Dieser Zusatz zur Datenverarbeitung (der „Zusatz“) mit Wirkung zum 25. Mai 2018 ist Bestandteil der bestehenden Vereinbarung, einschließlich jeder Verlängerung derselben sowie in der jeweils von den Parteien geänderten Fassung (zusammen die „Hauptvereinbarung“), geschlossen zwischen: (i) Newforma, Inc. oder dem jeweils anwendbaren verbundenen Unternehmen von Newforma (wie unten definiert und bezeichnet), das mit dem Kunden kontrahiert (wie in der Hauptvereinbarung definiert und durch Unterzeichnung dieses Zusatzes unten), handelnd im eigenen Namen und als Vertreter jedes verbundenen Unternehmens von Newforma für die Zwecke dieses Zusatzes (zusammen „Newforma“); und (ii) dem Kunden (wie in der Hauptvereinbarung definiert und durch Unterzeichnung dieses Zusatzes unten), handelnd im eigenen Namen und als Vertreter jedes verbundenen Unternehmens des Kunden (zusammen der „Kunde“).
Die in diesem Zusatz verwendeten Begriffe haben die in diesem Zusatz festgelegte Bedeutung. Begriffe mit großem Anfangsbuchstaben, die hierin nicht anderweitig definiert sind, haben die ihnen in der Hauptvereinbarung zugewiesene Bedeutung. Soweit nachstehend nichts anderes bestimmt ist, bleiben die Bestimmungen der Hauptvereinbarung in vollem Umfang in Kraft.
In Anbetracht der hierin festgelegten gegenseitigen Verpflichtungen vereinbaren die Parteien hiermit, dass die nachstehend aufgeführten Bestimmungen als Zusatz in die Hauptvereinbarung aufgenommen werden. Soweit der Zusammenhang nichts anderes erfordert, beziehen sich Verweise in diesem Zusatz auf die Hauptvereinbarung in der durch diesen Zusatz geänderten und um diesen Zusatz ergänzten Fassung.
1. Begriffsbestimmungen
1.1 In diesem Zusatz haben die folgenden Begriffe die nachstehend festgelegte Bedeutung; entsprechende Begriffe sind entsprechend auszulegen:
1.1.1 „Anwendbare Gesetze“ bezeichnet
(a) die Gesetze der Europäischen Union oder eines Mitgliedstaats in Bezug auf personenbezogene Daten des Kunden, hinsichtlich derer ein Mitglied der Kundengruppe den Datenschutzgesetzen der EU unterliegt; und
(b) jedes andere anwendbare Gesetz in Bezug auf personenbezogene Daten des Kunden, hinsichtlich derer ein Mitglied der Kundengruppe anderen Datenschutzgesetzen unterliegt.
1.1.2 „Verbundenes Unternehmen des Kunden“ bezeichnet eine Einheit, die den Kunden besitzt oder beherrscht, die vom Kunden besessen oder beherrscht wird oder die gemeinsam mit dem Kunden besessen oder beherrscht wird oder unter gemeinsamer Kontrolle oder Eigentümerschaft mit dem Kunden steht, wobei „Kontrolle“ als der direkte oder indirekte Besitz der Befugnis definiert ist, die Geschäftsführung und die Richtlinien einer Einheit zu bestimmen oder deren Bestimmung zu veranlassen, sei es durch den Besitz stimmberechtigter Wertpapiere, durch Vertrag oder auf sonstige Weise.
1.1.3 „Mitglied der Kundengruppe“ bezeichnet den Kunden oder ein verbundenes Unternehmen des Kunden.
1.1.4 „Personenbezogene Daten des Kunden“ bezeichnet alle personenbezogenen Daten, die von einem vertraglich gebundenen Auftragsverarbeiter im Auftrag eines Mitglieds der Kundengruppe gemäß der Hauptvereinbarung oder im Zusammenhang mit dieser verarbeitet werden.
1.1.5 „Vertraglich gebundener Auftragsverarbeiter“ bezeichnet Newforma oder einen Unterauftragsverarbeiter.
1.1.6 „Datenschutzgesetze“ bezeichnet die Datenschutzgesetze der EU sowie, soweit anwendbar, die Datenschutz- oder Privatsphärengesetze jedes anderen Landes.
