Die in dieser DPA verwendeten Begriffe haben die hierin festgelegten Bedeutungen. Begriffe, die hier nicht anderweitig definiert sind, haben die ihnen in der MSA zugewiesene Bedeutung. Sofern nachstehend nichts anderes bestimmt ist, bleiben die Bestimmungen der MSA in vollem Umfang in Kraft und wirksam.   

Diese DPA legt die zusätzlichen Bestimmungen, Anforderungen und Bedingungen fest, unter denen Sentient die personenbezogenen Daten des Kunden bei der Erbringung seiner Dienstleistungen für den Kunden verarbeitet. 

Mit der Unterzeichnung der DPA schließt der Kunde diese DPA in eigenem Namen und, soweit dies nach den geltenden Datenschutzgesetzen erforderlich ist, im Namen und im Auftrag seiner verbundenen Unternehmen ab, sofern und soweit Sentient personenbezogene Daten verarbeitet, für die diese verbundenen Unternehmen als Verantwortliche gelten. 

Ausschließlich für die Zwecke dieser DPA und sofern nicht anders angegeben, umfasst der Begriff „Kunde“ den Kunden und seine verbundenen Unternehmen. 

VEREINBARTE BEDINGUNGEN

1. Begriffsbestimmungen

Alle großgeschriebenen Begriffe, die hier nicht definiert sind, haben die in der MSA festgelegte Bedeutung. Die folgenden zusätzlichen Definitionen gelten für diese DPA.

„CCPA“bezeichnet § 1798.100 ff. des kalifornischen Zivilgesetzbuchs (auch bekannt als „California Consumer Privacy Act“ von 2018).

„Verantwortlicher“ bezeichnet den Kunden oder die juristische Person, die allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.  

„Betroffene Person“ bezeichnet eine identifizierte oder identifizierbare natürliche Person.

„Datenschutzrecht“ bezeichnet (a) die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) („DSGVO“); (b) die irischen Datenschutzgesetze von 1988 und 2018; (c) die Verordnung der Europäischen Gemeinschaften über elektronische Kommunikationsnetze und -dienste (Datenschutz und elektronische Kommunikation) von 2011; (d) die britische DSGVO und das britische Datenschutzgesetz von 2018; (e) die EU-E-Privacy-Richtlinie 2002/58/EG (in der jeweils gültigen Fassung) (die „E-Privacy-Richtlinie“); und (f) jede relevante Umsetzung, Nachfolge oder Ersetzung der unter (a) bis einschließlich (e) aufgeführten Rechtsvorschriften; sowie alle sonstigen Branchenrichtlinien (ob gesetzlich vorgeschrieben oder nicht) oder geltenden Verhaltenskodizes und Leitfäden, die von Zeit zu Zeit vom irischen Datenschutzbeauftragten oder einer anderen zuständigen nationalen oder supranationalen Behörde im Zusammenhang mit der Verarbeitung personenbezogener Daten oder dem Datenschutz herausgegeben werden; sowohl in ihrer jeweils gültigen Fassung als auch in der von Zeit zu Zeit geänderten, neu erlassenen und/oder ersetzten Fassung sowie alle sonstigen geltenden Rechtsvorschriften im Zusammenhang mit der Erhebung, Verarbeitung, Übermittlung oder Speicherung personenbezogener Daten. 

„Löschen“ bedeutet, personenbezogene Daten so zu entfernen oder zu vernichten, dass sie nicht wiederhergestellt oder rekonstruiert werden können.

„Personenbezogene Daten“ bezeichnet Informationen, die eine betroffene Person identifizieren, sich auf sie beziehen, sie beschreiben, vernünftigerweise mit ihr in Verbindung gebracht werden können oder vernünftigerweise direkt oder indirekt mit ihr verknüpft werden könnten. 

„Verletzung des Schutzes personenbezogener Daten“ bezeichnet jede Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führt, die von Sentient oder seinen Unterauftragsverarbeitern verarbeitet werden.

„Verarbeiten“, „verarbeitet“ oder „Verarbeitung“ bezeichnet jeden Vorgang oder jede Reihe von Vorgängen, die mit personenbezogenen Daten oder mit Datensätzen personenbezogener Daten durchgeführt werden, unabhängig davon, ob dies automatisiert erfolgt oder nicht, wie beispielsweise das Erheben, Erfassen, Organisieren, Strukturieren, Speichern, Anpassen oder Verändern, Abrufen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreiten oder anderweitiges Zugänglichmachen, Abgleichen oder Verknüpfen, Einschränken, Löschen oder Vernichten.

„Auftragsverarbeiter“ bezeichnet Sentient oder eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.  

„Sensible personenbezogene Daten“ haben die in Ziffer 2.4 angegebene Bedeutung.

„Standardvertragsklauseln“ bezeichnet die Standardvertragsklauseln der Europäischen Union für internationale Übermittlungen aus dem Europäischen Wirtschaftsraum in Drittländer, Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021, abrufbar unter https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX:32021D0914.

