zcal-Zusatzvereinbarung zur Auftragsverarbeitung

Zuletzt aktualisiert am 1. Januar 2024

Diese Übersetzung dient Ihrer Bequemlichkeit. Weicht sie von der englischen Fassung ab, gilt die englische Fassung.

Diese Zusatzvereinbarung zur Auftragsverarbeitung (DPA), die die genannten Standardvertragsklauseln und das UK-Addendum (einschließlich der Anlagen A und B) einbezieht, wird in jeden bestehenden und gültigen Rahmenvertrag über Dienstleistungen (Master Services Agreement) oder die Nutzungsbedingungen (die Vereinbarung) einbezogen und ist Bestandteil davon, die zuvor oder gleichzeitig zwischen Ihnen, dem Kunden (einschließlich Ihrer Tochtergesellschaften und verbundenen Unternehmen), und zcal, Inc. (dem Auftragsverarbeiter, einschließlich seiner Tochtergesellschaften und verbundenen Unternehmen) geschlossen wurden. Diese DPA führt zusätzliche Bedingungen ein, die immer dann gelten, wenn die Informationen, die Sie zcal im Rahmen der Vereinbarung zur Verfügung stellen, Personenbezogene Daten (wie unten definiert) enthalten. Das Datum des Inkrafttretens der DPA richtet sich nach den Nutzungsbedingungen von zcal.

1.0 Begriffsbestimmungen

Die folgenden Begriffsbestimmungen werden in dieser DPA verwendet.

1.1 „Befugtes Personal“ bezeichnet (a) Mitarbeiter von zcal, die Zugang zu Personenbezogenen Daten oder Kenntnis davon benötigen, um die betreffenden Dienste zu erbringen; und (b) Auftragnehmer, Beauftragte und Prüfer von zcal, die Zugang zu Personenbezogenen Daten oder Kenntnis davon benötigen, damit zcal seine Pflichten aus der Vereinbarung und dieser DPA erfüllen kann, und die rechtlich durch schriftliche Vertraulichkeits- und sonstige Verpflichtungen gebunden sind, die Personenbezogene Daten gemäß dieser DPA angemessen schützen.

1.2 „CCPA“ bezeichnet den California Consumer Privacy Act of 2018, Cal. Civ. Code § [1798.100 - 1798.199.100], in seiner geänderten Fassung, einschließlich durch den California Privacy Rights Act of 2020 und die nachfolgenden Durchführungsbestimmungen.

1.3 „Kundendaten“ sind alle Informationen, Daten und sonstigen Inhalte in jedem Format, die Sie oder Ihre Vertreter als Kunde oder Nutzer über die Dienste übermitteln, veröffentlichen oder anderweitig senden oder die von oder im Namen Ihrer potenziellen Kunden, Kunden oder anderen Endnutzer der Dienste übermittelt werden, die mit Ihnen und Ihren Nutzern interagieren.

1.4 „Datenschutzgesetze“ bezeichnet alle anwendbaren bundesstaatlichen, einzelstaatlichen und internationalen Gesetze sowie verbindlichen Vorschriften und förmlichen Anordnungen in Bezug auf Datenschutz, Privatsphäre und Datensicherheit in ihrer jeweils aktuellen Fassung. Dazu gehören unter anderem die EU-Datenschutzgesetze, die UK-Datenschutzgesetze, die Schweizer Datenschutzgesetze, der CCPA, der Virginia Consumer Data Protection Act (VCDPA), der Colorado Privacy Act (CPA), der Connecticut Data Privacy Act (CTDPA) und der Utah Consumer Privacy Act (UCPA), jedoch ausdrücklich nicht Vergleichsbeschlüsse (Consent Decrees).

1.5 „Betroffene Person“ bezeichnet die bestimmte Person oder den bestimmten Verbraucher, auf die bzw. den sich die Personenbezogenen Daten beziehen.

1.6 „EU-Datenschutzgesetze“ bezeichnet die DSGVO zusammen mit allen anwendbaren Gesetzen oder Vorschriften zu ihrer Durchführung sowie Gesetze der Europäischen Union oder der Mitgliedstaaten in ihrer jeweils geänderten Fassung.

1.7 „DSGVO“ bezeichnet die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr).

1.8 „Personenbezogene Daten“ sind alle Kundendaten, die sich auf eine bestimmte, identifizierte oder identifizierbare natürliche Person beziehen und die zcal bei der Erbringung der Dienste im Auftrag des Kunden Verarbeitet, sofern diese Informationen nach einem oder mehreren Datenschutzgesetzen als „personenbezogene Daten“, „personenbezogene Informationen“ oder unter einem ähnlichen Begriff rechtlich geschützt sind.

1.9 „Verarbeiten“ oder „Verarbeitung“ bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit Personenbezogenen Daten, wie das Erheben, Erfassen, Ordnen, Speichern, Verändern, Abrufen, Einsehen, Verwenden, Senden, Verbreiten oder eine andere Form der Bereitstellung, das Verknüpfen, Einschränken, Löschen oder Vernichten der Daten.

