Zusatz zur Auftragsverarbeitung

Die nachstehenden Geschäftsbedingungen („DPA“) ergänzen und ändern die Nutzungsbedingungen („ToS“), soweit Ideanote für Sie als Kunden personenbezogene Daten aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich und der Schweiz verarbeitet.

In der DPA nicht definierte, großgeschriebene Ausdrücke haben die in den ToS festgelegte Bedeutung. Wörter und Ausdrücke, die in dieser DPA verwendet, jedoch weder in der DPA noch in den ToS definiert werden, haben die ihnen in der EU-Richtlinie 95/46/EG oder ab dem 25. Mai 2018 in der Datenschutz-Grundverordnung (2016/679) („DSGVO“) einschließlich etwaiger untergeordneter oder durchführender Rechtsvorschriften zugewiesene Bedeutung und gelten für Übermittlungen von Daten an uns („Anwendbares Datenschutzrecht“).

Die Parteien schließen diese Auftragsverarbeitungsvereinbarung (AVV) hiermit, um den Verpflichtungen aus den anwendbaren Datenschutzgesetzen nachzukommen. „Anwendbare Datenschutzgesetze“ bezeichnet alle anwendbaren Gesetze, Gesetzesbestimmungen oder Verordnungen in ihrer jeweils geänderten, erweiterten oder neu erlassenen Fassung sowie alle Nachfolgegesetze, die sich auf personenbezogene Daten beziehen, einschließlich: (i) der Verordnung 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) (die „EU-DSGVO“); (ii) der DSGVO, wie sie aufgrund von Abschnitt 3 des European Union (Withdrawal) Act 2018 des Vereinigten Königreichs und des Data Protection Act 2018 des Vereinigten Königreichs in das Recht des Vereinigten Königreichs übernommen wurde (zusammen die „UK GDPR“); (iii) der EU-Datenschutzrichtlinie für elektronische Kommunikation (Richtlinie 2002/58/EG); und (iv) sämtlicher anwendbarer nationaler Datenschutzgesetze, die auf Grundlage oder gemäß einem der unter (i), (ii) oder (iii) genannten Rechtsakte erlassen wurden oder in Verbindung mit einem dieser Rechtsakte Anwendung finden; jeweils in der von Zeit zu Zeit geänderten oder ersetzten Fassung;

1. Auftragsverarbeiter

Ideanote ist ausschließlich als Auftragsverarbeiter im Auftrag seines Kunden und der Nutzer anzusehen, soweit Kundendaten personenbezogene Daten enthalten, die den Anforderungen der DSGVO unterliegen. Vorbehaltlich der Bestimmungen dieser DPA veranlasst Ideanote nicht eigenständig die Übermittlung von Kundendaten, die personenbezogene Daten enthalten und im Zusammenhang mit den Diensten gespeichert sind, an Dritte oder macht diese anderweitig Dritten zugänglich. Ausgenommen hiervon sind Unterauftragsverarbeiter, die diese Daten im Auftrag von Ideanote im Zusammenhang mit der Erbringung von Diensten durch Ideanote für Kunden verarbeiten dürfen.

Solche Maßnahmen werden ausschließlich vom jeweiligen Kunden durchgeführt oder autorisiert. Der Kunde ist gemäß der Verordnung der Verantwortliche für sämtliche Kundendaten, die personenbezogene Daten enthalten. Das bedeutet, dass der Kunde bestimmt, auf welche Weise diese personenbezogenen Daten erhoben und verwendet werden, sowie über die Zwecke und Mittel der Verarbeitung dieser personenbezogenen Daten entscheidet.

Ideanote ist weder für den Inhalt der in den Kundendaten enthaltenen personenbezogenen Daten noch für sonstige Informationen verantwortlich, die nach Ermessen des Kunden auf seinen Servern (oder den Servern seiner Unterauftragsverarbeiter) gespeichert werden. Ebenso ist Ideanote nicht für die Art und Weise verantwortlich, in der der Kunde oder Nutzer solche Informationen erhebt, deren Offenlegung handhabt, sie verbreitet oder anderweitig verarbeitet.

Im Rahmen der Erbringung der Dienste für den Kunden gemäß den ToS kann Ideanote personenbezogene Daten im Auftrag des Kunden verarbeiten. Ideanote verpflichtet sich, die folgenden Bestimmungen in Bezug auf alle personenbezogenen Daten einzuhalten, die vom Kunden oder in dessen Auftrag an den Dienst übermittelt oder vom Kunden oder in dessen Auftrag über den Dienst erhoben und verarbeitet werden.

2. Allgemeines

1. Sie bestätigen, dass Sie diese DPA entweder als Privatkunde oder als Geschäftskunde annehmen.
2. Wenn Sie diese DPA als Geschäftskunde annehmen, bestätigen Sie, dass Sie befugt sind, die von Ihnen vertretene Rechtspersönlichkeit als Kunden an diese DPA zu binden.
3. Diese Vereinbarung zur Auftragsverarbeitung legt die Rechte und Pflichten fest, die für die Verarbeitung personenbezogener Daten durch Ideanote im Auftrag des Kunden gelten.
4. Die Verarbeitung personenbezogener Daten durch Ideanote erfolgt zum Zweck der Erfüllung der ToS und beginnt an dem Tag, an dem Sie als Kunde den ToS elektronisch zustimmen oder diese anderweitig annehmen.
5. Die Laufzeit dieser Bestellung oder dieses Vertrags entspricht der Laufzeit der ToS. Das Recht zur fristlosen Kündigung aus wichtigem Grund bleibt hiervon unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn eine Verpflichtung aus dieser Vereinbarung oder Bestimmungen der GDPR vorsätzlich oder grob fahrlässig verletzt werden.
6. Diese Vereinbarung zur Auftragsverarbeitung hat Vorrang vor vergleichbaren Bestimmungen in anderen Vereinbarungen zwischen den Parteien, einschließlich der ToS. Gegebenenfalls haben die EU-Standardvertragsklauseln Vorrang.
7. Diese Vereinbarung zur Auftragsverarbeitung umfasst drei Anlagen. Die Anlagen sind integraler Bestandteil dieser Vereinbarung zur Auftragsverarbeitung.
8. Anlage A zur Vereinbarung zur Auftragsverarbeitung enthält Einzelheiten zur Verarbeitung sowie zu deren Zweck und Art, zur Art der personenbezogenen Daten, zu den Kategorien betroffener Personen und zur Dauer der Verarbeitung.
9. Anhang B der Vereinbarung zur Auftragsverarbeitung enthält die Bedingungen für den Einsatz von Unterauftragsverarbeitern durch Ideanote sowie eine Liste der genehmigten Unterauftragsverarbeiter.
10. Anhang C der Vereinbarung zur Auftragsverarbeitung enthält Anweisungen zur Verarbeitung, die Ideanote im Auftrag des Kunden (der betroffenen Person) durchzuführen hat, zu den Mindest-Sicherheitsmaßnahmen sowie dazu, wie Inspektionen bei Ideanote und etwaigen Unterauftragsverarbeitern durchzuführen sind.
11. Diese Vereinbarung zur Auftragsverarbeitung entbindet Ideanote nicht von den Verpflichtungen, denen Ideanote gemäß der Datenschutz-Grundverordnung oder sonstigen Rechtsvorschriften unterliegt.
12. ANLAGE A, die EU-SCCs, gelten als Bestandteil dieser Vereinbarung zur Auftragsverarbeitung. Wenn Sie sich in einem Land außerhalb der Europäischen Union (EU) und des Europäischen Wirtschaftsraums (EWR) befinden und Ihre Verarbeitung personenbezogener Daten nicht der GDPR unterliegt, gelten die Standardvertragsklauseln (SCCs).
13. ANLAGE B, der UK Addendum, gilt als Bestandteil dieser Vereinbarung zur Auftragsverarbeitung, wenn Sie ein im Vereinigten Königreich ansässiger Geschäftskunde sind.

3. Rechte und Pflichten des Kunden als Verantwortlicher

1. Der Kunde ist gegenüber Dritten (einschließlich der betroffenen Personen) dafür verantwortlich, sicherzustellen, dass die Verarbeitung personenbezogener Daten im Einklang mit der Datenschutz-Grundverordnung und darüber hinaus mit dem anwendbaren Datenschutzrecht erfolgt.
2. Der Kunde hat daher sowohl das Recht als auch die Pflicht, über die Zwecke und Mittel der Verarbeitung personenbezogener Daten zu entscheiden.
3. Der Kunde ist dafür verantwortlich, sicherzustellen, dass die Verarbeitung, zu deren Durchführung Ideanote angewiesen wird, rechtmäßig ist.

4. Ideanote handelt gemäß den Weisungen

1. Ideanote darf personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden verarbeiten, es sei denn, die Verarbeitung ist nach dem Recht der EU oder eines Mitgliedstaats, dem Ideanote unterliegt, erforderlich; in diesem Fall informiert Ideanote den Kunden vor der Verarbeitung über diese rechtliche Verpflichtung, es sei denn, dieses Recht untersagt eine solche Information aus wichtigen Gründen des öffentlichen Interesses, vgl. Artikel 28 Absatz 3 Buchstabe a.
2. Ideanote informiert den Kunden unverzüglich, wenn Anweisungen nach Auffassung von Ideanote gegen die Datenschutz-Grundverordnung oder Datenschutzbestimmungen anderer EU-Rechtsvorschriften oder des Rechts eines Mitgliedstaats verstoßen. 
3. Ideanote stellt dem Kunden alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in diesem Nachtrag und in Art. 28 DSGVO festgelegten Pflichten nachzuweisen, und ermöglicht Prüfungen, einschließlich Inspektionen, die vom Kunden oder einem vom Kunden beauftragten anderen Prüfer durchgeführt werden, und wirkt daran mit, gemäß Anhang C, Abschnitt „Inspektion und Prüfberichte“.

5. Vertraulichkeit

1. Ideanote stellt sicher, dass nur Personen, die aktuell dazu berechtigt sind, auf die im Auftrag des Kunden verarbeiteten personenbezogenen Daten zugreifen können. Der Zugriff auf die Daten wird daher unverzüglich verweigert, sobald eine solche Berechtigung entzogen wird oder abläuft.   
2. Nur Personen, die Zugang zu den personenbezogenen Daten benötigen, um die Verpflichtungen von Ideanote gegenüber dem Kunden zu erfüllen, erhalten eine entsprechende Berechtigung. Zur Klarstellung: Der Zugang erfolgt nach den Grundsätzen des „Kenntnisbedarfs“ und der „geringstmöglichen Berechtigungen“, und diese Personen haben angemessene Schulungen und Anweisungen zur Verarbeitung personenbezogener Daten erhalten. Ideanote stellt dem Kunden auf Anfrage Nachweise über den Abschluss von Vertraulichkeitsvereinbarungen mit Mitarbeitern, die möglicherweise Zugang zu personenbezogenen Daten des Kunden haben, sowie Nachweise über regelmäßige Schulungen im Bereich des Schutzes personenbezogener Daten zur Verfügung.
3. Ideanote stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten im Auftrag des Kunden befugt sind, sich zur Wahrung der Vertraulichkeit verpflichtet haben oder einer geeigneten gesetzlichen Verschwiegenheitspflicht unterliegen. 

6. Sicherheit der Verarbeitung

1. Ideanote ergreift alle gemäß Artikel 32 der Datenschutz-Grundverordnung erforderlichen Maßnahmen. Dieser Artikel bestimmt, dass der Kunde und der Auftragsverarbeiter unter Berücksichtigung des aktuellen Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung und des Risikos unterschiedlicher Eintrittswahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen ergreifen müssen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
2. Je nach Relevanz können die Maßnahmen Folgendes umfassen:
3. Pseudonymisierung und Verschlüsselung personenbezogener Daten
4. Die Fähigkeit, die fortlaufende Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste sicherzustellen.
5. Die Fähigkeit, die Verfügbarkeit und den Zugang zu personenbezogenen Daten im Falle eines physischen oder technischen Vorfalls zeitnah wiederherzustellen.
6. Ein Verfahren zur regelmäßigen Prüfung, Bewertung und Evaluierung der Wirksamkeit technischer und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
7. Ideanote muss bei der Sicherstellung des Vorstehenden in jedem Fall mindestens das in Anhang C dieser Auftragsverarbeitungsvereinbarung festgelegte Sicherheitsniveau und die dort beschriebenen Maßnahmen umsetzen.

7. Unterstützung des Kunden

1. Ideanote unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung mit angemessenen technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Verpflichtung, auf Anträge zur Wahrnehmung der Rechte betroffener Personen gemäß Kapitel 3 der Datenschutz-Grundverordnung zu reagieren.   

