Datenschutz-Addendum

Datenschutz-Addendum von Transparent Business Solution B.V.

Dieses Datenschutz-Addendum (“Addendum”) gilt für Transparent Business Solution B.V. sowie für ihre anderen Marken, unter denen sie firmiert, wie etwa Cyberclaims (hierin gemeinsam als “die Organisation” bezeichnet), und regelt deren Geschäftstätigkeit, die Nutzungsbedingungen ihrer Website sowie jede andere schriftliche oder elektronische Vereinbarung, die dieses Addendum ebenfalls einbezieht (hierin gemeinsam als “Dienstleistungsvertrag” bezeichnet). In jedem dieser Fälle bezweckt das Addendum, Protokolle zwischen dem Unternehmen und seinen Partnern, Kunden und anderen operativen Datenlieferanten (hierin gemeinsam als “Kunde” bezeichnet) festzulegen.

Der Kunde schließt dieses Addendum im eigenen Namen sowie im Namen aller Verbundenen Unternehmen ab, die zur Nutzung der Dienste im Rahmen des Dienstleistungsvertrags berechtigt sind und die keine gesonderte vertragliche Vereinbarung mit der Organisation getroffen haben. Ausschließlich für die Zwecke dieses Addendums und sofern nicht anders angegeben, umfassen Verweise auf den “Kunden” den Kunden und diese Verbundenen Unternehmen.

Die Parteien vereinbaren hiermit, dass die nachstehend aufgeführten Bedingungen als Addendum zum Dienstleistungsvertrag hinzugefügt werden.

1. Begriffsbestimmungen

In diesem Addendum haben die folgenden Begriffe die nachstehend aufgeführten Bedeutungen und verwandte Begriffe werden entsprechend ausgelegt:

“Verbundenes Unternehmen” bezeichnet eine Einheit, die entweder den Kunden oder die Organisation besitzt oder kontrolliert, von diesen besessen oder kontrolliert wird oder mit diesen unter gemeinsamer Kontrolle oder gemeinsamem Eigentum steht (je nach Kontext), wobei Kontrolle definiert ist als der direkte oder indirekte Besitz der Befugnis, die Leitung und die Richtlinien einer Einheit zu bestimmen oder deren Bestimmung zu bewirken, sei es durch das Halten stimmberechtigter Wertpapiere, durch Vertrag oder auf andere Weise.

“Personenbezogene Daten des Kunden” bezeichnet alle Personenbezogenen Daten, die vom Kunden bereitgestellt oder dem Kunden von der Organisation zur Verfügung gestellt oder von der Organisation im Namen des Kunden erhoben werden und die von der Organisation zur Erbringung der Dienste Verarbeitet werden.

“Verantwortlicher-an-Auftragsverarbeiter-SCCs” bezeichnet die von der Europäischen Kommission am 4. Juni 2021 veröffentlichten Standardvertragsklauseln für grenzüberschreitende Übermittlungen, die die Übermittlung von Personenbezogenen Daten aus der Europäischen Zone in Drittländer regeln, wie sie von der Europäischen Kommission, dem Schweizerischen Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (“Swiss FDPIC”) in Bezug auf Datenübermittlungen in Drittländer angenommen wurden (gemeinsam “EU-SCCs”); (ii) das internationale Addendum zur Datenübermittlung (“UK Transfer Addendum”), das vom UK Information Commissioner’s Office (“UK ICO”) für Datenübermittlungen aus dem Vereinigten Königreich in Drittländer angenommen wurde; oder (iii) etwaige ähnliche Klauseln, die von einer Datenschutzaufsichtsbehörde in Bezug auf Übermittlungen Personenbezogener Daten in Drittländer angenommen werden, einschließlich, aber nicht beschränkt auf etwaige Nachfolgeklauseln dazu.

“Datenschutzgesetze” bezeichnet jedes lokale, bundesstaatliche oder nationale Gesetz betreffend die Verarbeitung Personenbezogener Daten, das für die Organisation in den Rechtsordnungen gilt, in denen die Dienste für den Kunden erbracht werden, einschließlich, aber nicht beschränkt auf das Recht in den Bereichen Privatsphäre, Sicherheit und Datenschutz.

“EU-Zone” bezeichnet die Europäische Union, den Europäischen Wirtschaftsraum, das Vereinigte Königreich und die Schweiz.

“Recht der EU-Zone” bezeichnet (i) die Richtlinie 95/46/EG und, ab dem 25. Mai 2018, die Verordnung (EU) 2016/679 (“EU-DSGVO”) zusammen mit den anwendbaren Rechtsvorschriften zu deren Umsetzung oder Ergänzung oder die sich anderweitig auf die Verarbeitung Personenbezogener Daten natürlicher Personen beziehen; (ii) den Data Protection Act 1998 des Vereinigten Königreichs und die EU-DSGVO, wie sie kraft Section 3 des European Union (Withdrawal) Act 2018 des Vereinigten Königreichs in das Recht des Vereinigten Königreichs übernommen wurde (die “UK-DSGVO”); (iii) das Schweizer Bundesgesetz über den Datenschutz vom 19. Juni 1992 und die dazugehörige Verordnung (“Swiss DPA”); (iv) jedes andere Gesetz betreffend den Datenschutz, die Sicherheit oder die Privatsphäre von Personen, das in der EU-Zone gilt; oder (v) etwaige Nachfolger oder Änderungen davon (einschließlich, aber nicht beschränkt auf die Umsetzung der EU-DSGVO durch die Mitgliedstaaten in ihr nationales Recht).

“Sicherheitsvorfall” bezeichnet jede Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugriff auf von der Organisation Verarbeitete Personenbezogene Daten des Kunden führt.

“Dienste” bezeichnet die von der Organisation dem Kunden oder den Verbundenen Unternehmen des Kunden gemäß dem Dienstleistungsvertrag zu erbringenden Dienstleistungen.

“Drittland” bezeichnet Länder, die, soweit dies nach den anwendbaren Datenschutzgesetzen erforderlich ist, keinen Angemessenheitsbeschluss einer zuständigen Behörde in Bezug auf grenzüberschreitende Datenübermittlungen Personenbezogener Daten erhalten haben, einschließlich von Regulierungsbehörden wie der Europäischen Kommission, dem UK ICO oder dem Swiss FDPIC.

Die Begriffe “Geschäft”, “Geschäftszweck”, “kommerzieller Zweck”, “Auftragnehmer”, “Verantwortlicher”, “Betroffene Person”, “Personenbezogene Daten”, “Verletzung des Schutzes personenbezogener Daten”, “Verarbeiten”, “Auftragsverarbeiter”, “Verkaufen”, “Dienstleister”, “Teilen”, “Unterauftragsverarbeiter”, “Aufsichtsbehörde” und “Dritter” haben dieselbe Bedeutung wie in den anwendbaren Datenschutzgesetzen beschrieben und verwandte Begriffe werden entsprechend ausgelegt.

Groß geschriebene Begriffe, die in diesem Addendum nicht anderweitig definiert sind, haben die ihnen im Dienstleistungsvertrag zugewiesene Bedeutung.

2. Anwendungsbereich des Addendums

Dieses Addendum gilt für die Verarbeitung von Personenbezogenen Daten des Kunden durch die Organisation im Rahmen des Dienstleistungsvertrags, soweit eine solche Verarbeitung den Datenschutzgesetzen unterliegt. Dieses Addendum unterliegt dem für den Dienstleistungsvertrag geltenden Recht, sofern die Datenschutzgesetze nichts anderes vorschreiben.