1.10 „Sicherheitsverletzung“ bezeichnet eine bestätigte Verletzung der Informationssicherheitsmaßnahmen von zcal, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu Personenbezogenen Daten führt, die unter diese DPA fallen.

1.11 „Dienste“ bezeichnet die Dienste, die zcal Ihnen im Rahmen der Vereinbarung erbringt.

1.12 „Standardvertragsklauseln“ oder „SCCs“ bezeichnet die von der Europäischen Kommission genehmigten Standardklauseln für die Übermittlung Personenbezogener Daten an Auftragsverarbeiter in Drittländern. Die aktuell genehmigte Fassung ist im Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 enthalten und unter https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX%3A32021D0914&locale=e abrufbar.

1.13 „Schweizer Datenschutzgesetze“ bezeichnet alle derzeit in der Schweiz geltenden Gesetze in Bezug auf Datenschutz, die Verarbeitung Personenbezogener Daten, Privatsphäre und/oder elektronische Kommunikation. Dazu gehören das Bundesgesetz über den Datenschutz vom 19. Juni 1992, die dazugehörigen Verordnungen und das künftige revidierte Bundesgesetz über den Datenschutz vom 25. September 2020, sobald es in Kraft tritt (zusammen „DSG“).

1.14 „UK-Addendum“ bezeichnet das International Data Transfer Addendum (Addendum für internationale Datenübermittlungen) zu den Standardvertragsklauseln der EU-Kommission (den oben definierten „SCCs“), herausgegeben vom Commissioner gemäß S119A(1) Data Protection Act 2018, Version B1.0, in Kraft seit dem 21. März 2022, abrufbar unter https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf.

1.15 „UK-Datenschutzgesetze“ bezeichnet alle derzeit im Vereinigten Königreich geltenden Gesetze in Bezug auf Datenschutz, die Verarbeitung Personenbezogener Daten, Privatsphäre und/oder elektronische Kommunikation, einschließlich der UK-DSGVO und des Data Protection Act 2018.

1.16 „UK-DSGVO“ bezeichnet die Datenschutz-Grundverordnung des Vereinigten Königreichs (United Kingdom General Data Protection Regulation), die aufgrund von Section 3 des European Union (Withdrawal) Act 2018 Teil des Rechts des Vereinigten Königreichs ist.

1.17 Die Begriffe „Auftragsverarbeiter“ und „Verantwortlicher“ haben die Bedeutung, die ihnen das anwendbare Datenschutzgesetz zuweist. Alle großgeschriebenen Begriffe, die in dieser DPA nicht definiert sind, haben die Bedeutung, die ihnen in der Vereinbarung zugewiesen ist, und werden hiermit durch Verweis förmlich übernommen.

2.0 Verarbeitung und Übermittlung Personenbezogener Daten

2.1 Pflichten des Kunden. Der Kunde ist der Verantwortliche für die Personenbezogenen Daten und muss (a) den Zweck und die wesentlichen Mittel der Verarbeitung Personenbezogener Daten im Einklang mit der Vereinbarung festlegen; (b) für die Richtigkeit der Personenbezogenen Daten verantwortlich sein; und (c) seine Pflichten aus den Datenschutzgesetzen einhalten. Dazu gehört, soweit erforderlich, eine Rechtsgrundlage für die Erhebung Personenbezogener Daten sicherzustellen, Betroffenen Personen die erforderlichen Informationen bereitzustellen und/oder die Einwilligung der Betroffenen Person zur Verarbeitung der Personenbezogenen Daten einzuholen.

2.2 Pflichten von zcal. zcal ist der Auftragsverarbeiter der Personenbezogenen Daten und muss (a) Personenbezogene Daten im Auftrag des Kunden gemäß den schriftlichen Weisungen des Kunden Verarbeiten, die während der Laufzeit dieser DPA erteilt werden (sofern kein schriftlicher Verzicht vorliegt), und (b) seine Pflichten aus den Datenschutzgesetzen einhalten. Anhang 1 der Anlage A beschreibt die vorgesehene Verarbeitung Personenbezogener Daten im Rahmen dieser DPA. Die Parteien vereinbaren, dass die Vereinbarung einschließlich dieser DPA zusammen mit der Nutzung der Dienste durch den Kunden gemäß der Vereinbarung die vollständigen und abschließenden schriftlichen Weisungen des Kunden an zcal zur Verarbeitung Personenbezogener Daten darstellt. Alle weiteren Weisungen außerhalb dieses Rahmens erfordern eine vorherige, von beiden Seiten unterzeichnete schriftliche Vereinbarung zwischen dem Kunden und zcal. Hat zcal den begründeten Verdacht, dass ein Widerspruch zwischen einem Datenschutzgesetz und den Weisungen des Kunden besteht, informiert zcal den Kunden unverzüglich, und beide Parteien arbeiten nach Treu und Glauben zusammen, um den Widerspruch aufzulösen und zugleich die Ziele der Weisung zu erreichen.

