ULTEH verpflichtet sich, den Datenschutz, die Sicherheit und die Einhaltung von Vorschriften in Bezug auf Kundendaten zu gewährleisten. Dieser Datenverarbeitungsnachtrag (DPA) beschreibt die Bedingungen, die regeln, wie wir personenbezogene Daten gemäß den geltenden Datenschutzgesetzen und -vorschriften verarbeiten, speichern und schützen. Dieser DPA ist eine Erweiterung unserer Hauptvereinbarung mit Kunden und gilt, wenn ULTEH personenbezogene Daten im Auftrag des Kunden als Auftragsverarbeiter verarbeitet. Er legt klare Verantwortlichkeiten für beide Parteien in Bezug auf die Datenverarbeitung fest und gewährleistet die Einhaltung der einschlägigen Datenschutzgesetze. Durch die Nutzung von ULTEH bestätigen und akzeptieren Kunden die in diesem DPA festgelegten Bedingungen. Wenn Sie eine unterzeichnete Kopie dieser Vereinbarung für Compliance-Zwecke benötigen, kontaktieren Sie uns bitte.
Verbundenes Unternehmen bezeichnet jede Einheit, die eine Partei direkt oder indirekt kontrolliert, von ihr kontrolliert wird oder unter gemeinsamer Kontrolle mit ihr steht. „Kontrolle“ bedeutet den direkten oder indirekten Besitz von mindestens 50 % der stimmberechtigten Anteile, Beteiligungen oder ähnlichen Rechten an der Einheit, wodurch die Möglichkeit besteht, deren Geschäftsführung und Richtlinien zu beeinflussen. Verbundene Unternehmen gelten im Rahmen der Verarbeitung personenbezogener Daten als an die in dieser DPA festgelegten Verpflichtungen und Verantwortlichkeiten gebunden.
Autorisierter Unterauftragsverarbeiter bezeichnet jeden Drittanbieter, Dienstleister oder Auftragnehmer, der vom Dienstanbieter beauftragt wird, die personenbezogenen Daten des Kunden ausschließlich im Auftrag und nach Weisung des Dienstanbieters zu verarbeiten. Autorisierte Unterauftragsverarbeiter unterstützen bei der Erfüllung der Verpflichtungen aus dieser DPA und dem Hauptvertrag. Alle Unterauftragsverarbeiter müssen die gleichen Datenschutzpflichten einhalten und für Sicherheit, Vertraulichkeit und regulatorische Konformität sorgen.
Kontodaten bezeichnen alle geschäftsbezogenen Informationen, die der Dienstanbieter im Zusammenhang mit seiner vertraglichen Beziehung zum Kunden erhebt, speichert und verarbeitet. Dazu gehören unter anderem die Namen, E-Mail-Adressen, Telefonnummern, Zahlungsdaten und Zugangsdaten der vom Kunden autorisierten Personen, die das Konto auf der Plattform des Dienstanbieters verwalten und betreiben. Kontodaten werden ausschließlich für administrative, Abrechnungs- und Supportzwecke verwendet.
Datenschutzgesetze umfassen alle geltenden Gesetze, Vorschriften und Rahmenwerke, die die Erhebung, Verarbeitung, Speicherung, Übertragung und den Schutz personenbezogener Daten regeln. Dazu zählen unter anderem die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union, die im Vereinigten Königreich geltende UK GDPR, der California Consumer Privacy Act (CCPA) sowie alle weiteren nationalen oder internationalen Datenschutzgesetze, die für die Datenverarbeitung im Rahmen dieser Vereinbarung relevant sind. Die Einhaltung dieser Gesetze stellt sicher, dass personenbezogene Daten rechtmäßig, transparent und sicher verarbeitet werden.
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen. Eine identifizierbare Person ist eine Person, die direkt oder indirekt, insbesondere anhand von Kennungen wie Name, E-Mail-Adresse, Telefonnummer, Standortdaten, einer Online-Kennung (wie IP-Adresse oder Cookies) oder anderen einzigartigen Merkmalen identifiziert werden kann. Personenbezogene Daten schließen anonymisierte oder aggregierte Daten aus, die nicht zur Identifizierung einer Person verwendet werden können.