3. Rollen der Parteien

Die Parteien erkennen an und vereinbaren, dass der Kunde in Bezug auf die Verarbeitung von Personenbezogenen Daten des Kunden und wie in Anlage 1 hierzu näher beschrieben als Geschäft oder Verantwortlicher handelt und die Organisation als Dienstleister oder Auftragsverarbeiter handelt. Dieses Addendum gilt ausschließlich für die Verarbeitung von Personenbezogenen Daten des Kunden durch die Organisation, die als Auftragsverarbeiter, Unterauftragsverarbeiter oder Dritter handelt (wie in Anlage 1 angegeben).

Die Parteien vereinbaren ausdrücklich, dass der Kunde allein dafür verantwortlich ist, eine rechtzeitige Kommunikation an die Verbundenen Unternehmen des Kunden oder den/die betroffenen Verantwortlichen sicherzustellen, die die Dienste erhalten, soweit eine solche Kommunikation nach den anwendbaren Datenschutzgesetzen erforderlich oder nützlich sein kann, um den Verbundenen Unternehmen des Kunden oder dem/den betroffenen Verantwortlichen die Einhaltung dieser Gesetze zu ermöglichen.

Der Kunde ist allein für die Einhaltung der für den Kunden geltenden Gesetze zur Meldung von Sicherheitsvorfällen und für die Erfüllung etwaiger Verpflichtungen zur Benachrichtigung von Behörden, betroffenen Personen oder anderen im Zusammenhang mit Sicherheitsvorfällen verantwortlich.

4. Beschreibung und Zweck der Verarbeitung Personenbezogener Daten

In Anlage 1 zu diesem Addendum haben die Parteien einvernehmlich ihr Verständnis über den Gegenstand und die Einzelheiten der Verarbeitung der von der Organisation gemäß diesem Addendum zu Verarbeitenden Personenbezogenen Daten des Kunden dargelegt. Die Parteien können bei gegenseitiger schriftlicher Vereinbarung und soweit vernünftigerweise erforderlich, um diesen Anforderungen zu genügen oder um von Zeit zu Zeit den Anforderungen der Datenschutzgesetze zu entsprechen, angemessene Änderungen an Anlage 1 vornehmen. Anlage 1 begründet für keine Partei Verpflichtungen oder Rechte.

Der Zweck der Verarbeitung im Rahmen dieses Addendums ist die Erbringung der Dienste gemäß dem Dienstleistungsvertrag und etwaigen Bestellformular(en).

5. Bedingungen für die Datenverarbeitung

Der Kunde hält alle anwendbaren Datenschutzgesetze im Zusammenhang mit der Durchführung dieses Addendums und der Verarbeitung von Personenbezogenen Daten des Kunden ein. Im Zusammenhang mit seinem Zugang zu den Diensten und deren Nutzung Verarbeitet der Kunde Personenbezogene Daten des Kunden innerhalb dieser Dienste und erteilt der Organisation Weisungen in Übereinstimmung mit den anwendbaren Datenschutzgesetzen. Im Verhältnis zwischen den Parteien ist der Kunde allein für die Einhaltung der anwendbaren Datenschutzgesetze in Bezug auf die Erhebung und die Übermittlung der Personenbezogenen Daten des Kunden an die Organisation verantwortlich. Der Kunde verpflichtet sich, der Organisation keine Daten über die Gesundheit oder Religion einer natürlichen Person oder besondere Kategorien von Daten im Sinne von Artikel 9 der DSGVO zur Verfügung zu stellen.

Die Organisation hält alle anwendbaren Datenschutzgesetze bei der Verarbeitung von Personenbezogenen Daten des Kunden ein, und die Organisation wird:

Die Personenbezogenen Daten des Kunden Verarbeiten für die Zwecke des Dienstleistungsvertrags und für die im jeweiligen Fall in Anlage 1 zu diesem Addendum dargelegten spezifischen Zwecke und ansonsten ausschließlich auf der Grundlage der dokumentierten Weisungen des Kunden, zum Zweck der Erbringung der Dienste und soweit anderweitig zur Erfüllung ihrer Verpflichtungen aus dem Dienstleistungsvertrag erforderlich. Der Dienstleistungsvertrag, dieses Addendum sowie die Nutzung der Merkmale und Funktionen der Dienste durch den Kunden stellen die schriftlichen Weisungen des Kunden an die Organisation in Bezug auf die Verarbeitung von Personenbezogenen Daten des Kunden dar, einschließlich wie folgt:

1.1 Die Organisation wird Personenbezogene Daten des Kunden ausschließlich im Namen des Kunden und für den spezifischen Geschäftszweck der Erbringung der Dienste sowie in Übereinstimmung mit den Weisungen des Kunden verwenden, aufbewahren, offenlegen oder anderweitig Verarbeiten, einschließlich wie im Dienstleistungsvertrag beschrieben. Die Organisation wird Personenbezogene Daten des Kunden weder Verkaufen noch Teilen und Personenbezogene Daten des Kunden nicht außerhalb ihrer Geschäftsbeziehung mit dem Kunden oder für einen anderen Zweck (einschließlich des kommerziellen Zwecks der Organisation) verwenden, aufbewahren, offenlegen oder anderweitig Verarbeiten, außer soweit gesetzlich vorgeschrieben oder zulässig. Die Organisation wird den Kunden unverzüglich informieren, (a) wenn die Organisation feststellt, dass sie ihre Verpflichtungen nach den Datenschutzgesetzen nicht mehr erfüllen kann, oder (b) wenn nach Ansicht der Organisation eine Weisung gegen die anwendbaren Datenschutzgesetze verstößt. Der Kunde behält sich das Recht vor, angemessene und geeignete Schritte zu unternehmen, um sicherzustellen, dass die Verarbeitung von Personenbezogenen Daten des Kunden durch Graphite mit den Verpflichtungen des Kunden nach dem Datenschutzrecht im Einklang steht, und die unbefugte Nutzung Personenbezogener Daten des Kunden zu unterbinden und zu beheben.

1.2 Die Organisation ist berechtigt, Personenbezogene Daten des Kunden ausschließlich zu verarbeiten (i) soweit erforderlich, um (a) die Geschäftszwecke und ihre Verpflichtungen aus dem Dienstleistungsvertrag zu erfüllen; (b) die Dienste zu betreiben, zu verwalten, zu testen, zu warten und zu verbessern, auch im Rahmen ihrer Geschäftstätigkeit; (c) aggregierte Statistiken über die Dienste in einer Weise offenzulegen, die eine individuelle Identifizierung oder Re-Identifizierung Personenbezogener Daten des Kunden verhindert, einschließlich, aber nicht beschränkt auf ein einzelnes Gerät oder eine einzelne Person; und/oder (d) die Dienste vor einer Bedrohung für die Dienste oder die Personenbezogenen Daten des Kunden zu schützen; oder (ii) sofern durch eine gerichtliche Anordnung eines Gerichts oder einer befugten Behörde erforderlich, vorausgesetzt, dass dem Kunden zunächst eine vorherige Mitteilung gemacht wird; (iii) wie anderweitig ausdrücklich vom Kunden genehmigt.

1.3 Die Organisation wird Personenbezogene Daten des Kunden, die die Organisation im Namen des Kunden Verarbeitet, nicht mit Personenbezogenen Daten kombinieren, die sie von oder im Namen einer anderen Person oder anderer Personen erhält oder aus ihrer eigenen Interaktion mit einer Person erhebt, mit der Maßgabe, dass Graphite personenbezogene Informationen kombinieren darf, um jeden nach dem Dienstleistungsvertrag zulässigen oder erforderlichen Geschäftszweck zur Erbringung der Dienste zu erfüllen.

