Corsearch-Datenschutzvereinbarung

Corsearch B.V., eine in den Niederlanden bei KVK 54875625 eingetragene Gesellschaft mit beschränkter Haftung, Naritaweg 116, 1043 CA Amsterdam, Niederlande ("Corsearch"); und ("Kunde").

Diese Datenschutzvereinbarung ("DPA") ist Teil des Corsearch-Rahmenvertrags für Dienstleistungen oder einer anderen schriftlichen Vereinbarung zwischen Corsearch und dem Kunden (die "Vereinbarung").

1. Begriffsbestimmungen

Die folgenden Wörter haben, wenn sie mit einem Großbuchstaben erscheinen, die unten angegebene Bedeutung. Alle in Großbuchstaben geschriebenen Begriffe, die hier nicht definiert sind, haben die in der Vereinbarung festgelegte Bedeutung.

"Personenbezogene Daten des Kunden" sind alle personenbezogenen Daten, wie in Anhang A beschrieben, die für oder im Namen des Kunden im Rahmen oder in Verbindung mit dem Vertrag verarbeitet werden, einschließlich der Erbringung der Dienstleistungen, jedoch mit Ausnahme von Nutzerdaten.

"Datenverletzung" bedeutet jede versehentliche oder unrechtmäßige Zerstörung, jeder Verlust, jede Änderung, jeder Kontrollverlust, jede unbefugte Offenlegung von oder jeder Zugriff auf die persönlichen Daten des Kunden, von denen Corsearch oder ein Unterauftragsverarbeiter während der Vertragslaufzeit Kenntnis erlangt, es sei denn, eine solche Verletzung wird vom Kunden oder einem Nutzer verursacht.

"Datenschutzgesetze" bezeichnet alle anwendbaren Gesetze und Vorschriften in Bezug auf den Datenschutz, die auf die Verarbeitung personenbezogener Kundendaten im Rahmen der Vereinbarung anwendbar sind, einschließlich, aber nicht beschränkt auf die EU-Datenschutzgrundverordnung 2016/679 ("GDPR"), die GDPR in der vom Vereinigten Königreich erlassenen Fassung ("UK GDPR"), das kalifornische Verbraucherschutzgesetz von 2018 ("CCPA"), einschließlich der durch das kalifornische Datenschutzgesetz von 2020 und seine Durchführungsbestimmungen ("CPRA") geänderten Fassung, und das Gesetz zum Schutz personenbezogener Daten der Volksrepublik China ("PIPL"), jeweils in der geltenden Fassung und in der von Zeit zu Zeit aktualisierten, geänderten oder ersetzten Fassung.

"Internationale Übermittlung" bedeutet eine Übermittlung personenbezogener Kundendaten zwischen den Parteien aus dem Europäischen Wirtschaftsraum ("EWR"), dem Vereinigten Königreich und/oder der Schweiz in ein Drittland, das nach den Datenschutzgesetzen keinen angemessenen Schutz für personenbezogene Kundendaten bietet.

"Datenschutzanfrage" bedeutet in Bezug auf die personenbezogenen Daten des Kunden: (i) eine validierte Anfrage einer betroffenen Person zur Ausübung ihrer Rechte gemäß den Datenschutzgesetzen; oder (ii) eine Beschwerde, Mitteilung oder sonstige Mitteilung einer betroffenen Person oder einer Aufsichtsbehörde, einer Regierungsbehörde oder eines Gerichts;

"SCC" bezeichnet die Vertragsklauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Europäischen Kommission vom 4. Juni 2021 in der von der Europäischen Kommission angenommenen, geänderten oder ersetzten Fassung und/oder den Zusatz des Vereinigten Königreichs zu den Standardvertragsklauseln der Europäischen Kommission für internationale Datenübermittlungen in der vom Information Commissioner's Office, dem Parlament oder dem Staatssekretär des Vereinigten Königreichs (je nach Fall) angenommenen, geänderten oder aktualisierten Fassung.

