Auftragsverarbeitungsnachtrag

Diese Übersetzung übernimmt Nummerierung, Struktur und Entwurfsvariablen der englischen Fassung 0.1 unverändert. In dieser Sprache wurde keine Variable aufgelöst: eine Tatsache kann nicht in nur einer Sprache bekannt sein.

Auftragsverarbeitungsnachtrag

Dieser Auftragsverarbeitungsnachtrag („Nachtrag“) ist Bestandteil der Vereinbarung zwischen Virtik USA, Inc. („Virtik“) und dem in jener Vereinbarung bezeichneten Kundenunternehmen („Kunde“) über die Nutzung der Virtik-Plattform durch den Kunden (die „Vereinbarung“).

1. Begriffsbestimmungen

1.1 „Anwendbares Datenschutzrecht“ bezeichnet alle für die Leistung einer Partei anwendbaren Gesetze über die Verarbeitung personenbezogener Daten, einschließlich der Datenschutz-Grundverordnung der EU 2016/679 („DSGVO“), der UK-DSGVO und des Data Protection Act 2018, des schweizerischen Bundesgesetzes über den Datenschutz sowie der Datenschutzgesetze von US-Bundesstaaten, einschließlich des California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung („CCPA“).

1.2 „Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen und im Rahmen der Vereinbarung verarbeitet werden. Soweit der CCPA anwendbar ist, umfasst der Begriff „personal information“ im dortigen Sinne.

1.3 „Personenbezogene Daten des Kunden“ bezeichnet personenbezogene Daten, die in den Kundendaten im Sinne der Vereinbarung enthalten sind und von Virtik im Auftrag des Kunden verarbeitet werden.

1.4 „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verarbeitung“ und „Aufsichtsbehörde“ haben die in der DSGVO festgelegte Bedeutung. „Business“, „Service Provider“, „Contractor“, „Sell“ und „Share“ haben die im CCPA festgelegte Bedeutung.

1.5 „Unterauftragsverarbeiter“ bezeichnet einen Dritten, den Virtik zur Verarbeitung personenbezogener Daten des Kunden hinzuzieht.

1.6 „Sicherheitsvorfall“ hat die in Ziffer 1.17 der Bedingungen festgelegte Bedeutung, angewandt auf personenbezogene Daten des Kunden. Ob Virtik ein Verschulden trifft, ist nicht Teil der Begriffsbestimmung.

1.7 „Standardvertragsklauseln“ oder „SVK“ bezeichnet die dem Beschluss 2021/914 der Europäischen Kommission beigefügten Klauseln.

1.8 „UK-Nachtrag“ bezeichnet das vom britischen Information Commissioner herausgegebene International Data Transfer Addendum zu den SVK.

1.9 „Sensible Daten“ bezeichnet besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO, Daten über strafrechtliche Verurteilungen nach Artikel 10 sowie „sensitive personal information“ nach dem CCPA.

1.10 In diesem Nachtrag verwendete, aber nicht definierte Begriffe mit großem Anfangsbuchstaben, darunter Bedingungen (die Nutzungsbedingungen und der Online-SaaS-Abonnementvertrag, LEG-001), Administrator, Order, Order Form, Rahmendienstleistungsvertrag, Allgemeine Haftungsobergrenze, Erhöhte Haftungsobergrenze und Provider Order, haben die Bedeutung, die ihnen die Vereinbarung gibt, und, soweit die Vereinbarung sie nicht definiert, die Bedeutung nach den Bedingungen.

2. Anwendungsbereich und Einbeziehung

2.1 Dieser Nachtrag gilt für die Verarbeitung personenbezogener Daten des Kunden durch Virtik im Auftrag des Kunden.

2.2 Dieser Nachtrag ist in die Vereinbarung einbezogen und Bestandteil derselben. Schließt der Kunde online ab, gilt dieser Nachtrag ohne gesonderte Unterzeichnung. Verlangt der Kunde ein unterzeichnetes Exemplar, stellt Virtik es auf Anfrage bereit.

2.3 Hat der Kunde eine von beiden Parteien unterzeichnete, verhandelte Auftragsverarbeitungsvereinbarung geschlossen, die diesen Nachtrag ersetzt, so gilt jene Vereinbarung.

3. Rollen der Parteien

3.1 Es gelten drei verschiedene Rollen, und deren Vermischung ist der häufigste Fehler in Vereinbarungen dieser Art. Jede wird nachstehend gesondert benannt.

3.2 Kundengesteuerte Betriebsdaten — Virtik ist Auftragsverarbeiter / Dienstleister. Für Kamera- und Videodaten, Audio, soweit der Kunde es aktiviert, Einzelbilder, Erkennungen und Erkennungs-Metadaten, Warnungen, räumliche Modelle und Virtuelle Standorte, Personal- und Rundgangsaufzeichnungen, Geolokalisierung, Vorfallsakten und Kommunikationsinhalte innerhalb des Mandanten des Kunden gilt:

(a) Der Kunde ist der Verantwortliche und das Unternehmen (Business). Der Kunde entscheidet, welche Kameras es gibt, deren Blickfelder, ob Audio erfasst wird, wer wann überwacht wird, welche Warnungen auslösen, wer was sehen darf, und über die Aufbewahrung.

(b) Virtik ist der Auftragsverarbeiter und Dienstleister und handelt ausschließlich auf die dokumentierte Weisung des Kunden.

(c) Der Kunde ist verantwortlich für die Schaffung einer Rechtsgrundlage, die Erteilung erforderlicher Hinweise, die Einholung erforderlicher Einwilligungen und den Abschluss jeder nach anwendbarem Datenschutzrecht erforderlichen Abschätzung oder Beteiligung. Virtik bestimmt nicht die Zwecke dieser Verarbeitung und beurteilt nicht die Rechtmäßigkeit der Konfiguration des Kunden.

3.3 Konto-, Abrechnungs-, Sicherheits- und Geschäftsbetriebsdaten — Virtik ist eigenständiger Verantwortlicher. Für die Kontodaten des Kunden, die Kontodaten berechtigter Nutzer, Abrechnungs- und Steuerunterlagen, Support-Korrespondenz (mit Ausnahme von Anhängen und sonstigen Inhalten, die Kundendaten enthalten und die Virtik nach Ziffer 3.2 als Auftragsverarbeiter verarbeitet) sowie Virtiks eigene Sicherheitstelemetrie und Prüfaufzeichnungen handelt Virtik als eigenständiger Verantwortlicher zu den Zwecken der Bereitstellung, Absicherung, Abrechnung und Unterstützung des Dienstes und der Erfüllung eigener rechtlicher Pflichten. Diese Verarbeitung unterliegt der Datenschutzerklärung von Virtik (LEG-002) und nicht den Auftragsverarbeiterpflichten dieses Nachtrags.

3.4 Virtiks Sicherheitstelemetrie wird zu Virtiks eigenen Sicherheitszwecken erzeugt und ist keine vom Kunden angewiesene Verarbeitung, selbst wenn sie Aktivitäten innerhalb des Mandanten des Kunden betrifft.

