Ergänzung zur Datenverarbeitung (EUSA)

Die vorliegende Ergänzung zur Datenverarbeitung (Data Processing Addendum, „DPA“) ist Bestandteil der Bestimmungen der Endbenutzer-Servicevereinbarung (End User Service Agreement, „EUSA“) zwischen Avetta und dem Lieferanten und enthält die zusätzlichen Bestimmungen, Anforderungen und Bedingungen, unter denen Avetta bei der Bereitstellung von Services im Rahmen der EUSA personenbezogene Daten erhält, bearbeitet, verarbeitet, offenlegt, überträgt und speichert. Sämtliche großgeschriebenen Begriffe, die in der vorliegenden DPA nicht definiert sind, werden in der Bedeutung verwendet, die ihnen in der EUSA zugewiesen wird.

1. Begriffsbestimmungen und Auslegung

1.1 Begriffsbestimmungen

„Anwendbares Datenschutzrecht“ bezeichnet Gesetze und Vorschriften, die auf die Verarbeitung personenbezogener Daten durch die jeweilige Partei im Zusammenhang mit der EUSA anwendbar sind, darunter (i) die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (Datenschutz-Grundverordnung, „DSGVO“), gegebenenfalls abgewandelt und ergänzt durch die einschlägigen Gesetze und Vorschriften der EU-Mitgliedstaaten, in denen der Lieferant direkt oder indirekt tätig ist, (ii) der UK Data Protection Act 2018 und die UK General Data Protection Regulation („UK GDPR“), (iii) der Australian Privacy Act 1988 und die National Privacy Principles, (iv) der California Consumer Privacy Act von 2018 in der durch den California Privacy Rights Act von 2020 geänderten Fassung und alle damit zusammenhängenden Verordnungen oder Richtlinien (zusammenfassend der„CCPA“), (v) der Canadian Personal Information Protection and Electronic Documents Act („PIPEDA“) und (vi) alle anderen internationalen, bundesstaatlichen, staatlichen, provinziellen und lokalen Gesetze, Regeln, Verordnungen, Richtlinien und staatlichen Bestimmungen zum Schutz der Privatsphäre oder zum Datenschutz, die derzeit in Kraft sind oder zukünftig in Kraft treten.

„Betroffene Person“ bezeichnet eine Person, die Gegenstand der personenbezogenen Daten ist und auf die sich die personenbezogenen Daten direkt oder indirekt beziehen bzw. die diese Person direkt oder indirekt identifizieren.

„Data Privacy Framework“ bezeichnet das EU-US Data Privacy Framework, die Ergänzung zum EU-US Data Privacy Framework für das Vereinigte Königreich sowie das Swiss-US Data Privacy Framework, die jeweils zur Begünstigung des transatlantischen Handels zwischen dem US-Handelsministerium und der Europäischen Kommission, der britischen Regierung und der schweizerischen Bundesregierung geschlossen wurden, um US-Körperschaften verlässliche Mechanismen für die Übermittlung personenbezogener Daten aus dem EWR, dem Vereinigten Königreich (und Gibraltar) sowie der Schweiz in die Vereinigten Staaten zu bieten und gleichzeitig einen Datenschutz zu gewährleisten, der mit den Gesetzen der EU, des Vereinigten Königreichs und der Schweiz vereinbar ist.

„EWR“ bezeichnet den Europäischen Wirtschaftsraum, dem alle Mitgliedstaaten der Europäischen Union sowie Island, Norwegen und Liechtenstein angehören.

„EU SCC“ bezeichnet die Standardvertragsklauseln der Europäischen Kommission für die Übermittlung personenbezogener Daten aus der Europäischen Union in Drittländer, die im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission enthalten sind und unter https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_de abgerufen werden können.

„Personenbezogene Daten“ bezeichnet sämtliche von Avetta verarbeiteten Informationen, die (i) eine Person identifizieren oder sich auf eine Person beziehen, die direkt oder indirekt aus diesen Daten allein oder in Kombination mit anderen Informationen, die sich im Besitz oder unter der Kontrolle von Avetta befinden, identifiziert werden kann, oder die (ii) gemäß anwendbarem Datenschutzrecht anderweitig als geschützte personenbezogene Daten oder personenbezogene Informationen gelten.

„Verarbeitung“ bezeichnet jede Aktivität, die die Verwendung personenbezogener Daten umfasst, oder wird in der Bedeutung verwendet, die der Begriff im jeweils anwendbaren Datenschutzrecht erhält. Die Verarbeitung umfasst den Erhalt, die Erfassung und die Speicherung der Daten sowie die Durchführung von Vorgängen oder einer Reihe von Vorgängen mit den Daten, einschließlich der Organisation, der Änderung, des Abrufs, der Verwendung, der Offenlegung, der Löschung und der Vernichtung der Daten. Die Verarbeitung umfasst zudem die Übermittlung personenbezogener Daten an Dritte.

„Datenschutzverletzung“ bezeichnet eine Verletzung des Datenschutzes, die zur unbeabsichtigten oder unrechtmäßigen Zerstörung, zum Verlust, zur Änderung, zur unbefugten Weitergabe von oder zum Zugriff auf personenbezogene Daten führt.

„Antrag bezüglich der Rechte betroffener Personen“ bedeutet die Ausübung der Rechte einer betroffenen Person gemäß dem anwendbaren Datenschutzrecht.

„Ergänzung für das Vereinigte Königreich“ bezeichnet die Ergänzung des UK Information Commissioner's Office zur grenzüberschreitenden Datenübermittlung zu den Standardvertragsklauseln der Europäischen Kommission, die unter https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/ abrufbar ist.

1.2 Die Anlagen sind Teil der vorliegenden DPA und haben die gleiche Wirkung, als wären sie vollständig Teil der vorliegenden DPA. Jede Bezugnahme auf diese DPA schließt die Anlagen ein.

1.3 Eine Bezugnahme auf Schriftlichkeit bzw. Schriftform schließt E-Mail ein.

1.4 Im Falle eines Widerspruchs oder einer Mehrdeutigkeit bezüglich den Bestimmungen dieser DPA und den Bestimmungen der EUSA haben die Bestimmungen dieser DPA Vorrang und im Falle eines Widerspruchs oder einer Mehrdeutigkeit bezüglich den Bestimmungen der vorliegenden DPA und den in Anlage A enthaltenen Bestimmungen haben die anwendbaren Bestimmungen aus Anlage A Vorrang.

