Zonos Datenverarbeitungsvereinbarung

Diese Datenverarbeitungsvereinbarung ("DPA") dient als Anhang zu den Zonos Nutzungsbedingungen und Datenschutzrichtlinien ("Hauptvereinbarung") zwischen iGlobal Exports, LLC, DBA Zonos ("Zonos") und dem Kunden ("Kunde"), (zusammen als die "Parteien").

WÄHREND: 

A. Der Kunde fungiert als Datenverantwortlicher.

B. Der Kunde möchte bestimmte Dienstleistungen, die die Verarbeitung personenbezogener Daten beinhalten, an Zonos als Auftragsverarbeiter auslagern.

C. Die Parteien beabsichtigen, eine DPA umzusetzen, die den Anforderungen des aktuellen rechtlichen Rahmens in Bezug auf die Datenverarbeitung und der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr entspricht und die die Richtlinie 95/46/EG (Datenschutz-Grundverordnung) aufhebt.

D. Die Parteien möchten ihre Rechte und Pflichten festlegen.

Diese DPA enthält und bezieht sich auf die Anhänge und Zusatzvereinbarungen, die am Ende dieses Dokuments aufgeführt sind. Alle großgeschriebenen Begriffe, die in dieser DPA nicht definiert sind, haben die Bedeutung, die in der Hauptvereinbarung festgelegt ist.

Die Parteien vereinbaren folgendes:

1. Definitionen

Sofern hierin nicht anders definiert, haben die in diesem DPA verwendeten großgeschriebenen Begriffe und Ausdrücke die folgende Bedeutung:

1. „Beauftragter Verarbeiter“ bedeutet ein Unter-Verarbeiter;

2. „Datenschutzgesetze“ bezeichnet die Datenschutzgesetze der EU und, soweit anwendbar, die Datenschutz- oder Datenschutzgesetze eines anderen Landes;

3. „Datenübertragung“ bedeutet:

   1. Eine Übertragung von personenbezogenen Daten vom Kunden an einen beauftragten Verarbeiter; oder
   2. Eine Weiterübertragung von personenbezogenen Daten von einem beauftragten Verarbeiter an einen unterbeauftragten Verarbeiter oder zwischen zwei Niederlassungen eines beauftragten Verarbeiters, in jedem Fall, wenn eine solche Übertragung durch Datenschutzgesetze (oder durch die Bedingungen von Datenübertragungsvereinbarungen, die eingerichtet wurden, um die Datenübertragungsbeschränkungen der Datenschutzgesetze anzugehen) verboten wäre;

4. „DPA“ bedeutet diese Datenverarbeitungsvereinbarung und alle Anhänge;

5. „EWR“ bedeutet den Europäischen Wirtschaftsraum;

6. „EU-Datenschutzgesetze“ bezeichnet die EU-Richtlinie 95/46/EG, wie sie in die innerstaatliche Gesetzgebung jedes Mitgliedstaats umgesetzt und von Zeit zu Zeit geändert, ersetzt oder abgelöst wurde, einschließlich der DSGVO und der Gesetze, die die DSGVO ergänzen oder umsetzen;

7. „DSGVO“ bedeutet die Allgemeine Datenschutzverordnung 2016/679 der EU;

8. „Personenbezogene Daten“ bedeutet alle personenbezogenen Daten, die von einem beauftragten Verarbeiter im Auftrag des Kunden gemäß oder in Verbindung mit dem Hauptvertrag verarbeitet werden;

9. „Dienstleistungen“ bedeutet jedes Produkt oder jede Dienstleistung, die von Zonos dem Kunden gemäß und wie im Hauptvertrag näher beschrieben zur Verfügung gestellt wird;

10. „Unter-Verarbeiter“ bedeutet jeden Verarbeiter, der von oder im Auftrag von Zonos ernannt wird, um personenbezogene Daten im Auftrag des Kunden in Verbindung mit dem DPA zu verarbeiten.

11. Die Begriffe „Verantwortlicher“, „Betroffener“, „Mitgliedstaat“, „Personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“ und „Verarbeitung“ haben die gleiche Bedeutung wie in der DSGVO und ihre verwandten Begriffe werden entsprechend ausgelegt.

2. Verpflichtungen des Kunden

1. Einhaltung von Gesetzen.

   1. Im Rahmen des DPA und bei der Nutzung der Dienstleistungen stimmt der Kunde zu, dass er seine Verpflichtungen als Verantwortlicher gemäß den Datenschutzgesetzen bei der Verarbeitung personenbezogener Daten und jeglichen Verarbeitungsanweisungen, die er an Zonos erteilt, einhält.
   2. Der Kunde hat die Benachrichtigung erteilt und alle erforderlichen Zustimmungen und Rechte gemäß den Datenschutzgesetzen eingeholt (oder wird sie einholen), damit Zonos personenbezogene Daten verarbeiten und die Dienstleistungen gemäß dem Hauptvertrag und diesem DPA bereitstellen kann.