3.5 Einsätze von Security Providern. Ist der Kunde ein zugelassener Security Provider, der den Dienst für seine eigenen Kunden nutzt, kann der Kunde selbst Auftragsverarbeiter für seinen Kunden sein. Virtik ist dann Unterauftragsverarbeiter des Kunden, der Kunde bleibt gegenüber Virtik dafür verantwortlich, die Weisungen seines Kunden zu Bedingungen weiterzugeben, die mit diesem Nachtrag vereinbar sind, und Modul Drei gilt, wo die SVK Anwendung finden, wie Ziffer 16.2 es festlegt. Die kommerzielle Aktivierung eines Security Providers setzt die schriftliche Genehmigung von Virtik und einen von Virtik unterzeichneten Provider Order voraus (Ziffer 5.8 der Bedingungen). Diese Ziffer gilt für einen Kunden nur aufgrund eines solchen unterzeichneten Provider Order, und nichts in diesem Nachtrag sichert zu, dass eine Vorlage für einen Provider Order oder eine automatisierte Aktivierung besteht.

3.6 CCPA. Hinsichtlich der Verarbeitung nach Ziffer 3.2 ist Virtik ein Service Provider. Virtik wird personenbezogene Daten des Kunden (a) nicht verkaufen (Sell) oder weitergeben (Share); (b) nicht aufbewahren, nutzen oder offenlegen, außer zur Erbringung der Leistungen oder soweit der CCPA es sonst erlaubt; (c) nicht außerhalb der unmittelbaren Geschäftsbeziehung aufbewahren, nutzen oder offenlegen; und (d) nicht mit personenbezogenen Informationen aus einer anderen Quelle verknüpfen, außer soweit der CCPA es erlaubt. Virtik bestätigt, dass sie diese Beschränkungen versteht und einhalten wird.

3.7 Keine Partei ist gemeinsam mit der anderen Verantwortlicher, und nichts in der Vereinbarung begründet eine gemeinsame Verantwortlichkeit.

4. Weisungen des Kunden

4.1 Virtik verarbeitet personenbezogene Daten des Kunden ausschließlich: (a) wie in der Vereinbarung, diesem Nachtrag und Anlage 3 festgelegt; (b) nach weiteren schriftlichen Weisungen des Kunden, soweit sie mit der Vereinbarung vereinbar sind; und (c) soweit gesetzlich vorgeschrieben.

4.2 Die Nutzung und Konfiguration der Plattform durch den Kunden stellt seine Weisungen dar. Zusätzliche Weisungen außerhalb der Funktionalität der Plattform bedürfen einer Vereinbarung, auch hinsichtlich der Kosten.

4.3 Virtik teilt dem Kunden mit, wenn eine Weisung nach ihrer Auffassung gegen anwendbares Datenschutzrecht verstößt, und kann die Ausführung dieser Weisung aussetzen, bis sie geändert oder bestätigt wird. Dies ist keine Rechtsauskunft und überträgt Virtik nicht die Pflicht des Verantwortlichen, die Rechtmäßigkeit zu beurteilen.

4.4 Der Kunde gewährleistet, dass seine Weisungen dem anwendbaren Datenschutzrecht entsprechen und dass er über alle erforderlichen Rechte, Hinweise und Rechtsgrundlagen verfügt.

4.5 Sensible Daten. Der Kunde darf Virtik nicht anweisen, Sensible Daten zu verarbeiten, sofern der Kunde nicht eine Rechtsgrundlage bestätigt und jede zusätzlich anwendbare Voraussetzung erfüllt hat. Die biometrische Verarbeitung ist zusätzlich durch die Vereinbarung und die Bedingungen für KI-Nutzung und menschliche Aufsicht (LEG-007) beschränkt. Virtik aktiviert biometrische Identifizierung, Verifizierung oder Gesichtserkennung weder standardmäßig noch durch den Erwerb eines Tarifs und sichert nicht zu, dass der Dienst biometrische Identifizierung durchführt.

5. Vertraulichkeit und Personal

5.1 Virtik behandelt personenbezogene Daten des Kunden als vertrauliche Informationen des Kunden.

5.2 Virtik stellt sicher, dass Personal mit Zugriff einer Vertraulichkeitspflicht unterliegt, die das Ende seiner Tätigkeit überdauert.

5.3 Virtik gibt in diesem Nachtrag keine Zusicherung dazu ab, wie der Zugriff auf Produktionssysteme gewährt, überprüft oder aufgezeichnet wird, und gibt nicht an, dass sie Zugriffsaufzeichnungen führt. Die einzigen Prüfaufzeichnungen, die Virtik angibt, sind diejenigen, die Ziffer 6.2 und Anlage 6 beschreiben (Sicherheitsnachtrag, Abschnitte 2.1 und 3.1).

5.4 Virtik gibt in diesem Nachtrag keine Zusicherung zur Überprüfung von Personal ab.

5.5 Virtik gibt in diesem Nachtrag keine Zusicherung zum Takt von Schulungen des Personals ab.

6. Sicherheitspflichten

6.1 Virtik setzt die technischen und organisatorischen Maßnahmen um, die Anlage 6 und das Sicherheitsnachtrag (LEG-015) angeben, um personenbezogene Daten des Kunden zu schützen, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung. Vorbehaltlich des folgenden Satzes wird eine Maßnahme, die diese Dokumente nicht angeben, nicht zugesichert, und die Angelegenheiten, die das Sicherheitsnachtrag als nicht zugesichert aufführt, beschränken diese Ziffer. Gilt für die Verarbeitung die DSGVO, die UK-DSGVO oder das schweizerische Datenschutzrecht, ergreift Virtik außerdem die Maßnahmen, die Artikel 32 der DSGVO (oder die entsprechende Vorschrift dieses Rechts) von einem Auftragsverarbeiter verlangt, und weder Anlage 6 noch das Sicherheitsnachtrag beschränkt diese Pflicht oder gibt an, dass jede solche Maßnahme getroffen ist.

6.2 Zu den Maßnahmen, die die Umsetzung und Konfiguration des Dienstes bietet, gehören Mandantentrennung, rollenbasierte Zugriffssteuerung, HTTPS und HTTP Strict Transport Security, konfiguriert für die Webanwendungen von Virtik, Mehrfaktor-Authentifizierung, die Virtik Nutzern des Dienstes bereitstellt, Prüfaufzeichnungen bestimmter administrativer und sicherheitsrelevanter Ereignisse (die für Clients bestimmten Datenbankrollen des Dienstes können die Haupt-Prüftabelle weder lesen noch ändern noch löschen, und Virtik sichert nicht zu, dass Prüfaufzeichnungen vollständig, manipulationssicher oder gegenüber privilegiertem Zugriff von Virtik unveränderlich sind) sowie Datenbankberechtigungen nach dem Prinzip der minimalen Rechte für die für Clients bestimmten Rollen. Sie geben nicht den eingesetzten Zustand einer bestimmten Umgebung wieder.

6.3 Dieser Nachtrag nennt weder einen kryptografischen Standard noch eine Praxis der Schlüsselverwaltung, eine Hosting-Region oder eine Häufigkeit, Aufbewahrung oder ein Wiederherstellungsziel von Backups, und Virtik gibt dazu keine Zusicherung ab, auch nicht dazu, ob, wie oft und wie lange Backups aufbewahrt werden. Gelöschte Daten können in jedem Backup fortbestehen, bis dieses abläuft. Diese Ziffer 6.3 beschränkt nicht die Pflicht nach dem letzten Satz von Ziffer 6.1.

6.4 Virtik verfügt derzeit über keine SOC-2-Attestierung, keine ISO-27001-Zertifizierung, keine Zertifizierung der HIPAA-Konformität und keine FedRAMP-Autorisierung und erklärt dies auch nicht. Verlangen die eigenen Pflichten des Kunden eine Zertifizierung, die Virtik nicht hat, ist der Kunde dafür verantwortlich, zu bestimmen, ob die Plattform für seinen Einsatz geeignet ist.