2.3 Datennutzung. zcal nutzt Personenbezogene Daten nicht, außer wenn dies durch die Weisungen des Kunden genehmigt ist oder soweit es erforderlich ist, um Ansprüche geltend zu machen oder abzuwehren, gesetzliche Anforderungen zu erfüllen, mit Aufsichtsbehörden zusammenzuarbeiten, oder für andere ähnliche zulässige Nutzungen, die nach den Datenschutzgesetzen ausdrücklich erlaubt sind.

2.4 Ort der Verarbeitung. Beide Parteien erkennen an und vereinbaren, dass die Verarbeitung Personenbezogener Daten in den Vereinigten Staaten und möglicherweise in anderen Rechtsordnungen außerhalb des Wohnsitzes der Betroffenen Person erfolgt. Der Kunde muss alle Informations- und Einwilligungsanforderungen für eine solche Übermittlung und Verarbeitung einhalten, die die Datenschutzgesetze vorschreiben.

2.5 Rückgabe oder Vernichtung von Daten. zcal gibt Personenbezogene Daten gemäß den Weisungen des Kunden auf Anfrage des Kunden oder bei Kündigung des Kontos bzw. der Konten des Kunden entweder zurück oder vernichtet sie sicher, sofern eine Aufbewahrung nicht zur Einhaltung geltenden Rechts erforderlich ist.

3.0 Datenschutzgesetze der EU, der Schweiz und des Vereinigten Königreichs

Dieser Abschnitt 3 gilt für die Verarbeitung Personenbezogener Daten, soweit sie den EU-Datenschutzgesetzen, den Schweizer Datenschutzgesetzen oder den UK-Datenschutzgesetzen unterliegt.

3.1 Übermittlungen Personenbezogener Daten. Der Kunde erkennt an und vereinbart, dass zcal seinen Sitz in den Vereinigten Staaten hat und dass die Bereitstellung Personenbezogener Daten aus dem Europäischen Wirtschaftsraum („EU“), der Schweiz oder dem Vereinigten Königreich an zcal zur Verarbeitung eine Übermittlung Personenbezogener Daten in die Vereinigten Staaten darstellt. Alle Übermittlungen Personenbezogener Daten des Kunden aus der EU („EU-Personenbezogene Daten“), der Schweiz („Schweizer Personenbezogene Daten“) oder dem Vereinigten Königreich („UK-Personenbezogene Daten“) in die Vereinigten Staaten unterliegen, soweit anwendbar, den Standardvertragsklauseln und dem UK-Addendum unter den folgenden Bedingungen:

a. Für Übermittlungen EU-Personenbezogener Daten oder Übermittlungen, die Schweizer Personenbezogene Daten umfassen und sowohl den EU-Datenschutzgesetzen als auch den Schweizer Datenschutzgesetzen unterliegen (im letzteren Fall wird für alle Datenübermittlungen der Standard der DSGVO angewendet), gilt Modul 2 der SCCs (für Übermittlungen von Verantwortlichen an Auftragsverarbeiter) zusammen mit den Anhängen in Anlage A zu dieser DPA, die hiermit einbezogen werden. Die Parteien vereinbaren, dass: (a) Klausel 7 nicht gilt; (b) Option 2 von Klausel 9(a) mit einer Vorankündigungsfrist von 30 Tagen gilt; (c) die optionale Formulierung in Klausel 11(a) nicht gilt; (d) das anwendbare Recht nach Klausel 17 das Recht Irlands ist; (e) Streitigkeiten nach Klausel 18 von den Gerichten Irlands entschieden werden; und (f) die Anhänge in Anlage A zu dieser DPA ausgefüllt sind.

b. Für Übermittlungen ausschließlich Schweizer Personenbezogener Daten gilt Modul 2 der SCCs (für Übermittlungen von Verantwortlichen an Auftragsverarbeiter) zusammen mit den Anhängen in Anlage A zu dieser DPA, die hiermit einbezogen werden. Die Parteien vereinbaren, dass: (a) Klausel 7 nicht gilt; (b) Option 2 von Klausel 9(a) mit einer Vorankündigungsfrist von 30 Tagen gilt; (c) die optionale Formulierung in Klausel 11(a) nicht gilt; (d) die zuständige Aufsichtsbehörde in Anhang I.C gemäß Klausel 13 der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist; (e) das anwendbare Recht nach Klausel 17 das Recht der Schweiz ist; (f) Streitigkeiten nach Klausel 18 von den Gerichten der Schweiz entschieden werden; (g) die Anhänge in Anlage A zu dieser DPA ausgefüllt sind; und (h) alle Verweise auf die DSGVO als Verweise auf das DSG zu verstehen sind.

c. Bei Übermittlungen Schweizer Personenbezogener Daten, die den Abschnitten 3.1.a. und 3.1.b dieser DPA unterliegen, darf der Begriff „Mitgliedstaat“ nicht so ausgelegt werden, dass Betroffene Personen in der Schweiz daran gehindert werden, ihr Recht auf Klageerhebung in der Schweiz gemäß Klausel 18c auszuüben.

d. Für Übermittlungen UK-Personenbezogener Daten gilt Modul 2 der SCCs wie in Unterabschnitt 3.1.a. oben beschrieben, und das in Anlage B zu dieser DPA enthaltene UK-Addendum gilt und wird hiermit einbezogen.