2. Rollen und Umfang der Verarbeitung

2.1 Rollen der Parteien Der Lieferant und Avetta erklären sich damit einverstanden, dass:

(a) Avetta als Auftragsverarbeiter fungiert, soweit die Verarbeitung personenbezogener Daten im Namen und im Auftrag des Lieferanten erfolgt, beispielsweise die Verarbeitung personenbezogener Daten des Lieferanten (einschließlich personenbezogener Daten seines Personals und seiner Beschäftigten), die in den Präqualifizierungsformularen, dem OSHA-Datensatz oder anderen während eines Audits erfassten Datensätzen enthalten sind; und

(b) Avetta als Verantwortlicher fungiert, soweit die Verarbeitung personenbezogener Daten für Zwecke von Avetta in Verbindung mit der Bereitstellung der Avetta-Services oder für ein berechtigtes geschäftliches Interesse von Avetta erfolgt, darunter die Rechnungsstellung, die Kontoverwaltung, der technische Support, die Produktentwicklung, analytische Zwecke sowie der Vertrieb und das Marketing (z. B. der Versand von Newslettern an die Admin-Benutzer:innen des Lieferanten).

2.2 Verarbeitung personenbezogener Daten durch Lieferanten Der Lieferant erklärt sich damit einverstanden, dass:

(a) der Lieferant die alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmäßigkeit der (entweder durch den Lieferanten oder durch die betroffenen Personen) an Avetta und/oder die Website übermittelten personenbezogenen Daten trägt;

(b) der Lieferant nur personenbezogene Daten hochladen und an Avetta und/oder die Website übermitteln darf, die gemäß dem anwendbaren Datenschutzrecht bei den betroffenen Personen erhoben wurden;

(c) der Lieferant sicherstellt, dass er über alle erforderlichen Einverständniserklärungen und Mitteilungen verfügt sowie alle anderen Anforderungen gemäß dem anwendbaren Datenschutzrecht erfüllt hat, um die rechtmäßige Übermittlung personenbezogener Daten (einschließlich sensibler Daten) an Avetta zu ermöglichen und die Verarbeitung personenbezogener Daten durch Avetta in verschiedenen Gerichtsbarkeiten gemäß der EUSA und der vorliegenden DPA zu gestatten;

(d) wenn die Einwilligung die rechtliche Grundlage für die Verarbeitung personenbezogener Daten darstellt oder anderweitig für die Nutzung der Avetta-Services erforderlich ist, der Lieferant jederzeit die Bereitstellung und Pflege (i) eines Mechanismus zur Einholung dieser Einwilligung von den betroffenen Personen und (ii) eines Mechanismus für den Widerruf dieser Einwilligung durch die betroffenen Personen übernimmt, in jedem Fall im Einklang mit dem anwendbaren Datenschutzrecht; und

(e) die Nutzung der Avetta-Services durch den Lieferanten die Rechte der betroffenen Personen nicht verletzt.

2.3 Einzelheiten zur Datenverarbeitung Anlage B erläutert die allgemeinen Kategorien personenbezogener Daten, die Arten der betroffenen Personen und weitere Einzelheiten der Verarbeitung, die Avetta im Zusammenhang mit der Bereitstellung der Avetta-Services gemäß der EUSA vornimmt.

3. Verpflichtungen von Avetta

3.1 Avetta verarbeitet personenbezogene Daten nur für die in Anlage B angegebenen spezifischen Zwecke der Übermittlung. Avetta kann personenbezogene Daten für einen abweichenden Zweck verarbeiten, (i) wenn die vorherige Einwilligung der betroffenen Person vorliegt, (ii) wenn dies für die Feststellung, Geltendmachung oder Verteidigung von Rechtsansprüchen im Rahmen bestimmter Verwaltungs-, Regulierungs- oder Gerichtsverfahren erforderlich ist oder (iii) wenn dies zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich ist. Soweit Avetta als Auftragsverarbeiter des Lieferanten fungiert, verarbeitet Avetta personenbezogene Daten auf Anweisung des Lieferanten. Die Parteien vereinbaren, dass die Anweisungen des Lieferanten den Geltungsbereich der EUSA nicht überschreiten dürfen. Alle zusätzlich gewünschten Anweisungen bedürfen der vorherigen schriftlichen Einwilligung von Avetta. Avetta benachrichtigt den Lieferanten unverzüglich, wenn eine solche Anweisung nach Ansicht von Avetta gegen das anwendbare Datenschutzrecht verstößt. Gegebenenfalls ist der Lieferant für alle Mitteilungen, Benachrichtigungen, Hilfestellungen und/oder Genehmigungen zuständig, die im Zusammenhang mit seinen betroffenen Personen erforderlich sind.

3.2 Avetta unterstützt den Lieferanten unter Berücksichtigung der Art der Verarbeitung durch Avetta und der Avetta zur Verfügung stehenden Informationen auf angemessene Art bei der Erfüllung seiner Verpflichtungen zur Einhaltung des anwendbaren Datenschutzrechts. Hierbei wird vorausgesetzt, dass der Lieferant sämtliche Kosten trägt, die Avetta im Zusammenhang mit der Bereitstellung dieser Unterstützung entstehen. Diese Einhaltungspflichten umfassen unter Umständen auch die Verpflichtung, eine Bewertung der Auswirkungen der Verarbeitungsvorgänge auf den Schutz personenbezogener Daten (eine „Datenschutz-Folgenabschätzung“) vorzunehmen, wenn eine Art der Verarbeitung mit einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen einhergeht.

4. Mitarbeitende von Avetta

4.1 Avetta stellt sicher, dass alle Mitarbeitenden, die Zugang zu personenbezogenen Daten erhalten oder an der Verarbeitung von personenbezogenen Daten beteiligt sind, (i) eine Schulung zum anwendbaren Datenschutzrecht in Bezug auf den Umgang mit personenbezogenen Daten und deren Anwendbarkeit auf ihre jeweiligen Aufgaben absolviert haben und sich sowohl der Pflichten von Avetta als auch ihrer eigenen Pflichten und Verpflichtungen gemäß dem geltenden Datenschutzrecht und der vorliegenden DPA bewusst sind; und (ii) einer angemessenen Vertraulichkeitsverpflichtung (vertraglich oder gesetzlich) unterliegen.

