AVV / Data Processing Addendum

Vertragliche Regelungen für Verarbeitungen auf dokumentierte Weisung, soweit die freigegebene Rollenprüfung dies erfordert.

  1. Diese Vereinbarung gilt nur, soweit CUTO Technology, LLC personenbezogene Daten für den Kunden als Auftragsverarbeiter verarbeitet und der maßgebliche Vertrag diese Fassung ausdrücklich einbezieht.

  2. Die Parteien bestimmen ihre Datenschutzrollen für jeden Verarbeitungszweck gesondert. Die Rollenkarte in Anlage 1 ist maßgeblich für die Abgrenzung zwischen Verarbeitung auf Kundenweisung und Verarbeitung für eigene Zwecke.

  3. „Kundenpersonenbezogene Daten“ sind personenbezogene Daten in Kundeninhalten, die CUTO im anwendbaren Auftragsverarbeitungsumfang für den Kunden verarbeitet. „Weisung“ ist eine dokumentierte Anweisung des Kunden innerhalb des vereinbarten Serviceumfangs. „Unterauftragsverarbeiter“ ist ein weiterer Auftragsverarbeiter, den CUTO für diesen Umfang einsetzt.

  4. Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Kategorien betroffener Personen und personenbezogener Daten ergeben sich aus Anlage 2. Anlage 2 darf nur mit den für den konkreten Vertragsumfang freigegebenen Angaben ausgeführt werden.

  5. CUTO verarbeitet Kundenpersonenbezogene Daten nur auf dokumentierte Weisung des Kunden, einschließlich bei Übermittlungen, soweit nicht anwendbares Recht eine andere Verarbeitung verlangt. Die einbezogenen Vertragsdokumente, freigegebenen Konfigurationen und zulässigen Servicehandlungen bilden den dokumentierten Weisungsrahmen.

  6. Ist CUTO der Auffassung, dass eine Weisung gegen anwendbares Datenschutzrecht verstößt, informiert CUTO den Kunden, soweit dies rechtlich zulässig ist, und setzt die betroffene Verarbeitung bis zur Klärung aus.

  7. CUTO stellt sicher, dass Personen, die zur Verarbeitung von Kundenpersonenbezogenen Daten befugt sind, einer angemessenen Vertraulichkeitsverpflichtung unterliegen und nur im erforderlichen Umfang Zugriff erhalten.

  8. Zugriff auf Kundenpersonenbezogene Daten für Support oder Administration ist auf den erforderlichen Fall, den autorisierten Umfang und die dafür vorgesehenen Rollen begrenzt. Die anwendbaren Zugriffs- und Standortangaben ergeben sich aus Anlage 1 und Anlage 5.

  9. CUTO setzt für den anwendbaren Auftragsverarbeitungsumfang keinen Unterauftragsverarbeiter ohne die im freigegebenen Unterauftragsverarbeitermodell vorgesehene Autorisierung des Kunden ein.

  10. CUTO verpflichtet jeden genehmigten Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die für dessen Verarbeitung nicht weniger schützend sind als die anwendbaren Pflichten dieser Vereinbarung, und bleibt dem Kunden für die Erfüllung dieser Pflichten verantwortlich.

  11. Bei einer beabsichtigten Ergänzung oder Ersetzung eines Unterauftragsverarbeiters informiert CUTO den Kunden nach dem freigegebenen Änderungsmodell so, dass der Kunde die vorgesehenen Informationen prüfen und den vereinbarten Einwandweg nutzen kann.

  12. Unter Berücksichtigung der Art der Verarbeitung unterstützt CUTO den Kunden durch geeignete technische und organisatorische Maßnahmen dabei, Anfragen betroffener Personen im vereinbarten Umfang zu beantworten. CUTO antwortet nicht anstelle des Kunden, soweit der Kunde für die Entscheidung über die Anfrage verantwortlich ist.

  13. Unter Berücksichtigung der Art der Verarbeitung und der CUTO verfügbaren Informationen unterstützt CUTO den Kunden im vereinbarten Umfang bei Datenschutz-Folgenabschätzungen und einer gegebenenfalls erforderlichen vorherigen Konsultation.

  14. CUTO informiert den Kunden ohne unangemessene Verzögerung, nachdem CUTO von einer Verletzung des Schutzes Kundenpersonenbezogener Daten Kenntnis erlangt hat, und stellt die im vereinbarten Umfang verfügbaren Informationen zur Unterstützung der Pflichten des Kunden bereit.

  15. CUTO stellt dem Kunden die Informationen bereit, die vernünftigerweise erforderlich sind, um die Einhaltung der anwendbaren Pflichten dieser Vereinbarung nachzuweisen, und ermöglicht Prüfungen nach dem freigegebenen Prüf- und Evidenzverfahren.

  16. Nach Ende des anwendbaren Verarbeitungsumfangs gibt CUTO Kundenpersonenbezogene Daten nach der vereinbarten Wahl zurück oder löscht sie nach Anlage 3, sofern anwendbares Recht keine weitere Speicherung verlangt.

  17. Für verbleibende Sicherungskopien und gesetzlich aufzubewahrende Daten gelten die freigegebenen Auslauf-, Sperr- und Löschregeln in Anlage 3. Solche Daten dürfen nicht für andere Zwecke weiterverarbeitet werden.

  18. CUTO veranlasst eine Übermittlung von Kundenpersonenbezogenen Daten an ein Drittland oder eine internationale Organisation nur im dokumentierten Weisungsrahmen und unter den für den konkreten Datenpfad freigegebenen rechtlichen Voraussetzungen und Schutzmaßnahmen in Anlage 5.

  19. Der Kunde ist für die Rechtmäßigkeit seiner Weisungen, die Zulässigkeit der in den Service eingebrachten Daten, die erforderlichen Informationen an betroffene Personen und die Entscheidungen verantwortlich, die ihm als Verantwortlichem obliegen.

  20. Mitteilungen, Weisungen, Datenschutzanfragen, Sicherheitsmeldungen und Einwände werden nur über die im maßgeblichen Vertrag oder in der jeweiligen Anlage freigegebenen Kontakt- und Nachweiswege übermittelt.

  21. Diese Vereinbarung gilt für die Dauer des einbezogenen Auftragsverarbeitungsumfangs und danach so lange, wie CUTO Kundenpersonenbezogene Daten nach dieser Vereinbarung verarbeitet oder aufbewahrt.

  22. Bei einem Widerspruch hat diese Vereinbarung für ihren Regelungsgegenstand Vorrang vor allgemeinen Vertragsbedingungen; zwingend anwendbare Übermittlungsklauseln bleiben in ihrem Anwendungsbereich unberührt. Die endgültige Rangfolge bedarf der ausdrücklichen Freigabe.

  23. Jede ausführbare Fassung dieser Vereinbarung und ihrer Anlagen erhält eine eindeutige Version und ein Wirksamkeitsdatum. Änderungen werden nur über den freigegebenen Vertrags- und Versionsprozess einbezogen; frühere Fassungen werden kontrolliert archiviert.