Änderung der Datenverarbeitung

Klausel 1

Zweck und Umfang

• Der Zweck dieser Standardvertragsklauseln ist die Einhaltung der Anforderungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27 April 2016  zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) bei der Übermittlung personenbezogener Daten in ein Drittland.
• Die Parteien:
  • die natürliche(n) oder juristische(n) Person(en), Behörde(n), Agentur(en) oder sonstige(n) Stelle(n) (nachstehend ‘Stelle(n)’), die die personenbezogenen Daten übermitteln, wie in Anhang I.A aufgeführt (nachstehend jeweils ‘Datenexporteur’), und
  • die Einrichtung(en) in einem Drittland, die die personenbezogenen Daten vom Datenexporteur direkt oder indirekt über eine andere Einrichtung erhält/erhalten, die ebenfalls Vertragspartei dieser Klauseln ist und die in Anhang I.A aufgeführt ist (im Folgenden "Datenimporteur" genannt)
• haben sich mit diesen Standardvertragsklauseln (im Folgenden: ‘Klauseln’) einverstanden erklärt.
• Diese Klauseln gelten für die Übermittlung von personenbezogenen Daten wie in Anhang I.B.
• Die Anlage zu diesen Klauseln, die die darin genannten Anhänge enthält, ist Bestandteil dieser Klauseln.

Klausel 2

Wirkung und Unveränderlichkeit der Klauseln

• Diese Klauseln enthalten angemessene Garantien, einschließlich durchsetzbarer Rechte der betroffenen Person und wirksamer Rechtsbehelfe, gemäß Artikel 46 Absatz 1 und Artikel 46 (2)© der Verordnung (EU) 2016/679 und, in Bezug auf Datenübermittlungen von für die Verarbeitung Verantwortlichen an  Auftragsverarbeitern und/oder von Auftragsverarbeitern an Auftragsverarbeiter, Standardvertragsklauseln gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679, sofern sie nicht geändert werden, außer um das/die geeignete(n) Modul(e) auszuwählen oder Informationen in der Anlage hinzuzufügen oder zu aktualisieren. Dies hindert die Parteien nicht daran, die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfassenderen Vertrag aufzunehmen und/oder weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder direkt noch indirekt im Widerspruch zu diesen Klauseln stehen oder die Grundrechte oder -freiheiten der betroffenen Personen beeinträchtigen.
• Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Datenexporteur aufgrund der Verordnung (EU) 2016/679 unterliegt.

Klausel 3

Drittbegünstigte

• Betroffene Personen können diese Klauseln als Drittbegünstigte gegenüber dem Datenexporteur und/oder Datenimporteur geltend machen und durchsetzen, mit folgenden Ausnahmen:
  • Klausel 1, Klausel 2, Klausel 3, Klausel 6, Klausel 7;
  • Klausel 8.1(b), 8.9(a), ©, (d) und (e);
  • Klausel 9(a), ©, (d) und (e);
  • Klausel 12(a), (d) und (f);
  • Klausel 13;
  • Klausel 15.1©, (d) und (e);
  • Klausel 16(e);
  • Klausel 18(a) und (b).
• Paragraph (a) ist unbeschadet der Rechte der betroffenen Personen gemäß der Verordnung (EU) 2016/679.

Klausel 4

Interpretation

• Wenn in diesen Klauseln Begriffe verwendet werden, die in der Verordnung (EU) 2016/679 definiert sind, haben diese Begriffe die gleiche Bedeutung wie in der genannten Verordnung.
• Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 zu lesen und auszulegen.
• Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die im Widerspruch zu den Rechten und Pflichten gemäß der Verordnung (EU) 2016/679 steht.

Klausel 5

Hierarchie

Im Fall eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen der damit zusammenhängenden Vereinbarungen zwischen den Parteien, die zum Zeitpunkt der Vereinbarung dieser Klauseln bestehen oder danach abgeschlossen werden, sind diese Klauseln maßgebend.

Klausel 6

Im Fall eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen der damit zusammenhängenden Vereinbarungen zwischen den Parteien, die zum Zeitpunkt der Vereinbarung dieser Klauseln bestehen oder danach abgeschlossen werden, sind diese Klauseln maßgebend.

Die Einzelheiten der Übermittlung(en), insbesondere die Kategorien von personenbezogenen Daten, die übermittelt werden, und der Zweck/die Zwecke, zu dem/denen sie übermittelt werden, sind in Anhang I.B aufgeführt.

Klausel 7 - Optional

Andockklausel

• Ein Unternehmen, das nicht Vertragspartei dieser Klauseln ist, kann mit Zustimmung der Vertragsparteien diesen Klauseln jederzeit beitreten, entweder als Datenexporteur oder als Datenimporteur, indem es die Anlage ausfüllt und Anhang I.A unterzeichnet.
• Sobald er die Anlage ausgefüllt und Anhang I.A unterzeichnet hat, wird der beitretende Rechtsträger zu einer Vertragspartei dieser Klauseln und hat die Rechte und Pflichten eines Datenexporteurs oder Datenimporteurs gemäß seiner Bezeichnung in Anhang I.A.
• Der beitretende Rechtsträger hat keine Rechte oder Pflichten, die sich aus diesen Klauseln aus dem Zeitraum vor dem Beitritt zur Partei ergeben.

