Data Processing Addendum

Datum des Inkrafttretens: 1. September 2026

Diese Zusatzvereinbarung zur Datenverarbeitung („DPA“) wird zwischen dem Kunden, dessen Name und Anschrift im Vertrag angegeben sind, und V2 Cloud Solutions, Inc. oder deren verbundenem Unternehmen, wie im Vertrag angegeben („V2 Cloud Solutions“) (gemeinsam die „Parteien“), geschlossen und abgeschlossen. Die DPA regelt die Verarbeitung personenbezogener Daten, wenn der Kunde Produkte und Dienstleistungen von V2 Cloud Solutions nutzt und wenn die Datenschutzgesetze Anwendung finden.

Begriffsbestimmungen.

Definierte Begriffe, die hierin verwendet, jedoch nicht definiert werden, haben dieselbe Bedeutung wie im Vertrag. Soweit die DPA andere Begriffe verwendet, die in der DPA nicht definiert sind, haben diese Begriffe dieselbe Bedeutung wie in der DSGVO. Die Verwendung der in der DSGVO festgelegten Begriffe bedeutet nicht, dass sich eine Partei zur Einhaltung der DSGVO verpflichtet hat, es sei denn, die DSGVO ist auf sie anwendbar.

Die DPA ist im Lichte der Bestimmungen der Datenschutzgesetze zu lesen und auszulegen und darf nicht in einer Weise ausgelegt werden, die den in den Datenschutzgesetzen vorgesehenen Rechten und Pflichten zuwiderläuft oder die die Grundrechte oder Grundfreiheiten der betroffenen Personen, Verbraucher und vergleichbaren Rechtsträger nach den Datenschutzgesetzen beeinträchtigt („betroffene Personen“).

„Verbundenes Unternehmen“ einer Partei bezeichnet jeden Rechtsträger, der von einer Partei dieses Vertrags kontrolliert wird, solange die Kontrolle besteht.

„Kontrolle“ bezeichnet die unmittelbare oder mittelbare Kontrolle über mehr als 50% der Anteile oder sonstigen Kapitalbeteiligungen des betreffenden Rechtsträgers, die zur Stimmabgabe bei der Wahl der Geschäftsleitung berechtigen (oder, im Falle eines Rechtsträgers, der keine Kapitalgesellschaft ist, zur Wahl oder Bestellung der entsprechenden leitenden Instanz). In Bezug auf den Kunden ist jede hierin enthaltene Bezugnahme auf „verbundene Unternehmen“ streng auf diejenigen verbundenen Unternehmen des Kunden beschränkt, die in Bezug auf die personenbezogenen Daten als Verantwortlicher gelten und die gemäß dem Vertrag zur Nutzung der Dienste berechtigt sind, jedoch kein eigenes Bestellformular unterzeichnet haben und kein „Kunde“ im Sinne des Vertrags sind.

„Vertrag“ bezeichnet den Vertrag über die Erbringung der Dienste.

„Verantwortlicher“ bezeichnet den Rechtsträger, der über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet und der für die Zwecke dieser DPA der Kunde ist.

„Datenschutzgesetze“ bezeichnet die auf die personenbezogenen Daten im Anwendungsbereich dieser DPA anwendbaren Datenschutzgesetze, einschließlich, aber nicht beschränkt auf: den Personal Information Protection and Electronic Documents Act (S.C. 2000, c. 5) („PIPEDA“) sowie etwaige anwendbare provinzielle Datenschutzgesetze in Kanada („PIPEDA“), die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 („DSGVO“), das Bundesgesetz über den Datenschutz vom 19. Juni 1992 (Schweiz) und das revidierte Schweizer Bundesgesetz über den Datenschutz mit Wirkung zum 1. September 2023 („Swiss FADP“), den Data Protection Act 2018 des Vereinigten Königreichs (UK) und die UK-DSGVO ab dem 31. Dezember 2020 („UK-Datenschutzgesetze“), den Australian Privacy Act 1988, den New Zealand Privacy Act 2020, den California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung, den Colorado Privacy Act, den Virginia Consumer Data Protection Act, den Connecticut Act Concerning Personal Data Privacy and Online Monitoring, den Utah Consumer Privacy Act, den Iowa Data Privacy Act, den Indiana Consumer Data Protection Act, den Montana Consumer Data Privacy Act, den Tennessee Information Protection Act sowie den Texas Data Privacy and Security Act und etwaige nachfolgend in den Vereinigten Staaten erlassene Datenschutzgesetze, die Datenverarbeitungsvereinbarungen erfordern („US-Datenschutzgesetze“).

„Personenbezogene Daten“ bezeichnet alle Daten mit Bezug zu natürlichen Personen, die von V2 Cloud Solution im Auftrag des Kunden im Rahmen dieser DPA verarbeitet werden.