"Unterauftragsverarbeiter" bezeichnet jeden Dritten, der von Corsearch mit der Durchführung von Verarbeitungstätigkeiten in Bezug auf die personenbezogenen Daten des Kunden beauftragt wird.

"Nutzerdaten" bezeichnet die personenbezogenen Daten der Nutzer, die von Corsearch für eigene Zwecke verarbeitet werden, einschließlich: (a) Bereitstellung und Gewährleistung der Sicherheit der Dienste; (b) Gewährung des Zugriffs des Kunden und seiner Nutzer auf die personenbezogenen Daten des Kunden; und (c) Verarbeitung von Kontoinformationen und Rechnungsstellung; und (d) Kommunikation mit dem Kunden, um seinen Verpflichtungen aus dem Vertrag nachzukommen.

"Angemessenheitsbeschluss", "für die Verarbeitung Verantwortlicher", "betroffene Person", "Verarbeitung" (und alle anderen Ableitungen davon), "Auftragsverarbeiter", "Drittland", "Unternehmen", "Verbraucher", "personenbezogene Daten", "verkaufen", "weitergeben", "sensible personenbezogene Daten", "Diensteanbieter" und "Aufsichtsbehörde" haben jeweils die in den Datenschutzgesetzen festgelegte Bedeutung.

2. Allgemeine Begriffe

2.1. Rollen. In Bezug auf die Verarbeitung personenbezogener Kundendaten durch jede Partei vereinbaren die Parteien, dass der Kunde als Verantwortlicher und Corsearch als Auftragsverarbeiter fungiert, wobei die Parteien jedoch anerkennen und vereinbaren, dass Corsearch in Bezug auf die Verarbeitung von Nutzerdaten als eigenständiger Verantwortlicher auftritt.

2.2 Einhaltung der Gesetze. Bei der Verarbeitung von personenbezogenen Kundendaten hält jede Partei die Datenschutzgesetze ein, denen diese personenbezogenen Kundendaten unterliegen, solange sie sich in ihrer Kontrolle befinden.

2.3 Pflichten des Kunden. Der Kunde verpflichtet sich für die Dauer der Verarbeitung der personenbezogenen Kundendaten:

2.3.1 die Zwecke und Mittel der Verarbeitung personenbezogener Kundendaten festzulegen;
2.3.2 sicherzustellen, dass seine Anweisungen an Corsearch zur Verarbeitung personenbezogener Kundendaten rechtmäßig sind und bleiben;
2.3.3 berechtigt zu sein, die Nutzerdaten an Corsearch zu übermitteln; und
2.3.4 keine sensiblen personenbezogenen Daten an Corsearch weiterzugeben.

3. Einzelheiten der Verarbeitung

3.1 In Anhang A sind die Zwecke und die Dauer der Verarbeitung, die Arten der personenbezogenen Daten, die Kategorien der betroffenen Personen und die Art der Verarbeitung aufgeführt. Falls Anhang A zu irgendeinem Zeitpunkt während der Laufzeit aktualisiert werden muss, werden die Parteien nach Treu und Glauben zusammenarbeiten, um sich schriftlich auf einen aktualisierten Anhang A zu einigen.

3.2 Corsearch wird personenbezogene Kundendaten verarbeiten:

3.2.1 ausschließlich in dem Umfang und zu dem begrenzten Zweck, der zur Erfüllung seiner Verpflichtungen aus dem Vertrag erforderlich ist; und
3.2.2 in Übereinstimmung mit den rechtmäßigen, dokumentierten Anweisungen des Kunden, es sei denn, Corsearch ist anderweitig dazu verpflichtet, um datenschutzrechtliche Vorschriften einzuhalten; in diesem Fall wird Corsearch den Kunden über diese gesetzliche Verpflichtung in Kenntnis setzen, sofern dies nicht gesetzlich untersagt ist.