6.5 Virtik kann ihre Maßnahmen aktualisieren, sofern das Schutzniveau nicht wesentlich verringert wird.

6.6 Der Kunde ist verantwortlich für die Sicherheit seiner eigenen Systeme, seiner Zugangsdaten, der Berechtigungskonfiguration, der Geräteverwaltung sowie für seine Entscheidungen darüber, welche Daten in die Plattform gelangen und wer sie sehen darf.

7. Unterauftragsverarbeiter

7.1 Der Kunde ermächtigt Virtik allgemein, Unterauftragsverarbeiter zur Verarbeitung personenbezogener Daten des Kunden hinzuzuziehen.

7.2 Virtik verpflichtet jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die nicht weniger schützend sind als die dieses Nachtrags, und bleibt für die Leistung ihrer Unterauftragsverarbeiter verantwortlich.

7.3 Die aktuelle Liste wird unter /legal/subprocessors (LEG-009) geführt. Sie ordnet die Dritten, mit denen der Code des Dienstes integriert ist, ein als von Virtik verwaltete Unterauftragsverarbeiter, Infrastrukturanbieter und den Zahlungsdienstleister, Anbieter und Konnektoren, die der Kunde stellt, und Dienste, deren Nutzung Virtik nicht geprüft hat. Nur die erste Gruppe unterliegt Ziffer 8. Ein Anbieter, der in Ziffer 1.3 der Liste aufgeführt ist, wird ohne Angabe einer Rolle aufgeführt, und Ziffer 8 gilt für einen Unterauftragsverarbeiter, bevor er personenbezogene Daten des Kunden verarbeitet. Die Liste nennt keinen Verarbeitungsort, keinen Übermittlungsmechanismus und keinen Vereinbarungsstatus.

7.4 Die Liste der Unterauftragsverarbeiter nennt für keinen Eintrag einen Vereinbarungsstatus, wie Ziffer 7.3 es festlegt. Virtik wird jedem Unterauftragsverarbeiter, der personenbezogene Daten des Kunden im Auftrag von Virtik verarbeitet, die in Ziffer 7.2 genannten Pflichten auferlegen.

8. Mitteilung und Widerspruch zu Unterauftragsverarbeitern

8.1 Virtik teilt dem Kunden mindestens 30 Tage im Voraus mit, bevor ein neuer oder ersetzender Wesentlicher Unterauftragsverarbeiter personenbezogene Daten des Kunden verarbeitet. „Wesentlicher Unterauftragsverarbeiter“ bezeichnet einen Unterauftragsverarbeiter, der den Inhalt personenbezogener Daten des Kunden hostet, speichert, analysiert oder sonst verarbeitet, um den Dienst für den Kunden zu erbringen. Nicht erfasst ist ein Unterauftragsverarbeiter, der nur Konto-, Kontakt- oder technische Daten (etwa Anfragemetadaten) erhält, die zur Bereitstellung, zur Absicherung oder zur Abrechnung des Dienstes erforderlich sind, oder ein Dienst Dritter, den der Kunde selbst anbindet oder anweist.

8.2 Virtik erteilt die Mitteilung per E-Mail an den Administrator des Kunden oder an die im Order Form benannte Kontaktperson und aktualisiert das Unterauftragsverarbeiterverzeichnis (LEG-009) so, dass es die Änderung bis zu dem Datum zeigt, an dem sie wirksam wird, und die Liste der Unterauftragsverarbeiter (LEG-009) gilt für den Kunden in der Fassung, die nach dieser Ziffer 8 aktuell ist, ohne neue Annahme und, bei einem Rahmendienstleistungsvertrag oder einem Order Form, ohne Änderung (Ziffer 2.7 der Bedingungen enthält dieselbe Regel für einen Kunden, der online abschließt). Die Mitteilung benennt den Unterauftragsverarbeiter, die Verarbeitung, die er vornehmen wird, und das Datum, ab dem er personenbezogene Daten des Kunden verarbeiten wird. Virtik bietet für diese Änderungen kein Abonnement und keinen sonstigen automatisierten Benachrichtigungsdienst an.

8.3 Der Kunde kann innerhalb von 15 Tagen nach der Mitteilung von Virtik durch schriftliche Mitteilung an privacy@virtik.ai widersprechen und dabei angemessene und berechtigte, den Datenschutz betreffende Gründe für den Widerspruch angeben. Eine schriftliche Mitteilung nach Ziffer 8.3, 8.4 oder 8.6 an diese Adresse genügt Ziffer 26.1 der Bedingungen (oder Abschnitt 13.1 des Rahmendienstleistungsvertrags).

8.4 Bei einem rechtzeitigen Widerspruch erörtern die Parteien ihn nach Treu und Glauben. Virtik kann (a) gegenüber dem Kunden nicht mit der Änderung fortfahren oder (b) eine Änderung vorschlagen, die dem Widerspruch Rechnung trägt. Ist der Widerspruch nicht innerhalb von 30 Tagen nach seinem Eingang bei Virtik geklärt (die „Klärungsfrist“), kann der Kunde durch schriftliche Mitteilung innerhalb von 15 Tagen nach Ablauf der Klärungsfrist die betroffene Komponente des Dienstes oder, wenn sich diese Komponente nicht vom übrigen Dienst trennen lässt, die betroffene Bestellung („Order“) beenden, mit Wirkung zu einem Datum, bevor der neue oder ersetzende Wesentliche Unterauftragsverarbeiter beginnt, personenbezogene Daten des Kunden zu verarbeiten. Virtik lässt diesen Unterauftragsverarbeiter personenbezogene Daten des widersprechenden Kunden erst verarbeiten, wenn der Widerspruch geklärt ist, die 15-tägige Frist für die Mitteilung des Kunden ohne Mitteilung abgelaufen ist oder die Beendigung wirksam geworden ist. Bei einer Beendigung nach dieser Ziffer 8.4 zahlt der Kunde kein Entgelt für vorzeitige Beendigung und schuldet keine Gebühren, die auf den Zeitraum nach dem Wirksamwerden der Beendigung entfallen, und Virtik erstattet die im Voraus gezahlten Gebühren, die auf diesen Zeitraum für die beendete Komponente entfallen, berechnet und gezahlt, wie Ziffer 16.19 der Bedingungen es vorsieht; die auf die beendete Komponente entfallenden Gebühren bestimmt Virtik in angemessener Weise und nach Treu und Glauben anhand der Preisliste oder der Bestellung („Order“) für diese Komponente, und lässt sich die Komponente nicht gesondert bepreisen, ist das gesamte betroffene Abonnement die beendete Komponente. Diese Rückerstattung ist eine ausdrückliche Ausnahme von der allgemeinen Regel in Ziffer 16.6 der Bedingungen (Ziffer 16.6(g)). Die Beendigung nach dieser Ziffer 8.4 mit dieser Rückerstattung ist der einzige Rechtsbehelf des Kunden wegen des Widerspruchs und wegen des Fortfahrens von Virtik mit der Änderung; sie beschränkt weder einen Rechtsbehelf wegen einer Verletzung dieses Nachtrags noch ein Recht, das anwendbares Datenschutzrecht oder die SVK dem Kunden oder einer betroffenen Person einräumen.

