen mit Aufsichtsbehörden;
4. Einhaltung der Artikel 32 bis 36 der DSGVO und gleichwertiger Bestimmungen anderer Anwendbarer Datenschutzgesetze; und
5. Untersuchungen durch Aufsichtsbehörden.

9. UNTERAUFTRAGSVERARBEITER

9.1. Der Kunde erteilt dem Anbieter hiermit eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern im Zusammenhang mit der Erbringung der Dienstleistungen.

9.2. Der Anbieter beauftragt Unterauftragsverarbeiter nur nach Abschluss einer schriftlichen Vereinbarung, die ihnen Pflichten auferlegt, die im Wesentlichen dasselbe Schutzniveau für Personenbezogene Daten des Kunden gewährleisten wie diese DPA.

9.3. Der Anbieter bleibt für die Erfüllung der Pflichten sowie für Handlungen und Unterlassungen jedes Unterauftragsverarbeiters vollständig verantwortlich.

9.4. Der Anbieter führt eine aktuelle Liste der Unterauftragsverarbeiter und stellt sie dem Kunden auf Anfrage oder über ein Onlineportal bereit.

9.5. Der Anbieter kündigt jede geplante Bestellung oder Ersetzung eines Unterauftragsverarbeiters, der Personenbezogene Daten des Kunden Verarbeiten wird, mindestens dreißig (30) Tage vorher an.

9.6. Der Kunde darf der Bestellung eines vorgeschlagenen Unterauftragsverarbeiters aus angemessenen Datenschutzgründen durch schriftliche Mitteilung innerhalb der jeweiligen Ankündigungsfrist widersprechen.

9.7. Bei einem begründeten Widerspruch arbeiten die Parteien nach Treu und Glauben zusammen, um eine wirtschaftlich angemessene Lösung zu finden. Kann keine solche Lösung umgesetzt werden, darf der Kunde die betroffenen Dienstleistungen schriftlich ohne Vertragsstrafe kündigen.

10. INTERNATIONALE ÜBERMITTLUNGEN

10.1. Der Anbieter übermittelt Personenbezogene Daten des Kunden nur international, wenn die Übermittlung den Anwendbaren Datenschutzgesetzen entspricht.

10.2. Die Parteien setzen die in Anlagen 4 und 5 beschriebenen Übermittlungsmechanismen um, soweit nach den Anwendbaren Datenschutzgesetzen erforderlich.

10.3. Der Anbieter setzt ergänzende technische, organisatorische und vertragliche Schutzmaßnahmen um, soweit nach den Anwendbaren Datenschutzgesetzen erforderlich.

11. BEHÖRDLICHE ZUGRIFFSERSUCHEN

11.1. Soweit rechtlich zulässig, informiert der Anbieter den Kunden unverzüglich über rechtsverbindliche Ersuchen einer staatlichen Stelle, Regulierungsbehörde, Strafverfolgungsbehörde oder eines Gerichts um Zugang zu Personenbezogenen Daten des Kunden.

11.2. Der Anbieter ergreift angemessene Schritte, um Ersuchen anzufechten, die er vernünftigerweise für rechtswidrig, ungültig oder unverhältnismäßig hält.

11.3. Der Anbieter legt nur den zur Erfüllung eines rechtsverbindlichen Ersuchens mindestens erforderlichen Umfang Personenbezogener Daten des Kunden offen.

12. AUDITS

12.1. Der Anbieter stellt dem Kunden alle Informationen bereit, die zum Nachweis der Einhaltung dieser DPA und seiner anwendbaren Pflichten nach den Anwendbaren Datenschutzgesetzen erforderlich sind.

12.2. Der Anbieter darf seine Pflichten aus Abschnitt 12.1 durch unabhängige Auditberichte, Sicherheitszertifizierungen, Zusammenfassungen von Penetrationstests, Antworten auf Sicherheitsfragebögen oder gleichwertige Dokumentation erfüllen, soweit diese die betreffende Compliance angemessen nachweisen.