„Unterauftragsverarbeiter“ bezeichnet jeden von Sentient oder seinen verbundenen Unternehmen beauftragten Dritten, der an der Verarbeitung personenbezogener Daten von Kunden beteiligt ist.

2. EINLEITUNG

2.1 Bei der Erbringung der Dienstleistungen im Rahmen des MSA kann Sentient verpflichtet sein, personenbezogene Daten des Kunden im Auftrag des Kunden zu verarbeiten. Die Parteien halten ihre Absicht fest, dass der Kunde und seine verbundenen Unternehmen (soweit zutreffend) die Verantwortlichen und Sentient der Auftragsverarbeiter sind. Die Parteien üben ihre Rechte aus diesem Vertrag nach Treu und Glauben und in angemessener Weise aus.

2.2 Der Kunde (und etwaige verbundene Unternehmen) hat jederzeit seine jeweiligen Verpflichtungen als Verantwortlicher einzuhalten und ist für die Verarbeitung aller personenbezogenen Kundendaten verantwortlich, die im Rahmen oder im Zusammenhang mit dem MSA durch seine autorisierten Nutzer gemäß seinen Verpflichtungen nach den geltenden Datenschutzgesetzen verarbeitet werden. Der Kunde trägt die alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Daten des Kunden sowie für die Art und Weise, wie der Kunde diese personenbezogenen Daten erlangt.

2.3 Der Kunde hat sicherzustellen, dass von den betroffenen Personen gültige Einwilligungen eingeholt werden, und dafür zu sorgen, dass diesen Personen entsprechende Hinweise erteilt werden, soweit dies jeweils erforderlich ist, damit Sentient personenbezogene Daten im Rahmen oder im Zusammenhang mit dieser DPA gemäß den Datenschutzgesetzen verarbeiten (und durch Unterauftragsverarbeiter verarbeiten lassen) kann. Darüber hinaus darf der Kunde weder durch Handlungen noch durch Unterlassungen dazu führen, dass Sentient gegen die Datenschutzgesetze verstößt, wenn Sentient oder seine Unterauftragsverarbeiter die personenbezogenen Daten gemäß dieser DPA verarbeiten.

2.4 Der Kunde verpflichtet sich, die Dienste nicht zur Erhebung, Speicherung, Verarbeitung oder Übermittlung sensibler personenbezogener Daten zu nutzen. Der Kunde hat Sentient vor Inanspruchnahme der Dienste schriftlich zu informieren, falls die personenbezogenen Daten des Kunden eine der folgenden Kategorien umfassen: (i) Kredit-, Debit- oder sonstige Zahlungskartendaten, die den Datensicherheitsstandards der Zahlungskartenindustrie (Payment Card Industry Data Security Standards) unterliegen; (ii) Patienten-, medizinische oder sonstige geschützte Gesundheitsdaten, die dem „Health Insurance Portability and Accountability Act“ („HIPAA“) unterliegen; oder (iii) sonstige personenbezogene Daten eines EU-Bürgers, die als „besondere Kategorie“ gelten (wie in der DSGVO oder einer Nachfolgerichtlinie oder -verordnung definiert) („sensible personenbezogene Daten“).  Sofern der Kunde Sentient nicht informiert, haftet Sentient nicht für Verstöße gegen Anforderungen, die für eine solche Verarbeitung gelten. Der Kunde erkennt an, dass Sentient weder ein Geschäftspartner noch ein Unterauftragnehmer (im Sinne der Definitionen dieser Begriffe im HIPAA) noch ein Zahlungskartenabwickler ist und dass die Dienste weder HIPAA- noch PCI-DSS-konform sind. 

2.5 Anhang 1 zu dieser DPA enthält bestimmte Informationen bezüglich der Verarbeitung der personenbezogenen Daten des Kunden durch Sentient und dessen Unterauftragsverarbeiter.

2.6 Der Kunde weist Sentient hiermit an (und erteilt Sentient die Zustimmung und Befugnis, jeden Unterauftragsverarbeiter anzuweisen), die personenbezogenen Daten des Kunden in dem Umfang zu verarbeiten, der für die Erbringung der Dienstleistungen angemessen erforderlich ist.  