3.2 Pflichten nach der DSGVO und der UK-DSGVO. zcal wird: (a) den Kunden bei der Erfüllung seiner Pflichten in Bezug auf EU-Personenbezogene Daten nach Artikel 32 bis 36 der DSGVO (oder den entsprechenden Bestimmungen der UK-Datenschutzgesetze für UK-Personenbezogene Daten) angemessen unterstützen; (b) ein Verzeichnis aller Arten von im Auftrag des Kunden durchgeführten Verarbeitungstätigkeiten führen, wie es Artikel 30(2) der DSGVO (oder die entsprechenden Bestimmungen der UK-Datenschutzgesetze für UK-Personenbezogene Daten) verlangt; und (c) auf Anfrage mit einer Aufsichtsbehörde der EU oder des Vereinigten Königreichs in Bezug auf die Erbringung der Dienste zusammenarbeiten.

4.0 Datenschutzgesetze der Vereinigten Staaten

Dieser Abschnitt 4 gilt für die Verarbeitung Personenbezogener Daten, soweit sie Datenschutzgesetzen in den Vereinigten Staaten unterliegt.

4.1 CCPA/CPRA. Dieser Unterabschnitt 4.1 regelt die Verarbeitung Personenbezogener Daten durch zcal, die dem CCPA unterliegen und für die zcal als Dienstleister (Service Provider) des Kunden handelt. Der Kunde gibt die Personenbezogenen Daten an zcal weiter, und zcal Verarbeitet diese Personenbezogenen Daten ausschließlich für die in dieser Vereinbarung einschließlich dieser DPA festgelegten Geschäftszwecke.

a. zcal wird nicht:

i. die Personenbezogenen Daten verkaufen oder teilen;

ii. die Personenbezogenen Daten aufbewahren, nutzen oder offenlegen, (i) für einen anderen Zweck als die in der Vereinbarung festgelegten Geschäftszwecke, einschließlich der Aufbewahrung, Nutzung oder Offenlegung der Personenbezogenen Daten für einen kommerziellen Zweck, der nicht zu den in der Vereinbarung festgelegten Geschäftszwecken gehört, oder wie sonst nach dem CCPA zulässig; oder (ii) außerhalb der direkten Geschäftsbeziehung zwischen den Parteien;

iii. die Personenbezogenen Daten, die zcal vom Kunden oder in dessen Auftrag erhält, mit Personenbezogenen Daten zusammenführen, die zcal von einer anderen Partei oder in deren Auftrag erhält oder aus seiner eigenen Interaktion mit dem Verbraucher erhebt. zcal darf Personenbezogene Daten jedoch zusammenführen, um einen Geschäftszweck zu erfüllen, der nach dem CCPA einschließlich seiner Durchführungsbestimmungen oder nach den von der California Privacy Protection Agency erlassenen Vorschriften zulässig ist.

b. zcal erfüllt die Pflichten, die für zcal als Dienstleister nach dem CCPA gelten, und stellt sicher, dass die Personenbezogenen Daten dasselbe Datenschutzniveau erhalten, das der CCPA verlangt.

c. Der Kunde hat das Recht, angemessene und geeignete Maßnahmen zu ergreifen, um sicherzustellen, dass zcal die Personenbezogenen Daten in einer Weise nutzt, die mit den Pflichten des Kunden nach dem CCPA vereinbar ist. Das Verfahren für solche Maßnahmen ist in Abschnitt 9 unten beschrieben.

d. zcal benachrichtigt den Kunden, wenn zcal feststellt, dass es seine Pflichten als Dienstleister nach dem CCPA nicht mehr erfüllen kann. Wenn zcal eine solche Benachrichtigung erteilt, hat der Kunde das Recht, angemessene und geeignete Schritte zu ergreifen, um eine unbefugte Nutzung Personenbezogener Daten zu beenden und zu beheben.

e. Für alle Unterauftragsverarbeiter, die zcal zur Verarbeitung Personenbezogener Daten einsetzt, die dem CCPA unterliegen, muss die Vereinbarung von zcal mit dem Unterauftragsverarbeiter zusätzlich zu den Pflichten von zcal nach Abschnitt 5 unten den Unterauftragsverarbeiter verpflichten, die Anforderungen in Unterabschnitt 4.1.a oben einzuhalten.

f. Für die Zwecke dieses Abschnitts 4 haben die Begriffe „Verbraucher“ (consumer), „Dienstleister“ (service provider), „verkaufen“ (sell) und „teilen“ (share) die Bedeutung, die ihnen nach dem CCPA zukommt.