„Auftragsverarbeiter“ bezeichnet einen Rechtsträger, der personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet und der für die Zwecke dieser DPA das im Vertrag genannte verbundene Unternehmen von V2 Cloud Solution ist.

Anwendungsbereich und Rangfolge. Jede Partei hat der DPA zugestimmt, um sicherzustellen, dass sie die für sie geltenden Datenschutzgesetze einhält. Die DPA gilt ausschließlich für die Verarbeitung personenbezogener Daten gemäß Anhang II. Die Anhänge I bis IV sind integraler Bestandteil der DPA. Die DPA lässt die Pflichten unberührt, denen der Kunde aufgrund der Datenschutzgesetze unterliegt. Im Falle eines Widerspruchs zwischen der DPA und den Bestimmungen damit zusammenhängender Vereinbarungen zwischen den Parteien, die zum Zeitpunkt der Vereinbarung der DPA bestehen oder danach geschlossen werden, hat die DPA Vorrang.
Beschreibung der Verarbeitung. Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke der Verarbeitung, für die die personenbezogenen Daten im Auftrag des Kunden verarbeitet werden, sind in Anhang II festgelegt.
Pflichten von V2 Cloud Solutions
1. Weisungen. V2 Cloud Solutions verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden und für den bzw. die in Anhang II festgelegten bestimmten Zweck(e) sowie für die dort festgelegte Dauer der Verarbeitung, es sei denn, die Datenschutzgesetze verpflichten V2 Cloud Solutions hierzu. In diesem Fall unterrichtet V2 Cloud Solutions den Kunden vor der Verarbeitung über diese rechtliche Verpflichtung, sofern dies nicht gesetzlich untersagt ist. Der Kunde kann während der gesamten Dauer der Verarbeitung personenbezogener Daten auch nachträglich schriftlich Weisungen erteilen. V2 Cloud Solutions unterrichtet den Kunden, wenn nach Auffassung von V2 Cloud Solutions die vom Kunden erteilten Weisungen gegen die Datenschutzgesetze verstoßen.
2. Sicherheit der Verarbeitung. V2 Cloud Solutions ergreift technische und organisatorische Maßnahmen, um die Sicherheit und den Schutz der personenbezogenen Daten zu gewährleisten, einschließlich des Schutzes der personenbezogenen Daten vor einer Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt („Datenschutzverletzung“). Bei der Beurteilung des angemessenen Sicherheitsniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten sowie der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung und den für die betroffenen Personen bestehenden Risiken gebührend Rechnung. Die von V2 Cloud Solution zum Zeitpunkt des Abschlusses dieser DPA umgesetzten Maßnahmen sind in Anhang III festgelegt.
3. Vertraulichkeit und Zugang zu personenbezogenen Daten. V2 Cloud Solutions gewährt seinen Mitarbeitern nur insoweit Zugang zu den personenbezogenen Daten, als dies für den in Anhang II festgelegten Zweck unbedingt erforderlich ist. V2 Cloud Solutions stellt sicher, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
4. Dokumentation und Einhaltung. Die Parteien müssen die Einhaltung der DPA nachweisen können. V2 Cloud Solution stellt dem Kunden alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung der Pflichten dieser DPA nachzuweisen
5. Prüfung. Auf Verlangen des Kunden und vorbehaltlich einer schriftlichen Ankündigung mit einer Frist von 30 Tagen gestattet V2 Cloud Solutions außerdem Prüfungen der unter die DPA fallenden Verarbeitungstätigkeiten und wirkt an diesen mit, und zwar höchstens einmal pro Kalenderjahr oder häufiger, wenn es zu einer Datenschutzverletzung im Zusammenhang mit den personenbezogenen Daten gekommen ist. Der Kunde kann die Prüfung selbst durchführen oder einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer beauftragen. Prüfungen umfassen keine Inspektionen der Räumlichkeiten oder physischen Einrichtungen von V2 Cloud Solutions. Der Kunde erkennt an, dass die Pflichten von V2 Cloud Solutions ganz oder teilweise durch die Bereitstellung geeigneter Informationen, Aufzeichnungen sowie von Zertifizierungen und Prüfberichten anerkannter unabhängiger Dritter an den Kunden erfüllt werden können, sofern seit der Ausstellung der Zertifizierung oder des Prüfberichts keine wesentlichen Änderungen an den von V2 Cloud Solutions verwendeten Kontrollen eingetreten sind. V2 Cloud Solutions behält sich das Recht vor, unabhängige Prüfungen seiner Verarbeitungstätigkeiten und Systeme durchzuführen. Die Parteien stellen die in dieser DPA genannten Informationen, einschließlich der Ergebnisse etwaiger Prüfungen, den zuständigen Regulierungs- und Aufsichtsbehörden auf Verlangen zur Verfügung.
