Greip

Auftragsverarbeitungszusatz

Willkommen bei Greip und unserer Website unter greip.io. Damit Sie als Dienstnutzer und Datenverantwortlicher (im Folgenden „Verantwortlicher“, „Sie“ oder „Kunde“) unsere KI-gestützten Module zur Betrugsprävention bei Zahlungen (die „Dienste“) nutzen oder weiter nutzen können, die von uns, GRE DEVELOPMENT LTD (Handelsregisternummer 13031797), 24-26 Arcadia Avenue, Fin009, London N3 2JU, United Kingdom (im Folgenden „Greip“ oder „Auftragsverarbeiter“), angeboten werden, haben Sie zugestimmt, dass diese Datenverarbeitungsbedingungen („Bedingungen“) gelten (unabhängig von anderen Bedingungen für die Erbringung der Dienste), um die Compliance-Verpflichtungen zu erfüllen, die Greip und seinen Kunden gemäß dem anwendbaren Datenschutzrecht auferlegt werden, insbesondere dem UK Data Protection Act („DPA“) und der EU General Data Protection Regulation („GDPR“).

Diese Bedingungen bilden eine separate Vereinbarung oder können je nach Fall durch Verweis in die jeweilige Dienstvereinbarung einbezogen werden.

  1. DEFINITIONEN
    1. 1.1. In dieser Vereinbarung haben großgeschriebene Wörter die unten oder an anderer Stelle in dieser Vereinbarung festgelegte Bedeutung:
      1. 1.1.1. „Verbundenes Unternehmen“ bezeichnet jedes Unternehmen, das eine Partei während der Laufzeit von Zeit zu Zeit direkt oder indirekt kontrolliert, von einer Partei kontrolliert wird oder unter gemeinsamer Kontrolle mit einer Partei steht.
      2. 1.1.2. „Datenschutzrecht“ bezeichnet die Datenschutzgesetze, die auf die Verarbeitung im Zusammenhang mit den Diensten anwendbar sind, einschließlich, soweit anwendbar, der GDPR und des DPA oder der anwendbaren Datenschutzgesetze anderer relevanter Rechtsordnungen.
      3. 1.1.3. „Kunde“ bezeichnet jeden Kunden von Greip.
      4. 1.1.4. „Vertragsklauseln“ bezeichnet die Standardvertragsklauseln der Europäischen Kommission für die Übermittlung personenbezogener Daten über Grenzen hinweg, in ihrer jeweils geänderten oder ersetzten Fassung, oder jeden gleichwertigen Satz vertraglicher Klauseln, der gemäß Datenschutzrecht genehmigt ist; und
      5. 1.1.5. „Personenbezogene Daten“ bezeichnet die personenbezogenen Daten, die der Auftragsverarbeiter im Zusammenhang mit den Diensten während der Laufzeit im Auftrag des Kunden verarbeitet, und können personenbezogene Daten und besondere Kategorien von Daten umfassen, die vom Kunden ausdrücklich erforderlich sind und übermittelt werden. Die Verarbeitung kann Hilfstätigkeiten zu Greip-Diensten umfassen, wie administrative und andere Dienste. Dies umfasst Namen und andere Informationen über betroffene Personen in Kundenmaterialien.
      6. 1.1.6. Die Begriffe „betroffene Person“, „personenbezogene Daten“, „Verarbeitung“ und Abwandlungen, „Verantwortlicher“ und „Auftragsverarbeiter“ haben die im Datenschutzrecht zugewiesene Bedeutung.
      7. 1.1.7. „Kundenkontodaten“ sind personenbezogene Daten zu Konto und Abrechnung des Kunden, einschließlich Registrierungsdaten, Kontaktdaten, Authentifizierungs- und Sicherheitseinstellungen sowie Abonnement- und Zahlungsmetadaten aus Dashboard oder Checkout.
      8. 1.1.8. „Kundennutzungsdaten“ sind personenbezogene Daten aus der Nutzung der Dienste, einschließlich API-Anfragemetadaten, Ereignis- und Nutzungsprotokollen, Geräte- und Verbindungsdaten sowie ähnlicher Telemetrie zum Betrieb, zur Sicherheit und zur Abrechnung.
      9. 1.1.9. „Kundeninhalte“ sind personenbezogene Daten in vom Kunden (oder dessen Endnutzern) an die Dienste übermittelten Daten zur Betrugsprävention, Validierung oder Anreicherung (z. B. IP-Adressen, E-Mail-Adressen, Telefonnummern, Zahlungskennungen und zugehörige Felder) sowie an den Kunden zurückgegebene Ergebnisse.
      10. 1.1.10. „Geplante Sicherheitsmaßnahmen“ bezeichnet die technischen und organisatorischen Sicherheitsmaßnahmen, die im Anhang zu diesem Zusatz beschrieben sind.