3. DATENSCHUTZVERPFLICHTUNGEN

3.1 Soweit Sentient personenbezogene Daten des Kunden gemäß dem MSA verarbeitet, gewährleistet, versichert und verpflichtet sich Sentient gegenüber dem Kunden, dass es:

3.1.1 Personenbezogene Daten des Kunden ausschließlich gemäß den dokumentierten Anweisungen des Kunden, einschließlich des MSA, zu verarbeiten. Sentient wird den Kunden unverzüglich informieren, wenn eine Anweisung nach seiner Auffassung gegen Datenschutzgesetze oder andere datenschutzrechtliche Bestimmungen verstößt;

3.1.2 alle personenbezogenen Daten des Kunden nur in dem Umfang zu verarbeiten, der für die Erbringung der Dienstleistungen erforderlich ist, und zwar stets in einer Weise, die allen datenschutzrechtlichen Vorschriften entspricht, es sei denn, das Gesetz schreibt etwas anderes vor; in diesem Fall wird Sentient den Kunden, soweit gesetzlich zulässig, vor der Verarbeitung über diese gesetzliche Anforderung informieren;

3.1.3 die personenbezogenen Daten des Kunden nicht für andere Zwecke als die in der MSA festgelegten geschäftlichen Zwecke zu verarbeiten oder anderweitig personenbezogene Daten außerhalb der direkten Geschäftsbeziehung zwischen Sentient und dem Kunden zu speichern, zu nutzen oder weiterzugeben;

3.1.4 unter Berücksichtigung der Art und des Umfangs der Verarbeitung technische und organisatorische Maßnahmen zu ergreifen und aufrechtzuerhalten, um ein Sicherheitsniveau zu gewährleisten, das dem mit der Verarbeitung der personenbezogenen Daten des Kunden verbundenen Risiko angemessen ist, insbesondere im Hinblick auf die versehentliche oder unrechtmäßige Vernichtung, den Verlust, die Veränderung, die unbefugte Offenlegung oder den unbefugten Zugriff auf die verarbeiteten personenbezogenen Daten des Kunden. 

3.1.5 keine Verarbeitung von personenbezogenen Daten des Kunden außerhalb des Europäischen Wirtschaftsraums und/oder des Vereinigten Königreichs ohne die vorherige schriftliche Zustimmung des Kunden zuzulassen, wobei in jedem Fall der Abschluss einer geeigneten Datenübertragungsvereinbarung in Übereinstimmung mit den Datenschutzgesetzen gemäß Ziffer 7 erforderlich ist, es sei denn, Sentient oder Unter-Auftragsverarbeiter zur Übermittlung der personenbezogenen Daten verpflichtet sind, um geltende Gesetze einzuhalten, und diese Gesetze eine Benachrichtigung des Kunden aus Gründen des öffentlichen Interesses verbieten;

3.1.6 im Rahmen angemessener Anforderungen des Kunden mit diesem zusammenzuarbeiten, um dem Kunden Folgendes zu ermöglichen: (i) der Ausübung von Rechten durch eine betroffene Person gemäß den Datenschutzgesetzen in Bezug auf die von Sentient im Rahmen dieser DPA verarbeiteten personenbezogenen Daten des Kunden nachzukommen, und wird geeignete technische und organisatorische Maßnahmen umsetzen und aufrechterhalten, um den Kunden bei der Beantwortung solcher Anfragen von betroffenen Personen zu unterstützen, und wird den Kunden unverzüglich nach Erhalt einer solchen Anfrage einer betroffenen Person benachrichtigen. Sentient wird auf keine Anfrage einer betroffenen Person reagieren, es sei denn, dies geschieht auf dokumentierte Anweisung des Kunden oder ist gesetzlich vorgeschrieben; in diesem Fall wird Sentient den Kunden, soweit gesetzlich zulässig, über diese gesetzliche Verpflichtung informieren, bevor Sentient auf die Anfrage reagiert;  

3.1.7 auf Anfrage des Kunden, wird Sentient dem Kunden angemessene Zusammenarbeit und Unterstützung gewähren, die zur Erfüllung der Verpflichtungen des Kunden gemäß den Datenschutzgesetzen erforderlich sind, einschließlich in Bezug auf Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden, soweit der Kunde anderweitig keinen Zugang zu den relevanten Informationen hat und soweit diese Informationen Sentient zur Verfügung stehen. Die Zusammenarbeit kann die Bereitstellung geeigneter technischer und organisatorischer Maßnahmen umfassen, soweit möglich über die Sentient-Dienste und/oder wie in der Benutzerdokumentation beschrieben. Die Kosten für eine solche angemessene Unterstützung trägt der Kunde;

3.1.8 ordnungsgemäße und aktuelle Aufzeichnungen über alle personenbezogenen Daten des Kunden zu führen, die von Sentient oder in dessen Auftrag gemäß dieser DPA verarbeitet werden;

3.1.9 sicherzustellen, dass jede zur Verarbeitung der personenbezogenen Daten des Kunden befugte Person: (i) sich zu angemessenen vertraglichen Geheimhaltungsverpflichtungen verpflichtet hat oder einer angemessenen gesetzlichen Geheimhaltungspflicht unterliegt; (ii) die personenbezogenen Daten ausschließlich im Auftrag und gemäß den Anweisungen des Kunden verarbeitet; und (c) im Hinblick auf die Verarbeitung personenbezogener Daten angemessen zuverlässig, qualifiziert und geschult ist;

3.1.10 eine namentlich benannte Person innerhalb von Sentient zu ernennen und dem Kunden zu benennen, die als Ansprechpartner für alle Anfragen des Kunden in Bezug auf die personenbezogenen Daten des Kunden fungiert, und bei allen derartigen Anfragen innerhalb einer angemessenen Frist in gutem Glauben mit dem Kunden zusammenzuarbeiten; und