12.3. Reichen die nach Abschnitt 12.2 bereitgestellten Informationen zum Nachweis nicht aus oder ist dies anderweitig nach den Anwendbaren Datenschutzgesetzen erforderlich, ermöglicht der Anbieter Audits einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten unabhängigen Prüfer und wirkt daran mit. Diese Audits:

1. beschränken sich auf die Verarbeitung Personenbezogener Daten im Auftrag des Kunden und die Einhaltung dieser DPA und der Anwendbaren Datenschutzgesetze durch den Anbieter;
2. erfolgen mit angemessener vorheriger schriftlicher Ankündigung während üblicher Geschäftszeiten und so, dass Störungen des Anbieterbetriebs minimiert werden;
3. unterliegen geeigneten Vertraulichkeitspflichten und angemessenen Sicherheitsanforderungen; und
4. berücksichtigen die bereits nach Abschnitt 12.2 bereitgestellten Informationen und vermeiden unnötige Doppelprüfungen.

Der Kunde übt diese Auditrechte höchstens einmal innerhalb eines Zwölfmonatszeitraums aus, außer wenn ein zusätzliches Audit nach einer Verletzung des Schutzes personenbezogener Daten, die seine Personenbezogenen Daten betrifft, aufgrund begründeter Hinweise auf wesentliche Nichteinhaltung oder wegen Anforderungen der Anwendbaren Datenschutzgesetze oder einer zuständigen Aufsichtsbehörde vernünftigerweise notwendig ist.

Der Anbieter darf Informationen zu anderen Kunden und nicht auditbezogene Informationen schützen, sofern dies den Kunden nicht an der Ausübung seiner Rechte nach den Anwendbaren Datenschutzgesetzen hindert. Dieser Abschnitt 12 beschränkt weder die Befugnisse einer zuständigen Aufsichtsbehörde noch zwingende Audit- oder Inspektionsrechte nach den Anwendbaren Datenschutzgesetzen.

13. VERZEICHNISSE DER VERARBEITUNGSTÄTIGKEITEN

Der Anbieter führt die nach den Anwendbaren Datenschutzgesetzen erforderlichen Verzeichnisse der Verarbeitungstätigkeiten und stellt sie zuständigen Regulierungsbehörden bereit, soweit gesetzlich vorgeschrieben.

14. GESCHÄFTSKONTINUITÄT UND NOTFALLWIEDERHERSTELLUNG

Der Anbieter unterhält dokumentierte Geschäftskontinuitäts- und Notfallwiederherstellungspläne zur Unterstützung fortlaufender Verfügbarkeit und Wiederherstellung Personenbezogener Daten des Kunden und der im Zusammenhang mit den Dienstleistungen eingesetzten kritischen Systeme.

Der Anbieter testet diese Pläne regelmäßig und aktualisiert sie nach Bedarf.

15. RÜCKGABE UND LÖSCHUNG VON DATEN

15.1. Bei Beendigung oder Ablauf des Vertrags gibt der Anbieter nach Wahl des Kunden dessen Personenbezogene Daten zurück oder löscht sie sicher.

15.2. Der Anbieter schließt die Löschung gemäß den vertraglichen Löschanforderungen und -fristen einschließlich zulässiger Aufbewahrungsausnahmen und zugehöriger Schutzmaßnahmen ab, sofern die Anwendbaren Datenschutzgesetze keine frühere Löschung verlangen.

15.3. Auf schriftlichen Antrag des Kunden bestätigt der Anbieter die Löschung schriftlich.

15.4. Der Anbieter darf Personenbezogene Daten des Kunden aufbewahren, soweit anwendbares Recht, rechtliche Aufbewahrungspflichten im Zusammenhang mit Verfahren, regulatorische Anforderungen, Anforderungen an die Notfallwiederherstellung oder legitime Archivierungspflichten dies erfordern, sofern die aufbewahrten Daten gemäß dieser DPA geschützt bleiben.

16. BESTIMMUNGEN ZUM DATENSCHUTZRECHT DER US-BUNDESSTAATEN

16.1. Soweit einschlägige US-Datenschutzgesetze gelten, erkennt der Anbieter an, hinsichtlich Personenbezogener Daten des Kunden als Dienstleister und/oder Auftragsverarbeiter zu handeln.

16.2. Der Anbieter darf Personenbezogene Daten des Kunden nur aufbewahren, nutzen oder offenlegen, soweit dies zur Erbringung der Dienstleistungen oder Einhaltung anwendbaren Rechts erforderlich oder nach den Anwendbaren Datenschutzgesetzen anderweitig zulässig ist.