8.5 Das Ausbleiben eines rechtzeitigen Widerspruchs gilt als Zustimmung zu dieser Änderung.

8.6 Ersetzung in dringenden Fällen. Vorbehaltlich Ziffer 16.5(b) kann Virtik, wenn sie einen Unterauftragsverarbeiter dringend ersetzen muss, um die Sicherheit oder die Kontinuität des Dienstes zu wahren, eine kürzere Mitteilungsfrist als die nach Ziffer 8.1 erforderliche geben und erteilt die Mitteilung, sobald dies praktikabel ist, und der ersetzende Unterauftragsverarbeiter darf personenbezogene Daten des Kunden bereits verarbeiten, bevor die Klärungsfrist abgelaufen ist. Der Kunde kann innerhalb von 15 Tagen nach dieser Mitteilung aus den Gründen der Ziffer 8.3 widersprechen. Ist der Widerspruch nicht innerhalb von 30 Tagen nach seinem Eingang bei Virtik geklärt, kann der Kunde die betroffene Komponente des Dienstes (oder die betroffene Bestellung („Order“), wenn sie sich nicht trennen lässt) durch schriftliche Mitteilung beenden, mit Wirkung zu dem in der Mitteilung genannten Datum, und das Entgelt, die Freistellung und die Rückerstattung nach Ziffer 8.4 gelten.

8.7 Sonstige Unterauftragsverarbeiter. Virtik gibt den Einsatz eines Unterauftragsverarbeiters, der kein Wesentlicher Unterauftragsverarbeiter ist, im Unterauftragsverarbeiterverzeichnis an, bevor dieser Unterauftragsverarbeiter personenbezogene Daten des Kunden verarbeitet. Für einen Unterauftragsverarbeiter, der kein Wesentlicher Unterauftragsverarbeiter ist, gilt kein Beendigungsrecht nach Ziffer 8.4. Gelten die SVK, so unterrichtet Virtik den Kunden mindestens 30 Tage im Voraus schriftlich über jede Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters in der Liste, wie Ziffer 16.5(b) es festlegt; der Kunde kann nach Ziffer 8.3 innerhalb von 15 Tagen nach dieser Information gegen diese Änderung widersprechen, die Parteien erörtern den Widerspruch nach Treu und Glauben, und Virtik beginnt nicht, personenbezogene Daten dieses Kunden mit diesem Unterauftragsverarbeiter nach den SVK zu verarbeiten, bevor diese 30-Tage-Frist abgelaufen ist. Virtik gibt diese Information per E-Mail an den Administrator des Kunden oder an die im Order Form benannte Kontaktperson, wie Ziffer 8.2 es für einen Wesentlichen Unterauftragsverarbeiter vorsieht.

9. Unterstützung bei Rechten betroffener Personen

9.1 Der Dienst stellt die Funktionen bereit, die er dann unterstützt, mit denen der Kunde personenbezogene Daten des Kunden innerhalb seines Mandanten einsehen, berichtigen, exportieren und löschen kann, sodass der Kunde Anträge betroffener Personen selbst beantworten kann. Virtik sichert nicht zu, dass der Dienst für jede Kategorie personenbezogener Daten des Kunden Selbstbedienungsfunktionen bietet.

9.2 Kann der Kunde einen Antrag über diese Funktionen nicht erfüllen, leistet Virtik angemessene Unterstützung, auf Kosten des Kunden, soweit die Unterstützung erheblich ist.

9.3 Virtik antwortet einer betroffenen Person nicht unmittelbar hinsichtlich kundengesteuerter Daten. Erhält Virtik einen solchen Antrag, teilt sie der betroffenen Person ohne unangemessene Verzögerung mit, dass sie sich an die betreffende Organisation wenden muss, und unterrichtet den Kunden, soweit Virtik den betroffenen Mandanten identifizieren kann. Virtik durchsucht nicht die Mandanten anderer Kunden, um eine betroffene Person aufzufinden, weil dies selbst ein unverhältnismäßiger Eingriff in die Daten anderer betroffener Personen wäre.

10. Unterstützung bei Sicherheitsvorfällen

10.1 Virtik unterrichtet den Kunden ohne unangemessene Verzögerung, nachdem Virtik einen Sicherheitsvorfall bestätigt hat, der personenbezogene Daten des Kunden betrifft. Virtik bestätigt einen Sicherheitsvorfall, wenn sie in angemessener Weise und ohne ihre Untersuchung zu verzögern feststellt, dass der Sicherheitsvorfall eingetreten ist, oder in angemessener Weise annimmt, wie Ziffer 1.17 der Bedingungen es vorsieht, dass er eingetreten ist. Gelten die SVK, so bestimmt Klausel 8.6(c) die Meldung einer Verletzung des Schutzes personenbezogener Daten: Der Datenimporteur meldet dem Datenexporteur die Verletzung unverzüglich, nachdem sie ihm bekannt geworden ist. Dieser Nachtrag nennt keine strengere Formulierung, als anwendbares Datenschutzrecht und die SVK verlangen, und keine von ihnen legt eine Anzahl von Stunden für die Mitteilung eines Auftragsverarbeiters an seinen Verantwortlichen fest. Gilt Modul Drei, so sieht Klausel 8.6(c) zudem, wo angemessen und machbar, eine Mitteilung an den Verantwortlichen vor, und Virtik erteilt sie, wenn der Kunde Virtik die Kontaktdaten des Verantwortlichen schriftlich mitgeteilt hat.

10.2 Die Mitteilung umfasst, soweit bekannt: die Art des Vorfalls, die Kategorien und die ungefähre Zahl der betroffenen Datensätze, die wahrscheinlichen Folgen, die getroffenen oder vorgeschlagenen Maßnahmen und eine Kontaktstelle. Informationen können mit dem Fortschritt einer Untersuchung schrittweise bereitgestellt werden.

10.3 Virtik unternimmt angemessene Schritte zur Eindämmung und Behebung und stellt die Informationen bereit, die der Kunde zur Erfüllung seiner eigenen Mitteilungspflichten angemessen benötigt.

10.4 Eine Mitteilung ist kein Eingeständnis von Verschulden oder Haftung.

10.5 Ein erfolgloser Versuch oder ein Ereignis, das die Sicherheit personenbezogener Daten des Kunden nicht beeinträchtigt — einschließlich Pings, Portscans, fehlgeschlagener Anmeldungen und Denial-of-Service-Versuche, die nicht zu einem Zugriff führen —, ist kein Sicherheitsvorfall.

10.6 Operative Zielvorgabe zur Mitteilung. Soweit vertretbar möglich, ist es das Ziel von Virtik, die Mitteilung nach Ziffer 10.1 innerhalb von 72 Stunden zu erteilen, nachdem sie den Sicherheitsvorfall bestätigt hat. Diese 72-Stunden-Frist ist nur eine operative Zielvorgabe zur Mitteilung. Sie ist weder eine unbedingte vertragliche Garantie noch eine Gewährleistung. Eine nach 72 Stunden erteilte Mitteilung ist für sich genommen keine Verletzung dieses Nachtrags, von Ziffer 19 der Bedingungen oder der Vereinbarung. Eine Unterlassung, ohne unangemessene Verzögerung zu unterrichten, ist eine Verletzung dieser Ziffer und von Ziffer 19.5 der Bedingungen, und die Haftung von Virtik für den Verlust, den diese Unterlassung verursacht, unterliegt der Erhöhten Haftungsobergrenze nach Ziffer 21.3(b) der Bedingungen; sie macht den zugrunde liegenden Sicherheitsvorfall nicht zu einem Qualifizierenden Sicherheitsvorfall.