Maßnahmen implementieren und aufrechterhalten, die darauf ausgelegt sind, sicherzustellen, dass das zur Verarbeitung der Personenbezogenen Daten des Kunden befugte Personal der Organisation sich zur Vertraulichkeit verpflichtet hat oder einer angemessenen gesetzlichen Geheimhaltungspflicht unterliegt, sofern die Offenlegung nicht gesetzlich oder durch berufsständische Vorschriften vorgeschrieben ist.

Die im Dienstleistungsvertrag dargelegten technischen und organisatorischen Maßnahmen implementieren und aufrechterhalten sowie unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie des in Wahrscheinlichkeit und Schwere unterschiedlichen Risikos für die Rechte und Freiheiten natürlicher Personen alle weiteren kommerziell angemessenen und geeigneten administrativen, technischen und organisatorischen Maßnahmen implementieren und aufrechterhalten, die darauf ausgelegt sind, ein dem Risiko der Verarbeitung von Personenbezogenen Daten des Kunden angemessenes Sicherheitsniveau in Übereinstimmung mit Artikel 32 der DSGVO zu gewährleisten, und insbesondere:

3.1 Pseudonymisierung und Verschlüsselung der Personenbezogenen Daten des Kunden.

3.2 Die Gewährleistung der dauerhaften Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste der Organisation, die Personenbezogene Daten des Kunden verarbeiten.

3.3 Die rechtzeitige Wiederherstellung der Verfügbarkeit von und des Zugangs zu Personenbezogenen Daten des Kunden im Falle eines physischen oder technischen Zwischenfalls.

3.4 Die regelmäßige Prüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung der Personenbezogenen Daten des Kunden.

Der Kunde stimmt hiermit zu, dass die Organisation allgemein berechtigt ist, Unterauftragsverarbeiter zu beauftragen und zu bestellen, und insbesondere die in Anlage 2 hierzu aufgeführten Unterauftragsverarbeiter, vorbehaltlich dessen, dass die Organisation:

4.1 Den Kunden mindestens dreißig (30) Kalendertage im Voraus über beabsichtigte Änderungen oder Ergänzungen ihrer in Anlage 2 aufgeführten Unterauftragsverarbeiter benachrichtigt, indem sie dem Kunden die beabsichtigte Änderung per E-Mail mitteilt.

4.2 In ihren Vertrag mit jedem Unterauftragsverarbeiter Datenschutzverpflichtungen aufnimmt, die im Wesentlichen mit den in diesem Addendum dargelegten übereinstimmen.

4.3 Gegenüber dem Kunden für jedes Versäumnis jedes Unterauftragsverarbeiters, seine Verpflichtungen in Bezug auf die Verarbeitung der Personenbezogenen Daten des Kunden zu erfüllen, haftbar bleibt.

In Bezug auf jede Mitteilung, die gemäß Abschnitt 4.2(d)(i) eingegangen ist, hat der Kunde ab dem Datum der Mitteilung eine Frist von 30 (dreißig) Tagen, um die Organisation schriftlich über jeden angemessenen Einwand aus Datenschutzgründen gegen die Nutzung dieses Unterauftragsverarbeiters zu informieren. Die Parteien werden sodann für einen Zeitraum von höchstens 30 (dreißig) Tagen ab dem Datum des Einwands des Kunden nach Treu und Glauben zusammenarbeiten, um zu versuchen, eine kommerziell angemessene Lösung für den Kunden zu finden, die die Nutzung des beanstandeten Unterauftragsverarbeiters vermeidet. Kann keine solche Lösung gefunden werden, kann jede Partei (ungeachtet anderslautender Bestimmungen im Dienstleistungsvertrag) die betreffenden Dienste durch schriftliche Mitteilung an die andere Partei mit sofortiger Wirkung beenden, ohne Schadensersatz, Vertragsstrafe oder Entschädigung jeglicher Art (jedoch unbeschadet etwaiger vom Kunden vor der Beendigung angefallener Gebühren).

Soweit gesetzlich zulässig, den Kunden unverzüglich im Falle rechtsverbindlicher Anfragen (d. h. gesetzlich, durch gerichtliche Anordnung oder Vorladung erforderliche Offenlegungen) zur Offenlegung von Personenbezogenen Daten des Kunden durch die Organisation benachrichtigen. Ist sie nicht rechtsverbindlich, werden die Personenbezogenen Daten des Kunden nicht offengelegt, und die Organisation wird den Kunden über die Ablehnung einer solchen Anfrage benachrichtigen. Es wird ein Verzeichnis aller rechtsverbindlichen Offenlegungsanfragen in Bezug auf Personenbezogene Daten des Kunden geführt.

Soweit gesetzlich zulässig, den Kunden unverzüglich über jede Mitteilung einer Betroffenen Person in Bezug auf die Verarbeitung von Personenbezogenen Daten des Kunden oder über jede andere Mitteilung (auch von einer Aufsichtsbehörde) in Bezug auf eine Verpflichtung nach den anwendbaren Datenschutzgesetzen hinsichtlich der Personenbezogenen Daten des Kunden benachrichtigen. Die Organisation wird auf keine solche Anfrage oder Beschwerde reagieren, es sei denn, sie ist dazu ausdrücklich vom Kunden ermächtigt oder anderweitig nach den anwendbaren Datenschutzgesetzen zur Reaktion verpflichtet. Unter Berücksichtigung der Art der Verarbeitung wird die Organisation den Kunden (oder den betroffenen Verantwortlichen) durch geeignete technische und organisatorische Maßnahmen, soweit möglich, angemessen bei der Erfüllung der Verpflichtung des Kunden, der Verbundenen Unternehmen des Kunden oder des/der betroffenen Verantwortlichen unterstützen, auf Anträge auf Ausübung der in Kapitel III der DSGVO festgelegten Rechte der betroffenen Person zu reagieren. Der Kunde erklärt sich bereit, der Organisation die Zeit und die Auslagen zu vergüten, die der Organisation im Zusammenhang mit der Erfüllung ihrer Verpflichtungen nach diesem Abschnitt 4.2(e) entstehen.

Sobald die Organisation Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erhält, die Personenbezogene Daten des Kunden betrifft, den Kunden ohne unangemessene Verzögerung über jede Verletzung des Schutzes personenbezogener Daten benachrichtigen, die Personenbezogene Daten des Kunden betrifft, wobei diese Benachrichtigung, soweit für die Organisation vernünftigerweise verfügbar, alle rechtzeitigen Informationen enthalten muss, die vom Kunden (oder dem betroffenen Verantwortlichen) vernünftigerweise benötigt werden, um seinen Meldepflichten bei Datenschutzverletzungen nach den anwendbaren Datenschutzgesetzen nachzukommen. Die Organisation wird ferner alle Maßnahmen und Handlungen ergreifen, die erforderlich sind, um die Auswirkungen eines solchen Sicherheitsvorfalls zu beheben oder zu mindern, und den Kunden angemessen über Entwicklungen betreffend Personenbezogene Daten des Kunden auf dem Laufenden halten. Der Kunde erkennt an, dass die Benachrichtigung der Organisation über einen Sicherheitsvorfall kein Anerkenntnis eines Verschuldens oder einer Haftung der Organisation darstellt. Sicherheitsvorfälle umfassen keine erfolglosen Versuche oder Aktivitäten, die die Sicherheit von Personenbezogenen Daten des Kunden nicht gefährden, einschließlich erfolgloser Anmeldeversuche, Pings, Port-Scans, Denial-of-Service-Angriffe oder anderer Netzwerkangriffe auf Firewalls oder vernetzte Systeme.