4.2 Avetta stellt die Zuverlässigkeit, Integrität und Vertrauenswürdigkeit aller Mitarbeitenden von Avetta, die Zugriff auf personenbezogene Daten haben, mit angemessenen Maßnahmen sicher.

5. Sicherheit

5.1 Unter Berücksichtigung des Stands der Technik, der Kosten für die Umsetzung und der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie des Risikos unterschiedlicher Wahrscheinlichkeit und Schwere für die Rechte und Freiheiten der betroffenen Personen hat Avetta geeignete technische und organisatorische Maßnahmen ergriffen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, einschließlich der in Anhang II zu Anlage B erläuterten Sicherheitsmaßnahmen. Avetta kann Anhang II ggf. überprüfen und aktualisieren, vorausgesetzt, dass derartige Aktualisierungen die allgemeine Sicherheit der Avetta-Services oder der personenbezogenen Daten nicht wesentlich beeinträchtigen.

5.2 Der Lieferant ist für die Überprüfung der von Avetta bereitgestellten Informationen in Bezug auf die Datensicherheit und eine unabhängige Entscheidung darüber zuständig, ob die Avetta-Services die Anforderungen und gesetzlichen Verpflichtungen des Lieferanten gemäß dem anwendbaren Datenschutzrecht erfüllen.

6. Datenschutzverletzungen und Verlust personenbezogener Daten

6.1 Avetta benachrichtigt den Lieferanten unverzüglich, sobald Avetta Kenntnis von einer Datenschutzverletzung erlangt. Die Benachrichtigung durch Avetta erfolgt an die vom Lieferanten im Zusammenhang mit den Avetta-Services registrierte E-Mail-Adresse. Wurde keine derartige E-Mail-Adresse registriert, erklärt sich der Lieferant damit einverstanden, dass die Art der Benachrichtigung im vernünftigen Ermessen von Avetta liegt und die Möglichkeit von Avetta zur rechtzeitigen Benachrichtigung beeinträchtigt ist. Avetta ergreift unverzüglich angemessene Maßnahmen zur Eindämmung, Untersuchung und Abmilderung von Datenschutzverletzungen. Vermutet der Lieferant eine Datenschutzverletzung, ist diese unverzüglich an infosec@avetta.com zu melden.

6.2 Soweit verfügbar, stellt Avetta dem Lieferanten zeitnah Informationen über die Datenschutzverletzung zur Verfügung, etwa über die Art und die Folgen der Datenschutzverletzung, die von Avetta ergriffenen und/oder vorgeschlagenen Maßnahmen zur Abmilderung oder Eindämmung der Datenschutzverletzung, den Stand der Untersuchung von Avetta, eine Kontaktstelle, bei der zusätzliche Informationen eingeholt werden können, sowie die Kategorien und die ungefähre Anzahl der betroffenen Datensätze. Mitteilungen von oder im Auftrag von Avetta an den Lieferanten im Zusammenhang mit Datenschutzverletzungen dürfen nicht als Eingeständnis eines Verschuldens oder einer Haftung durch Avetta in Bezug auf die Datenschutzverletzung ausgelegt werden.

7. Grenzüberschreitende Übermittlung personenbezogener Daten; erforderliche Vertragsklauseln

7.1 Der Lieferant erklärt sich damit einverstanden, dass Avetta personenbezogene Daten weltweit übertragen, darauf zugreifen und diese verarbeiten kann, soweit dies für die Bereitstellung der Avetta-Services erforderlich ist.

7.2 Wenn das anwendbare Datenschutzrecht spezifische Mechanismen für die Übermittlung personenbezogener Daten an Avetta und/oder Vertragsklauseln für die Verarbeitung personenbezogener Daten durch Avetta (zusammenfassend „Übermittlungsmechanismen“) vorsieht, stellt Avetta diese spezifischen Übermittlungsmechanismen (im von Avetta allgemein geleisteten Umfang) zur Verfügung, wie in Anlage A angegeben.

7.3 Sieht das anwendbare Datenschutzrecht zusätzliche Anforderungen für die Übermittlung und/oder Vertragsklauseln für die Verarbeitung personenbezogener Daten vor, erklärt sich Avetta damit einverstanden, in angemessener Weise mit dem Lieferanten zusammenzuarbeiten, um die Einhaltung dieser Anforderungen durch den Lieferanten zu gewährleisten, und aktualisiert ggf. die in Anlage A aufgeführten Übermittlungsmechanismen. Der Lieferant erklärt sich bereit, weitere Dokumente in Kraft zu setzen und weitere Maßnahmen zu ergreifen, die vernünftigerweise erforderlich sind, damit der zusätzliche oder geänderte Übertragungsmechanismus rechtskräftig wird.

8. (Unter-)Auftragsverarbeiter

8.1 Der Lieferant erklärt sich damit einverstanden, dass Avetta, wenn Avetta als Auftragsverarbeiter fungiert, die unter Auftragsverarbeiter und verbundene Unternehmen aufgeführten Unterauftragsverarbeiter zur Verarbeitung personenbezogener Daten im Zusammenhang mit der Bereitstellung der Avetta-Services einsetzen kann. Avetta benachrichtigt den Lieferanten mindestens 10 Tage vor der Beauftragung eines neuen Unterauftragsverarbeiters oder dem Austausch eines Unterauftragsverarbeiters über die Änderungen, indem der vorgeschlagene neue Unterauftragsverarbeiter unter Auftragsverarbeiter und verbundene Unternehmen veröffentlicht wird. Der Lieferant muss diese Website regelmäßig auf Aktualisierungen überprüfen. Hat der Lieferant begründete Einwände gegen die Ernennung eines neuen Unterauftragsverarbeiters, die sich auf die Einhaltung der vorliegenden DPA durch Avetta beziehen, unternimmt Avetta angemessene Maßnahmen zur Berücksichtigung der Einwände des Lieferanten. Ist keine Lösung möglich, verzichtet Avetta nach eigenem Ermessen entweder auf die Ernennung des neuen Unterauftragsverarbeiters oder gestattet dem Lieferanten, die EUSA auszusetzen oder zu beenden, ohne dass eine der Parteien hierfür haftet. Avetta ist nicht zu einer Erstattung der im Rahmen der EUSA gezahlten Beträge verpflichtet.