10.7 Eigene Pflichten des Kunden. Die Mitteilung von Virtik an den Kunden ist von jeder Meldung getrennt, die der Kunde als Verantwortlicher (einschließlich nach den Artikeln 33 und 34 DSGVO) oder anderweitig an eine Aufsichtsbehörde, an betroffene Personen oder an andere richten muss. Diese Pflichten und die Fristen, in denen sie zu erfüllen sind, bestimmen sich nach anwendbarem Datenschutzrecht und laufen ab der eigenen Kenntnis des Verantwortlichen, und sie liegen in der Verantwortung des Kunden. Ist der Kunde Auftragsverarbeiter eines anderen Verantwortlichen, ist der Kunde dafür verantwortlich, diesen Verantwortlichen zu unterrichten.

11. Datenschutz-Folgenabschätzungen und behördliche Konsultation

11.1 Virtik leistet angemessene Unterstützung bei einer Datenschutz-Folgenabschätzung oder einer vorherigen Konsultation einer Aufsichtsbehörde in Bezug auf die Plattform, soweit der Kunde die Informationen nicht in zumutbarer Weise selbst erlangen kann und sie die Verarbeitung durch Virtik betreffen.

11.2 Die Unterstützung kann durch Dokumentation, Antworten auf Fragebögen oder den Sicherheitsnachtrag (LEG-015) erfolgen. Virtik kann für erhebliche Unterstützung ein Entgelt verlangen.

11.3 Der Kunde ist für die Durchführung seiner eigenen Abschätzung verantwortlich. Nur der Kunde kennt seine Zwecke, seine Räumlichkeiten, wen er überwacht und warum — die Tatsachen, von denen jede Abschätzung abhängt.

12. Anfragen von Behörden und Strafverfolgungsbehörden

12.1 Erhält Virtik von einer Behörde eine Anfrage nach personenbezogenen Daten des Kunden, wird Virtik, sofern nicht rechtlich untersagt: (a) den Kunden ohne unangemessene Verzögerung unterrichten; (b) die Behörde darauf hinweisen, dass Virtik Auftragsverarbeiter ist und die Anfrage an den Kunden zu richten ist; und (c) nicht offenlegen, sofern sie nicht rechtlich dazu verpflichtet ist.

12.2 Besteht eine rechtliche Verpflichtung, legt Virtik nur das erforderliche Minimum offen und wird versuchen, eine Anfrage anzufechten, die rechtswidrig, übermäßig weit oder mit der internationalen Rücksichtnahme unvereinbar erscheint.

12.3 Virtiks Umgang mit rechtlichen Verfahren ist in den Leitlinien für Anfragen von Strafverfolgungsbehörden (LEG-020) beschrieben.

12.4 Virtik führt, soweit rechtlich zulässig, eine Aufzeichnung der eingegangenen Anfragen.

13. Rückgabe und Löschung

13.1 Bei Ablauf oder Beendigung stellt Virtik personenbezogene Daten des Kunden über die Exportfunktion, die der Dienst dann bietet, und im Übrigen mit angemessener Unterstützung (einschließlich, soweit technisch machbar, in einem gängigen maschinenlesbaren Format) für den in der Vereinbarung genannten Zeitraum zum Export bereit (30 Tage nach Ziffer 10.7 der Bedingungen und Abschnitt 5.6 des Rahmendienstleistungsvertrags). Ziffer 16.18 der Bedingungen gilt zusätzlich, wenn die Verordnung (EU) 2023/2854 anwendbar ist.

13.2 Nach diesem Zeitraum löscht oder anonymisiert Virtik personenbezogene Daten des Kunden, außer soweit eine Aufbewahrung gesetzlich vorgeschrieben oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Gelten die SVK, so löscht Virtik die personenbezogenen Daten des Kunden, statt sie zu anonymisieren, wenn der Kunde dies durch schriftliche Mitteilung wählt, und die Bescheinigung nach Ziffer 13.4 gibt an, ob Virtik sie gelöscht oder anonymisiert hat.

13.3 Dieser Nachtrag nennt keine Löschfrist und keine Frist für den Ablauf von Backups. Gelöschte Daten können in Backups fortbestehen, bis die Backups ablaufen, wie Ziffer 13.4 es festlegt.

13.4 Auf schriftliche Aufforderung des Kunden bestätigt Virtik, sobald sie personenbezogene Daten des Kunden nach dieser Ziffer 13 gelöscht oder anonymisiert hat, dies schriftlich. Die Bestätigung ist ein manueller Vorgang. Sie besagt nicht, dass keine Kopie in Backups verbleibt, in denen gelöschte Daten bis zum Ablauf der Backups fortbestehen können. Gelten die SVK, so stellt Virtik auf schriftliche Aufforderung des Kunden zudem die Löschbescheinigung bereit, die Klausel 8.5 der SVK verlangt, als von einem bevollmächtigten Vertreter von Virtik unterzeichnete schriftliche Erklärung, die angibt, ob Virtik die personenbezogenen Daten des Kunden nach Ziffer 13.2 gelöscht oder anonymisiert hat (und, wenn der Kunde nach Ziffer 13.2 die Löschung gewählt hat, dass Virtik sie gelöscht hat), und die die Ausnahme für Backups und eine nach anwendbarem Recht erforderliche Aufbewahrung nennt.

14. Prüfungen und Compliance-Informationen

14.1 Virtik stellt die Informationen bereit, die zum Nachweis der Einhaltung dieses Nachtrags angemessen erforderlich sind, in erster Linie über den Sicherheitsnachtrag (LEG-015) und über Antworten auf angemessene Sicherheitsfragebögen.

14.2 Berechtigt anwendbares Datenschutzrecht oder, soweit sie gelten, Klausel 8.9 der SVK den Kunden zu einer Prüfung und sind die Informationen nach 14.1 unzureichend, kann der Kunde eine Prüfung mit angemessener vorheriger schriftlicher Ankündigung verlangen, höchstens einmal in zwölf Monaten, sofern nicht eine Aufsichtsbehörde dies verlangt oder ein den Kunden betreffender Sicherheitsvorfall vorausgegangen ist.

14.3 Eine Prüfung muss während der Geschäftszeiten erfolgen, darf den Betrieb nicht unangemessen beeinträchtigen, unterliegt der Vertraulichkeit, darf nicht auf Daten eines anderen Kunden oder auf Virtiks mandantenübergreifende Infrastruktur in einer Weise zugreifen, die andere Kunden beeinträchtigen könnte, und ist vom Kunden oder von einem unabhängigen Prüfer durchzuführen, der kein Wettbewerber von Virtik ist. Der Kunde trägt die Kosten.

14.4 Virtik bietet derzeit keinen Prüfbericht eines Dritten an, weil sie über keine SOC-2-Attestierung und keine ISO-27001-Zertifizierung verfügt. Virtik räumt kein Prüfungsrecht über die Ziffern 14.1 bis 14.3 hinaus ein: die in Ziffer 14.1 beschriebenen Informationen und eine Prüfung nur, soweit anwendbares Datenschutzrecht oder Klausel 8.9 der SVK den Kunden dazu berechtigt, zu den Bedingungen der Ziffern 14.2 und 14.3, soweit diese Klauseln es zulassen.

