Vereinbarung zum Schutz personenbezogener Daten

Version 26.07.2022

Im Rahmen der Erfüllung der LENGOW VEREINBARUNG-LÖSUNG kann LENGOW verpflichtet sein, personenbezogene Daten von INTERNETNUTZERN und NUTZERN im Auftrag des KUNDEN zu verarbeiten. In diesem Zusammenhang erkennt LENGOW an, dass es als Auftragsverarbeiter handelt, und der KUNDE erkennt an, dass er als Verantwortlicher im Sinne der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr („DSGVO“) handelt.

Die PARTEIEN erkennen an, dass der Schutz personenbezogener Daten von größter Bedeutung ist und verpflichten sich daher, die geltenden gesetzlichen Bestimmungen einzuhalten.

Gemäß Artikel 28.3 der DSGVO, wonach die Verarbeitung durch einen Auftragsverarbeiter durch einen Vertrag geregelt wird, der den Gegenstand und die Dauer der Verarbeitung, die Art und den Zweck der Verarbeitung, die Art der verarbeiteten personenbezogenen Daten, die Kategorien der betroffenen Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt, haben sich die PARTEIEN auf Folgendes geeinigt.

ARTIKEL I. DEFINITIONEN

In dieser Vereinbarung („Vereinbarung“) sind großgeschriebene Wörter und Ausdrücke in der VEREINBARUNG-LÖSUNG definiert oder haben die in der Vereinbarung festgelegte Bedeutung.

Die Begriffe „Personenbezogene Daten“, „Verantwortlicher“, „Auftragsverarbeiter“, „Betroffene Person(en)“, „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“, „Aufsichtsbehörde“ und „Datenschutzbeauftragter“ haben die gleiche Bedeutung wie in der DSGVO vorgesehen und ihre verwandten Begriffe sind entsprechend auszulegen.

ARTIKEL II. ZWECK DER VEREINBARUNG

II.1 Der Zweck der Vereinbarung besteht darin, die Bedingungen festzulegen, unter denen LENGOW die Verarbeitung personenbezogener Daten im Auftrag des KUNDEN durchführt, sowie die jeweiligen Verpflichtungen der PARTEIEN.

Die Verarbeitung personenbezogener Daten durch LENGOW im Auftrag des KUNDEN ist im Anhang der Vereinbarung („BESCHREIBUNG DER VERARBEITUNG“) detailliert.

II.2 Die PARTEIEN vereinbaren, dass sie sich gegenseitig alle relevanten Informationen zur Erfüllung der Verpflichtungen aus der Vereinbarung zur Verfügung stellen.

ARTIKEL III. DAUER DER DATENVERARBEITUNG

Die Dauer der Verarbeitung personenbezogener Daten entspricht der im Anhang bestimmten Dauer.

ARTIKEL IV. VERPFLICHTUNGEN DER PARTEIEN

IV.1. Verpflichtungen des Auftragsverarbeiters

LENGOW verpflichtet sich:

• personenbezogene Daten ausschließlich zu den im VEREINBARUNG-LÖSUNG sowie im Anhang dieser Vereinbarung vorgesehenen Zwecken zu verarbeiten;

• personenbezogene Daten gemäß den dokumentierten und vom KUNDEN übermittelten Anweisungen zu verarbeiten. Alle Optionen, Anweisungen und Handlungen des KUNDEN im Zusammenhang mit der Nutzung der LENGOW LÖSUNG, die zur Ausführung durch LENGOW die Verarbeitung personenbezogener Daten erfordern, werden als Zustimmung des KUNDEN zur Verarbeitung dieser personenbezogenen Daten durch LENGOW als Auftragsverarbeiter angesehen. Wenn LENGOW der Ansicht ist, dass eine Anweisung einen Verstoß gegen die DSGVO oder eine andere Bestimmung des EU- oder Mitgliedstaatenrechts zum Datenschutz darstellt, wird es den KUNDEN unverzüglich informieren. Darüber hinaus muss LENGOW, wenn es gesetzlich verpflichtet ist, Daten in ein Drittland oder an eine internationale Organisation zu übermitteln, den Verantwortlichen vor der Verarbeitung über diese gesetzliche Verpflichtung informieren, es sei denn, das betreffende Gesetz verbietet diese Information aus wichtigen Gründen des öffentlichen Interesses;