Einsatz von Unterauftragsverarbeitern/Dienstleistern
1. V2 Cloud Solutions ist berechtigt, Unterauftragsverarbeiter/Dienstleister („Unterauftragsverarbeiter“) in Übereinstimmung mit dieser DPA einzusetzen (und jedem gemäß dieser DPA eingesetzten und in der über den Link in Anhang IV aufgeführten Liste genannten Unterauftragsverarbeiter/Dienstleister zu gestatten, solche einzusetzen). Wird ein neuer Unterauftragsverarbeiter eingesetzt oder ein bestehender Unterauftragsverarbeiter entfernt, so wird die über den Link in Anhang IV aufgeführte Liste aktualisiert. Um Benachrichtigungen über solche Aktualisierungen der Liste zu erhalten, sollte eine E-Mail an [email protected] mit dem Betreff „Subscribe to sub-processor updates“ gesendet werden.
2. Widerspricht der Kunde dem Einsatz oder der Entfernung eines Unterauftragsverarbeiters aus berechtigten, auf den Datenschutzgesetzen beruhenden Gründen, so muss der Widerspruch innerhalb von dreißig (30) Tagen nach Erhalt einer solchen Benachrichtigungs-E-Mail schriftlich erklärt werden. Sollte V2 Cloud Solutions nicht in der Lage sein, seine Dienste anzupassen und die Erbringung der Dienste ohne den bestellten Unterauftragsverarbeiter fortzusetzen, so kann der Kunde sein Konto schließen. Die Kündigung ist das einzige und ausschließliche Rechtsmittel des Kunden, wenn der Kunde der Bestellung eines neuen oder der Entfernung eines bestehenden Unterauftragsverarbeiters widerspricht, und alle zuvor entstandenen Rechte und Pflichten bleiben über eine solche Kündigung hinaus bestehen. Wird der Widerspruch nicht innerhalb dieses Zeitraums erklärt, so gilt die Hinzufügung des neuen bzw. die Entfernung des bestehenden Unterauftragsverarbeiters als akzeptiert.
3. Setzt V2 Cloud Solution einen Unterauftragsverarbeiter ein, so erlegt es dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auf, wie sie V2 Cloud Solutions in dieser DPA auferlegt werden.
4. V2 Cloud Solutions bleibt dem Kunden gegenüber für die Erfüllung der Pflichten des Unterauftragsverarbeiters gemäß dem Vertrag in vollem Umfang verantwortlich.
Internationale Datenübermittlungen.
1. Während der Erbringung der Dienste im Rahmen des Vertrags kann V2 Cloud Solutions personenbezogene Daten an ein Drittland oder eine internationale Organisation übermitteln. V2 Cloud Solutions hält bei allen derartigen Übermittlungen die Datenschutzgesetze und die nach den Datenschutzgesetzen zulässigen Übermittlungsmechanismen ein.
2. Soweit die personenbezogenen Daten personenbezogene Daten aus der EU und dem EWR umfassen, gelten die Parteien mit Abschluss des Vertrags und dieser DPA als Unterzeichner der EU-Standardvertragsklauseln vom 4. Juni 2021 („SCCs“) einschließlich ihrer Anhänge, die dieser DPA beigefügt sind. Soweit die SCCs geschlossen werden, sind die folgenden Optionen für Modul 2 der SCCs zu verwenden:
  1. Klausel 7. Die optionale Andockklausel findet keine Anwendung.
  2. Klausel 9. Einsatz von Unterauftragsverarbeitern, Option 2: Es wird die allgemeine schriftliche Genehmigung gewählt, und der Mindestzeitraum für die vorherige Ankündigung von Änderungen bei Unterauftragsverarbeitern sowie die Benachrichtigungsmethode wurden in Abschnitt 6.5 der DPA vereinbart
  3. Klausel 11. Die optionale Formulierung findet keine Anwendung.
  4. Klausel 17. Es wird Option 2 gewählt, und die Parteien vereinbaren, dass dies das auf den Vertrag anwendbare Recht ist.
  5. Klausel 18 (b). Die Parteien vereinbaren, dass alle aus diesen Klauseln entstehenden Streitigkeiten von den Gerichten Irlands beigelegt werden.
  6. Klausel 13. Alle eckigen Klammern werden hiermit entfernt;
  7. Anhang I dieser DPA enthält die in Anhang I der SCCs geforderten Informationen;
  8. Anhang II dieser DPA enthält die in Anhang II der SCCs geforderten Informationen; und
  9. Anhang III dieser DPA enthält die in Anhang III der SCCs geforderten Informationen.
3. Soweit die personenbezogenen Daten personenbezogene Daten aus dem Vereinigten Königreich umfassen, vereinbaren die Parteien zum Zwecke der Anpassung der SCCs an das Recht des Vereinigten Königreichs, dass die SCCs in dem Umfang als geändert gelten, der erforderlich ist, damit sie für Übermittlungen aus dem Vereinigten Königreich in ein Drittland gelten und geeignete Garantien für Übermittlungen gemäß Artikel 46 der UK-DSGVO bieten. Zu diesen Änderungen gehört, dass Bezugnahmen auf die DSGVO durch Bezugnahmen auf die UK-DSGVO und Bezugnahmen auf die EU-Mitgliedstaaten durch Bezugnahmen auf das Vereinigte Königreich ersetzt werden. Die Parteien vereinbaren, dass das UK Addendum für Übermittlungen von durch die UK-DSGVO geschützten personenbezogenen Daten aus dem Vereinigten Königreich gilt und wie folgt auszufüllen ist:
Tabelle 1 wird mit den einschlägigen Informationen in Anhang I dieser DPA ausgefüllt;
Tabelle 2 wird mit den ausgewählten Modulen und Klauseln der EU-SCCs ausgefüllt, wie sie in Abschnitt 6.2 dieser DPA bestimmt sind;
Tabelle 3 wird mit den einschlägigen Informationen aus den Anhängen I, II und III dieser DPA ausgefüllt;
In Tabelle 4 können sowohl der Datenexporteur als auch der Datenimporteur das UK Addendum gemäß den Bestimmungen des UK Addendum beenden.
1. Soweit die personenbezogenen Daten personenbezogene Daten aus der Schweiz umfassen, gilt zum Zwecke der Anpassung der SCCs an das Schweizer Recht Folgendes:
  1. Die Parteien wenden auf alle Datenübermittlungen den Standard der DSGVO an oder den Standard nach Schweizer Recht, soweit dieser höher ist.
  2. Die Parteien vereinbaren, dass die Bezugnahmen auf Bestimmungen der DSGVO in den SCCs als Bezugnahmen auf die entsprechenden Bestimmungen des Schweizer Bundesgesetzes über den Datenschutz in der zum Zeitpunkt der Einleitung einer Streitigkeit geltenden Fassung zu verstehen sind.
  3. Der in den SCCs verwendete Begriff „Mitgliedstaat“ gilt auch für die Schweiz. Dadurch soll insbesondere sichergestellt werden, dass betroffene Personen nicht von der Möglichkeit ausgeschlossen werden, ihre Rechte an ihrem gewöhnlichen Aufenthaltsort einzuklagen.
  4. Klausel 13 und Anhang I(C): Die zuständigen Behörden gemäß Klausel 13 und in Anhang I(C) sind der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte und zugleich die vorstehend genannte Behörde des EWR-Mitgliedstaats.
  5. Klausel 17: Die Parteien vereinbaren, dass für Ansprüche nach der DSGVO das Recht des Mitgliedstaats maßgeblich ist, in dem der Datenexporteur niedergelassen ist, und für Ansprüche nach dem Schweizer Bundesgesetz über den Datenschutz das materielle Recht der Schweiz.
  6. Klausel 18: Alle aus diesen Klauseln entstehenden Streitigkeiten werden von den Gerichten in Zürich, Schweiz, beigelegt. Eine betroffene Person kann gegen den Datenexporteur und/oder den Datenimporteur auch vor den Gerichten des Mitgliedstaats klagen, in dem sie ihren gewöhnlichen Aufenthalt hat. Die Parteien vereinbaren, sich der Gerichtsbarkeit dieser Gerichte zu unterwerfen.
US-Datenschutzgesetze. Soweit die Verarbeitung personenbezogener Daten durch V2 Cloud Solution im Rahmen des Vertrags den US-Datenschutzgesetzen unterliegt:
1. Die Parteien erkennen an, dass die Speicherung, Nutzung und Offenlegung personenbezogener Daten durch V2 Cloud Solution, die durch die in diesem Vertrag genannten Weisungen des Kunden autorisiert sind, integraler Bestandteil der Dienste und der Geschäftsbeziehung zwischen den Parteien sind.
2. V2 Cloud Solution wird:
  1. personenbezogene Daten nur in dem Umfang nutzen, speichern und offenlegen, wie es zur Erfüllung der in diesem Vertrag festgelegten Geschäftszwecke erforderlich oder anderweitig nach den US-Datenschutzgesetzen zulässig ist;
  2. die geltenden Pflichten nach den US-Datenschutzgesetzen einhalten und dasselbe Datenschutzniveau bieten, das von einem „service provider“ oder „contractor“ nach dem jeweils geltenden US-Datenschutzgesetz verlangt wird;
  3. angemessene und geeignete technische und organisatorische Maßnahmen ergreifen, die darauf ausgelegt sind, personenbezogene Daten vor unbefugter oder unrechtmäßiger Verarbeitung, unbefugtem oder unrechtmäßigem Zugang, unbefugter oder unrechtmäßiger Nutzung oder Offenlegung zu schützen;
  4. den Kunden unverzüglich benachrichtigen, wenn V2 Cloud Solution feststellt, dass es seine Pflichten nach den US-Datenschutzgesetzen nicht erfüllen kann;
  5. mit dem Kunden zusammenarbeiten, um jede unbefugte Nutzung personenbezogener Daten zu unterbinden und zu beheben.
3. V2 Cloud Solution wird nicht:
  1. personenbezogene Daten verkaufen oder weitergeben
  2. personenbezogene Daten zu einem anderen Zweck als den im Vertrag festgelegten Geschäftszwecken speichern, nutzen oder offenlegen, einschließlich der Speicherung, Nutzung oder Offenlegung der personenbezogenen Daten zu einem kommerziellen Zweck, der über die im Vertrag festgelegten Geschäftszwecke hinausgeht oder nicht anderweitig nach den US-Datenschutzgesetzen zulässig ist
