Auftragsverarbeitungsvertrag

Bei der Erbringung der Dienste im Rahmen der Vereinbarung kann Olostep Kundendaten verarbeiten, die als „personenbezogene Daten“, „personenbezogene Informationen“, „persönlich identifizierbare Informationen“ oder ein vergleichbares Konzept nach geltendem Recht gelten („Personenbezogene Kundendaten“). Beide Parteien verpflichten sich, diesen AVV zusammen mit allen für die Verarbeitung personenbezogener Kundendaten im Rahmen der Vereinbarung geltenden Datenschutzgesetzen einzuhalten – einschließlich, soweit relevant, der Gesetze der Europäischen Union, des Europäischen Wirtschaftsraums und seiner Mitgliedstaaten, der Schweiz, des Vereinigten Königreichs und der Vereinigten Staaten (darunter der California Consumer Privacy Act, der „CCPA“) (zusammen „Datenschutzgesetze“).

Eine Beschreibung der Verarbeitung – ihr Gegenstand, ihre Art und ihr Zweck, die Arten der betroffenen personenbezogenen Kundendaten und die Kategorien der „betroffenen Personen“ (im Sinne des geltenden Datenschutzrechts) – findet sich in Anhang I, der integraler Bestandteil dieses AVV ist.

Für die Zwecke dieses AVV handelt der Kunde als „Verantwortlicher“ oder „Unternehmen“ (im Sinne des jeweils geltenden Datenschutzrechts) und beauftragt Olostep, in seinem Namen als „Auftragsverarbeiter“ oder „Dienstleister“ (im Sinne des jeweils geltenden Datenschutzrechts) zu handeln. Der Kunde bleibt dafür verantwortlich, die Pflichten zu erfüllen, die das Datenschutzrecht Verantwortlichen und Unternehmen auferlegt. Verarbeitet der Kunde selbst Daten im Auftrag eines anderen Verantwortlichen (ein „Dritter Verantwortlicher“), so (i) fungiert der Kunde als alleiniger Ansprechpartner für Olostep, (ii) ist er dafür verantwortlich, alle von diesem Dritten Verantwortlichen erforderlichen Genehmigungen einzuholen, und (iii) erklärt er sich damit einverstanden, alle Anweisungen zu erteilen und alle Rechte im Rahmen dieses AVV im Namen dieses Dritten Verantwortlichen auszuüben.

Olostep wird angemessene technische und organisatorische Schutzmaßnahmen aufrechterhalten, die ein den Risiken der Verarbeitung personenbezogener Kundendaten angemessenes Sicherheitsniveau gewährleisten, im Einklang mit (a) den in Anhang II beschriebenen Maßnahmen und (b) SOC 2, ISO 27001, NIST 800-53 oder einem im Wesentlichen gleichwertigen Rahmenwerk während der gesamten Vertragslaufzeit.

Wird Olostep sich eines tatsächlichen – oder mit angemessenem Grund vermuteten – unbefugten Zugriffs auf oder einer sonstigen unbefugten Verarbeitung personenbezogener Kundendaten bewusst (ein „Sicherheitsvorfall“), wird Olostep den Kunden unverzüglich, in jedem Fall jedoch innerhalb von 72 Stunden, informieren. Sollte die Benachrichtigung länger dauern, wird Olostep die Gründe für die Verzögerung zusammen mit der Mitteilung erläutern.

Bei der Reaktion auf einen Sicherheitsvorfall wird Olostep angemessene Schritte unternehmen, um (i) den Vorfall einzudämmen und die Wahrscheinlichkeit seines erneuten Auftretens zu verringern, (ii) dem Kunden die relevanten, Olostep bekannten Informationen über den Vorfall mitzuteilen, und (iii) sonstige wirtschaftlich angemessene Unterstützung anzubieten, damit der Kunde seinen eigenen Verpflichtungen nach geltendem Datenschutzrecht nachkommen kann.

Olostep wird Schwachstellenscans gegen die Software-as-a-Service-Plattform durchführen, die es zur Erbringung der Dienste nutzt.

Olostep wird personenbezogene Kundendaten mit starken, branchenüblichen Techniken und aktuellen Sicherheitsprotokollen verschlüsseln.

Der Kunde erteilt Olostep die allgemeine Genehmigung, Auftragsverarbeiter Dritter einzusetzen, die personenbezogene Kundendaten im Auftrag von Olostep verarbeiten (jeweils ein „Unterauftragsverarbeiter“). Die aktuellen Unterauftragsverarbeiter von Olostep sind in Anhang III.