1.1.7 „EWR“ bezeichnet den Europäischen Wirtschaftsraum;
1.1.8 „Datenschutzgesetze der EU“ bezeichnet die Richtlinie 95/46/EG der Europäischen Union in der jeweils in das innerstaatliche Recht der einzelnen Mitgliedstaaten umgesetzten Fassung sowie in ihrer jeweils geänderten, ersetzten oder anderweitig abgelösten Fassung, einschließlich durch die DSGVO sowie durch Gesetze zur Durchführung oder Ergänzung der DSGVO.
1.1.9 „DSGVO“ bezeichnet die Datenschutz-Grundverordnung der Europäischen Union 2016/679;
1.1.10 „Verbundenes Unternehmen von Newforma“ bezeichnet eine Einheit, die Newforma besitzt oder beherrscht, die von Newforma besessen oder beherrscht wird oder die gemeinsam mit Newforma besessen oder beherrscht wird oder unter gemeinsamer Kontrolle oder Eigentümerschaft mit Newforma steht, wobei „Kontrolle“ als der direkte oder indirekte Besitz der Befugnis definiert ist, die Geschäftsführung und die Richtlinien einer Einheit zu bestimmen oder deren Bestimmung zu veranlassen, sei es durch den Besitz stimmberechtigter Wertpapiere, durch Vertrag oder auf sonstige Weise. Zu den verbundenen Unternehmen von Newforma gehören derzeit Newforma EMEA Ltd, Newforma UK Ltd, Newforma France SARL, Newforma Germany GmbH, Newforma Canada ULC, Newforma Asia Pacific Pte Ltd und Newforma Australia Pte Ltd.
„Eingeschränkte Übermittlung“ bezeichnet:
1.1.11.1 eine Übermittlung personenbezogener Daten des Kunden von einem Mitglied der Kundengruppe an einen vertraglich gebundenen Auftragsverarbeiter;
1.1.11.2 eine Weiterübermittlung personenbezogener Daten des Kunden von einem vertraglich gebundenen Auftragsverarbeiter an einen anderen vertraglich gebundenen Auftragsverarbeiter oder zwischen zwei Niederlassungen eines vertraglich gebundenen Auftragsverarbeiters,
jeweils in den Fällen, in denen eine solche Übermittlung nach den Datenschutzgesetzen (oder nach den Bestimmungen von Datenübermittlungsvereinbarungen, die zur Einhaltung der Übermittlungsbeschränkungen der Datenschutzgesetze geschlossen wurden) ohne die nach Abschnitt 5.4.3 oder 11 unten zu vereinbarenden Standardvertragsklauseln unzulässig wäre; zur Klarstellung gilt, dass eine Übermittlung personenbezogener Daten dann keine eingeschränkte Übermittlung darstellt, wenn es sich um eine Art von Übermittlung handelt, die nach den Datenschutzgesetzen des exportierenden Landes zulässig ist, beispielsweise bei Übermittlungen aus der Europäischen Union in ein Land (wie die Schweiz) oder im Rahmen eines Mechanismus (wie dem EU-US Privacy Shield), den die Kommission als Gewährleistung eines angemessenen Schutzniveaus anerkannt hat, oder bei jeder Übermittlung, die unter eine zulässige Ausnahmeregelung fällt;
1.1.12 „Services“ bezeichnet die Software, Leistungen und sonstigen Tätigkeiten, die Newforma für Mitglieder der Kundengruppe gemäß der Hauptvereinbarung bereitzustellen oder zu erbringen hat oder die in deren Namen erbracht werden;
1.1.13 „Standardvertragsklauseln“ bezeichnet die von der Europäischen Kommission jeweils verabschiedeten Vertragsklauseln; und
1.1.14 „Unterauftragsverarbeiter“ bezeichnet jede Person (einschließlich Dritter und verbundener Unternehmen von Newforma, jedoch mit Ausnahme eines Mitarbeiters von Newforma oder eines seiner Unterauftragnehmer), die von Newforma oder in deren Namen oder von einem verbundenen Unternehmen von Newforma oder in dessen Namen beauftragt wird, personenbezogene Daten im Auftrag eines Mitglieds der Kundengruppe im Zusammenhang mit der Hauptvereinbarung zu verarbeiten.
1.2 Die Begriffe „Kommission“, „Verantwortlicher“, „betroffene Person“, „Mitgliedstaat“, „personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“ und „Aufsichtsbehörde“ haben dieselbe Bedeutung wie in der DSGVO; entsprechende Begriffe sind entsprechend auszulegen.