Soweit erforderlich nach den anwendbaren Datenschutzgesetzen, dem Kunden, den Verbundenen Unternehmen des Kunden oder dem/den betroffenen Verantwortlichen angemessene Unterstützung bei ihren Verpflichtungen gemäß den Artikeln 32 bis 36 der DSGVO leisten, unter Berücksichtigung der Art der Verarbeitung und der der Organisation zur Verfügung stehenden Informationen. Der Kunde erklärt sich bereit, der Organisation die Zeit und die Auslagen zu vergüten, die der Organisation im Zusammenhang mit einer Unterstützung entstehen, die in Verbindung mit den Artikeln 35 und 36 der DSGVO geleistet wird.

Die Verarbeitung der Personenbezogenen Daten des Kunden bei Beendigung oder Ablauf des Dienstleistungsvertrags einstellen und nach Wahl des Kunden, der Verbundenen Unternehmen des Kunden oder des/der betroffenen Verantwortlichen alle Kopien der von der Organisation Verarbeiteten Personenbezogenen Daten des Kunden entweder zurückgeben oder löschen (auch indem sichergestellt wird, dass diese Daten in einem nicht lesbaren Format vorliegen), es sei denn (und ausschließlich in dem Umfang und für den Zeitraum, in dem) das anwendbare Recht die Organisation verpflichtet, einen Teil oder alle Personenbezogenen Daten des Kunden aufzubewahren. Alle so aufbewahrten Personenbezogenen Daten des Kunden unterliegen weiterhin den im Dienstleistungsvertrag festgelegten Geheimhaltungspflichten.

Die Organisation wird die erforderlichen Aufzeichnungen führen, um den Nachweis der Einhaltung ihrer Verpflichtungen (wie im anwendbaren Vertrag festgelegt) für die im Namen des Kunden durchgeführte Verarbeitung von Personenbezogenen Daten des Kunden zu unterstützen.

Dem Kunden alle Informationen zur Verfügung stellen, die vernünftigerweise erforderlich sind, um die Einhaltung dieses Addendums nachzuweisen, und Prüfungen, einschließlich Inspektionen, durch den Kunden oder einen vom Kunden beauftragten unabhängigen externen Prüfer ermöglichen und dazu beitragen, vorausgesetzt, dass der Kunde die Organisation angemessen im Voraus über seine Prüfungsabsicht informiert, seine Prüfung während der normalen Geschäftszeiten der Organisation durchführt und alle angemessenen Maßnahmen ergreift, um unnötige Störungen des Betriebs der Organisation zu vermeiden. Zum Zweck des Nachweises der Einhaltung dieses Addendums nach diesem Abschnitt 4.2(i) vereinbaren die Parteien, dass die Organisation zunächst einmal pro Jahr während der Laufzeit des Dienstleistungsvertrags (außer wenn und soweit dies auf Weisung einer zuständigen Aufsichtsbehörde erforderlich ist oder wenn der Kunde der Ansicht ist, dass eine weitere Prüfung aufgrund einer von der Organisation erlittenen Verletzung des Schutzes personenbezogener Daten betreffend Personenbezogene Daten des Kunden erforderlich ist) dem Kunden Antworten auf Cybersicherheits- und andere Bewertungen zur Verfügung stellt, und dass der Kunde nur dann, wenn er die Einhaltung dieses Addendums durch die Organisation anhand der Antworten der Organisation nicht feststellen kann, die Inspektion der Verarbeitungsvorgänge der Organisation verlangen wird. Der Kunde erklärt sich bereit, der Organisation die Zeit und die Auslagen zu vergüten, die der Organisation im Zusammenhang mit der Unterstützung bei solchen Prüfungen, Antworten auf Cybersicherheits- und anderen Bewertungen entstehen.

6. Gewährleistungen

Die Parteien gewährleisten, dass sie sowie ihr gesamtes Personal und/oder ihre Subunternehmer während der Laufzeit ihre jeweiligen Verpflichtungen nach den Datenschutzgesetzen einhalten werden.

7. Eingeschränkte Übermittlungen

Die Parteien vereinbaren, dass, wenn die Übermittlung von Personenbezogenen Daten des Kunden vom Kunden und/oder einem seiner Verbundenen Unternehmen (als Exporteur) an die Organisation (als Importeur) eine Eingeschränkte Übermittlung darstellt und das Recht der EU-Zone Anwendung findet, die Übermittlung den entsprechenden Verantwortlicher-an-Auftragsverarbeiter-SCCs unterliegt, die als in dieses Addendum aufgenommen gelten und einen Teil davon bilden, und zwar wie folgt:

In Bezug auf Personenbezogene Daten des Kunden, die durch die EU-DSGVO geschützt und von der Organisation im Namen und auf Weisung des Kunden verarbeitet werden, finden die EU-SCCs Anwendung, ausgefüllt wie folgt:

1.1 Modul Zwei findet Anwendung (Übermittlungen von Verantwortlichem an Auftragsverarbeiter).

1.2 In Klausel 7 findet die optionale Andockklausel Anwendung.

1.3 In Klausel 9 findet Option 2 Anwendung, und die Frist für die vorherige Mitteilung von Änderungen der Unterauftragsverarbeiter ist die in Abschnitt 4.2(d) dieses Addendums festgelegte.

1.4 In Klausel 11 findet der optionale Wortlaut keine Anwendung.

1.5 In Klausel 17 findet Option 1 Anwendung, und die EU-SCCs unterliegen irischem Recht.

1.6 In Klausel 18(b) werden Streitigkeiten vor den Gerichten der Republik Irland beigelegt.

1.7 Anhang I der EU-SCCs gilt als mit den in Anlage 1 zu diesem Addendum dargelegten Informationen ausgefüllt.

1.8 Anhang II der EU-SCCs gilt als mit den in Abschnitt 4 der Anlage 1 zu diesem Addendum dargelegten Informationen ausgefüllt.

In Bezug auf Personenbezogene Daten des Kunden, die durch die Swiss DPA geschützt sind, finden die EU-SCCs in Übereinstimmung mit Abschnitt 5.1(a) dieses Addendums Anwendung, jedoch mit den folgenden Änderungen:

2.1 Verweise in den EU-SCCs auf die “Verordnung (EU) 2016/679” sind als Verweise auf die Swiss DPA und die entsprechenden Artikel oder Abschnitte darin auszulegen.

2.2 Verweise auf “EU”, “Union”, “Mitgliedstaat” und “Recht eines Mitgliedstaats” sind je nach Fall als Verweise auf die Schweiz und das schweizerische Recht auszulegen.

2.3 Verweise auf die “zuständige Aufsichtsbehörde” und die “zuständigen Gerichte” sind als Verweise auf die betreffende Datenschutzbehörde und die Gerichte in der Schweiz auszulegen.

2.4 Die Verantwortlicher-an-Auftragsverarbeiter-SCCs unterliegen dem Recht der Schweiz und Streitigkeiten werden vor den zuständigen schweizerischen Gerichten beigelegt.