Dies bedeutet, dass Ideanote den Kunden in angemessenem Umfang bei der Einhaltung der folgenden Anforderungen durch den Kunden unterstützen sollte:

1. Informationspflicht bei der Erhebung personenbezogener Daten bei der betroffenen Person
2. Informationspflicht, wenn personenbezogene Daten nicht bei der betroffenen Person erhoben wurden
3. Auskunftsrecht der betroffenen Person
4. Recht auf Berichtigung
5. Recht auf Löschung („Recht auf Vergessenwerden“)
6. Recht auf Einschränkung der Verarbeitung
7. Informationspflicht hinsichtlich der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung
8. Recht auf Datenübertragbarkeit
9. Widerspruchsrecht 
10. Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden

Zur Klarstellung: Ideanote hat den Kunden unverzüglich zu benachrichtigen und ihm anschließend alle diesbezüglich relevanten Informationen zur Verfügung zu stellen, wenn: (i) ein Dritter (einschließlich Organisationen oder Verbänden) Anfragen oder Beschwerden hinsichtlich der Verarbeitung personenbezogener Daten durch Ideanote im Auftrag des Kunden stellt; oder (ii) eine Aufsichtsbehörde oder eine staatliche Stelle Zugang zu oder Informationen über die Verarbeitung personenbezogener Daten verlangt, die im Rahmen des Dienstleistungsvertrags von Ideanote im Zusammenhang mit den Dienstleistungen durchgeführt wird, eine diesbezügliche Prüfung verlangt oder sonstige aufsichtsrechtliche Maßnahmen ergreift (einschließlich einer bloßen Mitteilung der Absicht, solche Maßnahmen zu ergreifen). Geht eine solche Anfrage oder Beschwerde unmittelbar bei Ideanote ein, hat Ideanote den Kunden unverzüglich zu benachrichtigen und darf unter keinen Umständen unmittelbar darauf reagieren, es sei denn, der Kunde hat dies zuvor schriftlich angewiesen.

2. Ideanote unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der Ideanote zur Verfügung gestellten Daten bei der Sicherstellung der Einhaltung der Verpflichtungen des Kunden gemäß den Artikeln 32–36 der Datenschutz-Grundverordnung, vgl. Artikel 28 Absatz 3 Buchstabe f.

Das bedeutet, dass Ideanote den Kunden unter Berücksichtigung der Art der Verarbeitung in angemessenem Umfang bei der Einhaltung folgender Pflichten unterstützen sollte:

1. die Verpflichtung, geeignete technische und organisatorische Maßnahmen umzusetzen, um ein dem mit der Verarbeitung verbundenen Risiko angemessenes Sicherheitsniveau zu gewährleisten
2. die Verpflichtung, Verletzungen des Schutzes personenbezogener Daten unverzüglich und, wenn möglich, innerhalb von 72 Stunden nach Bekanntwerden der Verletzung durch den Kunden der Aufsichtsbehörde zu melden, es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen
3. die Verpflichtung, die betroffene Person unverzüglich über die Verletzung des Schutzes personenbezogener Daten zu informieren, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat
4. die Verpflichtung, eine Datenschutz-Folgenabschätzung durchzuführen, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat
5. die Verpflichtung, die Aufsichtsbehörde vor der Verarbeitung zu konsultieren, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ohne vom Kunden ergriffene Maßnahmen zur Risikobegrenzung zu einem hohen Risiko führen würde 

8. Meldung einer Verletzung des Schutzes personenbezogener Daten

Wird eine Verletzung des Schutzes personenbezogener Daten in den Räumlichkeiten von Ideanote oder eines Unterauftragsverarbeiters festgestellt, benachrichtigt Ideanote den Kunden unverzüglich.  Die Benachrichtigung des Kunden durch Ideanote erfolgt, wenn möglich, innerhalb von 48 Stunden nach Feststellung der Verletzung durch Ideanote, damit der Kunde seiner gegebenenfalls bestehenden Verpflichtung, die Verletzung unverzüglich und in jedem Fall innerhalb von 72 Stunden der Aufsichtsbehörde zu melden, nachkommen kann.

Dies kann bedeuten, dass Ideanote verpflichtet ist, bei der Beschaffung der nachstehend aufgeführten Informationen mitzuwirken, die gemäß Artikel 33 Absatz 3 der Datenschutz-Grundverordnung in der Meldung des Kunden an die Aufsichtsbehörde angegeben werden müssen:

1. Die Art der Verletzung des Schutzes personenbezogener Daten, einschließlich, soweit möglich, der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen Datensätze mit personenbezogenen Daten
2. Die wahrscheinlichen Folgen einer Verletzung des Schutzes personenbezogener Daten
3. Die Maßnahmen, die zur Behebung der Verletzung des Schutzes personenbezogener Daten ergriffen wurden oder vorgeschlagen werden, einschließlich gegebenenfalls Maßnahmen zur Begrenzung möglicher Schäden

9. Löschung und Rückgabe von Daten

Bei Beendigung der Verarbeitungsdienste ist Ideanote verpflichtet, nach Wahl des Kunden sämtliche personenbezogenen Daten zu löschen oder an den Kunden zurückzugeben und vorhandene Kopien zu löschen, es sei denn, das Recht der EU oder eines Mitgliedstaats schreibt die Speicherung der personenbezogenen Daten vor.

10. Inkrafttreten und Beendigung

1. Diese Vereinbarung zur Auftragsverarbeitung tritt an dem Tag in Kraft, an dem der Kunde unseren Nutzungsbedingungen elektronisch zustimmt oder anderweitig zustimmt. 
2. Diese Vereinbarung zur Auftragsverarbeitung kann gemäß den in den Nutzungsbedingungen festgelegten Beendigungsbedingungen einschließlich der Kündigungsfrist beendet werden, vorbehaltlich Abschnitt 2.6 (siehe oben).
3. Diese Vereinbarung zur Auftragsverarbeitung gilt so lange, wie die Verarbeitung durchgeführt wird. Unabhängig von der Beendigung der Nutzungsbedingungen und/oder dieser Vereinbarung zur Auftragsverarbeitung bleibt diese Vereinbarung zur Auftragsverarbeitung bis zur Beendigung der Verarbeitung und zur Löschung der Daten durch Ideanote und etwaige Unterauftragsverarbeiter in Kraft.
4. Verstöße gegen diesen Nachtrag gelten als Verstöße gegen den Dienstleistungsvertrag. Jede Partei haftet für ihre eigenen Verstöße gegen geltendes Datenschutzrecht und stellt die andere Partei entsprechend frei, falls dieser Partei infolge eines solchen Verstoßes ein Schaden entsteht. 

11. Kontakt des Verantwortlichen und des Auftragsverarbeiters

1. Der Kunde kann Ideanote unter legal@ideanote.io 
2. Ideanote kann den Kunden unter Verwendung der in dessen Konto gespeicherten Kontaktdaten kontaktieren.

Anhang A

Anhang A der Vereinbarung zur Auftragsverarbeitung enthält Einzelheiten zur Verarbeitung sowie zu deren Zweck und Art, zur Art der personenbezogenen Daten, zu den Kategorien betroffener Personen und zur Dauer der Verarbeitung.

1. Verantwortlicher

Der Verantwortliche ist Kunde der Kommunikations- und Produktivitätssoftware, -dienste, -systeme und/oder -technologien von Ideanote.

2. Auftragsverarbeiter

Der Auftragsverarbeiter ist Ideanote ApS als Anbieter von Kommunikations- und Produktivitätssoftware, -diensten, -systemen und/oder -technologien.

3. Betroffene Personen

Die für die Zwecke des Dienstleistungsvertrags verarbeiteten personenbezogenen Daten betreffen die folgenden Kategorien betroffener Personen:

Nutzer des Dienstes

4. Datenkategorien

Die übermittelten personenbezogenen Daten betreffen die folgenden Datenkategorien:

Für Endnutzer

Wir können die folgenden personenbezogenen Daten von Endnutzern der Kunden erheben

Registrierungs- und Kontaktinformationen von Endnutzern

• Name des Endnutzers
• E-Mail-Adresse des Endnutzers

Servicedaten von Endnutzern

• IP des Endnutzers
• URL des Endnutzers
• Referrer des Endnutzers
• Browser des Endnutzers
• Gerät des Endnutzers
• Ereignisse des Endnutzers
• Einstellungen des Endnutzers

Inhalte des Endnutzers

Alle von Endnutzern an die Dienste übermittelten Daten und Informationen, einschließlich Nachrichtentexten, Dateien, Kommentaren und Links, jedoch ausschließlich Drittanbieterprodukten oder des Dienstes.

Für Kunden

Wir können die folgenden personenbezogenen Daten von Kunden erheben.

Kundenbezogene personenbezogene Daten

• Name der Kontaktperson des Kunden
• E-Mail-Adresse der Kontaktperson des Kunden

Zahlungsinformationen des Kunden:

• Kreditkartendaten
• Kontakt-IP des Kunden
• Adresse des Kunden

5. Besondere Kategorien personenbezogener Daten

Die übermittelten personenbezogenen Daten betreffen die folgenden besonderen Kategorien personenbezogener Daten:

• keine

Der Datenexporteur kann dem Datenimporteur über die Dienste personenbezogene Daten übermitteln. Deren Umfang wird vom Datenexporteur unter Einhaltung der geltenden Datenschutzgesetze festgelegt und kontrolliert. Diese Daten können gegebenenfalls die folgenden besonderen Kategorien personenbezogener Daten betreffen:

• rassische oder ethnische Herkunft;
• politische Meinungen;
• religiöse oder weltanschauliche Überzeugungen;
• Gewerkschaftszugehörigkeit;
• genetische oder biometrische Daten;
• Gesundheit; und
• Sexualleben

6. Verarbeitungsvorgänge

Die übermittelten personenbezogenen Daten unterliegen den folgenden grundlegenden Verarbeitungstätigkeiten:

• Soweit dies zur Erfüllung eines Vertrags über den Dienst erforderlich ist

7. Art und Zweck der Verarbeitung

Im Einzelnen stellt Ideanote dem Kunden seinen Dienst zur Verfügung und speichert und verarbeitet hiermit personenbezogene Daten über den Kunden auf der Infrastruktur unseres Dienstes, um eine schnelle Authentifizierung und Kommunikation sowie ein gewisses Maß an Sicherheit für die Nutzer des Dienstes zu gewährleisten.

Ideanote sendet Einladungen zur Plattform per E-Mail, ermöglicht Personen nach Ermessen des Kunden, Mitglieder des Bereichs zu werden, und gestattet Mitgliedern, Inhalte im Bereich zu teilen, um Innovationen und den Ideenaustausch für den Kunden zu fördern.

Der Kunde kann unseren von Ideanote betriebenen, entwickelten und verwalteten Dienst nutzen, um den Austausch, das Sammeln, Kommentieren, Bewerten, Priorisieren, Zuweisen und Nachverfolgen von Ideen zu ermöglichen. Dabei verarbeitet Ideanote im Auftrag des Kunden den Kunden sowie alle vom Kunden übermittelten personenbezogenen Daten und Inhalte. 

Die übermittelten personenbezogenen Daten werden gemäß den ToS verarbeitet und können Gegenstand der folgenden Verarbeitungstätigkeiten sein:

• Speicherung, Verschlüsselung, Entschlüsselung, Sicherung, Wiederherstellung und Zwischenspeicherung, soweit dies erforderlich ist, um die dem Datenexporteur bereitgestellten Dienste bereitzustellen, zu verbessern, zu warten und zu aktualisieren;
• zur Bereitstellung von Kunden- und technischem Support für den Datenexporteur; und
• Offenlegungen gemäß der Vereinbarung, soweit gesetzlich vorgeschrieben
• Die Datenverarbeitung wird fortgesetzt, bis der Kunde die Löschung beantragt

Der Kunde willigt ein, dass Mitarbeiter von Ideanote aggregierte Erkenntnisse über Aktivitäten und Inhalte im Service nutzen dürfen, um die Leistung und Darstellung des Service kontinuierlich zu optimieren. Wir behalten uns das Recht vor, unsere Erkenntnisse in anonymisierter, aggregierter Form zu veröffentlichen. Ein Beispiel für eine anonymisierte Erkenntnis wäre eine Untersuchung darüber, wie viele Personen im Allgemeinen eine Idee kommentieren, die sie auch mit „Gefällt mir“ markiert haben. Wir behalten uns außerdem das Recht vor, jedoch ohne Verpflichtung, direkt auf Kontodaten des Kunden oder einen Workspace zuzugreifen, wenn ein Mitglied eines Workspace uns dazu einlädt, und zwar zum Zweck der technischen Wartung, der Inhaltsaufsicht oder einer Untersuchung sowie zur allgemeinen Unterstützung des Kunden. Jedes Feedback oder jeder beiläufige analytische Nachweis, der wissentlich bereitgestellt wird oder sich unwissentlich aus der Nutzung unseres Service ergibt, darf von uns uneingeschränkt genutzt und weitergegeben werden, um unseren Service oder unsere Technologie zu verbessern, ohne dass dem Kunden dadurch Rechte oder Eigentumsansprüche daran zustehen oder übertragen werden.

Anhang B

1. Bedingungen für die Nutzung von Unterauftragsverarbeitern durch Ideanote

Ideanote verfügt über die allgemeine Zustimmung des Kunden zur Beauftragung der bereits zum Datum dieses Nachtrags beauftragten Unterauftragsverarbeiter, wie in diesem Anhang B aufgeführt. 

2. Unterauftragsverarbeiter

Als Auftragsverarbeiter stellt Ideanote sicher, dass die Unterauftragsverarbeiter Datenschutzpflichten unterliegen, die nicht weniger streng sind als die in dieser Vereinbarung zur Auftragsverarbeitung festgelegten, und zwar auf Grundlage eines Vertrags oder eines anderen Rechtsdokuments nach EU-Recht oder dem nationalen Recht der Mitgliedstaaten. Dies gilt insbesondere für die Bereitstellung der erforderlichen Garantien, dass der Unterauftragsverarbeiter geeignete technische und organisatorische Maßnahmen so umsetzt, dass die Verarbeitung den Anforderungen der Datenschutz-Grundverordnung entspricht. 

