Diese Seite übersetzen: Datenverarbeitungsvereinbarung Gültig ab: 8. Januar 2020 Good Grants, „uns“, „wir“ oder „unser“ bezieht sich auf Creative Force Ltd, Good Grants Pty Ltd und alle unsere verbundenen Unternehmen. Diese Datenverarbeitungsvereinbarung („DPA“) ist Bestandteil des Software-as-a-Service-Vertrags („Hauptvertrag“) zwischen der Klient-Einheit, die Partei des Hauptvertrags ist („Klient“ oder „Sie“), und Good Grants (der „Datenverarbeiter“), zusammen als die „Parteien“. IN ANBETRACHT DESSEN Der Klient fungiert als Datenverantwortlicher. Der Klient wünscht bestimmte Dienstleistungen, die die Verarbeitung personenbezogener Daten beinhalten, an den Datenverarbeiter zu vergeben. Die Parteien sind bestrebt, eine Datenverarbeitungsvereinbarung zu treffen, die den Anforderungen des aktuellen Rechtsrahmens in Bezug auf die Datenverarbeitung und der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr entspricht und die Richtlinie 95/46/EG (General Data Protection Regulation) aufhebt. Die Parteien wünschen, ihre Rechte und Pflichten festzulegen. ES WIRD FOLGENDES VEREINBART: 1. Definitionen und Auslegung Sofern hierin nicht anders definiert, haben die in dieser Vereinbarung verwendeten Begriffe und Ausdrücke mit großgeschriebenem Anfangsbuchstaben die folgende Bedeutung: „Vereinbarung“ bezeichnet diese Datenverarbeitungsvereinbarung und alle Anhänge; „Klientenbezogene personenbezogene Daten“ bezeichnet alle personenbezogenen Daten, die von einem Vertragsverarbeiter im Auftrag des Klienten gemäß oder in Verbindung mit dem Hauptvertrag verarbeitet werden; „Vertragsverarbeiter“ bezeichnet einen Unterauftragsverarbeiter; „Datenschutzgesetze“ bezeichnet EU-Datenschutzgesetze und, soweit anwendbar, die Datenschutz- oder Privatsphärengesetze jedes anderen Landes; „EWR“ bezeichnet den Europäischen Wirtschaftsraum; „EU-Datenschutzgesetze“ bezeichnet die EU-Richtlinie 95/46/EG, in der jeweils geltenden Fassung, die in die nationale Gesetzgebung jedes Mitgliedstaats umgesetzt wurde und von Zeit zu Zeit geändert, ersetzt oder aufgehoben wird, einschließlich der GDPR und Gesetze zur Umsetzung oder Ergänzung der GDPR; „GDPR“ bezeichnet die EU General Data Protection Regulation 2016/679; „Datenübertragung“ bezeichnet: eine Übertragung von Klientenbezogenen personenbezogenen Daten vom Klienten an einen Vertragsverarbeiter; oder eine Weiterübertragung von Klientenbezogenen personenbezogenen Daten von einem Vertragsverarbeiter an einen Unterauftragsverarbeiter oder zwischen zwei Niederlassungen eines Vertragsverarbeiters, in jedem Fall, in dem eine solche Übertragung durch Datenschutzgesetze (oder durch die Bedingungen von Datenübertragungsvereinbarungen, die zur Behebung der Datenübertragungsbeschränkungen der Datenschutzgesetze getroffen wurden) verboten wäre; „Dienstleistungen“ bezeichnet die Dienstleistungen und andere Aktivitäten, die dem Klienten gemäß dem Hauptvertrag von oder im Namen des Verarbeiters zu erbringen oder auszuführen sind. „Unterauftragsverarbeiter“ bezeichnet jede Person, die vom Verarbeiter oder in seinem Namen beauftragt wird, personenbezogene Daten im Auftrag des Klienten im Zusammenhang mit der Vereinbarung zu verarbeiten. Die Begriffe „Kommission“, „Verantwortlicher“, „Betroffene(r) Subjekt“, „Mitglied staat“, „Personenbezogene Daten“, „Personenbezogene Daten Verletzung“, „Verarbeitung“ und „Aufsichts behörde“ haben die gleiche Bedeutung wie in der GDPR, und ihre verwandten Begriffe sind entsprechend auszulegen. 2. Verarbeitung von Klientenbezogenen personenbezogenen Daten Der Verarbeiter muss: alle anwendbaren Datenschutzgesetze bei der Verarbeitung von Klientenbezogenen personenbezogenen Daten einhalten; und Klientenbezogene personenbezogene Daten nur gemäß den dokumentierten Anweisungen des jeweiligen Klienten verarbeiten. Der Klient weist den Verarbeiter an, Klientenbezogene personenbezogene Daten zu verarbeiten. 