Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil des Vertrags zwischen der UAB Ocoya („Ocoya“) und der Kundeneinheit, die als Mitglied Partei des Vertrags ist („Kunde“), und unterliegt dessen Bestimmungen und Bedingungen. Alle in diesem AVV verwendeten Begriffe mit großem Anfangsbuchstaben, die in diesem AVV nicht definiert sind, haben die im Vertrag festgelegte Bedeutung. Zur Klarstellung: Alle Verweise auf den „Vertrag“ schließen diesen AVV ein (einschließlich der SCCs (soweit anwendbar), wie hierin definiert).

1. Begriffsbestimmungen

„Verbundenes Unternehmen“ bezeichnet eine Einheit, die eine andere Einheit unmittelbar oder mittelbar Kontrolliert, von ihr Kontrolliert wird oder mit ihr unter gemeinsamer Kontrolle steht.

„Vertrag“ bezeichnet unsere Nutzungsbedingungen oder eine sonstige schriftliche oder elektronische Vereinbarung, die die Bereitstellung des Dienstes für den Kunden regelt, in der jeweils aktualisierten Fassung dieser Bedingungen bzw. dieser Vereinbarung.

„Kontrolle“ bezeichnet eine Eigentums-, Stimmrechts- oder vergleichbare Beteiligung, die fünfzig Prozent (50%) oder mehr der zu diesem Zeitpunkt insgesamt ausstehenden Anteile an der betreffenden Einheit ausmacht. Der Begriff „Kontrolliert“ ist entsprechend auszulegen.

„Kundendaten“ bezeichnet alle personenbezogenen Daten, die wir im Auftrag des Kunden über den Dienst verarbeiten, wie in diesem AVV näher beschrieben.

„Datenschutzgesetze“ bezeichnet alle Datenschutzgesetze und -vorschriften, die auf die Verarbeitung von Kundendaten durch eine Partei im Rahmen des Vertrags anwendbar sind, einschließlich, soweit anwendbar, der Europäischen Datenschutzgesetze und der Nichteuropäischen Datenschutzgesetze.

„Europäische Datenschutzgesetze“ bezeichnet alle in Europa anwendbaren Datenschutzgesetze und -vorschriften, einschließlich (i) der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr (Datenschutz-Grundverordnung) („DSGVO“); (ii) der Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation; (iii) der anwendbaren nationalen Umsetzungen von (i) und (ii); (iv) der DSGVO, wie sie kraft Section 3 des UK European Union (Withdrawal) Act 2018 Teil des Rechts des Vereinigten Königreichs ist, und des UK Data Protection Act 2018 (zusammen die „Datenschutzgesetze des Vereinigten Königreichs“); und (v) des Schweizer Bundesgesetzes über den Datenschutz vom 19. Juni 1992 und der zugehörigen Verordnung („Schweizer DSG“).

„Europa“ bezeichnet für die Zwecke dieses AVV den Europäischen Wirtschaftsraum und seine Mitgliedstaaten („EWR“), die Schweiz und das Vereinigte Königreich („UK“).

„Nichteuropäische Datenschutzgesetze“ bezeichnet den California Consumer Privacy Act („CCPA“); den kanadischen Personal Information Protection and Electronic Documents Act („PIPEDA“); das brasilianische allgemeine Datenschutzgesetz („LGPD“), Bundesgesetz Nr. 13,709/2018; und den Privacy Act 1988 (Cth) Australiens in seiner geänderten Fassung („Australisches Datenschutzrecht“).

„SCCs“ bezeichnet (i) die Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern, die von der Europäischen Kommission in ihrem Durchführungsbeschluss (EU) 2021/91 vom 4. Juni 2021 angenommen wurden; oder (ii) die Standardvertragsklauseln zwischen Auftragsverarbeitern, die von der Europäischen Kommission in ihrem Durchführungsbeschluss (EU) 2021/91 vom 4. Juni 2021 angenommen wurden; jeweils wie gemäß Abschnitt 6.3 anwendbar.

„Sicherheitsvorfall“ bezeichnet jede unbefugte oder unrechtmäßige Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust oder zur Veränderung von Kundendaten oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu Kundendaten auf Systemen führt, die von Ocoya verwaltet oder anderweitig kontrolliert werden.

„Sensible Daten“ bezeichnet (a) Sozialversicherungsnummern, Steuernummern, Reisepassnummern, Führerscheinnummern oder ähnliche Kennungen (oder Teile davon); (b) Kredit- oder Debitkartennummern (mit Ausnahme der gekürzten (letzten vier Ziffern) einer Kredit- oder Debitkarte); (c) Beschäftigungs-, Finanz-, Kredit-, genetische, biometrische oder Gesundheitsdaten; (d) rassische oder ethnische Herkunft, politische oder religiöse Zugehörigkeit, Gewerkschaftszugehörigkeit, Informationen über das Sexualleben oder die sexuelle Orientierung oder Vorstrafen; (e) Kontopasswörter; oder (f) sonstige Informationen, die unter die Definition der „besonderen Kategorien von Daten“ nach den anwendbaren Datenschutzgesetzen fallen.

„Unterauftragsverarbeiter“ bezeichnet jeden Auftragsverarbeiter, der von Ocoya oder seinen Verbundenen Unternehmen hinzugezogen wird, um bei der Erfüllung seiner Pflichten im Zusammenhang mit der Bereitstellung des Dienstes gemäß dem Vertrag oder diesem AVV zu unterstützen. Unterauftragsverarbeiter können Dritte oder Verbundene Unternehmen von Ocoya sein, nicht jedoch Mitarbeiter, Auftragnehmer oder Berater von Ocoya.