  3. die vom Kunden erhaltenen personenbezogenen Daten mit personenbezogenen Daten kombinieren, die von oder im Auftrag einer anderen Person empfangen wurden, oder mit personenbezogenen Daten, die V2 Cloud Solution aus seiner eigenen Interaktion mit dem Verbraucher erhebt, sofern dies nicht anderweitig nach den US-Datenschutzgesetzen zulässig ist
  4. personenbezogene Daten de-identifizieren oder aggregieren, es sei denn, die De-Identifizierung entspricht den US-Datenschutzgesetzen und das Ergebnis kann nicht re-identifiziert werden.
Zusicherungen und Gewährleistungen des Kunden. Der Kunde sichert hiermit zu und gewährleistet, dass er: (a) alle Datenschutzgesetze einhalten wird; (b) sicherstellen wird, dass seine Weisungen an V2 Cloud Solution zur Verarbeitung personenbezogener Daten den Datenschutzgesetzen entsprechen; (c) angemessene Hinweise und Datenschutzrichtlinien, Benachrichtigungs- und Einwilligungsmechanismen sowie Verfahren zur Bearbeitung von Anfragen betroffener Personen gemäß den Datenschutzgesetzen unterhalten wird; (d) über alle Einwilligungen, Genehmigungen und Rechte verfügt, die erforderlich sind, um sämtliche personenbezogenen Daten im Zusammenhang mit dem Vertrag zu übermitteln oder offenzulegen und V2 Cloud Solution deren Verarbeitung zu gestatten; und (e) die alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmäßigkeit sämtlicher von V2 Cloud Solution verarbeiteter personenbezogener Daten trägt und tragen wird. Zur Klarstellung: Soweit der Kunde verlangt, dass V2 Cloud Solution personenbezogene Daten in seinem Auftrag an Dritte übermittelt, ist der Kunde allein dafür verantwortlich, sicherzustellen, dass er über alle erforderlichen Einwilligungen und Rechte zur Übermittlung solcher personenbezogener Daten verfügt. Der Kunde benachrichtigt V2 Cloud Solution unverzüglich, wenn er nicht in der Lage ist, eine seiner Pflichten aus dieser DPA oder aus den Datenschutzgesetzen zu erfüllen.
Unterstützung des Kunden
1. V2 Cloud Solution benachrichtigt den Kunden unverzüglich, spätestens jedoch innerhalb von zehn (10) Geschäftstagen, über jede Anfrage, die es von einer betroffenen Person erhalten hat. Es beantwortet die Anfrage nicht selbst, es sei denn, es ist vom Kunden dazu ermächtigt.
2. V2 Cloud Solution unterstützt den Kunden in angemessener Weise bei der Erfüllung seiner Pflicht, Anfragen betroffener Personen zur Ausübung ihrer Rechte zu beantworten, wobei die Art der Verarbeitung berücksichtigt wird.
  1. V2 Cloud Solution unterstützt den Kunden ferner unter Berücksichtigung der Art der Datenverarbeitung und der V2 Cloud Solution zur Verfügung stehenden Informationen bei der Gewährleistung der Einhaltung der rechtlichen Pflichten des Kunden, einschließlich, aber nicht beschränkt auf die Durchführung von Datenschutz-Folgenabschätzungen, wenn eine Art der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, sowie bei der Konsultation der zuständigen Aufsichtsbehörde(n).
Benachrichtigung über eine Datenschutzverletzung.
1. Im Falle einer Datenschutzverletzung benachrichtigt V2 Cloud Solution den Kunden unverzüglich, nachdem V2 Cloud Solution von der Datenschutzverletzung Kenntnis erlangt hat. Diese Benachrichtigung enthält mindestens a) eine Beschreibung der Art der Verletzung (einschließlich, soweit möglich, der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Datensätze); b) die Angabe einer Kontaktstelle, bei der weitere Informationen zu der Datenschutzverletzung eingeholt werden können, und; c) die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
2. Sofern und soweit es nicht möglich ist, alle diese Informationen gleichzeitig bereitzustellen, enthält die erste Benachrichtigung die dann verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar werden, anschließend unverzüglich nachgereicht.
Nichteinhaltung, Kündigung und Ablauf.
1. Der Kunde hat das Recht, die unbefugte Nutzung der personenbezogenen Daten durch V2 Cloud Solution zu unterbinden und zu beheben.
2. Unbeschadet etwaiger auf V2 Cloud Solution anwendbarer Bestimmungen der Datenschutzgesetze kann der Kunde für den Fall, dass V2 Cloud Solution gegen seine Pflichten aus der DPA verstößt, V2 Cloud Solution anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis Letztere die DPA einhält oder die DPA gekündigt wird. V2 Cloud Solution unterrichtet den Kunden unverzüglich, falls es aus welchem Grund auch immer nicht in der Lage ist, die DPA einzuhalten.