4.2 Virginia, Colorado, Connecticut und Utah. Zur Klarstellung und für die Zwecke des VCDPA, CPA, CTDPA und UCPA gelten die maßgeblichen Einzelheiten der Verarbeitung, die in Abschnitt B der Anlage A aufgeführt sind.

5.0 Unterauftragsverarbeiter

5.1 Liste der Unterauftragsverarbeiter. Der Kunde genehmigt den Einsatz der in der beigefügten Anlage A aufgeführten Unterauftragsverarbeiter durch zcal. zcal kann seine Liste der Unterauftragsverarbeiter von Zeit zu Zeit aktualisieren und stellt alle Aktualisierungen hier bereit: https://zcal.co/data-processors.

6.0 Zusicherung und Gewährleistung des Kunden

Der Kunde sichert für sich und seine Mitarbeiter zu und gewährleistet, dass die Personenbezogenen Daten, die zcal zur Verarbeitung im Rahmen der Vereinbarung und dieser DPA bereitgestellt werden, vom Kunden und seinen Mitarbeitern im Einklang mit allen Datenschutzgesetzen erhoben, rechtmäßig erlangt und genutzt werden, einschließlich, aber nicht beschränkt auf die Bestimmungen der Datenschutzgesetze zu Offenlegung, informierter ausdrücklicher Einwilligung und zielgerichteter Werbung, einschließlich Kapitel II der DSGVO. Darüber hinaus verpflichtet sich der Kunde, zcal gegen alle Verluste, Kosten (einschließlich angemessener tatsächlich angefallener Anwaltsgebühren und Gerichtskosten), Schäden oder Haftungen zu verteidigen, schadlos zu halten und freizustellen, die sich aus einem Anspruch wegen eines Verstoßes gegen diesen Abschnitt 6 ergeben.

7.0 Datenschutz

7.1 Datensicherheit. zcal unternimmt wirtschaftlich angemessene Anstrengungen, um die Sicherheit, Vertraulichkeit und Integrität der an zcal übermittelten Personenbezogenen Daten durch angemessene administrative, physische und technische Schutzmaßnahmen zu schützen. Ohne Einschränkung des Vorstehenden wird zcal: (a) angemessene administrative, physische und technische Schutzmaßnahmen umsetzen (einschließlich wirtschaftlich angemessener Schutzmaßnahmen gegen Würmer, Trojanische Pferde und anderen deaktivierenden oder schädlichen Code), um die Personenbezogenen Daten im Einklang mit den Datenschutzgesetzen und entsprechend der Art der Personenbezogenen Daten zu schützen; (b) wirtschaftlich angemessene Anstrengungen unternehmen, um die Personenbezogenen Daten angemessen sicher und verschlüsselt zu halten, und branchenübliche Sicherheitsverfahren und -systeme für die Nutzung Personenbezogener Daten einsetzen, um unbefugten Zugriff auf Personenbezogene Daten sowie deren unbefugtes Kopieren, Verändern, Speichern, Vervielfältigen, Anzeigen oder Verbreiten zu verhindern und umgehend geeignete Abhilfemaßnahmen dagegen zu ergreifen; und (c) die Aufbewahrung von Dokumenten mit Personenbezogenen Daten einstellen oder die Methoden entfernen, mit denen Personenbezogene Daten bestimmten Personen zugeordnet werden können, und zwar angemessen zeitnah, nachdem vernünftigerweise anzunehmen ist, dass (i) die festgelegten Zwecke die Aufbewahrung Personenbezogener Daten durch zcal nicht mehr erfordern und (ii) die Aufbewahrung aus rechtlichen oder geschäftlichen Gründen nicht mehr erforderlich ist.

7.2 Befugtes Personal. zcal muss sicherstellen, dass sich das Befugte Personal zur Vertraulichkeit verpflichtet hat oder einer geeigneten gesetzlichen Verschwiegenheitspflicht unterliegt, deren Pflichten mindestens so streng sind wie die in dieser DPA.

7.3 Sicherheitsverletzungen. Nach Bestätigung einer Sicherheitsverletzung: (a) wird zcal umgehend: (i) den Kunden über die Sicherheitsverletzung informieren; (ii) die Sicherheitsverletzung untersuchen; (iii) dem Kunden die erforderlichen Einzelheiten zur Sicherheitsverletzung bereitstellen, wie es das geltende Recht verlangt; und (iv) angemessene Maßnahmen ergreifen, um eine Wiederholung der Sicherheitsverletzung zu verhindern; und (b) verpflichtet sich zcal, beim Umgang des Kunden mit der Situation mitzuwirken, indem zcal: (i) den Kunden bei seiner Untersuchung angemessen unterstützt; und (ii) einschlägige Aufzeichnungen und andere Unterlagen zu den Auswirkungen der Sicherheitsverletzung auf den Kunden bereitstellt, soweit dies zur Einhaltung der Datenschutzgesetze erforderlich ist.