  2. BEAUFTRAGUNG
    1. 2.1. Greip ist von seinen Kunden, verbundenen Kundenunternehmen und Geschäftsverbundenen (zusammen „Weisende Parteien“) beauftragt, verschiedene Dienste, einschließlich der Dienste, in deren Namen zu erbringen und zu verwalten. Personenbezogene Daten können daher personenbezogene Daten enthalten, in Bezug auf die der Kunde und seine weisenden Parteien Verantwortliche sind. Greip bestätigt, dass es berechtigt ist, dem Kunden Anweisungen oder andere Anforderungen im Namen des Kunden in Bezug auf die Verarbeitung personenbezogener Daten im Zusammenhang mit den Diensten mitzuteilen.
    2. 2.2. Der Auftragsverarbeiter wird vom Kunden beauftragt, personenbezogene Daten im Auftrag des Kunden und/oder der weisenden Parteien, je nach Fall, zu verarbeiten, soweit dies zur Erbringung der Dienste oder anderweitig schriftlich zwischen den Parteien vereinbart erforderlich ist.
  3. LAUFZEIT
    1. Die Bedingungen beginnen am Wirksamkeitsdatum und bleiben in vollem Umfang in Kraft, bis alle Dienste eingestellt wurden und alle personenbezogenen Daten im Besitz des Auftragsverarbeiters oder unter seiner angemessenen Kontrolle zurückgegeben oder vernichtet wurden (die „Laufzeit“).
  4. DATENSCHUTZ-COMPLIANCE
    1. 4.1. In Bezug auf seine Verarbeitung personenbezogener Daten verpflichtet sich Greip, sofern gesetzlich nicht anders vorgeschrieben:
      1. 4.1.1. personenbezogene Daten nur im Zusammenhang mit den Diensten und gemäß den dokumentierten rechtmäßigen Anweisungen des Kunden und seiner weisenden Parteien von Zeit zu Zeit zu verarbeiten;
      2. 4.1.2. den Kunden und seine weisenden Parteien zu informieren, wenn nach Ansicht von Greip eine Anweisung gegen das Datenschutzrecht verstößt;
      3. 4.1.3. sicherzustellen, dass alle von Greip zur Verarbeitung personenbezogener Daten autorisierten Mitarbeiter sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Vertraulichkeitspflicht unterliegen;
      4. 4.1.4. angemessene technische und organisatorische Maßnahmen zu implementieren, um personenbezogene Daten angemessen zu schützen, unter Berücksichtigung der Art der zu schützenden personenbezogenen Daten und des Risikos von Schäden, die aus einem Sicherheitsvorfall (wie unten definiert) resultieren könnten, mindestens die Geplanten Sicherheitsmaßnahmen;
      5. 4.1.5. den Kunden und seine weisenden Parteien unverzüglich über Anfragen betroffener Personen gemäß Datenschutzrecht oder behördliche oder strafverfolgende Anfragen in Bezug auf personenbezogene Daten zu informieren. Greip wird eine Anfrage auf Auskunft der betroffenen Person nicht anerkennen oder anderweitig darauf antworten, außer mit vorheriger schriftlicher Genehmigung des Kunden und seiner weisenden Parteien, die nicht unangemessen verweigert werden darf;
      6. 4.1.6. die vom Kunden und seinen weisenden Parteien angemessen erforderliche Unterstützung zu leisten, um die Compliance von Greip mit dem Datenschutzrecht in Bezug auf Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultationen mit einer zuständigen Behörde sicherzustellen;
      7. 4.1.7. nach Wahl des Kunden und seiner weisenden Parteien alle personenbezogenen Daten unverzüglich zu löschen oder an den Kunden und seine weisenden Parteien zurückzugeben und vorhandene Kopien aller personenbezogenen Daten im Besitz des Auftragsverarbeiters oder unter seiner angemessenen Kontrolle (einschließlich solcher, die von einem Unterauftragsverarbeiter gehalten werden) zu löschen; und
      8. 4.1.8. dem Kunden und seinen weisenden Parteien die zur Demonstration der Einhaltung dieser Bedingungen durch Greip angemessen erforderlichen Informationen zur Verfügung zu stellen, angemessene Sicherheitsfragebögen zu beantworten und Audits gemäß Klausel 7 zu unterstützen.
  5. UNTERAUFTRAGSVERARBEITER
    1. 5.1. Mit Abschluss oder fortgesetzter Nutzung der Dienste nach dem Stichtag erteilt der Kunde dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter einzusetzen, die im Zusammenhang mit den Diensten personenbezogene Daten verarbeiten, vorbehaltlich dieser Klausel 5. Der Auftragsverarbeiter wird Verpflichtungen unter diesen Bedingungen nicht in einer Weise untervergeben, auslagern, abtreten, novieren oder anderweitig übertragen, die die Verarbeitung personenbezogener Daten durch einen neuen Unterauftragsverarbeiter betrifft, außer gemäß Klausel 5.2.