Verarbeitung bezeichnet jeden Vorgang oder jede Vorgangsreihe, die an personenbezogenen Daten durchgeführt wird, unabhängig davon, ob dies automatisiert oder manuell geschieht. Dazu zählen unter anderem das Erheben, Erfassen, Organisieren, Strukturieren, Speichern, Anpassen, Verändern, Abrufen, Abfragen, Verwenden, Offenlegen, Übermitteln, Einschränken, Löschen oder Vernichten personenbezogener Daten. Die Verarbeitung erfolgt gemäß den Anweisungen des Kunden und den geltenden Datenschutzgesetzen.
Sicherheitsmaßnahmen sind technische und organisatorische Vorkehrungen, die zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten umgesetzt werden. Dazu gehören Verschlüsselung, Zugriffskontrollen, Firewalls, Datenmaskierung, Pseudonymisierung, regelmäßige Sicherheitsüberprüfungen und Mechanismen zur Meldung von Datenschutzverletzungen. Sicherheitsmaßnahmen dienen dazu, unbefugten Zugriff, versehentlichen Verlust oder unrechtmäßige Verarbeitung personenbezogener Daten zu verhindern.
Aufsichtsbehörde bezeichnet eine unabhängige öffentliche Stelle, die für die Überwachung und Durchsetzung der Einhaltung von Datenschutzgesetzen zuständig ist. Beispiele sind der Europäische Datenschutzausschuss (EDPB) für GDPR-Angelegenheiten, das britische Information Commissioner's Office (ICO) für das britische GDPR und die California Privacy Protection Agency (CPPA) für die Durchsetzung des CCPA. Die Aufsichtsbehörde hat die rechtliche Befugnis, Beschwerden zu untersuchen, Leitlinien zu erlassen und Sanktionen bei Nichteinhaltung zu verhängen.
Betroffenenrechte bezeichnen die Rechte, die Einzelpersonen nach geltenden Datenschutzgesetzen zustehen. Dazu gehören das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung oder Übertragung ihrer personenbezogenen Daten sowie das Recht, der Verarbeitung zu widersprechen und Beschwerden bei einer Aufsichtsbehörde einzureichen. Der Dienstleister unterstützt Kunden bei der Ausübung dieser Rechte, sofern zutreffend.
Der Kunde kann je nach Beziehung zur betroffenen Person und dem Zweck der Verarbeitung personenbezogener Daten entweder als Verantwortlicher oder als Auftragsverarbeiter agieren. In allen Fällen handelt ULTEH als Auftragsverarbeiter und verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Kunden.
Der Kunde ist dafür verantwortlich, dass alle Datenverarbeitungsaktivitäten, die unter Nutzung unserer Dienste durchgeführt werden, den geltenden Datenschutzgesetzen entsprechen, einschließlich, aber nicht beschränkt auf die Datenschutz-Grundverordnung (DSGVO), UK GDPR, den California Consumer Privacy Act (CCPA) und andere anwendbare Datenschutzvorschriften. Der Kunde bestätigt, dass er über die rechtliche Grundlage zur Verarbeitung personenbezogener Daten verfügt und stellt uns von jeglichen Ansprüchen, Haftungen oder Schäden frei, die aus der Nichteinhaltung dieser gesetzlichen Anforderungen entstehen.
Wir verarbeiten personenbezogene Daten nur gemäß den schriftlichen Anweisungen des Kunden und ausschließlich soweit dies zur Erbringung der Dienstleistungen erforderlich ist, sofern nicht gesetzlich anders vorgeschrieben. Wir werden personenbezogene Daten nicht für andere als vom Kunden genehmigte oder in dieser Vereinbarung ausdrücklich genannte Zwecke verwenden, offenlegen oder weitergeben.
Nach Beendigung der Vereinbarung oder auf Wunsch des Kunden werden wir nach Wahl des Kunden entweder: (a) Alle im Rahmen dieser Vereinbarung verarbeiteten personenbezogenen Daten sicher löschen und sicherstellen, dass keine Kopien verbleiben, es sei denn, dies ist gesetzlich vorgeschrieben, oder (b) Die personenbezogenen Daten dem Kunden vor der Löschung in einem strukturierten, gängigen und maschinenlesbaren Format zurückgeben. Der Kunde muss solche Anfragen innerhalb eines angemessenen Zeitraums vor der Beendigung stellen.