1.3 Das Wort „einschließlich“ ist im Sinne von „einschließlich, jedoch nicht abschließend“ auszulegen; entsprechende Begriffe sind entsprechend auszulegen.
2. Verarbeitung personenbezogener Daten des Kunden
2.1 Newforma und jedes verbundene Unternehmen von Newforma dürfen personenbezogene Daten des Kunden nur auf Grundlage der dokumentierten Weisungen des jeweils betroffenen Mitglieds der Kundengruppe verarbeiten, es sei denn, die Verarbeitung ist nach anwendbaren Gesetzen erforderlich, denen der jeweilige vertraglich gebundene Auftragsverarbeiter unterliegt; in diesem Fall wird Newforma oder das jeweils betroffene verbundene Unternehmen von Newforma das betroffene Mitglied der Kundengruppe, soweit nach den anwendbaren Gesetzen zulässig, vor der betreffenden Verarbeitung dieser personenbezogenen Daten über diese gesetzliche Verpflichtung informieren.
2.2 Jedes Mitglied der Kundengruppe:
2.2.1 weist Newforma und jedes verbundene Unternehmen von Newforma an (und ermächtigt Newforma und jedes verbundene Unternehmen von Newforma, jeden Unterauftragsverarbeiter entsprechend anzuweisen), Folgendes zu tun:
2.2.1.1 personenbezogene Daten des Kunden zu verarbeiten; und
2.2.1.2 und insbesondere personenbezogene Daten des Kunden in jedes Land oder Gebiet zu übermitteln,
soweit dies für die Erbringung der Services vernünftigerweise erforderlich ist und mit der Hauptvereinbarung im Einklang steht; und
2.2.2 sichert zu und gewährleistet, dass es jederzeit ordnungsgemäß und wirksam bevollmächtigt ist und bleiben wird, die in Abschnitt 2.2.1 genannten Weisungen im Namen jedes jeweils betroffenen verbundenen Unternehmens des Kunden zu erteilen.
2.3 Anhang 1 dieses Zusatzes enthält bestimmte Informationen über die Verarbeitung personenbezogener Daten des Kunden durch die vertraglich gebundenen Auftragsverarbeiter, wie dies nach Artikel 28 Absatz 3 DSGVO (und gegebenenfalls nach entsprechenden Anforderungen anderer Datenschutzgesetze) erforderlich ist. Der Kunde kann Anhang 1 von Zeit zu Zeit durch schriftliche Mitteilung an Newforma in angemessener Weise ändern, soweit der Kunde dies vernünftigerweise für erforderlich hält, um diese Anforderungen zu erfüllen. Keine Bestimmung von Anhang 1 (einschließlich in der gemäß diesem Abschnitt 2.3 geänderten Fassung) begründet Rechte oder Pflichten für eine Partei dieses Zusatzes.
3. Newforma und das Personal der verbundenen Unternehmen von Newforma
Newforma und jedes verbundene Unternehmen von Newforma haben angemessene Maßnahmen zu ergreifen, um die Zuverlässigkeit jedes Mitarbeiters, Beauftragten oder Auftragnehmers eines vertraglich gebundenen Auftragsverarbeiters sicherzustellen, der Zugang zu den personenbezogenen Daten des Kunden haben kann. Dabei ist in jedem Fall sicherzustellen, dass der Zugang strikt auf diejenigen Personen beschränkt ist, die diese personenbezogenen Daten des Kunden kennen müssen oder Zugang hierzu benötigen, soweit dies für die Zwecke der Hauptvereinbarung und zur Einhaltung der anwendbaren Gesetze im Rahmen der Aufgaben dieser Person für den vertraglich gebundenen Auftragsverarbeiter unbedingt erforderlich ist, und dass alle diese Personen Vertraulichkeitsverpflichtungen oder beruflichen bzw. gesetzlichen Geheimhaltungspflichten unterliegen.
4. Sicherheit
4.1 Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen haben Newforma und jedes verbundene Unternehmen von Newforma in Bezug auf die personenbezogenen Daten des Kunden geeignete und wirtschaftlich angemessene technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, einschließlich gegebenenfalls der in Artikel 32 Absatz 1 DSGVO genannten Maßnahmen.
