> For the complete documentation index, see [llms.txt](https://wiki.lucysecurity.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.lucysecurity.com/lucy-wiki-de/rechtsabteilung/dpa-kunden-und-partnerinformationen.md). # DPA-, Kunden- und Partnerinformationen ### **LUCY SECURITY ERGÄNZUNG ZUR VERARBEITUNG VON KUNDENDATEN** Diese Ergänzung zur Datenverarbeitung und ihre Anhänge („**Ergänzung**”) ist ein integraler Bestandteil der Vereinbarung („**Vereinbarung**”) zwischen Ihnen („**Kunde**“) und Lucy Security. sowie deren verbundenen Unternehmen (**„Unternehmen**“; jede „**Partei**” und zusammen „**Parteien**”) und gilt insoweit, als das Unternehmen im Rahmen der Erfüllung seiner Verpflichtungen aus der Vereinbarung personenbezogene Daten im Auftrag des Kunden verarbeitet. Diese Ergänzung ergänzt die Vereinbarung; die Bestimmungen der Vereinbarung gelten daher für diese Ergänzung. Der Kunde gilt als Verantwortlicher und das Unternehmen gilt als Auftragsverarbeiter, wie diese Begriffe im Datenschutzrecht definiert sind. **Alle hier nicht definierten Begriffe mit Großschreibung haben die in der Vereinbarung festgelegte Bedeutung.** 1. **Definitionen** * „**Zugelassene Rechtsordnung**” bedeutet einen Mitgliedstaat des EWR oder einen anderen Rechtsraum, der nach dem anwendbaren Datenschutzrecht von der Europäischen Kommission als Rechtsraum mit angemessenem rechtlichem Datenschutzniveau genehmigt werden kann * **„Datenschutzrecht**” bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr („**DSGVO**“), einschließlich aller anwendbaren nationalen Gesetze zur Umsetzung der vorstehenden Bestimmungen. * „**Verantwortlicher**“, „**Auftragsverarbeiter**“, „**betroffene Person**“, „**personenbezogene Daten**“, „**Verletzung des Schutzes personenbezogener Daten**“, „**verarbeiten**” und „**Verarbeitung**” haben die ihnen im Datenschutzrecht zugewiesenen Bedeutungen. * **„EWR**” bezeichnet die Länder, die Mitglied des Europäischen Wirtschaftsraums sind. * „**Zulässige Zwecke**” bezeichnet sämtliche Zwecke im Zusammenhang mit der Erfüllung der Verpflichtungen des Unternehmens aus der Vereinbarung. * „**Sicherheitsmaßnahmen**” bezeichnet kommerziell angemessene sicherheitsbezogene Richtlinien, Standards und Praktiken, die der Größe und Komplexität des Geschäfts des Unternehmens, dem Sensibilitätsgrad der erhobenen, verarbeiteten und gespeicherten Daten sowie der Art der Geschäftstätigkeit des Unternehmens angemessen sind. * „**Standardvertragsklauseln**” bezeichnet die von der Europäischen Kommission mit der Entscheidung EC/2010/87 angenommenen Standardvertragsklauseln für die Übermittlung personenbezogener Daten an in Drittländern niedergelassene Auftragsverarbeiter: Entscheidung der Kommission vom 5. Februar 2010 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an in Drittländern niedergelassene Auftragsverarbeiter gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates. * „**Standardvertragsklauseln (Verantwortliche)**” bezeichnet die von der Europäischen Kommission mit der Entscheidung 2004/915 angenommenen Standardvertragsklauseln für die Übermittlung personenbezogener Daten an in Drittländern niedergelassene Verantwortliche: Entscheidung der Kommission vom 27. Dezember 2004 zur Änderung der Entscheidung 2001/497/EG hinsichtlich der Einführung eines alternativen Satzes von Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer. * „**Unterauftragsverarbeiter**” bezeichnet alle verbundenen Unternehmen, Beauftragten oder Abtretungsempfänger des Unternehmens, die personenbezogene Daten gemäß den Bedingungen der Vereinbarung verarbeiten dürfen, sowie jeden nicht verbundenen Verarbeiter, den das Unternehmen beauftragt. 