3. Personal des Verarbeiters Der Verarbeiter muss angemessene Maßnahmen ergreifen, um die Zuverlässigkeit jedes Mitarbeiters, Vertreters oder Auftragnehmers eines Vertragsverarbeiters sicherzustellen, der möglicherweise Zugriff auf die Klientenbezogenen personenbezogenen Daten hat, und dabei in jedem Fall sicherstellen, dass der Zugriff streng auf diejenigen Personen beschränkt ist, die die relevanten Klientenbezogenen personenbezogenen Daten kennen/benötigen, soweit dies für die Zwecke des Hauptvertrags unbedingt erforderlich ist, und die anwendbaren Gesetze im Zusammenhang mit den Pflichten dieser Person gegenüber dem Vertragsverarbeiter einhalten, wobei sichergestellt wird, dass alle diese Personen Vertraulichkeitsverpflichtungen oder berufsständischen oder gesetzlichen Geheimhaltungspflichten unterliegen. 4. Sicherheit Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie des Risikos unterschiedlicher Wahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen muss der Verarbeiter in Bezug auf die Klientenbezogenen personenbezogenen Daten geeignete technische und organisatorische Maßnahmen ergreifen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, einschließlich gegebenenfalls der in Artikel 32 Absatz 1 der GDPR genannten Maßnahmen. Bei der Bewertung des angemessenen Sicherheitsniveaus muss der Verarbeiter insbesondere die Risiken berücksichtigen, die sich aus der Verarbeitung ergeben, insbesondere aus einer Verletzung des Schutzes personenbezogener Daten. 5. Unterverarbeitung Der Verarbeiter darf keinen Unterauftragsverarbeiter ernennen (oder Klientenbezogene personenbezogene Daten an diesen weitergeben), es sei denn, dies ist vom Klienten gefordert oder genehmigt. 6. Rechte der betroffenen Person Unter Berücksichtigung der Art der Verarbeitung muss der Verarbeiter den Klienten unterstützen, indem er geeignete technische und organisatorische Maßnahmen ergreift, soweit dies möglich ist, um die Verpflichtungen des Klienten, wie vom Klienten vernünftigerweise verstanden, zu erfüllen, um auf Anfragen zur Ausübung der Rechte der betroffenen Person gemäß den Datenschutzgesetzen zu reagieren. Der Verarbeiter muss: den Klienten unverzüglich benachrichtigen, wenn er eine Anfrage von einer betroffenen Person gemäß einem Datenschutzgesetz in Bezug auf Klientenbezogene personenbezogene Daten erhält; und sicherstellen, dass er auf diese Anfrage nur auf dokumentierte Anweisung des Klienten oder gemäß den anwendbaren Gesetzen antwortet, denen der Verarbeiter unterliegt, in welchem Fall der Verarbeiter den Klienten, soweit dies nach den anwendbaren Gesetzen zulässig ist, über diese gesetzliche Anforderung informieren muss, bevor der Vertragsverarbeiter auf die Anfrage antwortet. 7. Verletzung des Schutzes personenbezogener Daten Der Verarbeiter muss den Klienten unverzüglich benachrichtigen, sobald der Verarbeiter Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erhält, die Klientenbezogene personenbezogene Daten betrifft, und dem Klienten ausreichende Informationen zur Verfügung stellen, damit der Klient alle Verpflichtungen zur Meldung oder Information der betroffenen Personen über die Verletzung des Schutzes personenbezogener Daten gemäß den Datenschutzgesetzen erfüllen kann. Der Verarbeiter muss mit dem Klienten zusammenarbeiten und angemessene kommerzielle Maßnahmen ergreifen, die vom Klienten angeordnet werden, um bei der Untersuchung, Minderung und Behebung jeder solchen Verletzung des Schutzes personenbezogener Daten zu helfen. 