In Bezug auf Personenbezogene Daten des Kunden, die durch die UK-DSGVO geschützt sind, finden die EU-SCCs in Übereinstimmung mit Abschnitt 5.1(a) dieses Addendums Anwendung, jedoch in der durch Teil 2: Verbindliche Klauseln des UK Addendums geänderten und ausgelegten Fassung, das in dieses Addendum aufgenommen wird und einen integralen Bestandteil davon bildet. Jeder Konflikt zwischen den Bestimmungen der EU-SCCs und des UK Addendums wird in Übereinstimmung mit Abschnitt 10 und Abschnitt 11 des UK Addendums gelöst. Darüber hinaus werden die Tabellen 1 bis 3 in Teil 1 des UK Addendums jeweils mit den in Anhang I dieses Addendums dargelegten Informationen ausgefüllt, und Tabelle 4 in Teil 1 des UK Addendums gilt als ausgefüllt, indem sowohl “Importeur” als auch “Exporteur” ausgewählt werden.

Die Organisation wird Personenbezogene Daten unter Einsatz von KI- und maschinellen Lerntechnologien innerhalb der Region Den Haag, Niederlande, in Übereinstimmung mit den Bedingungen dieses Addendums und den anwendbaren Datenschutzgesetzen, einschließlich der Datenschutz-Grundverordnung (DSGVO), verarbeiten. Der Zweck einer solchen KI-Verarbeitung ist auf die von dem Tool der Organisation erbrachten Dienste beschränkt. Die Organisation stellt sicher, dass jede KI-Verarbeitung Personenbezogener Daten nur in dem Umfang durchgeführt wird, der zur Erreichung der angegebenen Zwecke erforderlich ist.

Die Organisation wird sich nicht an anderen Eingeschränkten Übermittlungen von Personenbezogenen Daten des Kunden (weder als Importeur noch als Exporteur der Personenbezogenen Daten des Kunden) beteiligen, es sei denn, die Eingeschränkte Übermittlung erfolgt in Übereinstimmung mit dem anwendbaren Datenschutzrecht und gemäß den einschlägigen Standardvertragsklauseln, die zwischen dem betreffenden Exporteur und Importeur der Personenbezogenen Daten des Kunden umgesetzt wurden, soweit dies zur Einhaltung des anwendbaren Datenschutzrechts erforderlich ist.

Der Kunde sollte alle internationalen Übermittlungen Personenbezogener Daten routinemäßig im Einzelfall überprüfen, um neue Risiken aufgrund von Änderungen der lokalen Gesetze, Datenpraktiken usw. zu überwachen, und zusätzliche Schutzmaßnahmen (wie Verschlüsselung oder Pseudonymisierung) umsetzen, um festgestellte Risiken zu mindern und sicherzustellen, dass die Personenbezogenen Daten weiterhin nach dem von den Datenschutzgesetzen geforderten Standard geschützt sind.

Übermittlungsmechanismus. Wenn sich eine Partei außerhalb des EWR oder eines angemessenen Landes befindet und Personenbezogene Daten erhält: (a) handelt diese Partei als Datenimporteur, (b) ist die andere Partei der Datenexporteur, und (c) findet der einschlägige Übermittlungsmechanismus Anwendung. “Übermittlungsmechanismus” bezeichnet jedes rechtmäßige Mittel zur Übermittlung personenbezogener Daten aus dem Europäischen Wirtschaftsraum (EWR) oder einem angemessenen Land in ein Drittland in Übereinstimmung mit den anwendbaren Datenschutzgesetzen. Dies kann Folgendes umfassen, ist aber nicht darauf beschränkt:

Standardvertragsklauseln (SCCs), die durch den Beschluss der Europäischen Kommission vom 4. Juni 2021 (in der jeweils geltenden Fassung) für die Übermittlung personenbezogener Daten aus dem EWR oder angemessenen Ländern in ein Drittland genehmigt wurden.
Das International Data Transfer Agreement, das vom Information Commissioner’s Office (ICO) gemäß Section 119A des Data Protection Act 2018 erlassen wurde, mit Wirkung vom 21. März 2022.
Das International Data Transfer Addendum, das vom Information Commissioner’s Office (ICO) gemäß Section 119A des Data Protection Act 2018 erlassen wurde, mit Wirkung vom 21. März 2022.

Zusätzliche Maßnahmen. Ist der Übermittlungsmechanismus unzureichend, um die übermittelten Personenbezogenen Daten zu schützen, wird der Datenimporteur unverzüglich ergänzende Maßnahmen umsetzen, um sicherzustellen, dass die Personenbezogenen Daten nach demselben Standard geschützt sind, der von den Datenschutzgesetzen gefordert wird.

Offenlegungen. Vorbehaltlich der Bedingungen des einschlägigen Übermittlungsmechanismus wird der Datenimporteur, wenn er von einer Behörde ein Ersuchen um Zugang zu Personenbezogenen Daten erhält, (sofern gesetzlich zulässig): das Ersuchen anfechten und den Datenexporteur unverzüglich darüber benachrichtigen und der Behörde nur die erforderliche Mindestmenge an Personenbezogenen Daten offenlegen und ein Verzeichnis der Offenlegung führen.

8. Vorrang

Die Bestimmungen dieses Addendums ergänzen die Bestimmungen des Dienstleistungsvertrags. Im Falle von Widersprüchen zwischen den Bestimmungen dieses Addendums und den Bestimmungen des Dienstleistungsvertrags haben sie in dieser Reihenfolge Vorrang: (a) etwaige Standardvertragsklauseln oder andere Maßnahmen, die die Parteien vereinbart haben (Grenzüberschreitende Übermittlungsmechanismen), (b) dieses Addendum, (c) der Dienstleistungsvertrag. Für den Fall, dass eine Bestimmung dieses Addendums und/oder des Dienstleistungsvertrags direkt oder indirekt den Verantwortlicher-an-Auftragsverarbeiter-SCCs widerspricht, sind die Verantwortlicher-an-Auftragsverarbeiter-SCCs maßgebend.

9. Freistellung

Soweit gesetzlich zulässig, wird der Kunde (a) die Organisation und ihre Verbundenen Unternehmen (gemeinsam die “Freigestellten Parteien”) gegen sämtliche Ansprüche, Forderungen, Klagen oder Verfahren verteidigen, die von einem Dritten gegen eine der Freigestellten Parteien erhoben oder eingeleitet werden (jeweils ein “Anspruch”), und (b) die Freigestellten Parteien von sämtlichen Verlusten, Schäden, Haftungen, Geldbußen und Bußgeldern, Vertragsstrafen, Vergleichen sowie Kosten und Auslagen jeglicher Art (einschließlich, aber nicht beschränkt auf angemessene Rechts-, Ermittlungs- und Beratungskosten und -auslagen) freistellen und schadlos halten, die einer der Freigestellten Parteien entstehen oder von ihr erlitten werden, in jedem Fall infolge eines Verstoßes des Kunden gegen dieses Addendum oder gegen seine Verpflichtungen nach den anwendbaren Datenschutzgesetzen. Die Organisation kann sich auf eigene Kosten an der Verteidigung und/oder Beilegung eines Anspruchs nach diesem Abschnitt 9 mit einem Rechtsbeistand ihrer Wahl beteiligen.

10. Salvatorische Klausel

Die Parteien vereinbaren, dass, falls ein Abschnitt oder Unterabschnitt dieses Addendums von einem Gericht oder einer zuständigen Behörde für rechtswidrig oder nicht durchsetzbar befunden wird, dies keinen anderen Abschnitt dieses Addendums ungültig oder nicht durchsetzbar macht.

