Vereinbarung zur Datenverarbeitung

Diese Datenverarbeitungsvereinbarung ("DPA") ist Teil einer Vereinbarung zwischen Spendbase, Inc. oder einer anderen juristischen Person innerhalb der Spendbase-Unternehmensgruppe (zusammenfassend als "Spendbase") und das jeweilige Kundenunternehmen ("Kunde") (jeweils ein "Party" und gemeinsam die "Parteien"), die die Nutzung der Dienstleistungen von Spendbase durch den Kunden regelt (die "Vereinbarung").

Diese DPA gilt für die gesamte Verarbeitung personenbezogener Daten durch Spendbase im Namen des Kunden im Rahmen des Vertrags. Alle großgeschriebenen Begriffe, die in dieser DPA nicht definiert sind, haben die Bedeutung, die ihnen in der Vereinbarung gegeben wird. Diese DPA gilt ab dem Datum des Inkrafttretens der Vereinbarung (die "Datum des Inkrafttretens").

Durch den Abschluss der Vereinbarung mit Spendbase wird davon ausgegangen, dass die Parteien diese DPA, einschließlich der Standardvertragsklauseln, die Teil dieser DPA sind, unterzeichnet haben.

Diese DPA gilt auch dann, wenn der Auftraggeber Spendbase, Inc. oder eine andere Spendbase-Tochtergesellschaft ist.

WARUM:

(A) Im Zusammenhang mit der Erbringung von Dienstleistungen wird der Auftragsverarbeiter bestimmte personenbezogene Daten im Namen des für die Verarbeitung Verantwortlichen im Sinne von Artikel 28 DSGVO verarbeiten;

(B) Die Parteien möchten sicherstellen, dass diese Verarbeitung personenbezogener Daten im Einklang mit den geltenden Datenschutzgesetzen erfolgt, insbesondere mit der Verordnung (EU) 2016/679 (die "GDPR");

(C) Die Parteien vereinbaren, dass die Verkäufer personenbezogene Daten in eigener Verantwortung und auf der Grundlage gesonderter Vereinbarungen (einschließlich eigener Datenverarbeitungsverträge und Datenschutzerklärungen) verarbeiten. Um jeden Zweifel auszuschließen, gilt diese DSGVO nicht für solche Verarbeitungstätigkeiten der Verkäufer.

(D) Die Parteien schließen daher diese DPA ab, in der die Rechte und Pflichten der Parteien in Bezug auf die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des für die Verarbeitung Verantwortlichen festgelegt sind.

DARUMkommen die Parteien wie folgt überein:

In dieser DPA haben die folgenden Begriffe die unten angegebene Bedeutung. In Großbuchstaben geschriebene Begriffe, die hier nicht definiert sind, haben die Bedeutung, die ihnen in der DSGVO gegeben wird.

"Geltende Datenschutzgesetze"bezeichnet die GDPR und alle anderen anwendbaren Bundes- oder Landesgesetze und -vorschriften in Bezug auf den Schutz personenbezogener Daten und der Privatsphäre;

"Controller Persönliche DatenDer Begriff "personenbezogene Daten" bezeichnet alle personenbezogenen Daten, die vom Auftragsverarbeiter im Auftrag des für die Verarbeitung Verantwortlichen in Verbindung mit den Diensten verarbeitet werden, wie in den folgenden Abschnitten näher beschrieben Anhang 1 Einzelheiten der Verarbeitung;

"Datenpanne"ist eine Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Änderung, zur unbefugten Weitergabe oder zum Zugriff auf personenbezogene Daten des für die Verarbeitung Verantwortlichen führt;

"Antrag der betroffenen Person"ist ein Antrag einer betroffenen Person auf Ausübung ihrer Rechte nach der DSGVO;

"Eingeschränktes Land"Ein Land oder Gebiet außerhalb des Europäischen Wirtschaftsraums, für das kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt;

"Eingeschränkte Übertragung"(i) eine Übermittlung personenbezogener Daten des Verantwortlichen an den Auftragsverarbeiter in einem eingeschränkten Land oder (ii) eine Weiterübermittlung personenbezogener Daten des Verantwortlichen vom Auftragsverarbeiter an einen Unterauftragsverarbeiter in einem eingeschränkten Land;

"Dienstleistungen"bezeichnet die SaaS-Plattform und die damit verbundenen Dienste, die der Auftragsverarbeiter dem für die Verarbeitung Verantwortlichen zur Verfügung stellt;

"Subprozessor"bezeichnet jede juristische Person, die vom Auftragsverarbeiter mit der Verarbeitung der personenbezogenen Daten des Verantwortlichen in Verbindung mit den Diensten beauftragt wird;

Anbieter"bezeichnet einen Drittanbieter von Software-as-a-Service (SaaS)-Produkten oder -Dienstleistungen.

