Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vereinbarten Dienstleistungen für den Verantwortlichen. In Bezug auf diese personenbezogenen Daten ist der Verantwortliche der Verantwortliche und Nashua der Auftragsverarbeiter. Jede Partei erfüllt ihre eigenen Verpflichtungen nach dem geltenden Datenschutzrecht. Die Einzelheiten der Verarbeitung, die Kategorien betroffener Personen und die Arten personenbezogener Daten sind in Anlage A festgelegt.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich der Vereinbarung und dieser AVV, sowie soweit dies zur Erbringung der Dienstleistungen erforderlich ist, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall unterrichtet er den Verantwortlichen zuvor, sofern das betreffende Recht dies nicht untersagt. Der Auftragsverarbeiter unterrichtet den Verantwortlichen, wenn eine Weisung nach seiner Auffassung gegen das Datenschutzrecht verstößt.

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen einer angemessenen Verschwiegenheitspflicht unterliegen und die Daten nur weisungsgemäß verarbeiten. Der Zugriff ist auf Personal beschränkt, das ihn zur Erbringung der Dienstleistungen benötigt.

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie es Artikel 32 GDPR verlangt. Diese Maßnahmen sind in Anlage B beschrieben und spiegeln ein Informationssicherheitsprogramm wider, das an ISO/IEC 27001 und den SOC 2 Trust Services Criteria ausgerichtet ist, und berücksichtigen die Verpflichtungen des Auftragsverarbeiters nach DORA und NIS2 in ihrer Umsetzung im niederländischen Recht. Der Auftragsverarbeiter kann die Maßnahmen aktualisieren, sofern das Schutzniveau dadurch nicht verringert wird.

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern für die Erbringung der Dienstleistungen, einschließlich der in Anlage C aufgeführten Hosting- und Infrastrukturanbieter. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieser AVV gleichwertig sind, und bleibt dem Verantwortlichen für die Leistung jedes Unterauftragsverarbeiters in vollem Umfang verantwortlich. Der Auftragsverarbeiter unterrichtet den Verantwortlichen über beabsichtigte Änderungen bei den Unterauftragsverarbeitern und gibt dem Verantwortlichen eine angemessene Gelegenheit, aus berechtigten Datenschutzgründen Einspruch zu erheben.

Der Auftragsverarbeiter übermittelt personenbezogene Daten nicht außerhalb des Europäischen Wirtschaftsraums, es sei denn, es liegt ein Angemessenheitsbeschluss oder es liegen geeignete Garantien nach Kapitel V GDPR vor, insbesondere die Standardvertragsklauseln der Europäischen Kommission zusammen mit etwaigen erforderlichen ergänzenden Maßnahmen. Standardmäßig werden die personenbezogenen Daten innerhalb der Niederlande und des EWR gehostet.

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit möglich, bei der Erfüllung seiner Pflicht, Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nachzukommen, und unterstützt den Verantwortlichen bei der Einhaltung seiner Verpflichtungen nach den Artikeln 32 bis 36 GDPR, einschließlich Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation, unter Berücksichtigung der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen bekannt geworden ist, und stellt die Informationen bereit, die der Verantwortliche billigerweise benötigt, um seinen eigenen Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen nachzukommen. Der Auftragsverarbeiter dokumentiert Verletzungen und die getroffenen Abhilfemaßnahmen.

Nach Beendigung der Dienstleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, es sei denn, das Recht der Union oder eines Mitgliedstaats verlangt die Speicherung. Auf Anfrage bestätigt der Auftragsverarbeiter schriftlich, dass er dies getan hat.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 GDPR erforderlich sind, und ermöglicht sowie unterstützt Audits, einschließlich Kontrollen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden. Der Auftragsverarbeiter kann Audit-Anfragen durch die Vorlage aktueller Zertifizierungen und Bescheinigungen erfüllen, etwa eines ISO/IEC 27001-Zertifikats oder eines SOC 2-Berichts; Audits werden nach angemessener Vorankündigung während der Geschäftszeiten unter Wahrung der Vertraulichkeit und ohne unangemessene Beeinträchtigung des Betriebs des Auftragsverarbeiters durchgeführt.