Der Kunde erkennt an und stimmt zu, dass (i) verbundene Unternehmen von Ideanote als Unterauftragsverarbeiter beauftragt werden können; und (ii) Ideanote und die verbundenen Unternehmen von Ideanote jeweils im Zusammenhang mit der Erbringung der Dienste Unterauftragsverarbeiter beauftragen können. Ideanote oder ein verbundenes Unternehmen von Ideanote hat mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung geschlossen, die Datenschutzpflichten enthält, die nicht weniger schützend sind als die in dieser Vereinbarung und im anwendbaren Recht festgelegten Pflichten zum Schutz der Kundendaten, soweit diese auf die Art der vom jeweiligen Unterauftragsverarbeiter erbrachten Dienste anwendbar sind. Übermittelt Ideanote bei der Erfüllung dieser Auftragsverarbeitungsvereinbarung personenbezogene Daten an einen Unterauftragsverarbeiter außerhalb des EWR, stellt Ideanote vor einer solchen Übermittlung sicher, dass ein rechtlicher Mechanismus zur Gewährleistung eines angemessenen Schutzniveaus für diese Verarbeitung besteht.

3. Liste der Unterauftragsverarbeiter

Ideanote stellt dem Kunden die aktuelle Liste der Unterauftragsverarbeiter für die Dienste zur Verfügung. Diese Listen der Unterauftragsverarbeiter enthalten Angaben zur Rechtspersönlichkeit der jeweiligen Unterauftragsverarbeiter sowie zum Speicherort der Kundendaten. Diese Liste ist online unter https://ideanote.io/legal/sub-processors.

4. Änderungen bei Unterauftragsverarbeitern

Ideanote informiert den Kunden mindestens 30 Tage im Voraus schriftlich über beabsichtigte Änderungen hinsichtlich der Hinzunahme oder des Austauschs von Unterauftragsverarbeitern. 

5. Widerspruchsrecht

Ideanote räumt dem Kunden die Möglichkeit ein, innerhalb von 30 Tagen nach der Benachrichtigung der Beauftragung der neuen Unterauftragsverarbeiter zu widersprechen. Der Widerspruch muss auf sachlichen Gründen beruhen. Können Ideanote und der Kunde den Widerspruch nicht ausräumen, kann jede Partei die Vereinbarung durch schriftliche Mitteilung an die andere Partei kündigen. Der Kunde erhält eine Gutschrift für alle im Voraus bezahlten, aber nicht genutzten Gebühren für den Zeitraum nach dem Wirksamwerden der Kündigung. 

Beauftragt Ideanote einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag des Kunden, stellt Ideanote sicher, dass diesem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegt werden, die in diesem Nachtrag festgelegt sind, insbesondere indem ausreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen gegeben werden, sodass die Verarbeitung die Anforderungen dieses Nachtrags und des anwendbaren Datenschutzrechts erfüllt. 

Auf Anfrage wird dem Kunden eine Kopie eines solchen Vertrags mit einem Unterauftragsverarbeiter sowie späterer Änderungen zur Verfügung gestellt, ausgenommen Klauseln zu geschäftlichen Angelegenheiten, die den rechtlichen Datenschutzinhalt des Vertrags mit dem Unterauftragsverarbeiter nicht betreffen. 

Ideanote führt jederzeit eine aktuelle Liste aller eingesetzten Unterauftragsverarbeiter, einschließlich der in jedem Fall gemäß Anhang B erforderlichen Angaben, und stellt diese Liste dem Kunden auf Anfrage zur Verfügung. 

Ideanote haftet für Handlungen und Unterlassungen eines solchen Unterauftragsverarbeiters in demselben Umfang, als wären die Handlungen oder Unterlassungen von Ideanote vorgenommen worden. Die Rechte der betroffenen Personen nach dem anwendbaren Datenschutzrecht bleiben hiervon unberührt. 

6. Internationale Übermittlungen

Ideanote kann Kundendaten überall auf der Welt übertragen und verarbeiten, wo Ideanote, seine verbundenen Unternehmen oder seine Unterauftragsverarbeiter Datenverarbeitungsvorgänge durchführen, nachdem Ideanote den Kunden zuvor informiert und dessen Einwilligung eingeholt hat. Ideanote gewährleistet jederzeit ein angemessenes Schutzniveau für die verarbeiteten Kundendaten gemäß den Anforderungen der Datenschutzgesetze. Insbesondere stellt Ideanote sicher, dass für jede derartige Übertragung eine gültige Rechtsgrundlage besteht, wie in Kapitel 5 der DSGVO und den Artikeln 45­49 derselben dargelegt.

Unbeschadet des vorstehend genannten Benachrichtigungs- und Genehmigungsverfahrens kann Ideanote die Daten in Drittländer übermitteln, die außerhalb des Europäischen Wirtschaftsraums („EWR“) liegen, sofern Ideanote eine mit dem anwendbaren Datenschutzrecht konforme Übertragungslösung implementiert hat.

Wenn eine solche Übertragungslösung auf den Standardvertragsklauseln der EU-Kommission beruht, stellt Ideanote dem Kunden eine Transfer-Folgenabschätzung zur Verfügung, einschließlich Angaben zu den Verarbeitungsstandorten, den durchzuführenden Verarbeitungstätigkeiten, den Datenarten, etwaigen zusätzlichen Schutzvorkehrungen und Maßnahmen (technischer, organisatorischer und vertraglicher Art), die umgesetzt werden sollen, sowie Ideanotes Risikobewertung des vorgesehenen Unterauftragsverarbeiters und/oder der Übertragung.

Diese Mitteilung erfolgt vor der Durchführung der Übertragung, und dem Kunden werden mindestens 30 Tage eingeräumt, um sie zu prüfen. Der Kunde kann die Übertragung teilweise oder vollständig ablehnen; in diesem Fall wird Ideanote den vorgesehenen Unterauftragsverarbeiter weder beauftragen noch die geplante Übertragung durchführen. Können die vertraglich vereinbarten Dienstleistungen ohne die betreffende Übertragung nicht erbracht werden, kann der Kunde den Dienstleistungsvertrag und den Nachtrag ganz oder teilweise, soweit erforderlich, ohne Vertragsstrafe kündigen. 

Die Parteien vereinbaren, dass die Bestimmungen der SCCs gemäß Anlage 2 dieser DPA hiermit einbezogen werden und für alle Übermittlungen personenbezogener Daten in ein Drittland gelten, sei es unmittelbar oder im Wege einer Weiterübermittlung, sofern diese nicht anderweitig durch einen geeigneten, nach geltendem Datenschutzrecht als angemessenes Schutzniveau für personenbezogene Daten anerkannten Rahmen abgedeckt sind, einschließlich verbindlicher interner Datenschutzvorschriften für Auftragsverarbeiter.

Anhang C

Anhang C der Vereinbarung zur Auftragsverarbeitung enthält Anweisungen zu den Verarbeitungsvorgängen, die Ideanote im Auftrag des Kunden (des Gegenstands der Verarbeitung) durchführen soll, zu den vom Datenimporteur gemäß Klausel 4(d) und 5(c) umgesetzten technischen und organisatorischen Sicherheitsmaßnahmen sowie dazu, wie Prüfungen bei Ideanote und etwaigen Unterauftragsverarbeitern durchzuführen sind.

Ideanote hat ein internes Informationssicherheitsprogramm eingerichtet, das Daten- und Netzwerksicherheit, Zugangs- und Standortkontrollen sowie die Sicherheit von Personal und Unterauftragsverarbeitern umfasst.

1. Sicherheitskontrollen von Ideanote

• Physische Sicherheit -  Ideanote verwendet physisch gesicherte Rechenzentren. Alle Rechenzentren erfüllen die Sicherheitsanforderungen von SOC2 oder übertreffen sie. Alle Rechenzentren sind mit Videoüberwachung, 24/7 vor Ort eingesetztem Sicherheitspersonal und einem Zutrittssystem mit Schlüsselkarte ausgestattet. Ideanote verwendet geografisch verteilte Rechenzentren für Sicherungskopien.
• Redundanz – Die Infrastruktur von Ideanote ermöglicht Wartungsarbeiten und Verbesserungen bei minimalen Ausfallzeiten.
• Stromversorgung – Die Rechenzentren von Ideanote sind mit Notstromaggregaten und unterbrechungsfreien Stromversorgungen ausgestattet, die mehrere Tage lang betrieben werden können.
• Patches – Ideanote hat eine Richtlinie eingeführt, um Systeme mit den erforderlichen Sicherheitsupdates auf dem aktuellen Stand zu halten.
• Geschäftskontinuität - Daten werden über mehrere Systeme hinweg repliziert und gesichert, um sie vor unbeabsichtigter Zerstörung oder Verlust zu schützen. Verfahren zur Wiederherstellung von Sicherungskopien und Pläne zur Geschäftskontinuität werden jährlich getestet.
• Daten während der Übertragung – Ideanote verwendet branchenübliche Verschlüsselungsverfahren und -protokolle, um Datenübertragungen zwischen den Rechenzentren zu verschlüsseln.
• Erkennung von Eindringversuchen – Ideanote setzt ein System zur Erkennung von Eindringversuchen ein, um Erkenntnisse über laufende Angriffsaktivitäten zu gewinnen und dabei zu helfen, Angriffe schneller einzudämmen.
• Reaktion auf Sicherheitsvorfälle – Ideanote hat Protokolle für den Umgang mit Sicherheitsvorfällen und Datenschutzverletzungen eingeführt und wird die beteiligten Parteien informieren.
• Verschlüsselung – Ideanote verwendet branchenübliche Verschlüsselungsmethoden, um Daten während der Übertragung und im Ruhezustand zu verschlüsseln.
• Zugriffskontrolle – Mitarbeiter von Ideanote müssen sich über ein zentrales Authentifizierungssystem oder ein Single-Sign-on-System authentifizieren, um die Dienste zu verwalten.
• Passwortsicherheit – Ideanote verlangt die Verwendung eindeutiger IDs, sicherer Passwörter und einer Zwei-Faktor-Authentifizierung. 
• Überprüfung des Zugriffs - Der Zugriff richtet sich nach einer internen Richtlinie zum Prinzip der geringsten Berechtigungen sowie nach Zugriffsüberprüfungen.
• Prüfpfad – Ideanote protokolliert den Zugriff auf seine Systeme in einem unveränderlichen Prüfpfad.
• Datentrennung – Ideanote trennt die Daten der Kunden in einer mandantenfähigen Umgebung mithilfe separater Verschlüsselungsschlüssel.
• Löschung von Datenträgern - Ausgemusterte Datenträger werden nach ihrer vorgesehenen Nutzung sicher gelöscht oder im Falle einer Fehlfunktion sicher vernichtet.
• Personal – Das Personal von Ideanote hält sich an die Unternehmensrichtlinien zu Datenschutz, Sicherheit und Ethik sowie an einen professionellen Verhaltenskodex. 
• Hintergrundüberprüfungen – Ideanote führt bei neuen Mitarbeitern Hintergrundüberprüfungen durch.
• Datenzugriff – Mitarbeiter von Ideanote greifen nicht auf Kundeninhalte zu und verarbeiten diese nicht ohne ausdrückliche Genehmigung des Kunden, es sei denn, dies ist gesetzlich vorgeschrieben.
• Sicherheit von Unterauftragsverarbeitern – Ideanote überprüft die Sicherheits- und Datenschutzpraktiken von Unterauftragsverarbeitern, bevor diese beauftragt werden, um ein angemessenes Maß an Sicherheit und Datenschutz für die Daten sowie den Umfang der von ihnen zu erbringenden Dienstleistungen sicherzustellen. Nach Abschluss der Überprüfung des Unterauftragsverarbeiters und Bewertung des damit verbundenen Risikos schließt der Unterauftragsverarbeiter angemessene Vertragsbestimmungen zu Datenschutz, Vertraulichkeit und Sicherheit ab.

2. Speicherbegrenzungen und Löschung

Die Verarbeitung ist zeitlich nicht begrenzt und wird so lange durchgeführt, bis diese Datenverarbeitungsvereinbarung von einer der Parteien beendet oder gekündigt wird.

Personenbezogene Daten werden bei Ideanote gespeichert, bis der Kunde oder ein Mitglied die Löschung oder Rückgabe seiner Daten verlangt. Ideanote ermöglicht es Kunden, ihre Rohdaten jederzeit im branchenüblichen JSON-Format zu exportieren. Darüber hinaus können Kundendaten bei Beendigung des Vertrags auf Anfrage gelöscht werden oder werden gemäß den internen Datenaufbewahrungsrichtlinien von Ideanote gelöscht.

3. Inspektionen und Prüfberichte

Kunden mit einem aktiven Annual Enterprise Subscription sind berechtigt, einmal jährlich ein Compliance-Audit anzufordern, um die Einhaltung der Datenschutzverpflichtungen durch Ideanote im Rahmen dieser Vereinbarung zur Auftragsverarbeitung zu bestätigen. Auf Anfrage des Kunden zur Durchführung eines Audits verpflichtet sich Ideanote, die erforderlichen Informationen, einschließlich Sicherheits- und Auditfragebögen, vertraulich bereitzustellen.