• die Vertraulichkeit der im Zusammenhang mit dieser VEREINBARUNG-LÖSUNG verarbeiteten personenbezogenen Daten zu gewährleisten;

• sicherzustellen, dass Personen, die zur Verarbeitung personenbezogener Daten im Rahmen dieser VEREINBARUNG-LÖSUNG berechtigt sind:

  • sich zur Vertraulichkeit verpflichten oder einer angemessenen gesetzlichen Vertraulichkeitsverpflichtung unterliegen,

  • die notwendige Schulung zum Schutz personenbezogener Daten erhalten;

• den KUNDEN bei der Durchführung von Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der zuständigen Aufsichtsbehörde zu unterstützen;

• ein Verzeichnis der Verarbeitungstätigkeiten zu führen, die sie für den KUNDEN durchführen, gemäß den Bestimmungen der DSGVO, und diese Verarbeitungstätigkeiten gegenüber anderen KUNDEN vertraulich zu behandeln,

• alle notwendigen Unterlagen bereitzuhalten und dem KUNDEN zur Verfügung zu stellen, um die Einhaltung seiner verschiedenen Verpflichtungen nachzuweisen;

IV.2 Verpflichtungen des Verantwortlichen

Der KUNDE verpflichtet sich, alle zusätzlichen Anweisungen bezüglich der Verarbeitung personenbezogener Daten durch LENGOW schriftlich zu übermitteln und zu dokumentieren.

Der KUNDE stellt LENGOW die folgenden notwendigen Informationen zur Verfügung:

• den Namen und die Kontaktdaten des/der Datenschutzverantwortlichen des KUNDEN;

• den Namen und die Kontaktdaten des Datenschutzbeauftragten des KUNDEN, falls ernannt, oder andernfalls die Kontaktdaten der für personenbezogene Daten zuständigen Kontaktperson des KUNDEN für die Zwecke dieser Vereinbarung;

Der KUNDE gewährleistet, dass die über die LENGOW LÖSUNG verarbeiteten personenbezogenen Daten gemäß der DSGVO erhoben und verarbeitet werden.

In Übereinstimmung mit der europäischen und französischen Gesetzgebung zum Schutz personenbezogener Daten, insbesondere der DSGVO, stellt der KUNDE vor jeder Nutzung der LENGOW LÖSUNG durch den KUNDEN und während der gesamten Laufzeit des VERTRAGS sicher, dass:

1. der KUNDE die personenbezogenen Daten rechtmäßig, fair und transparent für festgelegte, eindeutige und legitime Zwecke erhoben und verarbeitet hat, die LENGOW nicht kennen kann und über die der KUNDE die Betroffenen vor der Erhebung ihrer personenbezogenen Daten gemäß der DSGVO ordnungsgemäß informiert hat. Alle vorherigen Verpflichtungen zur Abgabe von Erklärungen im Zusammenhang mit der Verarbeitung personenbezogener Daten gegenüber einer Aufsichtsbehörde liegen in der alleinigen Verantwortung des KUNDEN, der LENGOW versichert, dass er dies getan hat;

2. der KUNDE allein für die Verarbeitung der personenbezogenen Daten verantwortlich ist, die er während der Nutzung der LENGOW LÖSUNG erhebt, eingibt oder verarbeitet und die LENGOW nicht für eigene Zwecke verarbeiten darf;

3. der KUNDE allein die Zwecke und Methoden der Verarbeitung der personenbezogenen Daten bestimmt, die insbesondere durch die Nutzung der von LENGOW angebotenen LENGOW LÖSUNG durchgeführt werden.

Die vom KUNDEN gegenüber LENGOW gemäß diesem Artikel gegebenen Garantien sind alle wesentliche Bedingungen der VEREINBARUNG-LÖSUNG, ohne die LENGOW nicht abgeschlossen hätte.

ARTIKEL V. UNTERAUFTRAGSVERARBEITUNG

LENGOW ist berechtigt, einen anderen Auftragsverarbeiter (im Folgenden „LENGOW Unterauftragsverarbeiter“) zur Durchführung spezifischer Verarbeitungstätigkeiten einzusetzen.