    2. 5.2. Bei der Beauftragung eines Unterauftragsverarbeiters wird der Auftragsverarbeiter:
      1. 5.2.1. angemessene Sorgfalt walten lassen;
      2. 5.2.2. einen Vertrag unter Bedingungen abschließen, die soweit praktikabel dieselben wie in diesen Bedingungen sind und Vertragsklauseln enthalten können, um angemessene Schutzmaßnahmen für die Verarbeitung personenbezogener Daten zu bieten; und
      3. 5.2.3. dem Kunden mindestens 14 Tage im Voraus über jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters informieren, indem die öffentliche Liste in Klausel 5.2.4 aktualisiert wird und, sofern der Kunde Änderungsmitteilungen abonniert hat, per E-Mail oder über das Konto. Widerspricht der Kunde aus angemessenen Gründen innerhalb dieser Frist, arbeiten die Parteien in gutem Glauben an einer Lösung. Kann der Widerspruch innerhalb einer angemessenen Frist nicht gelöst werden (in jedem Fall innerhalb von 30 Tagen nach Ablauf der Mitteilungsfrist, sofern die Parteien nichts anderes vereinbaren), kann der Kunde die betroffenen Dienste schriftlich kündigen und als alleinigen Rechtsbehelf in Bezug auf diesen Widerspruch eine Erstattung vorausbezahlter Entgelte für den ungenutzten Teil des Abonnementzeitraums für diese Dienste nach dem Wirksamkeitsdatum der Kündigung erhalten.
      4. 5.2.4. führt eine öffentliche Liste der Unterauftragsverarbeiter, die im Zusammenhang mit den Diensten personenbezogene Daten verarbeiten, unter https://greip.io/de/legal-and-security/sub-processors, die von Zeit zu Zeit aktualisiert wird. Der Kunde kann Änderungsmitteilungen über sein Konto oder den Support anfordern.
  6. SICHERHEITSVORFÄLLE
    1. 6.1. „Sicherheitsvorfall“ bezeichnet eine Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu übermittelten, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten führt.
    2. 6.2. Greip informiert den Kunden unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem Greip von einem Sicherheitsvorfall Kenntnis erlangt hat, und stellt dem Kunden die folgenden Informationen bereit, sobald sie verfügbar sind:
      1. 6.2.1. eine Beschreibung der Art des Sicherheitsvorfalls, einschließlich, soweit möglich, der Kategorien und ungefähren Anzahl betroffener Personen und betroffener Datensätze;
      2. 6.2.2. die Art der Daten, die Gegenstand des Sicherheitsvorfalls waren;
      3. 6.2.3. soweit Greip zum Zeitpunkt der Mitteilung bekannt, die Kategorien betroffener Personen und zugehöriger Datensätze sowie weitere Details (einschließlich, soweit angemessen und sobald verfügbar, der Identität betroffener Personen); und
      4. 6.2.4. die Maßnahmen, die Greip ergreift oder vorschlägt, um den Sicherheitsvorfall zu mildern und zu beheben.
    3. 6.3. Greip unternimmt angemessene Anstrengungen, jeden Sicherheitsvorfall unverzüglich zu mildern und zu beheben und weitere Sicherheitsvorfälle zu verhindern.
    4. 6.4. Greip stimmt zu, dass der Kunde das alleinige Recht hat zu bestimmen, (i) ob die Meldung des Sicherheitsvorfalls an Einzelpersonen, Aufsichtsbehörden, Strafverfolgungsbehörden, Verbraucherschutzagenturen oder andere erforderlich ist, (ii) den Inhalt einer solchen Meldung und (iii) ob betroffenen Personen eine Abhilfe angeboten werden kann sowie Art und Umfang einer solchen Abhilfe.
    5. 6.5. Vorbehaltlich Klausel 10.3 erstattet Greip dem Kunden, wenn ein Sicherheitsvorfall personenbezogene Daten im Besitz oder unter der Kontrolle von Greip betrifft und durch einen Verstoß von Greip gegen diesen Zusatz verursacht wurde, dokumentierte, angemessene Kosten, die dem Kunden für die Benachrichtigung von Aufsichtsbehörden oder betroffenen Personen und die Minderung des Sicherheitsvorfalls entstehen, jedoch nur, soweit diese Kosten dem Verstoß von Greip angemessen zurechenbar sind und keine Doppelerstattungen nach Klausel 9 oder anwendbarem Recht darstellen. Die gesamte Haftung von Greip für Erstattungen nach dieser Klausel 6.5 ist auf die Gesamtentgelte begrenzt, die der Kunde Greip für die betroffenen Dienste in den zwölf (12) Monaten unmittelbar vor dem Sicherheitsvorfall gezahlt hat (oder, wenn der Kunde weniger als zwölf Monate Kunde ist, auf die seit Beginn des Abonnements gezahlten Entgelte).