Die Begriffe "persönliche Daten", "besondere Kategorien von Daten", "Datensubjekt", "Verarbeitung", "Controller", "Prozessor" und "Aufsichtsbehörde"haben die in der Datenschutz-Grundverordnung festgelegte Bedeutung.

2.1 Diese DSGVO regelt die Verarbeitung personenbezogener Daten des für die Verarbeitung Verantwortlichen durch den Auftragsverarbeiter im Auftrag des für die Verarbeitung Verantwortlichen in Verbindung mit den Dienstleistungen. Die Art, der Zweck und die Einzelheiten einer solchen Verarbeitung sind beschrieben in Anhang 1 Einzelheiten der Verarbeitung. Der Auftragsverarbeiter darf personenbezogene Daten des Verantwortlichen nur auf Anweisung des Verantwortlichen verarbeiten und darf personenbezogene Daten des Verantwortlichen nicht für andere Zwecke verarbeiten, es sei denn, dies ist nach den geltenden Datenschutzgesetzen erforderlich.

2.2 Mit dem Abschluss dieser DPA weist der für die Verarbeitung Verantwortliche den Auftragsverarbeiter an, die personenbezogenen Daten des für die Verarbeitung Verantwortlichen nur zu verarbeiten, wenn dies erforderlich ist, um:

(i) die Dienste und die damit verbundene technische Unterstützung bereitzustellen;

(ii) die dokumentierten Anweisungen des für die Verarbeitung Verantwortlichen zu befolgen; und

(iii) die geltenden Gesetze einhalten, denen der Auftragsverarbeiter unterliegt.

2.3 Der für die Verarbeitung Verantwortliche erkennt an, dass die Dienste dem für die Verarbeitung Verantwortlichen die Möglichkeit geben, Anbieter seiner Wahl zu beauftragen. Jeder Anbieter verarbeitet personenbezogene Daten unabhängig unter seinen eigenen Bedingungen, Datenschutzrichtlinien und Datenverarbeitungsverträgen. Um Zweifel auszuschließen, sei darauf hingewiesen, dass der Auftragsverarbeiter nicht als Auftragsverarbeiter in Bezug auf personenbezogene Daten handelt, die von den Anbietern verarbeitet werden, und dass diese DSGVO nicht auf diese Verarbeitung anwendbar ist.

2.4 Der für die Verarbeitung Verantwortliche stellt keine besonderen Datenkategorien im Sinne der DSGVO zur Verfügung, und der Auftragsverarbeiter verlangt oder beabsichtigt nicht, diese zu verarbeiten.

2.5 Der für die Verarbeitung Verantwortliche gewährleistet, dass er eine gültige Rechtsgrundlage gemäß den geltenden Datenschutzgesetzen für die gesamte Verarbeitung der personenbezogenen Daten des für die Verarbeitung Verantwortlichen durch den Auftragsverarbeiter gemäß dieser DSGVO geschaffen hat.

3.1 Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung personenbezogener Daten des für die Verarbeitung Verantwortlichen befugten Personen einer angemessenen vertraglichen oder gesetzlichen Geheimhaltungspflicht unterliegen und dass diese Verpflichtungen auch nach Beendigung ihrer Tätigkeit bestehen bleiben.

3.2 Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Wahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen hat der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen zu ergreifen und aufrechtzuerhalten, um die personenbezogenen Daten des für die Verarbeitung Verantwortlichen vor versehentlicher oder unrechtmäßiger Zerstörung, Verlust, Änderung, unbefugter Weitergabe oder unbefugtem Zugriff zu schützen. Eine Beschreibung dieser Maßnahmen findet sich in Anhang 2 Technische und organisatorische Maßnahmen.