3.1.11 nach Wahl des Kunden innerhalb von fünfundvierzig (45) Tagen nach einer schriftlichen Aufforderung an Sentient entweder: (i) die personenbezogenen Daten an den Kunden zurückgeben (indem der Kunde einen endgültigen Export über die Sentient-APIs abruft); oder (ii) alle personenbezogenen Daten des Kunden sowie alle Kopien, Aufzeichnungen, Analysen, Vermerke oder sonstigen Notizen, soweit diese personenbezogene Daten des Kunden enthalten oder betreffen, aus seinen Systemen und Aufzeichnungen zu löschen. Sentient hat eine Bestätigungsbescheinigung eines hochrangigen bevollmächtigten Vertreters von Sentient vorzulegen, aus der hervorgeht, dass dieser Absatz 3.1.11 gemäß den Verfahren von Sentient vollständig eingehalten wurde.

4. VERLETZUNG DES SCHUTZES PERSONENBEZOGENER DATEN

4.1 Unbeschadet der übrigen Bestimmungen dieser DPA hat Sentient den Kunden unverzüglich nach Bekanntwerden und in jedem Fall innerhalb von vierundzwanzig (24) Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten über diese Verletzung zu informieren, sofern die Verletzung des Schutzes personenbezogener Daten die personenbezogenen Daten des Kunden oder die dem Kunden angebotenen Dienste unmittelbar betrifft. 

4.2 Sentient wird ohne zusätzliche Kosten für den Kunden (mit der Maßgabe, dass der Kunde Sentient die angemessenen Kosten erstattet, sofern Sentient seinen Verpflichtungen aus dieser DPA vollständig nachgekommen ist und die Datenschutzverletzung nicht auf ein Verschulden oder eine Fahrlässigkeit von Sentient zurückzuführen ist) dem Kunden ausreichende Informationen und Unterstützung bereitstellen, um die Einhaltung seiner Verpflichtungen hinsichtlich der Meldung von Verletzungen des Schutzes personenbezogener Daten sowie der Benachrichtigung der betroffenen Personen über solche Verletzungen sicherzustellen, sofern die Verletzung voraussichtlich ein hohes Risiko für die Rechte dieser betroffenen Personen darstellt, und alle vom Kunden angeordneten angemessenen wirtschaftlichen Maßnahmen ergreifen, um bei der Untersuchung, Minderung und Behebung dieser Verletzung des Schutzes personenbezogener Daten zu ergreifen.

5. California Consumer Privacy Act („CCPA“)

5.1 Verarbeitet Sentient personenbezogene Daten im Geltungsbereich des CCPA („CCPA-personenbezogene Daten“), gelten diese zusätzlichen Bestimmungen für CCPA-personenbezogene Daten ausschließlich in Bezug auf CCPA-personenbezogene Daten:

5.1.1 Rollen der Parteien. Bei der Verarbeitung von CCPA-personenbezogenen Daten gemäß den Anweisungen des Kunden erkennen die Parteien an und vereinbaren, dass der Kunde ein „Unternehmen“ und Sentient ein „Dienstleister“ im Sinne des CCPA ist.

5.1.2 Verantwortlichkeiten. Die Parteien vereinbaren, dass Sentient CCPA-personenbezogene Daten als Dienstleister ausschließlich zum Zweck der Durchführung der Verarbeitungsaktivitäten („Geschäftszweck“) oder soweit anderweitig nach dem CCPA zulässig verarbeitet, einschließlich der in der Datenschutzerklärung von Sentient beschriebenen Fälle.

5.1.3 Sentient verarbeitet personenbezogene Daten im Auftrag des Kunden und wird diese Daten nicht für andere Zwecke als den Geschäftszweck aufbewahren, nutzen oder offenlegen, sofern in der MSA nichts anderes festgelegt ist oder dies gemäß dem CCPA zulässig ist;

5.1.4 In keinem Fall wird Sentient vom Kunden zur Verfügung gestellte personenbezogene Daten zu anderen Zwecken als dem Geschäftszweck verkaufen, speichern, nutzen oder weitergeben, sofern in der MSA nichts anderes festgelegt ist oder dies gemäß dem CCPA zulässig ist;
5.1.5 Sentient versichert, dass es alle seine vertraglichen Beschränkungen versteht und diese einhalten wird; und

5.1.6 Die Parteien sind sich darüber im Klaren, dass der CCPA weiterhin Änderungen und noch nicht erlassenen Vorschriften unterliegt, und erklären sich bereit, diese Änderungen und Vorschriften einzuhalten, sobald sie in Kraft treten, vorbehaltlich des Rechts von Sentient, den MSA zu kündigen, falls der CCPA wesentliche Auswirkungen auf die Verarbeitungsaktivitäten oder die Rechte und Pflichten von Sentient gemäß dem MSA hat. 

