1. Überblick

1.1 Dieser Zusatz zur Datenverarbeitung (die „DPA“) legt die Bedingungen fest, die für die Verarbeitung personenbezogener Daten durch Celsia im Namen des Kunden im Rahmen der Vereinbarung gelten. Die Datenschutzvereinbarung hat Vorrang vor der Vereinbarung, einschließlich aller Anhänge und der darin enthaltenen Bedingungen für Angelegenheiten, die Celsia im Namen des Kunden verarbeitet.
1.2 Für die Zwecke dieser DPA wird der Kunde im Folgenden als „Verantwortlicher“ und Celsia als „Verarbeiter“ bezeichnet.
1.3 Dieses DPA enthält die als Anlage 1 beigefügte Datenverarbeitungsspezifikation.
1.4 Vorbehaltlich der nachstehenden Klausel 15 gilt diese Datenschutzvereinbarung ab dem oben genannten Datum.

2. Hintergrund und Zweck

2.1 Gemäß den Bedingungen der Vereinbarung führt der Auftragsverarbeiter bestimmte Aufgaben für den für die Verarbeitung Verantwortlichen aus, die die Verarbeitung personenbezogener Daten im Auftrag des für die Verarbeitung Verantwortlichen beinhalten.
2.2 Diese Datenschutzvereinbarung legt die Rechte und Pflichten der Vertragsparteien gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (die „DSGVO“) sowie der geltenden nationalen Datenschutzgesetze zur Umsetzung der DSGVO (zusammen das „Anwendbare Datenschutzgesetz“) fest.

3. Definitionen und Interpretation

3.1 Für die Zwecke dieser DPA haben „Verantwortlicher“, „Betroffene Person“, „Mitgliedstaat (en)“, „Auftragsverarbeiter“, „Verarbeitung“, „personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“, „Drittländer“ und „Aufsichtsbehörde“ die ihnen im geltenden Datenschutzrecht zugewiesenen Bedeutungen.
3.2 Andere großgeschriebene Begriffe und Ausdrücke, die in dieser DPA verwendet werden, haben die in der Vereinbarung festgelegte und hierin definierte Bedeutung, einschließlich der nachfolgenden Klausel 17.

4. Beschreibung und Zweck der Verarbeitung

4.1 Die Verarbeitung, die der Auftragsverarbeiter im Auftrag des für die Verarbeitung Verantwortlichen im Rahmen dieses DPA durchführt, einschließlich ihrer Art und ihres Zwecks, der relevanten Verarbeitungsvorgänge, der Kategorien personenbezogener Daten und der beteiligten betroffenen Personen, wird in der Datenverarbeitungsspezifikation näher beschrieben.
4.2 Der für die Verarbeitung Verantwortliche erklärt sich damit einverstanden, dass der Prozessor die auf der CaaS-Plattform verarbeiteten Daten aggregiert und anonymisiert, um Analysen durchzuführen und allgemeine Erkenntnisse zu gewinnen, um (i) die CaaS-Plattform und andere vom Prozessor bereitgestellte Dienste zu verbessern; (ii) den für die Verarbeitung Verantwortlichen und andere für die Verarbeitung Verantwortliche bei der Optimierung ihrer Serviceangebote zu unterstützen und (iii) neue Produkte und Dienstleistungen zu entwickeln.