16.3. Der Anbieter bestätigt, die für Dienstleister und Auftragsverarbeiter nach einschlägigen US-Datenschutzgesetzen geltenden Beschränkungen zu verstehen, und verpflichtet sich, sie einzuhalten.

17. HAFTUNG

Die Haftung jeder Partei aus oder im Zusammenhang mit dieser DPA unterliegt den vertraglichen Haftungsausschlüssen, -beschränkungen und -höchstgrenzen, außer soweit die Anwendbaren Datenschutzgesetze solche Beschränkungen verbieten.

18. LAUFZEIT UND FORTGELTUNG

Diese DPA beginnt am Wirksamkeitsdatum des Vertrags und gilt, solange der Anbieter Personenbezogene Daten des Kunden in dessen Auftrag verarbeitet.

19. RANGFOLGE

Bei Widersprüchen zwischen dieser DPA und dem Vertrag geht diese DPA hinsichtlich der Verarbeitung Personenbezogener Daten des Kunden vor. Widerspricht ein anwendbarer Übermittlungsmechanismus dieser DPA, geht der Übermittlungsmechanismus im Umfang des Widerspruchs vor.

20. ANWENDBARES RECHT

Diese DPA unterliegt dem im Vertrag bestimmten anwendbaren Recht, sofern die Anwendbaren Datenschutzgesetze nichts anderes verlangen.

ANLAGE 1 — EINZELHEITEN DER VERARBEITUNG

Diese Anlage bildet Anhang I der EU-Standardvertragsklauseln und ist Bestandteil der Zusatzvereinbarung zur Datenverarbeitung.

A. LISTE DER PARTEIEN

Datenexporteur

Datenexporteur ist der im Vertrag bezeichnete Kunde.

Der Datenexporteur handelt hinsichtlich der nach dem Vertrag verarbeiteten Personenbezogenen Daten des Kunden als Verantwortlicher, Unternehmen oder gleichwertige regulierte Organisation.

Seine Kontaktdaten sind die im Vertrag oder jeweiligen Bestellformular angegebenen.

Datenimporteur

Datenimporteur ist der im Vertrag bezeichnete Anbieter, soweit er die betreffende internationale Übermittlung Personenbezogener Daten empfängt. Werden Personenbezogene Daten an Verbundene Unternehmen des Anbieters übermittelt, die als Unterauftragsverarbeiter handeln, ist die betreffende Organisation Datenimporteur für die jeweilige Übermittlung und wird in der anwendbaren Übermittlungsdokumentation bezeichnet.

Der Anbieter stellt sicher, dass jedes solche Verbundene Unternehmen gemäß den Unterauftragsverarbeiterbestimmungen dieser DPA bestellt wird und dass die Übermittlung durch einen gültigen Mechanismus nach den Anwendbaren Datenschutzgesetzen abgedeckt ist. Der Anbieter bleibt für die Erfüllung der Unterauftragsverarbeiterpflichten seiner Verbundenen Unternehmen nach dieser DPA verantwortlich.

Der Datenimporteur handelt hinsichtlich der nach dem Vertrag verarbeiteten Personenbezogenen Daten des Kunden als Auftragsverarbeiter, Dienstleister oder gleichwertige regulierte Organisation.

Seine Kontaktdaten sind die im Vertrag oder jeweiligen Bestellformular angegebenen.

B. BESCHREIBUNG DER ÜBERMITTLUNG

Gegenstand der Verarbeitung

Die Verarbeitung Personenbezogener Daten des Kunden im Zusammenhang mit Bereitstellung, Betrieb, Wartung, Support, Sicherheit, Verwaltung und Verbesserung der Dienstleistungen.

Dauer der Verarbeitung

Personenbezogene Daten des Kunden werden während der Vertragsdauer und danach während aller Zeiträume verarbeitet, in denen der Anbieter sie nach dem Vertrag, Kundenweisungen oder den Anwendbaren Datenschutzgesetzen aufbewahren muss.

Art der Verarbeitung

Der Anbieter darf Personenbezogene Daten des Kunden durch Tätigkeiten wie Erhebung, Erfassung, Organisation, Strukturierung, Speicherung, Anpassung, Abruf, Abfrage, Nutzung, Übermittlung, Offenlegung, Analyse, Support, Wartung, Löschung und Vernichtung Verarbeiten.

