ADDENDUM ZUR DATENVERARBEITUNG

Allgemein

Dieses Addendum („Addendum") legt fest, wie PREMIUM PLUS als Auftragsverarbeiter im Auftrag der Vertragspartei, des Verantwortlichen, personenbezogene Daten verarbeitet. Dieses Addendum ist integraler Bestandteil der Vereinbarung („Vereinbarung") zwischen dem Auftragsverarbeiter und dem Verantwortlichen. Die Bestimmungen der Vereinbarung gelten vollumfänglich für dieses Addendum, sofern nicht ausdrücklich anders angegeben, und spezifische Bestimmungen der Vereinbarung (sofern vorhanden) in Bezug auf den Datenschutz werden durch die Bestimmungen dieses Addendums ergänzt oder ersetzt. Dieses Addendum ändert keine anderen Bestimmungen der Vereinbarung, die außerhalb des Anwendungsbereichs des Gegenstands dieses Addendums liegen (die Verarbeitung und der Schutz personenbezogener Daten).

Zweck dieses Addendums ist die Festlegung der Rechte und Pflichten des Verantwortlichen und des Auftragsverarbeiters im Hinblick auf die EU-Datenschutzgrundverordnung (2016/679) vom 27. April 2016 („Datenschutzgrundverordnung") und das belgische Gesetz vom 30. Juli 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten („Datenschutzgesetz"), zusammen „Datenschutzgesetzgebung". „Verantwortlicher", „Auftragsverarbeiter", „betroffene Person", „personenbezogene Daten", „Verletzung des Schutzes personenbezogener Daten" und „Verarbeitung" haben dieselbe Bedeutung wie in der Datenschutzverordnung.

Datenschutz

1.1 Im Rahmen der Vereinbarung werden personenbezogene Daten wie folgt verarbeitet:

• Gegenstand, Art und Zweck der Verarbeitung: Verarbeitung personenbezogener Daten im Rahmen von Datenmigrationen sowie der Konfiguration und Integration von IT-Tools für den Verantwortlichen;
• Dauer der Verarbeitung: während der Laufzeit des Vertrages;
• Kategorien personenbezogener Daten: Name, E-Mail-Adresse, Telefonnummer und alle Informationen, die in Support-Tickets/Datensätzen enthalten sind;
• Kategorien betroffener Personen: Mitarbeitende, Interessenten, Lieferanten und Vertragsparteien des Verantwortlichen;
  Die vom Auftragsverarbeiter durchgeführte Verarbeitung ist ausdrücklich auf die personenbezogenen Daten und Zwecke beschränkt, wie sie in diesem Addendum festgelegt sind.
  

  Der Auftragsverarbeiter bedient sich der folgenden Unterauftragsverarbeiter („Unterauftragsverarbeiter"), um die Verarbeitung gemäß diesem Addendums durchzuführen:

  Asana Software Ireland Ltd.	Tool für Projekt- und Aufgabenmanagement
  Google Ireland Ltd.	Google Workspace

1.2 Dieses Addendum gilt für den Zeitraum, in dem der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen im Rahmen der Erfüllung der Vereinbarung verarbeitet. Endet die Vereinbarung, so endet auch dieses Addendum automatisch. Dieses Addendum kann nicht gesondert gekündigt werden.

1.3 Soweit personenbezogene Daten vom Auftragsverarbeiter, seinen Unterauftragsverarbeitern oder Mitarbeitenden im Rahmen oder in Zusammenhang mit der Vereinbarung verarbeitet werden, hat der Auftragsverarbeiter sicherzustellen und dafür Sorge zu tragen, dass seine Unterauftragsverarbeiter und Mitarbeitenden:

• 1.3.1 sich verpflichten, jederzeit angemessene technische und organisatorische Maßnahmen vorzusehen, um die Datenschutzgesetze einzuhalten;
  
  
• 1.3.2 personenbezogene Daten ausschließlich gemäß den Weisungen des Verantwortlichen zu verarbeiten, zu übermitteln, zu verändern, zu ändern oder zu modifizieren sowie Dritten gegenüber offenzulegen oder deren Offenlegung zu gestatten (einschließlich der Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation), wie in diesem Addendum festgelegt oder soweit dies nach dem EU-Recht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, erforderlich ist. In diesem Fall hat der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung der personenbezogenen Daten über diese rechtliche Anforderung zu informieren, es sei denn, das betreffende Recht untersagt eine solche Information gegenüber dem Verantwortlichen;
  
  
• 1.3.3 alle zumutbaren Maßnahmen zu ergreifen, um sicherzustellen, dass alle Mitarbeitenden und Unterauftragsverarbeiter, die Zugang zu den personenbezogenen Daten haben könnten, über den vertraulichen Charakter der personenbezogenen Daten informiert sind und Vertraulichkeitsverpflichtungen in Bezug auf (die Verarbeitung) dieser personenbezogenen Daten unterliegen;
  
  
• 1.3.4 den Verantwortlichen unverzüglich zu benachrichtigen, sobald der Auftragsverarbeiter Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt, es sei denn, gesetzliche Leitlinien sehen vor, dass eine solche Verletzung vom Auftragsverarbeiter nicht an den Verantwortlichen gemeldet werden muss. Andernfalls hat der Auftragsverarbeiter den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen dabei zu unterstützen, seinen Pflichten in Bezug auf die Meldung, Untersuchung, Eindämmung und Behebung einer Verletzung des Schutzes personenbezogener Daten gemäß der Datenschutzgesetzgebung nachzukommen;
  
