Auftragsverarbeitungszusatz

Willkommen bei Greip und unserer Website unter greip.io. Damit Sie als Dienstnutzer und Datenverantwortlicher (im Folgenden „Verantwortlicher“, „Sie“ oder „Kunde“) unsere KI-gestützten Module zur Betrugsprävention bei Zahlungen (die „Dienste“) nutzen oder weiter nutzen können, die von uns, Gre Development Ltd, 7 Coronation Road, London, NW10 7PQ, United Kingdom (im Folgenden „Greip“ oder „Auftragsverarbeiter“), angeboten werden, haben Sie zugestimmt, dass diese Datenverarbeitungsbedingungen („Bedingungen“) gelten (unabhängig von anderen Bedingungen für die Erbringung der Dienste), um die Compliance-Verpflichtungen zu erfüllen, die Greip und seinen Kunden gemäß dem anwendbaren Datenschutzrecht auferlegt werden, insbesondere dem UK Data Protection Act („DPA“) und der EU General Data Protection Regulation („GDPR“).

Diese Bedingungen bilden eine separate Vereinbarung oder können je nach Fall durch Verweis in die jeweilige Dienstvereinbarung einbezogen werden.

DEFINITIONEN

1.1. In dieser Vereinbarung haben großgeschriebene Wörter die unten oder an anderer Stelle in dieser Vereinbarung festgelegte Bedeutung:

1.1.1. „Verbundenes Unternehmen“ bezeichnet jedes Unternehmen, das eine Partei während der Laufzeit von Zeit zu Zeit direkt oder indirekt kontrolliert, von einer Partei kontrolliert wird oder unter gemeinsamer Kontrolle mit einer Partei steht.
1.1.2. „Datenschutzrecht“ bezeichnet die Datenschutzgesetze, die auf die Verarbeitung im Zusammenhang mit den Diensten anwendbar sind, einschließlich, soweit anwendbar, der GDPR und des DPA oder der anwendbaren Datenschutzgesetze anderer relevanter Rechtsordnungen.
1.1.3. „Kunde“ bezeichnet jeden Kunden von Greip.
1.1.4. „Vertragsklauseln“ bezeichnet die Standardvertragsklauseln der Europäischen Kommission für die Übermittlung personenbezogener Daten über Grenzen hinweg, in ihrer jeweils geänderten oder ersetzten Fassung, oder jeden gleichwertigen Satz vertraglicher Klauseln, der gemäß Datenschutzrecht genehmigt ist; und
1.1.5. „Personenbezogene Daten“ bezeichnet die personenbezogenen Daten, die der Auftragsverarbeiter im Zusammenhang mit den Diensten während der Laufzeit im Auftrag des Kunden verarbeitet, und können personenbezogene Daten und besondere Kategorien von Daten umfassen, die vom Kunden ausdrücklich erforderlich sind und übermittelt werden. Die Verarbeitung kann Hilfstätigkeiten zu Greip-Diensten umfassen, wie administrative und andere Dienste. Dies umfasst Namen und andere Informationen über betroffene Personen in Kundenmaterialien.
1.1.6. Die Begriffe „betroffene Person“, „personenbezogene Daten“, „Verarbeitung“ und Abwandlungen, „Verantwortlicher“ und „Auftragsverarbeiter“ haben die im Datenschutzrecht zugewiesene Bedeutung.

BEAUFTRAGUNG

2.1. Greip ist von seinen Kunden, verbundenen Kundenunternehmen und Geschäftsverbundenen (zusammen „Weisende Parteien“) beauftragt, verschiedene Dienste, einschließlich der Dienste, in deren Namen zu erbringen und zu verwalten. Personenbezogene Daten können daher personenbezogene Daten enthalten, in Bezug auf die der Kunde und seine weisenden Parteien Verantwortliche sind. Greip bestätigt, dass es berechtigt ist, dem Kunden Anweisungen oder andere Anforderungen im Namen des Kunden in Bezug auf die Verarbeitung personenbezogener Daten im Zusammenhang mit den Diensten mitzuteilen.
2.2. Der Auftragsverarbeiter wird vom Kunden beauftragt, personenbezogene Daten im Auftrag des Kunden und/oder der weisenden Parteien, je nach Fall, zu verarbeiten, soweit dies zur Erbringung der Dienste oder anderweitig schriftlich zwischen den Parteien vereinbart erforderlich ist.