15. Internationale Datenübermittlungen

15.1 Virtik ist in den Vereinigten Staaten niedergelassen, und personenbezogene Daten des Kunden können dort sowie an anderen Orten verarbeitet werden, an denen Virtik oder ihre Unterauftragsverarbeiter tätig sind. Dieser Nachtrag nennt keine Hosting-Region.

15.2 Verarbeitet Virtik personenbezogene Daten, die der DSGVO, der UK-DSGVO oder schweizerischem Recht unterliegen, und übermittelt sie in ein Land ohne Angemessenheitsbeschluss, so richtet sich die Übermittlung nach den Ziffern 16 und 17.

15.3 Virtik übermittelt personenbezogene Daten des Kunden nicht in eine Rechtsordnung ohne wirksamen Übermittlungsmechanismus.

15.4 Datenresidenz wird nicht als Zusage angeboten.

16. Standardvertragsklauseln der Europäischen Kommission

16.1 Ist die DSGVO anwendbar und Ziffer 15.2 einschlägig, werden die SVK durch Verweis einbezogen und gelten für die Übermittlung.

16.2 Modulauswahl. Die SVK sind die Klauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission, und ein Verweis in dieser Ziffer 16 auf eine Klausel ist ein Verweis auf eine Klausel der SVK. Datenexporteur ist der Kunde und Datenimporteur ist Virtik USA, Inc., wie Anlage 1 es angibt. Die Module gelten wie folgt:

(a) Modul Zwei (Verantwortlicher an Auftragsverarbeiter) gilt für die Verarbeitung nach Ziffer 3.2, wenn der Kunde Verantwortlicher der personenbezogenen Daten des Kunden ist.

(b) Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter) gilt, wenn der Kunde selbst Auftragsverarbeiter im Auftrag eines anderen Verantwortlichen ist, auch wenn Ziffer 3.5 gilt. Der Kunde bestätigt dann, dass die Weisungen seines Verantwortlichen mit diesem Nachtrag vereinbar sind, wie Ziffer 3.5 es vorsieht.

(c) Der Kunde gibt im Order Form oder durch schriftliche Mitteilung an Virtik vor der ersten Übermittlung an, ob er für die personenbezogenen Daten des Kunden als Verantwortlicher oder als Auftragsverarbeiter handelt. Gibt der Kunde nichts an, gilt Modul Zwei.

(d) Modul Eins (Verantwortlicher an Verantwortlichen) ist nicht gewählt. Die Verarbeitung durch Virtik als eigenständiger Verantwortlicher nach Ziffer 3.3 unterliegt der Datenschutzerklärung (LEG-002), und Virtik stützt sich für diese Verarbeitung, falls erforderlich, auf den Übermittlungsmechanismus, den anwendbares Datenschutzrecht verlangt. Modul Vier gilt nicht.

16.3 Folgendes ist vorbelegt, soweit die SVK gelten, und in den Anlagen dargelegt: Datenexporteur und -importeur (Anhang I.A), die Verarbeitungsbeschreibung nach Anhang I.B, die technischen und organisatorischen Maßnahmen nach Anhang II. Anhang III (Liste der Unterauftragsverarbeiter) wird nur ausgefüllt, wenn Klausel 9(a), Option 1 (gesonderte vorherige Genehmigung) gilt. Ziffer 16.5(b) wählt Option 2, sodass kein Anhang III ausgefüllt wird, und die vereinbarte Liste im Sinne von Klausel 9(a) ist das Unterauftragsverarbeiterverzeichnis (Anlage 7).

16.4 Im Fall eines Widerspruchs zwischen den SVK und diesem Nachtrag gehen die SVK vor.

16.5 Wahlmöglichkeiten. Gelten die SVK: (a) Klausel 7 (Kopplungsklausel), die optional ist, wird nicht aufgenommen; (b) in Klausel 9(a) gilt Option 2 (allgemeine schriftliche Genehmigung), die vereinbarte Liste ist das Unterauftragsverarbeiterverzeichnis (Anlage 7), und die Frist für die gesonderte schriftliche Mitteilung beabsichtigter Änderungen dieser Liste (Hinzufügungen oder Ersetzungen von Unterauftragsverarbeitern) beträgt mindestens 30 Tage im Voraus, wie die Ziffern 8.1 und 8.7 es festlegen. Die Mitteilung nach Ziffer 8.2 (für einen Wesentlichen Unterauftragsverarbeiter) und die schriftliche Information nach Ziffer 8.7 (für jeden anderen Unterauftragsverarbeiter) sind die Information, die Klausel 9(a) verlangt, und das Widerspruchsrecht des Kunden nach Ziffer 8.3, das für jede solche Änderung gilt, ist das Widerspruchsrecht, das Klausel 9(a) einräumt; das Beendigungsrecht nach Ziffer 8.4 gilt nur für einen Wesentlichen Unterauftragsverarbeiter. Gilt Modul Drei, so verlangt Klausel 9(a), dass die Mitteilung dem Verantwortlichen erteilt wird, und Virtik erteilt sie dem Kunden und, wenn der Kunde Virtik die Kontaktdaten des Verantwortlichen schriftlich mitgeteilt hat, auch diesem Verantwortlichen; Virtik unterrichtet zudem den Kunden als Datenexporteur über den Einsatz des Unterauftragsverarbeiters. Ziffer 8.6 (Ersetzung in dringenden Fällen) verkürzt die Frist nach Klausel 9(a) für einen Kunden, für den die SVK gelten, nicht: Für diesen Kunden darf ein ersetzender Unterauftragsverarbeiter personenbezogene Daten des Kunden erst verarbeiten, nachdem diese Frist abgelaufen ist oder der Kunde einem früheren Datum schriftlich zugestimmt hat; (c) in Klausel 11(a) wird der optionale Wortlaut zu einer unabhängigen Streitbeilegungsstelle nicht aufgenommen; (d) Klausel 13 und Anhang I.C richten sich nach Ziffer 16.6; und (e) die Klauseln 17 und 18 richten sich nach Ziffer 16.7.

16.6 Aufsichtsbehörde (Klausel 13 und Anhang I.C). Klausel 13(a) enthält drei alternative Formulierungen, und nur die Alternative, die den Umständen des Datenexporteurs entspricht, gilt, wie in Anhang I.C angegeben: (a) ist der Datenexporteur in einem EU-Mitgliedstaat niedergelassen, die Aufsichtsbehörde, die dafür zuständig ist, die Einhaltung der DSGVO durch den Exporteur im Hinblick auf die Datenübermittlung sicherzustellen; (b) ist der Datenexporteur nicht in einem EU-Mitgliedstaat niedergelassen, fällt aber nach Artikel 3 Absatz 2 in den räumlichen Anwendungsbereich der DSGVO und hat er nach Artikel 27 Absatz 1 einen Vertreter benannt, die Aufsichtsbehörde des Mitgliedstaats, in dem der Vertreter niedergelassen ist; und (c) ist der Datenexporteur nicht in einem EU-Mitgliedstaat niedergelassen, fällt unter Artikel 3 Absatz 2 und muss er nach Artikel 27 Absatz 2 keinen Vertreter benennen, die Aufsichtsbehörde eines der Mitgliedstaaten, in denen sich die betroffenen Personen befinden, deren personenbezogene Daten nach den SVK im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an sie übermittelt werden oder deren Verhalten beobachtet wird. Der Kunde als Datenexporteur gibt seine zuständige Aufsichtsbehörde im Order Form oder durch schriftliche Mitteilung an Virtik vor der ersten Übermittlung an, und diese Angabe ist für diesen Kunden Anhang I.C; Virtik wählt sie nicht aus. Nach Klausel 13(b) unterwirft sich Virtik als Datenimporteur der Zuständigkeit der zuständigen Aufsichtsbehörde und arbeitet mit ihr zusammen, wie diese Klausel es vorsieht. Diese Ziffer besagt nicht, dass Virtik eine Niederlassung oder einen Vertreter in der Europäischen Union hat. Macht der Kunde keine Angabe, ist die zuständige Aufsichtsbehörde diejenige, die die Alternative von Klausel 13(a) bezeichnet, die den Umständen des Kunden entspricht.

