Rocket Software -Datenverarbeitungsvereinbarung – Anbieter

Letzte Aktualisierung: 21. Oktober 2024

Diese Datenverarbeitungsvereinbarung (die „Datenverarbeitungsvereinbarung“ ) wird zwischen Rocket Software, Inc. und/oder ihren verbundenen Unternehmen ( „Rocket Software“ ) und Ihnen, einem Lieferanten von Waren oder Dienstleistungen für Rocket Software (der „Lieferant“), geschlossen und tritt mit dem Wirksamkeitsdatum (das „Wirksamkeitsdatum“ ) des jeweiligen Lieferanten-Dienstleistungsvertrags, Rahmenvertrags oder einer anderen ähnlichen Vereinbarung zwischen den Parteien (die „Vereinbarung“ ) in Kraft. Diese Datenverarbeitungsvereinbarung ist Bestandteil der Vereinbarung und wird in diese integriert.

I. Definitionen. Großgeschriebene Begriffe, die hier nicht definiert sind, haben die im Vertrag festgelegte Bedeutung. Für diese Datenverarbeitungsvereinbarung gelten die folgenden Definitionen:

A. „Anwendbare Datenschutzgesetze“ bezeichnet alle Gesetze und Vorschriften, die für die Verarbeitung personenbezogener Daten gemäß dieser Datenverarbeitungsvereinbarung gelten, jeweils in ihrer jeweils gültigen Fassung, einschließlich, aber nicht beschränkt auf die europäischen Datenschutzgesetze, den California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung (zusammen „CCPA“) und das brasilianische Datenschutzgesetz, Lei Geral de Proteção de Dados.

B. „CCPA“ bezeichnet den California Consumer Privacy Act (CCPA) in seiner geänderten Fassung.

C. Die Begriffe „Verantwortlicher“, „betroffene Person“ , „personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“, „Auftragsverarbeiter“ und „Aufsichtsbehörde“ haben jeweils die Bedeutung, die ihnen in den anwendbaren Datenschutzgesetzen beigemessen wird.

D. „Europäische Datenschutzgesetze“ bezeichnet die Datenschutz-Grundverordnung 2016/679 der EU (die „EU-DSGVO“), die EU-DSGVO in der in das Recht von England und Wales, Schottland und Nordirland sowie in den britischen Data Protection Act 2018 (die „UK-DSGVO“ ) umgesetzten Fassung, das Schweizer Bundesgesetz über den Datenschutz sowie alle anderen anwendbaren Gesetze, Statuten, Erklärungen, Dekrete, Richtlinien, Rechtsakte, Verordnungen, Vorschriften, Regeln oder sonstigen verbindlichen Instrumente zur Umsetzung der vorgenannten Bestimmungen (jeweils in der jeweils geltenden Fassung, einschließlich etwaiger Änderungen, Konsolidierungen, Neufassungen oder Ersetzungen).

E. „Dienstleistungen“ bezeichnet die Dienstleistungen und/oder Produkte, die der Anbieter Rocket Software gemäß der Vereinbarung erbringt, einschließlich aller erforderlichen, üblichen, angemessenen oder akzeptablen Methoden zur Durchführung von Tätigkeiten im Zusammenhang mit den Dienstleistungen, insbesondere (a) die Durchführung der Dienstleistungen oder des Geschäfts, zu dem die Dienstleistungen gehören, (b) die Wahrnehmung aller mit den Dienstleistungen verbundenen Vorteile, Rechte und Pflichten, (c) die Führung von Aufzeichnungen im Zusammenhang mit den Dienstleistungen und (d) die Einhaltung aller mit den Dienstleistungen verbundenen gesetzlichen oder selbstregulatorischen Verpflichtungen.

F. „Unterauftragnehmer“ bezeichnet einen vom Anbieter oder in dessen Auftrag beauftragten Drittunterauftragnehmer, der personenbezogene Daten im Rahmen der Erbringung der Dienstleistungen verarbeitet.