8.2 Der Lieferant erklärt sich ferner damit einverstanden, dass Avetta, wenn Avetta als Verantwortlicher fungiert, die unter Auftragsverarbeiter und verbundene Unternehmen erläuterten bzw. aufgeführten Dienstleister für die dort genannten Zwecke nutzen kann.

9. Anträge bezüglich der Rechte betroffener Personen

9.1 Die Parteien vereinbaren, die jeweils andere Partei in angemessenem Umfang bei der Bearbeitung von Anträgen bezüglich der Rechte betroffener Personen innerhalb der laut anwendbarem Datenschutzrecht geltenden Fristen zu unterstützen.

10. Antrag auf Datenzugriff durch Dritte

10.1 Avetta benachrichtigt den Lieferanten, wenn eine Verwaltungs-, Aufsichts- oder Strafverfolgungsbehörde die Offenlegung der personenbezogenen Daten des Lieferanten verlangt, sofern dies nicht gesetzlich oder durch eine rechtsverbindliche Anordnung einer solchen Behörde oder Einrichtung untersagt ist.

11. Laufzeit und Beendigung

11.1 Die vorliegende DPA tritt am Tag des Inkrafttretens der EUSA oder der ersten Übermittlung personenbezogener Daten an Avetta in Kraft (je nachdem, was zuerst eintritt) und bleibt in vollem Umfang in Kraft, solange die EUSA in Kraft bleibt.

11.2 Sämtliche Bestimmungen der vorliegenden DPA, die ausdrücklich oder stillschweigend bei oder nach Beendigung der EUSA zum Schutz personenbezogener Daten in Kraft treten bzw. fortbestehen sollten, bleiben in vollem Umfang in Kraft.

12. Rückgabe und Vernichtung von Daten

12.1 Auf Anfrage des Lieferanten stellt Avetta dem Lieferanten eine Kopie der in seinem Besitz oder unter seiner Kontrolle befindlichen personenbezogenen Daten im Standardformat von Avetta bereit oder gewährt Zugriff auf diese Daten, sofern die Anfrage vor der Vernichtung der personenbezogenen Daten durch Avetta gestellt wird.

12.2 Nach Beendigung der EUSA unternimmt Avetta innerhalb eines angemessenen Zeitraums die sichere Löschung bzw. Vernichtung der personenbezogenen Daten des Lieferanten, die sich im Zusammenhang mit der vorliegenden DPA im Besitz oder unter der Kontrolle von Avetta befinden. Diese Bestimmung gilt nicht, (i) falls die Aufbewahrung der personenbezogenen Daten zur Erfüllung gesetzlicher, behördlicher, steuerlicher, buchhalterischer oder meldetechnischer Bestimmungen bzw. zur Feststellung, Geltendmachung oder Verteidigung von Rechtsansprüchen erforderlich ist, wenn Avetta angemessenen Grund zur Annahme hat, dass ein Rechtsstreit droht, und (ii) für die personenbezogenen Daten in Backup-Systemen, bis die Backups gemäß der Backup-Richtlinie von Avetta überschrieben oder gelöscht werden. In diesem Fall isoliert und schützt Avetta die personenbezogenen Daten vor einer weiteren Verarbeitung, sofern eine solche nicht gesetzlich vorgesehen ist, bis eine Löschung erfolgen kann.

13. Audit

13.1 Auf schriftlichen Antrag und ohne zusätzliche Kosten für den Lieferanten gewährt Avetta dem Lieferanten und/oder einem angemessen qualifizierten externen Vertreter (zusammenfassend „Auditor“) Zugriff auf begründet angeforderte Unterlagen, die die Einhaltung der Verpflichtungen von Avetta im Rahmen der vorliegenden DPA in Form der in Anhang II zu Anlage B aufgeführten relevanten Audits oder Zertifizierungen belegen, darunter ISO/IEC 13.1, ISO/IEC 27001:2013, ISO/IEC 27701:2019, ISO/IEC 27017:2015 und ISO/IEC 27018:2019 („ISO-Zertifizierungen“) sowie SOC 22301:2019 Typ II. Avetta füllt zudem alle vom Auditor vorgelegten schriftlichen Auditfragebögen aus und nimmt an per Telefonkonferenz oder Präsenzveranstaltung realisierten Meetings (auf Kosten des Lieferanten) zur Klärung von Folgefragen teil, vorausgesetzt, der Lieferant macht von diesem Recht nicht öfter als einmal pro Jahr Gebrauch, sofern dies nicht anderweitig durch eine zuständige Datenschutzbehörde angeordnet wird. Avetta kann vom Auditor vor einer Prüfung der Berichte oder der Durchführung eines Audits von Avetta den Abschluss einer gesonderten Vertraulichkeitsvereinbarung mit Avetta verlangen. Zudem kann Avetta eine:n derartige:n Auditor:in schriftlich ablehnen, wenn Avetta Grund zur Annahme hat, dass der bzw. die Auditor:in nicht ausreichend qualifiziert ist oder es sich um einen direkten Wettbewerber von Avetta handelt. Im Falle eines derartigen Einspruchs von Avetta hat der Lieferant eine:n andere:n Auditor:in zu benennen. Sämtliche Kosten, die einem bzw. einer Auditor:in im Zusammenhang mit einer Prüfung der Berichte oder der Durchführung eines Audits entstehen, trägt ausschließlich der bzw. die Auditor:in.