2. **Geltung dieser Ergänzung** * Diese Ergänzung gilt nur insoweit, als alle folgenden Bedingungen erfüllt sind: * Das Unternehmen verarbeitet personenbezogene Daten, die vom Kunden im Zusammenhang mit der Vereinbarung bereitgestellt werden (entweder direkt vom Kunden oder indirekt durch einen vom Kunden beauftragten und zu dessen Gunsten handelnden Dritten); * Das Datenschutzrecht gilt für die Verarbeitung personenbezogener Daten. * Diese Ergänzung gilt nur für die Dienstleistungen, auf die sich die Parteien in der Vereinbarung geeinigt haben und in die die Ergänzung durch Verweis einbezogen ist. 3. **Einhaltung von Gesetzen** * Jede Partei hat ihre jeweiligen Verpflichtungen gemäß dem Datenschutz * Das Unternehmen wird dem Kunden in Bezug auf die Verarbeitung personenbezogener Daten durch das Unternehmen angemessene Zusammenarbeit und Unterstützung leisten, damit der Kunde seine Verpflichtungen als Verantwortlicher gemäß dem Datenschutz * Das Unternehmen verpflichtet sich, den Kunden unverzüglich zu benachrichtigen, wenn es nicht mehr in der Lage ist, die Bedingungen dieser Ergänzung einzuhalten, und angemessene und geeignete Maßnahmen zu ergreifen, um diese Nichteinhaltung zu beheben. * Während der Laufzeit der Ergänzung erklärt sich der Kunde damit einverstanden und sichert zu, dass: * Personenbezogene Daten wurden und werden vom Kunden weiterhin in Übereinstimmung mit den einschlägigen Bestimmungen des Datenschutzrechts erhoben, verarbeitet und übermittelt; * Der Kunde ist allein dafür verantwortlich, die Rechtmäßigkeit der von ihm dem Unternehmen erteilten Anweisungen zur Datenverarbeitung zu bestimmen, und darf dem Unternehmen nur Anweisungen erteilen, die nach dem Datenschutzrecht rechtmäßig sind; * die Verarbeitung personenbezogener Daten durch das Unternehmen für die zulässigen Zwecke sowie alle Anweisungen an das Unternehmen im Zusammenhang mit der Verarbeitung der personenbezogenen Daten („**Verarbeitungsanweisungen**“), wurde und wird weiterhin in Übereinstimmung mit den einschlägigen Bestimmungen des Datenschutzrechts durchgeführt; und dass * Der Kunde hat die betroffenen Personen über die Verarbeitung und Übermittlung personenbezogener Daten gemäß der Ergänzung informiert und die erforderlichen Einwilligungen oder sonstigen rechtmäßigen Grundlagen hierfür eingeholt (einschließlich, aber nicht beschränkt auf jede Einwilligung, die erforderlich ist, um die Verarbeitungsanweisungen und die zulässigen Zwecke einzuhalten). * Ungeachtet entgegenstehender Bestimmungen in dieser Ergänzung erkennt der Kunde an, dass das Unternehmen das Recht hat, Daten zu erheben, zu nutzen und offenzulegen: * die im Zusammenhang mit der Erbringung der in der Vereinbarung vorgesehenen Dienstleistungen erhoben wurden, zum Zweck des Betriebs, der Unterstützung oder Nutzung seiner Dienste für seine berechtigten Geschäftszwecke, wie Kontenverwaltung, technischer Support, Fehlerbehebung, Sicherheitspatches, Betrugsprävention, Rechnungsstellung, Vertrieb und Marketing, sowie zum Zweck der Produktverbesserung und -entwicklung und zum Zweck der Begründung/Ausübung und Verteidigung rechtlicher Ansprüche. * die von den bevollmächtigten Vertretern des Kunden (z. B. Mitarbeitern) und/oder autorisierten Nutzern erhoben wurden, ausschließlich zum Zweck der Verwaltung der Geschäfts- und/oder Vertragsbeziehung mit dem Kunden, einschließlich zu Abrechnungs-, Prüfungs- und Aufzeichnungszwecken. * Soweit irgendwelche in Abschnitt 3.5 genannten Daten als personenbezogene Daten gelten: * Das Unternehmen ist in Bezug auf diese Daten nach dem Datenschutzrecht ein eigenständiger Verantwortlicher. * Soweit das Unternehmen personenbezogene Daten außerhalb des EWR verarbeitet, gelten die Parteien als in die Standardvertragsklauseln (Verantwortliche) eingetreten. 