6. UNTERAUFTRAGNEHMER 

6.1 Der Kunde bestätigt seine vorherige allgemeine Zustimmung zur Weiterverarbeitung der personenbezogenen Daten des Kunden durch die derzeitigen Unterauftragsverarbeiter von Sentient, deren aktuelle Liste im Trust Center von Sentient (https://trust.scorebuddyqa.com/) geführt wird und die gemäß Ziffer 6.2 aktualisiert werden kann. Die Liste der Unterauftragsverarbeiter muss die Identitäten der Unterauftragsverarbeiter, deren Standortland sowie eine Beschreibung der von ihnen durchgeführten Verarbeitung enthalten.

6.2 Sentient wird jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsnehmers mindestens vierzehn (14) Kalendertage, bevor der Unterauftragsnehmer erstmals personenbezogene Daten des Kunden verarbeitet, im Trust Center bekannt geben (die „Bekanntgabefrist für Unterauftragsnehmer“). Im Trust Center steht ein E-Mail-Abonnement zur Verfügung, und der Verantwortliche ist dafür verantwortlich, das Änderungsprotokoll zu abonnieren oder anderweitig zu überwachen. Der Verantwortliche kann aus berechtigten datenschutzrechtlichen Gründen Widerspruch einlegen, indem er Sentient innerhalb der Bekanntmachungsfrist für Unterauftragsverarbeiter schriftlich benachrichtigt; geht kein Widerspruch ein, gilt der Unterauftragsverarbeiter als akzeptiert.

6.3 Sentient hat sicherzustellen, dass: (i) er eine Vereinbarung mit dem Unterauftragsverarbeiter abschließt und die Bedingungen, die die Zusammenarbeit zwischen Sentient und einem Unterauftragsverarbeiter regeln, hinsichtlich der Verarbeitung personenbezogener Kundendaten keinen geringeren Schutz bieten als die Bestimmungen dieser DPA und aller anderen relevanten Bestimmungen der MSA, soweit diese Anforderungen auf die Art der vom Unterauftragsverarbeiter erbrachten Dienstleistungen anwendbar sind; und (ii) Sentient weiterhin für die Einhaltung der Verpflichtungen durch den Unterauftragsverarbeiter sowie für alle Handlungen oder Unterlassungen dieses Unterauftragsverarbeiters verantwortlich und haftbar bleibt.

7. DATENÜBERMITTLUNGEN 

7.1 Überträgt Sentient personenbezogene Daten außerhalb des EWR oder des Vereinigten Königreichs in ein Drittland, das von der Europäischen Kommission (oder einer zuständigen Behörde) nicht als Land mit angemessenem Schutzniveau anerkannt ist, so unterliegen solche Übermittlungen den Standardvertragsklauseln.  Die Parteien vereinbaren, dass sie mit der Unterzeichnung dieser DPA auch die Standardvertragsklauseln unterzeichnen, die durch Verweis in diese DPA aufgenommen werden und einen integralen Bestandteil dieser DPA bilden und mit Inkrafttreten dieser DPA als ordnungsgemäß unterzeichnet und ausgefüllt gelten. Die Parteien vereinbaren, dass sie die Bestimmungen des in Anhang 1 genannten anwendbaren Moduls der Standardvertragsklauseln einhalten werden; hinsichtlich der Elemente der Standardvertragsklauseln, die Angaben der Parteien erfordern, enthalten die Anhänge 1 und 2 Informationen, die für die Anhänge der Standardvertragsklauseln relevant sind. Im Falle von Widersprüchen oder Unstimmigkeiten zwischen den Bestimmungen dieser DPA und den Standardvertragsklauseln haben die Bestimmungen der Standardvertragsklauseln Vorrang. 

7.2 Die Parteien vereinbaren, dass sie für personenbezogene Daten von betroffenen Personen im Vereinigten Königreich die in Anhang 2 aufgeführten Änderungen an den Standardvertragsklauseln übernehmen, um die Standardvertragsklauseln gegebenenfalls an das lokale Recht anzupassen. 

7.3 Ohne die Allgemeingültigkeit des Vorstehenden einzuschränken, wird Sentient (und veranlasst seine Unterauftragsverarbeiter, dies ebenfalls zu tun) zusätzliche Vereinbarungen abschließen oder zusätzliche Vertragsbedingungen einhalten, die sich auf die Verarbeitung – einschließlich der grenzüberschreitenden Datenübermittlung – personenbezogener Daten beziehen, wie vom Kunden schriftlich angeordnet und vom Kunden als zur Einhaltung der Datenschutzgesetze erforderlich erachtet.

8. PRÜFUNG

8.1 Vorbehaltlich der Klausel 8.2 und soweit dies nach den geltenden Datenschutzgesetzen erforderlich ist, hat der Kunde das Recht, die Systeme, Prozesse und Verfahren von Sentient zu prüfen, die für den Schutz der personenbezogenen Daten des Kunden relevant sind. 