Zwecke der Verarbeitung

Die Zwecke der Verarbeitung umfassen:

• Erbringung der Dienstleistungen;
• Verwaltung der Kundenkonten und Abonnements;
• Hosting und Speicherung von Kundeninhalten;
• Authentifizierung und Zugriffsmanagement;
• technischen Support;
• Systemadministration;
• Informationssicherheit;
• Dienstüberwachung;
• Dienstwartung;
• Geschäftskontinuität und Notfallwiederherstellung;
• Einhaltung gesetzlicher und regulatorischer Pflichten; und
• sonstige Verarbeitungstätigkeiten, die zur Erbringung der Dienstleistungen vernünftigerweise erforderlich sind.

Kategorien Betroffener Personen

• Personal des Kunden;
• Arbeitnehmer;
• Führungskräfte;
• Verwaltungsratsmitglieder;
• Auftragnehmer;
• Berater;
• Zeitarbeitskräfte;
• Beauftragte;
• Klienten;
• Kunden;
• potenzielle Kunden;
• Endnutzer;
• berechtigte Nutzer;
• Geschäftskontakte; und
• sonstige Personenkategorien, deren Personenbezogene Daten vom Kunden oder in seinem Namen in die Dienstleistungen eingebracht werden.

Kategorien Personenbezogener Daten

• Identifikationsdaten;
• Name;
• Titel;
• berufliche Funktion;
• geschäftliche Kontaktdaten;
• E-Mail-Adressen;
• Telefonnummern;
• Postanschriften;
• Kontoinformationen;
• Authentifizierungsdaten;
• Anmeldeinformationen;
• Gerätekennungen;
• IP-Adressen;
• Nutzungsinformationen;
• Kommunikationsdaten;
• Projektinformationen;
• Workflowinformationen;
• Transaktionsaufzeichnungen;
• Supportaufzeichnungen;
• Auditprotokolle; und
• sonstige Personenbezogene Daten, die der Kunde über die Dienstleistungen hochlädt, einreicht oder anderweitig bereitstellt.

Besondere Kategorien personenbezogener Daten

Der Anbieter verlangt für den Betrieb der Dienstleistungen keine Bereitstellung Besonderer Kategorien personenbezogener Daten.

Soweit der Kunde solche Daten bereitstellt, erfolgt ihre Verarbeitung ausschließlich gemäß seinen Weisungen und dem Vertrag.

Häufigkeit der Übermittlung

Personenbezogene Daten des Kunden können während seiner Nutzung der Dienstleistungen kontinuierlich übermittelt werden.

Aufbewahrungsdauer

Personenbezogene Daten des Kunden werden gemäß dem Vertrag und den dokumentierten Aufbewahrungsverfahren des Anbieters aufbewahrt, sofern die Anwendbaren Datenschutzgesetze nichts anderes verlangen.

Zuständige Aufsichtsbehörde

Die zuständige Aufsichtsbehörde bestimmt sich nach den Anwendbaren Datenschutzgesetzen.

ANLAGE 2 — TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN

Der Anbieter implementiert und unterhält technische und organisatorische Maßnahmen, um ein den Risiken der Verarbeitung Personenbezogener Daten des Kunden angemessenes Sicherheitsniveau zu gewährleisten.

Informationssicherheits-Governance

Der Anbieter unterhält ein dokumentiertes Informationssicherheitsmanagementprogramm, das durch Richtlinien, Standards und Verfahren zum Schutz Personenbezogener Daten des Kunden unterstützt wird.

Der Anbieter weist die Verantwortung für Informationssicherheit angemessen qualifiziertem Personal zu und prüft regelmäßig die Wirksamkeit seines Sicherheitsprogramms.

Zugriffsmanagement

Der Anbieter implementiert Identitäts- und Zugriffskontrollen, um den Zugang zu Personenbezogenen Daten des Kunden auf berechtigtes Personal mit erforderlichem Kenntnisbedarf zu beschränken.

Zugriffsrechte werden nach dokumentierten Verfahren erteilt, überprüft und entzogen.

Privilegierte Zugriffe unterliegen verstärkten Kontrollen und Überwachung.

Für administrative und Fernzugriffe auf Systeme, die Personenbezogene Daten des Kunden Verarbeiten, wird Mehrfaktorauthentifizierung eingesetzt, soweit technisch möglich.