4. **Verarbeitungszweck und Anweisungen** * Gegenstand der Verarbeitung, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten und Kategorien betroffener Personen ergeben sich aus der Vereinbarung oder dem beigefügten Anhang, der hiermit durch Verweis einbezogen ist. * Die Dauer der Verarbeitung gemäß der Vereinbarung wird von den Parteien festgelegt, wie in der Vereinbarung dargelegt. * Das Unternehmen verarbeitet personenbezogene Daten nur für die zulässigen Zwecke und in Übereinstimmung mit den schriftlichen Verarbeitungsanweisungen des Kunden (sofern nicht in einer schriftlichen Anforderung darauf verzichtet wird), der Vereinbarung und dem Datenschutzrecht, es sei denn, das Unternehmen ist nach dem für es geltenden Recht anderweitig dazu verpflichtet (und in einem solchen Fall informiert das Unternehmen den Kunden vor der Verarbeitung über diese rechtliche Verpflichtung, es sei denn, das Gesetz verbietet solche Informationen aus wichtigen Gründen des öffentlichen Interesses). * Soweit Verarbeitungsanweisungen zur Verarbeitung personenbezogener Daten außerhalb des Anwendungsbereichs der Vereinbarung und/oder der zulässigen Zwecke führen können, bedarf eine solche Verarbeitung einer vorherigen schriftlichen Vereinbarung zwischen dem Unternehmen und dem Kunden, die etwaige zusätzliche Gebühren umfassen kann, die der Kunde dem Unternehmen für die Ausführung solcher Verarbeitungsanweisungen zu zahlen hat. Das Unternehmen informiert den Kunden unverzüglich, wenn eine Anweisung nach Ansicht des Unternehmens gegen das Datenschutzrecht verstößt. * Zusätzliche Anweisungen des Kunden außerhalb des Anwendungsbereichs der Vereinbarung bedürfen einer vorherigen und gesonderten Vereinbarung zwischen dem Kunden und dem Unternehmen, einschließlich einer Vereinbarung über etwaige zusätzliche Gebühren, die dem Unternehmen für die Ausführung solcher Anweisungen zu zahlen sind. 5. **Angemessene Sicherheit und Schutzvorkehrungen** * Das Unternehmen versichert, gewährleistet und verpflichtet sich, Sicherheitsmaßnahmen einzusetzen, um (i) die Verfügbarkeit, Vertraulichkeit und Integrität aller vom Unternehmen im Zusammenhang mit dieser Vereinbarung erhobenen, abgerufenen oder verarbeiteten personenbezogenen Daten zu schützen und (ii) solche Daten vor Vorfällen mit Verletzungen des Schutzes personenbezogener Daten zu schützen. * Die Sicherheitsmaßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung, und das Unternehmen kann die Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren oder ändern, sofern solche Aktualisierungen und Änderungen nicht zu einer Verschlechterung der Gesamtsicherheit der vom Kunden bezogenen Dienstleistungen führen. * Das Unternehmen ergreift angemessene Maßnahmen, um die Zuverlässigkeit seines Personals und aller anderen Personen, die unter seiner Aufsicht handeln und Zugriff auf personenbezogene Daten haben und diese verarbeiten, sicherzustellen. Das Unternehmen stellt sicher, dass sich Personen, die zur Verarbeitung personenbezogener Daten berechtigt sind, zur Vertraulichkeit verpflichtet haben oder einer entsprechenden gesetzlichen Geheimhaltungspflicht unterliegen. * Das Unternehmen ist dafür verantwortlich, seine Verpflichtungen aus der Vereinbarung so zu erfüllen, dass das Unternehmen das Datenschutzrecht einhalten kann, einschließlich der Umsetzung geeigneter technischer und organisatorischer Maßnahmen. 6. **Verletzung des Schutzes personenbezogener Daten** * Sobald das Unternehmen von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt, benachrichtigt es den Kunden unverzüglich und stellt die von diesem in angemessenem Umfang angeforderten Informationen zu der Verletzung des Schutzes personenbezogener Daten bereit. Das Unternehmen wird sich nach besten Kräften bemühen, den Kunden bei der Minderung der nachteiligen Auswirkungen einer Verletzung des Schutzes personenbezogener Daten, soweit möglich, zu unterstützen. 