Audit-Anfragen müssen einen detaillierten Plan enthalten und zwei Monate im Voraus eingereicht werden, außer im Falle eines Sicherheitsvorfalls, bei dem ein Audit unverzüglich eingeleitet werden kann. Ideanote ist berechtigt, Drittanbieter-Auditoren abzulehnen, die Wettbewerber oder anderweitig ungeeignet sind.

Vorhandene Auditberichte können ein neues Audit ersetzen, sofern die Kontrollen von Ideanote im Wesentlichen unverändert geblieben sind.

Kunden mit einem aktiven Annual Enterprise Subscription sind berechtigt, einmal jährlich Remote- oder Vor-Ort-Audits der Verarbeitungstätigkeiten von Ideanote im Zusammenhang mit den personenbezogenen Daten des Kunden durchzuführen. Die Kosten des Audits, einschließlich etwaiger Unterstützung durch Ideanote, trägt der Kunde zu den geltenden Standardsätzen für Dienstleistungen von Ideanote.

Vor jeder Prüfung vor Ort vereinbaren beide Parteien den Umfang, den Zeitpunkt und die Dauer. Jede Prüfung ist auf einmal jährlich begrenzt; Ideanote ist 2 Monate im Voraus zu benachrichtigen, es sei denn, ein Sicherheitsvorfall macht eine zeitnahere Prüfung erforderlich. Feststellungen einer Nichteinhaltung sind Ideanote unverzüglich zu melden.

4. Verschlüsselung von Kundeninhalten

Wenn ein Nutzer den Ideanote-Service nutzt, werden die Einzelheiten seiner Interaktionen erfasst und über API-Aufrufe via HTTPS an Ideanote übermittelt. Auch alle unsere sonstigen APIs und Websites verwenden ausschließlich HTTPS. Alles, was der Kunde und der Nutzer an Ideanote senden, sowie alles, was Ideanote an den Kunden und den Nutzer sendet, wird über vollständig verschlüsselte Kanäle übertragen. Ideanote verwendet das Protokoll Transport Layer Security (TLS 1.2) mit RSA-2048-Verschlüsselung, um unsere Kommunikation vertraulich zu halten.

Die Google Cloud Platform verschlüsselt standardmäßig Kundendaten, die im Ruhezustand gespeichert sind. Daten auf der Google Cloud Platform werden zur Speicherung in kleinere Dateiblöcke aufgeteilt, und jeder Block wird auf Speicherebene mit einem individuellen Verschlüsselungsschlüssel verschlüsselt. Der Schlüssel, der zur Verschlüsselung der Daten in einem Block verwendet wird, wird als Datenverschlüsselungsschlüssel (DEK) bezeichnet. Aufgrund der großen Anzahl von Schlüsseln bei Google und der erforderlichen niedrigen Latenz sowie hohen Verfügbarkeit werden diese Schlüssel in der Nähe der Daten gespeichert, die sie verschlüsseln. Die DEKs werden mit einem Schlüsselverschlüsselungsschlüssel (KEK) verschlüsselt (oder „umhüllt“). Weitere Informationen finden Sie https://cloud.google.com/security/#dataencryption.

5. Trennung von Kundendaten

Der Zugriff wird gewährt, indem bei Anfragen ein Authentifizierungstoken mitgesendet wird. Dieses Token enthält dann eine Reihe von Berechtigungen, die sich nach dem Rang des Nutzers sowie den Bereichen, Missionen und sonstigen Inhalten richten, auf die der Nutzer Zugriff hat.

Dies bietet eine logische Trennung zwischen Daten, die mehreren Nutzern gehören. Ideanote ist der einzige Mandant auf unserer Infrastruktur. Die Daten eines Kunden können sich auf Datenbanksystemen befinden, auf denen auch Daten anderer Kunden gespeichert sind. Unsere logischen Kontrollen (Token, Schlüssel und Geheimnis) trennen jedoch die Daten eines Nutzers von denen eines anderen Nutzers.

6. Single Sign-on und Multi-Faktor-Authentifizierung

Ideanote unterstützt die einmalige Anmeldung (Single Sign-on) über SAML. Je nachdem, welchen Anbieter der Kunde für die einmalige Anmeldung nutzt, kann er bei diesem Anbieter die Multi-Faktor-Authentifizierung aktivieren. Details zur Aktivierung der einmaligen Anmeldung finden Sie in den Zugriffseinstellungen.

7. Standort und Speicherung von Kundendaten

GDPR verlangt nicht, dass personenbezogene Daten innerhalb der EU verbleiben müssen, sofern ein rechtlicher Rahmen zur Legitimierung der Datenübermittlung besteht; GDPR erkennt mehrere solcher Rahmenwerke an, darunter die EU-Standardvertragsklauseln.  

Die Anwendungs- und Datenbankserver von Ideanote befinden sich innerhalb der Europäischen Union. Das bedeutet, dass Kundeninhalte im Ruhezustand die EU niemals verlassen werden.

Der Dienst selbst kann unter Einsatz von Geräten oder Einrichtungen bereitgestellt werden, die sich in der Europäischen Union oder in den Vereinigten Staaten befinden. Die US-amerikanischen Unterauftragsverarbeiter haben Standardvertragsklauseln (in der von der Europäischen Kommission genehmigten Fassung) abgeschlossen, die eine Rechtsgrundlage dafür schaffen, sicherzustellen, dass personenbezogene Daten von EU-Bürgern, die bei der Nutzung des Dienstes verarbeitet werden, bei ihrer Verarbeitung in den Vereinigten Staaten ein angemessenes Schutzniveau im Sinne von Artikel 46 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) erhalten. Personenbezogene Daten werden teilweise von diesen Unterauftragsverarbeitern gespeichert und verarbeitet.

Google ist unser Produktions-Hosting-Anbieter. Die Festplatten von Google nutzen Technologien wie FDE (Full-Disk-Verschlüsselung) und Laufwerkssperren, um ruhende Daten zu schützen. Wird eine Festplatte außer Betrieb genommen, überprüfen autorisierte Personen, ob der Datenträger gelöscht wurde, indem sie Nullen auf das Laufwerk schreiben und einen mehrstufigen Überprüfungsprozess durchführen, um sicherzustellen, dass sich keine Daten mehr auf dem Laufwerk befinden. Kann das Laufwerk aus irgendeinem Grund nicht gelöscht werden, wird es sicher aufbewahrt, bis es physisch zerstört werden kann. Die physische Zerstörung von Datenträgern erfolgt in mehreren Schritten: Zunächst verformt ein Brecher das Laufwerk, anschließend zerkleinert ein Schredder es in kleine Stücke, die dann in einer gesicherten Einrichtung recycelt werden. Jedes Rechenzentrum hält sich an eine strenge Entsorgungsrichtlinie; etwaige Abweichungen werden umgehend behoben.

8. Sicherheitsprüfungen und Scans

Ideanote führt regelmäßig Sicherheitsüberprüfungen mithilfe eines Drittanbieterdienstes durch, und unser Quellcode wird bei jeder Übermittlung automatisch überprüft. Jedes Mal, wenn Ideanote eine der externen Codeabhängigkeiten aktualisiert, führt Ideanote eine umfassende Sicherheitsprüfung durch, um sicherzustellen, dass keine Schwachstellen in die Codebasis von Ideanote gelangt sind. Ideanote hat außerdem verschiedene Sicherheits-Mailinglisten für die von Ideanote verwendete Software abonniert. Dadurch wird sichergestellt, dass Ideanote stets über neu entdeckte Schwachstellen informiert ist und entsprechende Umgehungslösungen oder verfügbare Patches bereitstellen kann.

9. Umgang des Personals mit Kundendaten

Der Zugriff auf den Datenspeicher ist auf eine sehr kleine Anzahl von Personen beschränkt. Ideanote kann sich weder über eine Kontowechseloberfläche als jemand anderes ausgeben noch Inhalte einsehen oder über die Administratoroberfläche darauf zugreifen. 

Wenn Ideanote Fehler beheben muss, testet Ideanote dies entweder in einer Entwicklungsumgebung oder holt die ausdrückliche Zustimmung des Kunden zum Kontozugriff ein (in der Regel, indem der Kunde unser Supportkonto manuell als Nutzer zum Workspace des Kunden einlädt; diese Einladung kann jederzeit entfernt werden) oder bittet um eine Bildschirmfreigabe. Zugriffe und Zugriffsanfragen auf Ideanote-Datenbanken und Serverinfrastruktur sowie sämtliche Codeänderungen werden aus Sicherheitsgründen protokolliert.

Wie in unseren Nutzungsbedingungen dargelegt, hat das Supportpersonal standardmäßig Zugriff auf bestimmte Kontaktinformationen und Aktivitätsprotokolle, um den Kunden bestmöglich betreuen zu können. Der Zugriff auf diese Art von Daten ist jederzeit durch Zwei-Faktor-Authentifizierung beschränkt, und personenbezogene Daten werden nicht an Dritte verkauft.

10. Replikation von Kundendaten

Ideanote erstellt dreimal täglich Sicherungskopien der Kundendaten und bewahrt diese bis zu einem Monat lang auf. Im Falle eines Sicherheitsvorfalls, eines technischen oder physischen Vorfalls oder eines Datenverlusts können die Kundendaten zeitnah auf einen früheren Stand zurückgesetzt werden.

ANLAGE 2 – Standardvertragsklauseln (SCCs)

Klausel 1

Zweck und Anwendungsbereich

(a) Zweck dieser Standardvertragsklauseln ist es, die Einhaltung der Anforderungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten (Datenschutz-Grundverordnung) bei der Übermittlung personenbezogener Daten in ein Drittland sicherzustellen.

(b) Die Parteien:

i. die natürliche(n) oder juristische(n) Person(en), Behörde(n), Einrichtung(en) oder sonstige(n) Stelle(n) (im Folgenden jeweils „Einheit“), die personenbezogene Daten übermitteln und in Anhang I.A aufgeführt sind (im Folgenden jeweils „Datenexporteur“), und

ii. die Einheit(en) in einem Drittland, die die personenbezogenen Daten vom Datenexporteur direkt oder indirekt über eine andere ebenfalls Vertragspartei dieser Klauseln seiende Einheit erhalten und in Anhang I.A aufgeführt sind (im Folgenden jeweils „Datenimporteur“).

haben diesen Standardvertragsklauseln (im Folgenden „Klauseln“) zugestimmt.

(c) Diese Klauseln gelten für die Übermittlung personenbezogener Daten gemäß der Spezifizierung in Anhang I.B.

(d) Der Anhang zu diesen Klauseln, der die darin genannten Anhänge enthält, ist integraler Bestandteil dieser Klauseln.

Klausel 2

Wirkung und Unabänderlichkeit der Klauseln

(a) Diese Klauseln legen geeignete Garantien fest, einschließlich durchsetzbarer Rechte betroffener Personen und wirksamer Rechtsbehelfe, gemäß Artikel 46 Absatz 1 und Artikel 46 Absatz 2 Buchstabe c der Verordnung (EU) 2016/679 sowie, in Bezug auf Datenübermittlungen von Verantwortlichen an Auftragsverarbeiter und/oder von Auftragsverarbeitern an Auftragsverarbeiter, Standardvertragsklauseln gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679, sofern sie nicht geändert werden, mit Ausnahme der Auswahl des bzw. der geeigneten Module oder der Ergänzung oder Aktualisierung von Informationen im Anhang. Dies hindert die Parteien nicht daran, die in diesen Klauseln festgelegten Standardvertragsklauseln in einen weiter gefassten Vertrag aufzunehmen und/oder weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese nicht direkt oder indirekt im Widerspruch zu diesen Klauseln stehen oder die Grundrechte oder Grundfreiheiten betroffener Personen beeinträchtigen.

(b) Diese Klauseln lassen die Verpflichtungen unberührt, denen der Datenexporteur aufgrund der Verordnung (EU) 2016/679 unterliegt.

Klausel 3

Begünstigte Dritte

(a) Betroffene Personen können diese Klauseln als begünstigte Dritte gegenüber dem Datenexporteur und/oder dem Datenimporteur geltend machen und durchsetzen, mit folgenden Ausnahmen:

i. Klausel 1, Klausel 2, Klausel 3, Klausel 6, Klausel 7;

ii. Klausel 8.1(b), 8.9(a), (c), (d) und (e);

iii. Klausel 9(a), (c), (d) und (e)

iv. Klausel 12(a), (d) und (f);

v. Klausel 13;

vi. Klausel 15.1(c), (d) und (e);

vii. Klausel 16(e); und

viii. Klausel 18(a) und (b).

(b) Absatz (a) lässt die Rechte betroffener Personen gemäß der Verordnung (EU) 2016/679 unberührt.

Klausel 4

Auslegung

(a) Werden in diesen Klauseln Begriffe verwendet, die in der Verordnung (EU) 2016/679 definiert sind, so haben diese Begriffe dieselbe Bedeutung wie in jener Verordnung.

(b) Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 auszulegen und anzuwenden.

(c) Diese Klauseln dürfen nicht so ausgelegt werden, dass sie im Widerspruch zu den in der Verordnung (EU) 2016/679 vorgesehenen Rechten und Pflichten stehen.