„UK-Addendum“ bezeichnet das International Data Transfer Addendum (Version B1.0), das vom Information Commisioners Office gemäß S.119(A) des UK Data Protection Act 2018 herausgegeben wurde, in seiner jeweils aktualisierten oder geänderten Fassung.

Die Begriffe „personenbezogene Daten“, „Verantwortlicher“, „betroffene Person“, „Auftragsverarbeiter“ und „Verarbeitung“ haben die ihnen nach den anwendbaren Datenschutzgesetzen oder, sofern dort nicht definiert, nach der DSGVO zugewiesene Bedeutung, und „verarbeiten“, „verarbeitet“ und „verarbeitete“ sind in Bezug auf Kundendaten entsprechend auszulegen.

2. Rollen und Verantwortlichkeiten

Rollen der Parteien — Finden die Europäischen Datenschutzgesetze oder das LGPD auf die Verarbeitung von Kundendaten durch eine der Parteien Anwendung, erkennen die Parteien an und vereinbaren, dass Ocoya in Bezug auf die Verarbeitung von Kundendaten ein Auftragsverarbeiter ist, der im Auftrag des Kunden handelt (unabhängig davon, ob dieser selbst Verantwortlicher oder Auftragsverarbeiter ist). Zur Klarstellung: Dieser AVV gilt nicht für Fälle, in denen Ocoya der Verantwortliche (im Sinne der Europäischen Datenschutzgesetze) ist, sofern in Anhang C (Rechtsordnungsspezifische Bestimmungen) dieses AVV nichts anderes beschrieben ist.

Zweckbindung — Ocoya verarbeitet Kundendaten, wie in Anhang A (Einzelheiten der Datenverarbeitung) dieses AVV näher beschrieben, ausschließlich gemäß den in diesem AVV festgelegten dokumentierten rechtmäßigen Weisungen des Kunden, soweit dies zur Einhaltung anwendbaren Rechts erforderlich ist, oder wie anderweitig schriftlich vereinbart („Zulässige Zwecke“). Die Parteien vereinbaren, dass der Vertrag einschließlich dieses AVV sowie die vom Kunden vorgenommene Konfiguration oder Nutzung von Einstellungen, Funktionen oder Optionen im Dienst (wie sie der Kunde von Zeit zu Zeit ändern kann) die vollständigen und abschließenden Weisungen des Kunden an Ocoya in Bezug auf die Verarbeitung von Kundendaten darstellen (auch für die Zwecke der SCCs) und dass eine Verarbeitung außerhalb des Umfangs dieser Weisungen (falls vorhanden) einer vorherigen schriftlichen Vereinbarung zwischen den Parteien bedarf.

Unzulässige Daten — Der Kunde wird Ocoya keine Sensiblen Daten zur Verarbeitung im Rahmen des Vertrags zur Verfügung stellen (oder deren Bereitstellung veranlassen), und Ocoya übernimmt keinerlei Haftung für Sensible Daten, sei es im Zusammenhang mit einem Sicherheitsvorfall oder anderweitig. Zur Klarstellung: Dieser AVV gilt nicht für Sensible Daten.

Compliance des Kunden — Der Kunde sichert zu und gewährleistet, dass (i) er alle anwendbaren Gesetze, einschließlich der Datenschutzgesetze, in Bezug auf seine Verarbeitung von Kundendaten und alle Verarbeitungsweisungen, die er Ocoya erteilt, eingehalten hat und weiterhin einhalten wird; und (ii) er alle Informationen bereitgestellt hat und weiterhin bereitstellen wird und alle Einwilligungen und Rechte eingeholt hat und weiterhin einholen wird, die nach den Datenschutzgesetzen erforderlich sind, damit Ocoya Kundendaten für die im Vertrag beschriebenen Zwecke verarbeiten kann. Der Kunde trägt die alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmäßigkeit der Kundendaten sowie für die Mittel, mit denen der Kunde die Kundendaten erlangt hat. Unbeschadet der Allgemeingültigkeit des Vorstehenden erklärt sich der Kunde damit einverstanden, dass er für die Einhaltung aller Gesetze (einschließlich der Datenschutzgesetze) verantwortlich ist, die auf Kampagnen (wie im Vertrag definiert) oder sonstige über den Dienst erstellte, versendete oder verwaltete Inhalte anwendbar sind.

Rechtmäßigkeit der Weisungen des Kunden — Der Kunde stellt sicher, dass die Verarbeitung der Kundendaten durch Ocoya gemäß den Weisungen des Kunden nicht dazu führt, dass Ocoya gegen anwendbare Gesetze, Vorschriften oder Regeln verstößt, einschließlich, ohne Einschränkung, der Datenschutzgesetze. Ocoya informiert den Kunden unverzüglich schriftlich, sofern dies nicht nach den Europäischen Datenschutzgesetzen untersagt ist, wenn Ocoya Kenntnis davon erlangt oder der Auffassung ist, dass eine Datenverarbeitungsweisung des Kunden gegen die Europäischen Datenschutzgesetze verstößt. Handelt der Kunde als Auftragsverarbeiter im Auftrag eines dritten Verantwortlichen (oder eines sonstigen Vermittlers gegenüber dem letztendlichen Verantwortlichen), gewährleistet der Kunde, dass seine im Vertrag und in diesem AVV festgelegten Verarbeitungsweisungen, einschließlich seiner Genehmigungen gegenüber Ocoya zur Beauftragung von Unterauftragsverarbeitern gemäß diesem AVV, von dem jeweiligen Verantwortlichen genehmigt wurden. Der Kunde dient als einzige Kontaktstelle für Ocoya, und Ocoya muss mit einem dritten Verantwortlichen nicht unmittelbar interagieren (auch nicht, um diesem Mitteilungen zukommen zu lassen oder dessen Genehmigung einzuholen), außer im Rahmen der regulären Bereitstellung des Dienstes, soweit dies nach dem Vertrag erforderlich ist. Der Kunde ist dafür verantwortlich, gegebenenfalls alle im Rahmen dieses AVV erhaltenen Mitteilungen an den jeweiligen Verantwortlichen weiterzuleiten.