14. Allgemeines

14.1 Die Parteien vereinbaren, dass die vorliegende DPA alle vorhandenen Zusätze, Anhänge, Anlagen oder Standardvertragsklauseln zur Datenverarbeitung, die Avetta und der Lieferant möglicherweise zuvor im Zusammenhang mit den Avetta-Services geschlossen haben, ersetzt und vorrangig vor diesen gilt. Avetta kann die vorliegende DPA ggf. aktualisieren (z. B. als Reaktion auf Änderungen des anwendbaren Datenschutzrechts, als Ergebnis einer Fusion, Übernahme, Unternehmensumstrukturierung bzw. eines ähnlichen Vorgangs, im Zusammenhang mit der Einführung neuer Features, Funktionen, Produkte oder Services oder im Zusammenhang mit wesentlichen Änderungen vorhandener Avetta-Services). Vorausgesetzt wird hierbei jedoch, dass eine solche Aktualisierung den Datenschutz oder die Sicherheit personenbezogener Daten nicht wesentlich beeinträchtigt. Avetta veröffentlicht die aktualisierte Version unter ergänzung zur Datenverarbeitung (MSA) oder auf einer von Avetta genannten Nachfolgewebsite.

14.2 Die Haftung von Avetta im Rahmen oder in Verbindung mit der vorliegenden DPA, einschließlich der EU SCC, unterliegt den in der EUSA enthaltenen Haftungsausschlüssen und -beschränkungen. In keinem Fall beschränkt Avetta seine Haftung gegenüber betroffenen Personen oder zuständigen Datenschutzbehörden oder schließt diese aus.

14.3 Mit Ausnahme der Fälle und des Umfangs, in denen bzw. in dem dies in den EU-SCCs ausdrücklich vorgesehen oder durch das anwendbare Datenschutzrecht vorgeschrieben ist, erwachsen aus der vorliegenden DPA Dritten keinerlei Rechte. Die DPA dient lediglich dem Nutzen der Vertragsparteien und ihrer jeweiligen zulässigen Rechtsnachfolger und Abtretungsempfänger und kommt keiner anderen Person zugute, noch kann eine Bestimmung dieser DPA von einer anderen Person durchgesetzt werden.

14.4 Die vorliegende DPA und alle mit dieser im Zusammenhang stehenden Handlungen unterliegen den in der EUSA genannten Gesetzen und sind unter Ausschluss des Kollisionsrechts entsprechend auszulegen. Die Parteien erklären sich mit der ausschließlichen Zuständigkeit der in der EUSA genannten Gerichte und dem entsprechenden Gerichtsstand einverstanden.

14.5 Sollte eine Bestimmung der vorliegenden DPA aus irgendeinem Grund für ungültig oder nicht durchsetzbar befunden werden, bleiben die übrigen Bestimmungen der DPA durchsetzbar. Ohne die Allgemeingültigkeit des Vorstehenden einzuschränken, erklärt sich der Lieferant damit einverstanden, dass Absatz 14.2 (Haftungsbeschränkung) ungeachtet der Nichtdurchsetzbarkeit einer Bestimmung der vorliegenden DPA in Kraft bleibt.

ANLAGE A

ÜBERMITTLUNGSMECHANISMEN UND ERFORDERLICHE VERTRAGSKLAUSELN

Diese Anlage A enthält die von Avetta genutzten Übermittlungsmechanismen. Übermittlungsmechanismen, die nicht auf die Übermittlung vom Lieferanten an Avetta anwendbar sind, werden weder genutzt noch in die vorliegende DPA aufgenommen. Ist oder wird ein aufgeführter Übermittlungsmechanismus nach dem anwendbaren Datenschutzrecht anwendbar, so gilt er als von den Parteien unterzeichnet (sofern eine Unterzeichnung erforderlich ist) und wird in die vorliegende DPA aufgenommen.

1. Data Privacy Framework Für die Übermittlung personenbezogener Daten in die Vereinigten Staaten hat Avetta eine Selbstzertifizierung im Rahmen des EU-US Data Privacy Framework, der Ergänzung zum EU-US Data Privacy Framework für das Vereinigte Königreich und des Swiss-US Data Privacy Framework vorgenommen, die jeweils der Kontrolle des US Department of Commerce unterliegen. Weitere Informationen sind dem Hinweis von Avetta zum Data Privacy Framework zu entnehmen, der unter Data Privacy Framework Richtline abrufbar ist.

2. EU-Standardvertragsklauseln (EU Standard Contractual Clauses, EU SCCs): Wenn die Verarbeitung die Übermittlung personenbezogener Daten an Avetta außerhalb des EWR umfasst und keine andere rechtliche Grundlage für die internationale Übermittlung vorhanden ist (z. B. wenn das jeweilige Data Privacy Framework für ungültig erklärt wurde), unterliegt eine derartige Übermittlung den EU SCCs, insbesondere:

a. In Fällen, in denen Avetta als Verantwortlicher fungiert, gilt für die Übermittlung personenbezogener Daten zwischen dem Lieferanten und Avetta Modul 1 der EU SCCs (Übermittlung von Verantwortlichen an Verantwortliche), ergänzt durch die nachstehenden Bestimmungen:

i. Die fakultative Formulierung in Klausel 7 (Kopplungsklausel) wird verwendet.

ii. Die fakultative Formulierung in Klausel 11(a) (Rechtsbehelf) wird nicht verwendet.

iii. Für Klausel 17 wird die erste Option gewählt und es gilt deutsches Recht.

iv. Für Klausel 18(b) ist der gewählte Gerichtsstand die deutsche Gerichtsbarkeit.

b. In Fällen, in denen der Lieferant als Verantwortlicher und Avetta als Datenverarbeiter fungiert, gilt Modul 2 der EU SCCs (Übermittlung von Verantwortlichen an Auftragsverarbeiter), ergänzt durch die nachstehenden Bestimmungen:

i. Die fakultative Formulierung in Klausel 7 (Kopplungsklausel) wird verwendet.

ii. Für Klausel 9(a) wird Option 2 (allgemeine schriftliche Genehmigung) gewählt und die Frist auf zehn (10) Tage festgelegt.

iii. Die fakultative Formulierung in Klausel 11(a) (Rechtsbehelf) wird nicht verwendet.

iv. Für Klausel 17 wird die erste Option gewählt und es gilt deutsches Recht.

v. Für Klausel 18(b) ist der gewählte Gerichtsstand die deutsche Gerichtsbarkeit.

c. Die Anhänge I, II und III der EU SCCs gelten mit den in Anlage B aufgeführten Angaben als erfüllt.