5. Anforderungen an die Verarbeitung

5.1 Allgemeine Anforderungen

5.1.1 Der Verarbeiter verarbeitet die personenbezogenen Daten nur gemäß diesem DPA, der Vereinbarung, den Anweisungen des für die Verarbeitung Verantwortlichen und dem geltenden Datenschutzrecht und verarbeitet personenbezogene Daten nicht für andere Zwecke.
5.1.2 Die in Klausel 5.1.1 dargelegten Einschränkungen gelten nicht, wenn der Auftragsverarbeiter verpflichtet ist, die personenbezogenen Daten gemäß den Gesetzen der Mitgliedstaaten oder der EU oder des EWR zu verarbeiten. Im Falle einer solchen Verpflichtung benachrichtigt der Auftragsverarbeiter den für die Verarbeitung Verantwortlichen, sofern die Offenlegung dieser Informationen nicht nach den geltenden Gesetzen untersagt ist.
5.1.3 Wenn nach Ansicht des Auftragsverarbeiters eine Anweisung des für die Verarbeitung Verantwortlichen gegen geltendes Datenschutzrecht oder andere verbindliche nationale oder EU/EWR-Gesetze verstößt, muss der Auftragsverarbeiter den für die Verarbeitung Verantwortlichen darüber informieren.
5.1.4 Der Verarbeiter stellt sicher, dass Maßnahmen gemäß den Anforderungen des geltenden Datenschutzrechts getroffen werden, um die Vertraulichkeit (d. h. dass personenbezogene Daten nicht an Unbefugte oder Parteien weitergegeben werden), Integrität (d. h. dass die personenbezogenen Daten im Zusammenhang mit der Verarbeitung nicht unbeabsichtigt geändert werden) und Verfügbarkeit (d. h. dass die Personen, die Zugriff auf die personenbezogenen Daten haben, den erforderlichen Zugriff haben) in Bezug auf die Verarbeitung personenbezogener Daten sicherzustellen.
5.1.5 Sofern nichts anderes vereinbart ist, behandelt der Verarbeiter alle gemäß diesen DPA erhaltenen personenbezogenen Daten als vertrauliche Informationen.

5.2 Übermittlungen personenbezogener Daten in Drittländer

5.2.1 Der Auftragsverarbeiter darf die personenbezogenen Daten ohne die vorherige schriftliche Zustimmung des für die Verarbeitung Verantwortlichen nicht außerhalb des EWR verarbeiten oder verarbeiten lassen, sofern die erforderlichen Maßnahmen getroffen wurden, um ein angemessenes Schutzniveau für die personenbezogenen Daten gemäß dem geltenden Datenschutzrecht zu gewährleisten. Für den Fall, dass eine genehmigte Übertragung personenbezogener Daten außerhalb des EWR den Abschluss von Standardvertragsklauseln („SCC“) gemäß dem Durchführungsbeschluss 2021/914/EU der Kommission vom 4. Juni 2021 (oder einem Nachfolger davon) mit dem Drittland, das die personenbezogenen Daten erhält, erfordert, schließt der Auftragsverarbeiter diese SCCs mit dem Empfänger aus dem Drittland in seinem eigenen Namen ab.
5.2.2 Der für die Verarbeitung Verantwortliche ermächtigt den Auftragsverarbeiter hiermit, die personenbezogenen Daten außerhalb des EWR zu verarbeiten oder verarbeiten zu lassen, sofern der Auftragsverarbeiter den für die Verarbeitung Verantwortlichen angemessen schriftlich über die geplante Übertragung personenbezogener Daten in ein Drittland informiert, einschließlich aller vom für die Verarbeitung Verantwortlichen vernünftigerweise angeforderten Informationen darüber, wie ein im Wesentlichen gleichwertiges Schutzniveau für die personenbezogenen Daten gewährleistet wird, und aller zu diesem Zweck ergriffenen zusätzlichen Maßnahmen. Der für die Verarbeitung Verantwortliche ist berechtigt, der Übertragung zu widersprechen, wenn begründeter Grund zu der Annahme besteht, dass die fragliche Übertragung die hier festgelegten Datenschutzanforderungen beeinträchtigen würde. Widerspricht der für die Verarbeitung Verantwortliche der Übertragung, verhandeln die Parteien nach Treu und Glauben, um eine Lösung zu finden, die den Bedenken des für die Verarbeitung Verantwortlichen Rechnung trägt
5.2.3 Der Auftragsverarbeiter muss sicherstellen und nachweisen können, dass er (i) eine Risikobewertung im Zusammenhang mit der Übertragung personenbezogener Daten an seine Unterauftragsverarbeiter durchgeführt und (ii) bei Bedarf zusätzliche Maßnahmen durchgeführt hat.
5.2.4 Mit Abschluss der Vereinbarung stimmt der für die Verarbeitung Verantwortliche der Übertragung personenbezogener Daten zu, die in den diesen DPA beigefügten Datenverarbeitungsspezifikationen aufgeführt sind.