3.3 Corsearch wird den Kunden unverzüglich informieren, wenn nach vernünftiger Einschätzung eine Anweisung des Kunden im Zusammenhang mit der Verarbeitung personenbezogener Daten des Kunden gegen datenschutzrechtliche Vorschriften verstößt. In einem solchen Fall verstößt Corsearch nicht gegen den Vertrag und haftet in keiner Weise für die Nichtdurchführung dieser Verarbeitung.

4. Datensicherheit und Datenschutzverletzungen

4.1 Corsearch stellt sicher, dass alle Personen, die personenbezogene Daten des Kunden verarbeiten:

4.1.1 sich zur Vertraulichkeit verpflichtet haben oder anderweitig einer angemessenen gesetzlichen Vertraulichkeitspflicht unterliegen, die jeweils mindestens denselben Schutz für die personenbezogenen Daten des Kunden bietet wie der Vertrag und diese DPA;
4.1.2 nach wirtschaftlich angemessenen Bemühungen von Corsearch über ausreichende Fähigkeiten und Schulungen im Umgang mit personenbezogenen Daten des Kunden verfügen; und
4.1.3 die Datenschutzgesetze einhalten.

4.2 Corsearch wird unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung geeignete technische und organisatorische Maßnahmen umsetzen und aufrechterhalten, wie hierbeschrieben. Corsearch wird diese technischen und organisatorischen Maßnahmen von Zeit zu Zeit überprüfen und gegebenenfalls aktualisieren, sofern solche Aktualisierungen das allgemeine Sicherheitsniveau der personenbezogenen Daten des Kunden nicht wesentlich beeinträchtigen.

4.3 Im Falle einer Datenpanne wird Corsearch:

4.3.1. den Kunden unverzüglich (und in jedem Fall innerhalb von 72 Stunden) nach Bekanntwerden einer solchen Datenschutzverletzung zu benachrichtigen;
4.3.2. alle vernünftigerweise erforderlichen Informationen bereitzustellen, sofern diese nicht vollständig in Etappen verfügbar sind, und zwar ohne unnötige Verzögerung, einschließlich mindestens:

a. die Art der Datenschutzverletzung, einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze;
b. den Namen und die Kontaktdaten der Anlaufstelle für weitere Informationen;
c. die voraussichtlichen Folgen der Datenschutzverletzung;
d. eine Beschreibung der Maßnahmen, die zur Behebung der Datenschutzverletzung ergriffen wurden, einschließlich gegebenenfalls Maßnahmen zur Minderung ihrer möglichen nachteiligen Auswirkungen;

4.3.3. in angemessener Weise mit dem Kunden zusammenzuarbeiten und ihm Unterstützung zu leisten, um dessen Verpflichtungen gemäß den Datenschutzgesetzen nachzukommen;
4.3.4. angemessene Maßnahmen zu ergreifen, um die Ursache der Datenschutzverletzung zu beheben und deren Auswirkungen zu mindern; und
4.3.5. sofern dies nicht nach den einschlägigen Datenschutzgesetzen erforderlich ist, keine Dritten (einschließlich Aufsichtsbehörden oder betroffene Personen) über die Datenschutzverletzung zu informieren.

4.4 Der Kunde erklärt sich damit einverstanden, sich mit Corsearch nach Treu und Glauben über den Inhalt aller öffentlichen Erklärungen und/oder aller erforderlichen Mitteilungen an die betroffenen Personen und/oder die zuständigen Aufsichtsbehörden abzustimmen, die der Kunde in Bezug auf eine Datenschutzverletzung abgibt, sofern sich diese ausdrücklich auf Corsearch, die Mitarbeiter von Corsearch, einen Unterauftragsverarbeiter und/oder die Dienstleistungen bezieht.

5. Datenschutz-Anfragen

5.1 Wenn Corsearch eine Anfrage zum Datenschutz in Bezug auf personenbezogene Daten des Kunden erhält, wird Corsearch, soweit rechtlich zulässig, (i) den Kunden unverzüglich benachrichtigen, nachdem der Kunde als der für die Datenverarbeitung Verantwortliche identifiziert wurde; (ii) die Anfrage ablehnen und den Dritten anweisen, die Anfrage direkt an den Kunden zu richten, und (iii) dem Dritten die Kontaktinformationen des Kunden mitteilen, ohne auf die Anfrage zu reagieren.