Verschlüsselung

Der Anbieter schützt Personenbezogene Daten des Kunden bei der Übertragung über öffentliche Netzwerke durch branchenübliche Verschlüsselungsprotokolle.

Der Anbieter implementiert Verschlüsselung ruhender Personenbezogener Daten des Kunden, soweit unter Berücksichtigung der Art und Sensibilität der verarbeiteten Informationen angemessen.

Der Anbieter unterhält Verfahren zur Verwaltung und zum Schutz von Verschlüsselungsschlüsseln.

Systemsicherheit

Der Anbieter unterhält Kontrollen zum Schutz von Systemen vor Schadsoftware, unbefugtem Zugang und Ausnutzung bekannter Schwachstellen.

Der Anbieter unterhält dokumentierte Schwachstellenmanagementverfahren und installiert Sicherheitspatches innerhalb von Fristen, die der Schwere identifizierter Schwachstellen entsprechen.

Überwachung und Protokollierung

Der Anbieter unterhält Protokollierungs- und Überwachungsfunktionen zur Erkennung von Sicherheitsereignissen, die Personenbezogene Daten des Kunden betreffen.

Auditprotokolle werden gegen unbefugte Änderungen geschützt und gemäß den Sicherheitsrichtlinien des Anbieters aufbewahrt.

Sichere Entwicklung

Entwickelt der Anbieter zur Erbringung der Dienstleistungen eingesetzte Software, unterhält er sichere Softwareentwicklungspraktiken zur Identifizierung und Minderung von Sicherheitslücken während des gesamten Softwareentwicklungslebenszyklus.

Vorfallmanagement

Der Anbieter unterhält dokumentierte Verfahren zur Identifizierung, Eskalation, Untersuchung, Bearbeitung und Behebung von Sicherheitsvorfällen.

Der Anbieter überprüft und testet seine Vorfallreaktionsverfahren regelmäßig.

Geschäftskontinuität

Der Anbieter unterhält Geschäftskontinuitäts- und Notfallwiederherstellungspläne zur Unterstützung fortlaufender Verfügbarkeit und Wiederherstellung Personenbezogener Daten des Kunden und kritischer Dienstfunktionen.

Der Anbieter testet diese Pläne regelmäßig und führt Aufzeichnungen über die Testaktivitäten.

Personalsicherheit

Der Anbieter schult zur Verarbeitung Personenbezogener Daten des Kunden berechtigtes Personal in Datenschutz und Sicherheit.

Soweit gesetzlich zulässig und für die jeweilige Rolle angemessen, darf der Anbieter Überprüfungen vor der Einstellung durchführen.

Physische Sicherheit

Der Anbieter implementiert angemessene physische Sicherheitsmaßnahmen zur Verhinderung unbefugten physischen Zugangs zu Einrichtungen, in denen Personenbezogene Daten des Kunden verarbeitet werden.

Erfolgt das Hosting durch externe Cloudinfrastrukturanbieter, prüft der Anbieter mit angemessener Sorgfalt deren physische Sicherheitskontrollen.

Tests und Bewertung

Der Anbieter beurteilt, testet und bewertet regelmäßig die Wirksamkeit seiner technischen und organisatorischen Maßnahmen und setzt Verbesserungen um, soweit zur Bewältigung sich entwickelnder Bedrohungen und Risiken erforderlich.

ANLAGE 3 — AUTORISIERTE UNTERAUFTRAGSVERARBEITER

Das aktuelle Unterauftragsverarbeiterverzeichnis ist verfügbar unter:

https://trust.newforma.com/

ANLAGE 4 — UMSETZUNG DER STANDARDVERTRAGSKLAUSELN DER EUROPÄISCHEN UNION

1. EINBEZIEHUNG DER SCC

Soweit aus dem Europäischen Wirtschaftsraum stammende Personenbezogene Daten des Kunden in ein Rechtsgebiet übermittelt werden, dem die Europäische Kommission kein angemessenes Schutzniveau für Personenbezogene Daten zuerkannt hat, vereinbaren die Parteien, dass die durch Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission genehmigten Standardvertragsklauseln (die „EU-SCC“) in diese DPA einbezogen werden und deren Bestandteil sind.