G. „Standardvertragsklauseln“ bezeichnet die Standardvertragsklauseln der Europäischen Kommission für die Übermittlung personenbezogener Daten aus der Europäischen Union an Auftragsverarbeiter mit Sitz in Drittländern gemäß der Verordnung (EU) 2016/679, wie sie im Anhang zum Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission aufgeführt sind.

II. Art der Verarbeitung, Allgemeine Pflichten, Unterauftragsverarbeiter und grenzüberschreitende Übermittlungen

A. Art der Verarbeitung.

Die Parteien bestätigen und vereinbaren, dass Rocket Software im Sinne der geltenden Datenschutzgesetze der Verantwortliche und der Anbieter der Auftragsverarbeiter in Bezug auf die folgenden Verarbeitungen ist: (i) Umfang, Art und Zweck der Verarbeitung: Verarbeitung durch den Anbieter bei der Erbringung der Dienstleistungen; (ii) Dauer: für die Vertragslaufzeit; und (iii) Arten personenbezogener Daten und Kategorien betroffener Personen: betroffene Personen, deren personenbezogene Daten vom Anbieter bei der Erbringung der Dienstleistungen verarbeitet werden.

B. Allgemeine Verpflichtungen.

Soweit die von Rocket Software im Zusammenhang mit der Erbringung der Dienstleistungen an den Anbieter offengelegten Informationen personenbezogene Daten enthalten, ist der Anbieter (als Auftragsverarbeiter) verpflichtet: (i) ausschließlich gemäß den Anweisungen von Rocket Software in dieser Datenverarbeitungsvereinbarung oder der Vereinbarung bzw. gemäß den sonstigen von Rocket Software dokumentierten Anweisungen zu handeln, es sei denn, geltende Datenschutzgesetze schreiben etwas anderes vor. In diesem Fall hat der Anbieter Rocket Software vor der Verarbeitung dieser personenbezogenen Daten über diese gesetzliche Vorgabe zu informieren (es sei denn, die Benachrichtigung von Rocket Software ist dem Anbieter nach geltendem Datenschutzrecht untersagt); (ii) Rocket Software erhaltene Anweisung nach Ansicht des Anbieters gegen geltende Datenschutzgesetze verstößt; (iii) geeignete technische und organisatorische Maßnahmen zum Schutz dieser personenbezogenen Daten vor unbeabsichtigter oder unrechtmäßiger Zerstörung oder unbeabsichtigtem Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff zu treffen, wobei der Stand der Technik, die Implementierungskosten sowie Art, Umfang, Kontext und Zweck der Verarbeitung zu berücksichtigen sind. (iv) sicherzustellen, dass jede Person, der der Anbieter solche personenbezogenen Daten offenlegt, sich zur Vertraulichkeit verpflichtet hat oder einer entsprechenden gesetzlichen Vertraulichkeitsverpflichtung in Bezug auf diese personenbezogenen Daten unterliegt; (v) Rocket Software auf deren Anfrage hin in angemessener Weise bei der Beantwortung von Anfragen betroffener Personen und bei der Einhaltung ihrer Verpflichtungen gemäß den geltenden Datenschutzgesetzen in Bezug auf Sicherheit, Meldungen von Datenschutzverletzungen (einschließlich der unverzüglichen Benachrichtigung von Rocket Software, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung einer Verletzung des Schutzes personenbezogener Daten), Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden zu unterstützen; (vi) nach Beendigung oder Ablauf dieser Datenschutzvereinbarung aus irgendeinem Grund (nach Wahl von Rocket Software) alle diese personenbezogenen Daten zu löschen oder an Rocket Software zurückzugeben, es sei denn, es ist für den Anbieter oder seine Unterauftragnehmer erforderlich, bestimmte Kopien dieser personenbezogenen Daten zur Einhaltung geltender Datenschutzgesetze aufzubewahren; in diesem Fall hat der Anbieter seine Sicherungs- und Aufbewahrungsrichtlinien einzuhalten. und (vii) nach schriftlicher Vorankündigung durch Rocket Software dreißig (30) Tage (höchstens einmal pro Kalenderjahr): (a) Rocket Software alle Informationen zur Verfügung zu stellen, die vernünftigerweise erforderlich sind, um die Einhaltung dieser Datenschutzvereinbarung durch den Anbieter nachzuweisen; und (b) Audits und Inspektionen durch Rocket Software oder einen von ihm beauftragten Auditor zu gestatten.