5.3 Personalanforderungen

5.3.1 Der Verarbeiter stellt sicher, dass die personenbezogenen Daten ausschließlich von zuverlässigem Personal verarbeitet werden, das:
a) Gewährung des Zugriffs auf die personenbezogenen Daten nach dem Grundsatz „Kenntnis nur, wenn nötig“;
b) vertraut mit den geltenden Datenschutzbestimmungen, die für die Verarbeitung personenbezogener Daten durch den Verarbeiter gelten;
c) geschult in der Pflege, dem Schutz und dem Umgang mit personenbezogenen Daten;
d) berechtigt, die personenbezogenen Daten nur zu verarbeiten, soweit dies für die in diesen DPA genannten Zwecke erforderlich ist; e) und vorbehaltlich angemessener Vertraulichkeitsverpflichtungen.

6. Sicherheit

6.1 Sicherheitsanforderungen für die Verarbeitung

6.1.1 Der Verarbeiter hat angemessene technische und organisatorische Sicherheitsmaßnahmen getroffen und unterhält diese, um die personenbezogenen Daten vor versehentlicher oder unrechtmäßiger Zerstörung, versehentlichem Verlust, Änderung, unbefugter Offenlegung oder unbefugtem Zugriff und anderen Sicherheitsverletzungen zu schützen.
6.1.2 Die in Abschnitt 6.1.1 beschriebenen Sicherheitsmaßnahmen werden unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, des Kontextes und der Zwecke der Verarbeitung sowie des Risikos unterschiedlicher Wahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen umgesetzt.
6.1.3 Die für die Verarbeitung geltenden Routinen und Maßnahmen werden in der Informationssicherheitsrichtlinie des Auftragsverarbeiters, die von Zeit zu Zeit aktualisiert wird, näher beschrieben, deren Zusammenfassung dem für die Verarbeitung Verantwortlichen auf Anfrage zur Verfügung steht.

6.2 Sicherheitsvorfälle und Benachrichtigung (Verletzung personenbezogener Daten)

6.2.1 Sobald der Auftragsverarbeiter Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, benachrichtigt er unverzüglich, nachdem er von dem Vorfall Kenntnis erlangt hat, den für die Verarbeitung Verantwortlichen und stellt alle Informationen und die Zusammenarbeit zur Verfügung, die der für die Verarbeitung Verantwortliche vernünftigerweise benötigt, damit der Verantwortliche seine Anforderungen an die Verletzung des Schutzes personenbezogener Daten gemäß dem geltenden Datenschutzrecht erfüllen kann. Darüber hinaus ergreift der Auftragsverarbeiter die Maßnahmen und Maßnahmen, die zur Behebung und Minderung der Auswirkungen der Verletzung des Schutzes personenbezogener Daten erforderlich sind.

7. Folgenabschätzung zum Datenschutz

7.1 Der Auftragsverarbeiter leistet auf Anfrage des für die Verarbeitung Verantwortlichen jede angemessene und zeitnahe Unterstützung, die der für die Verarbeitung Verantwortliche möglicherweise benötigt, um eine Datenschutzfolgenabschätzung (DPIA) gemäß Artikel 35 DSGVO durchzuführen, und konsultiert gegebenenfalls die zuständige Aufsichtsbehörde.