Der KUNDE erkennt an und stimmt zu, dass LENGOW im Rahmen der VEREINBARUNG-LÖSUNG regelmäßig andere technische Dienstleister einsetzt, die die Funktion eines LENGOW Unterauftragsverarbeiters haben können und personenbezogene Daten im Auftrag von LENGOW verarbeiten. Der KUNDE kann auf die aktualisierte Liste der LENGOW Unterauftragsverarbeiter zugreifen, indem er hier klickt. Der KUNDE hat fünfzehn (15) Kalendertage ab Erhalt dieser Informationen Zeit, um Einspruch zu erheben, wobei dieser Einspruch auf objektiven und vernünftigen Gründen basieren muss.

LENGOW Unterauftragsverarbeiter sind verpflichtet, die Verpflichtungen dieser Vereinbarung im Namen und gemäß den Anweisungen des KUNDEN zu erfüllen. Es liegt in der Verantwortung von LENGOW sicherzustellen, dass die LENGOW Unterauftragsverarbeiter die gleichen angemessenen Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen bieten, sodass die Verarbeitung die Anforderungen der DSGVO erfüllt.

Wenn der LENGOW Unterauftragsverarbeiter seine Verpflichtungen zum Schutz personenbezogener Daten nicht erfüllt, bleibt LENGOW gegenüber dem KUNDEN voll verantwortlich für die Erfüllung der Verpflichtungen durch den LENGOW Unterauftragsverarbeiter.

ARTIKEL VI. AUSÜBUNG DER RECHTE DER BETROFFENEN PERSONEN

Alle Rechte, die die Betroffenen an ihren personenbezogenen Daten haben, nämlich die Rechte auf Zugang, Berichtigung, Löschung und Widerspruch, das Recht auf Einschränkung der Verarbeitung, das Recht auf Datenübertragbarkeit, das Recht, nicht einer automatisierten individuellen Entscheidungsfindung (einschließlich Profiling) unterworfen zu werden, müssen von den Betroffenen direkt und ausschließlich beim KUNDEN ausgeübt werden, wobei LENGOW sich verpflichtet, alle schriftlichen und rechtmäßigen Anweisungen des KUNDEN in dieser Hinsicht zu befolgen.

Wenn Betroffene ihre Rechte in Bezug auf ihre personenbezogenen Daten bei LENGOW ausüben, wird LENGOW, sofern nicht anders schriftlich vereinbart, solche Anfragen unverzüglich per E-Mail an den KUNDEN weiterleiten.

ARTIKEL VII. MELDUNG VON VERLETZUNGEN DES SCHUTZES PERSONENBEZOGENER DATEN

LENGOW verpflichtet sich, den KUNDEN so schnell wie möglich nach Bekanntwerden über jede Verletzung des Schutzes personenbezogener Daten zu informieren, wenn diese Verletzung dazu führt, dass personenbezogene Daten versehentlich oder unrechtmäßig unbefugt zugänglich gemacht oder offengelegt, verändert, verloren oder zerstört werden. Es liegt dann in der Verantwortung des KUNDEN, gegebenenfalls (i) die Aufsichtsbehörde, bei der er gemeldet ist, und (ii) die Betroffenen zu informieren.

Auf erste Anfrage des KUNDEN wird LENGOW alle notwendigen Elemente schriftlich zur Verfügung stellen, die für die Meldung der Verletzung des Schutzes personenbezogener Daten durch den KUNDEN an die zuständige Aufsichtsbehörde erforderlich sind, nämlich:

• die Art der Verletzung des Schutzes personenbezogener Daten einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen sowie der Kategorien und der ungefähren Anzahl der betroffenen personenbezogenen Datensätze;

• den Namen und die Kontaktdaten des Datenschutzbeauftragten von LENGOW oder einer anderen Kontaktstelle, bei der weitere Informationen erhältlich sind;

• die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;

• die Maßnahmen, die LENGOW ergriffen hat oder vorschlägt, um die Verletzung des Schutzes personenbezogener Daten zu beheben, einschließlich gegebenenfalls Maßnahmen zur Minderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit es LENGOW nicht möglich ist, dem KUNDEN alle diese Informationen gleichzeitig bereitzustellen, verpflichtet sich LENGOW, diese Informationen dem KUNDEN so schnell wie möglich in Etappen zur Verfügung zu stellen.