7. **Sicherheitsbewertungen und Audits** * Das Unternehmen überprüft regelmäßig seine Einhaltung von Datenschutz- und Informationssicherheitsstandards. Solche Audits werden vom internen Prüfungsteam des Unternehmens oder von vom Unternehmen beauftragten externen Prüfern durchgeführt und führen zur Erstellung eines Auditberichts („**Meldung**“), der vertrauliche Informationen des Unternehmens darstellt. * Das Unternehmen gestattet dem Kunden (oder dessen Beauftragtem) nach angemessener schriftlicher Mitteilung und vorbehaltlich der Vertraulichkeitsverpflichtungen, seine Datenverarbeitungsverfahren und -dokumentation höchstens einmal jährlich auf Kosten des Kunden zu prüfen, um die Einhaltung dieser Ergänzung festzustellen. Das Unternehmen arbeitet nach Treu und Glauben bei Prüfungsanfragen zusammen, indem es Zugang zu relevantem sachkundigem Personal und der Dokumentation gewährt. * Auf schriftliche Anfrage des Kunden und vorbehaltlich der Vertraulichkeitsverpflichtungen kann das Unternehmen die in diesem Abschnitt genannten Anforderungen erfüllen, indem es dem Kunden eine Kopie des Berichts zur Verfügung stellt, damit der Kunde die Einhaltung der Verpflichtungen des Unternehmens aus dieser Ergänzung angemessen überprüfen kann. Wenn der Kunde diese Anweisung bezüglich des Audits ändern möchte, hat der Kunde das Recht, eine Änderung dieser Anweisung zu verlangen, indem er dem Unternehmen eine schriftliche Mitteilung sendet. Lehnt das Unternehmen es ab, einer vom Kunden in Bezug auf Audits oder Inspektionen gewünschten Anweisung zu folgen, ist der Kunde berechtigt, diese Ergänzung und die Vereinbarung zu kündigen. 8. **Zusammenarbeit und Unterstützung** * Wenn das Unternehmen Anfragen von Personen oder zuständigen Datenschutzbehörden in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung erhält, einschließlich Anfragen von Personen, die ihre Rechte nach dem EU-Datenschutzrecht ausüben möchten, leitet das Unternehmen die Anfrage unverzüglich an den Kunden weiter. Das Unternehmen antwortet auf solche Mitteilungen nicht direkt ohne vorherige Genehmigung des Kunden, es sei denn, es ist gesetzlich dazu verpflichtet. Wenn das Unternehmen verpflichtet ist, auf eine solche Anfrage zu antworten, benachrichtigt es den Kunden unverzüglich und stellt dem Kunden eine Kopie der Anfrage zur Verfügung, es sei denn, ihm ist dies gesetzlich untersagt. * Erhält das Unternehmen ein rechtsverbindliches Auskunftsersuchen zur Offenlegung personenbezogener Daten, die dieser Ergänzung unterliegen, benachrichtigt es den Kunden (soweit gesetzlich zulässig) beim Erhalt einer solchen Anordnung, Aufforderung oder Anfrage. Hiermit wird jedoch klargestellt, dass das Unternehmen berechtigt ist, diese Informationen bereitzustellen, wenn vom Kunden innerhalb von drei (3) Geschäftstagen (oder innerhalb eines anderweitig kürzeren, durch das einschlägige Recht oder die zuständige Behörde vorgegebenen Zeitraums) keine solche Antwort eingeht. * Ungeachtet des Vorstehenden arbeitet das Unternehmen mit dem Kunden in Bezug auf jede von ihm aufgrund einer solchen Anordnung, Aufforderung oder Anfrage vorgenommene Handlung zusammen, einschließlich der Sicherstellung, dass die offengelegten personenbezogenen Daten vertraulich behandelt werden. * Nach angemessener Mitteilung hat das Unternehmen: * Unter Berücksichtigung der Art der Verarbeitung dem Kunden durch geeignete technische und organisatorische Maßnahmen, soweit möglich, angemessene Unterstützung leisten, damit der Kunde seiner Verpflichtung zur Beantwortung von Anfragen zur Ausübung der Rechte betroffener Personen nachkommen kann, auf Kosten des Kunden; * Dem Kunden angemessene Unterstützung bei der Sicherstellung der Einhaltung seiner Verpflichtung zur Durchführung von Datenschutz-Folgenabschätzungen („**DSFA**“) oder vorherige Konsultationen mit Datenschutzbehörden in Bezug