3.3 Der Kontrolleur ist verantwortlich für:

(i) die Sicherung seiner Zugangsdaten und der für den Zugang zu den Diensten verwendeten Geräte;

(ii) Gewährleistung eines dem Risiko angemessenen Sicherheitsniveaus bei der Nutzung der Dienste; und

(iii) die Feststellung, ob die Dienste und die Maßnahmen, die in Anhang 2 Technische und organisatorische Maßnahmen die rechtlichen und regulatorischen Anforderungen des Controllers erfüllen.

3.4 Der Auftragsverarbeiter ist nicht verpflichtet, personenbezogene Daten der verantwortlichen Stelle zu schützen, die die verantwortliche Stelle außerhalb der Dienste oder der Systeme der Unterauftragsverarbeiter speichert oder überträgt (z. B. Offline- oder On-Premise-Speicherung).

4.1 Der für die Verarbeitung Verantwortliche nimmt zur Kenntnis und erklärt sich damit einverstanden, dass der Auftragsverarbeiter Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten des für die Verarbeitung Verantwortlichen in Verbindung mit den Diensten beauftragt. Der Auftragsverarbeiter kann alle von ihm zum Zeitpunkt des Inkrafttretens dieser DPA beauftragten Unterauftragsverarbeiter weiterhin nutzen.

4.2 Die Liste der Unterauftragsverarbeiter befindet sich unter spendbase.co/subprocessors und durch Verweis in diese DPA aufgenommen. Der Auftragsverarbeiter kann diese Liste von Zeit zu Zeit aktualisieren und wird den für die Verarbeitung Verantwortlichen über jeden neuen Unterauftragsverarbeiter informieren, indem er die aktualisierte Liste auf der Website des Auftragsverarbeiters veröffentlicht.

4.3 Der Auftragsverarbeiter stellt sicher, dass jeder Unterauftragsverarbeiter durch einen Vertrag gebunden ist, der ihm Datenschutzverpflichtungen auferlegt, die nicht weniger schützend sind als die in dieser DSGVO festgelegten, einschließlich Verpflichtungen in Bezug auf Vertraulichkeit, Sicherheit und Datenschutz.

4.4 Der Auftragsverarbeiter bleibt für die Handlungen und Unterlassungen seiner Unterauftragsverarbeiter in vollem Umfang verantwortlich, so als wären es seine eigenen Handlungen und Unterlassungen.

4.5 Der für die Verarbeitung Verantwortliche erkennt an und erklärt sich damit einverstanden, dass alle derzeitigen und künftigen verbundenen Unternehmen des Auftragsverarbeiters als Unterauftragsverarbeiter im Rahmen dieser DPA tätig werden können. Diese verbundenen Unternehmen gelten als befugt, und es ist keine gesonderte Genehmigung durch den für die Verarbeitung Verantwortlichen erforderlich. Der Auftragsverarbeiter bleibt in vollem Umfang für die Einhaltung dieser DPA durch seine verbundenen Unternehmen verantwortlich.

4.6 Nicht alle Unterauftragsverarbeiter verarbeiten personenbezogene Daten des Verantwortlichen in Verbindung mit jedem Dienst. Welche Unterauftragsverarbeiter im Einzelnen beteiligt sind, hängt von den Merkmalen der Dienste ab, die der für die Verarbeitung Verantwortliche in Anspruch nehmen möchte

5.1 Unter Berücksichtigung der Art der Verarbeitung gewährt der Auftragsverarbeiter der verantwortlichen Stelle die angemessene Unterstützung, die erforderlich ist, um die verantwortliche Stelle in die Lage zu versetzen, auf Anfragen von betroffenen Personen zur Ausübung ihrer Rechte gemäß den geltenden Datenschutzgesetzen zu reagieren, soweit sich diese Anfragen auf die personenbezogenen Daten der verantwortlichen Stelle und die Dienste beziehen.

5.2 Erhält der Auftragsverarbeiter direkt eine Anfrage der betroffenen Person, so hat er die verantwortliche Stelle unverzüglich zu benachrichtigen und darf die Anfrage nur auf dokumentierte Anweisung der verantwortlichen Stelle oder in Fällen, in denen die geltenden Datenschutzgesetze dies erfordern, beantworten.