3. Der Kunde ist berechtigt, die DPA zu kündigen, soweit sie die Verarbeitung personenbezogener Daten gemäß dem Vertrag betrifft, wenn:
  1. die Verarbeitung personenbezogener Daten durch V2 Cloud Solution vom Kunden gemäß Ziffer 11.2 ausgesetzt wurde und die Einhaltung des Vertrags nicht innerhalb einer angemessenen Frist und in jedem Fall innerhalb eines Monats nach der Aussetzung wiederhergestellt wird; oder
  2. V2 Cloud Solution einer verbindlichen Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde(n) in Bezug auf seine Pflichten aus dem Vertrag oder aus den für es geltenden Datenschutzgesetzen nicht nachkommt.
4. V2 Cloud Solution ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten im Rahmen des Vertrags betrifft, wenn der Kunde, nachdem er darüber informiert wurde, dass seine Weisungen gegen geltende gesetzliche Anforderungen verstoßen, auf der Befolgung der Weisungen besteht
5. Nach Kündigung oder Ablauf der DPA löscht V2 Cloud Solution nach Wahl des Kunden alle im Auftrag des Kunden verarbeiteten personenbezogenen Daten oder gibt alle personenbezogenen Daten an den Kunden zurück und löscht vorhandene Kopien, es sei denn, die für es geltenden Datenschutzgesetze verlangen die Speicherung der personenbezogenen Daten. Bis zur Löschung oder Rückgabe der Daten gewährleistet V2 Cloud Solution weiterhin die Einhaltung der DPA. In Ermangelung von Weisungen des Kunden werden die personenbezogenen Daten gemäß Anhang II gelöscht.
Behördliche und aufsichtsrechtliche Anfragen. Für den Fall, dass V2 Cloud Solution von einer Regierungs-, Regulierungs- oder Strafverfolgungsbehörde eine rechtsverbindliche Aufforderung zur Offenlegung von im Rahmen dieser DPA verarbeiteten personenbezogenen Daten erhält („Behördliche Anfrage“), wird V2 Cloud Solution: (a) den Kunden, soweit nach geltendem Recht zulässig, vor der Offenlegung personenbezogener Daten unverzüglich und in jedem Fall so bald wie nach vernünftigem Ermessen möglich schriftlich über die Behördliche Anfrage benachrichtigen; (b) nur die Mindestmenge an personenbezogenen Daten offenlegen, die zur Befolgung der Behördlichen Anfrage unbedingt erforderlich ist; und (d) eine Aufzeichnung über alle erhaltenen Behördlichen Anfragen führen. Ist es V2 Cloud Solution nach geltendem Recht untersagt, den Kunden über eine Behördliche Anfrage zu benachrichtigen, so wird V2 Cloud Solution: (i) wirtschaftlich angemessene Anstrengungen unternehmen, um die Aufhebung eines solchen Verbots oder das Recht zur Benachrichtigung des Kunden zu erwirken; und (ii) den Kunden benachrichtigen, sobald ihm dies rechtlich gestattet ist. Nichts in diesem Abschnitt 12 verpflichtet V2 Cloud Solution, gegen geltendes Recht zu verstoßen oder Kosten oder eine Haftung im Zusammenhang mit der Anfechtung einer Behördlichen Anfrage zu übernehmen, es sei denn, der Kunde hat sich im Voraus schriftlich zur Erstattung solcher Kosten bereit erklärt.
Änderungen der DPA. V2 Cloud Solution kann diese DPA von Zeit zu Zeit aktualisieren oder ändern, indem es eine überarbeitete Fassung auf seiner Website veröffentlicht; die überarbeitete Fassung wird zu dem oben genannten Datum „Zuletzt aktualisiert“ wirksam. V2 Cloud Solution behält sich das Recht vor, die DPA zu aktualisieren, sofern dies nach den Datenschutzgesetzen erforderlich ist oder um seine Pflichten im Zusammenhang mit der Übermittlung personenbezogener Daten in Drittländer zu erfüllen, wie etwa die EU-Standardvertragsklauseln.
Haftungsbeschränkung. Die Haftung jeder Partei und aller ihrer verbundenen Unternehmen, insgesamt zusammengenommen, die aus dieser DPA entsteht oder mit ihr zusammenhängt, sei es aus Vertrag, unerlaubter Handlung oder aufgrund einer sonstigen Haftungsgrundlage, unterliegt den Haftungsbeschränkungen und Haftungsausschlüssen des Vertrags, und jede Bezugnahme in Bestimmungen auf die Haftung einer Partei bezeichnet die Gesamthaftung dieser Partei und aller ihrer verbundenen Unternehmen aus dem Vertrag und der DPA zusammen. Zur Klarstellung: Die Gesamthaftung von V2 Cloud Solution, seinen verbundenen Unternehmen und seinem Unterauftragsverarbeiter für alle Ansprüche des Kunden und aller seiner als Verantwortliche fungierenden verbundenen Unternehmen, die aus dem Vertrag und der DPA entstehen oder mit diesen zusammenhängen, gilt insgesamt für alle Ansprüche sowohl aus dem Vertrag als auch aus der DPA.
Anwendbares Recht, Gerichtsstandswahl und Gerichtsbarkeit. Der Vertrag unterliegt dem im Vertrag festgelegten Recht und ist nach diesem auszulegen.