Klausel 8

Datenschutzgarantien

Der Datenexporteur garantiert, dass er angemessene Anstrengungen unternommen hat, um festzustellen, dass der Datenimporteur durch die Umsetzung geeigneter technischer und organisatorischer Maßnahmen in der Lage ist, seine Verpflichtungen gemäß diesen Klauseln zu erfüllen.

• • Anweisungen

    • Der Datenimporteur darf die personenbezogenen Daten nur auf dokumentierte Anweisung des Datenexporteurs verarbeiten. Der Datenexporteur kann solche Anweisungen während der gesamten Laufzeit des Vertrages erteilen.
    • Der Datenimporteur informiert den Datenexporteur unverzüglich, wenn er nicht in der Lage ist, diese Anweisungen zu befolgen.

  • Zweckbindung

    Der Datenimporteur verarbeitet die personenbezogenen Daten nur für den/die spezifischen Zweck(e) der Übermittlung, wie in Anhang I.B dargelegt, es sei denn, der Datenexporteur erteilt weitere Anweisungen.

  • Transparenz

    Auf Anfrage stellt der Datenexporteur eine Kopie dieser Klauseln, einschließlich des Anhangs in der von den Parteien ausgefüllten Fassung, der betroffenen Person kostenlos zur Verfügung. Soweit dies zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich der in Anhang II beschriebenen Maßnahmen, und von personenbezogenen Daten erforderlich ist, kann der Datenexporteur Teile des Textes der Anlage zu den Klauseln unkenntlich machen; des Anhangs zu diesen Klauseln vor der Weitergabe einer Kopie schwärzen, muss jedoch eine aussagekräftige Zusammenfassung zur Verfügung stellen, wenn die betroffene Person andernfalls nicht in der Lage wäre, den Inhalt zu verstehen oder ihre Rechte auszuüben. Auf Anfrage teilen die Parteien der betroffenen Person die Gründe für die Schwärzungen mit, soweit dies ohne Offenlegung der geschwärzten Informationen möglich ist. Diese Klausel gilt unbeschadet der Verpflichtungen des Datenexporteurs gemäß Artikel 13 und 14 der Verordnung (EU) 2016/679.

  • Genauigkeit

    Wenn der Datenimporteur feststellt, dass die personenbezogenen Daten, die er erhalten hat, unrichtig sind oder veraltet sind, informiert er den Datenexporteur unverzüglich. In diesem Fall arbeitet der Datenimporteur mit dem Datenexporteur zusammen, um die Daten zu löschen oder zu berichtigen.

  • Dauer der Verarbeitung und Löschung oder Rückgabe der Daten

    Die Verarbeitung durch den Datenimporteur findet nur für die in Anhang I.B. angegebene Dauer statt. Nach Beendigung der Erbringung der Verarbeitungsdienste löscht der Datenimporteur auf Wunsch des Datenexporteurs alle personenbezogenen Daten, die im Auftrag des  Datenexporteur verarbeitet wurden, löschen und dem Datenexporteur bescheinigen, dass er dies getan hat, oder dem Datenexporteur alle personenbezogenen Daten zurückgeben, die in seinem Auftrag verarbeitet wurden, und vorhandene Kopien löschen. Bis die Daten gelöscht oder zurückgegeben werden, muss der Datenimporteur weiterhin die Einhaltung dieser Klauseln sicherstellen. Im Fall von lokalen Gesetzen, die auf den Datenimporteur anwendbar sind und die Rückgabe oder Löschung der personenbezogenen Daten verbieten, garantiert der Datenimporteur, dass er weiterhin die Einhaltung dieser Klauseln gewährleisten wird und die Daten nur in dem Umfang und so lange verarbeiten wird, wie es das lokale Gesetz verlangt. Dies gilt unbeschadet der Klausel 14, insbesondere der Verpflichtung des Datenimporteurs gemäß Klausel 14(e), den Datenexporteur während der gesamten Dauer des  des Vertrages zu benachrichtigen, wenn er Grund zu der Annahme hat, dass er Gesetzen oder Praktiken unterliegt oder unterworfen wurde, die nicht mit den Anforderungen von Klausel 14(a) übereinstimmen.