3. Ergänzung für das Vereinigte Königreich Wenn die Verarbeitung die Übermittlung personenbezogener Daten an Avetta außerhalb des Vereinigten Königreichs umfasst und keine andere rechtliche Grundlage für die internationale Übermittlung vorhanden ist (z. B. wenn das jeweilige Data Privacy Framework für ungültig erklärt wurde), unterliegt eine derartige Übermittlung der Ergänzung für das Vereinigte Königreich, erweitert um folgende Bestimmungen:

a. Die Vertragsparteien im Sinne dieser Ergänzung für das Vereinigte Königreich sind die Vertragsparteien der DPA.

b. Die durch diese Ergänzung für das Vereinigte Königreich abgeänderten EU SCCs sind die anwendbaren EU SCCs, auf die in Absatz 2 dieser Anlage A Bezug genommen wird. In die Tabellen 1–3 der Ergänzung für das Vereinigte Königreich sind entsprechend die relevanten Informationen einzutragen.

c. Für die Zwecke von Tabelle 4 der Ergänzung für das Vereinigte Königreich ist „Importeur“ zu wählen.

d. Teil 2 der Ergänzung für das Vereinigte Königreich lautet: „Teil 2: Die obligatorischen Klauseln der genehmigten Ergänzung sind in Vorlage ‚Addendum B.1.0‘ aufgeführt, die vom ICO herausgegeben und dem Parlament gemäß s119A des Data Protection Act 2018 am 2. Februar 2022 vorgelegt wurde, in der gemäß Absatz 18 dieser obligatorischen Klauseln überarbeiteten Fassung.“

4. Standardvertragsklauseln für die Schweiz Wenn die Verarbeitung die Übermittlung personenbezogener Daten außerhalb der Schweiz an Avetta beinhaltet und keine andere rechtliche Grundlage für die internationale Übermittlung vorhanden ist (z. B. wenn der anwendbare Datenschutzrahmen nicht/nicht länger als zulässiger Übermittlungsmechanismus gilt), unterliegt eine derartige Übermittlung den in Absatz 2 dieser Anlage A genannten EU SCCs. Hierbei gelten folgende Ausnahmen:

a. Der Begriff „Mitgliedstaat“ darf nicht so ausgelegt werden, dass betroffenen Personen in der Schweiz die Möglichkeit verwehrt wird, ihre Rechte gemäß Klausel 18 (c) dieser Standardvertragsklauseln an ihrem gewöhnlichen Aufenthaltsort (Schweiz) einzuklagen.

b. Unterliegt die Übermittlung ausschließlich dem Bundesgesetz über den Datenschutz („DSG“), sind Verweise auf die DSGVO als Verweise auf das DSG auszulegen.

c. Unterliegt die Übermittlung sowohl dem DSG als auch der DSGVO, sind die Verweise auf die DSGVO als Verweise auf das DSG auszulegen, soweit die Übermittlung dem DSG unterliegt.

5. CCPA-Vertragsklauseln Umfasst die Verarbeitung personenbezogene Daten von in Kalifornien ansässigen Personen, müssen die Parteien zusätzlich Folgendes beachten:

a. Avetta wird: (i) personenbezogene Daten ausschließlich für die in der EUSA und im CCPA erläuterten zulässigen Zwecke und für keine anderen geschäftliche Zwecke erheben, verwenden, aufbewahren oder offenlegen; (ii) personenbezogene Daten weder verkaufen noch für kontextübergreifende verhaltensbezogene Werbung weitergeben; (iii) personenbezogene Daten nicht abseits der direkten geschäftlichen Beziehung mit Avetta erheben, verwenden, aufbewahren oder offenlegen, sofern dies nicht für die Bereitstellung der Avetta-Services erforderlich ist; (iv) personenbezogene Daten, die Avetta vom oder im Namen des Lieferanten erhält, nicht mit personenbezogenen Daten kombinieren, die es im Namen einer anderen Person oder im Namen anderer Personen erhebt, ausgenommen, der entsprechende Geschäftszweck umfasst keine kontextübergreifende verhaltensorientierte Werbung und ist nach dem CCPA zulässig; und (v) mindestens das Maß an Datenschutz bieten, das der CCPA in Bezug auf personenbezogene Daten vorsieht. Avetta erklärt, dass das Unternehmen diese Einschränkungen zur Kenntnis genommen hat und einhält.

b. Der Lieferant hat das Recht, (i) die Einhaltung der vorliegenden DPA durch Avetta zu überwachen und (ii) angemessene sowie geeignete Maßnahmen zu ergreifen, die sicherstellen, dass Avetta die personenbezogenen Daten unter Einhaltung des CCPA verwendet. Avetta benachrichtigt den Lieferanten, sobald Avetta feststellt, dass es eine seiner Verpflichtungen aus dem CCPA nicht länger erfüllen kann. In diesem Fall arbeitet Avetta mit dem Lieferanten zusammen und unternimmt alle angemessenen und geeigneten Schritte zur Beendigung und Korrektur der Verarbeitung, bis diese mit dem CCPA und der vorliegenden DPA vereinbar ist.

ANLAGE B

EINZELHEITEN ZUR VERARBEITUNG PERSONENBEZOGENER DATEN

Diese Anlage B ist Teil der DPA und erläutert die Verarbeitung durch Avetta im Zusammenhang mit der Bereitstellung der Avetta-Services.

ANHANG I – ERLÄUTERUNG DER DATENVERARBEITUNG

A. LISTE DER PARTEIEN

Datenexporteur:

Datenimporteur:

B. BESCHREIBUNG DER ÜBERMITTLUNG

C. ZUSTÄNDIGE AUFSICHTSBEHÖRDE

ANHANG II - TECHNISCHE UND ORGANISATORISCHE SICHERHEITSMASSNAHMEN

Übersicht

Bei der Entwicklung der Software-as-a-Service-Anwendungen („SaaS-Services“) von Avetta standen Sicherheitsaspekte von Anfang an im Mittelpunkt. Die SaaS-Services Connect und Workforce Management umfassen auf allen Verarbeitungsebenen zahlreiche Sicherheitsmaßnahmen in Bezug auf eine Reihe von Sicherheitsrisiken. Diese Sicherheitsmaßnahmen können geändert werden. Sämtliche Änderungen bewirken hierbei die Aufrechterhaltung oder Verbesserung der allgemeinen Sicherheit der SaaS-Plattform.