Klausel 5

Rangfolge

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen zugehöriger Vereinbarungen zwischen den Parteien, die zum Zeitpunkt der Vereinbarung dieser Klauseln bestehen oder danach geschlossen werden, haben diese Klauseln Vorrang.

Klausel 6

Beschreibung der Übermittlung(en)

Die Einzelheiten der Übermittlung(en), insbesondere die Kategorien der übermittelten personenbezogenen Daten und der Zweck bzw. die Zwecke, zu denen sie übermittelt werden, sind in Anhang I.B festgelegt.

Klausel 7

Beitrittsklausel

(a) Eine Einrichtung, die keine Partei dieser Klauseln ist, kann diesen Klauseln mit Zustimmung der Parteien jederzeit entweder als Datenexporteur oder als Datenimporteur beitreten, indem sie den Anhang ausfüllt und Anhang I.A unterzeichnet.

(b) Sobald die beitretende Einrichtung den Anhang ausgefüllt und Anhang I.A unterzeichnet hat, wird sie Partei dieser Klauseln und hat die Rechte und Pflichten eines Datenexporteurs oder Datenimporteurs gemäß ihrer Bezeichnung in Anhang I.A.

(c) Der beitretenden Einrichtung erwachsen aus diesen Klauseln keine Rechte oder Pflichten für den Zeitraum vor ihrem Beitritt als Partei.

ABSCHNITT II – PFLICHTEN DER PARTEIEN

Klausel 8

Datenschutzgarantien

Der Datenexporteur versichert, dass er angemessene Anstrengungen unternommen hat, um festzustellen, dass der Datenimporteur durch die Umsetzung geeigneter technischer und organisatorischer Maßnahmen in der Lage ist, seinen Pflichten aus diesen Klauseln nachzukommen.

8.1 Weisungen

(a) Der Datenimporteur verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Anweisungen des Datenexporteurs hin. Der Datenexporteur kann solche Anweisungen während der gesamten Vertragslaufzeit erteilen.

(b) Der Datenimporteur informiert den Datenexporteur unverzüglich, wenn er nicht in der Lage ist, diesen Anweisungen Folge zu leisten

8.2 Zweckbindung

Der Datenimporteur verarbeitet die personenbezogenen Daten ausschließlich zu dem/den konkreten Zweck(en) der Übermittlung, wie in Anhang I.B dargelegt, es sei denn, der Datenexporteur erteilt weitere Anweisungen.

8.3 Transparenz

Auf Anfrage stellt der Datenexporteur der betroffenen Person kostenlos eine Kopie dieser Klauseln einschließlich der von den Parteien ausgefüllten Anlage zur Verfügung. Soweit dies zum Schutz von Geschäftsgeheimnissen oder sonstigen vertraulichen Informationen, einschließlich der in Anhang II beschriebenen Maßnahmen, sowie personenbezogener Daten erforderlich ist, kann der Datenexporteur vor der Weitergabe einer Kopie Teile des Textes der Anlage zu diesen Klauseln schwärzen. Er hat jedoch eine aussagekräftige Zusammenfassung bereitzustellen, wenn die betroffene Person andernfalls den Inhalt nicht verstehen oder ihre Rechte nicht ausüben könnte. Auf Anfrage teilen die Parteien der betroffenen Person die Gründe für die Schwärzungen mit, soweit dies möglich ist, ohne die geschwärzten Informationen offenzulegen. Diese Klausel lässt die Verpflichtungen des Datenexporteurs gemäß den Artikeln 13 und 14 der Verordnung (EU) 2016/679 unberührt.

8.4 Richtigkeit

Wird dem Datenimporteur bekannt, dass die von ihm erhaltenen personenbezogenen Daten unrichtig sind oder veraltet sind, hat er den Datenexporteur unverzüglich darüber zu informieren. In diesem Fall arbeitet der Datenimporteur mit dem Datenexporteur zusammen, um die Daten zu löschen oder zu berichtigen.

8.5 Dauer der Verarbeitung und Löschung oder Rückgabe von Daten

Die Verarbeitung durch den Datenimporteur darf ausschließlich während des in Anhang I.B festgelegten Zeitraums erfolgen. Nach Beendigung der Erbringung der Verarbeitungsdienstleistungen hat der Datenimporteur nach Wahl des Datenexporteurs sämtliche im Auftrag des Datenexporteurs verarbeiteten personenbezogenen Daten zu löschen und dem Datenexporteur die Löschung zu bestätigen oder dem Datenexporteur sämtliche in seinem Auftrag verarbeiteten personenbezogenen Daten zurückzugeben und vorhandene Kopien zu löschen. Bis zur Löschung oder Rückgabe der Daten hat der Datenimporteur weiterhin die Einhaltung dieser Klauseln sicherzustellen. Sofern für den Datenimporteur geltende lokale Gesetze die Rückgabe oder Löschung der personenbezogenen Daten verbieten, gewährleistet der Datenimporteur, dass er weiterhin die Einhaltung dieser Klauseln sicherstellen und die Daten nur in dem Umfang und so lange verarbeiten wird, wie dies nach dem betreffenden lokalen Recht erforderlich ist. Dies gilt unbeschadet von Klausel 14, insbesondere der Verpflichtung des Datenimporteurs gemäß Klausel 14(e), den Datenexporteur während der gesamten Vertragslaufzeit zu benachrichtigen, wenn er Grund zu der Annahme hat, dass er Gesetzen oder Praktiken unterliegt oder unterworfen wurde, die nicht mit den Anforderungen gemäß Klausel 14(a) vereinbar sind.

8.6 Sicherheit der Verarbeitung

(a) Der Datenimporteur und während der Übermittlung auch der Datenexporteur treffen geeignete technische und organisatorische Maßnahmen, um die Sicherheit der Daten zu gewährleisten, einschließlich des Schutzes vor einer Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf diese Daten führt (im Folgenden „Verletzung des Schutzes personenbezogener Daten“). Bei der Bewertung des angemessenen Sicherheitsniveaus berücksichtigen die Parteien gebührend den Stand der Technik, die Implementierungskosten, die Art, den Umfang, den Kontext und die Zwecke der Verarbeitung sowie die mit der Verarbeitung verbundenen Risiken für die betroffenen Personen. Die Parteien prüfen insbesondere, ob Verschlüsselung oder Pseudonymisierung, auch während der Übermittlung, eingesetzt werden kann, sofern sich der Zweck der Verarbeitung auf diese Weise erfüllen lässt. Im Falle einer Pseudonymisierung verbleiben die zusätzlichen Informationen, die eine Zuordnung der personenbezogenen Daten zu einer bestimmten betroffenen Person ermöglichen, soweit möglich unter der ausschließlichen Kontrolle des Datenexporteurs. Zur Erfüllung seiner Verpflichtungen nach diesem Absatz setzt der Datenimporteur mindestens die in Anhang II festgelegten technischen und organisatorischen Maßnahmen um. Der Datenimporteur führt regelmäßige Überprüfungen durch, um sicherzustellen, dass diese Maßnahmen weiterhin ein angemessenes Sicherheitsniveau gewährleisten.

(b) Der Datenimporteur gewährt Mitgliedern seines Personals nur insoweit Zugriff auf die personenbezogenen Daten, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Er stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(c) Im Falle einer Verletzung des Schutzes personenbezogener Daten, die personenbezogene Daten betrifft, die der Datenimporteur gemäß diesen Klauseln verarbeitet, ergreift der Datenimporteur geeignete Maßnahmen zur Behebung der Verletzung, einschließlich Maßnahmen zur Minderung ihrer nachteiligen Auswirkungen. Der Datenimporteur benachrichtigt den Datenexporteur außerdem unverzüglich, nachdem er von der Verletzung Kenntnis erlangt hat. Diese Benachrichtigung enthält die Kontaktdaten einer Anlaufstelle, bei der weitere Informationen erhältlich sind, eine Beschreibung der Art der Verletzung (einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen und personenbezogenen Datensätze), ihrer wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung, gegebenenfalls einschließlich Maßnahmen zur Minderung ihrer möglichen nachteiligen Auswirkungen. Ist es nicht möglich, alle Informationen gleichzeitig bereitzustellen, enthält die erste Benachrichtigung die zu diesem Zeitpunkt verfügbaren Informationen; weitere Informationen werden anschließend unverzüglich bereitgestellt, sobald sie verfügbar sind.

(d) Der Datenimporteur arbeitet mit dem Datenexporteur zusammen und unterstützt ihn, damit dieser seinen Verpflichtungen gemäß Verordnung (EU) 2016/679 nachkommen kann, insbesondere der zuständigen Aufsichtsbehörde und den betroffenen Personen Mitteilung zu machen, wobei die Art der Verarbeitung und die dem Datenimporteur verfügbaren Informationen zu berücksichtigen sind.

8.7 Sensible Daten

Ideanote gestattet keine Verarbeitung sensibler Daten.

8.8 Weiterübermittlungen Übermittlungen

Der Datenimporteur darf die personenbezogenen Daten nur auf dokumentierte Weisung des Datenexporteurs an Dritte weitergeben. Darüber hinaus dürfen die Daten nur an Dritte außerhalb der Europäischen Union weitergegeben werden (im selben Land wie der Datenimporteur oder in einem anderen Drittland, im Folgenden „Weiterübermittlung“), wenn der Dritte an diese Klauseln gebunden ist oder sich bereit erklärt, an diese Klauseln gebunden zu sein, oder wenn:

i. Die Weiterübermittlung erfolgt in ein Land, für das ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 gilt, der die Weiterübermittlung erfasst;

ii. Der Dritte gewährleistet anderweitig angemessene Garantien gemäß Artikel 46 oder 47 der Verordnung (EU) 2016/679 hinsichtlich der betreffenden Verarbeitung;

iii. die Weiterübermittlung für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen im Rahmen bestimmter Verwaltungs-, Regulierungs- oder Gerichtsverfahren erforderlich ist; oder

iv. die Weiterübermittlung erforderlich ist, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.

Jede Weiterübermittlung unterliegt der Einhaltung aller sonstigen Garantien dieser Klauseln durch den Datenimporteur, insbesondere der Zweckbindung.

8.9 Dokumentation und Compliance

(a) Der Datenimporteur muss Anfragen des Datenexporteurs, die sich auf die Verarbeitung gemäß diesen Klauseln beziehen, unverzüglich und angemessen bearbeiten.

(b) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können. Insbesondere muss der Datenimporteur geeignete Unterlagen über die im Auftrag des Datenexporteurs durchgeführten Verarbeitungstätigkeiten führen.

(c) Der Datenimporteur stellt dem Datenexporteur alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in diesen Klauseln festgelegten Verpflichtungen nachzuweisen, und gestattet auf Anfrage des Datenexporteurs Prüfungen der von diesen Klauseln erfassten Verarbeitungstätigkeiten und wirkt daran mit, und zwar in angemessenen Abständen oder wenn Anhaltspunkte für eine Nichteinhaltung vorliegen, wie in Anhang C, Abschnitt „Inspektions- und Prüfberichte“ der DPA dargelegt. Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Datenexporteur einschlägige Zertifizierungen berücksichtigen, über die der Datenimporteur verfügt.

(d) Der Datenexporteur kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer damit beauftragen. Prüfungen können Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Datenimporteurs umfassen und sind, sofern angemessen, mit angemessener Vorankündigung durchzuführen.

(e) Die Parteien stellen der zuständigen Aufsichtsbehörde auf Anfrage die in den Absätzen (b) und (c) genannten Informationen, einschließlich der Ergebnisse etwaiger Prüfungen, zur Verfügung.

Klausel 9

Einsatz von Unterauftragsverarbeitern

(a) Der Datenimporteur verfügt über die allgemeine Genehmigung des Datenexporteurs zur Beauftragung von Unterauftragsverarbeiter(n) aus einer vereinbarten Liste. Der Datenimporteur informiert den Datenexporteur mindestens dreißig (30) Tage im Voraus schriftlich über beabsichtigte Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Datenexporteur dadurch ausreichend Zeit ein, um solchen Änderungen vor der Beauftragung des/der Unterauftragsverarbeiter(s) widersprechen zu können. Der Datenimporteur stellt dem Datenexporteur die Informationen zur Verfügung, die erforderlich sind, damit der Datenexporteur sein Widerspruchsrecht ausüben kann.

(b) Beauftragt der Datenimporteur einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Datenexporteurs), so geschieht dies auf der Grundlage eines schriftlichen Vertrags, der im Wesentlichen dieselben Datenschutzpflichten vorsieht wie diejenigen, denen der Datenimporteur gemäß diesen Klauseln unterliegt, einschließlich der Rechte betroffener Personen als Drittbegünstigte.8 Die Parteien vereinbaren, dass der Datenimporteur durch die Einhaltung dieser Klausel seinen Verpflichtungen gemäß Klausel 8.8 nachkommt. Der Datenimporteur stellt sicher, dass der Unterauftragsverarbeiter die Verpflichtungen erfüllt, denen der Datenimporteur gemäß diesen Klauseln unterliegt.

(c) Der Datenimporteur stellt dem Datenexporteur auf dessen Anfrage eine Kopie einer solchen Vereinbarung mit einem Unterauftragsverarbeiter sowie aller späteren Änderungen zur Verfügung. Soweit dies zum Schutz von Geschäftsgeheimnissen oder sonstigen vertraulichen Informationen, einschließlich personenbezogener Daten, erforderlich ist, darf der Datenimporteur den Text der Vereinbarung vor der Weitergabe einer Kopie schwärzen.