3. Unterauftragsverarbeitung

Genehmigte Unterauftragsverarbeiter — Der Kunde erklärt sich damit einverstanden, dass Ocoya Unterauftragsverarbeiter hinzuziehen darf, um Kundendaten im Auftrag des Kunden zu verarbeiten. Die derzeit von Ocoya hinzugezogenen und von Ocoya genehmigten Unterauftragsverarbeiter – Ocoya informiert den Kunden mindestens 10 Tage vor einer Hinzufügung oder Entfernung von Unterauftragsverarbeitern über solche Änderungen, sofern der Kunde dem Erhalt solcher Mitteilungen zugestimmt hat.

Pflichten der Unterauftragsverarbeiter — Ocoya wird: (i) mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung schließen, die Datenschutzpflichten enthält, die für die Kundendaten mindestens das gleiche Schutzniveau bieten wie die Pflichten in diesem AVV, soweit diese auf die Art der von dem jeweiligen Unterauftragsverarbeiter erbrachten Leistung anwendbar sind; und (ii) dafür verantwortlich bleiben, dass der jeweilige Unterauftragsverarbeiter die Pflichten aus diesem AVV einhält, sowie für alle Handlungen oder Unterlassungen des jeweiligen Unterauftragsverarbeiters, die dazu führen, dass Ocoya eine seiner Pflichten aus diesem AVV verletzt. Der Kunde erkennt an und erklärt sich damit einverstanden, dass Ocoya, soweit anwendbar, seine Pflichten aus Klausel 9 der Klauseln von 2021 für die Übermittlung von Verantwortlichen an Auftragsverarbeiter und der Klauseln von 2021 für die Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter (je nach Anwendbarkeit) durch die Einhaltung dieses Abschnitts 3 erfüllt und dass Ocoya aufgrund von Vertraulichkeitsbeschränkungen daran gehindert sein kann, dem Kunden Verträge mit Unterauftragsverarbeitern offenzulegen; Ocoya wird sich jedoch auf Anfrage in angemessener Weise bemühen, dem Kunden alle relevanten Informationen im Zusammenhang mit den Verträgen mit Unterauftragsverarbeitern zur Verfügung zu stellen, die Ocoya vernünftigerweise bereitstellen kann.

4. Sicherheit

Sicherheitsmaßnahmen — Ocoya ergreift und unterhält geeignete technische und organisatorische Sicherheitsmaßnahmen, die darauf ausgelegt sind, Kundendaten vor Sicherheitsvorfällen zu schützen und die Sicherheit und Vertraulichkeit der Kundendaten gemäß den in Anhang B („Sicherheitsmaßnahmen“) dieses AVV beschriebenen Sicherheitsstandards von Ocoya zu wahren.

Vertraulichkeit der Verarbeitung — Ocoya stellt sicher, dass alle Personen, die von Ocoya zur Verarbeitung von Kundendaten befugt sind (einschließlich seiner Mitarbeiter, Vertreter und Subunternehmer), einer angemessenen Verschwiegenheitspflicht unterliegen (sei es aufgrund einer vertraglichen oder einer gesetzlichen Pflicht).

Aktualisierungen der Sicherheitsmaßnahmen — Der Kunde ist dafür verantwortlich, die von Ocoya zur Verfügung gestellten Informationen zur Datensicherheit zu prüfen und eigenständig zu beurteilen, ob der Dienst den Anforderungen und gesetzlichen Pflichten des Kunden nach den Datenschutzgesetzen entspricht. Der Kunde erkennt an, dass die Sicherheitsmaßnahmen dem technischen Fortschritt und der Weiterentwicklung unterliegen und dass Ocoya die Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren oder ändern darf, sofern diese Aktualisierungen und Änderungen nicht zu einer Verschlechterung der Gesamtsicherheit des für den Kunden bereitgestellten Dienstes führen.

Reaktion auf Sicherheitsvorfälle — Sobald Ocoya Kenntnis von einem Sicherheitsvorfall erlangt, wird Ocoya: (i) den Kunden unverzüglich und, soweit möglich, innerhalb von 48 Stunden nach Kenntniserlangung benachrichtigen; (ii) zeitnah Informationen über den Sicherheitsvorfall bereitstellen, sobald diese bekannt werden oder soweit sie vom Kunden in angemessener Weise angefordert werden; und (iii) unverzüglich angemessene Maßnahmen ergreifen, um einen Sicherheitsvorfall einzudämmen und zu untersuchen. Die Benachrichtigung über einen Sicherheitsvorfall oder die Reaktion darauf durch Ocoya gemäß diesem Abschnitt 4.4 ist nicht als Anerkennung eines Verschuldens oder einer Haftung durch Ocoya in Bezug auf den Sicherheitsvorfall auszulegen.