8. Zusammenarbeit mit dem für die Verarbeitung Verantwortlichen und der Aufsichtsbehörde

8.1 Der Auftragsverarbeiter leistet die vom für die Verarbeitung Verantwortliche die erforderliche Unterstützung, damit der für die Verarbeitung Verantwortliche seinen Verpflichtungen gemäß den Artikeln 32 bis 36 der DSGVO nachkommen kann und um es dem für die Verarbeitung Verantwortlichen zu ermöglichen, (i) Anfragen von betroffenen Personen zur Ausübung ihrer Rechte nach geltendem Datenschutzrecht (einschließlich der Rechte auf Zugang, Berichtigung, Widerspruch, Löschung und Datenübertragbarkeit, soweit zutreffend) zu beantworten; und (ii) andere Korrespondenz, Anfragen oder Beschwerden, die von einer betroffenen Person eingegangen sind, Aufsichtsbehörde oder andere in Verbindung stehende Dritte mit der Verarbeitung der personenbezogenen Daten.
8.2 Für den Fall, dass eine solche Anfrage, Korrespondenz, Anfrage oder Beschwerde direkt an den Verarbeiter gerichtet wird, informiert der Verarbeiter den für die Verarbeitung Verantwortlichen unverzüglich unter Angabe der erforderlichen Einzelheiten.

9. Prüfung und Überprüfung der Einhaltung der Vorschriften

9.1 Der Verarbeiter beantwortet Anfragen des für die Verarbeitung Verantwortlichen im Zusammenhang mit der Verarbeitung personenbezogener Daten, einschließlich der Bereitstellung aller Informationen, die zum Nachweis der Einhaltung dieser DPA und der Verpflichtungen des Auftragsverarbeiters gemäß dem geltenden Datenschutzrecht erforderlich sind.
9.2 Der Auftragsverarbeiter führt Unterlagen zur Rechenschaftspflicht in Bezug auf die im Rahmen des DPA verarbeiteten personenbezogenen Daten (wie sie nach geltendem Datenschutzrecht definiert, beschrieben oder vorgeschrieben sein können), einschließlich schriftlicher Aufzeichnungen über die Verarbeitung personenbezogener Daten, die im Auftrag des für die Verarbeitung Verantwortlichen durchgeführt wurde.
9.3 Sofern das geltende Datenschutzgesetz nichts anderes vorschreibt, ist der für die Verarbeitung Verantwortliche berechtigt, Prüfungen der Einhaltung dieser DPA und der geltenden Datenschutzgesetze durch den Auftragsverarbeiter durchzuführen.
9.4 Der für die Verarbeitung Verantwortliche trägt alle Kosten, die mit seiner eigenen Teilnahme und der Teilnahme des Auftragsverarbeiters an allen im Rahmen dieser DPA durchgeführten Audits oder Inspektionen verbunden sind, sowie die Kosten, die mit seinen eigenen Auditoren (falls vorhanden) verbunden sind. Solche Audits oder Inspektionen sind auf ein (1) pro Kalenderjahr der Laufzeit begrenzt und müssen dem Auftragsverarbeiter vier (4) Wochen schriftlich mitgeteilt werden, sofern eine Regierungsbehörde, der der Kunde unterliegt, nichts anderes vorschreibt.

10. Einsatz von Subprozessoren

10.1 Allgemeine Anforderungen für den Einsatz von Subprozessoren

10.1.1 Der Verarbeiter darf ohne vorherige schriftliche Genehmigung des für die Verarbeitung Verantwortlichen keine Unterauftragnehmer („Unterauftragsverarbeiter“) mit der Verarbeitung personenbezogener Daten beauftragen. Der Auftragsverarbeiter legt den von ihm benannten Unterauftragsverarbeitern gemäß dem vorstehenden Satz Datenschutzbedingungen auf, die den in diesen DPA festgelegten Datenschutzverpflichtungen entsprechen.
10.1.2 Der Auftragsverarbeiter bleibt für alle Handlungen und/oder Unterlassungen seiner Unterauftragsverarbeiter verantwortlich, als ob sie vom Auftragsverarbeiter selbst ausgeführt worden wären.
10.1.3 Die vom Prozessor beauftragten und vom für die Verarbeitung Verantwortlichen autorisierten Unterauftragsverarbeiter zum Datum des Inkrafttretens sind in der beigefügten Datenverarbeitungsspezifikation festgelegt.