11. Sonstiges

Das Addendum berücksichtigt und befolgt Folgendes:

Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen
Die Erreichung der Sicherheit der Verarbeitung
Die Meldung von Verletzungen, die Personenbezogene Daten des Kunden betreffen, an die betreffende Aufsichtsbehörde
Die Meldung von Verletzungen, die Personenbezogene Daten des Kunden betreffen, an den Kunden
Die Durchführung einer Datenschutz-Folgenabschätzung, sofern angemessen und nach den anwendbaren Datenschutzgesetzen erforderlich
Die Zusicherung der Unterstützung der Organisation, falls vorherige Konsultationen der betreffenden Aufsichtsbehörden erforderlich und nach den anwendbaren Datenschutzgesetzen vorgeschrieben sind.

Die Organisation wird alle gesetzlichen und regulatorischen Anforderungen, ISO 27001:2013, ISO 27701:2019 und die EU-DSGVO einhalten.

Für den Fall, dass eine Betroffene Person ihre Rechte als betroffene Person nach den anwendbaren Datenschutzgesetzen ausüben möchte, einschließlich, aber nicht beschränkt auf das Recht einer betroffenen Person auf Auskunft, Berichtigung und/oder Löschung ihrer unter der Kontrolle der Organisation stehenden Personenbezogenen Daten, können die Betroffenen Personen ein solches Ersuchen stellen, indem sie sich an den nachstehend genannten Datenschutzbeauftragten (DPO) der Organisation wenden. Auch Bedenken und/oder Beschwerden in Bezug auf die Personenbezogenen Daten des Kunden können durch Kontaktaufnahme mit dem nachstehend genannten Datenschutzbeauftragten geäußert werden:

Name: Julia Blokhina

E-Mail-Adresse: Julia.b@tbsbv.com

Während der Verarbeitung werden keine temporären Dateien erzeugt.

Anlage 1 zum Datenschutz-Addendum

Beschreibung der Verarbeitungstätigkeiten für Personenbezogene Daten des Kunden

Diese Anlage enthält bestimmte Einzelheiten der Verarbeitung von Personenbezogenen Daten des Kunden durch die Organisation im Zusammenhang mit den Diensten.

1. Liste der Parteien

Datenexporteur

Name: Kunde (wie im Dienstleistungsvertrag definiert)

Adresse: Wie im betreffenden Bestellformular für die Dienste angegeben.

Name, Position und Kontaktdaten der Kontaktperson: Wie im betreffenden Bestellformular für die Dienste angegeben.

Für die im Rahmen dieser Klauseln übermittelten Daten relevante Tätigkeiten: Empfänger der von der Organisation gemäß dem Dienstleistungsvertrag erbrachten Dienste.

Unterschrift und Datum: Unterschrift und Datum sind im Dienstleistungsvertrag festgelegt.

Rolle (Verantwortlicher/Auftragsverarbeiter): Verantwortlicher

Datenimporteur

Name: Transparent Business Solutions B.V.

Adresse: Kalvermarkt 53, 2511 CB, Den Haag, Niederlande

Name, Position und Kontaktdaten der Kontaktperson: Julia Blokhina, Julia.b@tbsbv.com

Für die im Rahmen dieser Klauseln übermittelten Daten relevante Tätigkeiten: Erbringung der Dienste für den Kunden gemäß dem Dienstleistungsvertrag.

Unterschrift und Datum: Unterschrift und Datum sind im Dienstleistungsvertrag festgelegt.

Rolle (Verantwortlicher/Auftragsverarbeiter): Auftragsverarbeiter

2. Zuständige Aufsichtsbehörde

Bestimmen Sie die zuständige(n) Aufsichtsbehörde(n) in Übereinstimmung (z. B. in Übereinstimmung mit Klausel 13 der SCCs): Wie durch Anwendung von Klausel 13 der EU-SCCs bestimmt.

3. Verarbeitungsinformationen

Kategorien betroffener Personen, deren personenbezogene Daten übermittelt werden: Die vom Kunden autorisierten Nutzer der Dienste

Kategorien der übermittelten personenbezogenen Daten:

Automatisch von den Diensten verarbeitet:

Namen
E-Mail-Adressen

Verarbeitet, wo und soweit vom Kunden oder seinen autorisierten Nutzern im Zusammenhang mit den von der Organisation erbrachten Prüfungsdiensten bereitgestellt:

Adresse
Geburtsdatum
Angaben zu früheren Beschäftigungen

Übermittelte sensible personenbezogene Daten: Keine

Häufigkeit der Übermittlung: Fortlaufend

Art der Verarbeitung: Die Art der Verarbeitung ist im Dienstleistungsvertrag und den begleitenden Bestellformularen näher beschrieben, umfasst jedoch die folgenden grundlegenden Verarbeitungstätigkeiten: Die Erbringung von Diensten für den Kunden. Um Personendaten bereitzustellen, erhält die Organisation identifizierende Personenbezogene Daten des Kunden, um es der Organisation zu ermöglichen, die Abfrageinformationen abzufragen, zu bereinigen, zu standardisieren, anzureichern, (sofern erforderlich) an zusätzliche Datenlieferanten zu senden und zu speichern.

Der Zweck der Übermittlung besteht darin, die Erbringung der im Dienstleistungsvertrag und den begleitenden Bestellformularen näher beschriebenen Dienste zu erleichtern.

Zweck der Datenübermittlung und Weiterverarbeitung:

Für die Verarbeitung, an der kalifornische Verbraucher beteiligt sind, wählen Sie bitte den/die Geschäftszweck(e) für die Verarbeitung Personenbezogener Daten aus:

☐ Nicht zutreffend
☐ Prüfung im Zusammenhang mit dem Zählen von Werbeeinblendungen für eindeutige Besucher, der Überprüfung der Positionierung und Qualität von Werbeeinblendungen sowie der Prüfung der Einhaltung dieser Spezifikation und anderer Standards
☒ Die Unterstützung bei der Gewährleistung von Sicherheit und Integrität, soweit die Nutzung der personenbezogenen Daten des Verbrauchers für diese Zwecke vernünftigerweise notwendig und verhältnismäßig ist
☒ Fehlerbehebung zur Identifizierung und Behebung von Fehlern, die die bestehende beabsichtigte Funktionalität beeinträchtigen.
☐ Kurzfristige, vorübergehende Nutzung, einschließlich, aber nicht beschränkt auf nicht personalisierte Werbung, die als Teil der aktuellen Interaktion eines Verbrauchers mit dem Unternehmen angezeigt wird, sofern die personenbezogenen Daten des Verbrauchers keinem anderen Dritten offengelegt und nicht dazu verwendet werden, ein Profil über den Verbraucher zu erstellen oder die Erfahrung des Verbrauchers außerhalb der aktuellen Interaktion mit dem Unternehmen anderweitig zu verändern
☒ Die Erbringung von Diensten im Namen des Unternehmens, einschließlich der Pflege oder Betreuung von Konten, der Erbringung von Kundenservice, der Verarbeitung oder Abwicklung von Bestellungen und Transaktionen, der Überprüfung von Kundeninformationen, der Verarbeitung von Zahlungen, der Bereitstellung von Finanzierungen, der Bereitstellung von Analysediensten, der Bereitstellung von Speicherplatz oder der Erbringung ähnlicher Dienste im Namen des Unternehmens.
☐ Die Erbringung von Werbe- und Marketingdiensten, mit Ausnahme kontextübergreifender verhaltensbasierter Werbung, für den Verbraucher, sofern zum Zweck der Werbung und des Marketings ein Dienstleister oder Auftragnehmer die personenbezogenen Daten von Verbrauchern, die sich abgemeldet haben und die der Dienstleister oder Auftragnehmer vom Unternehmen oder in dessen Namen erhält, nicht mit personenbezogenen Daten kombiniert, die der Dienstleister oder Auftragnehmer von einer anderen Person oder anderen Personen oder in deren Namen erhält oder aus seiner eigenen Interaktion mit Verbrauchern erhebt.
☒ Die Durchführung interner Forschung zur technologischen Entwicklung und Demonstration.
☒ Die Durchführung von Tätigkeiten zur Überprüfung oder Aufrechterhaltung der Qualität oder Sicherheit eines Dienstes oder Geräts, das im Eigentum des Unternehmens steht, von ihm hergestellt, für es hergestellt oder von ihm kontrolliert wird, sowie zur Verbesserung, Aufwertung oder Weiterentwicklung des Dienstes oder Geräts, das im Eigentum des Unternehmens steht, von ihm hergestellt, für es hergestellt oder von ihm kontrolliert wird.
☒ Die Beauftragung und Einstellung eines anderen Dienstleisters oder Auftragnehmers als Subunternehmer, sofern der Subunternehmer die Anforderungen an einen Dienstleister oder Auftragnehmer nach dem CCPA erfüllt.
☒ Der Aufbau oder die Verbesserung der Qualität der Dienste, die er dem Unternehmen erbringt, auch wenn dieser Geschäftszweck nicht in dem nach dem CCPA erforderlichen schriftlichen Vertrag angegeben ist, sofern der Dienstleister die Personenbezogenen Daten des Kunden nicht zur Erbringung von Diensten im Namen einer anderen Person verwendet.
☒ Die Verhinderung, Erkennung oder Untersuchung von Datensicherheitsvorfällen oder der Schutz vor böswilligen, betrügerischen, arglistigen oder rechtswidrigen Aktivitäten, auch wenn dieser Geschäftszweck nicht im schriftlichen Vertrag angegeben ist.