  • Sicherheit der -Verarbeitung

    • Der Datenimporteur und bei der Übermittlung auch der Datenexporteur ergreift geeignete technische und organisatorische Maßnahmen, um die Sicherheit der Daten zu gewährleisten, einschließlich des Schutzes vor einer Verletzung der Sicherheit, die zu einer versehentlichen oder unrechtmäßigen Zerstörung, einem Verlust, einer Änderung, einer unbefugten Weitergabe oder einem unberechtigten Zugriff auf die Daten führt (im Folgenden als Verletzung der Sicherheit personenbezogener Daten bezeichnet). Bei der Bewertung des angemessenen Sicherheitsniveaus berücksichtigen die Parteien den Stand der Technik, die Kosten der Umsetzung, die Art, den Umfang, den Kontext und den/die Zweck/e der Verarbeitung sowie die mit der Verarbeitung verbundenen Risiken für die betroffenen Personen. Die Parteien erwägen insbesondere den Rückgriff auf Verschlüsselung oder Pseudonymisierung, auch während der Übermittlung, wenn der Zweck der Verarbeitung auf diese Weise erfüllt werden kann. Im Fall der Pseudonymisierung bleiben die zusätzlichen Informationen zur Zuordnung der personenbezogenen Daten zu einer bestimmten betroffenen Person, soweit möglich, unter der ausschließlichen Kontrolle von dem Datenexporteur. Bei der Erfüllung seiner Verpflichtungen nach diesem Absatz muss der Datenimporteur zumindest die in Anhang II aufgeführten technischen und organisatorischen Maßnahmen umsetzen. Der Datenimporteur führt regelmäßige Kontrollen durch, um sicherzustellen, dass diese Maßnahmen weiterhin ein angemessenes Sicherheitsniveau bieten.
    • Der Datenimporteur gewährt Mitgliedern seines Personals nur in dem Umfang Zugang zu den personenbezogenen Daten, der für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Er stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer entsprechenden gesetzlichen Verpflichtung zur Vertraulichkeit unterliegen.
    • Im Fall einer Verletzung des Schutzes personenbezogener Daten in Bezug auf personenbezogene Daten, die von dem Datenimporteur im Rahmen dieser Klauseln verarbeitet werden, ergreift der Datenimporteur geeignete Maßnahmen, um die Verletzung zu beheben, einschließlich Maßnahmen zur Milderung ihrer nachteiligen Auswirkungen. Der Datenimporteur benachrichtigt außerdem den Datenexporteur unverzüglich, nachdem er von der Verletzung Kenntnis erlangt hat. Diese Benachrichtigung enthält die Angaben zu einer Kontaktstelle, bei der weitere Informationen eingeholt werden können, eine Beschreibung der Art des Verstoßes (einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen und personenbezogenen Datensätze), die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung des Verstoßes, einschließlich, soweit angemessen, Maßnahmen zur Abmilderung seiner möglichen negativen Auswirkungen. Wenn es nicht möglich ist, alle Informationen gleichzeitig zur Verfügung zu stellen, enthält die erste Benachrichtigung die zu diesem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, ohne unangemessene Verzögerung zur Verfügung gestellt.
    • Der Datenimporteur arbeitet mit dem Datenexporteur zusammen und unterstützt ihn, damit der Datenexporteur seinen Verpflichtungen gemäß der Verordnung (EU) 2016/679 nachkommen kann, insbesondere bei der Meldung an die zuständige Aufsichtsbehörde und die betroffenen Personen, wobei die Art der Verarbeitung und die dem Datenimporteur zur Verfügung stehenden Informationen berücksichtigt werden.

  • Sensible Daten

    Betrifft die Übermittlung personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Mitgliedschaft in einer Gewerkschaft hervorgehen, genetische Daten oder biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Daten über Gesundheit oder das Sexualleben oder die sexuelle Ausrichtung einer Person (im Folgenden   das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten (im Folgenden ‘sensible Daten’), wendet der Datenimporteur die in  Anhang I beschriebenen spezifischen Einschränkungen und/oder zusätzlichen Garantien an. B.

  • Weiterführende Überweisungen

    Der Datenimporteur darf die personenbezogenen Daten nur auf dokumentierte Anweisung des Datenexporteurs an eine Drittpartei weitergeben. Darüber hinaus dürfen die Daten nur an einen Dritten außerhalb der Europäischen Union weitergegeben werden (im selben Land wie der Datenimporteur oder in einem anderen Drittland; einem anderen Drittland, nachfolgend ‘Weitergabe’), wenn der Dritte ist oder zustimmt, durch diese Klauseln, , unter dem entsprechenden Modul, gebunden zu sein, oder wenn:

    • die Weiterübermittlung in ein Land erfolgt, das von einem Genehmigungsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 profitiert, der die Weiterübermittlung abdeckt;
    • der Dritte anderweitig angemessene Garantien gemäß Artikel 46 oder 47 der Verordnung (EU) 2016/679 in Bezug auf die betreffende Verarbeitung gewährleistet;
    • die Weitergabe ist notwendig für die Begründung, Ausübung oder Verteidigung von Rechtsansprüchen im Zusammenhang mit bestimmten Verwaltungs-, Aufsichts- oder Gerichtsverfahren; oder
    • die Weitergabe ist notwendig, um die lebenswichtigen Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.

    Jede Weitergabe unterliegt der Einhaltung aller anderen Garantien dieser Klauseln durch den Datenimporteur, insbesondere der Zweckbindung.