8.2 Ein Audit gemäß dieser Ziffer 8 muss: (i) während der Vertragslaufzeit höchstens einmal pro Zwölfmonatszeitraum (12) durchgeführt werden (es sei denn, es muss mehr als einmal pro Jahr durchgeführt werden, um einer Aufforderung einer Behörde oder einer gesetzlichen oder aufsichtsrechtlichen Verpflichtung seitens des Verantwortlichen nachzukommen; (ii) während der Geschäftszeiten im Laufe eines Geschäftstages durchgeführt werden; (iii) einer schriftlichen Vorankündigung von mindestens dreißig (30) Tagen unterliegen; und (iv) sich ausschließlich auf die personenbezogenen Daten des Kunden beziehen. Sentient gewährt dem Kunden (oder Vertretern des Kunden, die keine Wettbewerber von Sentient sind) zum Zweck einer solchen Prüfung während der Geschäftszeiten das Recht auf Zugang zu den Räumlichkeiten und/oder Systemen von Sentient, und Sentient leistet die für die Durchführung solcher Prüfungen erforderliche Unterstützung.

8.3 Der Kunde trägt alle Sentient im Zusammenhang mit einer solchen Prüfung entstehenden Kosten, und eine solche Prüfung darf den normalen und effizienten Geschäftsbetrieb von Sentient nicht beeinträchtigen. Sentient kann als Voraussetzung für die Gewährung dieses Zugangs verlangen, dass der Kunde (und Vertreter des Kunden) angemessene Vertraulichkeitsverpflichtungen gegenüber Sentient eingehen. Die Parteien werden kooperativ zusammenarbeiten, um vor jeder Prüfung einen Prüfungsplan, den Umfang und den Zeitplan zu vereinbaren.

8.4 Wird der Umfang des Audits in einem ISO 27001/27701- oder ähnlichen Auditbericht behandelt, der von einem qualifizierten externen Auditor innerhalb der letzten zwölf (12) Monate erstellt wurde, und der Datenschutzbeauftragte oder ein anderer zuständiger Mitarbeiter von Sentient schriftlich bestätigt, dass keine wesentlichen Änderungen an den geprüften Kontrollmaßnahmen bekannt sind, erklärt sich der Kunde damit einverstanden, diese Berichte anzuerkennen, anstatt ein Audit der im Bericht behandelten Kontrollmaßnahmen zu verlangen. Sentient wird in angemessener Weise mit dem Kunden zusammenarbeiten und ihn unterstützen, wenn eine Aufsichtsbehörde ein Audit der Verarbeitung personenbezogener Daten des Kunden durch Sentient verlangt, um die Einhaltung der Datenschutzgesetze durch den Kunden festzustellen oder zu überwachen.

9. HAFTUNGSFREISTELLUNG

Die Parteien stellen sich gegenseitig („freigestellte Partei“) von sämtlichen Ansprüchen, Klagen, Forderungen und Verfahren Dritter sowie von daraus resultierenden Schäden, Schadenersatzurteilen, Verlusten, Kosten und Aufwendungen (einschließlich, aber nicht beschränkt auf behördliche Bußgelder sowie angemessene Rechts- und Beratungskosten), die einer Partei entstehen und die auf einen Verstoß einer der Parteien gegen die Bestimmungen dieser DPA und/oder die Datenschutzgesetze zurückzuführen sind. Die vertragsbrüchige Partei haftet anteilig für den Teil dieser Schäden, der unmittelbar auf die Verletzung ihrer Verpflichtungen zurückzuführen ist, und die Freistellung unterliegt den Haftungsbeschränkungen in der MSA.  Erhebt ein Dritter einen Anspruch gegen die entschädigungsberechtigte Partei oder kündigt er die Absicht an, einen Anspruch gegen die entschädigungsberechtigte Partei geltend zu machen, so hat die entschädigungsberechtigte Partei: (i) die entschädigende Partei so bald wie vernünftigerweise möglich schriftlich über den gegen die entschädigungsberechtigte Partei gerichteten Anspruch zu informieren; (ii) ohne vorherige schriftliche Zustimmung der entschädigenden Partei keinerlei Haftungszugeständnis in Bezug auf die Forderung gegen die entschädigte Partei machen; (iii) auf Verlangen und auf Kosten der entschädigenden Partei dieser gestatten, die Abwehr der Forderung gegen die entschädigte Partei, einschließlich eines Vergleichs, zu führen; und (iv) auf Kosten der entschädigenden Partei in angemessenem Umfang mit dieser bei der Abwehr der gegen die entschädigte Partei gerichteten Forderung zusammenzuarbeiten und sie dabei zu unterstützen.