Die Parteien vereinbaren, dass sich das anwendbare Modul der EU-SCC nach ihrer Rolle bei der jeweiligen Verarbeitungstätigkeit richtet. Handelt der Kunde als Verantwortlicher und der Anbieter als Auftragsverarbeiter, gilt Modul zwei (Verantwortlicher an Auftragsverarbeiter). Übermittelt der Anbieter Personenbezogene Daten des Kunden an einen als Auftragsverarbeiter handelnden Unterauftragsverarbeiter, gilt Modul drei (Auftragsverarbeiter an Auftragsverarbeiter).

2. AUSFÜLLEN DER SCC

Für Klausel 7 der SCC gilt die fakultative Kopplungsklausel.

Für Klausel 9 gilt Option 2; die Frist zur Vorankündigung von Änderungen bei Unterauftragsverarbeitern beträgt dreißig (30) Tage.

Für Klausel 11 gilt der fakultative unabhängige Streitbeilegungsmechanismus nicht, sofern anwendbares Recht nichts anderes verlangt.

Für Klauseln 17 und 18 gelten irisches Recht und die zuständigen irischen Gerichte, sofern ein Bestellformular nichts anderes festlegt oder die Anwendbaren Datenschutzgesetze nichts anderes verlangen.

3. TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN

Die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen bilden die nach Anhang II der SCC erforderlichen Maßnahmen.

4. UNTERAUFTRAGSVERARBEITER

Die gemäß Anlage 3 geführte Liste autorisierter Unterauftragsverarbeiter bildet Anhang III der SCC.

5. FOLGENABSCHÄTZUNGEN FÜR DATENÜBERMITTLUNGEN

Der Anbieter bestätigt, dass er nach seinem Wissen kein behördliches Ersuchen um Zugang zu Personenbezogenen Daten des Kunden erhalten hat, das ihn an der Einhaltung der SCC hindern würde.

Der Anbieter verfolgt rechtliche Entwicklungen zu internationalen Übermittlungen und arbeitet mit dem Kunden bei erforderlichen Folgenabschätzungen für Datenübermittlungen zusammen.

6. ERGÄNZENDE SCHUTZMASSNAHMEN

Der Anbieter setzt erforderliche ergänzende Schutzmaßnahmen um, einschließlich Verschlüsselung, Zugriffskontrollen, Datenminimierung, Auditprotokollierung, organisatorischer Kontrollen und vertraglicher Verpflichtungen zur Minderung von Risiken aus Zugriffen öffentlicher Stellen.

ANLAGE 5 — BRITISCHE ZUSATZVEREINBARUNG ZUR INTERNATIONALEN DATENÜBERMITTLUNG

1. EINBEZIEHUNG

Das vom britischen Information Commissioner’s Office nach Section 119A des Data Protection Act 2018 herausgegebene International Data Transfer Addendum (das „UK-Addendum“) wird in diese DPA einbezogen und gilt für Beschränkte Übermittlungen, die der UK GDPR unterliegen.

2. AUSLEGUNG

Die in Anlage 4 einbezogenen EU-SCC bilden die genehmigten EU-SCC für die Zwecke des UK-Addendums.

Die Parteien vereinbaren, die für Tabellen 1 bis 4 des UK-Addendums erforderlichen Angaben wie folgt zu vervollständigen:

Die Parteien sind im Vertrag und in dieser DPA bezeichnet.

Die Übermittlungsbeschreibung entspricht Anlage 1.

Die Sicherheitsmaßnahmen entsprechen den in Anlage 2 beschriebenen.

Keine Partei kündigt das UK-Addendum nach dessen Abschnitt 19, außer soweit sie dazu rechtlich berechtigt ist.

3. BRITISCHE ÜBERMITTLUNGSPFLICHTEN

Der Anbieter implementiert und unterhält alle erforderlichen Schutzmaßnahmen, damit außerhalb des Vereinigten Königreichs übermittelte Personenbezogene Daten des Kunden ein Schutzniveau erhalten, das dem nach britischen Datenschutzgesetzen gewährleisteten im Wesentlichen gleichwertig ist.

Der Anbieter informiert den Kunden unverzüglich, wenn er feststellt, dass er das UK-Addendum oder einen anwendbaren Übermittlungsmechanismus nicht mehr einhalten kann.