Sollten wir gesetzlich verpflichtet sein, personenbezogene Daten über die Beendigung hinaus aufzubewahren, werden wir den Kunden benachrichtigen (sofern dies nicht gesetzlich untersagt ist) und sicherstellen, dass diese Daten weiterhin gemäß den Datenschutzgesetzen geschützt bleiben.
ULTEH verpflichtet sich, die Sicherheit und Vertraulichkeit der im Auftrag des Kunden verarbeiteten personenbezogenen Daten zu schützen. Um die Integrität und Sicherheit der Daten zu gewährleisten, setzen wir branchenführende Sicherheitsmaßnahmen ein und halten diese aufrecht, um unbefugten Zugriff, Offenlegung, Veränderung oder Zerstörung personenbezogener Daten zu verhindern.
Diese Sicherheitsmaßnahmen umfassen unter anderem:
Jede Person, einschließlich Mitarbeiter, Auftragnehmer und autorisierte Dienstleister, die in unserem Auftrag personenbezogene Daten verarbeitet, ist an strenge Vertraulichkeitspflichten gebunden. Dazu gehört das Unterzeichnen rechtlich bindender Geheimhaltungsvereinbarungen (NDAs) sowie die Einhaltung interner Richtlinien zur Datenverarbeitung, um die Einhaltung von Datenschutz- und Sicherheitsstandards zu gewährleisten.
Wir werden den Kunden umgehend über jede bestätigte Sicherheitsverletzung informieren, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, unbefugten Offenlegung oder zum Zugriff auf personenbezogene Daten führen könnte. Solche Benachrichtigungen enthalten Einzelheiten zum Vorfall, potenzielle Auswirkungen und ergriffene Maßnahmen zur Risikominderung.
Wir überprüfen und aktualisieren unsere Sicherheitsmaßnahmen fortlaufend gemäß den aktuellen Branchenstandards und gesetzlichen Anforderungen, um den dauerhaften Schutz der Kundendaten sicherzustellen.
ULTEH kann Drittanbieter-Subunternehmer beauftragen, um bei der Bereitstellung und Wartung der Dienste zu unterstützen. Diese Subunternehmer übernehmen spezifische Aufgaben wie Datenspeicherung, Infrastruktur-Hosting, Analysen oder Kundensupport. Wir stellen sicher, dass alle beauftragten Subunternehmer strengen Datenschutzverpflichtungen unterliegen, die denen in dieser DPA entsprechen.
Wir führen eine aktuelle Liste der Subunternehmer, einschließlich ihrer Aufgaben und Verarbeitungsstandorte. Kunden können jederzeit Informationen zu den aktuellen Subunternehmern anfordern, indem sie uns kontaktieren.
Kundenrechte und Einwände:
Wir bleiben voll verantwortlich und haftbar für das Handeln unserer Unterauftragsverarbeiter und stellen sicher, dass sie Folgendes einhalten:
Wir behalten uns das Recht vor, unsere Subunternehmer bei Bedarf zu aktualisieren oder auszutauschen, wobei wir die Anliegen unserer Kunden und laufende Compliance-Verpflichtungen berücksichtigen.
ULTEH kann personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums (EWR), des Vereinigten Königreichs (UK) oder der Schweiz übertragen, um die Bereitstellung der Dienste zu ermöglichen. Bei solchen Übermittlungen stellen wir sicher, dass geeignete rechtliche Schutzmaßnahmen zum Schutz der übertragenen Daten gemäß den geltenden Datenschutzgesetzen getroffen werden.
Wir verlassen uns auf anerkannte Mechanismen für die Datenübertragung, einschließlich, aber nicht beschränkt auf:
Kundenrechte & Unterstützung: Wir verpflichten uns, den Kunden bei der Einhaltung der Rechte der betroffenen Personen gemäß den geltenden Datenschutzgesetzen zu unterstützen. Dies umfasst unter anderem:
Wir überwachen fortlaufend globale Datenschutzvorschriften, um die Einhaltung von Anforderungen an grenzüberschreitende Datenübertragungen sicherzustellen, und informieren den Kunden, falls Änderungen im rechtlichen Rahmen unsere Datenverarbeitungspflichten beeinflussen.
ULTEH erkennt die Rechte der Betroffenen gemäß den geltenden Datenschutzgesetzen an und respektiert diese. Wir unterstützen den Kunden als Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen bezüglich ihrer personenbezogenen Daten.