5.3 Die Verpflichtung des Auftragsverarbeiters zur Unterstützung gemäß diesem Abschnitt 5 gilt nur insoweit, als der für die Verarbeitung Verantwortliche selbst nicht in der Lage ist, die Anfrage der betroffenen Person mit Hilfe der Funktionalität der Dienste zu beantworten.

6.1 Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem er von einer vermuteten oder tatsächlichen Verletzung des Datenschutzes Kenntnis erlangt hat, die sich auf die personenbezogenen Daten des Verantwortlichen bezieht.

6.2 Eine solche Meldung muss, soweit dem Auftragsverarbeiter zumutbar, eine Beschreibung enthalten:

(i) die Art der Datenschutzverletzung, einschließlich, soweit möglich, die Kategorien und die ungefähre Zahl der betroffenen Personen sowie die Kategorien und die ungefähre Zahl der betroffenen personenbezogenen Datensätze;

(ii) die zu erwartenden Folgen der Datenschutzverletzung; und

(iii) die Maßnahmen, die der Auftragsverarbeiter ergriffen hat oder zu ergreifen gedenkt, um die Datenschutzverletzung zu beheben, gegebenenfalls einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

6.3 Der für die Verarbeitung Verantwortliche ist für die Einhaltung aller Benachrichtigungs- oder Mitteilungspflichten verantwortlich, die für den für die Verarbeitung Verantwortlichen im Falle einer Verletzung des Datenschutzes gelten.

6.4 Die Benachrichtigung des Auftragsverarbeiters über die Datenschutzverletzung oder seine Reaktion darauf gemäß diesem Abschnitt 6 ist nicht als Anerkenntnis eines Verschuldens oder einer Haftung des Auftragsverarbeiters in Bezug auf den Vorfall auszulegen

7.1 Unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen kann der Auftragsverarbeiter den für die Verarbeitung Verantwortlichen in angemessener Weise bei der Durchführung von Datenschutz-Folgenabschätzungen und der vorherigen Konsultation von Aufsichtsbehörden unterstützen, wie dies nach den anwendbaren Datenschutzgesetzen erforderlich ist.

7.2 Zum Nachweis der Einhaltung dieser DSGVO stellt der Auftragsverarbeiter dem für die Verarbeitung Verantwortlichen die Unterlagen zur Verfügung, die für den Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind; dazu können Prüfberichte Dritter, Zertifizierungen oder andere Informationen gehören.

7.3 Die Audits beschränken sich auf die Fernprüfung der vom Auftragsverarbeiter bereitgestellten Unterlagen. Der für die Verarbeitung Verantwortliche darf solche Überprüfungen höchstens einmal alle zwölf (12) Monate durchführen, es sei denn, eine Aufsichtsbehörde verlangt etwas anderes.

7.4 Der für die Verarbeitung Verantwortliche hat jede Prüfung mindestens zweiundsiebzig (72) Stunden vorher schriftlich anzukündigen. Alle Audits müssen so durchgeführt werden, dass der Geschäftsbetrieb des Auftragsverarbeiters nicht gestört wird. Der für die Verarbeitung Verantwortliche trägt alle Kosten eines Audits.

8.1 Die Parteien vereinbaren, dass, soweit die Verarbeitung personenbezogener Daten des für die Verarbeitung Verantwortlichen eine eingeschränkte Übermittlung beinhaltet, diese Übermittlung durch die Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer (Modul Zwei: für die Verarbeitung Verantwortlicher an den Auftragsverarbeiter) geregelt wird, die von der Europäischen Kommission gemäß dem Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 ("SCC") herausgegeben wurden.

8.2 Die SCCs werden durch Verweis in diese DPA aufgenommen und sind Teil dieser DPA, als ob sie in vollem Umfang wiedergegeben wären.

8.3 Die Parteien haben sich auf die folgenden Anhänge geeinigt:

(i) Anhang I (Beschreibung der Verarbeitung): ausgefüllt unter Bezugnahme auf Anhang 1 Einzelheiten der Verarbeitung.

(ii) Anhang II (Technische und organisatorische Maßnahmen): ausgefüllt durch Verweis auf Anhang 2 Technische und organisatorische Maßnahmen.

(iii) Anhang III (Liste der Unterauftragsverarbeiter): ausgefüllt durch Verweis auf die Liste der Unterauftragsverarbeiter.