ARTIKEL VIII. ZUSAMMENARBEIT

Im Falle von Melde- und Benachrichtigungspflichten gegenüber den zuständigen Aufsichtsbehörden und/oder Betroffenen, die sich aus einer Verletzung des Schutzes personenbezogener Daten ergeben, werden die PARTEIEN auf Anfrage Unterstützung und Informationen für die andere PARTEI bereitstellen

Die PARTEIEN werden, soweit erforderlich, bei der Durchführung von Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der zuständigen Aufsichtsbehörde zusammenarbeiten; Wenn eine Aufsichtsbehörde mit einer PARTEI in Bezug auf die Verarbeitung der personenbezogenen Daten des KUNDEN im Rahmen der Vereinbarung oder dieses VERTRAGS kommuniziert, wird die PARTEI, die mit der Aufsichtsbehörde kommuniziert hat, die andere PARTEI so schnell wie möglich informieren. Die PARTEIEN werden in dem Maße zusammenarbeiten, wie es vernünftigerweise erforderlich ist, um ihren Verpflichtungen zur Beantwortung von Anfragen der Aufsichtsbehörde nachzukommen. Die PARTEIEN tragen jeweils die angemessenen Kosten im Zusammenhang mit der Erfüllung dieser Verpflichtungen, wobei festgelegt ist, dass im Falle einer erweiterten Unterstützung durch eine der PARTEIEN diese in gutem Glauben die Aufteilung der damit verbundenen Kosten besprechen wird.

ARTIKEL IX. SICHERHEITSMASSNAHMEN

LENGOW verpflichtet sich, geeignete Sicherheitsmaßnahmen zu ergreifen, um die personenbezogenen Daten zu sichern und deren Integrität, Verfügbarkeit und Vertraulichkeit zu gewährleisten. LENGOW hat eine Sicherheitsrichtlinie formalisiert, die die ergriffenen Sicherheitsmaßnahmen beschreibt. Diese Sicherheitsrichtlinie ist auf Anfrage bei LENGOW erhältlich.

ARTIKEL X. ERGEBNIS DER DATEN

X.1 Daten von INTERNETNUTZERN

Während der Durchführung der VEREINBARUNG-LÖSUNG wird LENGOW alle personenbezogenen Daten von INTERNETNUTZERN, die sich in seinem Besitz befinden, innerhalb eines maximalen Zeitraums von sechs (6) Monaten ab ihrer Erhebung über die LENGOW LÖSUNG löschen oder in jedem Fall automatisch anonymisieren.

Am Ende der VEREINBARUNG-LÖSUNG verpflichtet sich LENGOW, alle personenbezogenen Daten von INTERNETNUTZERN, die sich noch in seinem Besitz befinden, innerhalb von zwei (2) Monaten nach Vertragsende zu vernichten oder in jedem Fall zu anonymisieren, es sei denn, das Unions- oder Mitgliedstaatenrecht verlangt die Speicherung der personenbezogenen Daten.

X.2 Daten von NUTZERN:

Am Ende der VEREINBARUNG-LÖSUNG wird LENGOW die personenbezogenen Daten von NUTZERN innerhalb von 30 Tagen nach Vertragsende aus seinen Informationssystemen löschen oder anonymisieren, es sei denn, administrative oder rechtliche Verpflichtungen verlangen etwas anderes.

ARTIKEL XI. AUDIT

LENGOW stellt dem KUNDEN die erforderliche Dokumentation zur Verfügung, um die Einhaltung aller seiner Verpflichtungen nachzuweisen und um innerhalb der Grenze von einem Audit pro Vertragsjahr Audits durch den KUNDEN oder einen anderen unabhängigen Prüfer, der von ihm ernannt wurde und der vorher von LENGOW schriftlich validiert werden muss, durchzuführen und zu diesen Audits beizutragen. Diese Audits werden remote auf der Grundlage der vom KUNDEN bei LENGOW angeforderten Informationen durchgeführt, um die von LENGOW zur Einhaltung der DSGVO eingeführten Verfahren und Dokumentationen nachzuweisen. Alle dem KUNDEN im Zusammenhang mit einem solchen Audit entstehenden Kosten trägt ausschließlich der KUNDE.