C. Subprozessoren

Rocket Software willigt ein, dass der Anbieter einen externen Unterauftragnehmer mit der Verarbeitung personenbezogener Daten im Auftrag von Rocket Software beauftragt, soweit dies zur Erbringung der Dienstleistungen und gemäß dieser Vereinbarung erforderlich ist, vorausgesetzt: (i) Der Anbieter informiert Rocket Software über alle nach dem Datum dieser Vereinbarung neu beauftragten Unterauftragnehmer und holt hierzu die schriftliche Genehmigung von Rocket Software ein; und (ii) der Unterauftrag verpflichtet den Unterauftragnehmer im Wesentlichen zu denselben Verpflichtungen, denen der Anbieter gemäß dieser Datenverarbeitungsvereinbarung unterliegt. Der Anbieter stellt Rocket Software auf Anfrage unter [email protected] eine Liste der Unterauftragnehmer zur Verfügung.

D. Grenzüberschreitende Übermittlungen personenbezogener Daten

Sofern der Anbieter personenbezogene Daten an einen Empfänger übermittelt, der nicht unter einen Rahmen fällt, der nach den geltenden Datenschutzgesetzen ein angemessenes Schutzniveau für personenbezogene Daten gewährleistet, hat der Anbieter sicherzustellen, dass diese Übermittlung personenbezogener Daten den geltenden Datenschutzgesetzen entspricht.

E. Grenzüberschreitende Übermittlungen personenbezogener Daten – EU

i. Hinsichtlich der Übermittlung personenbezogener Daten von Rocket Software an den Anbieter gemäß den europäischen Datenschutzgesetzen, sofern diese Übermittlung aus einem EU-Land in ein Drittland erfolgt, das nicht durch einen nach den geltenden Datenschutzgesetzen als angemessen anerkannten Rahmen für den Schutz personenbezogener Daten abgedeckt ist, vereinbaren die Parteien die Einhaltung der allgemeinen Bestimmungen dieser Datenverarbeitungsvereinbarung. Modul 2 (Übertragung vom Verantwortlichen zum Auftragsverarbeiter) der Standardvertragsklauseln findet auf die Verarbeitung dieser personenbezogenen Daten durch den Anbieter Anwendung und ist durch Bezugnahme Bestandteil dieser Vereinbarung.

ii. Ergänzend zum Vorstehenden vereinbaren die Parteien Folgendes für die Zwecke der Standardvertragsklauseln:

a. Rocket Software ist verpflichtet, als „Datenexporteur“ zu handeln und die entsprechenden Verpflichtungen zu erfüllen, und der Anbieter ist verpflichtet, als „Datenimporteur“ zu handeln und die entsprechenden Verpflichtungen zu erfüllen;

b. Klausel 7 (Docking-Klausel) der Standardvertragsklauseln findet Anwendung;

c. Bei Option 1 in Klausel 9(a) (Einsatz von Unterauftragnehmern) ist die Liste der Unterauftragnehmer, die vom Datenexporteur noch nicht autorisiert wurden, an [email protected] zu übermitteln (diese E-Mail-Adresse ist auch über alle vorgeschlagenen Aktualisierungen zu informieren). Die entsprechende Frist beträgt 45 Tage.