(d) Der Datenimporteur bleibt gegenüber dem Datenexporteur uneingeschränkt für die Erfüllung der Verpflichtungen des Unterauftragsverarbeiters aus dessen Vertrag mit dem Datenimporteur verantwortlich. Der Datenimporteur unterrichtet den Datenexporteur über jede Nichterfüllung der Verpflichtungen des Unterauftragsverarbeiters aus diesem Vertrag.

(e) Der Datenimporteur vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Datenexporteur – falls der Datenimporteur tatsächlich verschwunden ist, rechtlich nicht mehr besteht oder zahlungsunfähig geworden ist – berechtigt ist, den Vertrag mit dem Unterauftragsverarbeiter zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

Klausel 10

Rechte betroffener Personen

(a) Der Datenimporteur unterrichtet den Datenexporteur unverzüglich über jeden Antrag, den er von einer betroffenen Person erhalten hat. Er beantwortet diesen Antrag nicht selbst, es sei denn, der Datenexporteur hat ihn dazu ermächtigt.

(b) Der Datenimporteur unterstützt den Datenexporteur bei der Erfüllung seiner Verpflichtungen, auf Anfragen betroffener Personen zur Ausübung ihrer Rechte gemäß der Verordnung (EU) 2016/679 zu reagieren. In diesem Zusammenhang legen die Parteien in Anhang II die geeigneten technischen und organisatorischen Maßnahmen fest, wobei die Art der Verarbeitung berücksichtigt wird und durch die die Unterstützung geleistet wird, sowie den Umfang und das Ausmaß der erforderlichen Unterstützung.

(c) Bei der Erfüllung seiner Pflichten gemäß den Absätzen (a) und (b) befolgt der Datenimporteur die Weisungen des Datenexporteurs.

Klausel 11

Rechtsbehelfe

(a) Der Datenimporteur informiert betroffene Personen in transparenter und leicht zugänglicher Form, durch individuelle Mitteilung oder auf seiner Website, über eine Kontaktstelle, die zur Bearbeitung von Beschwerden befugt ist. Er bearbeitet alle Beschwerden, die er von einer betroffenen Person erhält, unverzüglich.

(b) Im Falle einer Streitigkeit zwischen einer betroffenen Person und einer der Parteien hinsichtlich der Einhaltung dieser Klauseln bemüht sich die betreffende Partei nach besten Kräften, die Angelegenheit zeitnah einvernehmlich beizulegen. Die Parteien halten einander über solche Streitigkeiten auf dem Laufenden und arbeiten gegebenenfalls bei deren Beilegung zusammen.

(c) Macht die betroffene Person ein Drittbegünstigtenrecht gemäß Klausel 3 geltend, muss der Datenimporteur die Entscheidung der betroffenen Person akzeptieren,

i. eine Beschwerde bei der Aufsichtsbehörde des Mitgliedstaats ihres gewöhnlichen Aufenthalts oder ihres Arbeitsplatzes oder bei der gemäß Klausel 13 zuständigen Aufsichtsbehörde einzulegen;

ii. den Rechtsstreit den im Sinne von Klausel 18 zuständigen Gerichten vorzulegen.

(d) Die Parteien erkennen an, dass die betroffene Person unter den in Artikel 80 Absatz 1 der Verordnung (EU) 2016/679 festgelegten Bedingungen durch eine gemeinnützige Einrichtung, Organisation oder Vereinigung vertreten werden kann.

(e) Der Datenimporteur hält eine Entscheidung ein, die nach dem anwendbaren Recht der EU oder eines Mitgliedstaats bindend ist.

(f) Der Datenimporteur stimmt zu, dass die von der betroffenen Person getroffene Wahl ihre materiell- und verfahrensrechtlichen Ansprüche auf Rechtsbehelfe nach Maßgabe des geltenden Rechts nicht beeinträchtigt.

Klausel 12

Haftung

(a) Jede Partei haftet gegenüber der/den anderen Partei/en für sämtliche Schäden, die sie dieser/diesen Partei/en durch einen Verstoß gegen diese Klauseln verursacht.

(b) Der Datenimporteur haftet gegenüber der betroffenen Person, und die betroffene Person hat Anspruch auf Ersatz sämtlicher materieller oder immaterieller Schäden, die der Datenimporteur oder sein Unterauftragsverarbeiter der betroffenen Person durch die Verletzung der Drittbegünstigtenrechte aus diesen Klauseln verursacht.

(c) Unbeschadet Absatzes (b) haftet der Datenexporteur gegenüber der betroffenen Person, und die betroffene Person hat Anspruch auf Ersatz sämtlicher materieller oder immaterieller Schäden, die ihr der Datenexporteur oder der Datenimporteur (oder dessen Unterauftragsverarbeiter) durch die Verletzung der Rechte begünstigter Dritter aus diesen Klauseln verursacht. Dies gilt unbeschadet der Haftung des Datenexporteurs und, sofern der Datenexporteur als Auftragsverarbeiter im Auftrag eines Verantwortlichen handelt, der Haftung des Verantwortlichen gemäß der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725, je nach Anwendbarkeit.

(d) Die Parteien vereinbaren, dass der Datenexporteur, wenn er gemäß Absatz (c) für Schäden haftbar gemacht wird, die durch den Datenimporteur (oder dessen Unterauftragsverarbeiter) verursacht wurden, berechtigt ist, vom Datenimporteur den Teil der Entschädigung zurückzufordern, der der Verantwortung des Datenimporteurs für den Schaden entspricht.

(e) Sind mehrere Parteien für einen Schaden verantwortlich, der der betroffenen Person infolge eines Verstoßes gegen diese Klauseln entstanden ist, haften alle verantwortlichen Parteien gesamtschuldnerisch, und die betroffene Person ist berechtigt, vor Gericht gegen jede dieser Parteien Klage zu erheben.

(f) Die Parteien vereinbaren, dass eine Partei, wenn sie gemäß Absatz (e) haftbar gemacht wird, berechtigt ist, von der bzw. den anderen Partei(en) den Teil der Entschädigung zurückzufordern, der ihrer bzw. deren Verantwortung für den Schaden entspricht.

(g) Der Datenimporteur darf sich nicht auf das Verhalten eines Unterauftragsverarbeiters berufen, um seine eigene Haftung abzuwenden.

Klausel 13

Aufsicht

(a) Wenn der Datenexporteur in einem EU-Mitgliedstaat niedergelassen ist: Die Aufsichtsbehörde, die gemäß Anhang I.C für die Überwachung der Einhaltung der Verordnung (EU) 2016/679 durch den Datenexporteur im Hinblick auf die Datenübermittlung zuständig ist, handelt als zuständige Aufsichtsbehörde.

Wenn der Datenexporteur nicht in einem EU-Mitgliedstaat niedergelassen ist, jedoch gemäß Artikel 3 Absatz 2 der Verordnung (EU) 2016/679 in deren räumlichen Anwendungsbereich fällt und gemäß Artikel 27 Absatz 1 der Verordnung (EU) 2016/679 einen Vertreter benannt hat:] Die Aufsichtsbehörde des Mitgliedstaats, in dem der Vertreter im Sinne von Artikel 27 Absatz 1 der Verordnung (EU) 2016/679 niedergelassen ist, wie in Anhang I.C angegeben, fungiert als zuständige Aufsichtsbehörde.

Wenn der Datenexporteur nicht in einem EU-Mitgliedstaat niedergelassen ist, jedoch gemäß Artikel 3 Absatz 2 der Verordnung (EU) 2016/679 in deren räumlichen Anwendungsbereich fällt, ohne jedoch gemäß Artikel 27 Absatz 2 der Verordnung (EU) 2016/679 einen Vertreter benennen zu müssen:] Die Aufsichtsbehörde eines der Mitgliedstaaten, in denen sich die betroffenen Personen befinden, deren personenbezogene Daten gemäß diesen Klauseln im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an sie übermittelt werden oder deren Verhalten überwacht wird, wie in Anhang I.C angegeben, fungiert als zuständige Aufsichtsbehörde.

(b) Der Datenimporteur erklärt sich damit einverstanden, sich der Zuständigkeit der zuständigen Aufsichtsbehörde zu unterwerfen und mit ihr bei allen Verfahren zusammenzuarbeiten, die darauf abzielen, die Einhaltung dieser Klauseln sicherzustellen. Insbesondere erklärt sich der Datenimporteur damit einverstanden, Anfragen zu beantworten, Audits zuzulassen und die von der Aufsichtsbehörde ergriffenen Maßnahmen einzuhalten, einschließlich Abhilfe- und Ausgleichsmaßnahmen. Er hat der Aufsichtsbehörde schriftlich zu bestätigen, dass die erforderlichen Maßnahmen ergriffen wurden.

ABSCHNITT III – LOKALE GESETZE und PFLICHTEN im FALL des ZUGRIFFS durch ÖFFENTLICHE BEHÖRDEN

Klausel 14

Lokale Gesetze, die die Einhaltung der Klauseln beeinflussen.

(a) Die Parteien versichern, dass sie keinen Grund zu der Annahme haben, dass die im Bestimmungsdrittland geltenden Gesetze und Praktiken, die auf die Verarbeitung der personenbezogenen Daten durch den Datenimporteur Anwendung finden, einschließlich etwaiger Anforderungen zur Offenlegung personenbezogener Daten oder Maßnahmen, die Behörden den Zugriff darauf gestatten, den Datenimporteur daran hindern, seine Verpflichtungen aus diesen Klauseln zu erfüllen. Dies beruht auf der Annahme, dass Gesetze und Praktiken, die den Wesensgehalt der Grundrechte und Grundfreiheiten achten und nicht über das hinausgehen, was in einer demokratischen Gesellschaft zur Wahrung eines der in Artikel 23 Absatz 1 der Verordnung (EU) 2016/679 aufgeführten Ziele erforderlich und verhältnismäßig ist, nicht im Widerspruch zu diesen Klauseln stehen.

(b) Die Parteien erklären, dass sie bei der Abgabe der Gewährleistung in Absatz (a) insbesondere die folgenden Elemente gebührend berücksichtigt haben:

i. die konkreten Umstände der Übermittlung, einschließlich der Länge der Verarbeitungskette, der Anzahl der beteiligten Akteure und der verwendeten Übermittlungswege; beabsichtigte Weiterübermittlungen; die Art des Empfängers; den Zweck der Verarbeitung; die Kategorien und das Format der übermittelten personenbezogenen Daten; den Wirtschaftssektor, in dem die Übermittlung erfolgt; den Speicherort der übermittelten Daten;

ii. die Gesetze und Praktiken des Drittlands des Bestimmungsorts – einschließlich jener, die die Offenlegung von Daten gegenüber Behörden vorschreiben oder den Zugang solcher Behörden zu Daten gestatten – soweit sie angesichts der konkreten Umstände der Übermittlung relevant sind, sowie die anwendbaren Beschränkungen und Garantien;

iii. alle einschlägigen vertraglichen, technischen oder organisatorischen Garantien, die zur Ergänzung der Garantien gemäß diesen Klauseln eingerichtet wurden, einschließlich der Maßnahmen, die während der Übermittlung und bei der Verarbeitung der personenbezogenen Daten im Bestimmungsland angewandt werden.

(c) Der Datenimporteur gewährleistet, dass er bei der Durchführung der Bewertung gemäß Absatz (b) alle zumutbaren Anstrengungen unternommen hat, um dem Datenexporteur relevante Informationen zur Verfügung zu stellen, und erklärt sich bereit, weiterhin mit dem Datenexporteur zusammenzuarbeiten, um die Einhaltung dieser Klauseln sicherzustellen.

(d) Die Parteien vereinbaren, die Bewertung gemäß Absatz (b) zu dokumentieren und sie der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.

(e) Der Datenimporteur verpflichtet sich, den Datenexporteur unverzüglich zu benachrichtigen, wenn er nach Zustimmung zu diesen Klauseln und während der Vertragslaufzeit Grund zu der Annahme hat, dass er Gesetzen oder Praktiken unterliegt oder unterworfen wurde, die nicht mit den Anforderungen gemäß Absatz (a) in Einklang stehen, einschließlich infolge einer Änderung der Gesetze des Drittlands oder einer Maßnahme (wie etwa einem Offenlegungsersuchen), die auf eine Anwendung solcher Gesetze in der Praxis hindeutet, die nicht mit den Anforderungen gemäß Absatz (a) in Einklang steht.

(f) Nach einer Mitteilung gemäß Absatz (e) oder wenn der Datenexporteur anderweitig Grund zu der Annahme hat, dass der Datenimporteur seinen Verpflichtungen aus diesen Klauseln nicht mehr nachkommen kann, hat der Datenexporteur unverzüglich geeignete Maßnahmen festzulegen (z. B. technische oder organisatorische Maßnahmen zur Gewährleistung der Sicherheit und Vertraulichkeit), die vom Datenexporteur und/oder vom Datenimporteur zur Bewältigung der Situation zu ergreifen sind. Der Datenexporteur hat die Datenübermittlung auszusetzen, wenn er der Auffassung ist, dass keine geeigneten Garantien für diese Übermittlung gewährleistet werden können, oder wenn die zuständige Aufsichtsbehörde ihn dazu anweist. In diesem Fall ist der Datenexporteur berechtigt, den Vertrag zu kündigen, soweit dieser die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft. Umfasst der Vertrag mehr als zwei Parteien, kann der Datenexporteur von diesem Kündigungsrecht nur gegenüber der betreffenden Partei Gebrauch machen, sofern die Parteien nichts anderes vereinbart haben. Wird der Vertrag gemäß dieser Klausel gekündigt, gelten Klausel 16 Buchstaben (d) und (e).