8.0 Unterstützung

8.1 Unterstützung durch den Auftragsverarbeiter. Auf schriftliche Anfrage des Kunden unterstützt zcal den Kunden angemessen, soweit dies erforderlich ist, damit der Kunde seine Pflichten aus den Datenschutzgesetzen erfüllen kann, unter anderem durch die Bereitstellung von Informationen über die technischen und organisatorischen Sicherheitsmaßnahmen von zcal und soweit dies für die Durchführung von Datenschutz-Folgenabschätzungen erforderlich ist.

8.2 Anfragen Betroffener Personen. zcal unterstützt den Kunden angemessen bei der Erfüllung der Pflichten des Kunden gegenüber Betroffenen Personen, die ihnen durch die Datenschutzgesetze gewährte Rechte in Bezug auf Personenbezogene Daten ausüben, falls der Kunde eine solche Anfrage ohne die Hilfe von zcal nicht bearbeiten kann. Wenn eine Betroffene Person bei zcal eine Anfrage zur Ausübung eines Rechts in Bezug auf ihre Personenbezogenen Daten stellt, für die der Kunde der Verantwortliche ist, informiert zcal den Kunden umgehend über die Anfrage und weist die Betroffene Person an, ihre Anfrage direkt an den Kunden zu richten. Der Kunde ist für die Beantwortung der Anfrage verantwortlich.

9.0 Prüfungen

Innerhalb von dreißig (30) Tagen nach schriftlicher Anfrage des Kunden, beschränkt auf einmal pro Jahr und vorbehaltlich der Vertraulichkeitspflichten in der Vereinbarung, stellt zcal dem Kunden (oder einem einvernehmlich vereinbarten externen Prüfer) die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung der in dieser DPA genannten Pflichten durch zcal nachzuweisen.

10.0 Sonstiges

10.1 Widersprüche. Bei Widersprüchen oder Unstimmigkeiten zwischen dieser DPA und den Datenschutzgesetzen haben die Datenschutzgesetze Vorrang. Bei Widersprüchen oder Unstimmigkeiten zwischen den Bestimmungen dieser DPA und den Bestimmungen der Vereinbarung haben die Bestimmungen dieser DPA Vorrang, jedoch nur, soweit der Gegenstand die Verarbeitung Personenbezogener Daten betrifft.

10.2 Änderungen. Diese DPA kann nur wie im Abschnitt „Änderungen“ (Changes) der Nutzungsbedingungen von zcal oder gemäß den in der Vereinbarung festgelegten Änderungsbestimmungen geändert werden. Stellt eine Datenschutzbehörde fest, dass die Vereinbarung oder diese DPA nicht ausreicht, um die Datenschutzgesetze oder deren Änderungen einzuhalten, vereinbaren der Kunde und zcal, nach Treu und Glauben zusammenzuarbeiten, um die Vereinbarung oder diese DPA zu ändern oder zusätzliche, für beide Seiten annehmbare Vereinbarungen zur Datenverarbeitung zu schließen, um alle Datenschutzgesetze einzuhalten.

10.3 Haftung. Die Haftung jeder Partei, die sich aus oder im Zusammenhang mit dieser DPA ergibt, sei es aus Vertrag, unerlaubter Handlung oder einer anderen Rechtsgrundlage, unterliegt den in der Vereinbarung festgelegten Haftungsbeschränkungen. Zur Vermeidung von Zweifeln umfasst jeder Verweis auf die „DPA“ in diesem Dokument diese DPA und ihre Anlagen und Anhänge.

10.4 Gesamte Vereinbarung. Diese DPA berührt nicht die Rechte und Pflichten der Parteien aus der Vereinbarung, die uneingeschränkt wirksam bleiben. Diese DPA bildet zusammen mit der Vereinbarung die endgültige, vollständige und ausschließliche Übereinkunft der Parteien über ihren Gegenstand und ersetzt alle früheren Gespräche und Vereinbarungen zwischen den Parteien über diesen Gegenstand und führt sie zusammen.

Anlage A: Standardvertragsklauseln

Dieser Anhang ist Teil der Standardvertragsklauseln.

Anhang I

A. Liste der Parteien

Datenexporteur

Der Datenexporteur ist der Kunde.

Anschrift: Die Anschrift des Kunden, wie in der Vereinbarung angegeben.

Name, Funktion und Kontaktdaten der Kontaktperson (Datenschutzbeauftragter und/oder EU-Vertreter): Die Kontaktdaten des Kunden, wie in der Vereinbarung bzw. dem Bestellformular angegeben.

