Vereinbarung zur
Datenverarbeitung

Rollen und Anweisungen

Sie erkennen an und erklären sich damit einverstanden, dass Sie bei der Verarbeitung personenbezogener Daten entweder:

• als Verantwortlicher handeln und die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmen („Verantwortlicher“).
• oder als Auftragsverarbeiter handeln, der personenbezogene Daten für Dritte verarbeitet („Auftragsverarbeiter“).

Das Unternehmen gilt als Ihr Auftragsverarbeiter und keinesfalls als Verantwortlicher.

Sie weisen das Unternehmen hiermit an, personenbezogene Daten gemäß diesem DPA zu verarbeiten. Diese Anweisung gilt als vollständige, ausschließliche und abschließende Anweisung für die Verarbeitung personenbezogener Daten durch das Unternehmen. Zusätzliche Anweisungen, die von den hierin aufgeführten Anweisungen abweichen oder zusätzliche Haftung oder Kosten verursachen, werden nicht erteilt.

Sie verpflichten sich und gewährleisten, dass sämtliche dem Unternehmen im Rahmen dieses DPA bereitgestellten personenbezogenen Daten rechtmäßig, ohne Verletzung von Rechten oder Freiheiten betroffener Personen und unter Einhaltung aller anwendbaren Datenschutzgesetze (wie nachstehend definiert) erhoben wurden.

Verarbeitung durch das Unternehmen

Jede Partei hält sämtliche auf sie anwendbaren Gesetze, Vorschriften und Regelungen zur Verarbeitung personenbezogener Daten ein, insbesondere die Verordnung (EU) 2016/679, die nationalen Gesetze der jeweils zuständigen EWR-Mitgliedstaaten zur Durchführung der DSGVO, die Datenschutzgesetze der Vereinigten Staaten, die britische Datenschutz-Grundverordnung, die Bundes- und Landesgesetze der Vereinigten Staaten, den kanadischen Personal Information Protection and Electronic Documents Act, Brasiliens Lei Geral de Proteção de Dados und das israelische Gesetz zum Schutz der Privatsphäre (zusammen die „anwendbaren Datenschutzgesetze“).

Das Unternehmen verarbeitet personenbezogene Daten, um die Dienste gemäß der Vereinbarung bereitzustellen. Art und Zwecke der Verarbeitung, ihre Dauer und die Kategorien personenbezogener Daten werden ausschließlich von Ihnen entsprechend Ihrer Nutzung der Dienste festgelegt.

Das Unternehmen setzt geeignete technische und organisatorische Maßnahmen um, die darauf ausgelegt sind,

• den unbefugten Zugriff auf Ihre personenbezogenen Daten sowie deren unbefugte Offenlegung oder Beschädigung zu verhindern, wie in Anhang B beschrieben;
• Sie bei der Erfüllung von Anfragen, die Sie von betroffenen Personen erhalten, zu unterstützen.
• sicherzustellen, dass das mit der Verarbeitung personenbezogener Daten betraute Personal über deren vertraulichen Charakter informiert wurde, angemessen im Hinblick auf seine Pflichten geschult ist und sich zur Vertraulichkeit verpflichtet hat.

Das Unternehmen kann Ihnen ermöglichen, über die Plattform Integrationen mit weiteren Drittanbietern einzurichten und personenbezogene Daten mit diesen zu teilen. Die Entscheidung über die Beauftragung dieser Drittanbieter liegt allein bei Ihnen; wir empfehlen dringend, die Bedingungen solcher Integrationen zu prüfen und entsprechende Vereinbarungen abzuschließen.

Das Unternehmen darf personenbezogene Daten nur zur Bereitstellung der Dienste, nach einem vollständigen Anonymisierungsverfahren unter Entfernung sämtlicher personenbezogener Merkmale oder in aggregierter Form verwenden.

Unterauftragsverarbeiter

Um Ihnen die Dienste zur Verfügung zu stellen, kann das Unternehmen unter den hierin festgelegten Einschränkungen personenbezogene Daten unter Verwendung von Drittanbietern („Unterauftragsverarbeiter“) verarbeiten. Unterauftragsverarbeiter verarbeiten personenbezogene Daten zu keinen anderen Zwecken als der Erbringung der Dienste, es sei denn, die Verarbeitung erfolgt auf aggregierter oder anonymisierter Basis.