5.2 Wenn Corsearch gezwungen ist, einer solchen Anfrage zum Datenschutz nachzukommen, wird Corsearch (soweit zutreffend) wirtschaftlich vertretbare Anstrengungen unternehmen, um sicherzustellen, dass die offengelegten Informationen verhältnismäßig sind und sich auf den Mindestumfang beschränken, der für die Erfüllung einer solchen Anfrage unbedingt erforderlich ist.

5.3 Unter Berücksichtigung der Art der Verarbeitung wird Corsearch in angemessener Weise mit dem Kunden zusammenarbeiten und ihn dabei unterstützen, auf eine Anfrage zum Datenschutz zu antworten oder diese zu erfüllen (je nach Sachlage).

6. Datenschutz-Folgenabschätzungen und vorherige Konsultationen

Unter Berücksichtigung der Art der Verarbeitung und der Informationen, die Corsearch zur Verfügung stehen, wird Corsearch den Kunden in angemessener Weise dabei unterstützen, seinen Verpflichtungen in Bezug auf die personenbezogenen Daten des Kunden nachzukommen, Datenschutz-Folgenabschätzungen durchzuführen und/oder sich mit den Aufsichtsbehörden gemäß den Datenschutzgesetzen zu beraten.

7. Unterauftragsverarbeiter

7.1 Der Kunde erteilt Corsearch hiermit eine allgemeine schriftliche Ermächtigung, alle Unterauftragsverarbeiter, die Corsearch für die Erbringung der Dienstleistungen für erforderlich hält, entweder direkt oder über ein verbundenes Unternehmen von Corsearch zu beauftragen, einschließlich aller Unterauftragsverarbeiter, die Corsearch zum Zeitpunkt des Vertragsbeginns bereits beauftragt hat. Die aktuellen Unterauftragsverarbeiter von Corsearch sind hier.

7.2 Corsearch wird jedem Unterauftragsverarbeiter Datenschutzverpflichtungen auferlegen, deren Schutzniveau nicht geringer ist als das in dieser DPA festgelegte.

7.3 Corsearch bleibt gegenüber dem Kunden für die Erfüllung der Verpflichtungen jedes Unterauftragsverarbeiters verantwortlich und haftbar.

7.4 Corsearch wird den Kunden mindestens 30 Tage im Voraus schriftlich über beabsichtigte Änderungen hinsichtlich der Hinzufügung oder des Austauschs von Unterauftragsverarbeitern informieren. Corsearch stellt dem Kunden über den oben genannten Link eine Möglichkeit zur Verfügung, sich für den Erhalt von Aktualisierungen der Liste der Unterauftragsverarbeiter anzumelden, wobei der Kunde diese Benachrichtigungen abonniert.

7.5 Der Kunde kann der Bestellung eines Unterauftragsverarbeiters widersprechen, wenn dieser Unterauftragsverarbeiter objektiv ein Risiko für die Sicherheit und den sicheren Umgang mit den personenbezogenen Daten des Kunden oder für die Fähigkeit des Kunden zur Einhaltung der Datenschutzgesetze verursacht hat oder wahrscheinlich verursachen wird. Andernfalls wird der Kunde keine unbegründeten Einwände gegen die Bestellung eines solchen neuen Unterauftragsverarbeiters erheben, und wenn der Kunde nicht schriftlich gemäß dieser Klausel Einwände gegen die Bestellung eines solchen neuen Unterauftragsverarbeiters erhebt, gilt diese Bestellung als vom Kunden genehmigt.