  • Dokumentation und Compliance

    • Der Datenimporteur ist verpflichtet, Anfragen des Datenexporteurs, die sich auf die Verarbeitung gemäß diesen Klauseln beziehen, unverzüglich und angemessen zu beantworten.
    • Die Parteien müssen in der Lage sein, die Einhaltung dieser Klauseln nachzuweisen. Insbesondere muss der Datenimporteur eine angemessene Dokumentation über die im Auftrag des Datenexporteurs durchgeführten Verarbeitungstätigkeiten führen.
    • Der Datenimporteur stellt dem Datenexporteur alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten Verpflichtungen erforderlich sind, und ermöglicht auf Verlangen des Datenexporteurs Überprüfungen der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung. Bei der Entscheidung über eine Überprüfung oder ein Audit kann der Datenexporteur relevante Zertifizierungen des Datenimporteurs berücksichtigen.
    • Der Datenexporteur kann wählen, ob er das Audit selbst durchführt oder einen unabhängigen Prüfer beauftragt. Die Audits können Inspektionen in den Geschäftsräumen oder physischen Einrichtungen des Datenimporteurs umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.
    • Die Vertragsparteien stellen der zuständigen Aufsichtsbehörde auf Anfrage die in den Absätzen (b) und genannten Informationen, einschließlich der Ergebnisse von Prüfungen, zur Verfügung.

Klausel 9

Verwendung von Unterauftragsverarbeitern

• ALLGEMEINE SCHRIFTLICHE ERMÄCHTIGUNG Der Datenimporteur hat die allgemeine Erlaubnis des Datenexporteurs für die Beauftragung von Unterauftragsverarbeitern aus einer vereinbarten Liste. Der Datenimporteur informiert den Datenexporteur schriftlich über jede beabsichtigte Änderung dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern; mindestens zehn (10) Tage im Voraus, so dass der Datenexporteur ausreichend Zeit hat, um vor der Beauftragung des/der Unterauftragsverarbeiter(s) Einspruch gegen diese Änderungen zu erheben. Der Datenimporteur stellt dem Datenexporteur die erforderlichen Informationen zur Verfügung, damit der Datenexporteur von seinem Widerspruchsrecht Gebrauch machen kann.
• Beauftragt der Datenimporteur einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Datenexporteurs), so tut er dies mittels eines schriftlichen Vertrags, der im Wesentlichen dieselben Datenschutzverpflichtungen vorsieht wie die, die den Datenimporteur gemäß dieser ACTIVE/110240378. 1 7 Klauseln, einschließlich in Bezug auf Rechte von Drittbegünstigten für betroffene Personen. 1 Die Parteien sind sich einig, dass der Datenimporteur durch die Einhaltung dieser Klausel seine Verpflichtungen gemäß Klausel 8.8 erfüllt. Der Datenimporteur stellt sicher, dass der Unterauftragsverarbeiter die Verpflichtungen einhält, denen der Datenimporteur gemäß diesen Klauseln unterliegt.
• Der Datenimporteur stellt dem Datenexporteur auf Anfrage eine Kopie einer solchen Vereinbarung mit einem Unterauftragsverarbeiter und aller nachfolgenden Änderungen zur Verfügung. Soweit dies zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich personenbezogener Daten, erforderlich ist, kann der Datenimporteur den Text der Vereinbarung vor der Weitergabe einer Kopie unkenntlich machen.
• Der Datenimporteur bleibt gegenüber dem Datenexporteur in vollem Umfang für die Erfüllung der Verpflichtungen des Unterauftragsverarbeiters aus seinem Vertrag mit dem Datenimporteur verantwortlich. Der Datenimporteur benachrichtigt den Datenexporteur, wenn der Unterauftragsverarbeiter seinen Verpflichtungen aus diesem Vertrag nicht nachkommt.
• Der Datenimporteur vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigungsklausel, nach der — für den Fall, dass der Datenimporteur faktisch verschwunden ist, rechtlich nicht mehr existiert oder zahlungsunfähig geworden ist  rechtlich nicht mehr existiert oder insolvent geworden ist — der Datenexporteur das Recht hat, den Unterverarbeitungsvertrag zu kündigen und den Unterverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

Klausel 10

Rechte des Betroffenen

• Der Datenimporteur informiert den Datenexporteur unverzüglich über jede Anfrage, die er von einer betroffenen Person erhalten hat. Er antwortet nicht selbst auf diese Anfrage, es sei denn, er wurde vom Datenexporteur dazu ermächtigt.
• Der Datenimporteur unterstützt den Datenexporteur bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte gemäß der Verordnung (EU) 2016/679. Zu diesem Zweck legen die Vertragsparteien in Anhang II die geeigneten technischen und organisatorischen Maßnahmen unter Berücksichtigung der Art der Verarbeitung, durch die die Unterstützung geleistet werden soll, sowie den Umfang und das Ausmaß der erforderlichen Unterstützung fest.
• Bei der Erfüllung seiner Verpflichtungen nach den Buchstaben a) und b) hat der Datenimporteur die Anweisungen des Datenexporteurs zu befolgen.