Pflichten des Kunden — Ungeachtet des Vorstehenden erklärt sich der Kunde damit einverstanden, dass er, soweit in diesem AVV nicht anders vorgesehen, für die sichere Nutzung des Dienstes verantwortlich ist, einschließlich der Sicherung der Authentifizierungsdaten seines Kontos, des Schutzes der Sicherheit der Kundendaten während der Übertragung zum und vom Dienst sowie der Ergreifung geeigneter Maßnahmen zur sicheren Verschlüsselung oder Sicherung aller in den Dienst hochgeladenen Kundendaten.

5. Sicherheitsberichte und Prüfungen

Prüfungsrechte — Ocoya stellt dem Kunden alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen, und ermöglicht Prüfungen, einschließlich Inspektionen durch den Kunden, zur Beurteilung der Einhaltung dieses AVV und trägt zu diesen bei. Der Kunde erkennt an und erklärt sich damit einverstanden, dass er seine Prüfungsrechte aus diesem AVV (einschließlich dieses Abschnitts 5.1 und, soweit anwendbar, der SCCs) sowie alle durch die Datenschutzgesetze gewährten Prüfungsrechte ausübt, indem er Ocoya anweist, die in den nachstehenden Abschnitten beschriebenen Prüfungsmaßnahmen einzuhalten.

Sicherheitsberichte — Der Kunde erkennt an, dass Ocoya regelmäßig von unabhängigen externen Prüfern bzw. internen Prüfern anhand der Standards SSAE 16 und PCI geprüft wird. Auf schriftliche Anfrage stellt Ocoya dem Kunden (auf vertraulicher Basis) eine zusammenfassende Kopie seines bzw. seiner aktuellsten Prüfberichte („Bericht“) zur Verfügung, damit der Kunde die Einhaltung der Prüfungsstandards, anhand derer Ocoya bewertet wurde, sowie dieses AVV durch Ocoya überprüfen kann.

Sicherheitsbezogene Due Diligence — Zusätzlich zum Bericht beantwortet Ocoya alle angemessenen Auskunftsersuchen des Kunden zur Bestätigung der Einhaltung dieses AVV durch Ocoya, einschließlich der Beantwortung von Fragebögen zur Informationssicherheit, zur Due Diligence und zu Prüfungen, indem Ocoya auf schriftliche Anfrage des Kunden an support@ocoya.com zusätzliche Informationen über sein Informationssicherheitsprogramm zur Verfügung stellt, vorausgesetzt, der Kunde übt dieses Recht nicht öfter als einmal pro Kalenderjahr aus.

6. Internationale Übermittlungen

Standorte der Rechenzentren — Vorbehaltlich des nachstehenden Abschnitts erkennt der Kunde an, dass Ocoya Kundendaten in die Vereinigten Staaten und an jeden anderen Ort der Welt übermitteln und dort verarbeiten darf, an dem Ocoya, seine Verbundenen Unternehmen oder seine Unterauftragsverarbeiter Datenverarbeitungstätigkeiten unterhalten. Ocoya stellt jederzeit sicher, dass solche Übermittlungen im Einklang mit den Anforderungen der Datenschutzgesetze und dieses AVV erfolgen.

Australische Daten. Soweit Ocoya Empfänger von Kundendaten ist, die durch das Australische Datenschutzrecht geschützt sind, erkennen die Parteien an und vereinbaren, dass Ocoya diese Kundendaten außerhalb Australiens übermitteln darf, soweit dies nach den von den Parteien vereinbarten Bedingungen zulässig ist und vorbehaltlich der Einhaltung dieses AVV und des Australischen Datenschutzrechts durch Ocoya.

Datenübermittlungen aus dem EWR. Soweit Ocoya Empfänger von durch die DSGVO geschützten Kundendaten in einem Land außerhalb des EWR ist, für das nicht anerkannt ist, dass es ein angemessenes Schutzniveau für personenbezogene Daten bietet (wie in den anwendbaren Europäischen Datenschutzgesetzen beschrieben), vereinbaren die Parteien, die SCCs einzuhalten und diese Kundendaten im Einklang mit den SCCs zu verarbeiten, die in diesen AVV einbezogen werden und einen integralen Bestandteil davon bilden.

Datenübermittlungen aus dem Vereinigten Königreich. In Bezug auf Übermittlungen, auf die die Datenschutzgesetze des Vereinigten Königreichs Anwendung finden, gelten die SCCs und gelten als gemäß dem UK-Addendum geändert. Das UK-Addendum gilt als von den Parteien unterzeichnet und wird in diesen AVV einbezogen und bildet einen integralen Bestandteil davon. Darüber hinaus gilt: Die Tabellen 1 bis 3 in Teil 1 des UK-Addendums gelten als mit den in den Anhängen I und II der jeweiligen SCCs aufgeführten Informationen ausgefüllt; und Tabelle 4 in Teil 1 des UK-Addendums gilt als durch Auswahl von „keine Partei“ ausgefüllt.