Die nachstehenden Hauptbereiche, in denen die Sicherheitsmaßnahmen erfolgen, gelten für alle Komponenten der SaaS-Services Avetta Connect und Workforce Management. Avetta hostet seine SaaS-Services auf Plattformen von Clouddienstanbietern, die hauptsächlich Amazon Web Services (AWS) und in einigen Fällen Equinix nutzen.

Audits und Zertifizierungen

Die Avetta SaaS-Services sind gemäß ISO/IEC 27001:2013, ISO/IEC 27701:2019, ISO/IEC 27017:2015 und ISO/IEC 27018:2019 sowie ISO/IEC 22301:2019 („ISO-Zertifizierungen“) zertifiziert. Avetta überprüft die Einhaltung der ISO-Zertifizierungen jährlich im Rahmen eines internen Kontrollaudits. Dieses Audit wird vom Information Security and Privacy Management Systems Committee (Ausschuss für Informationssicherheits- und Datenschutzmanagementsysteme) überprüft. Dieses Gremium setzt sich aus Mitgliedern der obersten Führungsebene von Avetta zusammen.

Avetta nutzt für die Rechen- und Speicherkapazität, die für die SaaS-Services erforderlich ist, in erster Linie globale AWS-Regionen. AWS bietet herausragende Einrichtungen, die zahlreiche Akkreditierungen erhalten haben, darunter SOC2, ISO/IEC 27001:2022, ISO/IEC 27017:2015, ISO/IEC 27018:2019, ISO/IEC 27701:2019, ISO/IEC 22301:2019, ISO/IEC 20000-1:2018 und ISO/IEC 9001:2015. Diese AWS-Einrichtungen, in denen Daten der Kunden von Avetta gespeichert und verarbeitet werden, zeichnen sich zudem durch hochmoderne physische Sicherheitsvorkehrungen aus. Avetta nutzt in bestimmten Regionen Equinix als Cloud-Dienstanbieter für Workforce Management. Equinix verfügt ebenfalls über zahlreiche Zertifizierungen, darunter ISO/IEC 27001, ISO/IEC 22301, ISO/IEC 14001, ISO/IEC 9001, ISO/IEC 50001, PCI DSS, SOC 1 Typ II und SOC 2 Typ II. Weitere Informationen über die Cloud-Dienstanbieter finden Sie unter https://aws.amazon.com/compliance/programs/ und https://www.equinix.com/data-centers/asia-pacific-colocation/australia-colocation/sydney-data-centers/sy6.

Disaster Recovery und Business Continuity

Avetta gewährleistet die hohe Verfügbarkeit der SaaS-Services durch Nutzung eines speziellen Backup/Failover-AWS-Rechenzentrums, das sich an einem anderen geografischen Standort befindet als die normale Datenverarbeitungseinrichtung. Dadurch wird sichergestellt, dass Avetta schnell auf alle umweltbedingten, physischen oder unfallbedingten Ereignisse reagieren kann, die einen Ausfall der normalen AWS-Datenverarbeitungseinrichtung zur Folge haben könnten.

Avetta verfügt über einen umfassenden Plan für Disaster Recovery und Business Continuity, der mindestens einmal jährlich überprüft wird. Diese Überprüfung sorgt dafür, dass die Belegschaft von Avetta mit der Notfallplanung in Bezug auf Ereignisse vertraut ist, die eine Unterbrechung der normalen Geschäftsaktivitäten von Avetta zur Folge haben könnten.

Die Systeme von Avetta sind so konzipiert, dass Wiederherstellungspunkte in einem Abstand von weniger als zwei Stunden gesetzt werden und die planmäßige Wiederherstellungszeit weniger als vier Stunden beträgt.

Avetta führt außerdem regelmäßig eine umfassende Risikobewertungsübung durch, um sicherzustellen, dass im Unternehmen angemessene Strategien zur Risikominderung und Abhilfemaßnahmen verfügbar sind.

Reaktion auf Zwischenfälle

Avetta verfügt über einen umfassenden Plan zur Reaktion auf Zwischenfälle. Dieser Plan sowie die zugehörigen Prozesse und Verfahren ermöglichen es der Belegschaft von Avetta, schnell auf mutmaßliche oder potenzielle Datenschutzverletzungen sowie auf sonstige verdächtige Aktivitäten im Zusammenhang mit der Cybersicherheit innerhalb der Avetta-Umgebung zu reagieren. Ein von qualifizierten Mitgliedern geführtes Incident-Response-Team bewertet derartige Situationen und entwickelt geeignete Maßnahmenpläne und Abhilfestrategien. Bestätigt sich der Verdacht einer Datenschutzverletzung, ergreift das Incident-Response-Team anhand fester Protokolle unmittelbare und angemessene Maßnahmen zur Eindämmung schädlicher Aktivitäten sowie zur Sicherung forensischer Beweise. Die Benachrichtigungsverfahren werden ebenfalls befolgt.

Verschlüsselung

Ruhende Daten werden bei den Avetta SaaS-Services per AES-256 verschlüsselt. Daneben werden weitere Datenelemente mit SALT-Verfahren verschlüsselt. Diese Verschlüsselungsverfahren gewährleisten ein hohes Maß an Vertraulichkeit und Integrität der Kundendaten. Die logische Datentrennung bleibt in den Avetta SaaS-Services stets erhalten, sodass keine Kundendaten von unbefugten Quellen abgerufen werden können. Der Zugriff auf die Kundendaten wird durch ein eindeutiges Identitäts- und Zugriffsmanagement mit Attributen gesteuert, sodass unbefugte Benutzer:innen keinen Zugriff auf die Kundendaten erhalten.

Die Sicherheitsmaßnahmen von Avetta basieren auf dem Least-Privilege-Prinzip (Prinzip der geringsten Privilegien), d. h., Mitarbeiter erhalten nur Zugriff auf Daten und Systemfunktionen, die sie für ihre Tätigkeit benötigen.