d. Die optionale Formulierung in Klausel 11(a) (Rechtsbehelfe) der Standardvertragsklauseln findet keine Anwendung;

e. Für die Zwecke von Klausel 17 der Standardvertragsklauseln unterliegen die Standardvertragsklauseln dem Recht der Niederlande; und

f. Für die Zwecke von Klausel 18(b) der Standardvertragsklauseln vereinbaren die Parteien, sich der Gerichtsbarkeit der Gerichte der Niederlande zu unterwerfen.

iii. Anhang I zu den Standardvertragsklauseln ist wie folgt auszufüllen:

a. Für die Zwecke von Abschnitt A (Liste der Parteien) von Anhang I sind die Identität und Kontaktdaten von Rocket Software als Datenexporteur und -verantwortlicher sowie des Anbieters als Datenimporteur und -verarbeiter und, soweit zutreffend, Informationen über deren jeweiligen Datenschutzbeauftragten und/oder Vertreter in der Europäischen Union diejenigen, die in der Vereinbarung aufgeführt sind oder die jede Partei der anderen anderweitig mitgeteilt hat;

b. Abschnitt B (Beschreibung der Übermittlung) von Anhang I gilt hiermit als mit den in Ziffer II.A dieser Datenverarbeitungsvereinbarung enthaltenen Informationen vervollständigt, wobei die Übermittlungshäufigkeit kontinuierlich ist und die personenbezogenen Daten vorbehaltlich Ziffer II.B(vi) dieser Datenverarbeitungsvereinbarung für den für die Verarbeitung erforderlichen Zeitraum aufbewahrt werden.

c. Für die Zwecke von Abschnitt C (Zuständige Aufsichtsbehörde) des Anhangs I ist die gemäß Klausel 13 bestimmte zuständige Aufsichtsbehörde die Niederlande.

iv. Die Parteien haben sich auf die technischen und organisatorischen Maßnahmen geeinigt, die der Lieferant Rocket Software für die Zwecke von Anhang II zu den Standardvertragsklauseln zur Verfügung stellt.

v. Anhang III der Standardvertragsklauseln (Liste der Unterauftragnehmer) wird hiermit durch Bezugnahme auf die vom Anbieter an Rocket Software gemäß Klausel II.E(ii)(c) übermittelte Liste, in der gemäß dieser Klausel aktualisierten Fassung, als vervollständigt angesehen.

F. Grenzüberschreitende Übermittlungen personenbezogener Daten – Übrige Welt

Hinsichtlich der Übermittlung personenbezogener Daten von Rocket Software an den Anbieter gemäß anderen anwendbaren Datenschutzgesetzen:

i. Die Parteien vereinbaren, die vorstehenden Anforderungen zu erfüllen, soweit Standardvertragsklauseln erforderlich sind, um den rechtlichen Verpflichtungen im Zusammenhang mit grenzüberschreitenden Datenübermittlungen gemäß den einschlägigen Datenschutzgesetzen nachzukommen. In diesem Fall gilt Folgendes: (i) Verweise in den Standardvertragsklauseln auf die DSGVO haben dieselbe Bedeutung wie die entsprechenden Verweise in den einschlägigen Datenschutzgesetzen; (ii) Verweise in den Standardvertragsklauseln auf „Mitgliedstaat“ oder „Union“ beziehen sich auf die jeweilige Gerichtsbarkeit, in der die einschlägigen Datenschutzgesetze gelten; und (iii) jede weitere Verpflichtung in den Standardvertragsklauseln, die von dem Mitgliedstaat festgelegt wird, in dem der Datenexporteur ansässig ist, bezieht sich auf eine Verpflichtung nach den einschlägigen Datenschutzgesetzen.