7.6 Wenn der Kunde innerhalb von zehn (10) Tagen nach Erhalt der Mitteilung schriftlich und in begründeter Weise bei Corsearch Einwände gegen die Beauftragung eines solchen neuen Unterauftragsverarbeiters erhebt, werden die Parteien in gutem Glauben zusammenarbeiten, um eine für beide Seiten akzeptable Lösung zur Behebung dieser Einwände zu finden, einschließlich, soweit möglich, der Fortsetzung der Erbringung der Dienstleistungen durch Corsearch ohne Einbeziehung eines solchen neuen Unterauftragsverarbeiters. Wenn die Parteien keine einvernehmliche Lösung erzielen und es Corsearch nach vernünftigem Ermessen nicht möglich ist, die Dienstleistungen ohne die Einbeziehung dieses neuen Unterauftragsverarbeiters weiterhin zu erbringen, hat jede Partei das Recht, den relevanten Teil der Dienstleistungen, auf den sich dieser neue Unterauftragsverarbeiter beziehen soll (falls dies nicht möglich ist, die Vereinbarung als Ganzes), nach schriftlicher Mitteilung an die andere Partei mit sofortiger Wirkung zu kündigen. Keine Bestimmung dieser Klausel entbindet den Kunden von seinen Zahlungsverpflichtungen für die von Corsearch erbrachten und vom Kunden bis zum Zeitpunkt der Kündigung gemäß dieser Vereinbarung in Anspruch genommenen Dienstleistungen.

8. Internationale Überweisungen

8.1 Corsearch ist berechtigt, personenbezogene Daten des Kunden an seine verbundenen Unternehmen und/oder Unterauftragsverarbeiter außerhalb des EWR zu übermitteln, soweit dies zur Erbringung der Dienstleistungen erforderlich ist, vorausgesetzt, dass diese Übermittlung (und jede anschließende Verarbeitung) im Einklang mit den Datenschutzgesetzen erfolgt.

8.2 Werden personenbezogene Kundendaten in ein Drittland übermittelt und stellt diese Übermittlung eine internationale Übermittlung im Sinne der Datenschutzgesetze dar, schließt Corsearch die entsprechenden Standardvertragsklauseln (SCCs) mit dem Kunden und jedem seiner verbundenen Unternehmen sowie Unterauftragsverarbeiter ab, soweit zutreffend. Die von den Parteien unterzeichneten SCCs, wie hier, sind Bestandteil dieser DPA und gelten durch diese DPA oder durch die Nutzung der Dienste. Sollten die von den Parteien herangezogenen Standardvertragsklauseln aktualisiert oder anderweitig ungültig werden, vereinbaren die Parteien, dass die neuen oder aktualisierten Standardvertragsklauseln, die durch die Datenschutzgesetze vorgeschrieben sind, zwischen den Parteien gelten, ohne dass eine Änderung dieser DPA erforderlich ist. Corsearch behält sich das Recht vor, solche Änderungen vorzunehmen, zu deren Umsetzung die Parteien gesetzlich verpflichtet sind, und zwar unter dem vorstehenden Link:

8.3 Im Falle eines Widerspruchs zwischen dieser DPA und den geltenden SCCs haben die Bestimmungen der geltenden SCCs Vorrang.

9. Aufbewahrung und Löschung von Daten

9.1 Nach Ablauf oder Beendigung des Vertrages, aus welchem Grund auch immer, kann Corsearch die personenbezogenen Daten des Kunden bis zu 30 Tage lang aufbewahren. Danach wird Corsearch die personenbezogenen Daten des Kunden unverzüglich löschen, es sei denn, die Aufbewahrung ist durch Datenschutzgesetze vorgeschrieben. Dies gilt nicht für Kopien personenbezogener Daten, die im Auftrag eines anderen Kunden von Corsearch verarbeitet wurden und von Corsearch und/oder einem Unterauftragsverarbeiter verarbeitet wurden.

9.2 Unter der Voraussetzung, dass der Kunde Corsearch mindestens 30 Tage vorher schriftlich benachrichtigt, wird Corsearch alle vorhandenen Kopien der persönlichen Daten des Kunden an den Kunden zurückgeben.