Klausel 11

Abhilfe

• Der Datenimporteur informiert die betroffenen Personen in einem transparenten und leicht zugänglichen Format durch eine individuelle Mitteilung oder auf seiner Website über eine Kontaktstelle, die befugt ist, Beschwerden zu bearbeiten. Sie bearbeitet umgehend alle Beschwerden, die sie von einer betroffenen Person erhält.
• Im Falle einer Streitigkeit zwischen einer betroffenen Person und einer der Vertragsparteien über die Einhaltung dieser Klauseln bemüht sich die betreffende Vertragspartei nach besten Kräften um eine gütliche und zeitnahe Beilegung der Angelegenheit. Die Vertragsparteien halten sich gegenseitig über derartige Streitigkeiten auf dem laufenden und arbeiten gegebenenfalls bei deren Beilegung zusammen.
  • eine Beschwerde bei der Aufsichtsbehörde in dem Mitgliedstaat, in dem er seinen gewöhnlichen Aufenthalt oder seinen Arbeitsplatz hat, oder bei der zuständigen Aufsichtsbehörde gemäß Artikel 13 einzureichen;
  • den Streitfall an die zuständigen Gerichte im Sinne von Paragraph 18 verweisen.
• Beruft sich die betroffene Person auf ein Drittbegünstigungsrecht gemäß Ziffer 3, so akzeptiert der Datenimporteur die Entscheidung der betroffenen Person:
• Die Vertragsparteien akzeptieren, dass die betroffene Person unter den in Artikel 80 Absatz 1 der Verordnung (EU) 2016/679 genannten Bedingungen durch eine gemeinnützige Einrichtung, Organisation oder Vereinigung vertreten werden kann.
• Der Datenimporteur hält sich an eine Entscheidung, die nach dem geltenden EU-Recht oder dem Recht der Mitgliedstaaten verbindlich ist.
• Der Datenimporteur erklärt sich damit einverstanden, dass die von der betroffenen Person getroffene Wahl ihre materiell- und verfahrensrechtlichen Rechte auf Einlegung von Rechtsbehelfen gemäß den geltenden Rechtsvorschriften nicht beeinträchtigt.

Klausel 12

Haftung

• Jede Vertragspartei haftet gegenüber der/den anderen Vertragspartei(en) für alle Schäden, die sie der/den anderen Vertragspartei(en) durch einen Verstoß gegen diese Klauseln zufügt.
• Der Datenimporteur haftet gegenüber der betroffenen Person und die betroffene Person hat Anspruch auf Schadenersatz für alle materiellen oder immateriellen Schäden, die der Datenimporteur oder sein Unterauftragsverarbeiter der betroffenen Person durch die Verletzung der Rechte des Drittbegünstigten gemäß diesen Klauseln zufügt.
• Ungeachtet des Absatzes (b) ist der Datenexporteur gegenüber der betroffenen Person haftbar und die betroffene Person hat Anspruch auf Schadenersatz für alle materiellen oder immateriellen Schäden, die der Datenexporteur oder der Datenimporteur (oder sein Unterauftragsverarbeiter) der betroffenen Person durch die Verletzung der Rechte des Drittbegünstigten gemäß diesen Klauseln zufügt. Dies gilt unbeschadet der Haftung des Datenexporteurs und, wenn der Datenexporteur ein Auftragsverarbeiter ist, der im Auftrag eines für die Verarbeitung Verantwortlichen handelt, der Haftung des für die Verarbeitung Verantwortlichen gemäß der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725.
• Die Parteien vereinbaren, dass der Datenexporteur, wenn er gemäß Absatz © für Schäden haftbar gemacht wird, die durch den Datenimporteur (oder seinen Unterverarbeiter) verursacht wurden, berechtigt ist, vom Datenimporteur den Teil der Entschädigung zurückzufordern, der der Verantwortung des Datenimporteurs für den Schaden entspricht.
• Wenn mehr als eine Partei für einen Schaden verantwortlich ist, der der betroffenen Person als Folge eines Verstoßes gegen diese Klauseln entstanden ist, sind alle verantwortlichen Parteien gesamtschuldnerisch haftbar, und die betroffene Person ist berechtigt, gegen jede dieser Parteien vor Gericht zu klagen.
• Die Parteien vereinbaren, dass, wenn eine Partei gemäß Absatz (e) haftbar gemacht wird, sie berechtigt ist, von der/den anderen Partei(en) den Teil der Entschädigung zurückzufordern, der ihrer Verantwortung für den Schaden entspricht.
• Der Datenimporteur kann sich nicht auf das Verhalten eines Unterauftragsverarbeiters berufen, um seine eigene Haftung zu umgehen.

Klausel 13

Überwachung

• Wenn der Datenexporteur in einem EU Mitgliedstaat niedergelassen ist: Die Aufsichtsbehörde, die dafür verantwortlich ist, dass der Datenexporteur die Verordnung (EU) 2016/679 in Bezug auf die Datenübermittlung einhält, wie in Anhang I.C angegeben, handelt als zuständige Aufsichtsbehörde.
  Die Aufsichtsbehörde des Mitgliedstaats, in dem der Vertreter im Sinne von Artikel 27 Absatz 1 der Verordnung (EU) 2016/679, wie in Anhang I.C angegeben, niedergelassen ist, fungiert als zuständige Aufsichtsbehörde. Die Aufsichtsbehörde eines der Mitgliedstaaten, in denen die betroffenen Personen, deren personenbezogene Daten gemäß diesen Klauseln im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an sie übermittelt werden oder deren Verhalten überwacht wird, ansässig sind, fungiert als zuständige Aufsichtsbehörde (wie in Anhang I.C angegeben).
• Der Datenimporteur erklärt sich damit einverstanden, sich der Gerichtsbarkeit  zu unterwerfen und mit der zuständigen Aufsichtsbehörde bei allen Verfahren zusammenzuarbeiten, die darauf abzielen, die Einhaltung dieser Klauseln sicherzustellen. Insbesondere verpflichtet sich der Datenimporteur, auf Anfragen zu antworten, sich Audits zu unterziehen und die von der Aufsichtsbehörde getroffenen Maßnahmen, einschließlich Abhilfe- und Ausgleichsmaßnahmen, zu befolgen. Sie bestätigt der Aufsichtsbehörde schriftlich, dass die erforderlichen Maßnahmen ergriffen wurden.