4. WIDERSPRÜCHE

Bei Widersprüchen zwischen dem UK-Addendum und anderen DPA-Bestimmungen geht das UK-Addendum vor, soweit zur Gewährleistung rechtmäßiger internationaler Übermittlungen erforderlich.

ANLAGE 6 — KÜNSTLICHE INTELLIGENZ UND DATEN-GOVERNANCE

1. ZWECK

Diese Anlage regelt die Nutzung Personenbezogener Daten des Kunden im Zusammenhang mit vom Anbieter eingesetzten KI-Systemen, Machine-Learning-Technologien, automatisierten Entscheidungswerkzeugen und ähnlichen Technologien.

2. TRAININGSBESCHRÄNKUNGEN

Außer soweit die KI-Bestimmungen des Vertrags dies ausdrücklich gestatten oder der Kunde anderweitig ausdrücklich schriftlich zustimmt, darf der Anbieter Personenbezogene Daten des Kunden, Vertrauliche Informationen des Kunden, Kundeninhalte oder daraus abgeleitete Prompts, Ergebnisse, Metadaten oder Informationen nicht zum Trainieren, erneuten Trainieren, Feinabstimmen, Verbessern oder anderweitigen Entwickeln eines Basismodells, großen Sprachmodells, Machine-Learning-Modells oder sonstigen KI-Systems verwenden. Jede zulässige Nutzung unterliegt weiterhin den Beschränkungen und Schutzmaßnahmen der KI-Bestimmungen des Vertrags, dieser DPA und der anwendbaren Datenschutzgesetze. Jede Einwilligung des Kunden nach diesem Abschnitt muss spezifisch, informiert und schriftlich dokumentiert sein.

3. MODELLENTWICKLUNG

Der Anbieter stellt sicher, dass Personenbezogene Daten des Kunden logisch von Datensätzen für Modellentwicklung und -training getrennt sind, außer wenn der Kunde diese Nutzung ausdrücklich genehmigt hat.

Der Anbieter unterhält technische Kontrollen zur Verhinderung unbefugter Nutzung Personenbezogener Daten des Kunden für Modelltraining.

4. MENSCHLICHE AUFSICHT

Setzt der Anbieter KI-Systeme ein, die die Dienstleistungen wesentlich beeinflussen, implementiert er geeignete Maßnahmen menschlicher Aufsicht zur Überwachung von Betrieb, Leistung und Ergebnissen dieser Systeme.

Der Anbieter unterhält Verfahren zur Prüfung, Untersuchung und Korrektur unrichtiger, verzerrter oder unangemessener Ergebnisse dieser Systeme.

5. TRANSPARENZ

Auf angemessene Anfrage des Kunden informiert der Anbieter über die Kategorien der im Zusammenhang mit den Dienstleistungen verwendeten KI-Systeme und ihre Einsatzzwecke.

Dieser Abschnitt verpflichtet den Anbieter nicht zur Offenlegung von Geschäftsgeheimnissen, Quellcode oder proprietären Algorithmen.

6. AUTOMATISIERTE ENTSCHEIDUNGSFINDUNG

Der Anbieter darf Personenbezogene Daten des Kunden nicht wissentlich für ausschließlich automatisierte Entscheidungen verwenden, die rechtliche oder ähnlich erhebliche Auswirkungen auf Personen haben, außer wenn der Kunde dies ausdrücklich genehmigt hat und die Anwendbaren Datenschutzgesetze es zulassen.

7. KI-SICHERHEITSKONTROLLEN

Der Anbieter implementiert technische und organisatorische Maßnahmen zur Minderung von KI-Systemrisiken, einschließlich Datenlecks, Prompt-Injection, Modellinversion, unbefugtem Zugang, Modellmanipulation und unbefugter Offenlegung Personenbezogener Daten des Kunden.

8. REGULATORISCHE COMPLIANCE

Der Anbieter hält alle anwendbaren Gesetze zu KI-Systemen, automatisierten Entscheidungstechnologien und algorithmischer Rechenschaftspflicht ein.

Soweit anwendbar, arbeitet der Anbieter mit dem Kunden bei der Einhaltung der EU-KI-Verordnung, britischer regulatorischer KI-Anforderungen und anderer anwendbarer KI-Vorschriften zusammen.

9. AUDITRECHTE

Die Audit- und Informationsrechte des Kunden nach Abschnitt 12 gelten für diese Anlage.