Unterauftragsverarbeiter unterliegen Bedingungen, die den hier dargelegten Bedingungen wesentlich ähneln.

Das Unternehmen haftet Ihnen gegenüber für jeden durch seine Unterauftragsverarbeiter verursachten Verstoß gegen dieses DPA und stellt eine angemessene und fortlaufende Sorgfaltsprüfung seiner Unterauftragsverarbeiter sicher.

Alle derzeit vom Unternehmen beauftragten Unterauftragsverarbeiter sind in Anhang C aufgeführt.

Das Unternehmen ermöglicht es Ihnen, die Liste der Unterauftragsverarbeiter zu abonnieren und sieben Tage vor einer beabsichtigten Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters benachrichtigt zu werden. Um diese Benachrichtigungen zu abonnieren, senden Sie eine E-Mail an compliance@base44.com.

Sie können der Benennung oder dem Austausch eines Unterauftragsverarbeiters durch das Unternehmen aus dokumentierten, angemessenen Gründen im Zusammenhang mit dem Datenschutz widersprechen, indem Sie innerhalb von sieben (7) Tagen nach Eingang einer Benachrichtigung über eine Änderung einen schriftlichen und begründeten Widerspruch an compliance@base44.com einreichen.

In diesem Fall kann das Unternehmen nach eigenem Ermessen wirtschaftlich angemessene Anstrengungen unternehmen (ist dazu jedoch nicht verpflichtet), Ihnen eine alternative Lösung bereitzustellen, durch die eine Verarbeitung personenbezogener Daten durch den neuen Unterauftragsverarbeiter, dem Sie widersprochen haben, vermieden wird. Bis zur Entscheidung des Unternehmens über Ihren Widerspruch kann es erforderlich sein, die Verarbeitung personenbezogener Daten vorübergehend auszusetzen; dadurch können einzelne Funktionen der Dienste deaktiviert werden.

Kann das Unternehmen Ihren Widerspruch nicht ausräumen oder Ihnen innerhalb von dreißig (30) Tagen nach Eingang Ihres wirksamen und begründeten Widerspruchs keine alternative Lösung bereitstellen, wobei dies nach alleinigem Ermessen des Unternehmens festgestellt wird und keine Begründungspflicht besteht, können Sie als ausschließlichen Rechtsbehelf die Nutzung der betroffenen Dienste durch schriftliche Mitteilung an compliance@base44.com einstellen. Diese Einstellung lässt alle vor der Einstellung angefallenen Gebühren unberührt; weitere Ansprüche gegen das Unternehmen im Zusammenhang mit der Einstellung bestehen nicht. Wurde innerhalb der genannten Frist kein Widerspruch gegen die Ersetzung oder Bestellung eines neuen Unterauftragsverarbeiters erhoben, gilt dieser als von Ihnen genehmigt.

Sicherheit

Das Unternehmen hat branchenübliche technische und organisatorische Sicherheitsmaßnahmen implementiert und wird sie aufrechterhalten, um unbefugten Zugriff auf Ihre personenbezogenen Daten sowie deren unbefugte Offenlegung oder Beschädigung zu verhindern, wie in Anhang B aufgeführt.

Sie sind dafür verantwortlich, die vom Unternehmen bereitgestellten Informationen über dessen Datensicherheit zu prüfen und eigenständig festzustellen, ob die Dienste Ihren Bedürfnissen, Anforderungen und gesetzlichen Pflichten entsprechen.

Soweit zutreffend, sind Sie weiterhin für die ordnungsgemäße Konfiguration der Dienste und die Verwendung der zur Verfügung gestellten Funktionen und Funktionalitäten verantwortlich, um eine angemessene Sicherheit personenbezogener Daten zu gewährleisten.

Durch die Nutzung der Dienste des Unternehmens stimmen Sie hiermit der Angemessenheit der vom Unternehmen implementierten organisatorischen, technischen und Sicherheitsmaßnahmen zu.

Prüfung

Auf Ihre begründete schriftliche Anfrage stellt Ihnen das Unternehmen in angemessenen Abständen (höchstens einmal alle 12 Monate) und vorbehaltlich gegebenenfalls von Ihnen übernommener Vertraulichkeitsverpflichtungen Berichte, Zertifizierungen oder Auszüge daraus bereit, sofern diese ohne Weiteres von einer mit der Prüfung der Datenschutzpraktiken des Unternehmens betrauten Stelle verfügbar sind, damit Sie die Einhaltung dieses DPA durch das Unternehmen in Bezug auf Ihre personenbezogenen Daten beurteilen können.