10. ÄNDERUNGEN DER DATENSCHUTZGESETZE

Sentient kann Änderungen an dieser DPA vorschlagen, die Sentient nach vernünftigem Ermessen für notwendig erachtet, um den Anforderungen von Datenschutzgesetzen gerecht zu werden. Die Parteien werden die vorgeschlagenen Änderungen unverzüglich erörtern und in gutem Glauben verhandeln, um sich auf diese oder alternative Änderungen zu einigen und diese umzusetzen, die darauf abzielen, die festgestellten Anforderungen so bald wie vernünftigerweise möglich zu erfüllen. Der Kunde darf seine Zustimmung zu etwaigen sich daraus ergebenden Änderungen dieser DPA, die von Sentient zur Einhaltung der Datenschutzgesetze vorgeschlagen werden, nicht in unzumutbarer Weise verweigern oder verzögern.

11. LAUFZEIT UND KÜNDIGUNG

11.1 Diese DPA bleibt in vollem Umfang in Kraft und wirksam, solange:

11.1.1 der Rahmenvertrag (MSA) in Kraft bleibt; oder

11.1.2 der Auftragsverarbeiter personenbezogene Daten des Kunden im Zusammenhang mit dem MSA in seinem Besitz oder unter seiner Kontrolle behält („Laufzeit“).

11.2 Jede Bestimmung dieser DPA, die zum Schutz der personenbezogenen Daten des Kunden ausdrücklich oder stillschweigend bei oder nach Beendigung des MSA in Kraft treten oder fortbestehen soll, bleibt in vollem Umfang in Kraft und wirksam.

Anhang 1

Einzelheiten zur Verarbeitung von personenbezogenen Kundendaten

(a) Gegenstand und Dauer der Verarbeitung personenbezogener Kundendaten
Gegenstand sind personenbezogene Kundendaten, und die Dauer der Verarbeitung personenbezogener Kundendaten ist im MSA festgelegt. 

(b) Art und Zweck der Verarbeitung personenbezogener Kundendaten
Sentient verarbeitet personenbezogene Daten in dem Umfang, der zur Erbringung der Dienstleistungen gemäß dem MSA erforderlich ist, sowie gemäß den weiteren Anweisungen des Kunden im Rahmen der Nutzung der Dienstleistungen.  

(c)    Die Arten der zu verarbeitenden personenbezogenen Daten umfassen die personenbezogenen Daten v
-Kunden, die den folgenden Datenkategorien zuzuordnen sind. Die Arten der personenbezogenen Daten können sich von Zeit zu Zeit ändern, je nachdem, welche zusätzlichen oder geänderten Dienste von Sentient bereitgestellt werden.

Die in die Scorebuddy-Plattform eingegebenen Daten liegen im Ermessen des Nutzers, umfassen jedoch in der Regel Zugangsdaten zum Benutzerkonto, angehängte Dateien aus der Benutzerumgebung sowie grundlegende Benutzerinformationen zu den zu bewertenden Personen.

Allgemeine Benutzerdaten
• System-ID
• Mitarbeiter-ID
• Vorname
• Nachname
• E-Mail-Adresse des Unternehmens

(d) Die Kategorien von betroffenen Personen, auf die sich die personenbezogenen Daten des Kunden beziehen
Personenbezogene Daten des Kunden, die sich auf folgende Arten von betroffenen Personen beziehen: 
● Autorisierte Nutzer (gemäß Definition im MSA)
● Kunden des Kunden

(e) Die Pflichten und Rechte des Kunden 
Diese sind in der MSA und dieser DPA festgelegt. Sentient kann Änderungen an diesen Bestimmungen ankündigen, wenn aufgrund von Änderungen an den Dienstleistungen oder aufgrund geltender Datenschutzgesetze, einschließlich deren Auslegung, eine Aktualisierung erforderlich ist.

Anhang 2
Informationen zu internationalen Datenübermittlungen

Kategorien von betroffenen Personen, deren personenbezogene Daten übermittelt werden

Siehe Anhang 1.

Kategorien der übermittelten personenbezogenen Daten

Siehe Anhang 1.

Übermittelte sensible Daten (falls zutreffend) sowie angewandte Beschränkungen oder Schutzmaßnahmen, die der Art der Daten und den damit verbundenen Risiken in vollem Umfang Rechnung tragen, wie beispielsweise eine strenge Zweckbindung, Zugriffsbeschränkungen (einschließlich des Zugriffs nur für Mitarbeiter, die eine spezielle Schulung absolviert haben), die Protokollierung des Zugriffs auf die Daten, Beschränkungen für die Weitergabe oder zusätzliche Sicherheitsmaßnahmen.

Siehe Anhang 1.

Die Häufigkeit der Übermittlung (z. B. ob die Daten einmalig oder fortlaufend übermittelt werden)

Die Datenübermittlung erfolgt während der Laufzeit des MSA fortlaufend, sofern zwischen dem Kunden und Sentient an anderer Stelle nichts anderes ausdrücklich vereinbart wurde.