Tätigkeiten, die für die im Rahmen dieser Klauseln übermittelten Daten von Belang sind: Tätigkeiten, die zur Erbringung der in der Vereinbarung beschriebenen Dienste erforderlich sind.

Unterschrift und Datum: Der Kunde gilt mit der Annahme der Nutzungsbedingungen von zcal als Unterzeichner dieses Anhangs I.

Datenimporteur

Der Datenimporteur ist zcal.

Anschrift: 9800 Centre Pkwy, Houston, TX 77036

Name, Funktion und Kontaktdaten der Kontaktperson (Datenschutzbeauftragter und/oder EU-Vertreter): Saurabh Chandarana, [email protected]

Tätigkeiten, die für die im Rahmen dieser Klauseln übermittelten Daten von Belang sind: Tätigkeiten, die zur Erbringung der in der Vereinbarung beschriebenen Dienste erforderlich sind.

Unterschrift und Datum: zcal gilt mit der Annahme der Nutzungsbedingungen von zcal als Unterzeichner dieses Anhangs I.

B. Beschreibung der Übermittlung

Kategorien betroffener Personen, deren personenbezogene Daten übermittelt werden

Der Datenexporteur kann zcal Personenbezogene Daten übermitteln. Der Umfang dieser Daten wird ausschließlich vom Datenexporteur bestimmt und kontrolliert und kann unter anderem Personenbezogene Daten umfassen, die sich auf die folgenden Gruppen betroffener Personen beziehen: (i) die Endnutzer des Datenexporteurs, einschließlich Mitarbeitern, Auftragnehmern, Vertretern, Geschäftspartnern, Mitwirkenden und Kunden; und (ii) Personen, mit denen der Datenexporteur über die Dienste des Datenimporteurs Termine vereinbart, wozu deren Vertreter, Geschäftspartner, Mitwirkende, Kunden und potenzielle Kunden gehören können.

Kategorien übermittelter personenbezogener Daten

Der Datenexporteur kann zcal Personenbezogene Daten übermitteln. Der Umfang dieser Daten wird ausschließlich vom Datenexporteur bestimmt und kontrolliert und kann unter anderem die folgenden Kategorien Personenbezogener Daten umfassen: (a) Vor- und Nachname; (b) Titel; (c) Position; (d) Arbeitgeber; (e) Kontaktdaten (Unternehmen, E-Mail-Adresse, Telefon, physische Geschäftsanschrift); (f) Verbindungsdaten; (g) Lokalisierungsdaten; und (h) sonstige elektronische Daten, die der Kunde im Zusammenhang mit den Diensten nutzt.

Übermittelte sensible Daten (falls zutreffend)

Keine

Häufigkeit der Übermittlung

Kontinuierlich

Art der Verarbeitung

Die Vorgänge können das Erheben, Speichern, Abrufen, Einsehen, Verwenden, Löschen oder Vernichten, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung der Daten des Datenexporteurs umfassen, soweit dies zur Erbringung der Dienste gemäß den Weisungen des Datenexporteurs erforderlich ist, einschließlich damit verbundener interner Zwecke (wie Qualitätskontrolle, Fehlerbehebung, Produktentwicklung usw.).

Zweck(e) der Datenübermittlung und Weiterverarbeitung

Das Ziel der Verarbeitung Personenbezogener Daten durch zcal ist die Erbringung der vertraglichen Dienste im Rahmen der Vereinbarung mit dem Datenexporteur.

Die Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer.

Personenbezogene Daten werden so lange aufbewahrt, wie es vernünftigerweise erforderlich ist, um die Zwecke zu erreichen, für die sie erhoben wurden, um unsere vertraglichen und rechtlichen Pflichten zu erfüllen, und für etwaige geltende Verjährungsfristen zum Zweck der Geltendmachung und Abwehr von Rechtsansprüchen.

Bei Übermittlungen an (Unter-)Auftragsverarbeiter sind auch Gegenstand, Art und Dauer der Verarbeitung anzugeben:

Gegenstand und Art der Verarbeitung durch Unterauftragsverarbeiter sind in Anhang III zu dieser DPA beschrieben. Die Verarbeitung durch Unterauftragsverarbeiter dauert so lange, wie der Datenimporteur dem Datenexporteur die Dienste im Rahmen der Vereinbarung erbringt.

C. Zuständige Aufsichtsbehörde

Wenn die EU-DSGVO gilt, ist die zuständige Aufsichtsbehörde der Irish Data Protection Commissioner. Wenn die UK-DSGVO gilt, ist die zuständige Aufsichtsbehörde das UK Information Commissioner’s Office.