4.2 Bei der Beurteilung des angemessenen Sicherheitsniveaus haben Newforma und jedes verbundene Unternehmen von Newforma insbesondere die mit der Verarbeitung verbundenen Risiken zu berücksichtigen, insbesondere solche, die sich aus einer Verletzung des Schutzes personenbezogener Daten ergeben.
5. Unterauftragsverarbeitung
5.1 Jedes Mitglied der Kundengruppe ermächtigt Newforma und jedes verbundene Unternehmen von Newforma, Unterauftragsverarbeiter gemäß diesem Abschnitt 5 und vorbehaltlich etwaiger Beschränkungen in der Hauptvereinbarung zu beauftragen (und jedem gemäß diesem Abschnitt 5 beauftragten Unterauftragsverarbeiter zu gestatten, seinerseits Unterauftragsverarbeiter zu beauftragen).
5.2 Newforma und jedes verbundene Unternehmen von Newforma dürfen weiterhin diejenigen Unterauftragsverarbeiter einsetzen, die von Newforma oder einem verbundenen Unternehmen von Newforma bereits zum Zeitpunkt des Inkrafttretens dieses Zusatzes beauftragt waren, sofern Newforma und jedes verbundene Unternehmen von Newforma in jedem Fall so bald wie praktikabel die in Abschnitt 5.4 festgelegten Verpflichtungen erfüllen.
5.3 Newforma hat den Kunden vorab schriftlich über die Beauftragung eines neuen Unterauftragsverarbeiters zu informieren, einschließlich aller Einzelheiten der Verarbeitung, die von diesem Unterauftragsverarbeiter vorgenommen werden soll. Widerspricht der Kunde dieser beabsichtigten Beauftragung innerhalb von zehn (10) Kalendertagen nach Erhalt dieser Mitteilung schriftlich aus angemessenen Gründen, dürfen weder Newforma noch ein verbundenes Unternehmen von Newforma den vorgeschlagenen Unterauftragsverarbeiter beauftragen (oder diesem personenbezogene Daten des Kunden offenlegen), bevor nicht angemessene Schritte unternommen wurden, um die von einem Mitglied der Kundengruppe erhobenen Einwände auszuräumen, und dem Kunden eine angemessene schriftliche Erläuterung der ergriffenen Maßnahmen zur Verfügung gestellt wurde.
5.4 In Bezug auf jeden Unterauftragsverarbeiter haben Newforma oder das jeweils betroffene verbundene Unternehmen von Newforma:
5.4.1 bevor der Unterauftragsverarbeiter erstmals personenbezogene Daten des Kunden verarbeitet (oder gegebenenfalls gemäß Abschnitt 5.2), eine angemessene Due-Diligence-Prüfung durchzuführen, um sicherzustellen, dass der Unterauftragsverarbeiter in der Lage ist, das nach der Hauptvereinbarung erforderliche Schutzniveau für personenbezogene Daten des Kunden zu gewährleisten;
5.4.2 sicherzustellen, dass die Beziehung zwischen einerseits (a) Newforma, (b) dem jeweils betroffenen verbundenen Unternehmen von Newforma oder (c) dem jeweils betroffenen zwischengeschalteten Unterauftragsverarbeiter und andererseits dem Unterauftragsverarbeiter durch einen schriftlichen Vertrag geregelt ist, der Bestimmungen enthält, die mindestens dasselbe Schutzniveau für personenbezogene Daten des Kunden bieten wie die in diesem Zusatz festgelegten Bestimmungen und die Anforderungen von Artikel 28 Absatz 3 DSGVO erfüllen;
5.4.3 falls diese Beziehung eine eingeschränkte Übermittlung beinhaltet, sicherzustellen, dass die Standardvertragsklauseln jederzeit in die Vereinbarung zwischen einerseits (a) Newforma, (b) dem jeweils betroffenen verbundenen Unternehmen von Newforma oder (c) dem jeweils betroffenen zwischengeschalteten Unterauftragsverarbeiter und andererseits dem Unterauftragsverarbeiter aufgenommen werden, oder sicherzustellen, dass vor der ersten Verarbeitung personenbezogener Daten des Kunden durch den Unterauftragsverarbeiter mit dem bzw. den jeweils betroffenen Mitgliedern der Kundengruppe eine Vereinbarung geschlossen wird, die die Standardvertragsklauseln enthält (wobei der Kunde sicherstellt, dass jedes an solchen Standardvertragsklauseln beteiligte verbundene Unternehmen des Kunden bei deren Ausfüllung und Unterzeichnung mitwirkt); und
5.4.4 dem Kunden auf dessen Verlangen von Zeit zu Zeit solche Kopien der Vereinbarungen zwischen den vertraglich gebundenen Auftragsverarbeitern und den Unterauftragsverarbeitern zur Prüfung zur Verfügung zu stellen, wie der Kunde dies verlangt, wobei diese Kopien geschwärzt werden dürfen, um Informationen zu entfernen, die für die Anforderungen dieses Zusatzes nicht relevant sind.