ii. Soweit die Verarbeitung personenbezogener Daten den geltenden Datenschutzgesetzen im Vereinigten Königreich unterliegt, gilt neben den Standardvertragsklauseln auch der vom britischen ICO herausgegebene und gemäß § 119A des Data Protection Act 2018 am 2. Februar 2022 dem Parlament vorgelegte Musterzusatz B.1.0 ( „UK-Zusatz“ ). Für die Zwecke von Teil 1 des UK-Zusatzes vereinbaren die Parteien Folgendes:

a. Tabelle 1. Das „Startdatum“ ist das Datum des Inkrafttretens dieser Vereinbarung. Die „Parteien“ sind Rocket Software als Exporteur und der Verkäufer als Importeur.

b. Es gilt Tabelle 2. Modul Zwei der Standardvertragsklauseln.

c. Tabelle 3. Die „Anhangsinformationen“ sind die in Klausel II.E(ii)-(iii) dieser Datenverarbeitungsvereinbarung aufgeführten Informationen.

d. Tabelle 4. Die Partei, die den UK-Zusatz gemäß Abschnitt 19 des UK-Zusatzes beenden kann, ist Rocket Software.

ii. Soweit dies zur Einhaltung der geltenden Datenschutzgesetze erforderlich ist, vereinbaren die Parteien, zusätzliche Dokumente (einschließlich Aktualisierungen der Anhänge der Standardvertragsklauseln) zu unterzeichnen und zusätzliche Schutzmaßnahmen anzuwenden, die für die Übermittlung und Speicherung personenbezogener Daten erforderlich sind, die gemäß den Standardvertragsklauseln, dem UK Addendum oder anderen gleichwertigen Anforderungen nach den geltenden Datenschutzgesetzen übermittelt werden.

G. CCPA

In einigen Fällen agiert der Anbieter gemäß der Vereinbarung als Unternehmen im Sinne des CCPA, in anderen Fällen als Dienstleister. Die von Rocket Software an den Anbieter übermittelten personenbezogenen Daten werden diesem zu Geschäftszwecken zur Verfügung gestellt. Der Anbieter darf diese personenbezogenen Daten weder verkaufen noch weitergeben, wie diese Begriffe im CCPA definiert sind, und die Übermittlung der personenbezogenen Daten an den Anbieter gilt nicht als „Verkauf“ im Sinne des CCPA.

Sofern der Anbieter als Dienstleister agiert, darf er personenbezogene Daten weder verkaufen noch speichern, verwenden oder offenlegen (a) für andere Zwecke als die Erbringung der Dienstleistungen; (b) außerhalb der direkten Geschäftsbeziehung zwischen Rocket Software und dem Anbieter; oder (c) die von Rocket Software erhaltenen personenbezogenen Daten mit personenbezogenen Daten kombinieren, die der Anbieter von oder im Auftrag einer anderen Person oder eines anderen Unternehmens erhält, es sei denn, dies ist nach geltendem Datenschutzrecht zulässig; oder (d) soweit dies nach dem CCPA verboten ist.

III. Allgemeines

Die in dieser Datenverarbeitungsvereinbarung enthaltenen Bedingungen ersetzen alle vorherigen Datenschutzvereinbarungen, früheren Versionen der Standardvertragsklauseln oder Datenschutzbestimmungen in anderen Vereinbarungen zwischen den Parteien, die sich auf den Gegenstand dieser Datenverarbeitungsvereinbarung beziehen. Rocket Software kann diese Datenverarbeitungsvereinbarung im erforderlichen Umfang ändern, um geltende Datenschutzgesetze oder Entscheidungen einer zuständigen Behörde gemäß geltenden Datenschutzgesetzen einzuhalten, insbesondere im Zusammenhang mit (a) Änderungen der Unternehmensstruktur und (b) der Veröffentlichung neuer Funktionen, Produkte oder Dienstleistungen oder Änderungen an bestehenden Diensten. Zur Klarstellung: Rocket Software kann die Vereinbarung und diese Datenverarbeitungsvereinbarung frei abtreten.