    6. 6.6. Greip untersucht den Sicherheitsvorfall und ergreift angemessene Maßnahmen, um die Auswirkungen zu identifizieren, zu verhindern und zu mildern. Greip ergreift weitere Maßnahmen, die der Kunde angemessen anfordern kann, um das Datenschutzrecht einzuhalten.
    7. 6.7. Greip darf ohne vorherige schriftliche Genehmigung des Kunden keine Einreichungen, Mitteilungen, Bekanntmachungen, Pressemitteilungen oder Berichte über einen Sicherheitsvorfall („Mitteilungen“) veröffentlichen; eine solche Genehmigung darf nicht unangemessen verweigert werden.
  7. AUDIT
    1. 7.1. Der Kunde kann die Einhaltung dieses Zusatzes durch Greip vor allem durch ausgefüllte Sicherheitsfragebögen und die zur Demonstration der Einhaltung angemessen erforderliche Dokumentation überprüfen. Vor-Ort-Audits von Einrichtungen, Systemen oder Personal von Greip sind nur zulässig (a) nach einem Sicherheitsvorfall, bei dem der Kunde vernünftigerweise annimmt, dass Greip diesen Zusatz wesentlich verletzt hat, oder (b) wenn dies von einer zuständigen Aufsichtsbehörde mit Zuständigkeit für die Verarbeitung des Kunden verlangt wird, und in beiden Fällen höchstens einmal in jedem Zeitraum von zwölf (12) Monaten, sofern nicht gesetzlich vorgeschrieben. Jedes zulässige Vor-Ort-Audit erfordert mindestens 30 Tage vorherige schriftliche Mitteilung, unterliegt einer von beiden Parteien akzeptierten Vertraulichkeitsvereinbarung, findet während der normalen Geschäftszeiten statt und wird auf Kosten des Kunden durchgeführt, ohne den Betrieb von Greip unangemessen zu stören. Greip arbeitet bei angemessenen Audit-Anfragen mit und gewährt Zugang zu relevanten Unterlagen, soweit dies zur Demonstration der Einhaltung dieses Zusatzes und der Geplanten Sicherheitsmaßnahmen erforderlich ist.
    2. 7.2. Wird bei einem Audit oder einer Bewertung eine Abweichung von den Geplanten Sicherheitsmaßnahmen festgestellt, wird Greip (a) bei kritischen Befunden unverzüglich mit der Behebung beginnen und (b) bei anderen Befunden innerhalb von 30 Tagen nach Mitteilung des Kunden über die Abweichung einen schriftlichen Sanierungsplan vorlegen, der priorisierte Meilensteine nach Schweregrad enthält. Greip setzt den Plan gewissenhaft um und behebt Abweichungen innerhalb der im Plan genannten Fristen oder wie anderweitig schriftlich vereinbart.
  8. INTERNATIONALE DATENÜBERMITTLUNGEN
    1. 8.1. Greip stellt sicher, dass keine personenbezogenen Daten übermittelt werden aus:
      1. 8.1.1. der vom Kunden genehmigten Datenumgebung; oder
      2. 8.1.2. einem Gebiet, in dem nach Datenschutzgesetzen Beschränkungen für die grenzüberschreitende Übermittlung personenbezogener Daten gelten,
      3. 8.1.3. ohne vorherige schriftliche Zustimmung des Kunden.
      4. 8.1.4. Greip stellt sicher, dass Vertragsklauseln oder andere anwendbare Übermittlungsmechanismen vorhanden sind, um ein angemessenes Datenschutzniveau zu gewährleisten.
  9. ENTSCHÄDIGUNG
    1. Ungeachtet anderslautender Bestimmungen der jeweiligen Dienstvereinbarung verpflichtet sich der Auftragsverarbeiter hiermit, den Kunden und die weisenden Parteien sowie deren leitende Angestellte, Mitarbeiter, Vertreter und Unterauftragnehmer (jeweils eine „entschädigte Partei“) von und gegen alle Ansprüche, Verluste, Forderungen, Klagen, Haftungen, Geldstrafen, angemessenen Ausgaben, Schäden und Vergleichsbeträge (einschließlich angemessener Anwaltsgebühren und Kosten) freizustellen, die einer entschädigten Partei infolge grober Fahrlässigkeit oder vorsätzlichen Verstoßes des Auftragsverarbeiters gegen diese Bedingungen entstehen.
  10. VERSCHIEDENES
    1. 10.1. Klausel- und andere Überschriften in diesen Bedingungen dienen nur der Übersichtlichkeit und beeinflussen nicht die Bedeutung oder Auslegung dieser Bedingungen.
    2. 10.2. Im Falle eines Widerspruchs haben diese Bedingungen Vorrang vor jeder Dienstvereinbarung oder anderen Vereinbarung.