Sicherheitsmaßnahmen für Webanwendungen

Der Kundenzugriff auf SaaS-Services erfolgt ausschließlich über sichere Kommunikationsprotokolle wie TLS 1.2 oder eine aktuellere Version. Dadurch steht ein verschlüsselter Kanal für die sichere Übertragung der Daten zwischen Endnutzer:innen und den SaaS-Services zur Verfügung. Dieser schützt die Kundendaten während der Datenübertragung.

Kundenadministator:innen können Nutzer:innen der SaaS-Services hinzufügen und entfernen sowie entsprechende Zugriffsrechte festlegen. Kunden können bei den SaaS-Services die Multi-Faktor-Authentifizierung für den Zugriff auf Konten in den SaaS-Services aktivieren, indem sie Single Sign-On per SAML 2.0-Identitätsanbietern nutzen. Kunden können bei den SaaS-Services anpassbare Passwortrichtlinien festlegen, sodass die Passwörter für die SaaS-Services den Unternehmensrichtlinien des Kunden entsprechen.

Netzwerk

Die SaaS-Services beschränken die Einspeisung von Daten in das Netzwerk sowie den entsprechenden Abruf mithilfe der Netzwerksicherheitsmaßnahmen des Cloud-Dienstanbieters. Sicherheitsgruppen beschränken die Netzwerkaktivitäten auf autorisierte Endpunkte. Die SaaS-Services verwenden eine Multi-Tier-Netzwerkarchitektur, einschließlich mehrerer logisch getrennter virtueller Cloudflare-Umgebungen mit privaten Zonen, DMZs und Zonen ohne Vertrauensstellung innerhalb der Cloud-Service-Infrastruktur.

Überwachung und Auditing

Die Systeme und Netzwerke der SaaS-Services werden in Hinblick auf Sicherheitsvorfälle, Systemzustand, Netzwerkanomalien, Verarbeitungsaktivitäten, Infrastrukturverarbeitungsstufen und Verfügbarkeit überwacht. Avetta nutzt ein Eindring-Erkennungssystem zur Überwachung der Netzwerkaktivitäten, das die zuständigen Teammitglieder von Avetta über verdächtiges Verhalten informiert. Zudem werden für sämtliche öffentliche Webservices Webanwendungsfirewalls eingesetzt.

Avetta protokolliert Anwendungs-, Netzwerk-, Benutzer- und Betriebssystemereignisse auf einem lokalen Syslog-Server und in einem SIEM-System. Diese Protokolle werden automatisch analysiert und auf verdächtige Aktivitäten sowie Bedrohungen überprüft. Sämtliche Anomalien in der Systemaktivität werden den entsprechenden Stellen gemeldet und ggf. erfolgen geeignete Maßnahmen. Avetta nutzt Sicherheitsinformations- und Ereignismanagementsysteme, die eine kontinuierliche Sicherheitsanalyse der Netzwerke und der Sicherheitsumgebung von Avetta ermöglichen, in deren Rahmen Hinweise auf mögliche oder verdächtige Aktivitäten protokolliert, erkannt und gemeldet werden. Die Administration dieser Funktionen und Aktivitäten erfolgt durch das DevOps- und Cybersicherheitspersonal von Avetta.

Schwachstellenmanagement

Avetta führt im Rahmen seines umfassenden Sicherheitsprogramms regelmäßige Schwachstellenbewertungen für Webanwendungen, Analysen von statischem Code sowie externe Sicherheitsbewertungen durch, um sicherzustellen, dass angemessene Sicherheitsmaßnahmen umgesetzt wurden und wirksam sind. Avetta beauftragt halbjährlich unabhängige Dritte mit der Durchführung von Schwachstellen- und Penetrationstests zur Netzwerk- und Web-Schwachstellenbewertung. Der Umfang dieser externen Audits umfasst die Compliance in Bezug auf die Open Web Application Security Project (OWASP) Top 10 Web Vulnerabilities. Die Ergebnisse der Schwachstellenbewertung werden in den Softwareentwicklungszyklus (Software Development Lifecycle, „SDLC“) von Avetta integriert, sodass die ermittelte Schwachstelle behoben werden kann. Spezifische Schwachstellen werden priorisiert und in das interne Ticket-System von Avetta eingegeben, sodass diese bis zur Beseitigung im Blick bleiben.

Sichere Softwareentwicklung

Der SDLC von Avetta umfasst sichere Entwicklungspraktiken. Hierzu zählen der Einsatz von Tools für die Analyse von statischem Code sowie die Echtzeit-Codeanalyse. Vor dem Einsatz des Codes in der Produktionsumgebung erfolgen zudem Peer-Reviews. Avetta unterhält getrennte Verarbeitungsumgebungen: Produktion, Test/Qualitätssicherung und Demo. Die Softwareentwickler:innen von Avetta müssen jährlich eine Schulung zur sicheren Programmierung absolvieren.

Avetta-Cybersicherheitsteam

Avetta verfügt über ein spezielles Sicherheitsteam, das von einem/einer Cybersicherheitsmanager:in mit einem Master-Abschluss in Cybersicherheit geleitet wird. Das Team führt regelmäßig unternehmensweite Sicherheitsschulungen, Sicherheitsübungen sowie regelmäßige Schwachstellen- und Penetrationsübungen durch. Damit sorgt das Cybersicherheitsteam dafür, dass die Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit bei der Verarbeitung von Kundendaten regelmäßig getestet, bewertet und evaluiert wird.

Das Cybersicherheitsteam beteiligt sich zudem an jährlichen Audits sowie Zertifizierungen und absolviert Cybersicherheitsseminare.

Privatsphäre und Datenschutz

Avetta verfügt über strikte Richtlinien zur Informationssicherheit und zum Schutz personenbezogener Daten. Diese Richtlinien legen die Verfahren zum Schutz von Kundendaten fest. Darüber hinaus werden die umgesetzten Sicherheitsmaßnahmen erläutert, darunter die Aufbewahrung von Daten, Richtlinien zur Zugänglichkeit und Authentifizierung, Richtlinien zur zulässigen Nutzung und Richtlinien zum Datenschutz.

ANHANG III – LISTE DER UNTERAUFTRAGSVERARBEITER

Die aktuelle Liste der Unterauftragsverarbeiter von Avetta ist unter folgendem Link verfügbar: Auftragsverarbeiter und verbundene Unternehmen.