10. Prüfung

Der Kunde oder ein vom Kunden beauftragter Dritter, der an angemessene Vertraulichkeitsverpflichtungen gebunden ist, kann die Einhaltung dieser DPA durch Corsearch überprüfen:

a. von Corsearch das Ausfüllen des Fragebogens zur Sicherheitsbewertung des Kunden zu verlangen; und/oder
b. soweit zutreffend und für Corsearch verfügbar, Kopien einschlägiger Informationen, Unterlagen, Zertifizierungen und Prüfberichte anzufordern, die von renommierten unabhängigen Dritten ausgestellt wurden, vorausgesetzt, dass sich an den von Corsearch eingesetzten Kontrollmaßnahmen seit der Ausstellung der Zertifizierung oder des Prüfberichts keine wesentlichen Änderungen ergeben haben.

11. Datenschutzgesetze Besondere Bestimmungen

11.1 CCPA / CRPA. Dieser Abschnitt gilt nur, wenn die personenbezogenen Daten des Kunden dem CCPA / CPRA unterliegen:

11.2.1. Die folgenden Begriffe werden im Sinne der entsprechenden Definitionen im CCPA ausgelegt: „Kunde“ bedeutet„Unternehmen“; „Corsearch“ bedeutet„Dienstleister“und „personenbezogene Daten“ bedeutet„personenbezogene Informationen“.
11.2.2. Corsearch wird (a) keine personenbezogenen Daten des Kunden verkaufen, weitergeben oder für gezielte Werbung oder Profiling-Zwecke offenlegen, (b) personenbezogene Daten des Kunden für andere Zwecke (einschließlich kommerzieller Zwecke) als zur Erbringung der Dienste gemäß der Vereinbarung oder wie anderweitig nach dem CCPA zulässig speichern, verwenden oder offenlegen, (c) außer zum Zweck der Erbringung der Dienste gemäß der Vereinbarung personenbezogene Daten des Kunden außerhalb der direkten Geschäftsbeziehung zwischen dem Kunden und Corsearch speichern, verwenden oder offenlegen, oder (d) personenbezogene Daten des Kunden mit personenbezogenen Informationen kombinieren, die aus einer anderen Quelle stammen.

11.2 PIPL. Dieser Abschnitt gilt nur, wenn die personenbezogenen Daten des Kunden den PIPL unterliegen:

12.2.1. Die folgenden Begriffsbestimmungen sind im Sinne der entsprechenden Definitionen im PIPL auszulegen: „Personenbezogene Daten“ bezeichnet„personenbezogene Informationen“; „Kunde“ bezeichnet„Verarbeiter personenbezogener Daten“; „Corsearch“ bezeichnet„Beauftragten“; und „sensible Daten“ bezeichnet personenbezogene Informationen, deren Offenlegung oder Missbrauch wahrscheinlich zu einer Beeinträchtigung der persönlichen Würde einer natürlichen Person oder zu einer Beeinträchtigung ihrer persönlichen oder vermögensrechtlichen Sicherheit führen kann, einschließlich personenbezogener Informationen über biometrische Identifizierung, religiöse Überzeugungen, spezifische Identität, medizinische Gesundheit, Finanzkonten sowie Aufenthaltsorte und Bewegungsdaten, sowie personenbezogene Informationen von Minderjährigen unter 14 Jahren.
11.2.2. Im Rahmen dieser Vereinbarung verarbeitet Corsearch ausschließlich personenbezogene Daten, die von den betroffenen Personen selbst veröffentlicht wurden.
11.2.3. Internationale Übermittlungen gelten gemäß dem PIPL als grenzüberschreitende Übermittlungen personenbezogener Daten, und Corsearch ist dafür verantwortlich, angemessene und anwendbare Maßnahmen gemäß dieser DPA und den Datenschutzgesetzen zu ergreifen, um sicherzustellen, dass solche Übermittlungen in Übereinstimmung mit dem PIPL erfolgen.

PLAN A - UMFANG DER BEARBEITUNG