    3. 10.3. Nichts in diesen Bedingungen schließt die Haftung einer Partei aus oder beschränkt sie, die nach anwendbarem Recht nicht ausgeschlossen oder beschränkt werden kann (einschließlich Haftung, die nach Klausel 6.5 nicht gedeckelt werden kann). Vorbehaltlich des vorherigen Satzes (i) bilden diese Bedingungen einschließlich aller Anhänge die gesamte Vereinbarung zwischen den Parteien in Bezug auf den hier behandelten Gegenstand und ersetzen alle vorherigen Vereinbarungen, Verständnisse, Verhandlungen und Diskussionen der Parteien zu ihrem Gegenstand; und (ii) hat keine Partei in Bezug auf den Gegenstand dieser Bedingungen auf Erklärungen, Zusicherungen oder Garantien vertraut und wird nicht darauf vertrauen, außer denen, die ausdrücklich in diesen Bedingungen festgelegt sind.
    4. 10.4. Der Kunde stimmt jeder Änderung dieser Bedingungen zu, die von Zeit zu Zeit erforderlich sein kann, damit wir und die weisenden Parteien geänderten Datenschutzgesetzen entsprechen.
    5. 10.5. Alle Kündigungs- oder Verletzungsmitteilungen müssen in englischer Sprache, schriftlich und an die primäre Kontaktperson oder die Rechtsabteilung der anderen Partei gerichtet sein. Mitteilungen gelten als zugegangen bei Empfang, wie durch einen gültigen Empfangsnachweis oder elektronisches Protokoll bestätigt. Postmitteilungen gelten 48 Stunden nach dem Versand per Einschreiben oder eingeschriebener Post als zugegangen.
    6. 10.6. Die Bestimmungen dieser Bedingungen sind trennbar. Wenn eine Formulierung, Klausel oder Bestimmung ganz oder teilweise ungültig oder nicht durchsetzbar ist, betrifft diese Ungültigkeit oder Nichtdurchsetzbarkeit nur die betreffende Formulierung, Klausel oder Bestimmung, und der Rest dieser Bedingungen bleibt in vollem Umfang in Kraft.
    7. 10.7. Diese Bedingungen unterliegen dem Recht von England und Wales, und die Parteien unterwerfen sich der ausschließlichen Gerichtsbarkeit der Gerichte von England und Wales in Bezug auf Streitigkeiten (vertraglich oder außervertraglich) über diese Bedingungen, wobei jede Partei jedoch bei jedem Gericht einen Antrag auf Unterlassung oder andere Rechtsbehelfe zum Schutz ihres Eigentums oder vertraulicher Informationen stellen kann.
ANHANG
  1. Sicherheitsmaßnahmen
    Greip erklärt, garantiert und verpflichtet sich, dass es ein fortlaufendes Programm von Sicherheitsrichtlinien, Sicherheitsverfahren und technischen Sicherheitskontrollen eingerichtet hat und für die gesamte Dauer, in der Greip personenbezogene Daten verarbeitet, durchsetzen wird, das die Geplanten Sicherheitsmaßnahmen umsetzt und unter anderem Folgendes umfasst:
    1. 1.1. Informationssicherheit
      1. 1.1.1. ein Programm zum Management von Datenschutz- und Sicherheitsvorfällen;
      2. 1.1.2. ein Programm zur Sensibilisierung für Datenschutz und Sicherheit;
      3. 1.1.3. Business-Continuity- und Disaster-Recovery-Pläne einschließlich regelmäßiger Tests; und
      4. 1.1.4. Verfahren zur Durchführung periodischer unabhängiger Sicherheitsrisikobewertungen zur Identifizierung kritischer Informationswerte, Bewertung von Bedrohungen, Bestimmung potenzieller Schwachstellen und zeitnaher angemessener Abhilfe.
    2. 1.2. Physischer Zugang
      1. 1.2.1. physische Schutzmechanismen für alle Informationswerte und Informationstechnologie, um sicherzustellen, dass solche Werte und Technologie angemessen gespeichert und geschützt werden;
      2. 1.2.2. angemessene Zutrittskontrollen für Einrichtungen und Räume, um den physischen Zugang zu Systemen, die Kundendaten speichern oder verarbeiten, zu begrenzen;
      3. 1.2.3. Prozesse, um sicherzustellen, dass der Zugang zu Einrichtungen und Räumen überwacht wird und nach dem Need-to-know-Prinzip beschränkt ist; und
      4. 1.2.4. Kontrollen zur physischen Sicherung aller Kundendaten und zur sicheren Vernichtung solcher Informationen, wenn sie gemäß dieser Vereinbarung nicht mehr benötigt werden.