auf die Verarbeitung personenbezogener Daten leisten, sofern jedoch diese Unterstützung für das Unternehmen erhebliche Kosten oder Aufwendungen verursacht, sich die Parteien zunächst darüber einigen, dass der Kunde dem Unternehmen diese Kosten und Aufwendungen erstattet. * Der Kunde erklärt sich damit einverstanden, jedes ihm zustehende Recht auf Durchführung eines Audits oder einer Inspektion, einschließlich nach den Standardvertragsklauseln, sofern diese anwendbar sind, dadurch auszuüben, dass er das Unternehmen anweist, das in Abschnitt 7 beschriebene Audit durchzuführen. 9. **Einsatz von Unterauftragsverarbeitern** * Der Kunde erteilt dem Unternehmen eine allgemeine Genehmigung, Auftragsverarbeiter und/oder Unterauftragsverarbeiter gemäß dieser Klausel zu bestellen (und jedem gemäß dieser Klausel bestellten Unterauftragsverarbeiter zu gestatten, solche zu bestellen). * Das Unternehmen darf die von ihm bereits zum Datum dieser Vereinbarung eingesetzten Auftragsverarbeiter und/oder Unterauftragsverarbeiter weiter verwenden, vorbehaltlich der Erfüllung der in dieser Klausel festgelegten Verpflichtungen durch das Unternehmen in jedem Fall so bald wie praktisch möglich. * Das Unternehmen kann jederzeit und ohne Begründung einen neuen Auftragsverarbeiter und/oder Unterauftragsverarbeiter bestellen, sofern der Kunde 15 Tage im Voraus benachrichtigt wird und der Kunde solchen Änderungen innerhalb dieses Zeitraums nicht aus legitimen Gründen widerspricht. Berechtigte Einwände müssen angemessene und dokumentierte Gründe enthalten, die sich auf die Nichteinhaltung des Datenschutzrechts durch einen Auftragsverarbeiter und/oder Unterauftragsverarbeiter beziehen. Sind solche Einwände nach vernünftigem Ermessen des Unternehmens berechtigt, wird das Unternehmen entweder von der Verwendung des betreffenden Auftragsverarbeiters und/oder Unterauftragsverarbeiters im Zusammenhang mit der Verarbeitung personenbezogener Daten absehen oder den Kunden darüber informieren, dass es beabsichtigt, den Auftragsverarbeiter und/oder Unterauftragsverarbeiter weiterhin zu nutzen. Teilt das Unternehmen dem Kunden unter diesen Umständen seine Absicht mit, den Auftragsverarbeiter und/oder Unterauftragsverarbeiter weiterhin zu nutzen, kann der Kunde die Vereinbarung durch schriftliche Mitteilung an das Unternehmen mit sofortiger Wirkung kündigen. * In Bezug auf jeden Auftragsverarbeiter und/oder Unterauftragsverarbeiter hat das Unternehmen: * sicherzustellen, dass die Vereinbarung zwischen dem Unternehmen und dem Auftragsverarbeiter und/oder Unterauftragsverarbeiter durch einen schriftlichen Vertrag geregelt ist, der Bedingungen enthält, die mindestens das gleiche Schutzniveau bieten wie die in dieser Vereinbarung festgelegten und die Anforderungen von Artikel 28 Absatz 3 der DSGVO erfüllen; * auf Anfrage des Kunden Kopien der Vereinbarungen des Unternehmens mit Auftragsverarbeitern und/oder Unterauftragsverarbeitern zur Verfügung stellen (die geschwärzt sein können, um vertrauliche kommerzielle Informationen zu entfernen, die für die Anforderungen dieser Vereinbarung nicht relevant sind). * Das Unternehmen haftet für alle Handlungen, Fehler oder Unterlassungen seiner Unterauftragsverarbeiter, die dazu führen können, dass das Unternehmen gegen eine seiner Verpflichtungen aus dieser Ergänzung verstößt. 