16.7 Anwendbares Recht und Gerichte (Klauseln 17 und 18). Für Modul Zwei und Modul Drei gilt Klausel 17, Option 1, und Option 2 ist nicht gewählt: Die SVK unterliegen dem Recht Irlands, das die Parteien als das Recht eines EU-Mitgliedstaats bestimmen, das Rechte als Drittbegünstigte zulässt. Nach Klausel 18(a) und (b) wird jede Streitigkeit aus den SVK von den Gerichten Irlands entschieden, und nach Klausel 18(c) kann eine betroffene Person auch vor den Gerichten des Mitgliedstaats, in dem sie ihren gewöhnlichen Aufenthalt hat, gegen den Datenexporteur oder den Datenimporteur Klage erheben. Die Parteien unterwerfen sich der Zuständigkeit der Gerichte Irlands, wie Klausel 18(d) es vorsieht. Diese Ziffer 16.7 gilt nur für die SVK. Das Recht des Staates Delaware und der ausschließliche Gerichtsstand in Delaware nach Ziffer 26.9 der Bedingungen (oder Abschnitt 13.10 des Rahmendienstleistungsvertrags) gelten weiterhin für diesen Nachtrag, die Vereinbarung und jede andere Angelegenheit, einschließlich jedes Anspruchs zwischen den Parteien, der kein Anspruch nach den SVK ist.

17. Übermittlungen in das Vereinigte Königreich

17.1 Ist die UK-DSGVO anwendbar, wird der UK-Nachtrag einbezogen und gilt für die Übermittlung, wobei die SVK die von ihm modifizierten genehmigten Klauseln sind.

17.2 Für den UK-Nachtrag: Tabelle 1 (Parteien) richtet sich nach Anlage 1 und der Vereinbarung; Tabelle 2 (ausgewählte SVK, Module und ausgewählte Klauseln) sind die SVK, wie Ziffer 16 sie einbezieht, Module Zwei und Drei, Klausel 7 nicht aufgenommen, der optionale Wortlaut in Klausel 11(a) nicht aufgenommen, und Klausel 9(a) Option 2 mit der Mitteilungsfrist nach Ziffer 16.5(b); und Teil 2 (zwingende Klauseln) sind die zwingenden Klauseln des genehmigten Nachtrags, wie nach Abschnitt 18 dieser zwingenden Klauseln überarbeitet. Tabelle 3 (Angaben im Anhang): Anhang 1A (Liste der Parteien) sind Anlage 1 und die Vereinbarung; Anhang 1B (Beschreibung der Übermittlung) sind die Anlagen 1, 2, 4 und 5; Anhang II (Technische und organisatorische Maßnahmen) ist Anlage 6, die nur die Maßnahmen nennt, die Ziffer 6.2 und Anlage 6 als konfiguriert angeben, und keine weitere Zusicherung enthält; und Anhang III (Liste der Unterauftragsverarbeiter) ist nicht anwendbar, weil Klausel 9(a) Option 2 (allgemeine schriftliche Genehmigung) gilt, wobei die vereinbarte Liste die Liste der Unterauftragsverarbeiter (LEG-009) ist, wie Anlage 7 und Ziffer 16.5(b) es festlegen. Tabelle 4 (Beendigung dieses Nachtrags, wenn sich der genehmigte Nachtrag ändert): keine Partei.

17.3 Ist schweizerisches Recht anwendbar, werden die Verweise so angepasst, dass der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte die zuständige Behörde ist und sich der Schutz auf juristische Personen erstreckt, soweit schweizerisches Recht dies verlangt.

18. Kalifornische Service-Provider- und Contractor-Bestimmungen

18.1 Ziffer 3.6 gilt. Darüber hinaus:

18.2 Virtik wird personenbezogene Daten des Kunden nicht verkaufen oder weitergeben und tut dies nicht.

18.3 Virtik leistet angemessene Unterstützung bei Verbraucheranträgen auf Auskunft, Löschung, Berichtigung und Widerspruch, wie in Ziffer 9 beschrieben.

18.4 Virtik unterrichtet den Kunden, wenn sie feststellt, dass sie ihre Service-Provider-Pflichten nicht mehr erfüllen kann.

18.5 Der Kunde kann angemessene und geeignete Schritte unternehmen, um eine unbefugte Nutzung personenbezogener Daten des Kunden durch Virtik zu beenden und zu beheben, einschließlich der in Ziffer 14 vorgesehenen.

18.6 Virtik wird personenbezogene Daten des Kunden nicht für kontextübergreifende verhaltensbasierte Werbung nutzen und tut dies nicht.

19. Widerspruch und Rangfolge

19.1 Widersprechen sich Bestimmungen, gilt Folgendes, das Höchste zuerst:

1. die SVK und der UK-Nachtrag, soweit sie gelten;
2. eine von beiden Parteien unterzeichnete, verhandelte Auftragsverarbeitungsvereinbarung;
3. dieser Nachtrag;
4. der Sicherheitsnachtrag, hinsichtlich der Sicherheitsmaßnahmen;
5. die übrige Vereinbarung, einschließlich eines Order Form und eines Rahmendienstleistungsvertrags;
6. die Dokumentation.

19.2 Ein Order Form oder ein Rahmendienstleistungsvertrag kann diesen Nachtrag nur ändern, wenn er die Bestimmung dieses Nachtrags, die er ändert, ausdrücklich bezeichnet und die Änderung einen nach anwendbarem Datenschutzrecht erforderlichen Schutz nicht verringert. Ziffer 26.11 der Bedingungen und Ziffer 1.4 des Rahmendienstleistungsvertrags ordnen die Dokumente hinsichtlich personenbezogener Daten in gleicher Weise, sodass kein Dokument über einem Dokument steht, das es seinerseits einordnet.

19.3 Recht und Gerichtsstand der SVK. Die SVK unterliegen dem Recht und den Gerichten, die Ziffer 16.7 festlegt, und der UK-Nachtrag dem Recht und den Gerichten, die er festlegt. Ziffer 26.9 der Bedingungen und Abschnitt 13.10 des Rahmendienstleistungsvertrags gelten für sie nicht, und Ziffer 16.7 gibt dem Recht und den Gerichten Irlands keine Zuständigkeit für eine andere Angelegenheit.

20. Laufzeit, Fortgeltung und Haftung

20.1 Dieser Nachtrag wird zugleich mit der Vereinbarung wirksam und besteht fort, solange Virtik personenbezogene Daten des Kunden verarbeitet.

20.2 Die Ziffern 5, 6, 8, 9, 10, 12, 13, 14, 16, 19 und 20 gelten nach Beendigung fort, und die Ziffern 6, 8, 10 und 16 gelten, solange Virtik personenbezogene Daten des Kunden hält.