    3. 1.3. Logischer Zugang
      1. 1.3.1. angemessene Mechanismen für Benutzerauthentifizierung und -autorisierung gemäß einer Need-to-know-Richtlinie;
      2. 1.3.2. Kontrollen und auditierbare Protokolle zur Durchsetzung und Aufrechterhaltung strenger Zugriffsbeschränkungen für Mitarbeiter und Unterauftragnehmer;
      3. 1.3.3. zeitnahe und korrekte Verwaltung von Benutzerkonten und Authentifizierungsmanagement;
      4. 1.3.4. Prozesse, um sicherzustellen, dass von Greip bereitgestellte Standardwerte für Passwörter und Sicherheitsparameter angemessen verwaltet werden (z. B. periodische Änderung);
      5. 1.3.5. Mechanismen zur Verschlüsselung oder Hashing aller Passwörter oder anderweitig zur Sicherstellung, dass Passwörter nicht unverschlüsselt im Klartext gespeichert werden; und
      6. 1.3.6. Prozesse zur unverzüglichen Entziehung von Zugängen inaktiver Konten oder gekündigter/versetzter Nutzer.
    4. 1.4. Sicherheitsarchitektur und -design
      1. 1.4.1. eine Sicherheitsarchitektur, die die Geplanten Sicherheitsmaßnahmen angemessen umsetzt;
      2. 1.4.2. dokumentierte und durchgesetzte Technologiekonfigurationsstandards;
      3. 1.4.3. regelmäßige Tests von Sicherheitssystemen und der Geplanten Sicherheitsmaßnahmen;
      4. 1.4.4. ein wirksames Firewall- und Intrusion-Detection-System zum Schutz von Kundendaten; und
      5. 1.4.5. Datenbank- und Anwendungsschicht-Designprozesse, die sicherstellen, dass Webanwendungen so gestaltet sind, dass die über solche Systeme verarbeiteten Informationen geschützt werden.
    5. 1.5. System- und Netzwerkmanagement
      1. 1.5.1. Mechanismen zur Aktualisierung von Sicherheitspatches;
      2. 1.5.2. Überwachung, Analyse und Reaktion auf Sicherheitswarnungen;
      3. 1.5.3. angemessene Netzwerksicherheitsdesignelemente, die eine Trennung von Daten anderer Dritter ermöglichen;
      4. 1.5.4. Verwendung und regelmäßige Aktualisierung von Antivirensoftware; und
      5. 1.5.5. die Integrität, Resilienz und Verfügbarkeit jeder Software oder Dienste, die zur Verarbeitung der Kundendaten verwendet werden.
      6. 1.5.6. Die Nichteinhaltung der Geplanten Sicherheitsmaßnahmen oder der Verpflichtungen hierunter durch Greip stellt einen Verstoß gegen die Vereinbarung dar.
    6. 1.6. Mindesttechnische Maßnahmen
      1. 1.6.1. Firewalls, die ordnungsgemäß konfiguriert sind und die neueste Software verwenden;
      2. 1.6.2. Benutzerzugriffskontrollmanagement;
      3. 1.6.3. eindeutige Passwörter ausreichender Komplexität, mit Rotation oder Zurücksetzung, wenn Anmeldedaten kompromittiert sein könnten oder für privilegierten Zugang;
      4. 1.6.4. sichere Konfiguration auf allen Geräten;
      5. 1.6.5. regelmäßige Softwareupdates, gegebenenfalls durch Patch-Management-Software;
      6. 1.6.6. zeitnahe Außerbetriebnahme und sicheres Löschen (das Daten unwiederbringlich macht) alter Software und Hardware;
      7. 1.6.7. Echtzeitschutz-Antivirus-, Anti-Malware- und Anti-Spyware-Software;
      8. 1.6.8. https;
      9. 1.6.9. Verschlüsselung aller tragbaren Geräte mit angemessenem Schutz des Schlüssels;
      10. 1.6.10. Verschlüsselung personenbezogener Daten bei der Übertragung durch geeignete Verschlüsselungslösungen;
      11. 1.6.11. Multi-Faktor-Authentifizierung für Remote-Zugang;
      12. 1.6.12. WiFi-Zugang, gesichert durch WPA2 oder WPA3;
      13. 1.6.13. sorgfältige Webfilterung und andere angemessene Internetzugangsbeschränkungen;
      14. 1.6.14. Intrusion-Detection- und -Prevention-Systeme;
      15. 1.6.15. angemessene und verhältnismäßige Überwachung von Personal; und
      16. 1.6.16. Datenbackup- und Disaster-Recovery-Maßnahmen und -verfahren.
      17. 1.6.17. Minimale organisatorische Maßnahmen
      18. 1.6.18. Überprüfung aller Mitarbeiter einschließlich Personal, Auftragnehmer, Anbieter und Lieferanten (einschließlich Unterauftragsverarbeiter) auf fortlaufender Basis;
      19. 1.6.19. Verwendung von Geheimhaltungsvereinbarungen mit allen Mitarbeitern;
      20. 1.6.20. regelmäßige Schulung aller Mitarbeiter zu Vertraulichkeit, Datenverarbeitungsverpflichtungen, Erkennung von Sicherheitsvorfällen und Risiken;
      21. 1.6.21. Anwendung des Prinzips der geringsten Befugnis, einschließlich eingeschränkter oder streng kontrollierter Übertragung von Daten und Material außerhalb des Büros;
      22. 1.6.22. physische Sicherheit in den Räumlichkeiten einschließlich Empfang oder Rezeption, Sicherheitsausweise, Clean-Desk-Policy, Aufbewahrung von Dokumenten in sicheren Schränken, sichere Vernichtung von Materialien usw.;
      23. 1.6.23. Anwendung angemessener Richtlinien, soweit zutreffend.