Soweit sich anhand dieser Unterlagen die Erfüllung der gesetzlichen Verpflichtungen des Unternehmens Ihnen gegenüber nach den anwendbaren Datenschutzgesetzen nicht nachweisen lässt, gestattet das Unternehmen Ihnen, eine unabhängige Prüfung mittels angemessener Fragebögen, Befragungen des Personals des Unternehmens oder anderer nach den anwendbaren Datenschutzgesetzen erforderlicher angemessener Methoden durchzuführen, ohne dass dem Unternehmen dadurch zusätzliche Kosten entstehen.

Sicherheitsvorfall

Wenn das Unternehmen Kenntnis von einem bestätigten Sicherheitsvorfall erlangt, bei dem personenbezogene Daten versehentlich oder unrechtmäßig zerstört, verloren, geändert, offengelegt wurden oder darauf zugegriffen wurde, benachrichtigt das Unternehmen Sie unverzüglich entsprechend den anwendbaren Datenschutzgesetzen.

Das Unternehmen bemüht sich in angemessenem Umfang, in solche Benachrichtigungen sachdienliche Informationen über die Art der betreffenden Sicherheitsverletzung, den Umfang und die Art der betroffenen Datensätze und betroffenen Personen, die voraussichtlichen Folgen sowie Einzelheiten zu Abhilfemaßnahmen und sonstigen vom Unternehmen ergriffenen Maßnahmen aufzunehmen.

Sie erkennen an, dass eine solche Benachrichtigung nicht als Anerkenntnis eines Verschuldens oder einer Haftung des Unternehmens in Bezug auf einen solchen Vorfall gilt oder ausgelegt werden darf.

Sie erkennen außerdem an, dass Sie im Falle eines solchen Vorfalls möglicherweise auch verpflichtet sind, Maßnahmen zu ergreifen, die gemäß den anwendbaren Datenschutzgesetzen erforderlich sind, um Schäden für betroffene Personen zu mindern.

Unterstützung und Anfragen betroffener Personen

Sofern dies nicht gesetzlich verboten ist, benachrichtigt das Unternehmen Sie unverzüglich, wenn es von Behörden Ersuchen, Forderungen, Anordnungen oder ähnliche Anfragen zum Zugang zu personenbezogenen Daten erhält. Das Unternehmen gewährt keinen Zugang zu personenbezogenen Daten, sofern es nicht vernünftigerweise davon ausgeht, dass die Ersuchen verbindlich sind; in diesem Fall beschränkt es den Zugang auf das zur Erfüllung erforderliche Maß.

Das Unternehmen benachrichtigt Sie unverzüglich, wenn es eine Anfrage einer betroffenen Person erhält, die sich ausdrücklich auf die Verarbeitung personenbezogener Daten in Ihrem Auftrag bezieht. Das Unternehmen ist nicht für die Beantwortung solcher Anfragen verantwortlich und stellt Ihnen die ohne Weiteres verfügbaren Informationen zur Verfügung, die zur Beantwortung solcher Anfragen erforderlich sind.

Das Unternehmen stellt Ihnen (automatisch oder manuell) Mechanismen zur Verfügung, um Sie bei der Erfüllung solcher verbindlichen Anfragen zu unterstützen.

Soweit dies nach den anwendbaren Datenschutzgesetzen erforderlich ist, führt das Unternehmen Aufzeichnungen über seine in Ihrem Auftrag durchgeführten Verarbeitungstätigkeiten und stellt Ihnen auf Anfrage die erforderlichen Aufzeichnungen zur Verfügung, um die Einhaltung dieser gesetzlichen Anforderungen nachzuweisen.

Grenzüberschreitende Übermittlungen

Das Unternehmen übermittelt personenbezogene Daten aus dem Europäischen Wirtschaftsraum (EWR), der Schweiz oder dem Vereinigten Königreich nur dann an seine Unterauftragsverarbeiter, wenn es rechtmäßige Mechanismen verwendet, die die Einhaltung der anwendbaren Datenschutzgesetze sicherstellen, insbesondere: (i) Übermittlungen in Länder, die im EWR als Länder mit einem angemessenen Schutzniveau für personenbezogene Daten anerkannt sind; (ii) den Datenschutzrahmen EU–USA und dessen anwendbare Erweiterungen; (iii) die EU-Standardvertragsklauseln, Modul 2 oder 3 (je nach Fall) („SCC“), die mit dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 genehmigt wurden; oder (iv) sonstige genehmigte Mechanismen.