10. **Übermittlung personenbezogener Daten von im EWR ansässigen Personen außerhalb des EWR** * Soweit das Unternehmen personenbezogene Daten außerhalb des EWR verarbeitet, gelten die Parteien als in die Standardvertragsklauseln eingetreten; in diesem Fall gilt der Kunde als Datenexporteur und das Unternehmen als Datenimporteur (wie diese Begriffe dort definiert sind): * Das Unternehmen darf personenbezogene Daten von Einwohnern des EWR oder der Schweiz außerhalb des EWR übermitteln („**Übermittlung**“) nur unter folgenden Voraussetzungen: * Die Übermittlung ist für die Erfüllung der Verpflichtungen des Unternehmens aus der Vereinbarung erforderlich oder nach geltendem Recht vorgeschrieben; und * Die Übermittlung erfolgt: (i) in einen zugelassenen Rechtsraum oder (ii) vorbehaltlich geeigneter Garantien (zum Beispiel durch die Verwendung der Musterverträge oder des Privacy-Shield-Rahmens gemäß der Durchführungsentscheidung (EU) 2016/1250 der Kommission vom 12. Juli 2016 gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des durch das EU-U.S. Privacy Shield gewährten Schutzes oder anderer anwendbarer Rahmenwerke) oder (iii) in Übereinstimmung mit einer der im Datenschutzrecht aufgeführten Ausnahmen (in diesem Fall informiert der Kunde das Unternehmen darüber, welche Ausnahme für jede Übermittlung gilt, und übernimmt die vollständige und alleinige Verantwortung dafür, dass die Ausnahme anwendbar ist). 11. **Aufbewahrung und Löschung von Daten** * Das Unternehmen bewahrt personenbezogene Daten nur für die Dauer der Vereinbarung oder soweit dies zur Erfüllung seiner Verpflichtungen aus der Vereinbarung erforderlich ist, auf. Nach Ablauf oder Beendigung der Vereinbarung löscht das Unternehmen alle in seinem Besitz befindlichen personenbezogenen Daten oder gibt sie an den Kunden zurück, wie in der Vereinbarung vorgesehen, es sei denn, das Unternehmen ist nach geltendem Recht zur Aufbewahrung der personenbezogenen Daten verpflichtet. Die Bestimmungen dieser Ergänzung gelten weiterhin für solche personenbezogenen Daten. * Ungeachtet des Vorstehenden ist das Unternehmen berechtigt, personenbezogene Daten nach Beendigung dieser Vereinbarung zu statistischen und/oder finanziellen Zwecken aufzubewahren, sofern das Unternehmen solche personenbezogenen Daten stets aggregiert oder anderweitig nach Entfernung aller personenbezogen identifizierbaren Merkmale aus diesen personenbezogenen Daten aufbewahrt. * Ungeachtet des Vorstehenden ist das Unternehmen berechtigt, personenbezogene Daten ausschließlich zum Zweck der Begründung oder Ausübung rechtlicher Ansprüche und/oder in aggregierter und anonymisierter Form zu jedwedem Zweck aufzubewahren. 12. **Allgemeines** * Parteien der Ergänzung. Mit der Unterzeichnung der Vereinbarung tritt der Kunde hiermit dieser Ergänzung bei und bestätigt, dass er die Bedingungen dieser Ergänzung gelesen und verstanden hat und sich verpflichtet, rechtlich an alle ihre Bedingungen gebunden zu sein. Die juristische Person, die dieser Ergänzung im Namen des Kunden beitritt (wie in der Vereinbarung vorgesehen), erklärt, dass sie bevollmächtigt ist, dieser Ergänzung für sich selbst und in ihrem Namen zuzustimmen und sie abzuschließen. * Alle Ansprüche, die im Rahmen dieser Ergänzung geltend gemacht werden, unterliegen den Bedingungen der Vereinbarung, einschließlich der in der Vereinbarung festgelegten Ausschlüsse und Haftungsbeschränkungen. * Ungeachtet gegenteiliger Bestimmungen haben im Falle eines Widerspruchs zwischen der Vereinbarung (oder einem darin genannten Dokument) und dieser Ergänzung die Bestimmungen dieser Ergänzung Vorrang. * Das Unternehmen kann diese Ergänzung ändern, wenn die Änderung erforderlich ist, um das Datenschutzrecht, eine gerichtliche Anordnung oder Anweisungen einer staatlichen Regulierungsbehörde oder Agentur einzuhalten, sofern diese Änderung nicht: (i) darauf abzielt, die Einordnung des Unternehmens als Auftragsverarbeiter zu ändern; (ii) den Umfang der Rechte einer Partei zur Nutzung oder sonstigen Verarbeitung personenbezogener Daten erweitert oder Beschränkungen hierfür aufhebt; oder (iii) nach vernünftigem Ermessen des Unternehmens wesentliche nachteilige Auswirkungen auf den Kunden hat. * Mitteilung von Änderungen. Wenn das Unternehmen beabsichtigt, diese Ergänzung