  2. MECHANISMEN FÜR GRENZÜBERSCHREITENDE DATENÜBERMITTLUNG
    1. 2.1. Wenn die Dienste von mehr als einem Übermittlungsmechanismus abgedeckt werden, unterliegt die Übermittlung personenbezogener Daten einem einzigen Übermittlungsmechanismus gemäß der folgenden Rangfolge:
      1. 2.1.1. die anwendbaren Standardvertragsklauseln, wie in diesem Anhang festgelegt
      2. 2.1.2. andere anwendbare Datenübermittlungsmechanismen, die nach anwendbarem Datenschutzrecht zulässig sind.
  3. STANDARDVERTRAGSKLAUSELN
    1. 3.1. Die Parteien stimmen zu, dass die 2021 Standardvertragsklauseln für internationale Übermittlungen, veröffentlicht und verfügbar unter https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_en, auf personenbezogene Daten anwendbar sein werden, die über die Dienste vom Europäischen Wirtschaftsraum oder der Schweiz, direkt oder durch Weiterübermittlung, in ein Land oder an einen Empfänger außerhalb des Europäischen Wirtschaftsraums oder der Schweiz übermittelt werden, das bzw. der:
      1. 3.1.1. von der Europäischen Kommission (oder im Falle von Übermittlungen aus der Schweiz von der zuständigen Behörde der Schweiz) nicht als ein angemessenes Schutzniveau für personenbezogene Daten bietend anerkannt ist und
      2. 3.1.2. Für Datenübermittlungen aus dem Europäischen Wirtschaftsraum, die den 2021 Standardvertragsklauseln unterliegen, gelten die 2021 Standardvertragsklauseln als abgeschlossen (und durch diese Verweisung in diesen Zusatz einbezogen) und werden wie folgt ausgefüllt:
        1. 3.1.2.1. Modul Eins (Verantwortlicher an Verantwortlicher) der 2021 Standardvertragsklauseln gilt, wenn Greip Kundenkontodaten verarbeitet und
        2. 3.1.2.2. der Kunde Verantwortlicher für Kundennutzungsdaten ist und Greip Kundennutzungsdaten verarbeitet.
        3. 3.1.2.3. Modul Zwei (Verantwortlicher an Auftragsverarbeiter) der 2021 Standardvertragsklauseln gilt, wenn der Kunde Verantwortlicher für Kundeninhalte ist und Greip Kundeninhalte verarbeitet.
        4. 3.1.2.4. Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter) der 2021 Standardvertragsklauseln gilt, wenn der Kunde Auftragsverarbeiter für Kundeninhalte ist und Greip Kundeninhalte verarbeitet.
        5. 3.1.2.5. Modul Vier (Auftragsverarbeiter an Verantwortlicher) der 2021 Standardvertragsklauseln gilt, wenn der Kunde Auftragsverarbeiter für Kundennutzungsdaten ist und Greip Kundennutzungsdaten verarbeitet.
      3. 3.1.3. Für jedes Modul gilt, soweit anwendbar:
        1. 3.1.3.1. Datenexporteur: Kunde.
        2. 3.1.3.2. Kontaktdaten: Die vom Kunden in seinem Konto über seine Benachrichtigungseinstellungen angegebenen E-Mail-Adresse(n).
        3. 3.1.3.3. Rolle des Datenexporteurs: Die Rolle des Datenexporteurs ist in dieser Vereinbarung festgelegt.
        4. 3.1.3.4. Unterschrift und Datum: Durch Abschluss der Vereinbarung gilt der Datenexporteur als diese hier einbezogenen Standardvertragsklauseln ab dem Wirksamkeitsdatum der Vereinbarung unterzeichnet zu haben.
        5. 3.1.3.5. Datenimporteur: Greip.
        6. 3.1.3.6. Kontaktdaten: Greip Support Team
        7. 3.1.3.7. Rolle des Datenimporteurs: Die Rolle des Datenimporteurs ist in dieser Vereinbarung festgelegt.
        8. 3.1.3.8. Unterschrift und Datum: Durch Abschluss der Vereinbarung gilt der Datenimporteur als diese hier einbezogenen Standardvertragsklauseln einschließlich ihrer Anhänge ab dem Wirksamkeitsdatum der Vereinbarung unterzeichnet zu haben.
        9. 3.1.3.9. Für Übermittlungen, die den Standardvertragsklauseln von 2021 unterliegen und bei denen der Datenexporteur im EWR (oder in der Schweiz, soweit anwendbar) niedergelassen ist: zuständige Aufsichtsbehörde ist die EU- (oder schweizerische) Aufsichtsbehörde des EU-Mitgliedstaats (oder der Schweiz), in dem der Datenexporteur niedergelassen ist, oder eine andere von den Parteien in Anhang I dokumentierte Behörde.