5.5 Newforma und jedes verbundene Unternehmen von Newforma haben sicherzustellen, dass jeder Unterauftragsverarbeiter die Verpflichtungen aus den Abschnitten 2.1, 3, 4, 6.1, 7.2, 8 und 9.1 erfüllt, soweit diese für die von diesem Unterauftragsverarbeiter vorgenommene Verarbeitung personenbezogener Daten des Kunden gelten, als wäre dieser anstelle von Newforma Partei dieses Zusatzes.
6. Rechte betroffener Personen
6.1 Unter Berücksichtigung der Art der Verarbeitung und ausschließlich im Rahmen der Services haben Newforma und jedes verbundene Unternehmen von Newforma jedes Mitglied der Kundengruppe durch die Umsetzung geeigneter technischer und organisatorischer Maßnahmen zu unterstützen, soweit dies wirtschaftlich angemessen ist, damit die Mitglieder der Kundengruppe ihren Verpflichtungen nachkommen können, wie sie vom Kunden vernünftigerweise verstanden werden, auf Anfragen zur Ausübung der Rechte betroffener Personen nach den Datenschutzgesetzen zu reagieren.
6.2 Newforma hat:
6.2.1 den Kunden unverzüglich zu benachrichtigen, wenn ein vertraglich gebundener Auftragsverarbeiter in Bezug auf personenbezogene Daten des Kunden eine Anfrage einer betroffenen Person nach einem Datenschutzgesetz erhält; und
6.2.2 sicherzustellen, dass der vertraglich gebundene Auftragsverarbeiter auf eine solche Anfrage nicht antwortet, es sei denn auf der Grundlage dokumentierter Weisungen des Kunden oder des jeweils betroffenen verbundenen Unternehmens des Kunden oder soweit dies nach anwendbaren Gesetzen erforderlich ist, denen der vertraglich gebundene Auftragsverarbeiter unterliegt; in diesem Fall wird Newforma den Kunden, soweit nach den anwendbaren Gesetzen zulässig, vor der Beantwortung der Anfrage durch den vertraglich gebundenen Auftragsverarbeiter über diese gesetzliche Verpflichtung informieren.
7
7. Verletzung des Schutzes personenbezogener Daten
7.1 Newforma hat den Kunden unverzüglich zu benachrichtigen, sobald Newforma oder ein Unterauftragsverarbeiter Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt, die personenbezogene Daten des Kunden betrifft, und dem Kunden ausreichende Informationen zur Verfügung zu stellen, damit jedes Mitglied der Kundengruppe etwaige Verpflichtungen nach den Datenschutzgesetzen zur Meldung dieser Verletzung des Schutzes personenbezogener Daten oder zur Benachrichtigung betroffener Personen erfüllen kann.
7.2 Newforma hat mit dem Kunden und jedem Mitglied der Kundengruppe zusammenzuarbeiten und die vom Kunden angewiesenen wirtschaftlich angemessenen Maßnahmen zu ergreifen, um bei der Untersuchung, Eindämmung und Behebung jeder solchen Verletzung des Schutzes personenbezogener Daten zu unterstützen.
8. Datenschutz-Folgenabschätzung und vorherige Konsultation
Newforma und jedes verbundene Unternehmen von Newforma haben jedem Mitglied der Kundengruppe angemessene Unterstützung bei Datenschutz-Folgenabschätzungen sowie bei vorherigen Konsultationen mit Aufsichtsbehörden oder anderen zuständigen Datenschutzbehörden zu leisten, soweit solche Maßnahmen für ein Mitglied der Kundengruppe nach Artikel 35 oder 36 DSGVO oder nach entsprechenden Bestimmungen anderer Datenschutzgesetze erforderlich sind, jeweils ausschließlich in Bezug auf die Verarbeitung personenbezogener Daten des Kunden durch die vertraglich gebundenen Auftragsverarbeiter und unter Berücksichtigung der Art der Verarbeitung sowie der den vertraglich gebundenen Auftragsverarbeitern zur Verfügung stehenden Informationen.