2. Anweisungen des Verantwortlichen. Die Parteien sind sich einig, dass der Hauptvertrag (einschließlich dieses DPA) zusammen mit der Nutzung der Dienstleistungen von Zonos durch den Kunden gemäß dem Hauptvertrag die vollständigen und endgültigen Anweisungen des Kunden an Zonos in Bezug auf die Verarbeitung personenbezogener Daten darstellen und zusätzliche Anweisungen außerhalb des Umfangs der Anweisungen eine vorherige schriftliche Vereinbarung zwischen dem Kunden und Zonos erfordern.

3. Verpflichtungen von Zonos

1. Einhaltung von Gesetzen. Im Rahmen des DPA und bei der Nutzung der Dienstleistungen soll Zonos:

   1. Verantwortlich sein für die Einhaltung aller anwendbaren Datenschutzgesetze als Verarbeiter bei der Verarbeitung personenbezogener Daten; und
   2. Die personenbezogenen Daten des Kunden nicht anders als auf dokumentierte Anweisungen des Kunden verarbeiten.

2. Zonos Personal. Zonos wird angemessene Schritte unternehmen, um die Zuverlässigkeit jedes Mitarbeiters, Agenten oder Auftragnehmers, der Zugang zu den personenbezogenen Daten haben könnte, sicherzustellen, wobei in jedem Fall der Zugang streng auf diejenigen Personen beschränkt ist, die die relevanten personenbezogenen Daten kennen/müssen, wie es für die Zwecke des Hauptvertrags und zur Einhaltung der anwendbaren Gesetze im Rahmen der Pflichten dieser Person gegenüber dem beauftragten Verarbeiter strikt erforderlich ist, wobei sicherzustellen ist, dass alle diese Personen Vertraulichkeitsverpflichtungen oder berufliche oder gesetzliche Vertraulichkeitspflichten unterliegen.

3. Sicherheit.

   1. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie des Risikos unterschiedlicher Wahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen wird Zonos in Bezug auf die personenbezogenen Daten angemessene technische und organisatorische Maßnahmen ergreifen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, einschließlich, soweit angebracht, der in Artikel 32(1) der DSGVO genannten Maßnahmen.
   2. Bei der Bewertung des angemessenen Sicherheitsniveaus wird Zonos die durch die Verarbeitung dargestellten Risiken berücksichtigen, insbesondere von einer Verletzung des Schutzes personenbezogener Daten.

4. Unterverarbeitung. Zonos darf keinen Unter-Verarbeiter ernennen (oder personenbezogene Daten an einen solchen offenlegen), es sei denn, dies ist vom Kunden erforderlich oder autorisiert.

5. Rechte der betroffenen Personen.

   1. Unter Berücksichtigung der Art der Verarbeitung wird Zonos den Kunden durch die Implementierung angemessener technischer und organisatorischer Maßnahmen unterstützen, soweit dies möglich ist, um die Verpflichtungen von Zonos, wie sie von Zonos vernünftigerweise verstanden werden, zur Beantwortung von Anfragen zur Ausübung der Rechte betroffener Personen gemäß den Datenschutzgesetzen zu erfüllen.

   2. Zonos stimmt zu:

      1. Den Kunden unverzüglich zu benachrichtigen, wenn es eine Anfrage von einer betroffenen Person gemäß einem Datenschutzgesetz in Bezug auf personenbezogene Daten erhält; und
      2. Sicherzustellen, dass es auf diese Anfrage nicht antwortet, außer auf dokumentierte Anweisungen des Kunden oder wie es durch anwendbare Gesetze, denen Zonos unterliegt, erforderlich ist, in welchem Fall Zonos, soweit durch anwendbare Gesetze zulässig, den Kunden über diese rechtliche Anforderung informieren wird, bevor der beauftragte Verarbeiter auf die Anfrage antwortet.

6. Verletzung des Schutzes personenbezogener Daten.

   1. Zonos wird den Kunden unverzüglich benachrichtigen, nachdem Zonos von einer Verletzung des Schutzes personenbezogener Daten, die personenbezogene Daten betrifft, Kenntnis erlangt, wobei dem Kunden ausreichend Informationen zur Verfügung gestellt werden, um dem Kunden zu ermöglichen, etwaige Verpflichtungen zur Meldung oder Information betroffener Personen über die Verletzung des Schutzes personenbezogener Daten gemäß den Datenschutzgesetzen zu erfüllen.
   2. Zonos wird mit dem Kunden zusammenarbeiten und angemessene kommerzielle Schritte unternehmen, wie sie vom Kunden angeordnet werden, um bei der Untersuchung, Minderung und Behebung jeder solchen Verletzung des Schutzes personenbezogener Daten zu helfen.

7. Datenschutz-Folgenabschätzung und vorherige Konsultation. Zonos wird dem Kunden angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden oder anderen zuständigen Datenschutzbehörden bieten, die der Kunde vernünftigerweise für erforderlich hält gemäß Artikel 35 oder 36 der DSGVO oder entsprechenden Bestimmungen anderer Datenschutzgesetze, jeweils ausschließlich in Bezug auf die Verarbeitung personenbezogener Daten durch und unter Berücksichtigung der Art der Verarbeitung und der dem beauftragten Verarbeiter zur Verfügung stehenden Informationen.