LAUFZEIT

Die Bedingungen beginnen am Wirksamkeitsdatum und bleiben in vollem Umfang in Kraft, bis alle Dienste eingestellt wurden und alle personenbezogenen Daten im Besitz des Auftragsverarbeiters oder unter seiner angemessenen Kontrolle zurückgegeben oder vernichtet wurden (die „Laufzeit“).

DATENSCHUTZ-COMPLIANCE

4.1. In Bezug auf seine Verarbeitung personenbezogener Daten verpflichtet sich Greip, sofern gesetzlich nicht anders vorgeschrieben:

4.1.1. personenbezogene Daten nur im Zusammenhang mit den Diensten und gemäß den dokumentierten rechtmäßigen Anweisungen des Kunden und seiner weisenden Parteien von Zeit zu Zeit zu verarbeiten;
4.1.2. den Kunden und seine weisenden Parteien zu informieren, wenn nach Ansicht von Greip eine Anweisung gegen das Datenschutzrecht verstößt;
4.1.3. sicherzustellen, dass alle von Greip zur Verarbeitung personenbezogener Daten autorisierten Mitarbeiter sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Vertraulichkeitspflicht unterliegen;
4.1.4. angemessene technische und organisatorische Maßnahmen zu implementieren, um personenbezogene Daten angemessen zu schützen, unter Berücksichtigung der Art der zu schützenden personenbezogenen Daten und des Risikos von Schäden, die aus einer Sicherheitsverletzung (wie unten definiert) resultieren könnten, mindestens die im Anhang festgelegten Maßnahmen;
4.1.5. den Kunden und seine weisenden Parteien unverzüglich über Anfragen betroffener Personen gemäß Datenschutzrecht oder behördliche oder strafverfolgende Anfragen in Bezug auf personenbezogene Daten zu informieren. Greip wird eine Anfrage auf Auskunft der betroffenen Person nicht anerkennen oder anderweitig darauf antworten, außer mit vorheriger schriftlicher Genehmigung des Kunden und seiner weisenden Parteien, die nicht unangemessen verweigert werden darf;
4.1.6. die vom Kunden und seinen weisenden Parteien angemessen erforderliche Unterstützung zu leisten, um die Compliance von Greip mit dem Datenschutzrecht in Bezug auf Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultationen mit einer zuständigen Behörde sicherzustellen;
4.1.7. nach Wahl des Kunden und seiner weisenden Parteien alle personenbezogenen Daten unverzüglich zu löschen oder an den Kunden und seine weisenden Parteien zurückzugeben und vorhandene Kopien aller personenbezogenen Daten im Besitz des Auftragsverarbeiters oder unter seiner angemessenen Kontrolle (einschließlich solcher, die von einem Unterauftragsverarbeiter gehalten werden) zu löschen; und
4.1.8. dem Kunden und seinen weisenden Parteien die zur Demonstration der Compliance von Greip mit diesen Bedingungen angemessen erforderlichen Informationen zur Verfügung zu stellen und Audits und Inspektionen durch den Kunden und seine weisenden Parteien zu ermöglichen und dazu beizutragen.