Klausel 15

Pflichten des Datenimporteurs im Falle eines Zugriffs durch Behörden

15.1 Benachrichtigung

(a) Der Datenimporteur verpflichtet sich, den Datenexporteur und, soweit möglich, die betroffene Person unverzüglich zu benachrichtigen (gegebenenfalls mit Unterstützung des Datenexporteurs), wenn er:

i. eine rechtsverbindliche Aufforderung einer Behörde, einschließlich Justizbehörden, nach den Gesetzen des Bestimmungslandes zur Offenlegung personenbezogener Daten erhält, die gemäß diesen Klauseln übermittelt wurden; diese Mitteilung muss Informationen zu den angeforderten personenbezogenen Daten, der anfragenden Behörde, der Rechtsgrundlage für die Aufforderung und der erteilten Antwort enthalten; oder

ii. Kenntnis davon erlangt, dass Behörden gemäß den Gesetzen des Bestimmungslandes unmittelbar auf personenbezogene Daten zugreifen, die gemäß diesen Klauseln übermittelt wurden; diese Mitteilung muss alle dem Importeur verfügbaren Informationen enthalten.

(b) Ist es dem Datenimporteur nach den Gesetzen des Bestimmungslandes untersagt, den Datenexporteur und/oder die betroffene Person zu benachrichtigen, verpflichtet sich der Datenimporteur, nach besten Kräften eine Ausnahme von diesem Verbot zu erwirken, um so bald wie möglich so viele Informationen wie möglich mitteilen zu können. Der Datenimporteur verpflichtet sich, seine diesbezüglichen Bemühungen zu dokumentieren, damit er sie auf Anfrage des Datenexporteurs nachweisen kann.

(c) Soweit dies nach den Gesetzen des Bestimmungslandes zulässig ist, verpflichtet sich der Datenimporteur, dem Datenexporteur während der Vertragslaufzeit in regelmäßigen Abständen so viele relevante Informationen wie möglich über die eingegangenen Aufforderungen bereitzustellen (insbesondere die Anzahl der Aufforderungen, die Art der angeforderten Daten, die anfragende(n) Behörde(n), ob Aufforderungen angefochten wurden und das Ergebnis solcher Anfechtungen usw.).

(d) Der Datenimporteur verpflichtet sich, die Informationen gemäß den Absätzen (a) bis (c) während der Vertragslaufzeit aufzubewahren und sie der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.

(e) Die Absätze (a) bis (c) lassen die Verpflichtung des Datenimporteurs gemäß Klausel 14(e) und Klausel 16 unberührt, den Datenexporteur unverzüglich zu informieren, wenn er nicht in der Lage ist, diese Klauseln einzuhalten.

15.2 Überprüfung der Rechtmäßigkeit und Datenminimierung

(a) Der Datenimporteur verpflichtet sich, die Rechtmäßigkeit des Offenlegungsersuchens zu prüfen, insbesondere ob es innerhalb der Befugnisse der ersuchenden öffentlichen Stelle bleibt, und das Ersuchen anzufechten, wenn er nach sorgfältiger Prüfung zu dem Schluss kommt, dass begründete Anhaltspunkte dafür vorliegen, dass das Ersuchen nach den Gesetzen des Bestimmungslandes, den geltenden völkerrechtlichen Verpflichtungen und den Grundsätzen der internationalen Courtoisie rechtswidrig ist. Unter denselben Voraussetzungen wird der Datenimporteur mögliche Rechtsbehelfe einlegen. Bei der Anfechtung eines Ersuchens wird der Datenimporteur einstweilige Maßnahmen beantragen, um die Wirkungen des Ersuchens auszusetzen, bis die zuständige Justizbehörde in der Sache entschieden hat. Er wird die angeforderten personenbezogenen Daten erst offenlegen, wenn er dazu nach den geltenden Verfahrensvorschriften verpflichtet ist. Diese Anforderungen lassen die Verpflichtungen des Datenimporteurs gemäß Klausel 14(e) unberührt.

(b) Der Datenimporteur verpflichtet sich, seine rechtliche Bewertung und etwaige Anfechtungen des Offenlegungsersuchens zu dokumentieren und die Dokumentation dem Datenexporteur zur Verfügung zu stellen, soweit dies nach den Gesetzen des Bestimmungslandes zulässig ist. Auf Anfrage stellt er sie außerdem der zuständigen Aufsichtsbehörde zur Verfügung.

(c) Der Datenimporteur verpflichtet sich, bei der Beantwortung eines Offenlegungsersuchens auf Grundlage einer angemessenen Auslegung des Ersuchens die geringstmögliche zulässige Informationsmenge bereitzustellen.

ABSCHNITT IV – SCHLUSSBESTIMMUNG

Klausel 16

Nichteinhaltung der Klauseln und Kündigung

(a) Der Datenimporteur informiert den Datenexporteur unverzüglich, wenn er aus irgendeinem Grund nicht in der Lage ist, diese Klauseln einzuhalten.

(b) Verstößt der Datenimporteur gegen diese Klauseln oder ist er nicht in der Lage, diese Klauseln einzuhalten, setzt der Datenexporteur die Übermittlung personenbezogener Daten an den Datenimporteur aus, bis die Einhaltung wieder sichergestellt ist oder der Vertrag beendet wird. Dies gilt unbeschadet von Klausel 14(f).

(c) Der Datenexporteur ist berechtigt, den Vertrag, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, zu kündigen, wenn:

i. der Datenexporteur die Übermittlung personenbezogener Daten an den Datenimporteur gemäß Absatz (b) ausgesetzt hat und die Einhaltung dieser Klauseln nicht innerhalb einer angemessenen Frist und in jedem Fall nicht innerhalb eines Monats nach der Aussetzung wiederhergestellt wird;

ii. der Datenimporteur in erheblichem Maße oder wiederholt gegen diese Klauseln verstößt; oder

iii. der Datenimporteur einer verbindlichen Entscheidung eines zuständigen Gerichts oder einer Aufsichtsbehörde hinsichtlich seiner Verpflichtungen aus diesen Klauseln nicht nachkommt.

In diesen Fällen informiert er die zuständige Aufsichtsbehörde über die Nichteinhaltung. Sind mehr als zwei Parteien Vertragsparteien, kann der Datenexporteur von diesem Kündigungsrecht nur gegenüber der betreffenden Partei Gebrauch machen, sofern die Parteien nichts anderes vereinbart haben.

(d) Personenbezogene Daten, die vor Beendigung des Vertrags gemäß Absatz (c) übermittelt wurden, sind nach Wahl des Datenexporteurs unverzüglich an den Datenexporteur zurückzugeben oder vollständig zu löschen. Dies gilt auch für sämtliche Kopien der Daten. Der Datenimporteur bestätigt dem Datenexporteur die Löschung der Daten. Bis die Daten gelöscht oder zurückgegeben wurden, gewährleistet der Datenimporteur weiterhin die Einhaltung dieser Klauseln. Für den Fall, dass für den Datenimporteur geltende lokale Gesetze die Rückgabe oder Löschung der übermittelten personenbezogenen Daten verbieten, sichert der Datenimporteur zu, weiterhin die Einhaltung dieser Klauseln zu gewährleisten und die Daten nur in dem Umfang und so lange zu verarbeiten, wie dies nach dem betreffenden lokalen Recht erforderlich ist.

(e) Jede Partei kann ihre Zustimmung, an diese Klauseln gebunden zu sein, widerrufen, wenn (i) die Europäische Kommission gemäß Artikel 45 Absatz 3 der Verordnung (EU) 2016/679 einen Beschluss erlässt, der die Übermittlung personenbezogener Daten erfasst, auf die diese Klauseln Anwendung finden; oder (ii) die Verordnung (EU) 2016/679 Bestandteil des Rechtsrahmens des Landes wird, in das die personenbezogenen Daten übermittelt werden. Dies gilt unbeschadet sonstiger Verpflichtungen, die für die betreffende Verarbeitung gemäß der Verordnung (EU) 2016/679 gelten.

Klausel 17

Anwendbares Recht

Diese Klauseln unterliegen dem Recht des EU-Mitgliedstaats, in dem der Datenexporteur niedergelassen ist. Soweit dieses Recht keine Rechte zugunsten Dritter zulässt, unterliegen sie dem Recht eines anderen EU-Mitgliedstaats, das Rechte zugunsten Dritter zulässt. Die Parteien vereinbaren, dass dies das Recht Dänemarks ist.

Klausel 18

Gerichtsstand und Zuständigkeit

(a) Alle Streitigkeiten, die sich aus diesen Klauseln ergeben, werden von den Gerichten eines EU-Mitgliedstaats beigelegt.

(b) Die Parteien vereinbaren, dass dies die Gerichte Dänemarks sein sollen.

(c) Eine betroffene Person kann auch vor den Gerichten des Mitgliedstaats, in dem sie ihren gewöhnlichen Aufenthalt hat, rechtliche Schritte gegen den Datenexporteur und/oder den Datenimporteur einleiten.

(d) Die Parteien vereinbaren, sich der Zuständigkeit dieser Gerichte zu unterwerfen.

ANHANG I

A. LISTE DER PARTEIEN

Datenexporteur. Der Datenexporteur ist der Kunde, wie in der Vereinbarung und/oder den Bestellungen definiert.

Datenimporteur. Der Datenimporteur ist Ideanote, wie im Vertrag und/oder in der/den Bestellung(en) definiert.

B. BESCHREIBUNG DER ÜBERMITTLUNG

1. Kategorien betroffener Personen, deren personenbezogene Daten übermittelt werden:

Zu den betroffenen Personen gehören die Vertreter und Endnutzer des Kunden des Datenexporteurs. Je nach Anwendungsfall können dazu Beschäftigte, Auftragnehmer, Lieferanten und Kunden des Datenexporteurs gehören.

2. Kategorien der übermittelten personenbezogenen Daten:

Die übermittelten personenbezogenen Daten umfassen Namen und E-Mail-Adressen in elektronischer Form, jeweils im Zusammenhang mit den Diensten.

3. Übermittelte sensible Daten (sofern zutreffend) und angewandte Beschränkungen oder Schutzmaßnahmen, die der Art der Daten und den damit verbundenen Risiken umfassend Rechnung tragen, wie beispielsweise eine strenge Zweckbindung, Zugangsbeschränkungen (einschließlich des Zugangs ausschließlich für Mitarbeitende, die eine spezielle Schulung absolviert haben), die Führung eines Protokolls über den Datenzugriff, Beschränkungen für Weiterübermittlungen oder zusätzliche Sicherheitsmaßnahmen:

Keine.

4. Häufigkeit der Übermittlung (z. B. ob die Daten einmalig oder kontinuierlich übermittelt werden):

Kontinuierlich.

5. Art der Verarbeitung:

Cloudbasierter API-Zugriff von Server zu Server.

6. Zweck(e) der Datenübermittlung und der anschließenden Verarbeitung:

Den Austausch von Ideen und Innovationen fördern.

7. Der Zeitraum, für den die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien zur Bestimmung dieses Zeitraums:

Für die Laufzeit der Ideanote-Nutzungsbedingungen.

8. Bei Übermittlungen an (Unter-)Auftragsverarbeiter sind außerdem Gegenstand, Art und Dauer der Verarbeitung anzugeben:

Die Verarbeitung durch Unterauftragsverarbeiter dient der Erbringung der Dienste. Die Dauer entspricht der Laufzeit der Ideanote-Nutzungsbedingungen zwischen dem Kunden und Ideanote.

‍

C. ZUSTÄNDIGE AUFSICHTSBEHÖRDE

Dänische Datenschutzbehörde (Datatilsynet)

ANHANG II 

TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN, EINSCHLIESSLICH TECHNISCHER UND ORGANISATORISCHER MASSNAHMEN ZUR GEWÄHRLEISTUNG DER DATENSICHERHEIT

Einzelheiten zu den technischen und organisatorischen Maßnahmen, die für die von Ideanote für den Kunden erbrachten Softwaredienste gelten, sind in Anhang C des Ideanote-DPA zu finden

ANHANG III

LISTE DER UNTERAUFTRAGSVERARBEITER

Der Kunde hat die Nutzung der unter https://ideanote.io/legal/sub-processors aufgeführten Unterauftragsverarbeiter durch Ideanote genehmigt, soweit diese für die von Ideanote für den Kunden erbrachten Softwaredienste gelten.

ANLAGE 3 – UK-ZUSATZ

Bei Datenübermittlungen aus dem und in das Vereinigte Königreich gelten die folgenden Bestimmungen; diese Anlage 3 gilt zusätzlich zu den Standardvertragsklauseln in Anlage 2 des Ideanote-DPA.