Die Haftung jeder Partei nach dieser AVV unterliegt den in der Hauptvereinbarung vereinbarten Haftungsbeschränkungen, soweit dies nach zwingendem Recht zulässig ist. Keine Bestimmung dieser AVV beschränkt die Rechte einer betroffenen Person nach der GDPR oder die Haftung einer Partei gegenüber einer Aufsichtsbehörde.

Diese AVV tritt zusammen mit der Vereinbarung in Kraft und bleibt so lange in Kraft, wie der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Sie unterliegt dem Recht der Niederlande, und Streitigkeiten unterliegen der in der Hauptvereinbarung vereinbarten Gerichtsbarkeit. Im Falle eines Widerspruchs zwischen dieser AVV und der Hauptvereinbarung in Datenschutzangelegenheiten hat diese AVV Vorrang.

Gegenstand und Dauer: die Erbringung der vereinbarten Dienstleistungen für die Laufzeit der Vereinbarung. Art und Zweck: Hosting, Speicherung, Verarbeitung, Analyse, Support und Betrieb der Nashua 360 Enterprise Platform sowie damit verbundener Dienstleistungen nach Weisung des Verantwortlichen. Kategorien betroffener Personen: wie vom Verantwortlichen festgelegt, wozu Beschäftigte, Kunden, Lieferanten und Kontakte des Verantwortlichen gehören können. Arten personenbezogener Daten: wie vom Verantwortlichen durch seine Nutzung der Dienstleistungen festgelegt, wozu Identitäts-, Kontakt-, Vertrags-, Finanz-, Beschäftigungs- und Transaktionsdaten gehören können. Der Verantwortliche weist die Verarbeitung besonderer Kategorien personenbezogener Daten nicht an, sofern dies nicht ausdrücklich vereinbart und durch geeignete zusätzliche Maßnahmen abgedeckt ist.

Der Auftragsverarbeiter unterhält dem Risiko angemessene Maßnahmen, darunter: ein Managementsystem für Informationssicherheit, das an ISO/IEC 27001 und den SOC 2 Trust Services Criteria ausgerichtet ist; rollenbasierte Zugriffskontrolle und das Prinzip der geringsten Rechte mit Multi-Faktor-Authentifizierung; Verschlüsselung personenbezogener Daten bei der Übertragung und im Ruhezustand; Netzwerksegmentierung und Perimeterkontrollen; zentralisiertes Logging, Monitoring und Alerting; sichere Softwareentwicklung, Code Review und Änderungsmanagement; Schwachstellenmanagement und Penetrationstests; Backup und getestete Notfallwiederherstellung im Einklang mit den vereinbarten Wiederherstellungszielen; Risikomanagement für Lieferanten und Unterauftragsverarbeiter; Geschäftskontinuität und operative Resilienz im Einklang mit DORA; Personalprüfung, Verschwiegenheitsverpflichtungen und Schulungen zum Sicherheitsbewusstsein; sowie einen dokumentierten Prozess für das Incident Management und die Meldung von Verletzungen. Die aktuellen, detaillierten Maßnahmen werden dem Verantwortlichen auf Anfrage zur Verfügung gestellt.

Der Auftragsverarbeiter beauftragt eine begrenzte Anzahl von Unterauftragsverarbeitern zur Erbringung der Dienstleistungen, hauptsächlich für Hosting und Infrastruktur innerhalb der Niederlande und des EWR sowie für Kommunikations- und Support-Tools. Eine aktuelle Liste der Unterauftragsverarbeiter mit ihrer Rolle und ihrem Standort wird dem Verantwortlichen auf Anfrage zur Verfügung gestellt, und der Auftragsverarbeiter unterrichtet den Verantwortlichen über beabsichtigte Hinzufügungen oder Ersetzungen gemäß Ziffer 5.