UNTERAUFTRAGSVERARBEITER

5.1. Der Auftragsverarbeiter wird Verpflichtungen unter diesen Bedingungen nicht untervergeben, auslagern, abtreten, novieren oder anderweitig übertragen oder Unterauftragsverarbeiter, die an der Verarbeitung personenbezogener Daten beteiligt sind (jeweils ein „Unterauftragsverarbeiter“), nur mit vorheriger schriftlicher Zustimmung des Kunden und vorbehaltlich Unterklausel 5.2 beauftragen.
5.2. Bei der Beauftragung eines Unterauftragsverarbeiters wird der Auftragsverarbeiter:

5.2.1. angemessene Sorgfalt walten lassen;
5.2.2. einen Vertrag unter Bedingungen abschließen, die soweit praktikabel dieselben wie in diesen Bedingungen sind und Vertragsklauseln enthalten können, um angemessene Schutzmaßnahmen für die Verarbeitung personenbezogener Daten zu bieten; und
5.2.3. den Kunden über beabsichtigte Änderungen in Bezug auf die Hinzufügung oder den Ersatz eines Unterauftragsverarbeiters von Zeit zu Zeit informieren. Wenn der Kunde aus angemessenen Gründen einer solchen Änderung widerspricht, werden die Parteien in gutem Glauben zusammenarbeiten, um den Widerspruch zu lösen.

SICHERHEITSEREIGNISSE

6.1. „Sicherheitsverletzung“ bezeichnet eine Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu übermittelten, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten führt.
6.2. Greip wird den Kunden unverzüglich informieren, wenn Greip von einer Sicherheitsverletzung Kenntnis erlangt, innerhalb von 24 Stunden nach Entdeckung einer solchen Verletzung, und dem Kunden Folgendes bereitstellen:

6.2.1. eine detaillierte Beschreibung des Sicherheitsereignisses;
6.2.2. die Art der Daten, die Gegenstand des Sicherheitsereignisses waren;
6.2.3. die Identität jeder betroffenen Person; und
6.2.4. die Schritte, die Greip unternimmt, um solche Sicherheitsereignisse zu mildern und zu beheben, jeweils sobald diese Informationen gesammelt oder anderweitig verfügbar werden.

6.3. Greip wird sein Bestes tun, um jedes Sicherheitsereignis unverzüglich zu mildern und zu beheben und weitere Sicherheitsereignisse auf eigene Kosten zu verhindern.
6.4. Greip stimmt zu, dass der Kunde das alleinige Recht hat zu bestimmen, (i) ob die Meldung des Sicherheitsereignisses an Einzelpersonen, Aufsichtsbehörden, Strafverfolgungsbehörden, Verbraucherschutzagenturen oder andere erforderlich ist, (ii) den Inhalt einer solchen Meldung und (iii) ob eine Art von Abhilfe betroffenen Personen angeboten werden kann sowie Art und Umfang einer solchen Abhilfe.
6.5. Im Falle eines Sicherheitsereignisses, das personenbezogene Daten im Besitz von Greip betrifft oder durch Handlungen oder Unterlassungen von Greip verursacht wird oder damit zusammenhängt, und ohne Einschränkung der anderen Rechte und Rechtsbehelfe des Kunden, trägt Greip alle Kosten und Ausgaben für (i) Offenlegungen und Meldungen, die nach anwendbarem Recht oder nach angemessenem Ermessen des Kunden erforderlich sind, (ii) die Überwachung und Berichterstattung über Kreditdatensätze betroffener Personen oder Unternehmen, wenn dies nach angemessenem Ermessen des Kunden angemessen ist, und (iii) alle anderen Kosten, die dem Kunden bei der Reaktion auf, Behebung und Minderung von Schäden durch ein solches Sicherheitsereignis entstehen.
6.6. Greip wird die Sicherheitsverletzung untersuchen und angemessene Maßnahmen ergreifen, um die Auswirkungen der Sicherheitsverletzung zu identifizieren, zu verhindern und zu mildern. Greip wird weitere Maßnahmen ergreifen, die der Kunde angemessen anfordern kann, um das Datenschutzrecht einzuhalten.
6.7. Greip darf ohne vorherige schriftliche Genehmigung des Kunden keine Einreichungen, Mitteilungen, Bekanntmachungen, Pressemitteilungen oder Berichte über eine Sicherheitsverletzung („Mitteilungen“) veröffentlichen; eine solche Genehmigung darf nicht unangemessen verweigert werden.