20.3 Die Haftung jeder Partei nach diesem Nachtrag, einschließlich, im Verhältnis zwischen Virtik und dem Kunden und soweit Klausel 12 der SVK und anwendbares Datenschutzrecht es zulassen, der Haftung nach den SVK, unterliegt den Beschränkungen und Ausschlüssen der Vereinbarung, einschließlich der Allgemeinen Haftungsobergrenze und, für die Verletzungen, die Ziffer 21.3 der Bedingungen bezeichnet, der Erhöhten Haftungsobergrenze.

20.4 Nichts in der Vereinbarung oder in diesem Nachtrag beschränkt (a) die Rechte einer betroffenen Person nach anwendbarem Datenschutzrecht oder die Haftung einer Partei gegenüber einer betroffenen Person nach Klausel 12 der SVK oder (b) eine Haftung, die rechtmäßig nicht beschränkt werden kann. Würde eine Beschränkung in der Vereinbarung den SVK im Verhältnis zwischen den Parteien widersprechen, gehen die SVK nur insoweit vor.

20.5 Virtik kann diesen Nachtrag mit einer Frist von mindestens 30 Tagen nach Mitteilung an den Kunden aktualisieren, wenn die Aktualisierung nach anwendbarem Datenschutzrecht oder wegen einer Änderung der SVK oder des UK-Nachtrags durch die Behörde, die sie herausgegeben hat, erforderlich ist oder eine nach Ziffer 8 vorgenommene Änderung der Liste der Unterauftragsverarbeiter widerspiegelt, und wenn sie einen nach anwendbarem Datenschutzrecht erforderlichen Schutz nicht verringert. Jede andere Änderung bedarf der schriftlichen Zustimmung des Kunden. Bei einem Rahmendienstleistungsvertrag regelt dessen Abschnitt 13.9 die Änderung, mit der Ausnahme, dass eine Änderung der SVK oder des UK-Nachtrags durch die Behörde, die sie herausgegeben hat, für die davon erfassten Übermittlungen ab ihrem Inkrafttreten gilt.

Anlagen

Anlage 1 — Verarbeitungsbeschreibung

Anlage 2 — Kategorien personenbezogener Daten und betroffener Personen

Kategorien personenbezogener Daten (nach Konfiguration des Kunden): Kennungen und Kontaktdaten berechtigter Nutzer; Rollen- und Berechtigungsdaten; Authentifizierungs-Metadaten; Bilder und Videos von Personen, die von Kundensystemen erfasst werden; Audio, soweit der Kunde es aktiviert; Erkennungs-Metadaten, die sich auf Personen beziehen; Geolokalisierung und Rundgangsspuren des Personals; Kommunikationsinhalte; Vorfallsakten; Besucheraufzeichnungen, soweit der Kunde sie konfiguriert; sowie Geräte- und Protokolldaten.

Kategorien betroffener Personen: berechtigte Nutzer und Administratoren des Kunden; Beschäftigte und Auftragnehmer des Kunden; Besucher der Räumlichkeiten des Kunden; Mitglieder der Öffentlichkeit im Blickfeld von Kundensystemen; und die eigenen Kunden des Kunden, soweit sie in überwachten Räumlichkeiten anwesend sind.

Sensible Daten: keine, es sei denn, der Kunde konfiguriert eine Verarbeitung, die solche erfasst; in diesem Fall gilt Ziffer 4.5.

Anlage 3 — Weisungen des Kunden

Virtiks dauerhafte Weisungen lauten: personenbezogene Daten des Kunden ausschließlich zu verarbeiten, um die Plattform nach der Konfiguration des Kunden bereitzustellen, zu betreiben, abzusichern und zu unterstützen; sie nach der vom Kunden konfigurierten Aufbewahrung aufzubewahren; sie denjenigen zugänglich zu machen, die die Berechtigungskonfiguration des Kunden dazu befugt; sie an vom Kunden aktivierte Integrationen zu übermitteln; und sie auf Weisung des Kunden oder nach Ziffer 13 zu löschen.

Anlage 4 — Verarbeitungsdauer

Die Dauer folgt der Abonnementlaufzeit und den Fristen nach Ziffer 13. Dieser Nachtrag nennt keine Aufbewahrungsfrist.

Anlage 5 — Art und Zweck je Datenkategorie

Anlage 6 — Technische und organisatorische Maßnahmen

Diese Anlage nennt die Maßnahmen, die die Umsetzung und Konfiguration des Dienstes bietet, wie Ziffer 6.2 es festlegt. Eine Maßnahme, die in ihr nicht aufgeführt ist, wird durch diese Anlage nicht zugesichert. Soweit die SVK gelten, ist diese Anlage Anhang II der SVK. Sie führt nur die nachstehend genannten Maßnahmen auf und beschreibt keine andere Maßnahme, nach der Anhang II sonst fragen würde. Nichts in dieser Anlage beschränkt die Pflicht nach dem letzten Satz von Ziffer 6.1, und diese Anlage gibt nicht an, dass jede Maßnahme getroffen ist, die Artikel 32 der DSGVO verlangt.

Als konfiguriert angegebene Maßnahmen: Mandantentrennung; rollenbasierte Zugriffssteuerung; HTTPS und HTTP Strict Transport Security, konfiguriert für die Webanwendungen; Mehrfaktor-Authentifizierung, die Nutzern des Dienstes zur Verfügung steht; Prüfaufzeichnungen bestimmter administrativer und sicherheitsrelevanter Ereignisse, die die für Clients bestimmten Datenbankrollen des Dienstes in der Haupt-Prüftabelle weder lesen noch ändern noch löschen können (Virtik sichert nicht zu, dass Prüfaufzeichnungen vollständig, manipulationssicher oder gegenüber privilegiertem Zugriff von Virtik unveränderlich sind); Datenbankberechtigungen nach dem Prinzip der minimalen Rechte für die für Clients bestimmten Rollen; serverseitige Validierung von Schreibvorgängen; Ursprungsprüfung und Ratenbegrenzung an ausgewählten Endpunkten (Virtik sichert nicht zu, dass eine Begrenzung über Serverinstanzen hinweg geteilt wird).

Virtik gibt in dieser Anlage keine Zusicherung ab zu Verschlüsselung im Ruhezustand oder Schlüsselverwaltung, Backup und Wiederherstellung, Schwachstellenmanagement, Penetrationstests, Betriebskontinuität und Wiederherstellung nach Katastrophen, physischer Sicherheit der Hosting-Standorte, sicherem Entwicklungslebenszyklus, Aufbewahrung von Protokollen, Zugriff von Personal auf Produktionssysteme oder Schlüsselrotation.

Anlage 7 — Unterauftragsverarbeiter

Geführt unter /legal/subprocessors (LEG-009), die die vereinbarte Liste für Klausel 9(a), Option 2 der SVK ist. Anhang III der SVK, den Klausel 9(a), Option 1 verlangen würde, wird nicht ausgefüllt.

Anlage 8 — Transfermechanismen

Anlage 9 — Kontakte

Sprache. Diese Übersetzung wird lediglich zur besseren Verständlichkeit bereitgestellt. Im Falle eines Widerspruchs ist die englische Fassung maßgeblich, soweit zwingendes Recht nichts anderes vorschreibt.

Versionshistorie

ENDE DES DOKUMENTS