  
• 1.3.5 in dem Maße, wie es vom Verantwortlichen zumutbarerweise verlangt wird, zusammenzuarbeiten, soweit dies erforderlich ist, um dem Verantwortlichen zu ermöglichen, etwaigen Rechteausübungen einer betroffenen Person gemäß der Datenschutzgesetzgebung in Bezug auf die vom Auftragsverarbeiter im Rahmen der Vereinbarung verarbeiteten personenbezogenen Daten nachzukommen oder etwaigen Bewertungen, Anfragen, Hinweisen oder Untersuchungen gemäß der Datenschutzgesetzgebung, einschließlich solcher durch eine Aufsichtsbehörde, nachzukommen, vorbehaltlich einer angemessenen Vorankündigung und unbeschadet des Rechts des Auftragsverarbeiters, dem Verantwortlichen etwaige zumutbare Kosten für diese Unterstützung in Rechnung zu stellen;
  
  
• 1.3.6 Unterauftragsverarbeiter ausschließlich zu autorisieren (wobei dieses Addendum eine allgemeine Einwilligung zur Nutzung von Unterauftragsverarbeitern darstellt, und insbesondere jener, die in Art. 1.1 genannt sind), personenbezogene Daten zu verarbeiten, vorbehaltlich (i) der vorherigen Information des Verantwortlichen über die Identität eines neuen Unterauftragsverarbeiters (der einen bestehenden Unterauftragsverarbeiter ersetzt oder ergänzt), wobei der Verantwortliche das Recht hat, innerhalb von fünf Werktagen aus zumutbaren Gründen Widerspruch einzulegen, und (ii) der Aufnahme von Bestimmungen in die Vereinbarung zwischen dem Auftragsverarbeiter und dem Unterauftragsverarbeiter, die im Wesentlichen denjenigen dieses Addendums entsprechen, und (iii) der vollen Haftung des Auftragsverarbeiters gegenüber dem Verantwortlichen gemäß den Haftungsbestimmungen dieses Addendums und der Vereinbarung (und sofern keine solchen Bestimmungen anwendbar sind, gemäß den Haftungsklauseln der Datenschutzgesetzgebung) für jegliches Versäumnis eines Unterauftragsverarbeiters, seinen Pflichten in Bezug auf die Verarbeitung personenbezogener Daten nachzukommen;
• 1.3.7 die Verarbeitung personenbezogener Daten bei Beendigung oder Ablauf der Vereinbarung einzustellen und die personenbezogenen Daten (sowie etwaige Kopien davon oder der darin enthaltenen Informationen) nach Wahl des Verantwortlichen entweder zurückzugeben oder zu löschen, unbeschadet etwaiger gesetzlicher Verpflichtungen eines EU-Mitgliedstaats zur weiteren Speicherung solcher personenbezogener Daten;

1.4 Auf Anfrage hat der Auftragsverarbeiter dem Verantwortlichen alle erforderlichen Informationen zur Verfügung zu stellen, um die Einhaltung seiner Pflichten gemäß diesem Addendum nachzuweisen, und Prüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen vom Verantwortlichen beauftragten Prüfer durchgeführt werden, zu ermöglichen und dazu beizutragen, unbeschadet des Rechts des Auftragsverarbeiters, dem Verantwortlichen etwaige zumutbare Kosten für diese Unterstützung in Rechnung zu stellen. Prüfungen sind nur einmal pro Kalenderjahr und nur nach angemessener und schriftlicher Ankündigung gegenüber dem Auftragsverarbeiter mit einer Frist von 10 Werktagen im Voraus möglich.

1.5 Der Auftragsverarbeiter hat dem Verantwortlichen angemessene Unterstützung in Bezug auf eine Datenschutz-Folgenabschätzung und vorherige Konsultationen mit der zuständigen Datenschutzbehörde zu leisten, sofern und soweit der Verantwortliche dies gemäß Artikel 35 oder 36 der Datenschutzgrundverordnung für erforderlich hält, ausschließlich in Bezug auf die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter, unbeschadet des Rechts des Auftragsverarbeiters, dem Verantwortlichen etwaige zumutbare Kosten für diese Unterstützung in Rechnung zu stellen.

1.6 Der Auftragsverarbeiter ist für die Verarbeitung der personenbezogenen Daten gemäß diesem Addendum und in Übereinstimmung mit den Weisungen des Verantwortlichen verantwortlich. Der Verantwortliche gewährleistet, dass seine Weisungen zur Verarbeitung der personenbezogenen Daten nicht rechtswidrig sind und keine Rechte Dritter verletzen. Darüber hinaus gewährleistet der Verantwortliche, dass die dem Auftragsverarbeiter zur Verfügung gestellten personenbezogenen Daten in Übereinstimmung mit den Grundsätzen der Datenschutzgesetzgebung und unter gebührender Berücksichtigung der Rechte der betroffenen Personen erhoben, verarbeitet und übermittelt werden.

Der Auftragsverarbeiter haftet unter keinen Umständen für den Inhalt der personenbezogenen Daten, die er vom Verantwortlichen erhalten hat. Der Verantwortliche haftet allein für die Erhebung, die Nutzung und Übermittlung der personenbezogenen Daten an den Auftragsverarbeiter. Der Verantwortliche hat den Auftragsverarbeiter schadlos zu halten und/oder dessen Schaden zu ersetzen, falls eine betroffene Person oder ein Dritter aufgrund einer Verletzung seitens des Verantwortlichen eine Beschwerde einreicht oder rechtliche Schritte einleitet.