AUDIT

7.1. Der Kunde (oder seine benannten Vertreter) kann jährlich oder häufiger auf angemessene Anfrage des Kunden auf Kosten des Kunden ein Audit durchführen, um zu überprüfen, dass Greip gemäß diesem DPA arbeitet. Solche Audits können eine Überprüfung aller Aspekte der Leistung von Greip umfassen, einschließlich, aber nicht beschränkt auf allgemeine Kontrollen und Sicherheitspraktiken und -verfahren von Greip. Greip wird mit dem Kunden bei der Durchführung solcher Audits zusammenarbeiten und dem Kunden während der normalen Geschäftszeiten und nach angemessener Vorankündigung angemessenen Zugang zu allen relevanten Aufzeichnungen, Dokumentationen, Computersystemen, Daten, Personal und Bereichen gewähren, die zur Verarbeitung der Kundendaten verwendet werden, wie der Kunde angemessen anfordert. Der Kunde wird angemessene Schritte unternehmen, um zu verhindern, dass das Audit die Geschäftstätigkeit von Greip wesentlich beeinträchtigt.
7.2. Greip wird Abweichungen von Security Best Practices, die in einem Sicherheitsaudit identifiziert werden, so bald wie praktikabel, aber in keinem Fall später als fünf Tage nach Erhalt einer Mitteilung des Kunden, die Abweichungen darlegt, korrigieren (sofern jedoch fünf Tage kein praktikabler Korrekturzeitraum sind, kann Greip stattdessen innerhalb dieses fünftägigen Zeitraums einen Sanierungsplan vorlegen, der einen erreichbaren und angemessenen Zeitrahmen festlegt, und Greip muss anschließend die Abweichungen gemäß diesem Plan gewissenhaft korrigieren).

INTERNATIONALE DATENÜBERMITTLUNGEN

8.1. Greip stellt sicher, dass keine personenbezogenen Daten übermittelt werden aus:

8.1.1. der vom Kunden genehmigten Datenumgebung; oder
8.1.2. einem Gebiet, in dem nach Datenschutzgesetzen Beschränkungen für die grenzüberschreitende Übermittlung personenbezogener Daten gelten,
8.1.3. ohne vorherige schriftliche Zustimmung des Kunden.
8.1.4. Greip stellt sicher, dass Vertragsklauseln oder andere anwendbare Übermittlungsmechanismen vorhanden sind, um ein angemessenes Datenschutzniveau zu gewährleisten.

ENTSCHÄDIGUNG

Ungeachtet anderslautender Bestimmungen der jeweiligen Dienstvereinbarung verpflichtet sich der Auftragsverarbeiter hiermit, den Kunden und die weisenden Parteien sowie deren leitende Angestellte, Mitarbeiter, Vertreter und Unterauftragnehmer (jeweils eine „entschädigte Partei“) von und gegen alle Ansprüche, Verluste, Forderungen, Klagen, Haftungen, Geldstrafen, angemessenen Ausgaben, Schäden und Vergleichsbeträge (einschließlich angemessener Anwaltsgebühren und Kosten) freizustellen, die einer entschädigten Partei infolge grober Fahrlässigkeit oder vorsätzlichen Verstoßes des Auftragsverarbeiters gegen diese Bedingungen entstehen.