9. Löschung oder Rückgabe personenbezogener Daten des Kunden
9.1 Vorbehaltlich der Abschnitte 9.2 und 9.3 haben Newforma und jedes verbundene Unternehmen von Newforma unverzüglich, in jedem Fall jedoch innerhalb von 60 Tagen nach dem Datum der Beendigung jeglicher Services, die die Verarbeitung personenbezogener Daten des Kunden beinhalten (das „Beendigungsdatum“), alle Kopien dieser personenbezogenen Daten des Kunden zu löschen und deren Löschung sicherzustellen.
9.2 Vorbehaltlich Abschnitt 9.3 kann der Kunde nach eigenem uneingeschränkten Ermessen durch schriftliche Mitteilung an Newforma innerhalb von 10 Tagen nach dem Beendigungsdatum verlangen, dass Newforma und jedes verbundene Unternehmen von Newforma:
(a) dem Kunden eine vollständige Kopie aller personenbezogenen Daten des Kunden per sicherer Dateiübertragung in einem Format zurückgeben, das der Kunde Newforma in angemessener Weise mitgeteilt hat; und
(b) alle sonstigen Kopien personenbezogener Daten des Kunden, die von einem vertraglich gebundenen Auftragsverarbeiter verarbeitet wurden, löschen und deren Löschung sicherstellen.
Newforma und jedes verbundene Unternehmen von Newforma haben einer solchen schriftlichen Aufforderung innerhalb von 60 Tagen nach dem Beendigungsdatum nachzukommen.
9.3 Jeder vertraglich gebundene Auftragsverarbeiter darf personenbezogene Daten des Kunden in dem Umfang aufbewahren, in dem dies nach anwendbaren Gesetzen erforderlich ist, und nur in diesem Umfang sowie für den nach anwendbaren Gesetzen vorgeschriebenen Zeitraum, vorausgesetzt jedoch stets, dass Newforma und jedes verbundene Unternehmen von Newforma die Vertraulichkeit aller dieser personenbezogenen Daten des Kunden sicherstellen und gewährleisten, dass diese personenbezogenen Daten nur insoweit verarbeitet werden, als dies für die in den anwendbaren Gesetzen genannten Zwecke ihrer Aufbewahrung erforderlich ist, und zu keinem anderen Zweck.
10. Prüfungsrechte
10.1 Vorbehaltlich der Abschnitte 10.2 bis 10.3 haben Newforma und jedes verbundene Unternehmen von Newforma jedem Mitglied der Kundengruppe auf Verlangen alle Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung dieses Zusatzes nachzuweisen, und Prüfungen, einschließlich Inspektionen, durch ein Mitglied der Kundengruppe oder einen von einem Mitglied der Kundengruppe beauftragten Prüfer in Bezug auf die Verarbeitung personenbezogener Daten des Kunden durch die vertraglich gebundenen Auftragsverarbeiter zu ermöglichen und hierzu beizutragen.
10.2 Ein Mitglied der Kundengruppe darf für die Zwecke von Abschnitt 10.1 nur dann einen externen Prüfer einsetzen, wenn dieser Prüfer von Newforma genehmigt wurde; eine solche Genehmigung darf nicht unangemessen verweigert, verzögert oder von Bedingungen abhängig gemacht werden.