ANHANG I: Liste der Parteien

Verantwortliche(r): Kunde

Auftragsverarbeiter: V2 Cloud Solutions, Inc.

ANHANG II: Beschreibung der Verarbeitung

Kategorien betroffener Personen, deren personenbezogene Daten verarbeitet werden

Verbraucher, die die Websites von V2 Cloud Solutions besuchen
Verbraucher, die Anfragen an V2 Cloud Solutions richten
Mitarbeiter des Kunden, die zur Nutzung der Cloud-Dienste berechtigt sind.

Kategorien verarbeiteter personenbezogener Daten

IP-Adresse, eindeutige Kennung, Browserverlauf
Für Nutzer der Produkte von V2 Cloud Solutions: Name, E-Mail-Adresse, Telefonnummer, alle personenbezogenen Daten, die ein Nutzer über ein Webformular, einen Web-Chat oder per E-Mail offenlegen kann.
Für potenzielle Kunden von V2 Cloud Solutions: geschäftliche Kontaktdaten

Verarbeitete sensible Daten (falls zutreffend) sowie angewandte Beschränkungen oder Garantien, die der Art der Daten und den damit verbundenen Risiken vollständig Rechnung tragen, wie beispielsweise strikte Zweckbindung, Zugangsbeschränkungen (einschließlich des Zugangs nur für Personal, das eine spezielle Schulung absolviert hat), Führung eines Protokolls über den Zugriff auf die Daten, Beschränkungen für Weiterübermittlungen oder zusätzliche Sicherheitsmaßnahmen.

Keine

Art der Verarbeitung

Erhebung, Übermittlung, Eingabe, Löschung, Berichtigung, Anpassung, Speicherung, Analyse, Abgleich, Weitergabe, Abruf, Kombination

Zweck(e), zu dem/denen die personenbezogenen Daten im Auftrag des Verantwortlichen/Unternehmens verarbeitet werden

Bereitstellung von Cloud-Desktop-Zugangsdiensten.

Dauer der Verarbeitung

Dauer des Vertrags und spätestens sechs (6) Monate nach Ablauf oder Kündigung.

Bei der Verarbeitung durch (Unter-)Auftragsverarbeiter/Dienstleister sind auch Gegenstand, Art und Dauer der Verarbeitung anzugeben

Wie vorstehend in diesem Anhang II beschrieben.

ANHANG III: Technische und organisatorische Maßnahmen einschließlich technischer und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit der Daten

Beschreibung der vom Auftragsverarbeiter umgesetzten technischen und organisatorischen Sicherheitsmaßnahmen (einschließlich etwaiger einschlägiger Zertifizierungen) zur Gewährleistung eines angemessenen Sicherheitsniveaus unter Berücksichtigung der Art, des Umfangs, der Umstände und des Zwecks der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen.

- 1. Personalzugang und Vertraulichkeit

Beschränkter Datenzugang: V2 Cloud, das als Auftragsverarbeiter handelt, stellt sicher, dass sein Personal nur dann zum Zugriff auf personenbezogene Daten des Kunden befugt ist, wenn dies für die Erbringung von Diensten und Support erforderlich ist.
Verbot der lokalen Speicherung: Dem Personal von V2 Cloud Solutions ist es untersagt, personenbezogene Daten des Kunden oder vertrauliche Kundendaten zu irgendeinem Zeitpunkt, auch während Support-Sitzungen, auf lokalen oder persönlichen Geräten zu speichern, herunterzuladen oder aufzubewahren. Jeglicher Zugriff auf Kundendaten muss ausschließlich über autorisierte, zentral verwaltete Systeme erfolgen.