10.2 Beauftragung oder Ersetzung von Unterauftragsverarbeitern

10.2.1 Für den Fall, dass der Prozessor einen der in der Datenverarbeitungsspezifikation genannten Unterauftragsverarbeiter ersetzt oder einen neuen Unterauftragsverarbeiter beauftragt, hat der für die Verarbeitung Verantwortliche Anspruch auf eine schriftliche Mitteilung von dreißig (30) Kalendertagen, in der der für die Verarbeitung Verantwortliche über die Absichten des Auftragsverarbeiters informiert wird.
10.2.2 Der für die Verarbeitung Verantwortliche ist berechtigt, der Ersetzung oder Hinzufügung von Unterauftragsverarbeitern durch den Prozessor zu widersprechen, wenn begründeter Grund zu der Annahme besteht, dass die Beauftragung des betreffenden Unterauftragsverarbeiters die hier dargelegten Datenschutzanforderungen beeinträchtigen würde. Wenn der für die Verarbeitung Verantwortliche Einwände gegen den Unterauftragsverarbeiter erhebt, verhandeln die Parteien nach Treu und Glauben, um eine Lösung zu finden, mit der die Bedenken des für die Verarbeitung Verantwortlichen berücksichtigt werden können. Wenn sich die Parteien nicht auf eine Lösung einigen, wird die Streitigkeit gemäß den in der Vereinbarung festgelegten Streitbeilegungsverfahren beigelegt.
10.2.3 Der Verarbeiter muss auf Anfrage des für die Verarbeitung Verantwortlichen jederzeit eine aktualisierte Liste aller Unterauftragsverarbeiter, die an der Verarbeitung personenbezogener Daten im Namen des für die Verarbeitung Verantwortlichen beteiligt sind, bereithalten.

11. Laufzeit und Kündigung

11.1 Diese DPA bleiben so lange in Kraft, wie der Verarbeiter personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen für die in diesen DPA beschriebenen Zwecke verarbeitet.

12. Aufbewahrung von Daten

12.1 Nach Beendigung der Vereinbarung und Ablauf dieser DPA gibt der Verarbeiter alle personenbezogenen Daten und alle Kopien davon, die der Verarbeiter im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet oder verarbeitet hat, an den für die Verarbeitung Verantwortlichen zurück und/oder vernichtet sie sicher.
12.2 Ungeachtet des Vorstehenden kann der Auftragsverarbeiter solche personenbezogenen Daten speichern, zu deren Aufbewahrung der Auftragsverarbeiter nach nationalem Recht oder EU-/EWR-Recht gesetzlich verpflichtet ist.

13. Hinweise

13.1 Für alle Mitteilungen zwischen den Parteien gelten die im Abkommen vereinbarten Verfahren.

14. Haftung und Entschädigung

14.1 Die in der Vereinbarung festgelegten Haftungs- und Schadensersatzbestimmungen gelten in Bezug auf die Verpflichtungen der Parteien aus diesen DPA.
14.2 Ansprüche von betroffenen Personen für materielle oder immaterielle Schäden, die aus einem Verstoß gegen die DSGVO resultieren, werden gemäß Artikel 82 DSGVO geregelt.

15. Änderungen an der DPA

15.1 Die in der DPA dargelegten Bestimmungen können Änderungen unterliegen, um Änderungen des geltenden Datenschutzrechts Rechnung zu tragen. Der Kunde wird schriftlich über solche Änderungen informiert. Die Änderungen werden mit der Verlängerung der jeweils aktuellen Laufzeit (der ersten Laufzeit oder einer Verlängerungslaufzeit, je nachdem) umgesetzt, es sei denn, das geltende Datenschutzgesetz schreibt vor, dass solche Änderungen früher in Kraft treten.
15.2 Ungeachtet des Vorstehenden kann die Datenverarbeitungsspezifikation von Zeit zu Zeit aktualisiert werden, um (a) vereinbarten Änderungen der Anweisungen des für die Verarbeitung Verantwortlichen Rechnung zu tragen oder um Änderungen an den Diensten des Auftragsverarbeiters Rechnung zu tragen; oder (b) um Änderungen an der gemäß den Klauseln 10.2 und 5 dieser DPA durchgeführten Verarbeitung widerzuspiegeln.