10.3 Der Kunde oder das jeweils betroffene verbundene Unternehmen des Kunden, das eine Prüfung durchführt, hat Newforma oder dem jeweils betroffenen verbundenen Unternehmen von Newforma eine angemessene Vorankündigung jeder nach Abschnitt 10.1 durchzuführenden Prüfung oder Inspektion zu geben und hat sich nach besten Kräften zu bemühen (und sicherzustellen, dass auch jeder von ihm beauftragte Prüfer sich entsprechend bemüht), Schäden, Beeinträchtigungen oder Störungen der Geschäftsräume, der Ausstattung, des Personals und des Geschäftsbetriebs der vertraglich gebundenen Auftragsverarbeiter zu vermeiden oder, falls dies nicht möglich ist, auf ein Mindestmaß zu beschränken, während sich das Personal des Kunden oder seiner Prüfer im Rahmen einer solchen Prüfung oder Inspektion in diesen Räumlichkeiten aufhält. Ein vertraglich gebundener Auftragsverarbeiter ist nicht verpflichtet, Zugang zu seinen Räumlichkeiten für die Zwecke einer solchen Prüfung oder Inspektion zu gewähren:
10.3.1 einer Person, die keinen angemessenen Nachweis ihrer Identität und Bevollmächtigung vorlegt;
10.3.2 außerhalb der üblichen Geschäftszeiten dieser Räumlichkeiten, es sei denn, die Prüfung oder Inspektion muss aus dringenden Gründen durchgeführt werden und der Kunde oder das jeweils betroffene verbundene Unternehmen des Kunden hat Newforma oder das jeweils betroffene verbundene Unternehmen von Newforma vor Beginn eines solchen Zugangs außerhalb dieser Zeiten darüber informiert; oder
10.3.3 für mehr als eine Prüfung oder Inspektion je vertraglich gebundenem Auftragsverarbeiter innerhalb eines rollierenden Zeitraums von zwölf (12) Monaten.
11. Eingeschränkte Übermittlungen
11.1 Jedes Mitglied der Kundengruppe stimmt hiermit zu, dass Newforma oder das jeweils betroffene verbundene Unternehmen von Newforma personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums („EWR“) verarbeiten und übermitteln darf, einschließlich in die Vereinigten Staaten und an Empfänger in den Vereinigten Staaten. Newforma hat gemeinsam mit jedem anderen verbundenen Unternehmen von Newforma geeignete und wirtschaftlich angemessene Schutzmaßnahmen vorzusehen, um sicherzustellen, dass eine solche Verarbeitung und Übermittlung außerhalb des EWR im Einklang mit den anwendbaren Datenschutzgesetzen der Europäischen Union erfolgt. Solche Schutzmaßnahmen können insbesondere im Privacy Shield und/oder in den von der Europäischen Kommission jeweils verabschiedeten Standardvertragsklauseln bestehen. Jedes Mitglied der Kundengruppe ermächtigt hiermit als Datenexporteur Newforma und jedes verbundene Unternehmen von Newforma, im Namen und für Rechnung dieses Mitglieds der Kundengruppe Standardvertragsklauseln mit jedem anderen verbundenen Unternehmen von Newforma als Datenimporteur abzuschließen.
11.2 Die Standardvertragsklauseln treten nach Abschnitt 11.1 mit dem späteren der folgenden Zeitpunkte in Kraft:
11.2.1 dem Zeitpunkt, zu dem der Datenexporteur Vertragspartei dieser Standardvertragsklauseln wird;
11.2.2 dem Zeitpunkt, zu dem der Datenimporteur Vertragspartei dieser Standardvertragsklauseln wird; und
11.2.3 dem Beginn der betreffenden eingeschränkten Übermittlung.
11.3 Abschnitt 11.1 findet auf eine eingeschränkte Übermittlung keine Anwendung, es sei denn, seine Wirkung besteht zusammen mit anderen vernünftigerweise praktikablen Compliance-Maßnahmen (die zur Klarstellung nicht die Einholung von Einwilligungen betroffener Personen umfassen) darin, dass die betreffende eingeschränkte Übermittlung ohne Verstoß gegen die anwendbaren Datenschutzgesetze erfolgen kann.
12. Rangfolge
12.1 Nichts in diesem Zusatz verringert die Verpflichtungen von Newforma oder eines verbundenen Unternehmens von Newforma nach der Hauptvereinbarung in Bezug auf den Schutz personenbezogener Daten oder gestattet Newforma oder einem verbundenen Unternehmen von Newforma, personenbezogene Daten in einer Weise zu verarbeiten (oder deren Verarbeitung zu gestatten), die nach der Hauptvereinbarung unzulässig ist. Im Fall eines Widerspruchs oder einer Unstimmigkeit zwischen diesem Zusatz und den Standardvertragsklauseln haben die Standardvertragsklauseln Vorrang.
12.2 Vorbehaltlich Abschnitt 12.1 haben im Hinblick auf den Gegenstand dieses Zusatzes im Fall von Unstimmigkeiten zwischen den Bestimmungen dieses Zusatzes und anderen Vereinbarungen zwischen den Parteien, einschließlich der Hauptvereinbarung sowie einschließlich (außer soweit ausdrücklich schriftlich und im Namen der Parteien anderweitig vereinbart) Vereinbarungen, die nach dem Datum dieses Zusatzes geschlossen wurden oder geschlossen worden sein sollen, die Bestimmungen dieses Zusatzes Vorrang.