gemäß diesem Abschnitt zu ändern, und diese Änderung nach vernünftigem Ermessen des Unternehmens wesentliche nachteilige Auswirkungen auf den Kunden haben wird, wird das Unternehmen kommerziell angemessene Anstrengungen unternehmen, den Kunden mindestens 30 Tage (oder einen kürzeren Zeitraum, der zur Einhaltung des geltenden Rechts, der geltenden Vorschriften, einer gerichtlichen Anordnung oder von Anweisungen einer staatlichen Regulierungsbehörde oder Agentur erforderlich ist) vor Inkrafttreten der Änderung zu informieren. #### **ANHANG 1** Sofern nicht ausdrücklich anders angegeben, wird dieser Anhang gemäß den Standardvertragsklauseln und/oder den Standardvertragsklauseln (Verantwortliche) ausgefüllt und bildet einen integralen Bestandteil der Standardvertragsklauseln. **Angaben zum Datenimporteur (Unternehmen)** Wie in der Vereinbarung angegeben. **Anwendbares Recht** In Bezug auf Klausel 9 und Klausel 11 Absatz 3 der Standardvertragsklauseln unterliegen die Standardvertragsklauseln dem Recht des Mitgliedstaats, in dem der Datenexporteur niedergelassen ist. **Für die Übermittlung relevante Tätigkeiten des Datenexporteurs und Datenimporteurs** Zu den für die Übermittlung relevanten Tätigkeiten gehört die Erbringung der Dienstleistungen für das Unternehmen und die Kunden, wie in der Vereinbarung vorgesehen. **Dauer der Datenverarbeitung** Die Dauer der Datenverarbeitung entspricht der Dauer der Vereinbarung. **Betroffene Personen** Die übermittelten personenbezogenen Daten können die folgenden Kategorien betroffener Personen betreffen: Zu den betroffenen Personen gehören die Personen, über die dem Datenimporteur über die Dienste durch (oder nach Ermessen von) den Datenexporteur Daten bereitgestellt werden. Dazu können unter anderem personenbezogene Daten von Mitarbeitern und Endnutzern des Datenexporteurs gehören. **Datenkategorien** Die übermittelten personenbezogenen Daten können die folgenden Datenkategorien betreffen: Profildaten, einschließlich Name, Geburtsdatum, Geschlecht, Telefonnummer, E-Mail-Adresse, IP-Adresse und Gerätekennungen, Nutzungsdaten, Gerätedaten, Navigationsdaten. **Zweck der Verarbeitungsvorgänge** Die Übermittlung personenbezogener Daten erfolgt zu den folgenden Zwecken und unterliegt den nachstehenden Verarbeitungstätigkeiten, wie sie gegebenenfalls in den von Zeit zu Zeit zwischen dem Unternehmen und dem Kunden geschlossenen vertraglichen Vereinbarungen weiter festgelegt werden können: Kundenservice-Tätigkeiten, wie die Bearbeitung von Bestellungen, die Bereitstellung technischer Unterstützung und die Verbesserung von Angeboten. #### **ANHANG 2** **ANLAGE ZU TECHNISCHEN UND ORGANISATORISCHEN SICHERHEITSMASSNAHMEN** Dieser Anhang ist Bestandteil der Klauseln und beschreibt die vom Datenimporteur umgesetzten technischen und organisatorischen Sicherheitsmaßnahmen. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie des Risikos unterschiedlicher Eintrittswahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen wird das Unternehmen geeignete technische und organisatorische Maßnahmen umsetzen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, einschließlich unter anderem gegebenenfalls: 1. die Pseudonymisierung und Verschlüsselung personenbezogener Daten; 2. die Fähigkeit, die fortlaufende Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste sicherzustellen; 3. die Fähigkeit, die Verfügbarkeit und den Zugriff auf personenbezogene Daten im Falle eines physischen oder technischen Vorfalls zeitnah wiederherzustellen; 4. ein Verfahren zur regelmäßigen Prüfung, Bewertung und Evaluierung der Wirksamkeit technischer und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://wiki.lucysecurity.com/lucy-wiki-de/rechtsabteilung/dpa-kunden-und-partnerinformationen.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.