Zeitraum, für den die personenbezogenen Daten aufbewahrt werden, oder Kriterien zur Bestimmung dieses Zeitraums: Der Zeitraum, für den die Personenbezogenen Daten des Kunden aufbewahrt werden, ist im Dienstleistungsvertrag, im Addendum und in den begleitenden Bestellformularen näher beschrieben.

Übermittlungen an Unterauftragsverarbeiter - Gegenstand, Art und Dauer der Verarbeitung: Der Gegenstand, die Art und die Dauer der Verarbeitung sind im Dienstleistungsvertrag, im Addendum und in den begleitenden Bestellformularen näher beschrieben.

4. Technische und Organisatorische Sicherheitsmaßnahmen

Beschreibung der von der Organisation als Auftragsverarbeiter/Datenimporteur umgesetzten technischen und organisatorischen Sicherheitsmaßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus unter Berücksichtigung der Art, des Umfangs, des Kontexts und des Zwecks der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen.

Sicherheitsmanagementsystem

Organisation. Die Organisation benennt qualifiziertes Sicherheitspersonal, dessen Verantwortlichkeiten die Entwicklung, Umsetzung und laufende Pflege des Informationssicherheitsprogramms umfassen.

Richtlinien. Die Geschäftsleitung überprüft und unterstützt alle sicherheitsbezogenen Richtlinien, um die Sicherheit, Verfügbarkeit, Integrität und Vertraulichkeit der Personenbezogenen Daten des Kunden zu gewährleisten. Diese Richtlinien werden mindestens einmal jährlich aktualisiert.

Bewertungen. Die Organisation beauftragt einen renommierten unabhängigen Dritten, mindestens einmal jährlich Risikobewertungen aller Systeme durchzuführen, die Personenbezogene Daten des Kunden enthalten.

Risikobehandlung. Die Organisation unterhält ein formelles und wirksames Risikobehandlungsprogramm, das Penetrationstests, Schwachstellenmanagement und Patch-Management umfasst, um potenzielle Bedrohungen für die Sicherheit, Integrität oder Vertraulichkeit der Personenbezogenen Daten des Kunden zu erkennen und sich davor zu schützen.

Lieferantenmanagement. Die Organisation unterhält ein wirksames Lieferantenmanagementprogramm.

Vorfallmanagement. Die Organisation überprüft regelmäßig Sicherheitsvorfälle, einschließlich der wirksamen Ermittlung der Grundursache und von Korrekturmaßnahmen.

Standards. Die Organisation betreibt ein Informationssicherheits-Managementsystem, das den Anforderungen der Norm ISO/IEC 27001:2013 entspricht.

Personalsicherheit

Das Personal der Organisation ist verpflichtet, sich in einer Weise zu verhalten, die mit den Richtlinien des Unternehmens in Bezug auf Vertraulichkeit, Geschäftsethik, angemessene Nutzung und professionelle Standards im Einklang steht. Die Organisation führt angemessene Hintergrundüberprüfungen bei allen Mitarbeitern durch, die im Rahmen dieser Vereinbarung Zugang zu Kundendaten haben werden, auch in Bezug auf die Beschäftigungshistorie und Vorstrafen, soweit gesetzlich zulässig und in Übereinstimmung mit dem anwendbaren lokalen Arbeitsrecht, der üblichen Praxis und den gesetzlichen Vorschriften.

Das Personal ist verpflichtet, zum Zeitpunkt der Einstellung eine schriftliche Vertraulichkeitsvereinbarung abzuschließen und die Personenbezogenen Daten des Kunden jederzeit zu schützen. Das Personal muss den Erhalt und die Einhaltung der Vertraulichkeits-, Datenschutz- und Sicherheitsrichtlinien der Organisation bestätigen. Das Personal erhält Schulungen zum Datenschutz und zur Sicherheit über die Umsetzung und Einhaltung des Informationssicherheitsprogramms. Personal, das Personenbezogene Daten des Kunden verarbeitet, ist verpflichtet, zusätzliche, seiner Rolle angemessene Anforderungen zu erfüllen (z. B. Zertifizierungen). Das Personal der Organisation wird Personenbezogene Daten des Kunden nicht ohne Autorisierung verarbeiten.

Zugriffskontrollen

Zugriffsmanagement. Die Organisation unterhält einen formellen Zugriffsmanagementprozess für die Beantragung, Überprüfung, Genehmigung und Bereitstellung für das gesamte Personal mit Zugriff auf Personenbezogene Daten des Kunden, um den Zugriff auf Personenbezogene Daten des Kunden und auf Systeme, die Personenbezogene Daten des Kunden speichern, darauf zugreifen oder diese übertragen, auf ordnungsgemäß autorisierte Personen zu beschränken, die einen Bedarf für einen solchen Zugriff haben. Zugriffsüberprüfungen werden regelmäßig durchgeführt, um sicherzustellen, dass nur dasjenige Personal, das Zugriff auf Personenbezogene Daten des Kunden hat, diesen weiterhin benötigt.

Infrastruktursicherheitspersonal. Die Organisation verfügt über eine Sicherheitsrichtlinie für ihr Personal und unterhält diese und verlangt eine Sicherheitsschulung als Teil des Schulungspakets für ihr Personal. Das Infrastruktursicherheitspersonal der Organisation ist für die laufende Überwachung der Sicherheitsinfrastruktur der Organisation, die Überprüfung der Dienste und die Reaktion auf Sicherheitsvorfälle verantwortlich.

Zugriffskontrolle und Rechteverwaltung. Die Administratoren und Endnutzer der Organisation und des Kunden müssen sich über ein Multi-Faktor-Authentifizierungssystem oder über ein Single-Sign-on-System authentifizieren, um die Dienste nutzen zu können.