12.3 Mitteilungen nach diesem Zusatz bedürfen der Schriftform und sind persönlich zu übergeben, per Einschreiben zu versenden oder durch einen gewerblichen Kurierdienst zuzustellen. Mitteilungen gelten mit Zugang als wirksam oder, im Fall der Annahmeverweigerung, mit dem Versuch der Zustellung. Mitteilungen an Newforma sind an folgende Anschrift zu richten oder zu senden: 1750 Elm Street, 9th Floor, Manchester, NH 03104 USA, z. Hd. Rechtsabteilung. Mitteilungen an den Kunden sind an die bei Newforma hinterlegte Hauptrechnungsadresse des Kunden zu richten oder zu senden.
ANHANG 1: EINZELHEITEN DER VERARBEITUNG PERSONENBEZOGENER DATEN DES UNTERNEHMENS
Umfang, Art und Zweck der Verarbeitung
Die verarbeiteten und übermittelten personenbezogenen Daten unterliegen den folgenden grundlegenden Verarbeitungsvorgängen:
Die personenbezogenen Daten werden im Zusammenhang mit der Erbringung der vertraglich vereinbarten Services durch Newforma und seine verbundenen Unternehmen an den Kunden und die Endnutzer des Kunden verarbeitet und übermittelt. Je nach den Merkmalen der jeweils erbrachten Services können die Verarbeitungsvorgänge insbesondere Folgendes umfassen:
1. die Speicherung und Verarbeitung von Daten in den Rechenzentren von Newforma im Zusammenhang mit der Erbringung der Services;
2. das Hosting gesicherter Internetportale zur Darstellung servicebezogener Informationen;
3. die Erstellung von Rechnungen und zugehörigen Abrechnungsinformationen;
4. die Bereitstellung von technischem Support;
5. die Erbringung von Implementierungsleistungen und Schulungen; und
6. sonstige Verarbeitungsvorgänge, die üblicherweise im Rahmen der Bereitstellung von Projektinformationsmanagement als Service durchgeführt werden.
Dauer der Verarbeitung
Newforma wird die Verarbeitung und Übermittlung personenbezogener Daten des Kunden nach Beendigung der Erbringung der jeweiligen Services innerhalb eines angemessenen Zeitraums einstellen, der erforderlich ist, um diese Beendigung der Verarbeitung und Übermittlung umzusetzen.
Kategorien betroffener Personen
Newforma wird personenbezogene Daten der Ansprechpartner des Kunden sowie der Endnutzer des Kunden, die die Services von Newforma nutzen, verarbeiten und übermitteln.
Arten personenbezogener Daten
Die verarbeiteten oder übermittelten personenbezogenen Daten betreffen die folgenden Datenkategorien:
1. In Bezug auf die Ansprechpartner des Kunden können die Kategorien Folgendes umfassen: Name, Titel, Geschlecht und geschäftliche Kontaktdaten (Geschäftsanschrift, Telefonnummer, E-Mail-Adresse usw.);
2. In Bezug auf Endnutzer, die die Services nutzen, können die Kategorien je nach den Merkmalen der jeweils erbrachten Services und soweit sie sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, Folgendes umfassen:
a. Namen, Geschlecht, Abteilung, geschäftliche Kontaktdaten (E-Mail, Telefon, Mobiltelefon, Fax), primären Bürostandort und sonstige Kontaktdaten, soweit diese vom Endnutzer angegeben werden;
b. Benutzernamen und sonstige Anmelde- oder Zugangsdaten;
c. Verbindungsdatensätze und sonstige Kommunikationsdaten im Zusammenhang mit eingehender und ausgehender Kommunikation (Telefonnummern, IP-Adressen und sonstige Kommunikationskennungen, Datum, Uhrzeit und Dauer der Kommunikation sowie sonstige Daten, die üblicherweise für die Erbringung von Kommunikationsdiensten verarbeitet werden);
d. hochgeladene Dateien, Nachrichten und Notizen;
e. Sprachnachrichten und Gesprächsaufzeichnungen; und
f. Videoaufzeichnungen sowie Angaben zu Schulungsteilnehmern (Namen, Telefonnummer und E-Mail-Adresse, sofern angegeben, sowie die IP-Adresse des Computers des Teilnehmers).