Soweit die SCC als Mechanismus für die betreffende grenzüberschreitende Übermittlung eingesetzt werden, vereinbaren die Parteien ihre Einbeziehung in dieses DPA mit folgenden Maßgaben:

• Klausel 7: Findet keine Anwendung;
• Klausel 9: Option 1 findet Anwendung;
• Klausel 17: Der „EU-Mitgliedstaat“ ist Irland;
• Klausel 18: Der „EU-Mitgliedstaat“ ist Irland.

Für Übermittlungen aus dem Vereinigten Königreich oder der Schweiz gelten die jeweils zwingenden Anpassungen entsprechend.

Kündigung

Auf Ihre schriftliche Anfrage löscht das Unternehmen Ihr Konto, einschließlich aller darin gespeicherten personenbezogenen Daten, mit Ausnahme der folgenden:

• Alle Daten, die vom Unternehmen im gesetzlich vorgeschriebenen Umfang aufbewahrt werden;
• Alle Daten, die das Unternehmen während seiner automatischen Sicherungsverfahren speichert und die nach festgelegten Intervallen gelöscht werden.

Soweit personenbezogene Daten nach Beendigung dieses DPA gemäß den vorstehenden Ausnahmen aufbewahrt werden, unterliegen sie weiterhin diesem DPA und dürfen bis zu ihrer Löschung aus den Systemen weder abgerufen noch anderweitig verwendet werden.

Spezifische Bedingungen für Gesetze der US-Bundesstaaten

Die folgenden Bedingungen gelten für personenbezogene Daten aus den USA:

Zur Klarstellung schließen die Definitionen „personenbezogene Daten“, „betroffene Person“, „Verantwortlicher“ und „Auftragsverarbeiter“ jeweils auch die Begriffe „personenbezogene Informationen“, „Verbraucher“, „Unternehmen“ und „Dienstleister“ in der Bedeutung ein, die ihnen im California Consumer Privacy Act of 2018 (CCPA) in der durch den California Privacy Rights Act of 2020 (CPRA) geänderten Fassung zugewiesen wird. Darüber hinaus haben die Begriffe „Verkaufen“ und „Weitergeben“ die ihnen im CCPA zugewiesene Bedeutung.

Das Unternehmen darf nicht:

• personenbezogene Daten verkaufen oder weitergeben.
• personenbezogene Daten für andere als die in diesem DPA festgelegten Geschäftszwecke oder außerhalb der in diesem DPA festgelegten Verarbeitungstätigkeiten verwenden;
• personenbezogene Daten, die es von Ihnen oder in Ihrem Auftrag erhält, mit anderen Informationen zusammenführen, die das Unternehmen außerhalb der Dienste erhebt;
• eine andere Partei damit beauftragen, das Unternehmen bei der Verarbeitung personenbezogener Daten zu unterstützen, oder eine andere Partei an dieser Verarbeitung beteiligen, ohne Sie gemäß diesem DPA zu benachrichtigen.

Sie sind berechtigt, (a) zu überprüfen, ob die Verarbeitung personenbezogener Daten diesem DPA entspricht; (b) angemessene Maßnahmen gemäß Abschnitt 5 („Prüfung“) zu ergreifen, um sicherzustellen, dass das Unternehmen personenbezogene Daten im Einklang mit seinen Verpflichtungen aus diesem DPA oder dem CCPA verwendet; und (c) bei unbefugter Verwendung personenbezogener Daten dieses DPA nach schriftlicher Mitteilung an das Unternehmen zu kündigen sowie Ihr Konto und Ihre personenbezogenen Daten zu löschen.

Das Unternehmen erkennt hiermit an, dass es die Anforderungen der anwendbaren Datenschutzgesetze versteht und einhält, wenn personenbezogene Daten aus den USA stammen, einschließlich aller verbindlichen Einschränkungen in Bezug auf diese Daten.

Allgemein

Das Unternehmen benachrichtigt Sie, wenn es seine Verpflichtungen aus diesem DPA oder den anwendbaren Datenschutzgesetzen nicht mehr erfüllen kann.