        10. 3.1.3.10. Für Übermittlungen aus dem Vereinigten Königreich, die der UK International Data Transfer Agreement (IDTA) oder dem UK Addendum zu den EU-SCC unterliegen: Aufsichtsbehörde ist das Information Commissioner's Office (ICO), Wycliffe House, Water Lane, Wilmslow SK9 5AF, Vereinigtes Königreich (ico.org.uk).
    2. 3.2. Die Kategorien betroffener Personen sind in Anhang I zu diesem Anhang beschrieben.
    3. 3.3. Die Kategorien der übermittelten personenbezogenen Daten sind in Anhang I zu diesem Anhang beschrieben.
    4. 3.4. Die Häufigkeit der Übermittlung ist während der Laufzeit der Vereinbarung kontinuierlich.
    5. 3.5. Art und Zweck der Verarbeitung sind in Anhang I zu diesem Anhang beschrieben.
    6. 3.6. Der Zeitraum, für den die personenbezogenen Daten aufbewahrt werden, ist in der Vereinbarung und in den Abonnementbedingungen des Kunden beschrieben.
    7. 3.7. Die geplanten Sicherheitsmaßnahmen dieser Vereinbarung dienen als Anhang II der Standardvertragsklauseln.
    8. 3.8. Widerspruch. Soweit ein Widerspruch zwischen den Standardvertragsklauseln und anderen Bestimmungen in dieser Vereinbarung oder der Datenschutzrichtlinie besteht, haben die Bestimmungen der Standardvertragsklauseln Vorrang.
  4. INTERNATIONALE DATENÜBERMITTLUNGEN IM VEREINIGTEN KÖNIGREICH
    1. 4.1. Wenn personenbezogene Daten aus dem Vereinigten Königreich in ein Land übermittelt werden, das nach britischem Recht kein angemessenes Schutzniveau bietet, vereinbaren die Parteien, dass die vom ICO herausgegebene UK International Data Transfer Agreement (IDTA) oder das UK Addendum zu den Standardvertragsklauseln der EU-Kommission von 2021 (UK Addendum), je nach Anwendbarkeit, durch Verweis in diesen Zusatz einbezogen und anhand der Angaben in Anhang I ausgefüllt wird.
    2. 4.2. Die UK IDTA ist verfügbar unter https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/. Das UK Addendum ist verfügbar unter https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-addendum-to-the-eu-commission-standard-contractual-clauses/.
    3. 4.3. Wenn sowohl die SCC von 2021 als auch die UK IDTA oder das UK Addendum für dieselbe Übermittlung gelten, verwenden die Parteien den Mechanismus, der nach dem Recht der Rechtsordnung erforderlich ist, aus der die Übermittlung ausgeht.
  5. ANHANG I (STANDARDVERTRAGSKLAUSELN)
    1. A.1. Datenexporteur: Kunde (juristischer Name und Anschrift wie im Dienstleistungsvertrag oder Konto).
    2. A.2. Datenimporteur: GRE DEVELOPMENT LTD (Handelsregisternummer 13031797), 24-26 Arcadia Avenue, Fin009, London N3 2JU, Vereinigtes Königreich; Kontakt: support@greip.io.
    3. A.3. Rollen: Wie in Klausel 3.1.2 dieses Anhangs festgelegt (Module Eins bis Vier, je nach Anwendbarkeit).
    4. A.4. Kategorien betroffener Personen: Personal und autorisierte Nutzer des Kunden; Endnutzer oder Kunden des Kunden, deren Daten der Kunde an die Dienste übermittelt; in Kundeninhalten identifizierte betroffene Personen.
    5. A.5. Kategorien personenbezogener Daten: Kundenkontodaten, Kundennutzungsdaten und Kundeninhalte (einschließlich Kontaktdaten, Identifikatoren, IP-Adressen, Geräte- und Verbindungsdaten, zur Betrugsprävention übermittelte Zahlungs- und transaktionsbezogene Felder sowie Support-Kommunikation).
    6. A.6. Besondere Kategorien personenbezogener Daten: Nur, wenn der Kunde sie ausdrücklich in Kundeninhalten übermittelt; Greip verlangt für Standarddienste keine besonderen Kategorien.
    7. A.7. Häufigkeit: Kontinuierlich während der Laufzeit.
    8. A.8. Art und Zweck: Speicherung, Validierung, Anreicherung, Bewertung, Protokollierung, Überwachung, Support, Abrechnung und Sicherheit der Dienste wie in der Vereinbarung beschrieben.
    9. A.9. Unterauftragsverarbeiter: Wie aufgeführt unter https://greip.io/de/legal-and-security/sub-processors.

Letzte Aktualisierung: 6. November 2026