Klausel 14

Lokale Gesetze und Praktiken, die sich auf die Einhaltung der Klauseln auswirken

• Die Parteien garantieren, dass sie keinen Grund zu der Annahme haben, dass die Gesetze und Praktiken in dem Bestimmungsdrittland, die auf die Verarbeitung der personenbezogenen Daten durch den Datenimporteur anwendbar sind, einschließlich etwaiger Anforderungen zur Offenlegung personenbezogener Daten oder Maßnahmen zur Genehmigung des Zugriffs durch Behörden, den Datenimporteur daran hindern, seine Verpflichtungen gemäß diesen Klauseln zu erfüllen. Dies basiert auf dem Verständnis, dass Gesetze und Praktiken, die den Kern der Grundrechte und -freiheiten respektieren und nicht über das hinausgehen, was in einer demokratischen Gesellschaft notwendig und verhältnismäßig ist, um eines der in Artikel 23 Absatz 1 der Verordnung (EU) 2016/679 aufgeführten Ziele zu schützen, nicht im Widerspruch zu diesen Klauseln stehen.
• Die Parteien erklären, dass sie bei der Abgabe der Garantie in Absatz (a) insbesondere die folgenden Elemente berücksichtigt haben:
  • die besonderen Umstände der Übermittlung, einschließlich der Länge der Verarbeitungskette, der Anzahl der beteiligten Akteure und der verwendeten Übermittlungskanäle; beabsichtigte Weiterübermittlungen; die Art des Empfängers; der Zweck der Verarbeitung; die Kategorien und das Format der übermittelten personenbezogenen Daten; der Wirtschaftssektor, in dem die Übermittlung erfolgt; der Speicherort der übermittelten Daten;
  • die Gesetze und Gepflogenheiten des Bestimmungsdrittlandes, einschließlich derjenigen, die die Offenlegung von Daten gegenüber Behörden vorschreiben oder den Zugriff durch solche Behörden gestatten, sowie die geltenden Beschränkungen und Garantien, die angesichts der besonderen Umstände der Übermittlung relevant sind;
  • die Gesetze und Gepflogenheiten des Bestimmungsdrittlandes, einschließlich derjenigen, die die Offenlegung von Daten gegenüber Behörden vorschreiben oder den Zugriff durch solche Behörden gestatten, sowie die geltenden Beschränkungen und Garantien, die angesichts der besonderen Umstände der Übermittlung relevant sind;
• Der Datenimporteur garantiert, dass er sich bei der Durchführung der Bewertung gemäß Absatz (b) nach besten Kräften bemüht hat, dem Datenexporteur relevante Informationen zur Verfügung zu stellen, und erklärt sich bereit, weiterhin mit dem Datenexporteur zusammenzuarbeiten, um die Einhaltung dieser Klauseln sicherzustellen.
• Die Parteien vereinbaren, die Bewertung gemäß Absatz (b) zu dokumentieren und sie der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.
• Der Datenimporteur verpflichtet sich, den Datenexporteur unverzüglich zu benachrichtigen, wenn er nach Zustimmung zu diesen Klauseln und während der Laufzeit des Vertrages Grund zu der Annahme hat, dass er Gesetzen oder Praktiken unterliegt, die nicht mit den Anforderungen gemäß Absatz (a) übereinstimmen; nicht mit den Anforderungen gemäß Absatz (a) übereinstimmen, einschließlich nach einer Änderung der Gesetze des Drittlandes oder einer Maßnahme (wie einer Offenlegungsaufforderung), die auf eine Anwendung solcher Gesetze oder Praktiken hinweist, die nicht mit den Anforderungen in Absatz (a) übereinstimmen.
• Nach einer Meldung gemäß Absatz (e) oder wenn der Datenexporteur anderweitig Grund zu der Annahme hat, dass der Datenimporteur seine Verpflichtungen gemäß diesen Klauseln nicht mehr erfüllen kann, ermittelt der Datenexporteur unverzüglich geeignete Maßnahmen (z. z.B. technische oder organisatorische Maßnahmen zur Gewährleistung von Sicherheit und Vertraulichkeit), die vom Datenexporteur und/oder Datenimporteur ergriffen werden müssen, um der Situation zu begegnen. Der Datenexporteur setzt die Datenübermittlung aus, wenn er der Ansicht ist, dass keine angemessenen Garantien für eine solche Übermittlung gewährleistet werden können, oder wenn die zuständige Aufsichtsbehörde angewiesen wird, dies zu tun. In diesem Fall ist der Datenexporteur berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung von personenbezogenen Daten gemäß diesen Klauseln betrifft. Wenn der Vertrag mehr als zwei Parteien betrifft, kann der Datenexporteur dieses Recht auf Kündigung nur in Bezug auf die betreffende Partei ausüben, es sei denn, die Parteien haben etwas anderes vereinbart. Wird der Vertrag gemäß dieser Klausel gekündigt, gilt Klausel 16(d) und (e).