Das Unternehmen kann die Bestimmungen dieses DPA von Zeit zu Zeit ändern, indem es das entsprechend geänderte DPA auf seiner Website veröffentlicht. Durch Ihre fortgesetzte Nutzung der Dienste nach Veröffentlichung des geänderten DPA erklären Sie sich mit den Änderungen einverstanden und akzeptieren sie.

Wenn ein zuständiges Gericht eine Bestimmung dieses DPA für ungültig, rechtswidrig, nichtig oder aus einem anderen Grund für nicht durchsetzbar erklärt, gilt diese Bestimmung als abtrennbar; die Gültigkeit und Durchsetzbarkeit der übrigen Bestimmungen bleiben hiervon unberührt.

Zur Klarstellung und soweit nach geltendem Recht zulässig, richtet sich jede Haftung aus diesem DPA einschließlich ihrer Beschränkungen nach den einschlägigen Bestimmungen der Nutzungsbedingungen des Unternehmens.

Dieses DPA wurde in englischer Sprache verfasst und kann zu Ihrer Unterstützung in andere Sprachen übersetzt werden. Steht eine übersetzte, nicht englischsprachige Fassung dieses DPA in irgendeiner Weise im Widerspruch zur englischen Fassung, gehen die Bestimmungen der englischen Fassung vor.

Anhang A – Details zur Verarbeitung

Art und Zweck der Verarbeitung. Wir können die personenbezogenen Daten für die folgenden Zwecke und damit verbundenen Aufgaben verwenden, jeweils im Einklang mit der Vereinbarung, verhältnismäßig und unter Wahrung Ihrer Datenschutzrechte sowie der Datenschutzrechte der Nutzer Ihrer Nutzer:

• Bereitstellung der Dienste für Sie, auch durch Unterauftragsverarbeiter;
• Befolgung Ihrer Anweisungen, einschließlich der Erbringung professioneller Unterstützung, jedoch nur auf Ihre Anfrage und sofern Ihre Anweisungen mit den Bestimmungen dieses DPA und den Diensten vereinbar sind;
• Verhinderung, Untersuchung und Minderung von Datensicherheitsrisiken und -vorfällen, Betrug, Fehlern und/oder rechtswidrigen oder verbotenen Aktivitäten;
• Einhaltung der anwendbaren Gesetze und Vorschriften;

Dauer der Verarbeitung. Sie bestimmen die Dauer der Verarbeitung nach Ihren Bedürfnissen und eigenem Ermessen. Das Unternehmen löscht personenbezogene Daten im Einklang mit diesem DPA nach Maßgabe von Abschnitt 9.

Art der personenbezogenen Daten. Vorbehaltlich Ihrer Verpflichtungen zu Inhaltsbeschränkungen aus diesem DPA und der Vereinbarung bestimmen Sie allein und im Einklang mit den anwendbaren Datenschutzgesetzen Umfang und Art der personenbezogenen Daten.

Kategorien betroffener Personen. Vorbehaltlich Ihrer Verpflichtungen zu Inhaltsbeschränkungen aus diesem DPA und der Vereinbarung können Sie personenbezogene Daten an die Dienste übermitteln. Diese können insbesondere personenbezogene Daten folgender, ausschließlich von Ihnen bestimmter Kategorien betroffener Personen umfassen: (i) bestehende und potenzielle Mitarbeiter, Bewerber, Vertreter, Berater, Freiberufler, Geschäftspartner und/oder Unterauftragnehmer sowie deren jeweilige Mitarbeiter, Kontaktpersonen und Vertreter, soweit es sich um natürliche Personen handelt; (ii) Ihre bestehenden und potenziellen Kunden und Endnutzer sowie deren jeweilige Mitarbeiter, Kontaktpersonen und Vertreter, soweit es sich um natürliche Personen handelt; und (iii) sonstige natürliche Personen, mit denen Sie über die Dienste in Kontakt treten.

Anhang B – Technische und organisatorische Maßnahmen

Das Unternehmen setzt technische und organisatorische Sicherheitsmaßnahmen zum Schutz personenbezogener Daten ein und hält sie aufrecht, wie unter diesem Link beschrieben.

Anhang C – Unterauftragsverarbeiter

Alle derzeit vom Unternehmen beauftragten Unterauftragsverarbeiter sind unter diesem Link aufgeführt.