TEIL 1: TABELLEN

Tabelle 1: Parteien

Beginn

­­­Datum des Inkrafttretens (Diese Vereinbarung zur Auftragsverarbeitung tritt an dem Tag in Kraft, an dem der Kunde unseren ToS elektronisch annimmt oder ihnen anderweitig zustimmt. )

Die Parteien

Datenexporteur (der die eingeschränkte Übermittlung vornimmt)

Datenimporteur (der die eingeschränkte Übermittlung erhält)

Angaben zu den Parteien

Der vollständige rechtliche Name ist im Bestellformular oder im Konto des Arbeitsbereichseigentümers zu finden

Der Handelsname (falls abweichend) ist im Bestellformular oder in den Abrechnungseinstellungen des Workspace zu finden.

Die Hauptanschrift (falls es sich um eine eingetragene Geschäftsadresse handelt) ist im Bestellformular oder in den Abrechnungseinstellungen des Workspace zu finden.

Die offizielle Registrierungsnummer sowie eine Unternehmensnummer oder ein ähnlicher Identifikator sind im Bestellformular oder im Konto des Workspace-Eigentümers zu finden

Vollständiger rechtlicher Name: Ideanote ApS

Handelsname (falls abweichend): Ideanote

Hauptanschrift: Soengen 1, 2840, Holte

Amtliche Registrierungsnummer: TIN:DK37118796

Hauptansprechpartner

Berufsbezeichnung und Kontaktdaten einschließlich E-Mail-Adresse sind im Bestellformular oder im Konto des Workspace-Eigentümers zu finden

Berufsbezeichnung: Datenschutzbeauftragter

Kontaktdaten einschließlich E-Mail-Adresse: DPO@ideanote.io

Tabelle 2: Ausgewählte SCCs, Module und ausgewählte Klauseln

EU-SCC-Nachtrag

Die Fassung der oben aufgeführten genehmigten EU-SCCs, an die dieser Nachtrag angefügt ist.

Tabelle 3: Informationen zum Anhang

„Anhangsinformationen“ bezeichnet die Informationen, die für die ausgewählten Module gemäß dem Anhang der genehmigten EU-SCCs (mit Ausnahme der Parteien) bereitzustellen sind und die für diesen Nachtrag im vorstehenden Vertrag zur Auftragsverarbeitung aufgeführt sind.

Tabelle 4: Beendigung dieses Zusatzes bei Änderungen des genehmigten Zusatzes

Beendigung dieses Nachtrags bei Änderungen des genehmigten Nachtrags

Welche Parteien diesen Nachtrag beenden können:

Datenimporteur und Datenexporteur

TEIL 2: VERBINDLICHE KLAUSELN

Abschluss dieses Nachtrags

(a.) Jede Partei erklärt sich damit einverstanden, an die in diesem Nachtrag festgelegten Bedingungen gebunden zu sein, sofern sich auch die andere Partei damit einverstanden erklärt, an diesen Nachtrag gebunden zu sein.

(b.) Obwohl Anhang 1A und Klausel 7 der genehmigten EU-SCCs eine Unterzeichnung durch die Parteien verlangen, können die Parteien diesen Zusatz zum Zweck eingeschränkter Übermittlungen auf jede Weise schließen, die ihn für die Parteien rechtsverbindlich macht und betroffenen Personen ermöglicht, ihre in diesem Zusatz festgelegten Rechte durchzusetzen. Der Abschluss dieses Zusatzes hat dieselbe Wirkung wie die Unterzeichnung der genehmigten EU-SCCs und jedes Teils der genehmigten EU-SCCs.

Auslegung dieses Nachtrags

(a.) Soweit in diesem Nachtrag Begriffe verwendet werden, die in den genehmigten EU-SCCs definiert sind, haben diese Begriffe dieselbe Bedeutung wie in den genehmigten EU-SCCs. Darüber hinaus haben die folgenden Begriffe die folgende Bedeutung:

Nachtrag

Dieser internationale Nachtrag zur Datenübermittlung, der aus diesem Nachtrag besteht, in den die EU-SCCs-Nachtrag aufgenommen ist.

EU-SCC-Nachtrag

Die in Tabelle 2 aufgeführte(n) Fassung(en) der genehmigten EU-SCCs, denen dieser Zusatz beigefügt ist, einschließlich der Informationen zum Anhang.

Anhangsinformationen

Wie in Tabelle ‎3 festgelegt.

Angemessene Garantien

Das Schutzniveau für personenbezogene Daten und die Rechte betroffener Personen, das nach den britischen Datenschutzgesetzen bei einer eingeschränkten Übermittlung unter Berufung auf Standarddatenschutzklauseln gemäß Artikel 46 Absatz 2 Buchstabe d UK GDPR erforderlich ist.

Genehmigter Nachtrag

Der vom ICO herausgegebene und dem Parlament gemäß s119A des Data Protection Act 2018 am 2. Februar 2022 vorgelegte Musterzusatz in der jeweils gemäß Abschnitt 18 geänderten Fassung

Genehmigte EU-SCCs

Die Standardvertragsklauseln gemäß dem Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission vom 4. Juni 2021.

ICO

Der Information Commissioner.

Eingeschränkte Übermittlung

Eine Übermittlung, die unter Kapitel V der UK GDPR fällt.

Vereinigtes Königreich

Das Vereinigte Königreich Großbritannien und Nordirland.

Datenschutzgesetze des Vereinigten Königreichs

Alle im Vereinigten Königreich jeweils geltenden Gesetze zum Datenschutz, zur Verarbeitung personenbezogener Daten, zum Schutz der Privatsphäre und/oder zur elektronischen Kommunikation, einschließlich der UK GDPR und des Data Protection Act 2018.

UK GDPR

Wie in Abschnitt 3 des Data Protection Act 2018 definiert.

(b.) Dieser Nachtrag ist stets so auszulegen, dass er mit den Datenschutzgesetzen des Vereinigten Königreichs im Einklang steht und die Verpflichtung der Parteien zur Gewährleistung der Angemessenen Garantien erfüllt.

(c.) Sollten die im EU-SCC-Nachtrag enthaltenen Bestimmungen die genehmigten SCC in einer Weise ändern, die nach den genehmigten EU-SCC oder dem genehmigten Nachtrag nicht zulässig ist, werden diese Änderungen nicht in diesen Nachtrag aufgenommen; an ihre Stelle tritt die entsprechende Bestimmung der genehmigten EU-SCC.

(d.) Im Falle einer Unstimmigkeit oder eines Widerspruchs zwischen den britischen Datenschutzgesetzen und diesem Nachtrag sind die britischen Datenschutzgesetze maßgeblich.

(e.) Ist die Bedeutung dieses Nachtrags unklar oder sind mehrere Auslegungen möglich, gilt diejenige Auslegung, die den britischen Datenschutzgesetzen am ehesten entspricht.

(f.) Verweise auf Rechtsvorschriften (oder bestimmte Bestimmungen von Rechtsvorschriften) beziehen sich auf diese Rechtsvorschriften (oder Bestimmungen) in ihrer jeweils geltenden Fassung. Dies umfasst auch den Fall, dass diese Rechtsvorschriften (oder Bestimmungen) nach Abschluss dieses Nachtrags zusammengefasst, neu erlassen und/oder ersetzt wurden.

Rangfolge

(a.) Obwohl Klausel 5 der genehmigten EU-SCCs vorsieht, dass die genehmigten EU-SCCs Vorrang vor allen damit zusammenhängenden Vereinbarungen zwischen den Parteien haben, vereinbaren die Parteien, dass bei eingeschränkten Übermittlungen die Rangfolge in Abschnitt 10 maßgeblich ist.

(b.) Bei Widersprüchen oder Konflikten zwischen dem genehmigten Nachtrag und den EU-SCC des Nachtrags (je nach Anwendbarkeit) hat der genehmigte Nachtrag Vorrang vor den EU-SCC des Nachtrags, es sei denn (und soweit) die widersprüchlichen oder kollidierenden Bestimmungen der EU-SCC des Nachtrags betroffenen Personen einen besseren Schutz bieten; in diesem Fall haben diese Bestimmungen Vorrang vor dem genehmigten Nachtrag.

(c.) Soweit dieser Zusatz EU-SCC-Zusätze einbezieht, die zum Schutz von Übermittlungen geschlossen wurden, die der Datenschutz-Grundverordnung (EU) 2016/679 unterliegen, erkennen die Parteien an, dass dieser Zusatz keinerlei Auswirkungen auf diese EU-SCC-Zusätze hat.

Einbeziehung und Änderungen der EU-SCC

Dieser Nachtrag bezieht die EU-SCC des Nachtrags ein, die im erforderlichen Umfang geändert werden, damit:

(a.) sie zusammen auf Datenübermittlungen vom Datenexporteur an den Datenimporteur Anwendung finden, soweit die britischen Datenschutzgesetze auf die Verarbeitung des Datenexporteurs bei Vornahme dieser Datenübermittlung Anwendung finden, und angemessene Garantien für diese Datenübermittlungen bieten;

(b.) Die Abschnitte 9 bis 11 haben Vorrang vor Klausel 5 (Rangfolge) der EU-SCC-Zusätze; und

(c.) dieser Zusatz (einschließlich der darin einbezogenen EU-SCC-Zusätze) (1) unterliegt dem Recht von England und Wales und (2) alle daraus entstehenden Streitigkeiten werden von den Gerichten von England und Wales entschieden, sofern die Parteien nicht ausdrücklich das Recht und/oder die Gerichte Schottlands oder Nordirlands gewählt haben.

Sofern die Parteien keine alternativen Änderungen vereinbart haben, die den Anforderungen von Abschnitt 12 entsprechen, gelten die Bestimmungen von Abschnitt 15.

An den genehmigten EU-SCCs dürfen keine Änderungen vorgenommen werden, außer soweit dies erforderlich ist, um die Anforderungen von Abschnitt 12 zu erfüllen.

Die folgenden Änderungen an den EU-SCCs des Addendums (für die Zwecke von Abschnitt 12) werden vorgenommen:

(a.) Verweise auf die „Klauseln“ bedeuten diesen Nachtrag, der die EU-SCC des Nachtrags einbezieht;

(b.) In Klausel 2 sind die Worte zu streichen:

„und in Bezug auf Datenübermittlungen von Verantwortlichen an Auftragsverarbeiter und/oder von Auftragsverarbeitern an Auftragsverarbeiter Standardvertragsklauseln gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679“;

(c.) Klausel 6 (Beschreibung der Übermittlung(en)) wird ersetzt durch:

„Die Einzelheiten der Übermittlung(en), insbesondere die Kategorien der übermittelten personenbezogenen Daten und die Zwecke, zu denen sie übermittelt werden, sind in Anhang I.B festgelegt, soweit die britischen Datenschutzgesetze auf die Verarbeitung des Datenexporteurs bei Vornahme dieser Übermittlung Anwendung finden.“;

(d.) Klausel 8.7(i) von Modul 1 wird ersetzt durch:

„sie erfolgt in ein Land, für das gemäß Abschnitt 17A des UK GDPR ein Angemessenheitsbeschluss gilt, der die Weiterübermittlung abdeckt“;

(e.) Klausel 8.8(i) der Module 2 und 3 wird ersetzt durch:

„die Weiterübermittlung erfolgt in ein Land, für das gemäß Abschnitt 17A des UK GDPR ein Angemessenheitsbeschluss gilt, der die Weiterübermittlung abdeckt;“

(f.) Verweise auf die „Verordnung (EU) 2016/679“, die „Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr sowie zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)“ und „diese Verordnung“ werden sämtlich durch „UK-Datenschutzgesetze“ ersetzt. Verweise auf bestimmte Artikel der „Verordnung (EU) 2016/679“ werden durch den entsprechenden Artikel oder Abschnitt der UK-Datenschutzgesetze ersetzt;

(g.) Verweise auf die Verordnung (EU) 2018/1725 werden gestrichen;

(h.) Verweise auf die Begriffe „Europäische Union“, „Union“, „EU“, „EU-Mitgliedstaat“, „Mitgliedstaat“ und „EU oder Mitgliedstaat“ werden sämtlich durch „UK“ ersetzt;

(i.) Der Verweis auf „Klausel 12(c)(i)“ in Klausel 10(b)(i) von Modul eins wird durch „Klausel 11(c)(i)“ ersetzt;

(j.) Klausel 13(a) und Teil C von Anhang I finden keine Anwendung;

(k.) „Zuständige Aufsichtsbehörde“ und „Aufsichtsbehörde“ werden jeweils durch „Information Commissioner“ ersetzt;

(l.) In Klausel 16(e) wird Unterabschnitt (i) ersetzt durch:

„der Secretary of State Vorschriften gemäß Abschnitt 17A des Data Protection Act 2018 erlässt, die die Übermittlung personenbezogener Daten regeln, auf die diese Klauseln Anwendung finden;“;

(m.) Klausel 17 wird ersetzt durch:

„Diese Klauseln unterliegen dem Recht von England und Wales.“;

(n.) Klausel 18 wird ersetzt durch:

„Alle Streitigkeiten, die sich aus diesen Klauseln ergeben, werden von den Gerichten von England und Wales entschieden. Eine betroffene Person kann außerdem vor den Gerichten eines beliebigen Landes im UK rechtliche Schritte gegen den Datenexporteur und/oder den Datenimporteur einleiten. Die Parteien erklären sich mit der Zuständigkeit dieser Gerichte einverstanden.“