Betroffene Personen können folgende Rechte ausüben:
Verantwortlichkeiten des Kunden: Der Kunde als Verantwortlicher ist für die Bearbeitung von Anfragen betroffener Personen verantwortlich. Wir werden auf Anfrage angemessene Unterstützung leisten und sicherstellen, dass Antworten zeitnah und im Einklang mit den geltenden Gesetzen bearbeitet werden.
Wir werden nicht direkt auf eine Anfrage einer betroffenen Person antworten, es sei denn, wir sind gesetzlich dazu verpflichtet oder werden ausdrücklich vom Kunden dazu ermächtigt.
ULTEH nimmt die Sicherheit ernst und ergreift vorbeugende Maßnahmen zum Schutz personenbezogener Daten. Im Falle einer Verletzung des Schutzes personenbezogener Daten werden wir jedoch schnell und transparent handeln.
Notfallplan bei Datenschutzverletzungen: Wenn uns eine bestätigte Verletzung des Schutzes personenbezogener Daten bekannt wird, die zu unbefugtem Zugriff, Verlust, Veränderung oder Offenlegung personenbezogener Daten führen kann, werden wir:
Verantwortlichkeiten des Kunden: Der Kunde ist dafür verantwortlich zu entscheiden, ob Aufsichtsbehörden und betroffene Personen gemäß den geltenden Datenschutzgesetzen benachrichtigt werden müssen.
Wir werden alle Verletzungen dokumentieren und Aufzeichnungen über unsere Untersuchung, Abhilfemaßnahmen und Behebungsmaßnahmen führen.
ULTEH bewahrt personenbezogene Daten nur so lange auf, wie es zur Erfüllung der Verpflichtungen aus dieser Vereinbarung oder gemäß geltendem Recht erforderlich ist.
Richtlinie zur Datenspeicherung:
Kundengesteuerte Datenlöschung:
Ausnahmen von der Datenlöschung: In bestimmten Fällen können wir personenbezogene Daten über den vereinbarten Aufbewahrungszeitraum hinaus aufbewahren, darunter:
Wir stellen sicher, dass sichere Löschverfahren eingehalten werden, um eine unbefugte Wiederherstellung oder missbräuchliche Nutzung personenbezogener Daten zu verhindern.
Diese Datenverarbeitungsvereinbarung (DPA) unterliegt denselben Gesetzen und der gleichen Gerichtsbarkeit wie im Hauptvertrag zwischen ULTEH und dem Kunden festgelegt.
Streitbeilegungsverfahren: Sollte es zu Streitigkeiten im Zusammenhang mit diesem DPA kommen, verpflichten sich beide Parteien, einem strukturierten Lösungsprozess zu folgen, einschließlich:
Im Falle eines Widerspruchs zwischen dieser DPA und dem Hauptvertrag haben die Bestimmungen dieser DPA ausschließlich in Bezug auf Datenschutzangelegenheiten Vorrang, um die Einhaltung der geltenden Datenschutzgesetze sicherzustellen.
Diese Datenverarbeitungsvereinbarung ist ein integraler Bestandteil der Gesamtvereinbarung zwischen ULTEH und dem Kunden. Durch die fortgesetzte Nutzung der Dienste erkennt der Kunde die Bedingungen dieser DPA an und akzeptiert sie.
Sollte eine Bestimmung dieser DPA ungültig oder nicht durchsetzbar sein, bleiben die übrigen Bestimmungen in vollem Umfang in Kraft. Die Parteien vereinbaren, jede nicht durchsetzbare Bestimmung durch eine zu ersetzen, die der ursprünglichen Absicht so nahe wie möglich kommt und den geltenden Gesetzen entspricht.
Änderungen und Aktualisierungen: Wir behalten uns das Recht vor, diese DPA anzupassen oder zu aktualisieren, um Änderungen an geltenden Datenschutzgesetzen, Branchenpraktiken oder betrieblichen Anforderungen Rechnung zu tragen. Kunden werden über wesentliche Änderungen informiert. Die fortgesetzte Nutzung der Dienste gilt als Zustimmung zu den aktualisierten Bedingungen.
Kontaktinformationen: Bei Fragen, Anliegen oder zur Anforderung einer unterzeichneten Kopie dieses DPA können sich Kunden an folgende Adresse wenden: [email protected].