8.4 Die SCC unterliegen dem Recht des EU-Mitgliedstaates, in dem der für die Verarbeitung Verantwortliche seinen Sitz hat, und Streitigkeiten unterliegen der Gerichtsbarkeit der Gerichte dieses Mitgliedstaates.

8.5 Andockklausel (Klausel 7 SCCs): Es gilt die optionale Andockklausel.

8.6 Gegebenenfalls fällt jede Übermittlung personenbezogener Daten der verantwortlichen Stelle von der verantwortlichen Stelle im Vereinigten Königreich an den Auftragsverarbeiter im Europäischen Wirtschaftsraum unter die Angemessenheitsvorschriften, die von der zuständigen Stelle gemäß Absatz 5 von Schedule 21 des britischen Datenschutzgesetzes 2018 erlassen wurden, und stellt daher keine eingeschränkte Übermittlung dar.

8.7 Wenn Spendbase Unterauftragsverarbeiter außerhalb des EWR/des Vereinigten Königreichs einsetzt, sind solche Übermittlungen durch die SCC (Modul 3: Auftragsverarbeiter zu Auftragsverarbeiter) oder Angemessenheitsbeschlüsse geschützt, je nachdem, was gilt.

9.1 Bei Beendigung oder Auslaufen der Dienstleistungen, die die Verarbeitung personenbezogener Daten des Verantwortlichen beinhalten, wird der Auftragsverarbeiter nach Wahl des Verantwortlichen entweder

(i) alle personenbezogenen Daten des für die Verarbeitung Verantwortlichen in einem strukturierten, allgemein gebräuchlichen und maschinenlesbaren Format zu übermitteln, oder

(ii) alle personenbezogenen Daten des für die Verarbeitung Verantwortlichen zu löschen und diese Löschung auf schriftlichen Antrag des für die Verarbeitung Verantwortlichen zu bestätigen. Der für die Verarbeitung Verantwortliche teilt dem Auftragsverarbeiter seine Präferenz vor der Kündigung mit.

9.2 Der Auftragsverarbeiter hat die Löschung oder Rückgabe innerhalb von dreißig (30) Tagen nach Beendigung des Auftrags abzuschließen, es sei denn, eine längere Aufbewahrung ist gesetzlich vorgeschrieben, vorausgesetzt, diese Daten werden vertraulich behandelt und nur in dem Maße verarbeitet, wie es für die Einhaltung des betreffenden Gesetzes erforderlich ist.

10.1 Die Haftung jeder Partei im Rahmen oder in Verbindung mit dieser DPA unterliegt den in der Vereinbarung festgelegten Haftungsbeschränkungen und -ausschlüssen.

10.2 Sofern die SCCs für beschränkte Übertragungen nichts anderes vorschreiben, unterliegt diese DPA dem in der Vereinbarung festgelegten Recht und ist entsprechend auszulegen, und alle Streitigkeiten, die sich aus oder in Verbindung mit dieser DPA ergeben, unterliegen der ausschließlichen Zuständigkeit der in der Vereinbarung genannten Gerichte.

10.3 Im Falle eines Widerspruchs zwischen den Bestimmungen dieser Datenschutzvereinbarung und der Vereinbarung hat diese Datenschutzvereinbarung in Bezug auf den Gegenstand des Datenschutzes Vorrang.

10.4 Der Auftragsverarbeiter kann diese DPA durch schriftliche Mitteilung an den für die Verarbeitung Verantwortlichen ändern, wenn dies erforderlich ist, um geltende Datenschutzgesetze oder verbindliche Leitlinien einer zuständigen Aufsichtsbehörde einzuhalten. Die Parteien arbeiten nach Treu und Glauben zusammen, um die kontinuierliche Einhaltung zu gewährleisten.

10.5 Diese DPA bleibt so lange in Kraft, wie der Auftragsverarbeiter personenbezogene Daten des für die Verarbeitung Verantwortlichen im Namen des für die Verarbeitung Verantwortlichen im Rahmen des Vertrags verarbeitet.

10.6 Sofern die SCC nichts anderes vorsehen, unterliegt diese DPA dem in der Vereinbarung festgelegten Recht.

Fragen zu dieser DPA können gerichtet werden an legal@test-domain-partnerway.prod.spendbase.co