8. Datenschutz-Folgenabschätzung und vorherige Konsultation Der Verarbeiter muss dem Klienten angemessene Unterstützung bei allen Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden oder anderen zuständigen Datenschutzbehörden leisten, die der Klient vernünftigerweise gemäß Artikel 35 oder 36 der GDPR oder gleichwertigen Bestimmungen anderer Datenschutzgesetze für erforderlich hält, jeweils ausschließlich in Bezug auf die Verarbeitung von Klientenbezogenen personenbezogenen Daten durch die Vertragsverarbeiter und unter Berücksichtigung der Art der Verarbeitung und der den Vertragsverarbeitern zur Verfügung stehenden Informationen. 9. Löschung oder Rückgabe von Klientenbezogenen personenbezogenen Daten Vorbehaltlich dieses Abschnitts 9 muss der Verarbeiter unverzüglich und in jedem Fall innerhalb von 10 Werktagen nach dem Datum der Einstellung von Dienstleistungen, die die Verarbeitung von Klientenbezogenen personenbezogenen Daten beinhalten (das „Einstellungsdatum“), alle Kopien dieser Klientenbezogenen personenbezogenen Daten löschen und die Löschung aller Kopien dieser Klientenbezogenen personenbezogenen Daten veranlassen. Der Verarbeiter muss dem Klienten innerhalb von 10 Werktagen nach dem Einstellungsdatum eine schriftliche Bestätigung darüber vorlegen, dass er diesen Abschnitt 9 vollständig eingehalten hat. 10. Prüfrechte Vorbehaltlich dieses Abschnitts 10 muss der Verarbeiter dem Klienten auf Anfrage alle Informationen zur Verfügung stellen, die erforderlich sind, um die Einhaltung dieser Vereinbarung nachzuweisen, und Prüfungen, einschließlich Inspektionen, durch den Klienten oder einen vom Klienten beauftragten Prüfer in Bezug auf die Verarbeitung der Klientenbezogenen personenbezogenen Daten durch die Vertragsverarbeiter ermöglichen und dazu beitragen. Informations- und Prüfrechte des Klienten entstehen nur gemäß Abschnitt 10.1, soweit die Vereinbarung ihnen nicht anderweitig Informations- und Prüfrechte einräumt, die die relevanten Anforderungen des Datenschutzgesetzes erfüllen. 11. Datenübertragung Der Verarbeiter darf Daten ohne die vorherige schriftliche Zustimmung des Klienten nicht in Länder außerhalb der EU und/oder des Europäischen Wirtschaftsraums (EWR) übertragen oder die Übertragung von Daten in solche Länder genehmigen. Wenn personenbezogene Daten, die im Rahmen dieser Vereinbarung verarbeitet werden, aus einem Land innerhalb des Europäischen Wirtschaftsraums in ein Land außerhalb des Europäischen Wirtschaftsraums übertragen werden, stellen die Parteien sicher, dass die personenbezogenen Daten angemessen geschützt sind. Um dies zu erreichen, stützen sich die Parteien, sofern nichts anderes vereinbart wurde, auf von der EU genehmigte Standardvertragsklauseln für die Übertragung personenbezogener Daten. 12. Allgemeine Bestimmungen Vertraulichkeit. Jede Partei muss diese Vereinbarung und Informationen, die sie über die andere Partei und deren Geschäft im Zusammenhang mit dieser Vereinbarung erhält („vertrauliche Informationen“), vertraulich behandeln und darf diese vertraulichen Informationen ohne die vorherige schriftliche Zustimmung der anderen Partei weder verwenden noch offenlegen, es sei denn, dass: (a) die Offenlegung gesetzlich vorgeschrieben ist; (b) die relevanten Informationen bereits öffentlich zugänglich sind. Mitteilungen. Alle Mitteilungen und Kommunikationen, die im Rahmen dieser Vereinbarung erfolgen, müssen schriftlich erfolgen und persönlich zugestellt, per Post oder per E-Mail an die im Kopf dieser Vereinbarung angegebene Adresse oder E-Mail-Adresse oder an eine andere Adresse gesendet werden, die von Zeit zu Zeit von den Parteien unter Angabe einer Adressänderung mitgeteilt wird. 13. Geltendes Recht und Gerichtsstand Diese Vereinbarung unterliegt den Gesetzen von Malta. Alle Streitigkeiten, die im Zusammenhang mit dieser Vereinbarung entstehen und die die Parteien nicht gütlich beilegen können, werden der ausschließlichen Zuständigkeit der Gerichte von Malta unterworfen.