Dieser Nachtrag zur Datenverarbeitung, einschließlich Anhängen 1 und 2 („Nachtrag“), enthält die wesentlichen Bedingungen, die Sojern, Inc., eine Gesellschaft nach dem Recht des US-Bundesstaates Delaware mit Hauptgeschäftssitz unter der Anschrift 575 Market Street, 4th Floor, San Francisco, CA 94105, USA („Sojern“), erfordert. Für die Zwecke dieses Nachtrags wird das Unternehmen, das eine Partei des Vertrags (wie unten definiert) ist, in den dieser Nachtrag eingebunden ist, als „Unternehmen“ bezeichnet.
„Vertrag“ bezeichnet alle Vereinbarungen zwischen den Parteien, aufgrund derer Sojern personenbezogene Daten für die Zwecke gemäß dem jeweiligen Datenanbieter- oder Dienstleistungsvertrag erhält, erfasst, darauf zugreift oder anderweitig verarbeitet. Dieser Nachtrag zur Datenverarbeitung enthält die Bedingungen des Vertrags und die nachstehenden Bestimmungen. Bei einem Konflikt zwischen dem Nachtrag und dem Vertrag sind die Bestimmungen dieses Nachtrags maßgeblich. Alle in Großbuchstaben geschriebenen Begriffe, die in dem vorliegenden Dokument verwendet, aber nicht definiert werden, haben ihre jeweilige Bedeutung, wie sie im Vertrag festgelegt ist.
„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, die direkt oder indirekt identifiziert werden kann.
„Dienstleistung“ bezeichnet die von Sojern bzw. der Gesellschaft im Rahmen des Vertrags erbrachten Dienstleistungen.
Für die Zwecke der von Sojern gemäß dem Vertrag durchgeführten Verarbeitung wird die Rolle von Sojern als Datenverarbeiter oder Verantwortlicher in Bezug auf die von Sojern verarbeiteten personenbezogenen Daten im jeweiligen Vertrag festgelegt.
Sofern nicht ausdrücklich in dem vorliegenden Dokument oder schriftlich durch das Unternehmen gestattet, wird Sojern weder direkt noch indirekt (a) personenbezogene Daten an Dritte offenlegen, verkaufen, verteilen oder übermitteln oder (b) personenbezogene Daten für andere Zwecke verwenden als für die Erbringung der Dienstleistung für das Unternehmen im Rahmen des Vertrags und in Übereinstimmung mit allen geltenden Datenschutzgesetzen.
Jede Partei bestätigt, dass sie ihre Verpflichtungen gemäß den geltenden Datenschutzgesetzen kennt und personenbezogene Daten in Übereinstimmung mit allen geltenden Datenschutzgesetzen verarbeitet. Wenn Sojern als Datenverarbeiter handelt, führt Sojern die Verarbeitung so durch, wie sie vom Unternehmen im Vertrag dokumentiert und angewiesen wurde, es sei denn, eine Aufsichtsbehörde teilt mit, dass diese Verarbeitung nicht mit den geltenden Gesetzen zum Schutz der Privatsphäre und zum Datenschutz übereinstimmt; in diesem Fall wird Sojern das Unternehmen unverzüglich schriftlich über diese behördliche Mitteilung informieren und kann die Verarbeitung personenbezogener Daten einstellen, bis das behördliche Anliegen geklärt ist.
Jede Partei führt ein schriftliches oder elektronisches Protokoll über die Verarbeitung von personenbezogenen Daten. Jede Partei wird in angemessener Weise mit der anderen Partei bei der Einhaltung der geltenden Datenschutzgesetze in Bezug auf Datenfolgenabschätzungen, Aufzeichnungen über die Verarbeitung, damit zusammenhängende Anfragen oder Konsultationen mit Datenschutzbehörden und Audits in Übereinstimmung mit dem geltenden Vertrag zusammenarbeiten, damit das Unternehmen bestätigen kann, dass Sojern seine Verpflichtungen gemäß den geltenden Datenschutzgesetzen und dem Vertrag erfüllt hat.