8. Rückgabe oder Löschung von Daten. Nach Deaktivierung oder Beendigung der Dienstleistungen werden alle personenbezogenen Daten gelöscht, es sei denn, diese Anforderung gilt nicht, soweit Zonos gesetzlich verpflichtet ist, einige oder alle personenbezogenen Daten zu behalten, oder für personenbezogene Daten, die Zonos in Backup-Systemen archiviert hat, welche solche personenbezogenen Daten Zonos sicher isolieren und vor weiterer Verarbeitung schützen wird, außer soweit dies durch anwendbare Gesetze erforderlich ist.

9. Sicherheitsberichte. Zonos wird Aufzeichnungen über seine Sicherheitsstandards führen. Auf schriftliche Anfrage des Kunden wird Zonos Antworten (auf vertraulicher Basis) auf alle angemessenen Anfragen des Kunden geben, einschließlich Antworten auf Anfragen zur Informationssicherheit und Audit-Fragebögen, die der Kunde (vernünftigerweise handelnd) für notwendig hält, um die Einhaltung dieses DPA durch Zonos zu bestätigen, vorausgesetzt, dass der Kunde dieses Recht nicht öfter als einmal pro Jahr ausübt.

10. Datenübertragung. Der Kunde erkennt an und stimmt zu, dass Zonos personenbezogene Daten global verarbeiten darf, wie es zur Bereitstellung der Dienstleistungen gemäß dem Hauptvertrag erforderlich ist, und insbesondere, dass personenbezogene Daten in die Vereinigten Staaten und in andere Gerichtsbarkeiten übertragen und von Zonos verarbeitet werden, wo Unter-Verarbeiter von Zonos tätig sind. Zonos wird sicherstellen, dass solche Übertragungen in Übereinstimmung mit den Anforderungen der Datenschutzgesetze erfolgen, einschließlich der Einhaltung der von der EU genehmigten Standardvertragsklauseln für die Übertragung personenbezogener Daten.

11. Zusätzliche Bestimmungen für kalifornische personenbezogene Informationen.

    1. Dieser Abschnitt 11 gilt nur für kalifornische personenbezogene Informationen.

    2. Bei der Verarbeitung kalifornischer personenbezogener Informationen gemäß den Anweisungen des Kunden erkennen die Parteien an und stimmen zu, dass der Kunde ein Unternehmen und Zonos ein Dienstleister im Sinne des CCPA ist.

    3. Die Parteien stimmen zu, dass Zonos kalifornische personenbezogene Informationen als Dienstleister ausschließlich zum Zweck der Erbringung der Dienstleistungen gemäß dem Hauptvertrag verarbeiten wird. Zonos verwendet Dienstdaten für seine eigenen legitimen Geschäftszwecke gemäß der Zonos Datenschutzrichtlinie. Die Parteien stimmen zu, dass Zonos Folgendes nicht tun wird:

       1. Kalifornische personenbezogene Informationen verkaufen (wie im CCPA definiert);
       2. Kalifornische personenbezogene Informationen für einen kommerziellen Zweck außerhalb des Geschäftszwecks oder wie sonst vom CCPA erlaubt aufbewahren, verwenden oder offenlegen; oder
       3. iii. Kalifornische personenbezogene Informationen außerhalb der direkten Geschäftsbeziehung zwischen dem Kunden und Zonos aufbewahren, verwenden oder offenlegen.

    4. Zonos bestätigt, dass es die in Abschnitt 11(c) festgelegten Einschränkungen versteht und einhalten wird.

4. Allgemeine Bedingungen

1. Vertraulichkeit. Jede Partei muss dieses Abkommen und die Informationen, die sie über die andere Partei und deren Geschäft im Zusammenhang mit diesem DPA erhält („Vertrauliche Informationen“), vertraulich behandeln und darf diese vertraulichen Informationen nicht ohne die vorherige schriftliche Zustimmung der anderen Partei verwenden oder offenlegen, es sei denn, dass:

   1. Die Offenlegung gesetzlich erforderlich ist;
   2. Die relevanten Informationen bereits öffentlich zugänglich sind.

2. Benachrichtigungen. Alle Mitteilungen und Kommunikationen, die unter diesem DPA erfolgen, müssen schriftlich erfolgen und werden persönlich übermittelt, per Post gesendet oder per E-Mail an die in der Kopfzeile dieses DPA angegebene Adresse oder E-Mail-Adresse gesendet, oder an eine andere Adresse, die von Zeit zu Zeit von den Parteien durch Adressänderung mitgeteilt wird.

5. Anwendbares Recht und Gerichtsstand

Dieses DPA unterliegt den Gesetzen und Gerichtsstandsbestimmungen im Hauptvertrag, sofern nicht durch Datenschutzgesetze anders erforderlich.\

Anhang A. Liste der Unter-Verarbeiter von Zonos

Auf Anfrage erhältlich

Anhang B. Sicherheitsmaßnahmen

Auf Anfrage erhältlich