VERSCHIEDENES

10.1. Klausel- und andere Überschriften in diesen Bedingungen dienen nur der Übersichtlichkeit und beeinflussen nicht die Bedeutung oder Auslegung dieser Bedingungen.
10.2. Im Falle eines Widerspruchs haben diese Bedingungen Vorrang vor jeder Dienstvereinbarung oder anderen Vereinbarung.
10.3. Nichts in diesen Bedingungen schließt die Haftung einer Partei aus oder beschränkt sie, die nach anwendbarem Recht nicht ausgeschlossen oder beschränkt werden kann. Vorbehaltlich des vorherigen Satzes (i) bilden diese Bedingungen einschließlich aller Anhänge die gesamte Vereinbarung zwischen den Parteien in Bezug auf den hier behandelten Gegenstand und ersetzen alle vorherigen Vereinbarungen, Verständnisse, Verhandlungen und Diskussionen der Parteien zu ihrem Gegenstand; und (ii) hat keine Partei in Bezug auf den Gegenstand dieser Bedingungen auf Erklärungen, Zusicherungen oder Garantien vertraut und wird nicht darauf vertrauen, außer denen, die ausdrücklich in diesen Bedingungen festgelegt sind.
10.4. Der Kunde stimmt jeder Änderung dieser Bedingungen zu, die von Zeit zu Zeit erforderlich sein kann, damit wir und die weisenden Parteien geänderten Datenschutzgesetzen entsprechen.
10.5. Alle Kündigungs- oder Verletzungsmitteilungen müssen in englischer Sprache, schriftlich und an die primäre Kontaktperson oder die Rechtsabteilung der anderen Partei gerichtet sein. Mitteilungen gelten als zugegangen bei Empfang, wie durch einen gültigen Empfangsnachweis oder elektronisches Protokoll bestätigt. Postmitteilungen gelten 48 Stunden nach dem Versand per Einschreiben oder eingeschriebener Post als zugegangen.
10.6. Die Bestimmungen dieser Bedingungen sind trennbar. Wenn eine Formulierung, Klausel oder Bestimmung ganz oder teilweise ungültig oder nicht durchsetzbar ist, betrifft diese Ungültigkeit oder Nichtdurchsetzbarkeit nur die betreffende Formulierung, Klausel oder Bestimmung, und der Rest dieser Bedingungen bleibt in vollem Umfang in Kraft.
10.7. Diese Bedingungen unterliegen dem Recht von England und Wales, und die Parteien unterwerfen sich der ausschließlichen Gerichtsbarkeit der Gerichte von England und Wales in Bezug auf Streitigkeiten (vertraglich oder außervertraglich) über diese Bedingungen, wobei jede Partei jedoch bei jedem Gericht einen Antrag auf Unterlassung oder andere Rechtsbehelfe zum Schutz ihres Eigentums oder vertraulicher Informationen stellen kann.

ANHANG

Sicherheitsmaßnahmen
Greip erklärt, garantiert und verpflichtet sich, dass es ein fortlaufendes Programm von Sicherheitsrichtlinien, Sicherheitsverfahren und technischen Sicherheitskontrollen eingerichtet hat und für die gesamte Dauer, in der Greip personenbezogene Daten verarbeitet, durchsetzen wird, das angemessen die Einhaltung von Security Best Practices gewährleistet und unter anderem Folgendes umfasst:

1.1. Informationssicherheit

1.1.1. ein Programm zum Management von Datenschutz- und Sicherheitsvorfällen;
1.1.2. ein Programm zur Sensibilisierung für Datenschutz und Sicherheit;
1.1.3. Business-Continuity- und Disaster-Recovery-Pläne einschließlich regelmäßiger Tests; und
1.1.4. Verfahren zur Durchführung periodischer unabhängiger Sicherheitsrisikobewertungen zur Identifizierung kritischer Informationswerte, Bewertung von Bedrohungen, Bestimmung potenzieller Schwachstellen und zeitnaher angemessener Abhilfe.

1.2. Physischer Zugang

1.2.1. physische Schutzmechanismen für alle Informationswerte und Informationstechnologie, um sicherzustellen, dass solche Werte und Technologie angemessen gespeichert und geschützt werden;
1.2.2. angemessene Zutrittskontrollen für Einrichtungen und Räume, um den physischen Zugang zu Systemen, die Kundendaten speichern oder verarbeiten, zu begrenzen;
1.2.3. Prozesse, um sicherzustellen, dass der Zugang zu Einrichtungen und Räumen überwacht wird und nach dem Need-to-know-Prinzip beschränkt ist; und
1.2.4. Kontrollen zur physischen Sicherung aller Kundendaten und zur sicheren Vernichtung solcher Informationen, wenn sie gemäß dieser Vereinbarung nicht mehr benötigt werden.