Anhang II: Technische und organisatorische Maßnahmen, einschließlich technischer und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit der Daten

Der Auftragsverarbeiter unterhält angemessene administrative, physische und technische Schutzmaßnahmen, um die Sicherheit, Vertraulichkeit und Integrität der an den Auftragsverarbeiter übermittelten Personenbezogenen Daten zu schützen, wie in dieser DPA und unter dem folgenden Link beschrieben: https://zcal.co/security.

Anhang III: Unterauftragsverarbeiter des Auftragsverarbeiters

Mit dem Abschluss dieser DPA hat der Kunde den Einsatz der aufgeführten Unterauftragsverarbeiter genehmigt, die hier zu finden sind: https://zcal.co/data-processors.

Anlage B: UK-Addendum

Standarddatenschutzklauseln, die vom Commissioner gemäß S119A(1) Data Protection Act 2018 herauszugeben sind

International Data Transfer Addendum (Addendum für internationale Datenübermittlungen) zu den Standardvertragsklauseln der EU-Kommission

VERSION B1.0, in Kraft seit dem 21. März 2022

Dieses Addendum wurde vom Information Commissioner für Parteien herausgegeben, die Eingeschränkte Übermittlungen (Restricted Transfers) vornehmen. Der Information Commissioner ist der Auffassung, dass es Geeignete Garantien (Appropriate Safeguards) für Eingeschränkte Übermittlungen bietet, wenn es als rechtsverbindlicher Vertrag abgeschlossen wird.

Teil 1: Tabellen

Tabelle 1: Parteien

Exporteur (der die Eingeschränkte Übermittlung sendet)

Vollständiger rechtlicher Name: Wie in Anhang I der Anlage A angegeben
Handelsname (falls abweichend): entfällt
Hauptanschrift (bei einem Unternehmen die eingetragene Anschrift): Wie in Anhang I der Anlage A angegeben
Amtliche Registernummer (falls vorhanden) (Handelsregisternummer oder ähnliche Kennung): entfällt
Vollständiger Name (optional): Wie in Anhang I der Anlage A angegeben
Berufsbezeichnung: Wie in Anhang I der Anlage A angegeben
Kontaktdaten einschließlich E-Mail-Adresse: Wie in Anhang I der Anlage A angegeben
Unterschrift: Der Exporteur gilt mit der Annahme der Nutzungsbedingungen von zcal als Unterzeichner dieses Addendums.

Importeur (der die Eingeschränkte Übermittlung empfängt)

Vollständiger rechtlicher Name: zcal
Handelsname (falls abweichend): entfällt
Hauptanschrift (bei einem Unternehmen die eingetragene Anschrift): Wie in Anhang I der Anlage A angegeben
Amtliche Registernummer (falls vorhanden) (Handelsregisternummer oder ähnliche Kennung): entfällt
Vollständiger Name (optional): Wie in Anhang I der Anlage A angegeben
Berufsbezeichnung: Wie in Anhang I der Anlage A angegeben
Kontaktdaten einschließlich E-Mail-Adresse: Wie in Anhang I der Anlage A angegeben
Unterschrift: Der Importeur gilt mit der Annahme der Nutzungsbedingungen von zcal als Unterzeichner dieses Addendums.

Tabelle 2: Ausgewählte SCCs, Module und ausgewählte Klauseln

Addendum-EU-SCCs

Die Fassung der Genehmigten EU-SCCs, der dieses Addendum beigefügt ist, wie nachstehend angegeben, einschließlich der Anhangsinformationen:

Datum: Wie in der DPA angegeben
Referenz: entfällt
Sonstige Kennung (falls vorhanden): entfällt

Tabelle 3: Anhangsinformationen

„Anhangsinformationen“ bezeichnet die Informationen, die für die ausgewählten Module gemäß dem Anhang der Genehmigten EU-SCCs erforderlich sind (mit Ausnahme der Parteien), und die für dieses Addendum in Folgendem enthalten sind:

Anhang 1A: Liste der Parteien: Wie in Anhang I der Anlage A angegeben

Anhang 1B: Beschreibung der Übermittlung: Wie in Anhang I der Anlage A angegeben

Anhang II: Technische und organisatorische Maßnahmen, einschließlich technischer und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit der Daten: Wie in Anhang II der Anlage A angegeben

Anhang III: Liste der Unterauftragsverarbeiter (nur Module 2 und 3): Wie in Anhang III der Anlage A angegeben

Tabelle 4: Beendigung dieses Addendums bei Änderung des Genehmigten Addendums

Welche Parteien dieses Addendum gemäß Abschnitt 19 beenden können:

Importeur
Exporteur

Teil 2: Verbindliche Klauseln

Verbindliche Klauseln

Teil 2: Verbindliche Klauseln des Genehmigten Addendums, d. h. der Mustervorlage Addendum B.1.0, die vom ICO herausgegeben und dem Parlament gemäß s119A des Data Protection Act 2018 am 2. Februar 2022 vorgelegt wurde, in der gemäß Abschnitt 18 dieser Verbindlichen Klauseln aktualisierten Fassung.