16. Rücksichtnahme

16.1 Der Auftragsverarbeiter hat gemäß den obigen Klauseln 7 (Datenschutz-Folgenabschätzung), 8 (Zusammenarbeit mit dem für die Verarbeitung Verantwortlichen und der Aufsichtsbehörde) und 9 (Prüfung und Überprüfung der Einhaltung der Vorschriften) Anspruch auf Zeit- und Sachkosten, vorausgesetzt, dass der Auftragsverarbeiter nicht berechtigt ist, die Kosten des Audits in Rechnung zu stellen, wenn bei einem Audit eine Nichteinhaltung dieser DPA festgestellt wird.

17. Beschreibung und Zweck der Verarbeitung

17.1 Zweck und Art der Verarbeitung

17.1.1 Der Hauptzweck der Verarbeitung besteht in der Bereitstellung der in der Vereinbarung festgelegten Dienste. Insbesondere führt der Auftragsverarbeiter die Verarbeitung durch, die erforderlich ist, damit der für die Verarbeitung Verantwortliche beurteilen kann, ob er den EU-Taxonomierahmen einhält.
Wenn der für die Verarbeitung Verantwortliche dem zugestimmt hat, führt der Auftragsverarbeiter darüber hinaus die Verarbeitung durch, die erforderlich ist, damit der für die Verarbeitung Verantwortliche auf das Celsia ESG-Portal zugreifen und es nutzen kann.

17.2 Verarbeitungsvorgänge

17.2.1 Die Verarbeitung der personenbezogenen Daten für die in Klausel 1.1 oben beschriebenen Zwecke umfasst die Verarbeitungsvorgänge, die zur Verfolgung der angegebenen Zwecke erforderlich sind, einschließlich unter anderem der folgenden grundlegenden Verarbeitungsvorgänge wie Dateneingabe und -erhebung, Speicherung und Strukturierung, Abfrage und Kombination sowie Übertragung und Löschung. Darüber hinaus ist die Verarbeitung der unten beschriebenen Kategorien personenbezogener Daten für Authentifizierungszwecke und die Personalisierung der Dienste erforderlich.
17.2.2 Einige Vorgänge können ganz oder teilweise automatisiert sein. Zusätzliche Verarbeitungsvorgänge können auch gemäß den Anweisungen des für die Verarbeitung Verantwortlichen durchgeführt werden oder erforderlich sein, um von Zeit zu Zeit Änderungen an den Diensten des Auftragsverarbeiters zu berücksichtigen.

17.3 Kategorien personenbezogener Daten

17.3.1 Die Verarbeitung umfasst unter anderem die folgenden Kategorien personenbezogener Daten: vollständiger Name, Anzeigename, E-Mail-Adresse, Telefonnummer (optional), Profilbild (optional), Anwendungseinstellungen (soweit diese personenbezogene Daten enthalten) und relevante Unternehmensmitgliedschaften (falls zutreffend).
17.3.2 Zusätzliche personenbezogene Daten können auch gemäß den Anweisungen des für die Verarbeitung Verantwortlichen oder zur Anpassung an Änderungen der Dienste des Auftragsverarbeiters von Zeit zu Zeit verarbeitet werden.

17.4 Besondere Kategorien personenbezogener Daten

17.4.1 An der Verarbeitung sind keine besonderen Kategorien personenbezogener Daten beteiligt.

17.5 Kategorien von Datensubjekten

17.5.1 Die verarbeiteten personenbezogenen Daten betreffen in erster Linie Mitarbeiter des Partners und Endnutzer.

18. Unterauftragsverarbeiter und Verarbeitungsstandorte

18.1 Die Unterauftragsverarbeiter, die die in der folgenden Tabelle aufgeführten Verarbeitungsstandorte nutzen, werden ab dem Datum des Inkrafttretens der Vereinbarung vom Auftragsverarbeiter beauftragt und gelten ab demselben Datum als vom für die Verarbeitung Verantwortlichen genehmigt.