Klausel 15

Pflichten des Datenimporteurs im Falle eines Zugriffs durch Behörden

• • Benachrichtigung

    • Der Datenimporteur verpflichtet sich, den Datenexporteur und, soweit möglich, die betroffene Person unverzüglich zu benachrichtigen (gegebenenfalls mit Hilfe des Datenexporteurs), wenn es:
      • ein rechtsverbindliches Ersuchen einer Behörde, einschließlich Justizbehörden, nach dem Recht des Bestimmungslandes um die Offenlegung personenbezogener Daten, die gemäß diesen Klauseln übermittelt wurden, erhält; eine solche Benachrichtigung muss Informationen über die angeforderten personenbezogenen Daten, die ersuchende Behörde, die Rechtsgrundlage für das Ersuchen und die erteilte Antwort enthalten; oder
      • von einem direkten Zugriff von Behörden auf personenbezogene Daten, die gemäß diesen Klauseln in Übereinstimmung mit den Gesetzen des Bestimmungslandes übertragen werden, Kenntnis erlangt; eine solche Mitteilung muss alle dem Importeur zur Verfügung stehenden Informationen enthalten.
    • Wenn es dem Datenimporteur nach den Gesetzen des Bestimmungslandes verboten ist, den Datenexporteur und/oder die betroffene Person zu benachrichtigen, erklärt sich der Datenimporteur bereit,  sich nach besten Kräften zu bemühen, eine Befreiung von diesem Verbot zu erwirken, um so schnell wie möglich so viele Informationen wie möglich zu übermitteln. Der Datenimporteur erklärt sich bereit, seine besten Bemühungen zu dokumentieren, damit er sie auf Anfrage des Datenexporteurs nachweisen kann.
    • Soweit nach den Gesetzen des Bestimmungslandes zulässig, verpflichtet sich der Datenimporteur, dem Datenexporteur während der Laufzeit des Vertrages in regelmäßigen Abständen so viele relevante Informationen wie möglich über die eingegangenen Anfragen zu übermitteln; wie möglich über die eingegangenen Anfragen (insbesondere Anzahl der Anfragen, Art der angeforderten Daten, anfragende Behörde(n), ob Anfragen angefochten wurden und das Ergebnis dieser Anfechtungen, etc. ).
    • Der Datenimporteur verpflichtet sich, die Informationen gemäß den Absätzen (a) bis (b) und (c) für die Dauer des Vertrags aufzubewahren und sie der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.
    • Die Absätze (a) bis (b) lassen die Verpflichtung des Datenimporteurs gemäß Klausel 14 (e) und Klausel 16 unberührt, den Datenexporteur unverzüglich zu informieren, wenn er nicht in der Lage ist, diese Klauseln einzuhalten.

  • Überprüfung der Rechtmäßigkeit und Datensparsamkeit

    • Der Datenimporteur verpflichtet sich, die Rechtmäßigkeit des Ersuchens um Offenlegung zu überprüfen, insbesondere, ob es im Rahmen der Befugnisse bleibt, die der ersuchenden Behörde eingeräumt wurden, und das Ersuchen anzufechten wenn er nach sorgfältiger Prüfung  zu dem Schluss kommt, dass es vernünftige Gründe für die Annahme gibt, dass das Ersuchen nach dem Recht des Bestimmungslandes, den geltenden völkerrechtlichen Verpflichtungen und den Grundsätzen der internationalen Komitologie rechtswidrig ist. Der Datenimporteur muss unter den gleichen Bedingungen die Möglichkeiten der Anfechtung nutzen. Bei der Anfechtung eines Antrags beantragt der Datenimporteur einstweilige Maßnahmen mit dem Ziel, die Wirkungen des Antrags auszusetzen, bis die zuständige Justizbehörde über die Begründetheit des Antrags entschieden hat. Er darf die angeforderten personenbezogenen Daten erst dann offenlegen, wenn er dazu gemäß den geltenden Verfahrensregeln verpflichtet ist. Diese Anforderungen gelten unbeschadet der Verpflichtungen des Datenimporteurs gemäß Klausel 14(e).
    • Der Datenimporteur verpflichtet sich, seine rechtliche Beurteilung und jede Anfechtung des Antrags auf Offenlegung zu dokumentieren und, soweit nach den Gesetzen des Bestimmungslandes zulässig, die Dokumentation dem Datenexporteur zur Verfügung zu stellen. Sie stellt sie auch der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung.
    • Der Datenimporteur erklärt sich damit einverstanden, bei der Beantwortung einer Anfrage auf der Grundlage einer angemessenen Auslegung der Anfrage das zulässige Mindestmaß an Informationen zur Verfügung zu stellen.