Art der Verarbeitung

Sentient verarbeitet personenbezogene Daten in dem Umfang, der zur Erbringung der Dienstleistungen gemäß dem MSA erforderlich ist, sowie gemäß den weiteren Anweisungen des Kunden und/oder seiner verbundenen Unternehmen im Rahmen der Nutzung der Dienstleistungen; dies umfasst die Speicherung, Organisation, Strukturierung, Offenlegung durch Übermittlung, Verbreitung oder Bereitstellung sowie andere Formen der Verarbeitung.

Zweck(e) der Datenübermittlung und der weiteren Verarbeitung

Der Zweck der Datenübermittlung und -verarbeitung durch Sentient besteht darin, die Dienstleistungen für den Kunden und gegebenenfalls dessen verbundene Unternehmen zu erbringen, wie im MSA und anderen Verträgen mit Sentient (sofern vorhanden) näher festgelegt.

Die Dauer der Speicherung der personenbezogenen Daten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer

Als Auftragsverarbeiter bewahrt Sentient personenbezogene Daten, die es erhebt oder vom Kunden erhält, für die Dauer des MSA und im Einklang mit seinen Verpflichtungen nach geltendem Recht auf. 

Bei Übermittlungen an (Unter-)Auftragsverarbeiter sind zudem Gegenstand, Art und Dauer der Verarbeitung anzugeben

Sentient setzt Unterauftragsverarbeiter ein und wird diese ausschließlich insoweit beauftragen, wie dies zur Erbringung der Dienste für den Kunden und gegebenenfalls dessen verbundene Unternehmen erforderlich ist; und die Unterauftragsverarbeiter führen jede Verarbeitung personenbezogener Daten nur insoweit durch, wie dies für diese Zwecke erforderlich ist und wie vom Kunden und/oder dessen verbundenen Unternehmen im Rahmen der Nutzung der Dienste weiter vorgegeben, einschließlich Hosting, Speicherung und anderer Formen der Verarbeitung. Eine solche Verarbeitung erfolgt höchstens für die Dauer des MSA, sofern nicht schriftlich etwas anderes vereinbart wurde.

Für die Zwecke der Standardvertragsklauseln:

● Klausel 9(a) (Modul 2 und 3, soweit zutreffend): Die Parteien wählen Option 2. Die Frist beträgt 30 Tage.

● Klausel 11(a): Die Parteien wählen die Option der unabhängigen Streitbeilegung nicht.

● Klausel 17: Die Parteien wählen Option 1. Die Parteien vereinbaren, dass der Gerichtsstand Irland ist.

● Klausel 18: Die Parteien vereinbaren, dass der Gerichtsstand in Irland liegt.

● Anhang I(A): Der Datenexporteur ist der Kunde (wie oben definiert) und der Datenimporteur ist Sentient (wie oben definiert).

● Anhang I(B): Die Parteien vereinbaren, dass Anhang 1 die Übermittlung beschreibt.

● Anhang I(C): Die zuständige Aufsichtsbehörde ist die irische Datenschutzkommission.

Zum Zweck der Lokalisierung der Standardvertragsklauseln:

● Vereinigtes Königreich

o Für die Zwecke der Übermittlung personenbezogener Daten aus dem Vereinigten Königreich vereinbaren die Parteien, die Bestimmungen von Teil 2 einzuhalten: Zwingende Klauseln des Nachtrags, d. h. die Vorlage „UK International Data Transfer Addendum B.1.0“, die vom britischen Information Commissioner herausgegeben und dem Parlament gemäß § 119A des Datenschutzgesetzes von 2018 am 28. Januar 2022 vorgelegt wurde, in der gemäß Abschnitt 18 dieser zwingenden Klauseln überarbeiteten Fassung. Die Parteien vereinbaren ferner, dass die in Teil 1 des Nachtrags enthaltenen Informationen den oben genannten Bestimmungen entsprechen. Die Parteien vereinbaren außerdem, dass der Exporteur und der Importeur den Nachtrag gemäß Abschnitt 19 des Nachtrags kündigen können.

o Die Parteien vereinbaren, dass die Standardvertragsklauseln in dem Umfang als geändert gelten, der erforderlich ist, damit sie für Übermittlungen aus dem Vereinigten Königreich in ein Drittland gelten und angemessene Garantien für Übermittlungen gemäß Artikel 46 der britischen Datenschutz-Grundverordnung („UK-DSGVO“) bieten. Zu diesen Änderungen gehören die Ersetzung von Verweisen auf die DSGVO durch Verweise auf die UK-DSGVO sowie die Ersetzung von Verweisen auf EU-Mitgliedstaaten durch Verweise auf das Vereinigte Königreich.

o Klausel 17: Die Parteien vereinbaren, dass der Gerichtsstand das Vereinigte Königreich ist.

o Klausel 18: Die Parteien vereinbaren, dass die zuständigen Gerichte die Gerichte von England und Wales sind. Die Parteien vereinbaren, dass betroffene Personen vor den Gerichten eines beliebigen Landes im Vereinigten Königreich Klage gegen jede der Parteien erheben können.