1.3. Logischer Zugang

1.3.1. angemessene Mechanismen für Benutzerauthentifizierung und -autorisierung gemäß einer Need-to-know-Richtlinie;
1.3.2. Kontrollen und auditierbare Protokolle zur Durchsetzung und Aufrechterhaltung strenger Zugriffsbeschränkungen für Mitarbeiter und Unterauftragnehmer;
1.3.3. zeitnahe und korrekte Verwaltung von Benutzerkonten und Authentifizierungsmanagement;
1.3.4. Prozesse, um sicherzustellen, dass von Greip bereitgestellte Standardwerte für Passwörter und Sicherheitsparameter angemessen verwaltet werden (z. B. periodische Änderung);
1.3.5. Mechanismen zur Verschlüsselung oder Hashing aller Passwörter oder anderweitig zur Sicherstellung, dass Passwörter nicht unverschlüsselt im Klartext gespeichert werden; und
1.3.6. Prozesse zur unverzüglichen Entziehung von Zugängen inaktiver Konten oder gekündigter/versetzter Nutzer.

1.4. Sicherheitsarchitektur und -design

1.4.1. eine Sicherheitsarchitektur, die angemessen die Einhaltung von Security Best Practices gewährleistet;
1.4.2. dokumentierte und durchgesetzte Technologiekonfigurationsstandards;
1.4.3. regelmäßige Tests von Sicherheitssystemen und Security Best Practices;
1.4.4. ein wirksames Firewall- und Intrusion-Detection-System zum Schutz von Kundendaten; und
1.4.5. Datenbank- und Anwendungsschicht-Designprozesse, die sicherstellen, dass Webanwendungen so gestaltet sind, dass die über solche Systeme verarbeiteten Informationen geschützt werden.

1.5. System- und Netzwerkmanagement

1.5.1. Mechanismen zur Aktualisierung von Sicherheitspatches;
1.5.2. Überwachung, Analyse und Reaktion auf Sicherheitswarnungen;
1.5.3. angemessene Netzwerksicherheitsdesignelemente, die eine Trennung von Daten anderer Dritter ermöglichen;
1.5.4. Verwendung und regelmäßige Aktualisierung von Antivirensoftware; und
1.5.5. die Integrität, Resilienz und Verfügbarkeit jeder Software oder Dienste, die zur Verarbeitung der Kundendaten verwendet werden.
1.5.6. Die Nichteinhaltung von Security Best Practices oder der Verpflichtungen hierunter durch Greip stellt einen Verstoß gegen die Vereinbarung dar.