Die Parteien erkennen an, dass Sojern keine direkte Beziehung zu Personen unterhält, deren personenbezogene Daten Sojern zur Verfügung gestellt werden. In diesem Sinne wird das Unternehmen, sofern dies nach den geltenden Datenschutzgesetzen erforderlich ist, den Personen, deren personenbezogene Daten von Sojern verarbeitet werden, die Sojern-Datenschutzrichtlinie unter http://www.sojern.com/privacy/privacy-policy/ zur Verfügung stellen.
Das Unternehmen informiert Personen über die Erfassung, Verwendung und Offenlegung personenbezogener Daten durch das Unternehmen und holt deren Einwilligung ein, wie es die geltenden Datenschutzgesetze vorschreiben. Wenn geltende Datenschutzgesetze Mechanismen vorschreiben, mit denen Einzelpersonen Rechte ausüben können, insbesondere Opt-out-Rechte, muss das Unternehmen (oder eine andere Partei, die im Namen des Unternehmens für die Erfassung von personenbezogenen Daten verantwortlich ist) den Einzelpersonen solche Mechanismen zur Verfügung stellen. Es wird davon ausgegangen, dass das Unternehmen die Personen, deren personenbezogene Daten Sojern zur Verfügung gestellt werden, entsprechend informiert und, falls erforderlich, die entsprechenden Einwilligungen eingeholt hat.
Jede Partei wird in angemessener Weise mit der anderen Partei zusammenarbeiten, um auf Anfragen oder Beschwerden von Einzelpersonen zu reagieren, die sich auf die Verarbeitung personenbezogener Daten im Rahmen des Vertrags beziehen und die Datenschutzrechte nach den geltenden Datenschutzgesetzen betreffen. Wenn Sojern eine Anfrage von einer Einzelperson erhält, wird Sojern umgehend: (a) die Anfrage an das Unternehmen weiterleiten, um die Anfrage zu bearbeiten; und (b) wenn Sojern ein Datenverarbeiter ist, die Entscheidung des Unternehmens umsetzen, wie die Anfrage bearbeitet werden soll.
Soweit personenbezogene Daten, die von außerhalb der USA (einschließlich des Europäischen Wirtschaftsraums (EWR), des Vereinigten Königreichs oder der Schweiz) an Sojern übermittelt werden, erfordert die Datenverarbeitung eine den Gesetzen des Landes, in dem das Unternehmen seinen Sitz hat, entsprechende Angemessenheit, und wenn die erforderliche Angemessenheit durch die Bedingungen dieses Nachtrags erfüllt werden kann, vereinbaren die Parteien, dass dieser Nachweis durch Verweis, soweit zutreffend, die Standardvertragsklauseln der Europäischen Kommission (EU) 2021/914 für die Übermittlung personenbezogener Daten in Drittländer gemäß Verordnung (EU) 2016/679 durch EU-/EWR-Verantwortliche an Verarbeiter außerhalb der EU/des EWR („Modul 2“) und/oder durch EU-/EWR-Verantwortliche an Verantwortliche außerhalb der EU/des EWR („Modul 1“) umfasst, und zwar in der jeweils von der Europäischen Kommission geänderten oder ersetzten Fassung (zusammenfassend die „Klauseln“). Der Einfachheit halber werden die oben verlinkten Klauseln auf Grundlage des von der Europäischen Kommission zur Verfügung gestellten Texts generiert, um die Klauseln in die Vereinbarung aufzunehmen, das/die entsprechende(n) Modul(e) auszuwählen und dem Anhang wie gemäß den Klauseln zulässig Informationen hinzuzufügen. Für die Zwecke solcher Übermittlungen personenbezogener Daten ist das Unternehmen der „Datenexporteur“ und Sojern der „Datenimporteur“ (auch wenn das Unternehmen ein Unternehmen mit Sitz außerhalb der EU/des EWR ist, sofern das Unternehmen sonst der Verordnung (EU) 2016/679 unterliegt). Wenn die Klauseln Anwendung finden, wird davon ausgegangen, dass das Unternehmen und Sojern die Klauseln in ihrem jeweiligen Namen und in ihrem eigenen Auftrag eingegangen sind, und die Namen, Adressen, Kontaktdaten, Funktionen und Tätigkeiten der Parteien im Zusammenhang mit den gemäß diesen Klauseln übermittelten personenbezogenen Daten werden in der Vereinbarung angegeben. Die Unterzeichnung der Vereinbarung gilt als Unterzeichnung der Klauseln, insbesondere des Anhangs I.A der Klauseln. Sofern es einen Konflikt zwischen den Bedingungen dieses Nachtrags und den Klauseln gibt, sind die anwendbaren Klauseln maßgeblich.