II. Vertraulichkeit: Zugangskontrolle

Der Auftragsverarbeiter verhindert die Nutzung von Computersystemen durch Unbefugte. Dies wird erreicht durch:

Beschränkte Zugangslisten
Gesicherte Türen
Verfahren, bei dem die Gewährung des Zugangs für einen Nutzer eine Prüfung durch Kollegen erfordert
d. Für jeden administrativen und privilegierten Zugang zu Kundenumgebungen ist eine Multi-Faktor-Authentifizierung („MFA“) erforderlich.

III. Vertraulichkeit: Zugriffskontrolle

Der Auftragsverarbeiter gewährleistet, dass die zur Nutzung eines Datenverarbeitungssystems befugten Personen ausschließlich auf die Daten zugreifen können, die ihrer Zugriffsberechtigung unterliegen, und dass personenbezogene Daten bei der Verarbeitung oder Nutzung sowie nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Dies wird erreicht durch:

Verfahren, bei dem die Gewährung des Zugangs für einen Nutzer eine Prüfung durch Kollegen erfordert
Überprüfung der Zugriffsprotokolle
c. Jeder Zugriff des Personals von V2 Cloud Solutions auf virtuelle Maschinen und Umgebungen des Kunden während Support-Sitzungen muss vor der Gewährung eines solchen Zugriffs über ein zentralisiertes Ticketsystem (z. B. Jira) dokumentiert und nachverfolgt werden.

IV. Vertraulichkeit: Trennungskontrolle

Der Auftragsverarbeiter gewährleistet, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Eine physische Trennung ist nicht erforderlich; eine logische Trennung der Daten ist ausreichend. Dies wird erreicht durch:

Logische Trennung für alle Kunden

V. Integrität: Weitergabekontrolle

Der Auftragsverarbeiter gewährleistet, dass personenbezogene Daten während der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mittels Einrichtungen zur Datenübertragung übermittelt werden sollen. Dies wird erreicht durch:

Verschlüsselung der Daten während der Übertragung.

VI. Integrität: Eingabekontrolle

Der Auftragsverarbeiter gewährleistet, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssystemen eingegeben, verändert oder entfernt worden sind. Dies wird erreicht durch:

Protokollierung

VII. Verfügbarkeit und Belastbarkeit: Verfügbarkeitskontrolle

Der Auftragsverarbeiter gewährleistet, dass personenbezogene Daten vor zufälliger oder vorsätzlicher Zerstörung oder vor Verlust geschützt werden. Dies wird erreicht durch:

Protokollierung
Zugriff nach dem Least-Privilege-Prinzip
Datensicherungen

VIII. Verfügbarkeit und Belastbarkeit: Wiederherstellbarkeit

Der Auftragsverarbeiter gewährleistet die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu den Daten bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen, und zwar durch die folgenden Maßnahmen:

Notfallwiederherstellungs- und Geschäftskontinuitätspläne

IX. Bewertung: Datenschutzmanagement

Der Auftragsverarbeiter hat ein Verfahren implementiert, um die Wirksamkeit der technischen und organisatorischen Schutzmaßnahmen zur Gewährleistung der Sicherheit der Verarbeitung regelmäßig zu überprüfen und zu bewerten. Dies umfasst:

Stichprobenartige Überprüfungen der Maßnahmen

Bei Übermittlungen an (Unter-)Auftragsverarbeiter/Dienstleister sind auch die spezifischen technischen und organisatorischen Maßnahmen zu beschreiben, die der (Unter-)Auftragsverarbeiter zu ergreifen hat, um dem Verantwortlichen Unterstützung leisten zu können

V2 Cloud Solutions unterhält eine Richtlinie zum Lieferantenmanagement mit Kriterien zur Identifizierung wesentlicher Lieferanten, einschließlich solcher, die personenbezogene Daten verarbeiten.

V2 Cloud Solutions unterhält eine Liste wesentlicher Lieferanten und führt ein Lieferantenrisikomanagement durch.

Unterauftragsverarbeiter müssen SCCs, DPAs oder ähnliche Vereinbarungen einhalten, die technische und organisatorische Maßnahmen verlangen, die mindestens ebenso wirksam sind wie die von V2 Cloud Solutions selbst.

Beschreibung der spezifischen technischen und organisatorischen Maßnahmen, die der Auftragsverarbeiter/Dienstleister zu ergreifen hat, um dem Verantwortlichen/Unternehmen Unterstützung leisten zu können.

Es bestehen Richtlinien und Verfahren, die V2 Cloud Solutions verpflichten, dem Kunden die nach dem Vertrag und den Datenschutzgesetzen erforderliche Unterstützung zu leisten.

ANHANG IV: Liste der Unterauftragsverarbeiter

Name, Anschrift, Name der Kontaktperson, Position und Kontaktdaten sowie eine Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten) für jeden Unterauftragsverarbeiter sind unter Datenschutzrichtlinie zu finden

Sichere Cloud-Plattform für Teams und KI-Agenten

Haben Sie noch Fragen?