Datenübermittlungen aus der Schweiz. In Bezug auf Übermittlungen, auf die das Schweizer DSG Anwendung findet, gelten die SCCs gemäß Abschnitt 6.3 mit den folgenden Änderungen: (i) Verweise auf die „Verordnung (EU) 2016/679“ sind als Verweise auf das Schweizer DSG auszulegen; (ii) Verweise auf bestimmte Artikel der „Verordnung (EU) 2016/679“ werden durch den entsprechenden Artikel oder Abschnitt des Schweizer DSG ersetzt; (iii) Verweise auf „EU“, „Union“ und „Recht eines Mitgliedstaats“ werden durch „Schweiz“ ersetzt; (iv) Klausel 13(a) und Teil C von Anhang II werden gestrichen; (v) Verweise auf die „zuständige Aufsichtsbehörde“ und die „zuständigen Gerichte“ werden durch „den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten“ und „die zuständigen Gerichte in der Schweiz“ ersetzt; (vi) Klausel 17 wird ersetzt und lautet: „Diese Klauseln unterliegen dem Recht der Schweiz“; und (vii) Klausel 18 wird ersetzt und lautet: „Alle Streitigkeiten, die sich aus diesen Klauseln ergeben, werden von den zuständigen Gerichten der Schweiz entschieden. Die Parteien vereinbaren, sich der Zuständigkeit dieser Gerichte zu unterwerfen“.

Einhaltung der SCCs. Die Parteien vereinbaren, dass Ocoya den Kunden unverzüglich informiert, wenn Ocoya die Einhaltung der SCCs nicht gewährleisten kann. Beabsichtigt der Kunde, die Übermittlung Europäischer Daten auszusetzen und/oder die betroffenen Teile des Dienstes zu kündigen, so teilt er dies Ocoya zunächst mit und räumt Ocoya eine angemessene Frist zur Behebung der Nichteinhaltung ein, während der Ocoya und der Kunde in angemessener Weise zusammenarbeiten, um zu vereinbaren, welche zusätzlichen Garantien oder Maßnahmen gegebenenfalls vernünftigerweise erforderlich sind. Der Kunde ist nur dann berechtigt, die Übermittlung von Daten auszusetzen und/oder die betroffenen Teile des Dienstes wegen Nichteinhaltung der SCCs zu kündigen, wenn Ocoya die Nichteinhaltung nicht innerhalb einer angemessenen Frist behoben hat oder beheben kann.

Alternativer Übermittlungsmechanismus. Soweit Ocoya für die Übermittlung Europäischer Daten einen alternativen rechtmäßigen Datenübermittlungsmechanismus einführt, der in diesem AVV nicht beschrieben ist („Alternativer Übermittlungsmechanismus“), gilt der Alternative Übermittlungsmechanismus anstelle der in diesem AVV beschriebenen Übermittlungsmechanismen (jedoch nur, soweit dieser Alternative Übermittlungsmechanismus den anwendbaren Europäischen Datenschutzgesetzen entspricht und sich auf die Länder erstreckt, in die Europäische Daten übermittelt werden). Darüber hinaus darf Ocoya, wenn und soweit ein zuständiges Gericht oder eine Aufsichtsbehörde (aus welchem Grund auch immer) anordnet, dass die in diesem AVV beschriebenen Maßnahmen nicht für die rechtmäßige Übermittlung Europäischer Daten (im Sinne der anwendbaren Europäischen Datenschutzgesetze) herangezogen werden können, alle zusätzlichen Maßnahmen oder Garantien ergreifen, die vernünftigerweise erforderlich sind, um die rechtmäßige Übermittlung Europäischer Daten zu ermöglichen.

7. Rückgabe oder Löschung von Daten

Löschung oder Rückgabe bei Beendigung. Bei Kündigung oder Ablauf des Vertrags wird Ocoya (nach Wahl des Kunden) alle in seinem Besitz oder unter seiner Kontrolle befindlichen Kundendaten (einschließlich Kopien) löschen oder an den Kunden zurückgeben; diese Anforderung gilt jedoch nicht, soweit Ocoya nach anwendbarem Recht verpflichtet ist, die Kundendaten ganz oder teilweise aufzubewahren, und nicht für Kundendaten, die Ocoya auf Backup-Systemen archiviert hat; diese Kundendaten wird Ocoya sicher isolieren, vor jeder weiteren Verarbeitung schützen und schließlich gemäß den Löschrichtlinien von Ocoya löschen, soweit nicht nach anwendbarem Recht etwas anderes erforderlich ist. Die Parteien vereinbaren, dass die in Klausel 8.5 und 16(d) der Klauseln von 2021 für die Übermittlung von Verantwortlichen an Auftragsverarbeiter und der Klauseln von 2021 für die Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter (je nach Anwendbarkeit) beschriebene Bescheinigung über die Löschung von Kundendaten dem Kunden von Ocoya nur auf schriftliche Anfrage des Kunden ausgestellt wird.

8. Rechte betroffener Personen und Zusammenarbeit

Anträge betroffener Personen — Im Rahmen des Dienstes stellt Ocoya dem Kunden eine Reihe von Self-Service-Funktionen zur Verfügung, mit denen der Kunde Kundendaten abrufen, berichtigen, löschen oder deren Nutzung einschränken kann und die der Kunde ohne zusätzliche Kosten über das Konto des Kunden nutzen kann, um sich bei der Erfüllung seiner Pflichten (oder der Pflichten seines dritten Verantwortlichen) nach den Datenschutzgesetzen in Bezug auf die Beantwortung von Anträgen betroffener Personen unterstützen zu lassen. Darüber hinaus leistet Ocoya dem Kunden unter Berücksichtigung der Art der Verarbeitung im Rahmen des Möglichen angemessene zusätzliche Unterstützung, damit der Kunde (oder sein dritter Verantwortlicher) seine Datenschutzpflichten in Bezug auf die Rechte betroffener Personen nach den Datenschutzgesetzen erfüllen kann. Wird ein solcher Antrag unmittelbar an Ocoya gerichtet, beantwortet Ocoya diese Mitteilung ohne vorherige Genehmigung des Kunden nicht unmittelbar, es sei denn, dies ist angemessen (beispielsweise, um die betroffene Person an den Kunden zu verweisen) oder gesetzlich vorgeschrieben. Ist Ocoya verpflichtet, auf einen solchen Antrag zu antworten, wird Ocoya, sofern der Kunde aus dem Antrag identifiziert oder identifizierbar ist, den Kunden unverzüglich benachrichtigen und ihm eine Kopie des Antrags zur Verfügung stellen, sofern dies Ocoya nicht gesetzlich untersagt ist. Zur Klarstellung: Keine Bestimmung des Vertrags (einschließlich dieses AVV) beschränkt oder hindert Ocoya daran, Anträge betroffener Personen oder von Datenschutzbehörden in Bezug auf personenbezogene Daten zu beantworten, für die Ocoya Verantwortlicher ist.

Datenschutz-Folgenabschätzung — Soweit nach den anwendbaren Datenschutzgesetzen erforderlich, stellt Ocoya (unter Berücksichtigung der Art der Verarbeitung und der Ocoya zur Verfügung stehenden Informationen) alle in angemessener Weise angeforderten Informationen über den Dienst bereit, damit der Kunde Datenschutz-Folgenabschätzungen oder vorherige Konsultationen mit Datenschutzbehörden durchführen kann, wie dies nach den Datenschutzgesetzen erforderlich ist. Ocoya kommt dem Vorstehenden nach, indem Ocoya: (i) Abschnitt 5 (Sicherheitsberichte und Prüfungen) einhält; (ii) die im Vertrag, einschließlich dieses AVV, enthaltenen Informationen bereitstellt; und (iii) falls die vorstehenden Unterabschnitte (i) und (ii) für den Kunden nicht ausreichen, um diese Pflichten zu erfüllen, auf Anfrage zusätzliche angemessene Unterstützung leistet (auf Kosten des Kunden).

9. Rechtsordnungsspezifische Bestimmungen

Soweit Ocoya Kundendaten verarbeitet, die aus einer der in Anhang C aufgeführten Rechtsordnungen stammen und durch die dortigen Datenschutzgesetze geschützt sind, gelten die in Anhang C für die jeweilige(n) Rechtsordnung(en) festgelegten Bestimmungen („Rechtsordnungsspezifische Bestimmungen“) zusätzlich zu den Bestimmungen dieses AVV. Im Falle eines Widerspruchs oder einer Unklarheit zwischen den Rechtsordnungsspezifischen Bestimmungen und sonstigen Bestimmungen dieses AVV haben die anwendbaren Rechtsordnungsspezifischen Bestimmungen Vorrang, jedoch nur in dem Umfang, in dem die Rechtsordnungsspezifischen Bestimmungen auf Ocoya anwendbar sind.

10. Haftungsbeschränkung

Die Haftung jeder Partei und aller ihrer Verbundenen Unternehmen insgesamt, die sich aus oder im Zusammenhang mit diesem AVV (einschließlich der SCCs) ergibt, unterliegt den im Vertrag festgelegten Haftungsausschlüssen und -beschränkungen. Ansprüche gegen Ocoya oder seine Verbundenen Unternehmen aus oder im Zusammenhang mit diesem AVV (einschließlich, soweit anwendbar, der SCCs) können ausschließlich von der Kundeneinheit geltend gemacht werden, die Partei des Vertrags ist. Keine Partei darf ihre Haftung in Bezug auf die Datenschutzrechte einer natürlichen Person nach diesem AVV oder anderweitig beschränken.

11. Verhältnis zum Vertrag

Dieser AVV bleibt so lange in Kraft, wie Ocoya im Auftrag des Kunden Verarbeitungsvorgänge in Bezug auf Kundendaten durchführt, oder bis zur Beendigung des Vertrags (und bis alle Kundendaten gemäß vorstehendem Abschnitt 7.1 zurückgegeben oder gelöscht wurden). Die Parteien vereinbaren, dass dieser AVV jeden bestehenden Auftragsverarbeitungsvertrag oder ein ähnliches Dokument ersetzt, den bzw. das die Parteien zuvor im Zusammenhang mit dem Dienst geschlossen haben. Im Falle eines Widerspruchs oder einer Unstimmigkeit zwischen diesem AVV und den Standard-Nutzungsbedingungen gehen die Bestimmungen der folgenden Dokumente (in der Reihenfolge ihres Vorrangs) vor: (i) die SCCs; sodann (ii) dieser AVV; und sodann (iii) die Standard-Nutzungsbedingungen. Mit Ausnahme der durch diesen AVV vorgenommenen Änderungen bleibt der Vertrag unverändert und in vollem Umfang in Kraft und wirksam. Niemand außer einer Partei dieses AVV, ihren Rechtsnachfolgern und zulässigen Abtretungsempfängern ist berechtigt, Bestimmungen dieses AVV durchzusetzen. Dieser AVV unterliegt den Bestimmungen des Vertrags über das anwendbare Recht und den Gerichtsstand und ist gemäß diesen auszulegen, sofern die anwendbaren Datenschutzgesetze nichts anderes verlangen.

12. Kontakt

Wenn Sie Fragen zu diesen Bedingungen haben, kontaktieren Sie uns bitte unter support@ocoya.com.

Anhang A — Einzelheiten der Datenverarbeitung

(a) Kategorien betroffener Personen: Zu den Kategorien betroffener Personen, deren personenbezogene Daten verarbeitet werden, gehören (i) Mitglieder (d. h. einzelne Endnutzer mit Zugang zu einem Ocoya-Konto) und (ii) Kontakte (d. h. Abonnenten eines Mitglieds und sonstige natürliche Personen, über die uns ein Mitglied Informationen übermittelt hat oder die anderweitig über den Dienst mit einem Mitglied interagiert haben).

(b) Kategorien personenbezogener Daten: Der Kunde kann bestimmte personenbezogene Daten in den Dienst hochladen, übermitteln oder anderweitig bereitstellen, deren Umfang in der Regel vom Kunden nach eigenem Ermessen bestimmt und kontrolliert wird und die die folgenden Arten personenbezogener Daten umfassen können:

• Mitglieder: Identifikations- und Kontaktdaten (Name, Anschrift, Titel, Kontaktangaben, Benutzername); Finanzinformationen (Kreditkartendaten, Kontodaten, Zahlungsinformationen); Beschäftigungsangaben (Arbeitgeber, Berufsbezeichnung, geografischer Standort, Verantwortungsbereich).
• Kontakte: Identifikations- und Kontaktdaten (Name, Geburtsdatum, Geschlecht, allgemeine Angaben, Beruf oder sonstige demografische Informationen, Anschrift, Titel, Kontaktangaben einschließlich E-Mail-Adresse); persönliche Interessen oder Präferenzen (einschließlich Kaufhistorie, Marketingpräferenzen und öffentlich zugänglicher Informationen aus Social-Media-Profilen); IT-Informationen (IP-Adressen, Nutzungsdaten, Cookie-Daten, Online-Navigationsdaten, Standortdaten, Browserdaten); Finanzinformationen (Kreditkartendaten, Kontodaten, Zahlungsinformationen).

(c) Verarbeitete sensible Daten (falls zutreffend): Ocoya beabsichtigt nicht, im Zusammenhang mit der Bereitstellung des Dienstes Sensible Daten zu erheben oder zu verarbeiten, und tut dies auch nicht absichtlich.

(d) Häufigkeit der Verarbeitung: Fortlaufend und wie vom Kunden bestimmt.

(e) Gegenstand und Art der Verarbeitung: Ocoya stellt einen Social-Media-Dienst, eine Automatisierungs- und Marketingplattform sowie sonstige damit verbundene Dienste bereit, wie im Vertrag näher beschrieben. Gegenstand der Datenverarbeitung im Rahmen dieses AVV sind die Kundendaten. Kundendaten werden gemäß dem Vertrag (einschließlich dieses AVV) verarbeitet und können den folgenden Verarbeitungstätigkeiten unterliegen: Speicherung und sonstige Verarbeitung, die erforderlich ist, um den dem Kunden gemäß dem Vertrag bereitgestellten Dienst zu erbringen, aufrechtzuerhalten und zu verbessern; und/oder Offenlegungen gemäß dem Vertrag und/oder soweit nach anwendbarem Recht zwingend erforderlich.

(f) Zweck der Verarbeitung: Ocoya verarbeitet Kundendaten ausschließlich für die Zulässigen Zwecke, zu denen gehören: (i) die Verarbeitung, soweit sie zur Bereitstellung des Dienstes gemäß dem Vertrag erforderlich ist; (ii) die vom Kunden bei seiner Nutzung des Dienstes veranlasste Verarbeitung; und (iii) die Verarbeitung zur Befolgung sonstiger angemessener Weisungen des Kunden (z. B. per E-Mail oder Support-Ticket), die mit den Bestimmungen des Vertrags vereinbar sind.

(g) Dauer der Verarbeitung und Zeitraum, für den personenbezogene Daten gespeichert werden: Ocoya verarbeitet Kundendaten wie in Abschnitt 7 (Rückgabe oder Löschung von Daten) dieses AVV dargelegt.

Anhang B — Rechtsordnungsspezifische Bestimmungen

Europa

Widerspruch gegen Unterauftragsverarbeiter. Der Kunde kann der Beauftragung eines neuen Unterauftragsverarbeiters durch Ocoya innerhalb von fünf (5) Kalendertagen nach Erhalt der Mitteilung gemäß Abschnitt 3.1 des AVV schriftlich widersprechen, sofern dieser Widerspruch auf berechtigten datenschutzbezogenen Gründen beruht. In diesem Fall erörtern die Parteien diese Bedenken nach Treu und Glauben mit dem Ziel, eine wirtschaftlich angemessene Lösung zu finden. Kann keine solche Lösung gefunden werden, wird Ocoya nach eigenem Ermessen entweder diesen Unterauftragsverarbeiter nicht beauftragen oder dem Kunden gestatten, den betroffenen Dienst gemäß den Kündigungsbestimmungen des Vertrags auszusetzen oder zu kündigen, ohne dass eine der Parteien hierfür haftet (jedoch unbeschadet etwaiger Entgelte, die dem Kunden vor der Aussetzung oder Kündigung entstanden sind).

Behördliche Ersuchen um Datenzugriff. Grundsätzlich gewährt Ocoya Regierungsstellen oder Behörden (einschließlich Strafverfolgungsbehörden) nicht freiwillig Zugang zu Ocoya-Konten (einschließlich Kundendaten) oder Informationen darüber. Erhält Ocoya von einer Regierungsstelle oder Behörde (einschließlich Strafverfolgungsbehörden) ein verbindliches Ersuchen (sei es durch eine Vorladung, einen Gerichtsbeschluss, einen Durchsuchungsbefehl oder ein sonstiges gültiges rechtliches Verfahren) um Zugang zu einem Ocoya-Konto (einschließlich Kundendaten) oder um Informationen über ein solches Konto, das einem Kunden gehört, dessen primäre Kontaktinformationen darauf hinweisen, dass der Kunde in Europa ansässig ist, wird Ocoya: (i) die Rechtmäßigkeit des Ersuchens prüfen; (ii) die Regierungsstelle darüber informieren, dass Ocoya Auftragsverarbeiter der Daten ist; (iii) versuchen, die Stelle dazu zu bewegen, die Daten unmittelbar beim Kunden anzufordern; (iv) den Kunden per E-Mail an die primäre Kontakt-E-Mail-Adresse des Kunden über das Ersuchen benachrichtigen, damit der Kunde eine Schutzanordnung oder einen sonstigen geeigneten Rechtsbehelf beantragen kann; und (v) bei der Beantwortung gegenüber der Stelle oder Behörde auf der Grundlage einer vernünftigen Auslegung des Ersuchens nur das zulässige Mindestmaß an Informationen bereitstellen. Im Rahmen dieser Bemühungen kann Ocoya der Stelle die primären Kontakt- und Rechnungskontaktinformationen des Kunden zur Verfügung stellen. Ocoya ist nicht verpflichtet, diesen Absatz 2 einzuhalten, wenn ihm dies gesetzlich untersagt ist oder wenn Ocoya vernünftigerweise und in gutem Glauben der Auffassung ist, dass ein dringender Zugriff erforderlich ist, um eine unmittelbar drohende Gefahr eines schweren Schadens für eine natürliche Person, die öffentliche Sicherheit oder das Eigentum von Ocoya, die Ocoya-Website oder den Dienst abzuwenden; ist es Ocoya jedoch gesetzlich untersagt, den Kunden über Ersuchen zu benachrichtigen, wird Ocoya sich nach besten Kräften bemühen, eine Befreiung von diesem Verbot zu erwirken.

Kalifornien

Sofern nicht anders beschrieben, gilt Folgendes für die Definitionen: „Verantwortlicher“ umfasst „Business“; „Auftragsverarbeiter“ umfasst „Service Provider“; „betroffene Person“ umfasst „Consumer“; „personenbezogene Daten“ umfasst „Personal Information“; jeweils im Sinne des CCPA.

Ausschließlich für diesen Abschnitt „Kalifornien“ von Anhang B umfassen die „Zulässigen Zwecke“ die Verarbeitung von Kundendaten ausschließlich für die in diesem AVV beschriebenen Zwecke und gemäß den in diesem AVV festgelegten dokumentierten rechtmäßigen Weisungen des Kunden, soweit dies zur Einhaltung anwendbaren Rechts erforderlich ist, wie anderweitig schriftlich vereinbart, einschließlich, ohne Einschränkung, im Vertrag, oder wie anderweitig für „Service Provider“ nach dem CCPA zulässig.

Die Pflichten von Ocoya in Bezug auf Anträge betroffener Personen, wie in Abschnitt 8 (Rechte betroffener Personen und Zusammenarbeit) dieses AVV beschrieben, erstrecken sich auch auf Anträge zur Wahrnehmung von Rechten nach dem CCPA.

Ungeachtet etwaiger an anderer Stelle in diesem AVV enthaltener Nutzungsbeschränkungen verarbeitet Ocoya Kundendaten zur Erbringung des Dienstes, für die Zulässigen Zwecke und/oder gemäß den dokumentierten rechtmäßigen Weisungen des Kunden oder wie anderweitig nach anwendbarem Recht zulässig oder erforderlich.

Ungeachtet etwaiger an anderer Stelle in diesem Anhang B enthaltener Nutzungsbeschränkungen darf Ocoya Kundendaten im Rahmen der Erbringung des in diesem AVV und im Vertrag festgelegten Dienstes de-identifizieren oder aggregieren.

Verarbeiten Unterauftragsverarbeiter die Personal Information von Kontakten des Kunden, ergreift Ocoya Maßnahmen, um sicherzustellen, dass diese Unterauftragsverarbeiter Service Provider im Sinne des CCPA sind, mit denen Ocoya einen schriftlichen Vertrag geschlossen hat, der Bestimmungen enthält, die diesem Abschnitt „Kalifornien“ von Anhang B im Wesentlichen entsprechen, oder dass sie anderweitig von der Definition des „Verkaufs“ („sale“) nach dem CCPA ausgenommen sind. Ocoya führt eine angemessene Due-Diligence-Prüfung seiner Unterauftragsverarbeiter durch.

Kanada

Ocoya ergreift Maßnahmen, um sicherzustellen, dass die Unterauftragsverarbeiter von Ocoya, wie in Abschnitt 3 (Unterauftragsverarbeitung) des AVV beschrieben, Dritte im Sinne des PIPEDA sind, mit denen Ocoya einen schriftlichen Vertrag geschlossen hat, der Bestimmungen enthält, die diesem AVV im Wesentlichen entsprechen. Ocoya führt eine angemessene Due-Diligence-Prüfung seiner Unterauftragsverarbeiter durch.

Ocoya ergreift technische und organisatorische Maßnahmen gemäß Abschnitt 4 (Sicherheit) des AVV.