Klausel 16

Nichteinhaltung der Klauseln und Kündigung

• Der Datenimporteur informiert den Datenexporteur unverzüglich, wenn er aus irgendeinem Grund nicht in der Lage ist, diese Klauseln einzuhalten.
• In dem Fall, dass der Datenimporteur gegen diese Klauseln verstößt oder nicht in der Lage ist, diese Klauseln einzuhalten, setzt der Datenexporteur die Übermittlung von personenbezogenen Daten an den Datenimporteur aus, bis die Einhaltung wieder gewährleistet ist oder der Vertrag gekündigt wird. Dies gilt unbeschadet von Klausel 14(f)
• Der Datenexporteur ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung von personenbezogenen Daten gemäß diesen Klauseln betrifft, wenn:
  • Der Datenimporteur informiert den Datenexporteur unverzüglich, wenn er aus irgendeinem Grund nicht in der Lage ist, diese Klauseln einzuhalten.
  • In dem Fall, dass der Datenimporteur gegen diese Klauseln verstößt oder nicht in der Lage ist, diese Klauseln einzuhalten, setzt der Datenexporteur die Übermittlung von personenbezogenen Daten an den Datenimporteur aus, bis die Einhaltung wieder gewährleistet ist oder der Vertrag gekündigt wird. Dies gilt unbeschadet von Klausel 14(f)
  • Der Datenexporteur ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung von personenbezogenen Daten gemäß diesen Klauseln betrifft, wenn:
• In diesen Fällen informiert er die zuständige Aufsichtsbehörde über diese Nichteinhaltung. Sind an dem Vertrag mehr als zwei Parteien beteiligt, kann der Datenexporteur dieses Recht auf Kündigung nur in Bezug auf die betreffende Partei ausüben, sofern die Parteien nichts anderes vereinbart haben.
• Personenbezogene Daten, die vor der Beendigung des Vertrages gemäß Absatz Kopie; übertragen wurden, sind nach Wahl des Datenexporteurs unverzüglich an den Datenexporteur zurückzugeben oder in vollem Umfang zu löschen. Das Gleiche gilt für alle Kopien der Daten. Der Datenimporteur muss dem Datenexporteur die Löschung der Daten bescheinigen. Bis zur Löschung oder Rückgabe der Daten muss der Datenimporteur weiterhin die Einhaltung dieser Klauseln sicherstellen. Im Fall von lokalen Gesetzen, die auf den Datenimporteur anwendbar sind und die die Rückgabe oder Löschung der übermittelten personenbezogenen Daten verbieten, garantiert der Datenimporteur, dass er weiterhin die Einhaltung dieser Klauseln gewährleisten wird und die Daten nur in dem Umfang und so lange verarbeiten wird, wie nach diesem lokalen Gesetz erforderlich.
• Jede Partei kann ihr Einverständnis, an diese Klauseln gebunden zu sein, widerrufen, wenn (i) die Europäische Kommission einen Beschluss gemäß Artikel 45 Absatz 3 der Verordnung (EU) 2016/679 erlässt, der die Übermittlung von personenbezogenen Daten betrifft; personenbezogener Daten abdeckt, für die diese Klauseln gelten; oder (ii) die Verordnung (EU) 2016/679 wird Teil des rechtlichen Rahmens des Landes, in das die personenbezogenen Daten übertragen werden. Dies gilt unbeschadet anderer Verpflichtungen, die für die betreffende Verarbeitung gemäß der Verordnung (EU) 2016/679 gelten.

Klausel 17

Geltendes Recht

Diese Klauseln unterliegen dem Recht  eines EU -Mitgliedstaaten, sofern diese Gesetze Drittbegünstigungsrechte zulassen. Die Parteien vereinbaren, dass dies das Recht von Irland ist.

Klausel 18

Wahl des Gerichtsstands und der Zuständigkeit

• Für alle Streitigkeiten, die sich aus diesen Klauseln ergeben, sind die Gerichte eines EU-Mitgliedstaats zuständig
• Die Parteien vereinbaren, dass dies die Gerichte von Irland sind.
• Eine betroffene Person kann auch vor den Gerichten des Mitgliedstaats, in dem sie ihren gewöhnlichen Aufenthalt hat, Klage gegen den Datenexporteur und/oder Datenimporteur erheben.
• Die Parteien vereinbaren , sich der Gerichtsbarkeit dieser Gerichte zu unterwerfen

Anhang I

A. Liste der Beteiligten

DATENEXPORTEUR (KUNDE)

DATENIMPORTEUR (TAXDOME)

FIRMENNAME

TaxDome, GmbH

ANSCHRIFT

1178 Broadway, New York, NY 10001

NAME DER ANSPRECHPERSON,
POSITION UND KONTAKTDATEN

Victor Radzinsky, CEO
dpo@taxdome.com

UNTERSCHRIFT UND DATUM:

ROLLE:

Regler

Prozessor

Aktivitäten, die für die gemäß diesen Klauseln übermittelten Daten relevant sind: Siehe Anhang I.B

Anhang II