Jede Partei muss angemessene technische, physische und organisatorische Maßnahmen ergreifen und aufrechterhalten, um personenbezogene Daten vor unbefugter oder unrechtmäßiger Verarbeitung und versehentlichem Verlust, versehentlicher Zerstörung oder versehentlicher Beschädigung zu schützen.
Das Unternehmen erteilt Sojern eine allgemeine Erlaubnis, andere Datenverarbeiter für die Verarbeitung personenbezogener Daten einzusetzen („Unterauftragsverarbeiter“), die an Vertraulichkeits- und Datenschutzverpflichtungen gebunden sind, die mit diesem Nachtrag übereinstimmen und unter http://sojern.com/legal/partner-list/ aufgeführt sind. Wenn es der Vertrag erfordert oder wenn Sojern als Datenverarbeiter handelt, informiert Sojern das Unternehmen über alle Änderungen bezüglich der Hinzufügung oder des Austauschs von Unterauftragsverarbeitern, indem es die oben genannte Liste aktualisiert und dem Unternehmen so die Möglichkeit gibt, gegen diese Änderungen Einspruch zu erheben; eine Anleitung für den Einspruch ist unter der gleichen URL zu finden. Wenn das Unternehmen begründete Einwände gegen eine Änderung erhebt und Sojern nicht in der Lage ist, diese Einwände auszuräumen, kann das Unternehmen den Vertrag und den Nachtrag kündigen.
Dieser Nachtrag bleibt in vollem Umfang wirksam, bis einer der beiden folgenden Fälle eintritt: (a) der bzw. die Verträge bleiben wirksam, und (b) Sojern behält Kopien der personenbezogenen Daten ein. Jede Partei kann diesen Nachtrag mit sofortiger Wirkung kündigen, wenn ein wesentlicher Verstoß gegen diesen Nachtrag vorliegt oder eine Aufsichtsbehörde und/oder ein zuständiges Gericht feststellt, dass die Verarbeitung personenbezogener Daten durch die Parteien wesentlich gegen geltende Datenschutzgesetze verstößt, vorausgesetzt jedoch, dass die Partei, die den Verstoß nicht begangen hat, den mutmaßlichen Verstoß gemeldet hat und dieser Verstoß innerhalb eines Zeitraums von fünfzehn (15) Tagen nach dieser Meldung nicht behoben wurde.
Dieser Nachtrag gilt als gemäß den Gesetzen des Staates Kalifornien, USA, erstellt und ist gemäß diesen Gesetzen auszulegen, ohne Berücksichtigung der kollisionsrechtlichen Bestimmungen.
Reisende und andere Kunden des Unternehmens.
Personenbezogene Daten, die vom Unternehmen übermittelt werden, werden in Übereinstimmung mit dem Vertrag bereitgestellt und können insbesondere Folgendes umfassen:
Keine
Fortlaufend für die Dauer der geltenden Vereinbarung.
Erfassung von Online-Browsing-Informationen durch die Verwendung von Cookies und anderen Tracking-Technologien.
Für die Dauer der geltenden Vereinbarung, es sei denn, personenbezogene Daten des Datenexporteurs werden gelöscht oder zurückgegeben.
Unterauftragsverarbeiter sind unter http://sojern.com/legal/partner-list/ aufgeführt, wie gemäß Modell 1 Klausel 9(a) zulässig.
Die Aufsichtsbehörde eines der Mitgliedstaaten, in dem die betroffenen Personen, deren personenbezogene Daten gemäß diesen Klauseln in Bezug auf das Angebot von Waren oder Dienstleistungen an sie übermittelt werden, oder deren Verhalten überwacht wird, hat ihren Sitz wie in Anhang I.C angegeben, und fungiert als zuständige Aufsichtsbehörde.