Interne Datenzugriffsprozesse und -richtlinien - Zugriffsrichtlinie. Die internen Datenzugriffsprozesse und -richtlinien der Organisation sind darauf ausgelegt, vor unbefugtem Zugriff, unbefugter Nutzung, Offenlegung, Änderung oder Vernichtung von Personenbezogenen Daten des Kunden zu schützen. Die Organisation gestaltet ihre Systeme so, dass nur autorisierte Personen auf Daten zugreifen können, zu deren Zugriff sie auf der Grundlage der Grundsätze der “geringsten Berechtigung” und des “Kenntnis-nur-wenn-nötig” befugt sind, und dass andere, die keinen Zugriff haben sollten, keinen Zugriff erlangen. Die Organisation verlangt die Verwendung eindeutiger Benutzer-IDs, starker Passwörter, einer Zwei-Faktor-Authentifizierung und sorgfältig überwachter Zugriffslisten, um das Potenzial für eine unbefugte Kontonutzung zu minimieren. Die Gewährung oder Änderung von Zugriffsrechten beruht auf: den beruflichen Verantwortlichkeiten des autorisierten Personals; den zur Erfüllung autorisierter Aufgaben erforderlichen Arbeitsanforderungen; dem Grundsatz des Kenntnis-nur-wenn-nötig; und muss in Übereinstimmung mit den internen Datenzugriffsrichtlinien und Schulungen der Organisation stehen. Genehmigungen werden über Workflow-Tools verwaltet, die Prüfaufzeichnungen aller Änderungen führen. Der Zugriff auf Systeme wird protokolliert, um einen Prüfpfad für die Rechenschaftspflicht zu schaffen. Wo Passwörter zur Authentifizierung verwendet werden (z. B. Anmeldung an Arbeitsplätzen), folgen die Passwortrichtlinien den branchenüblichen Praktiken. Diese Standards umfassen Passwortkomplexität, Passwortablauf, Passwortsperrung, Beschränkungen der Passwort-Wiederverwendung und eine erneute Passwortabfrage nach einer Zeit der Inaktivität.

Sicherheit von Rechenzentrum und Netzwerk

Rechenzentren

Infrastruktur. Die Organisation nutzt Google Cloud Platform (GCP) und hostet ihre Server auf Kinsta.

Belastbarkeit. Die Organisation nutzt die Redundanz- und Hochverfügbarkeitsfunktionen, die von der Infrastruktur von Kinsta und dem globalen Netzwerk von GCP bereitgestellt werden. Es werden regelmäßig Tests zur Wiederherstellung von Backups durchgeführt, um die Belastbarkeit und Betriebskontinuität zu gewährleisten.

Server-Betriebssysteme. Die Server der Organisation sind an die Anwendungsumgebung angepasst und gehärtet, um die Sicherheit der Dienste zu erhöhen. Es wird ein robuster Code-Review-Prozess eingesetzt, um die Sicherheit des zur Bereitstellung der Dienste verwendeten Codes zu gewährleisten und die Sicherheitsmaßnahmen in Produktionsumgebungen zu stärken.

Notfallwiederherstellung. Die Organisation repliziert Daten über mehrere Systeme, um vor versehentlicher Vernichtung oder versehentlichem Verlust zu schützen. Die Organisation hat ihre Notfallwiederherstellungsprogramme entworfen und plant und testet sie regelmäßig.

Sicherheitsprotokolle. Die Systeme der Organisation haben die Protokollierung zu ihrer jeweiligen Systemprotokolleinrichtung aktiviert, um die Sicherheitsaudits zu unterstützen und tatsächliche und versuchte Angriffe auf die Systeme der Organisation oder Eindringversuche in diese zu überwachen und zu erkennen.

Schwachstellenmanagement. Die Organisation führt regelmäßig Schwachstellenscans an allen Infrastrukturkomponenten ihrer Produktions- und Entwicklungsumgebung durch. Schwachstellen werden auf Risikobasis behoben, wobei kritische, hohe und mittlere Sicherheitspatches für alle Komponenten so bald wie kommerziell möglich installiert werden.

Netzwerke und Übertragung

Datenübertragung. Übertragungen in der Produktionsumgebung werden über Internet-Standardprotokolle übertragen.

Die VPC-Firewall-Regeln von Google Cloud Platform und die Sicherheitsmaßnahmen von Kinsta auf Unternehmensniveau sind für die Produktionsumgebung vorhanden. Die VPC-Firewall von GCP bietet anpassbare virtuelle Firewall-Regeln zur Kontrolle des ein- und ausgehenden Datenverkehrs, während Kinsta zusätzliche Sicherheitsebenen bietet, einschließlich DDoS-Schutz, Hardware-Firewalls und kontinuierlicher Überwachung.

Reaktion auf Vorfälle. Die Organisation unterhält Richtlinien und Verfahren für das Vorfallmanagement, einschließlich detaillierter Eskalationsverfahren für Sicherheitsvorfälle. Die Organisation überwacht verschiedene Kommunikationskanäle auf Sicherheitsvorfälle, und das Sicherheitspersonal der Organisation wird umgehend auf vermutete oder bekannte Vorfälle reagieren, die schädlichen Auswirkungen solcher Sicherheitsvorfälle mindern und solche Sicherheitsvorfälle und ihre Ergebnisse dokumentieren.

Verschlüsselungstechnologien. Die Organisation stellt HTTPS-Verschlüsselung (auch als SSL oder TLS bezeichnet) für Daten während der Übertragung bereit und setzt Verschlüsselungstechnologien für ruhende Daten ein, um die Sicherheit und Vertraulichkeit der Daten des Kunden zu gewährleisten.

Datenspeicherung, -isolierung, -authentifizierung und -vernichtung. Die Organisation speichert Daten in einer mandantenfähigen Umgebung auf Servern von Google Cloud Platform (GCP) und der Hosting-Infrastruktur von Kinsta. Die Daten, die Datenbank der Dienste und die Dateisystemarchitektur werden über mehrere Regionen und Zonen innerhalb von GCP repliziert, um hohe Verfügbarkeit und Fehlertoleranz zu gewährleisten. Die Organisation isoliert die Daten verschiedener Kunden logisch. Ein zentrales Authentifizierungssystem wird über alle Dienste hinweg implementiert, um die einheitliche Sicherheit der Daten zu erhöhen. Die Organisation gewährleistet die sichere Entsorgung der Daten des Kunden durch eine Reihe robuster Datenvernichtungsprozesse in Übereinstimmung mit den Branchenstandards.

Anlage 2

Die Unterauftragsverarbeiter der Organisation

Name des Unterauftragsverarbeiters	Beschreibung der Verarbeitung	Standort des Unterauftragsverarbeiters
Zendesk	Kundenbeziehungsmanagement (CRM) und Ticketing-Dienste	AUS
Google Workspace	E-Mail- und Cloud-Datenbankdienste	EU
Connecteam	Interne Kommunikation	USA
Gmail	E-Mail-Dienste	EU
Pandadoc	Elektronische Signatur	USA
Guidepost Solutions LLC	Krypto-Tracing-Untersuchungen	USA
CYBERTRACE PTY LTD	Krypto-Tracing-Untersuchungen	AUS

Ende des Datenschutz-Addendums

Wurden Sie Opfer von Krypto-Betrug?

Wir können Ihnen helfen, Ihre Vermögenswerte zu verfolgen und einzufrieren. Handeln Sie jetzt.

Prozess starten Kontakt aufnehmen