1.6. Mindesttechnische Maßnahmen

1.6.1. Firewalls, die ordnungsgemäß konfiguriert sind und die neueste Software verwenden;
1.6.2. Benutzerzugriffskontrollmanagement;
1.6.3. eindeutige Passwörter ausreichender Komplexität und regelmäßiger Ablauf auf allen Geräten;
1.6.4. sichere Konfiguration auf allen Geräten;
1.6.5. regelmäßige Softwareupdates, gegebenenfalls durch Patch-Management-Software;
1.6.6. zeitnahe Außerbetriebnahme und sicheres Löschen (das Daten unwiederbringlich macht) alter Software und Hardware;
1.6.7. Echtzeitschutz-Antivirus-, Anti-Malware- und Anti-Spyware-Software;
1.6.8. https;
1.6.9. Verschlüsselung aller tragbaren Geräte mit angemessenem Schutz des Schlüssels;
1.6.10. Verschlüsselung personenbezogener Daten bei der Übertragung durch geeignete Verschlüsselungslösungen;
1.6.11. Multi-Faktor-Authentifizierung für Remote-Zugang;
1.6.12. WPA-TKIP-gesicherter WiFi-Zugang;
1.6.13. angemessene Webfilterung und andere angemessene Internetzugangsbeschränkungen;
1.6.14. Intrusion-Detection- und -Prevention-Systeme;
1.6.15. angemessene und verhältnismäßige Überwachung von Personal; und
1.6.16. Datenbackup- und Disaster-Recovery-Maßnahmen und -verfahren.
1.6.17. Minimale organisatorische Maßnahmen
1.6.18. Überprüfung aller Mitarbeiter einschließlich Personal, Auftragnehmer, Anbieter und Lieferanten (einschließlich Unterauftragsverarbeiter) auf fortlaufender Basis;
1.6.19. Verwendung von Geheimhaltungsvereinbarungen mit allen Mitarbeitern;
1.6.20. regelmäßige Schulung aller Mitarbeiter zu Vertraulichkeit, Datenverarbeitungsverpflichtungen, Identifizierung von Sicherheitsverletzungen und Risiken;
1.6.21. Anwendung des Prinzips der geringsten Befugnis, einschließlich eingeschränkter oder streng kontrollierter Übertragung von Daten und Material außerhalb des Büros;
1.6.22. physische Sicherheit in den Räumlichkeiten einschließlich Empfang oder Rezeption, Sicherheitsausweise, Clean-Desk-Policy, Aufbewahrung von Dokumenten in sicheren Schränken, sichere Vernichtung von Materialien usw.;
1.6.23. Anwendung angemessener Richtlinien, soweit zutreffend.

MECHANISMEN FÜR GRENZÜBERSCHREITENDE DATENÜBERMITTLUNG

2.1. Wenn die Dienste von mehr als einem Übermittlungsmechanismus abgedeckt werden, unterliegt die Übermittlung personenbezogener Daten einem einzigen Übermittlungsmechanismus gemäß der folgenden Rangfolge:

2.1.1. die bindenden Unternehmensregeln von Greip, wie in diesem Anhang festgelegt
2.1.2. die anwendbaren Standardvertragsklauseln, wie in diesem Anhang festgelegt
2.1.3. andere anwendbare Datenübermittlungsmechanismen, die nach anwendbarem Datenschutzrecht zulässig sind.

BINDENDE UNTERNEHMENSREGELN

3.1. Die Parteien stimmen zu, dass Greip personenbezogene Daten im Rahmen der Greip-Dienste gemäß den Datenschutzrichtlinien verarbeiten wird, die von europäischen Datenschutzbehörden nach erheblicher Konsultation mit diesen Behörden genehmigt wurden und es multinationalen Unternehmen wie Greip ermöglichen, organisationsinterne Übermittlungen personenbezogener Daten grenzüberschreitend im Einklang mit dem Datenschutzrecht durchzuführen.
3.2. Die Parteien stimmen ferner zu, dass im Hinblick auf die Greip-Dienste die bindenden Unternehmensregeln der rechtmäßige Übermittlungsmechanismus für Kundenkontodaten, Kundeninhalte und Kundennutzungsdaten vom EWR, der Schweiz oder dem Vereinigten Königreich an Greip sein werden.

STANDARDVERTRAGSKLAUSELN

4.1. Die Parteien stimmen zu, dass die 2021 Standardvertragsklauseln für internationale Übermittlungen, veröffentlicht und verfügbar unter https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_en, auf personenbezogene Daten anwendbar sein werden, die über die Dienste vom Europäischen Wirtschaftsraum oder der Schweiz, direkt oder durch Weiterübermittlung, in ein Land oder an einen Empfänger außerhalb des Europäischen Wirtschaftsraums oder der Schweiz übermittelt werden, das bzw. der:

4.1.1. von der Europäischen Kommission (oder im Falle von Übermittlungen aus der Schweiz von der zuständigen Behörde der Schweiz) nicht als ein angemessenes Schutzniveau für personenbezogene Daten bietend anerkannt ist und
4.1.2. nicht von den oben genannten bindenden Unternehmensregeln abgedeckt ist. Für Datenübermittlungen aus dem Europäischen Wirtschaftsraum, die den 2021 Standardvertragsklauseln unterliegen, gelten die 2021 Standardvertragsklauseln als abgeschlossen (und durch diese Verweisung in diesen Zusatz einbezogen) und werden wie folgt ausgefüllt:

4.1.2.1. Modul Eins (Verantwortlicher an Verantwortlicher) der 2021 Standardvertragsklauseln gilt, wenn Greip Kundenkontodaten verarbeitet und
4.1.2.2. der Kunde Verantwortlicher für Kundennutzungsdaten ist und Greip Kundennutzungsdaten verarbeitet.
4.1.2.3. Modul Zwei (Verantwortlicher an Auftragsverarbeiter) der 2021 Standardvertragsklauseln gilt, wenn der Kunde Verantwortlicher für Kundeninhalte ist und Greip Kundeninhalte verarbeitet.
4.1.2.4. Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter) der 2021 Standardvertragsklauseln gilt, wenn der Kunde Auftragsverarbeiter für Kundeninhalte ist und Greip Kundeninhalte verarbeitet.
4.1.2.5. Modul Vier (Auftragsverarbeiter an Verantwortlicher) der 2021 Standardvertragsklauseln gilt, wenn der Kunde Auftragsverarbeiter für Kundennutzungsdaten ist und Greip Kundennutzungsdaten verarbeitet.

4.1.3. Für jedes Modul gilt, soweit anwendbar:

4.1.3.1. Datenexporteur: Kunde.
4.1.3.2. Kontaktdaten: Die vom Kunden in seinem Konto über seine Benachrichtigungseinstellungen angegebenen E-Mail-Adresse(n).
4.1.3.3. Rolle des Datenexporteurs: Die Rolle des Datenexporteurs ist in dieser Vereinbarung festgelegt.
4.1.3.4. Unterschrift und Datum: Durch Abschluss der Vereinbarung gilt der Datenexporteur als diese hier einbezogenen Standardvertragsklauseln ab dem Wirksamkeitsdatum der Vereinbarung unterzeichnet zu haben.
4.1.3.5. Datenimporteur: Greip.
4.1.3.6. Kontaktdaten: Greip Support Team
4.1.3.7. Rolle des Datenimporteurs: Die Rolle des Datenimporteurs ist in dieser Vereinbarung festgelegt.
4.1.3.8. Unterschrift und Datum: Durch Abschluss der Vereinbarung gilt der Datenimporteur als diese hier einbezogenen Standardvertragsklauseln einschließlich ihrer Anhänge ab dem Wirksamkeitsdatum der Vereinbarung unterzeichnet zu haben.
4.1.3.9. Aufsichtsbehörde: The Information Commissioner's Office (ICO), Wycliffe House, Water Ln, Wilmslow SK9 5AF, UK ico.org.uk

4.2. Die Kategorien betroffener Personen sind in dieser Vereinbarung beschrieben.
4.3. Die übermittelten sensiblen Daten sind in dieser Vereinbarung beschrieben.
4.4. Die Häufigkeit der Übermittlung ist während der Laufzeit der Vereinbarung kontinuierlich.
4.5. Die Art der Verarbeitung ist in dieser Vereinbarung beschrieben.
4.6. Der Zweck der Verarbeitung ist in dieser Vereinbarung beschrieben.
4.7. Der Zeitraum, für den die personenbezogenen Daten aufbewahrt werden, ist in dieser Vereinbarung festgelegt.
4.8. Die Sicherheitsmaßnahmen des Anhangs dieser Vereinbarung dienen als Anhang der Standardvertragsklauseln.
4.9. Widerspruch. Soweit ein Widerspruch zwischen den Standardvertragsklauseln und anderen Bestimmungen in dieser Vereinbarung oder der Datenschutzrichtlinie besteht, haben die Bestimmungen der Standardvertragsklauseln Vorrang.