Der KUNDE teilt LENGOW im Voraus und mindestens zwei (2) Monate im Voraus jede Audit-Anfrage, das Datum des Audits und den Namen und die Kontaktdaten der für das Audit verantwortlichen Personen mit. Diese Frist kann im Falle einer Verletzung des Schutzes personenbezogener Daten auf fünfzehn (15) Tage verkürzt werden.

Da das Audit remote durchgeführt wird, wird LENGOW in gutem Glauben mit dem Prüfer zusammenarbeiten und ihm alle Informationen, Dokumente oder Erklärungen zur Verfügung stellen, die für die Durchführung des Audits im Zusammenhang mit den im Rahmen der Vertragserfüllung durchgeführten Verarbeitungsvorgängen erforderlich sind. Unter keinen Umständen darf das Audit direkt oder indirekt darauf abzielen oder zur Folge haben, die Aktivitäten von LENGOW zu stören oder in irgendeiner Weise auf Elemente zuzugreifen oder diese zu beeinträchtigen, die Eigentum von LENGOW sind und unter geistigem Eigentum oder Geschäftsgeheimnis geschützt sind.

ARTIKEL XII. INTERNATIONALE ÜBERMITTLUNGEN

Der KUNDE erkennt an und stimmt zu, dass LENGOW personenbezogene Daten außerhalb des EWR oder an eine internationale Organisation unter der einzigen Bedingung übermitteln darf, dass eine der in Kapitel V der DSGVO vorgesehenen angemessenen Schutzmaßnahmen wirksam umgesetzt wird.

Diese Maßnahmen umfassen:

Die Übermittlung von Daten an ein Drittland, das Gegenstand einer Angemessenheitsentscheidung der Europäischen Kommission ist, die in Kraft bleibt;

Die Überwachung der Datenübermittlung durch Unterzeichnung des entsprechenden Moduls der in Kraft befindlichen Standardvertragsklauseln, die von der Europäischen Kommission angenommen wurden (Stand: https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX: 32021D0914 &locale=en) und die Umsetzung gegebenenfalls zusätzlicher Maßnahmen, um ein Schutzniveau zu gewährleisten, das dem durch die DSGVO vorgesehenen Schutz im Wesentlichen gleichwertig ist;

Die Nutzung einer der spezifischen Ausnahmen, die in Artikel 49 der DSGVO vorgesehen sind, wenn die Übermittlung strikt den spezifischen Anwendungsbedingungen der ausgewählten Ausnahme entspricht.

ARTIKEL XIII. SONSTIGE BESTIMMUNGEN

Die Vereinbarung und jedes zugrunde liegende Instrument stellen die gesamte Vereinbarung zwischen den PARTEIEN in Bezug auf den Gegenstand dieser Vereinbarung dar und ersetzen alle vorherigen Vereinbarungen oder Zusicherungen, mündlich oder schriftlich, in Bezug auf diesen Gegenstand.

Im Falle von Abweichungen zwischen der Vereinbarung, der VEREINBARUNG-LÖSUNG und jeder anderen Vereinbarung zwischen den PARTEIEN haben die Bestimmungen der Vereinbarung Vorrang, wenn sie sich auf die Verarbeitung personenbezogener Daten beziehen.

Die Vereinbarung und alle daraus resultierenden oder damit in Zusammenhang stehenden Streitigkeiten werden nach französischem Recht ausgelegt, geregelt und ausgeführt. Jede PARTEI stimmt unwiderruflich der ausschließlichen Zuständigkeit der Gerichte von Nantes (44200) für alle Streitigkeiten und Ansprüche aus der Vereinbarung und alle Maßnahmen zur Durchsetzung solcher Ansprüche oder zur Erlangung von Schadensersatz oder anderen Rechtsbehelfen im Zusammenhang mit solchen Ansprüchen zu, es sei denn, das geltende Datenschutzrecht erfordert etwas anderes.

Die Beschreibung der von LENGOW im Rahmen des VERTRAGS durchgeführten Verarbeitung personenbezogener Daten ist in der nachstehenden Tabelle dargestellt: