Auftragsverarbeitungsvertrag

1.1. „Verantwortlicher“ (auch als „verantwortliche Stelle“ bezeichnet) bezeichnet die natürliche oder juristische Person, Behörde oder sonstige Körperschaft, die allein oder gemeinsam mit anderen den Zweck und die Mittel der Verarbeitung Personenbezogener Daten bestimmt. Auch für jene Fälle, in denen der Auftraggeber als Auftragsverarbeiter für einen anderen Verantwortlichen fungiert, gilt er im Sinne dieses DPA im Verhältnis zu rightflow gemäß dieses DPA als ein zusätzlicher und eigenständiger Verantwortlicher mit den entsprechenden Rechten und Pflichten.

1.2. „Datenschutzrecht“ bezeichnet die anzuwendenden Rechtsvorschriften zum Schutz der Grundrechte und Freiheiten von Personen und deren Persönlichkeitsrecht in Bezug auf die Verarbeitung von Personenbezogenen Daten im Rahmen der Vereinbarung.

1.3. „Betroffener“ (auch als „betroffene Person“ bezeichnet) bezeichnet eine bestimmte oder bestimmbare natürliche Person, wie vom Datenschutzrecht definiert.

1.4. „EWR“ bezeichnet den Europäischen Wirtschaftsraum, d. h. die Mitgliedsstaaten der EU sowie Island, Liechtenstein und Norwegen.

1.5. „DSGVO“ bezeichnet die Datenschutz-Grundverordnung 2016/679.

1.6. „rightflow Support Center“ bezeichnet Informationen, die auf https://support.rightflow.de oder auf den dort aufgeführten, nachgeordneten Websites verfügbar sind, die rightflow dem Auftraggeber zur Verfügung stellt.

1.7. „Relevante Übertragung nach Neuen Standardvertragsklauseln“ bezeichnet eine Übertragung (oder Weiterübertragung) Personenbezogener Daten in ein Drittland, die entweder der DSGVO oder dem geltenden Datenschutzrecht unterliegt und bei der alle Angemessenheitsmittel gemäß DSGVO oder geltendem Datenschutzrecht durch Vereinbarung der Neuen Standardvertragsklauseln erfüllt werden können.

1.8. „Neue Standardvertragsklauseln“ bezeichnet die unveränderten von der Europäischen Kommission veröffentlichten Standardvertragsklauseln, Zeichen 2021/914, oder nachfolgende endgültige Fassungen dieser Klauseln, die automatisch gelten. Zur Klarstellung: Es gelten die Module 2 und 3 wie in Abschnitt 8 beschrieben.

1.9. „Personenbezogene Daten“ bezeichnet Informationen, die einem Betroffenen zugeordnet werden können und unter den Schutz des Datenschutzrechts fallen. Für die Zwecke des DPA umfasst die Definition nur personenbezogene Daten, die:

a) vom Auftraggeber oder seinen Autorisierten Nutzern in den Cloud Service eingegeben oder daraus abgeleitet werden; oder

b) die von rightflow oder ihren Unterauftragsverarbeitern bereitgestellt werden oder auf die rightflow oder ihre Unterauftragsverarbeiter zugreifen, um gemäß der Vereinbarung Support zu leisten. Personenbezogene Daten stellen eine Teilmenge der Auftraggeberdaten dar (wie in der Vereinbarung definiert).

1.10. „Verletzung des Schutzes personenbezogener Daten“ bezeichnet einen bestätigten Vorfall der folgenden Art:

a) versehentliche oder rechtswidrige Vernichtung oder Änderung, versehentlicher Verlust, unbefugte Offenlegung oder unbefugter Zugriff Dritter auf Personenbezogene Daten; oder

b) einen ähnlichen Vorfall mit Personenbezogenen Daten, für den in jedem Fall ein Verantwortlicher gemäß dem Datenschutzgesetz verpflichtet ist, zuständige Datenschutzbehörden oder betroffene Personen zu benachrichtigen.

1.11. „Auftragsverarbeiter“ bezeichnet eine natürliche oder juristische Person, Behörde oder sonstige Körperschaft, die Personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, sei es direkt als Auftragsverarbeiter für einen Verantwortlichen oder indirekt als Unterauftragsverarbeiter für einen Auftragsverarbeiter, der Personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

1.12. „Anlage“ bezeichnet in Bezug auf die Standardvertragsklauseln (2010) den nummerierten Anhang (Appendix) und in Bezug auf die Neuen Standardvertragsklauseln den nummerierten Anhang (Annex).

1.13. „Standardvertragsklauseln (2010)“ bezeichnet die von der Europäischen Kommission veröffentlichten Standardvertragsklauseln (Auftragsverarbeiter), Referenz 2010/87/EU.

1.14. „Unterauftragsverarbeiter“ bezeichnet Verbundene Unternehmen von rightflow, die rightflow GmbH, Verbundene Unternehmen der rightflow GmbH sowie Drittanbieter, die von rightflow, der rightflow GmbH oder den Verbundenen Unternehmen der rightflow GmbH in Verbindung mit den rightflow Services, die Personenbezogene Daten verarbeiten, gemäß dieses DPA beauftragt werden.

1.15. „Technische und Organisatorische Maßnahmen“ bezeichnet die technischen und organisatorischen Maßnahmen für den jeweiligen Cloud Service, die unter „rightflow Support Center“ veröffentlicht sind (siehe: https://support.rightflow.de).

1.16. „Drittland“ bezeichnet jedes Land, jede Organisation oder jedes Gebiet, das von der Europäischen Union nicht gemäß Artikel 45 der DSGVO als sicheres Land mit einem angemessenen Datenschutzniveau anerkannt wird.

2.1. Zweck und Anwendungsbereich

2.1.1. Dieses Dokument („DPA“) ist in der Vereinbarung enthalten und fester Bestandteil eines schriftlichen (auch in elektronischer Form) Vertrags zwischen rightflow und dem Auftraggeber.

2.1.2. Das DPA gilt für Personenbezogene Daten, die durch rightflow und ihre Unterauftragsverarbeiter im Zusammenhang mit der Bereitstellung des Cloud Service verarbeitet werden.

2.1.3. Das DPA gilt nicht für Nicht-Produktivumgebungen des Cloud Service, wenn solche Umgebungen von rightflow zur Verfügung gestellt werden. Der Auftraggeber darf in solchen Umgebungen keine Personenbezogenen Daten speichern.

2.2. Struktur Die Anlagen 1 und 2 sind Bestandteil dieses DPA. Darin werden der vereinbarte Gegenstand, die Art und der Zweck der Verarbeitung, die Art der Personenbezogenen Daten, die Kategorien von Betroffenen (Anlage 1) sowie die maßgeblichen Technischen und Organisatorischen Maßnahmen (Anlage 2) geregelt.

2.3. Governance

2.3.1. Unter dem DPA ist rightflow Auftragsverarbeiter, und der Auftraggeber sowie die Entitäten, denen er die Nutzung des Cloud Service gestattet, ist Verantwortlicher.

2.3.2. Der Auftraggeber fungiert als zentraler Ansprechpartner und muss alle erforderlichen Genehmigungen, Einwilligungen und Berechtigungen für die Verarbeitung Personenbezogener Daten gemäß diesem DPA erhalten, einschließlich der Genehmigung der Verantwortlichen, rightflow als Auftragsverarbeiter einzusetzen (sofern zutreffend). Erteilt der Auftraggeber Autorisationen, Einwilligungen, Anweisungen und Berechtigungen, erfolgt dies nicht nur im Namen des Auftraggebers, sondern auch im Namen aller anderen Verantwortlichen, die den Cloud Service nutzen. Wenn rightflow den Auftraggeber informiert oder benachrichtigt, gelten diese Informationen oder Benachrichtigungen als von den Verantwortlichen, denen der Auftraggeber die Nutzung des Cloud Service gestattet hat, empfangen. Der Auftraggeber leitet diese Informationen und Benachrichtigungen an die relevanten Verantwortlichen weiter.

3.1. Anwendbarkeit der Technischen und Organisatorischen Maßnahmen rightflow hat die Technischen und Organisatorischen Maßnahmen umgesetzt und wendet diese an. Der Auftraggeber hat diese Maßnahmen geprüft und erklärt sich einverstanden, dass sie im Hinblick auf den vom Auftraggeber in der Order Form ausgewählten Cloud Service unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung Personenbezogener Daten angemessen sind.

3.2. Änderungen

3.2.1. rightflow wendet die Technischen und Organisatorischen Maßnahmen auf alle Auftraggeber von rightflow an, deren Systeme in demselben Rechenzentrum gehostet werden und die dieselben Cloud Services beziehen. rightflow kann die Technischen und Organisatorischen Maßnahmen jederzeit unangekündigt ändern, solange ein vergleichbares oder höheres Sicherheitsniveau aufrechterhalten wird. Einzelne Maßnahmen können durch neue Maßnahmen, die denselben Zweck erfüllen, ersetzt werden, ohne dass das Sicherheitsniveau zum Schutz der Personenbezogenen Daten verringert wird.

3.2.2. rightflow veröffentlicht aktualisierte Versionen der Technischen und Organisatorischen Maßnahmen unter „rightflow Support Center“. Sofern verfügbar, kann der Auftraggeber eine E-Mail-Benachrichtigung über diese aktualisierten Versionen abonnieren.

4.1. Weisungen des Auftraggebers rightflow verarbeitet die Personenbezogenen Daten nur in Übereinstimmung mit den vom Auftraggeber dokumentierten Weisungen. Die Vereinbarung (einschließlich diesem DPA) stellt diese dokumentierten ersten Weisungen dar, und jede Nutzung des Cloud Service stellt dann weitere Weisungen dar. rightflow ergreift alle vertretbaren Maßnahmen, um die Weisungen des Auftraggebers zu befolgen, sofern diese vom Datenschutzrecht vorgeschrieben und technisch realisierbar sind und keine Änderungen am Cloud Service erfordern. Trifft eine der genannten Ausnahmen zu oder kann rightflow den Weisungen aus anderem Grund nicht nachkommen oder ist der Ansicht, dass eine der Weisungen das Datenschutzrecht verletzt, wird rightflow den Auftraggeber umgehend (auch per E-Mail) benachrichtigen.

4.2. Verarbeitung aufgrund gesetzlicher Anforderungen rightflow kann Personenbezogene Daten auch verarbeiten, wenn geltende Gesetze dies erfordern. rightflow informiert in einem solchen Fall den Auftraggeber vor der Verarbeitung über die entsprechende gesetzliche Anforderung, sofern das Gesetz derartige Informationen nicht aus wichtigem öffentlichen Interesse verbietet.

4.3. Befugte Personen Für die Verarbeitung von Personenbezogenen Daten gewähren rightflow und ihre Unterauftragsverarbeiter nur befugten Personen Zugriff, die sich zur Wahrung der Vertraulichkeit dieser Daten verpflichtet haben. rightflow und ihre Unterauftragsverarbeiter schulen die befugten Personen, denen der Zugriff auf Personenbezogene Daten gewährt wird, in regelmäßigen Abständen in Bezug auf die geltenden Datenschutz- und die zugehörigen Datensicherheitsmaßnahmen.

4.4. Zusammenarbeit

4.4.1. Auf Wunsch des Auftraggebers kooperiert rightflow mit dem Auftraggeber und den Verantwortlichen in angemessenem Umfang bei der Bearbeitung von Anfragen einzelner Betroffener oder Aufsichtsbehörden in Bezug auf die Verarbeitung Personenbezogener Daten durch rightflow oder einer Verletzung des Schutzes Personenbezogener Daten.

4.4.2. Wenn rightflow von einer betroffenen Person eine Anfrage in Bezug auf die Verarbeitung Personenbezogener Daten im Rahmen dieser Vereinbarung erhält, benachrichtigt rightflow den Auftraggeber (sofern die betroffene Person Informationen zur Identifizierung des Auftraggebers bereitgestellt hat) unverzüglich per E-Mail und antwortet nicht selbst auf diese Anfrage, sondern fordert die betroffene Person auf, ihre Anfrage an den Auftraggeber zu senden.

4.4.3. Im Falle eines Streits mit einer betroffenen Person im Zusammenhang mit der Verarbeitung Personenbezogener Daten durch rightflow im Rahmen dieses DPA halten sich die Parteien gegenseitig auf dem Laufenden und arbeiten gegebenenfalls in angemessener Weise mit dem Ziel zusammen, den Streitfall gütlich mit der betroffenen Person zu lösen.

4.4.4. rightflow stellt Funktionen für Produktivsysteme bereit, die den Auftraggeber dabei unterstützen, Personenbezogene Daten in einem Cloud Service zu korrigieren, zu löschen, zu anonymisieren oder ihre Verarbeitung in Übereinstimmung mit dem Datenschutzrecht einzuschränken. Werden derartige Funktionen nicht bereitgestellt, wird rightflow Personenbezogene Daten entsprechend den Weisungen des Auftraggebers und dem Datenschutzrecht korrigieren, löschen, anonymisieren oder ihre Verarbeitung einschränken.

4.5. Meldung von Verletzungen des Schutzes Personenbezogener Daten rightflow benachrichtigt den Auftraggeber unverzüglich über Verletzungen des Schutzes Personenbezogener Daten, sobald rightflow Kenntnis darüber erlangt, und stellt angemessene, in ihrem Besitz befindliche Informationen zur Verfügung, damit der Auftraggeber gemäß dem Datenschutzrecht seiner Pflicht zur Meldung einer Verletzung des Schutzes Personenbezogener Daten nachkommen kann. Die rightflow kann diese Informationen phasenweise bereitstellen, je nachdem, wie sie verfügbar werden. Aus Benachrichtigungen dieser Art dürfen keine Fehlereingeständnisse oder Haftungen von Seiten der rightflow abgeleitet werden.

4.6. Datenschutz-Folgenabschätzung Ist der Auftraggeber (oder seine Verantwortlichen) gemäß dem Datenschutzrecht verpflichtet, eine Datenschutz-Folgenabschätzung durchzuführen oder die zuständige Aufsichtsbehörde zur Konsultation heranzuziehen, macht rightflow auf Wunsch des Auftraggebers die Dokumente zum Cloud Service (z. B. dieses DPA, die Vereinbarung, Auditberichte und Zertifizierungen) allgemein verfügbar. Jegliche weitere Unterstützung ist zwischen den Parteien zu vereinbaren.

5.1. Export und Abruf durch den Auftraggeber Während der Laufzeit und gemäß den Regelungen der Vereinbarung kann der Auftraggeber jederzeit auf seine Personenbezogenen Daten zugreifen. Der Auftraggeber kann seine Personenbezogenen Daten in einem Standardformat exportieren und abrufen. Der Export und das Abrufen unterliegen u. U. technischen Beschränkungen; in diesen Fällen einigen sich rightflow und der Auftraggeber auf eine geeignete Methode um den Zugriff des Auftraggebers auf die Personenbezogene Daten zu ermöglichen.

5.2. Löschung Bis zum Ende der Laufzeit kann der Auftraggeber die Export-Tools des Self-Service von rightflow (je nach Verfügbarkeit) verwenden, um einen abschließenden Export der Personenbezogenen Daten aus dem Cloud Service durchzuführen. Dies stellt eine „Rückgabe“ der Personenbezogene Daten dar. Der Auftraggeber weist rightflow hiermit an, nach Vertragsende die Personenbezogenen Daten, die sich noch auf Servern, die den Cloud Service hosten, befinden, innerhalb eines angemessenen Zeitraums gemäß dem Datenschutzrecht zu löschen (spätestens 35 Tage nach Vertragsende, einschließlich aller Sicherungskopien), sofern nicht geltende Gesetze eine längere Aufbewahrung erfordern.

6.1. Auftraggeberaudit Der Auftraggeber oder ein unabhängiger externer und für rightflow zumutbarer Prüfer (d. h. ein externer Prüfer, der nicht in Wettbewerb mit rightflow steht, in angemessenem Umfang qualifiziert und zweifelsfrei unabhängig ist) hat das Recht, die Kontrollumgebung und die Sicherheitspraktiken von rightflow in Bezug auf die von rightflow verarbeiteten Personenbezogenen Daten zu prüfen, wenn:

a) rightflow keinen ausreichenden Nachweis über die Einhaltung der Technischen und Organisatorischen Maßnahmen, die die Produktivsysteme des Cloud Service schützen, erbracht hat. Dieser Nachweis kann durch (i) eine Zertifizierung über die Einhaltung von ISO 27001 oder anderen Standards (Umfang gemäß der Regelung im Zertifikat) oder (ii) einen gültigen Nachweis über ISAE 3402 oder ISAE 3000 oder einen anderen SOC1-3-Nachweis erfolgen. Auf Anforderung des Auftraggebers sind die Auditberichte oder ISO-Zertifizierungen über den externen Auditor oder rightflow verfügbar;

b) eine Verletzung des Schutzes Personenbezogener Daten vorliegt;

c) eine Prüfung offiziell durch die für den Auftraggeber zuständige Datenschutzbehörde angefordert wird; oder

d) der Auftraggeber gemäß zwingendem Datenschutzrecht über ein direktes Auditrecht verfügt und unter der Voraussetzung, dass der Auftraggeber die Prüfung nur ein Mal in einem Zeitraum von zwölf (12) Monaten durchführt, es sei denn, das zwingende Datenschutzrecht verlangt häufigere Audits.

6.2. Audits durch andere Verantwortliche Andere Verantwortliche können die Rechte des Auftraggebers gemäß Abschnitt 6.1 nur dann wahrnehmen, wenn sich das Auditrecht direkt auf den Verantwortlichen bezieht und vom Auftraggeber gestattet und koordiniert wird. Der Auftraggeber wendet alle angemessenen Mittel an, um Audits mehrerer anderer Verantwortlicher miteinander zu kombinieren und so mehrfache Audits zu vermeiden, es sei denn, das Audit muss gemäß dem Datenschutzrecht vom anderen Verantwortlichen persönlich durchgeführt werden. Wird ein Audit von mehreren Verantwortlichen benötigt, deren Personenbezogene Daten auf der Grundlage dieser Vereinbarung durch rightflow verarbeitet werden, trifft der Auftraggeber zumutbare Anstrengungen, um die Audits zusammenzufassen und mehrfache Audits zu vermeiden.

6.3. Umfang des Audits Der Auftraggeber kündigt das Audit mindestens 60 Tage im Voraus an, sofern zwingendes Datenschutzrecht oder die zuständige Datenschutzbehörde keine kürzere Frist vorsieht. Die Häufigkeit und der Umfang des Audits werden zwischen den Parteien nach vernünftigem Ermessen und in gutem Glauben vereinbart. Auftraggeberaudits sind auf maximal drei (3) Werktage beschränkt. Darüber hinaus verwenden die Parteien aktuelle Zertifizierungen oder sonstige Auditberichte, um wiederholte Audits zu vermeiden oder zu minimieren. Der Auftraggeber stellt rightflow die Ergebnisse aller Prüfungen zur Verfügung.

6.4. Kosten des Audits Der Auftraggeber trägt jegliche Kosten für Audits, es sei denn, ein solches Audit deckt eine wesentliche Verletzung des DPA durch rightflow auf; in diesen Fällen trägt rightflow die eigenen Kosten des Audits. Falls sich aus einem Audit ergibt, dass rightflow ihren Verpflichtungen aus der DPA nicht nachgekommen ist, heilt rightflow diese Verletzung umgehend auf eigene Kosten.

7.1. Zulässiger Einsatz rightflow ist allgemein autorisiert, Unterauftragsverarbeiter mit der Verarbeitung Personenbezogener Daten zu beauftragen, vorausgesetzt:

a) rightflow beauftragt den Unterauftragsverarbeiter im Rahmen eines schriftlichen (oder in elektronischer Form geschlossenen) Vertrags. Die Regelungen dieses Vertrages stimmen mit den Regelungen des vorliegenden DPA im Hinblick auf die Verarbeitung Personenbezogener Daten durch den Unterauftragsverarbeiter überein. rightflow haftet für Verstöße des Unterauftragsverarbeiters gemäß den Bedingungen der getroffenen Vereinbarung.

b) rightflow prüft vor der Auswahl eines Unterauftragsverarbeiters dessen Maßnahmen zur Wahrung der Sicherheit, des Datenschutzes und der Vertraulichkeit, um den Schutz der Personenbezogenen Daten gemäß diesem DPA zu gewährleisten.

c) Die Liste der Unterauftragsverarbeiter, die am Wirksamkeitsdatum der Vereinbarung gültig ist, wird von rightflow unter „rightflow Support Center“ veröffentlicht oder dem Auftraggeber auf Anfrage zur Verfügung gestellt, einschließlich Name, Anschrift und Rolle jedes Unterauftragsverarbeiters, den rightflow zur Erbringung des Cloud Service einsetzt.

7.2. Neue Unterauftragsverarbeiter rightflow entscheidet unter Einhaltung der folgende Bedingungen über den Einsatz von Unterauftragsverarbeitern:

a) rightflow informiert den Auftraggeber im Voraus (per E-Mail oder über „rightflow Support Center“) über geplante neue oder auszutauschende Unterauftragsverarbeiter, einschließlich Name, Anschrift und Rolle eines jeden Unterauftragsverarbeiters.

b) Der Auftraggeber kann diesen Änderungen widersprechen, wie in Abschnitt 7.3 dargelegt.

7.3. Widerspruch gegen neue Unterauftragsverarbeiter

7.3.1. Wenn der Auftraggeber gemäß dem Datenschutzrecht einen berechtigten Grund hat, gegen die Verarbeitung Personenbezogener Daten durch die neuen Unterauftragsverarbeiter zu widersprechen, kann der Auftraggeber die Vereinbarung (beschränkt auf den Cloud Service, für den der neue Unterauftragsverarbeiter eingesetzt werden soll) durch schriftliche Mitteilung an rightflow kündigen. Diese Kündigung tritt zu dem vom Auftraggeber festgelegten Zeitpunkt in Kraft, spätestens aber dreißig (30) Tage, nachdem rightflow den Auftraggeber über den neuen Unterauftragsverarbeiter informiert hat. Wenn der Auftraggeber nicht innerhalb dieser Frist von dreißig (30) Tagen kündigt, gilt der neue Unterauftragsverarbeiter als vom Auftraggeber akzeptiert.

7.3.2. Innerhalb von dreißig (30) Tagen ab dem Datum, an dem rightflow den Auftraggeber über den neuen Unterauftragsverarbeiter informiert hat, kann der Auftraggeber beantragen, dass die Vertragsparteien in gutem Glauben eine Lösung bezüglich der Einwände gegen den neuen Unterauftragsverarbeiter besprechen. Durch derartige Gespräche wird weder der Kündigungszeitraum verlängert noch das Recht von rightflow eingeschränkt, den bzw. die neuen Unterauftragsverarbeiter nach der Frist von dreißig (30) Tagen einzusetzen.

7.3.3. Eine Kündigung unter Bezugnahme auf Abschnitt 7.3 gilt für keine der Parteien als Schuldanerkennung und unterliegt den Bedingungen der Vereinbarung.

7.4. Notfallaustausch rightflow kann den Unterauftragsverarbeiter in Fällen, die nach billigem Ermessen außerhalb der Kontrolle von rightflow liegen und den unverzüglichen Austausch aus Sicherheitsgründen oder anderen triftigen Gründen erfordern, ohne Vorankündigung austauschen. In diesem Fall informiert rightflow den Auftraggeber so schnell wie möglich über den ausgetauschten Unterauftragsverarbeiter nach dessen Ernennung. Die Regelungen in Abschnitt 7.2 gelten entsprechend.

8.1. Bedingungen für die internationale Datenverarbeitung rightflow ist berechtigt, Personenbezogene Daten (auch durch Unterauftragsverarbeiter) gemäß diesem DPA und unter Einhaltung des Datenschutzrechts außerhalb des Landes zu verarbeiten, in dem sich der Auftraggeber befindet.

8.2. Anwendbarkeit der Standardvertragsklauseln (2010)

8.2.1. Wenn Personenbezogene Daten eines in der Schweiz oder im Vereinigten Königreich ansässigen Verantwortlichen oder eines anderen Verantwortlichen in einem Drittland verarbeitet werden und eine solche internationale Verarbeitung Angemessenheitsmittel nach den Gesetzen des Landes des Verantwortlichen erfordert und die erforderlichen Angemessenheitsmittel durch Vereinbarung in Standardvertragsklauseln (2010) erfüllt werden können, dann:

a) vereinbaren rightflow und der Auftraggeber die Standardvertragsklauseln (2010);

b) tritt der Auftraggeber den von rightflow und dem Unterauftragsverarbeiter vereinbarten Standardvertragsklauseln (2010) als eigenständiger Inhaber von Rechten und Pflichten bei; oder

c) können andere Verantwortliche, die vom Auftraggeber zur Nutzung der Cloud Services gemäß dieser Vereinbarung autorisiert wurden, ebenfalls mit rightflow oder den jeweiligen Unterauftragsverarbeitern die Standardvertragsklauseln (2010) zu denselben Bedingungen wie der Auftraggeber gemäß Abschnitt 8.2.1 a) und b) vereinbaren. In einem solchen Fall vereinbart der Auftraggeber die Standardvertragsklauseln (2010) im Namen der anderen Verantwortlichen.

8.2.2. Die Standardvertragsklauseln (2010) unterliegen dem Recht des Landes, in dem der jeweilige Verantwortliche seinen Sitz hat.

8.2.3. Wenn das geltende Datenschutzrecht die Neuen Standardvertragsklauseln übernimmt, da diese als Alternative oder Aktualisierung der Standardvertragsklauseln (2010) allen erforderlichen Angemessenheitsmitteln gerecht werden, dann gelten die Neuen Standardvertragsklauseln gemäß Abschnitt 8.3.

8.3. Anwendbarkeit der Neuen Standardvertragsklauseln

8.3.1. Folgendes gilt mit Wirkung vom 27. September 2021 und ausschließlich bei Relevanten Übertragungen nach Neuen Standardvertragsklauseln:

8.3.1.1. Wenn rightflow nicht in einem Drittland ansässig ist und als Datenexporteur fungiert, hat rightflow mit jedem Unterauftragsverarbeiter als Datenimporteur die Neuen Standardvertragsklauseln vereinbart. Modul 3 (Auftragsverarbeiter zu Auftragsverarbeiter) der Neuen Standardvertragsklauseln gilt bei der relevanten Übertragung nach Neuen Standardvertragsklauseln.

8.3.1.2. Wenn rightflow in einem Drittland ansässig ist:

rightflow und der Auftraggeber vereinbaren hiermit die Neuen Standardvertragsklauseln, wobei der Auftraggeber als Datenexporteur und rightflow als Datenimporteur fungiert und Folgendes gilt:

a) Modul 2 (Verantwortlicher zu Auftragsverarbeiter) gilt, wenn der Auftraggeber ein Verantwortlicher ist; und

b) Modul 3 (Auftragsverarbeiter zu Auftragsverarbeiter) gilt, wenn der Auftraggeber ein Auftragsverarbeiter ist. Wenn der Auftraggeber im Rahmen von Modul 3 (Auftragsverarbeiter zu Auftragsverarbeiter) der Neuen Standardvertragsklauseln als Auftragsverarbeiter fungiert, erkennt rightflow an, dass der Auftraggeber gemäß den Anweisungen seines/seiner Verantwortlichen als Auftragsverarbeiter fungiert.

8.3.2. Andere Verantwortliche oder Auftragsverarbeiter, die vom Auftraggeber gemäß dieser Vereinbarung zur Nutzung der Cloud Services autorisiert wurden, können ebenfalls mit rightflow die Neuen Standardvertragsklauseln zu denselben Bedingungen wie der Auftraggeber gemäß Abschnitt 8.3.1.2 vereinbaren. In einem solchen Fall vereinbart der Auftraggeber die Neuen Standardvertragsklauseln im Namen der anderen Verantwortlichen oder Auftragsverarbeiter.

8.3.3. In Bezug auf eine Relevante Übertragung nach Neuen Standardvertragsklauseln kann der Auftraggeber auf Anfrage einer betroffenen Person eine Kopie von Modul 2 oder 3 der Neuen Standardvertragsklauseln, die zwischen dem Auftraggeber und rightflow vereinbart wurden (einschließlich der relevanten Anlagen), erstellen und den Betroffenen zugänglich machen.

8.3.4. Das für die Neuen Standardvertragsklauseln geltende Recht ist das deutsche Recht.

8.4. Beziehung der Standardvertragsklauseln zu den Bestimmungen der Vereinbarung Keine der Bestimmungen in der Vereinbarung darf im Konfliktfall dahingehend ausgelegt werden, dass sie Vorrang vor einer Bestimmung der Standardvertragsklauseln (2010) oder der Neuen Standardvertragsklauseln hat. Klarstellend wird darauf hingewiesen, dass, wenn diese DPA weitere Bestimmungen für Audit und Unterauftragsverarbeiter vorgibt, diese Vorgaben auch in Bezug auf die Standardvertragsklauseln (2010) und die Neuen Standardvertragsklauseln gelten.

8.5. Rechte Drittbegünstigter nach den Neuen Standardvertragsklauseln

8.5.1. Wenn sich der Auftraggeber in einem Drittland befindet und als Datenimporteur gemäß Modul 2 oder Modul 3 der Neuen Standardvertragsklauseln fungiert und rightflow im Rahmen des entsprechenden Moduls als Unterauftragsverarbeiter des Auftraggebers agiert, hat der jeweilige Datenexporteur folgende Rechte als Drittbegünstigter:

8.5.2. Für den Fall, dass der Auftraggeber faktisch oder rechtlich nicht mehr existiert oder zahlungsunfähig geworden ist (in allen Fällen ohne Nachfolgeunternehmen, das die rechtlichen Verpflichtungen des Auftraggebers vertraglich oder per Gesetz übernommen hat), hat der jeweilige Datenexporteur das Recht, den betroffenen Cloud Service ausschließlich in dem Umfang zu kündigen, in dem die Personenbezogenen Daten des Datenexporteurs verarbeitet werden. In diesem Fall weist der jeweilige Datenexporteur rightflow auch an, die Personenbezogenen Daten zu löschen oder zurückzugeben.

9.1. Jede Partei verpflichtet sich zur Einhaltung seiner Dokumentationsanforderungen, insbesondere zur Aufzeichnung von Datenverarbeitungsvorgängen, sofern dies gemäß dem Datenschutzrecht erforderlich ist. Jede Partei unterstützt die andere Partei in zumutbarem Umfang bei der Einhaltung ihrer Dokumentationsanforderungen, einschließlich der Bereitstellung von Informationen, die die andere Partei zur Erfüllung der Pflichten in Bezug auf die Aufzeichnung von Datenverarbeitungsvorgängen benötigt, wie von der anderen Partei billigerweise verlangt (z. B. unter Verwendung eines elektronischen Systems).

Anlage 1 beschreibt die Verarbeitung Personenbezogener Daten im Rahmen der Standardvertragsklauseln (2010), der Neuen Standardvertragsklauseln und des geltenden Datenschutzrechts.

1.1. Gemäß den Standardvertragsklauseln (2010)

1.1.1. Datenexporteur Der Datenexporteur ist gemäß den Standardvertragsklauseln (2010) der Auftraggeber, der einen Cloud Service erworben hat, mit dem Autorisierte Nutzer Personenbezogene Daten eingeben, ändern, verwenden, löschen oder anderweitig verarbeiten können. Wenn der Auftraggeber anderen Verantwortlichen die Nutzung des Cloud Service gestattet, gelten die anderen Verantwortlichen ebenfalls als Datenexporteure.

1.1.2. Datenimporteur rightflow und ihre Unterauftragsverarbeiter, die den Cloud Service bereitstellen und unterstützen, sind Datenimporteure gemäß den Standardvertragsklauseln (2010).

1.2. Gemäß den Neuen Standardvertragsklauseln

1.2.1. Modul 2: Übertragung vom Verantwortlichen an den Auftragsverarbeiter Wenn rightflow in einem Drittland ansässig ist, der Auftraggeber der Verantwortliche und rightflow der Auftragsverarbeiter ist, ist der Auftraggeber der Datenexporteur und rightflow der Datenimporteur.

1.2.2. Modul 3: Übertragung von Auftragsverarbeiter an Auftragsverarbeiter Wenn rightflow in einem Drittland ansässig ist, der Auftraggeber ein Auftragsverarbeiter und rightflow ebenfalls ein Auftragsverarbeiter ist, ist der Auftraggeber der Datenexporteur und rightflow der Datenimporteur.

2.1. Betroffene Personen Sofern durch den Datenexporteur nicht anderweitig angegeben, lassen sich die übertragenen Personenbezogenen Daten in der Regel einer der folgenden Betroffenenkategorien zuordnen: Mitarbeiter, Auftragnehmer, Geschäftspartner oder sonstige Personen, von denen im Cloud Service Personenbezogene Daten gespeichert sind, an den Datenimporteur übertragen oder diesem zur Verfügung gestellt wurden, auf die der Datenimporteur Zugriff hat oder die er anderweitig verarbeitet.

2.2. Datenkategorien Die übermittelten Personenbezogenen Daten betreffen die folgenden Datenkategorien:

Der Auftraggeber bestimmt die Kategorien von Daten pro bezogenem Cloud Service. Der Auftraggeber kann die Datenfelder während der Implementierung des Cloud Service oder wie anderweitig im Cloud Service zulässig konfigurieren. Die übermittelten Personenbezogenen Daten lassen sich in der Regel einer der folgenden Datenkategorien zuordnen: Name, Telefonnummer, E-Mail-Adresse, Anschrift, Systemzugriff/-nutzung/-berechtigung, Name des Unternehmens, Vertragsdaten, Rechnungsdaten und anwendungsspezifische Daten, die von den Autorisierten Nutzern des Auftraggebers im Cloud Service erfasst werden, z. B. Bankkontendaten sowie Kredit- oder Debitkartendaten.

2.3. Besondere Datenkategorien (sofern vereinbart)

2.3.1. Die übertragenen Personenbezogenen Daten können besondere Kategorien Personenbezogener Daten umfassen, die in der Vereinbarung festgelegt sind („Sensible Daten“). rightflow hat Technische und Organisatorische Maßnahmen gemäß Anlage 2 ergriffen, um ein Sicherheitsniveau zu gewährleisten, das auch für den Schutz Sensibler Daten geeignet ist.

2.3.2. Die Übertragung Sensibler Daten kann die Anwendung der folgenden zusätzlichen Einschränkungen oder Schutzmaßnahmen auslösen, wenn dies erforderlich ist, um der Art der Daten sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen (sofern zutreffend) Rechnung zu tragen:

a) Schulung des Personals;

b) Verschlüsselung von Daten während der Übertragung und ruhender Daten;

c) Systemzugriffsprotokollierung und allgemeine Datenzugriffsprotokollierung.

2.3.3. Darüber hinaus stellen die Cloud Services Maßnahmen für den Umgang mit Sensiblen Daten bereit, wie in der Dokumentation beschrieben.

2.4. Zwecke der Datenübertragung und Weiterverarbeitung; Art der Verarbeitung

2.4.1. Die übermittelten Personenbezogenen Daten werden folgenden grundlegenden Verarbeitungsmaßnahmen unterzogen:

a) Verwendung von Personenbezogenen Daten, um den Cloud Service einzurichten, zu betreiben, zu überwachen und bereitzustellen (einschließlich operativen und technischen Supports);

b) kontinuierliche Verbesserung der Servicefunktionen, die im Rahmen des Cloud Service bereitgestellt werden, einschließlich Automatisierung, Transaktionsverarbeitung und maschinellen Lernens;

c) Bereitstellung eingebetteter Professional Services;

d) Kommunikation mit Autorisierten Nutzern;

e) Speicherung von Personenbezogenen Daten in speziellen Rechenzentren (Multi-Tenant-Architektur);

f) Release, Entwicklung und Upload von Korrekturen oder Upgrades des Cloud Service;

g) Sicherung und Wiederherstellung von im Cloud Service gespeicherten Personenbezogenen Daten;

h) rechnergestützte Verarbeitung von Personenbezogenen Daten, einschließlich Datenübertragung, Abruf von Daten, Zugang zu Daten;

i) Netzwerkzugang, um die Übertragung von Personenbezogenen Daten zu ermöglichen;

j) Überwachung, Fehlerbehebung und Verwaltung der dem Cloud Service zugrunde liegenden Infrastruktur und Datenbank;

k) Sicherheitsüberwachung, netzwerkbasierter Intrusion Detection Support, Penetrationstests; und

l) Ausführung von Anweisungen des Auftraggebers gemäß der Vereinbarung.

2.4.2. Ziel der Übertragung ist es, den Cloud Service bereitzustellen und Support zu leisten. rightflow und ihre Unterauftragsverarbeiter können für die Rechenzentren des Cloud Service Remote-Support leisten. rightflow und ihre Unterauftragsverarbeiter leisten Support, wenn ein Auftraggeber eine Supportmeldung gemäß der Vereinbarung aufgibt.

2.5. Zusätzliche Beschreibung zu den Neuen Standardvertragsklauseln:

2.5.1. Anwendbare Module der Neuen Standardvertragsklauseln

a) Modul 2: Übertragung vom Verantwortlichen an den Auftragsverarbeiter

b) Modul 3: Übertragung von Auftragsverarbeiter an Auftragsverarbeiter

2.5.2. Bei Übertragungen an (Unter-)Auftragsverarbeiter auch Gegenstand, Art und die Dauer der Bearbeitung In Bezug auf die Neuen Standardvertragsklauseln erfolgt die Übertragung an Unterauftragsverarbeiter auf derselben Grundlage wie im DPA dargelegt.

2.5.3. Häufigkeit der Übertragung (z. B. ob die Daten einmalig oder fortlaufend übertragen werden) Die Übertragungen erfolgen fortlaufend.

2.5.4. Der Zeitraum, für den die Personenbezogenen Daten aufbewahrt werden, oder, falls dies nicht möglich ist, die Kriterien, anhand derer dieser Zeitraum bestimmt wird Personenbezogene Daten werden für die Dauer der Vereinbarung und gemäß Abschnitt 5.2 des DPA aufbewahrt.

3.1. In Bezug auf die Neuen Standardvertragsklauseln:

3.1.1. Modul 2: Übertragung vom Verantwortlichen an den Auftragsverarbeiter

3.1.2. Modul 3: Übertragung von Auftragsverarbeiter an Auftragsverarbeiter

3.2. Wenn der Auftraggeber der Datenexporteur ist, ist die Aufsichtsbehörde die zuständige Aufsichtsbehörde, die gemäß Klausel 13 der Neuen Standardvertragsklauseln die Aufsicht über den Auftraggeber innehat.

Die Anlage beschreibt die für die Standardvertragsklauseln (2010), die Neuen Standardvertragsklauseln und das geltende Datenschutzrecht zutreffenden Technischen und organisatorischen Maßnahmen. rightflow wendet die Technischen und organisatorischen Maßnahmen an und pflegt diese. Soweit die Bereitstellung des Cloud Service Für Neue Standardvertragsklauseln relevante Übertragungen umfasst, beschreiben die in Anlage 2 dargelegten Technischen und Organisatorischen Maßnahmen die Maßnahmen und Schutzvorkehrungen, die getroffen wurden, um die Art der Personenbezogenen Daten und die damit verbundenen Risiken vollständig zu berücksichtigen. Wenn lokale Gesetze die Einhaltung der Klauseln beeinträchtigen, kann dies die Anwendung zusätzlicher Schutzvorkehrungen auslösen, die während der Übertragung und Verarbeitung der Personenbezogenen Daten im Bestimmungsland angewendet werden (sofern zutreffend: Verschlüsselung der Daten während der Übertragung, Verschlüsselung ruhender Daten, Anonymisierung, Pseudonymisierung).