Olostep wird mit jedem Unterauftragsverarbeiter einen schriftlichen Vertrag schließen, der den Unterauftragsverarbeiter an Datenschutzpflichten bindet, die inhaltlich nicht weniger schützend sind als die von Olostep im Rahmen dieses AVV übernommenen.

Vor jeder geplanten Änderung seiner Unterauftragsverarbeiter wird Olostep den Kunden im Voraus benachrichtigen. Der Kunde kann einem neuen Unterauftragsverarbeiter aus vertretbaren Gründen widersprechen – insbesondere, dass die Bestellung des Unterauftragsverarbeiters einen wesentlichen Verstoß gegen das Datenschutzrecht verursachen würde – indem er innerhalb von dreißig (30) Tagen nach der Benachrichtigung durch Olostep eine schriftliche Mitteilung mit Begründung dieser Gründe übermittelt. Die Parteien werden dann in gutem Glauben zusammenarbeiten, um den Widerspruch zu klären. Entscheidet sich Olostep dennoch dafür, mit dem neuen Unterauftragsverarbeiter fortzufahren, wird es den Kunden mindestens dreißig (30) Tage bevor es diesem Unterauftragsverarbeiter gestattet, personenbezogene Kundendaten zu verarbeiten, informieren, und beide Parteien können die betroffenen Teile der Dienste sofort einstellen oder die Nutzung dieser Teile beenden und diese Teile der Dienste innerhalb von dreißig (30) Tagen kündigen.

Für jede Übermittlung personenbezogener Kundendaten, die dem europäischen Datenschutzrecht unterliegt, an ein Bestimmungsland, das nicht von einem Angemessenheitsbeschluss der Europäischen Kommission erfasst ist (eine „internationale Datenübermittlung“), wird Olostep zunächst die spezifische schriftliche Genehmigung des Kunden einholen. Der Kunde genehmigt hiermit Olostep, internationale Datenübermittlungen außerhalb des EWR oder der Schweiz durchzuführen:

Kunde und Olostep schließen hiermit Modul 2 (Verantwortlicher-zu-Auftragsverarbeiter) der SCC ab – und, sofern der Kunde als Auftragsverarbeiter für einen Dritten Verantwortlichen handelt, Modul 3 (Auftragsverarbeiter-zu-Unterauftragsverarbeiter) –, die durch Verweis einbezogen und wie folgt vervollständigt werden: Der Kunde ist der „Datenexporteur“ und Olostep der „Datenimporteur“; die optionale Docking-Klausel in Klausel 7 gilt; Option 1 der Klausel 9(a) gilt, mit der in Abschnitt 6.3 genannten Ankündigungsfrist; die optionale Rechtsbehelfsklausel in Klausel 11(a) wird gestrichen; Option 1 in Klausel 17 gilt, und es gilt irisches Recht; die in Klausel 18(b) genannten Gerichte sind die Gerichte Irlands; und die Anhänge I und II der SCC entsprechen den Anhängen I, II und III dieses AVV. Für internationale Datenübermittlungen mit Ursprung in der Schweiz können in der Schweiz gewöhnlich ansässige betroffene Personen Ansprüche im Rahmen der SCC vor den Schweizer Gerichten geltend machen.

Der Kunde genehmigt Olostep, internationale Datenübermittlungen außerhalb des Vereinigten Königreichs durchzuführen, sofern die Übermittlung:

Die Parteien schließen außerdem den UK-Nachtrag ab, der durch Verweis einbezogen wird und internationale Datenübermittlungen aus dem Vereinigten Königreich regelt. Teil 1 des UK-Nachtrags wird wie folgt vervollständigt: (i) in Tabelle 1 ist der Kunde der „Exporteur“ und Olostep der „Importeur“, mit den in diesem AVV und der Vereinbarung angegebenen Details; (ii) in Tabelle 2 ist die erste Option ausgewählt, und die „genehmigten EU-SCC“ sind die in Abschnitt 9.2beschriebenen SCC; (iii) in Tabelle 3 entsprechen die Anhänge 1 (A und B), II und III der „genehmigten EU-SCC“ Anhang I, II und III dieses AVV; und (iv) in Tabelle 4 kann entweder der „Importeur“ oder der „Exporteur“ den UK-Nachtrag beenden.

Datenexporteur: