Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („DPA“) ist Bestandteil der Nutzungsbedingungen und jeder anderen schriftlichen oder elektronischen Vereinbarung zwischen UTC Labs („wir“, „uns“) und dem im Konto identifizierten Kunden („Kunde“, „Sie“), auf deren Grundlage wir den Dienst bereitstellen (zusammen der „Vertrag“), und wird durch Verweis in diese aufgenommen.

Dieser DPA regelt die Verarbeitung personenbezogener Daten durch UTC Labs als Auftragsverarbeiter im Auftrag des Kunden als Verantwortlicher im Zusammenhang mit der Nutzung des Dienstes durch den Kunden. Er spiegelt die Vereinbarung der Parteien hinsichtlich der Verarbeitung personenbezogener Daten wider und findet Anwendung, soweit die EU-, britischen oder schweizerischen Datenschutzgesetze oder andere anwendbare Datenschutzgesetze für diese Verarbeitung gelten.

Dieser DPA tritt in Kraft, sobald Sie die Nutzungsbedingungen akzeptieren. Mit der Nutzung des Dienstes akzeptieren Sie diesen DPA in eigenem Namen und gegebenenfalls im Namen des Kundenunternehmens, das Sie vertreten. Eine Gegenzeichnung ist nicht erforderlich; Kunden, die eine gegengezeichnete Kopie benötigen, können diese unter contact@utclabs.com anfordern.

Im Falle von Widersprüchen zwischen diesem DPA und dem Vertrag hinsichtlich der Verarbeitung personenbezogener Daten hat dieser DPA Vorrang. Die Anhänge bilden einen integralen Bestandteil dieses DPA.

1. Definitionen

Großgeschriebene Begriffe, die in diesem DPA nicht definiert sind, haben die ihnen im Vertrag zugewiesene Bedeutung. Für die Zwecke dieses DPA gilt:

• „Personenbezogene Daten des Kunden“ bezeichnet personenbezogene Daten, die UTC Labs im Auftrag des Kunden im Rahmen der Bereitstellung des Dienstes verarbeitet, wie in Anhang 1 näher beschrieben.
• „Datenschutzgesetze“ bezeichnet alle Gesetze und Vorschriften, die auf die Verarbeitung personenbezogener Daten im Rahmen des Vertrags anwendbar sind, einschließlich (i) der Verordnung (EU) 2016/679 („DSGVO“), (ii) des UK Data Protection Act 2018 und der UK GDPR („UK GDPR“), (iii) des Schweizer Bundesgesetzes über den Datenschutz („FADP“), (iv) des California Consumer Privacy Act in der durch den CPRA geänderten Fassung („CCPA“) sowie (v) aller sonstigen anwendbaren gleichwertigen oder Nachfolgegesetze.
• Die Begriffe „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“, „Verarbeitung“ und „besondere Kategorien personenbezogener Daten“ haben die ihnen in der DSGVO zugewiesene Bedeutung.
• „Unterauftragsverarbeiter“ bezeichnet jeden von UTC Labs beauftragten Dritten, der im Auftrag von UTC Labs personenbezogene Daten des Kunden im Zusammenhang mit dem Dienst verarbeitet.
• „Sicherheitsverletzung“ bezeichnet eine Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten des Kunden führt, die von UTC Labs oder seinen Unterauftragsverarbeitern verarbeitet werden. Eine Sicherheitsverletzung umfasst keine erfolglosen Versuche oder Aktivitäten, die die Sicherheit personenbezogener Daten des Kunden nicht beeinträchtigen, wie etwa erfolglose Anmeldeversuche, Pings, Portscans, Denial-of-Service-Angriffe oder andere Netzwerkangriffe auf Firewalls oder vernetzte Systeme.
• „Standardvertragsklauseln“ oder „SCC“ bezeichnet die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß DSGVO, wie sie im Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 festgelegt sind.
• „UK Addendum“ bezeichnet das vom britischen Information Commissioner herausgegebene International Data Transfer Addendum zu den EU-Standardvertragsklauseln der Kommission, Version B1.0, in Kraft seit dem 21. März 2022.
• „Endnutzer“ hat die in den Nutzungsbedingungen festgelegte Bedeutung: ein Nutzer der Anwendung des Kunden oder jede Person, in deren Namen ein Kalenderkonto über die Anwendung des Kunden mit dem Dienst verbunden wird.

2. Anwendungsbereich und Rollen der Parteien

Der Kunde ist Verantwortlicher und UTC Labs ist Auftragsverarbeiter für die personenbezogenen Daten, die der Kunde an den Dienst übermittelt oder über diesen generiert, einschließlich personenbezogener Daten der Endnutzer des Kunden, deren Kalenderkonten über die Anwendungen des Kunden mit dem Dienst verbunden sind („Personenbezogene Daten des Kunden“). Soweit der Kunde selbst Auftragsverarbeiter ist und im Auftrag eines dritten Verantwortlichen handelt, handelt UTC Labs als Unterauftragsverarbeiter, und der Kunde sichert zu, dass er von dem zugrunde liegenden Verantwortlichen die Befugnis besitzt, diesen DPA abzuschließen.

UTC Labs verarbeitet personenbezogene Daten des Kunden ausschließlich auf der Grundlage dokumentierter Weisungen des Kunden, einschließlich in Bezug auf internationale Datenübermittlungen, sofern dies nicht durch geltendes Recht vorgeschrieben ist. Der Vertrag (einschließlich dieses DPA, der Dokumentation des Dienstes, der Konfiguration des Dienstes und seiner Anwendungen durch den Kunden sowie der von den Anwendungen des Kunden ausgegebenen API-Anfragen) stellt die vollständigen und endgültigen dokumentierten Weisungen des Kunden an UTC Labs für die Verarbeitung der personenbezogenen Daten des Kunden dar. Zusätzliche oder abweichende Weisungen bedürfen einer schriftlichen Vereinbarung.

UTC Labs wird den Kunden informieren, wenn nach Ansicht von UTC Labs eine Weisung gegen anwendbare Datenschutzgesetze verstößt, ohne verpflichtet zu sein, die Einhaltung dieser Gesetze durch den Kunden zu überwachen.

Dieser DPA gilt ausschließlich für die Verarbeitung personenbezogener Daten des Kunden durch UTC Labs im Auftrag des Kunden als Auftragsverarbeiter. UTC Labs verarbeitet darüber hinaus personenbezogene Daten als unabhängiger Verantwortlicher, einschließlich der Konto-, Abrechnungs- und Kontaktinformationen des Kunden; Metadaten zur Authentifizierung, Sicherheit und Betrugsprävention, die zum Betrieb und zur Sicherung des Dienstes verwendet werden; Produktanalysen, die UTC Labs zum Betrieb und zur Verbesserung des Dienstes verwendet; sowie der eigenen Marketingkommunikation von UTC Labs, die mit gesonderter Einwilligung des Empfängers versendet wird. Diese gesonderte Verarbeitung ist in unserer Datenschutzerklärung beschrieben und wird durch diese geregelt, nicht durch diesen DPA.

UTC Labs wird personenbezogene Daten des Kunden nicht zum Training oder zur Feinabstimmung von Modellen für künstliche Intelligenz oder maschinelles Lernen verwenden, ohne die ausdrückliche vorherige Genehmigung des Kunden.

3. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der personenbezogenen Daten des Kunden und die Art und Weise, wie er sie erlangt hat, verantwortlich. Der Kunde sichert zu, dass er über alle erforderlichen Rechte, Rechtsgrundlagen, Einwilligungen und Berechtigungen verfügt, um personenbezogene Daten des Kunden zu verarbeiten und UTC Labs anzuweisen, personenbezogene Daten des Kunden in seinem Auftrag zu verarbeiten, wie im Vertrag und in diesem DPA beschrieben, auch im Zusammenhang mit den Kalender-Anmeldedaten und Kalenderdaten von Endnutzern, deren Konten über die Anwendungen des Kunden verbunden sind.

Der Kunde ist dafür verantwortlich, allen betroffenen Personen (einschließlich Endnutzern) alle erforderlichen Hinweise zu geben und alle erforderlichen Einwilligungen einzuholen in Bezug auf die Verarbeitung ihrer personenbezogenen Daten durch den Kunden über den Dienst.

Der Kunde wird keine besonderen Kategorien personenbezogener Daten oder Daten, die besonderen Rechtsregimen unterliegen, für die der Dienst nicht ausgelegt ist, übermitteln und angemessene Anstrengungen unternehmen, um zu verhindern, dass seine Endnutzer solche Daten übermitteln, wie in den Nutzungsbedingungen beschrieben (einschließlich, aber nicht beschränkt auf Daten, die HIPAA oder GLBA unterliegen). UTC Labs haftet nicht für die Verarbeitung solcher Daten, die unter Verstoß gegen diese Beschränkung an den Dienst übermittelt werden.

Der Kunde nimmt zur Kenntnis, dass der Dienst von Drittanbietern für Kalender abhängt und dass die Autorisierung dieser Anbieter durch die Endnutzer, die von ihnen bereitgestellten Daten und deren fortgesetzte Verfügbarkeit außerhalb des Einflussbereichs von UTC Labs liegen.

4. Unterauftragsverarbeiter

Der Kunde erteilt UTC Labs eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten des Kunden im Zusammenhang mit der Bereitstellung des Dienstes zu beauftragen.

UTC Labs führt auf der Unterauftragsverarbeiter-Seite eine aktuelle Liste seiner Unterauftragsverarbeiter, einschließlich Name, Rolle und Hauptstandort jedes Unterauftragsverarbeiters. Der Kunde kann diese Liste jederzeit einsehen. Unterauftragsverarbeiter-Seite ansehen.

UTC Labs wird den Kunden vorab über die Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters informieren, indem die Unterauftragsverarbeiter-Seite mindestens 30 Tage vor Wirksamwerden der Änderung aktualisiert wird.

Der Kunde kann der Beauftragung eines neuen Unterauftragsverarbeiters durch UTC Labs aus berechtigten datenschutzrechtlichen Gründen widersprechen, indem er UTC Labs innerhalb von 14 Tagen nach der Mitteilung schriftlich unter contact@utclabs.com benachrichtigt. Im Falle eines Widerspruchs werden die Parteien nach Treu und Glauben zusammenarbeiten, um den Einwand auszuräumen. Kann innerhalb einer angemessenen Frist keine Lösung erzielt werden, kann der Kunde als sein einziges Rechtsmittel das betroffene Abonnement kündigen und eine anteilige Erstattung etwaiger im Voraus für den Zeitraum nach der Kündigung gezahlter Abonnementgebühren erhalten.

UTC Labs wird mit jedem Unterauftragsverarbeiter eine schriftliche Vereinbarung abschließen, die Datenschutzpflichten auferlegt, die für die personenbezogenen Daten des Kunden nicht weniger schützend sind als die UTC Labs nach diesem DPA auferlegten Pflichten. UTC Labs bleibt dem Kunden gegenüber für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters aus einer solchen Vereinbarung in dem im Vertrag vorgesehenen Umfang haftbar.

5. Internationale Datenübermittlungen

Die primäre Verarbeitungsinfrastruktur von UTC Labs für personenbezogene Daten des Kunden befindet sich in den Vereinigten Staaten. UTC Labs kann personenbezogene Daten des Kunden auch an jedem anderen Ort der Welt verarbeiten, an dem UTC Labs oder seine Unterauftragsverarbeiter Tätigkeiten ausüben.

Soweit UTC Labs personenbezogene Daten des Kunden, die der DSGVO unterliegen, in einem Land verarbeitet, das nicht Gegenstand eines Angemessenheitsbeschlusses der Europäischen Kommission ist, nehmen die Parteien die Standardvertragsklauseln (Modul Zwei: Verantwortlicher an Auftragsverarbeiter) durch Verweis in diesen DPA auf, wobei die Angaben zu den Parteien, die Beschreibung der Übermittlung sowie die technischen und organisatorischen Maßnahmen wie in Anhang 3 dargelegt vervollständigt werden, mit folgenden Auswahlen: (i) die optionale Beitrittsklausel (Klausel 7) findet Anwendung; (ii) für Änderungen von Unterauftragsverarbeitern gilt Option 2 (allgemeine schriftliche Genehmigung) mit der in Abschnitt 4 festgelegten Mitteilungsfrist; (iii) Klausel 17 (anwendbares Recht) unterliegt dem Recht Irlands; (iv) Gerichtsstand und Zuständigkeit nach Klausel 18 sind die Gerichte Irlands; und (v) Anhang I.C benennt die Irish Data Protection Commission als zuständige Aufsichtsbehörde.

Soweit personenbezogene Daten des Kunden der UK GDPR unterliegen, nehmen die Parteien das UK Addendum in diesen DPA auf, wobei die vorstehenden SCC als die im UK Addendum referenzierten „Approved EU SCCs“ gelten und die Tabellen 1 bis 3 durch Verweis auf Anhang 3 vervollständigt werden. Jede Partei kann das UK Addendum gemäß Abschnitt 19 des UK Addendums beenden.

Soweit personenbezogene Daten des Kunden dem FADP unterliegen, gelten die SCC mit folgenden Änderungen: (a) Verweise auf die DSGVO sind als Verweise auf das FADP zu lesen, soweit das FADP Anwendung findet; (b) der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist die zuständige Aufsichtsbehörde für Übermittlungen, die ausschließlich dem FADP unterliegen; und (c) der Begriff „Mitgliedstaat“ ist so auszulegen, dass er betroffene Personen in der Schweiz nicht von der Wahrnehmung ihrer Rechte an ihrem gewöhnlichen Aufenthaltsort ausschließt.

Sollte eine zuständige Aufsichtsbehörde oder ein Gericht die SCC, das UK Addendum oder einen anderen unter diesem DPA herangezogenen Übermittlungsmechanismus für ungültig erklären oder einschränken, werden UTC Labs und der Kunde nach Treu und Glauben zusammenarbeiten, um einen Ersatzmechanismus zu wählen, der den anwendbaren Datenschutzgesetzen entspricht.

6. Sicherheit

UTC Labs wird geeignete technische und organisatorische Maßnahmen einrichten und aufrechterhalten, die darauf ausgelegt sind, personenbezogene Daten des Kunden vor versehentlicher oder unrechtmäßiger Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang zu schützen, unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie des Risikos für die betroffenen Personen. Eine aktuelle Zusammenfassung dieser Maßnahmen ist in Anhang 2 dargelegt.

UTC Labs stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten des Kunden befugt sind, angemessenen Vertraulichkeitsverpflichtungen unterliegen und Schulungen zu ihren datenschutzrechtlichen Verantwortlichkeiten erhalten haben, und beschränkt den Zugriff auf personenbezogene Daten des Kunden auf Personen, die diesen Zugriff zur Ausübung ihrer Rolle benötigen.

UTC Labs kann seine technischen und organisatorischen Maßnahmen von Zeit zu Zeit aktualisieren, sofern die aktualisierten Maßnahmen das Schutzniveau personenbezogener Daten des Kunden nicht wesentlich verringern.

7. Mitteilung von Sicherheitsverletzungen

UTC Labs wird den Kunden ohne unangemessene Verzögerung und, soweit möglich, spätestens innerhalb von zweiundsiebzig (72) Stunden benachrichtigen, nachdem UTC Labs Kenntnis von einer Sicherheitsverletzung erhalten hat, die personenbezogene Daten des Kunden betrifft.

Jede Mitteilung enthält, soweit UTC Labs zu diesem Zeitpunkt bekannt: (a) eine Beschreibung der Art der Sicherheitsverletzung, einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze; (b) die wahrscheinlichen Folgen der Sicherheitsverletzung; (c) die Maßnahmen, die zur Behebung der Sicherheitsverletzung und zur Minderung ihrer möglichen negativen Auswirkungen ergriffen oder vorgeschlagen wurden; und (d) eine Kontaktstelle bei UTC Labs, bei der weitere Informationen eingeholt werden können. Soweit Informationen nicht gleichzeitig bereitgestellt werden können, wird UTC Labs sie ohne weitere unangemessene Verzögerung schrittweise zur Verfügung stellen.

UTC Labs wird dem Kunden angemessene Unterstützung leisten, damit der Kunde seinen eigenen Meldepflichten nach anwendbaren Datenschutzgesetzen nachkommen kann (einschließlich Meldungen an Aufsichtsbehörden und an betroffene Personen).

Die Benachrichtigung über oder Reaktion auf eine Sicherheitsverletzung durch UTC Labs nach diesem Abschnitt stellt kein Anerkenntnis eines Verschuldens oder einer Haftung von UTC Labs in Bezug auf die Sicherheitsverletzung dar.

8. Anfragen betroffener Personen und Zusammenarbeit

Unter Berücksichtigung der Art der Verarbeitung wird UTC Labs dem Kunden durch geeignete technische und organisatorische Maßnahmen und soweit möglich angemessene Unterstützung leisten, damit der Kunde seiner Verpflichtung nachkommen kann, auf Anfragen betroffener Personen zur Ausübung ihrer Rechte nach anwendbaren Datenschutzgesetzen (einschließlich der Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch) zu reagieren.

Wendet sich eine betroffene Person mit einer Anfrage in Bezug auf personenbezogene Daten des Kunden direkt an UTC Labs, wird UTC Labs die betroffene Person ohne unangemessene Verzögerung darüber informieren, dass die Anfrage an den Kunden zu richten ist, oder, sofern die Identifikationsdaten der betroffenen Person dies UTC Labs ermöglichen, die Anfrage an den Kunden weiterleiten. UTC Labs wird auf eine solche Anfrage nicht im Namen des Kunden antworten, es sei denn auf der Grundlage dokumentierter Weisungen des Kunden.

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen wird UTC Labs dem Kunden angemessene Unterstützung bei den Pflichten nach Artikel 32 bis 36 der DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation der Aufsichtsbehörden) leisten, wobei der Kunde alle UTC Labs entstehenden tatsächlichen Kosten zu tragen hat, die über das hinausgehen, was im Dienst angemessenerweise enthalten ist.

9. Aufzeichnungen und Audits

UTC Labs wird Aufzeichnungen über die im Auftrag des Kunden durchgeführten Verarbeitungstätigkeiten gemäß Artikel 30(2) der DSGVO führen.

UTC Labs wird dem Kunden alle Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung dieses DPA und der Pflichten eines Auftragsverarbeiters nach Artikel 28 der DSGVO vernünftigerweise erforderlich sind. In erster Instanz wird das Auditrecht des Kunden dadurch erfüllt, dass UTC Labs Folgendes bereitstellt: (a) diesen DPA und die Beschreibung der technischen und organisatorischen Maßnahmen, wie sie in Anhang 2 dargelegt sind; (b) Kopien der dann aktuellen Zertifizierungen, Bescheinigungen, Penetrationstest-Zusammenfassungen oder Auditberichte Dritter von UTC Labs, soweit verfügbar; und (c) angemessene schriftliche Antworten auf einen Standard-Sicherheitsfragebogen, der die in Anhang 2 dargelegten Punkte abdeckt, in jedem Fall vorbehaltlich angemessener Vertraulichkeitspflichten.

Reichen die im vorstehenden Absatz bereitgestellten Informationen nach der angemessenen Einschätzung des Kunden nicht aus, um die Einhaltung einer bestimmten Pflicht nach diesem DPA nachzuweisen, kann der Kunde eine schriftliche Anfrage an contact@utclabs.com richten, in der der zu klärende Sachverhalt und die zusätzlich erforderlichen Informationen angegeben werden. UTC Labs wird innerhalb einer angemessenen Frist und in jedem Fall innerhalb von dreißig (30) Tagen nach Erhalt schriftlich antworten und weitere Informationen, Klarstellungen oder Nachweise, die ihm vernünftigerweise zur Verfügung stehen, bereitstellen, vorbehaltlich angemessener Vertraulichkeitspflichten sowie etwaiger Einschränkungen, die sich aus den Verpflichtungen von UTC Labs gegenüber Dritten, dem Schutz von Daten anderer Kunden oder dem Schutz der Geschäftsgeheimnisse von UTC Labs ergeben.

Sollte der Kunde nach Abschluss der in den vorstehenden Absätzen genannten Schritte vernünftigerweise der Ansicht sein, dass die bereitgestellten Informationen weiterhin nicht ausreichen, um die Einhaltung einer bestimmten Pflicht nach diesem DPA nachzuweisen, kann der Kunde auf eigene Kosten ein auf diesen konkreten Sachverhalt beschränktes Audit der datenschutzrechtlichen Compliance von UTC Labs durchführen, höchstens einmal innerhalb eines Zeitraums von zwölf Monaten (außer wenn dies von einer Aufsichtsbehörde gefordert wird oder nach einer Sicherheitsverletzung), vorbehaltlich folgender Bedingungen: (a) eine schriftliche Vorankündigung von mindestens sechzig (60) Tagen; (b) Abschluss einer für UTC Labs vernünftigerweise akzeptablen Vertraulichkeitsvereinbarung; (c) das Audit wird während der regulären Geschäftszeiten in einer Weise durchgeführt, die den Betrieb von UTC Labs nicht beeinträchtigt, und erstreckt sich nicht auf Daten anderer Kunden, Geschäftsgeheimnisse oder Systeme, deren Zugang einen Verstoß gegen die Verpflichtungen von UTC Labs gegenüber Dritten darstellen würde; und (d) der Prüfer ist ein anerkannter unabhängiger Dritter, der kein Wettbewerber von UTC Labs ist und die oben genannte Vertraulichkeitsvereinbarung abgeschlossen hat. Die Parteien werden die Auditergebnisse austauschen und etwaige Feststellungen nach Treu und Glauben erörtern.

10. Rückgabe und Löschung personenbezogener Daten des Kunden

Der Kunde kann personenbezogene Daten des Kunden während der Laufzeit des Vertrags jederzeit über die Funktionalität des Dienstes entfernen: getrennte Endnutzer-Kalenderverbindungen werden nicht mehr verwendet und werden endgültig gelöscht, wenn die betreffende Anwendung oder Organisation gelöscht wird, und der Kunde kann Anwendungen und Organisationen jederzeit löschen. Für Anfragen zum Datenexport kann der Kunde UTC Labs unter contact@utclabs.com kontaktieren.

Nach Beendigung oder Ablauf des Vertrags wird UTC Labs nach Wahl des Kunden alle personenbezogenen Daten des Kunden löschen oder an den Kunden zurückgeben und alle vorhandenen Kopien löschen, soweit nicht das geltende Recht UTC Labs zur Aufbewahrung der personenbezogenen Daten verpflichtet oder die personenbezogenen Daten in routinemäßigen verschlüsselten Backups aufbewahrt werden, die im normalen Verlauf der Backup-Aufbewahrungspraktiken von UTC Labs rotiert und gelöscht werden.

Wenn der Vertrag beendet wird, einschließlich wenn der Kunde sein Konto über den Dienst löscht, löscht UTC Labs personenbezogene Daten des Kunden unverzüglich aus den aktiven Produktionssystemen. Backup-Kopien werden gelöscht, sobald diese Backups im normalen Verlauf der Backup-Aufbewahrungspraktiken von UTC Labs rotiert werden (in der Regel innerhalb von sieben (7) Tagen). Finanzbuchhaltungsunterlagen werden vom Merchant of Record von UTC Labs gemäß dessen eigenen gesetzlichen Aufbewahrungsfristen geführt und nicht von UTC Labs aufbewahrt.

11. Haftung

Die Haftung jeder Partei, die sich aus diesem DPA ergibt oder mit diesem zusammenhängt, sei es aus Vertrag, unerlaubter Handlung oder einer anderen Haftungsgrundlage, unterliegt den im Vertrag festgelegten Haftungsbeschränkungen, und jede Bezugnahme im Vertrag auf die Haftung einer Partei bezeichnet die Gesamthaftung dieser Partei aus dem Vertrag und diesem DPA zusammen. Nichts in diesem DPA beschränkt oder schließt eine Haftung aus, die nach geltendem Recht nicht beschränkt oder ausgeschlossen werden kann, einschließlich der Haftung nach Artikel 82 der DSGVO.

Der Kunde wird in Bezug auf denselben Schaden keine doppelten Ansprüche sowohl aus dem Vertrag als auch aus diesem DPA geltend machen.

12. California Consumer Privacy Act

Soweit UTC Labs personenbezogene Daten von Einwohnern Kaliforniens im Auftrag des Kunden verarbeitet, handelt UTC Labs als „service provider“ des Kunden im Sinne des CCPA. UTC Labs wird: (a) solche personenbezogenen Daten nur für die in diesem DPA und im Vertrag dargelegten begrenzten und bestimmten Geschäftszwecke verarbeiten; (b) solche personenbezogenen Daten nicht „verkaufen“ oder „teilen“ (im Sinne der Definitionen dieser Begriffe im CCPA); (c) solche personenbezogenen Daten nicht außerhalb der direkten Geschäftsbeziehung zwischen Kunde und UTC Labs oder für einen kommerziellen Zweck außer den in diesem DPA dargelegten Geschäftszwecken aufbewahren, nutzen oder offenlegen, es sei denn, dies ist nach dem CCPA zulässig; und (d) solche personenbezogenen Daten nicht mit personenbezogenen Daten kombinieren, die von einer anderen Person erhalten wurden, es sei denn, dies ist nach dem CCPA zulässig.

UTC Labs bestätigt, dass es die in diesem Abschnitt dargelegten Beschränkungen versteht und einhalten wird.

13. Allgemeines

Dieser DPA tritt an dem Tag in Kraft, an dem der Kunde den Vertrag akzeptiert, und bleibt so lange in Kraft, wie UTC Labs personenbezogene Daten des Kunden verarbeitet, einschließlich nach Beendigung des Vertrags, soweit eine fortgesetzte Verarbeitung zur Umsetzung von Abschnitt 10 (Rückgabe und Löschung) erforderlich ist.

UTC Labs kann diesen DPA von Zeit zu Zeit aktualisieren, unter anderem um Änderungen anwendbarer Datenschutzgesetze, Übermittlungsmechanismen oder des Geschäftsbetriebs von UTC Labs widerzuspiegeln. Wir werden wesentliche Änderungen in der in den Nutzungsbedingungen beschriebenen Weise mitteilen. Aktualisierungen, die durch geltendes Recht, durch eine Aufsichtsbehörde oder zur Berücksichtigung eines ersetzenden Übermittlungsmechanismus erforderlich sind, treten zu dem in der Mitteilung angegebenen Zeitpunkt in Kraft, ohne dass es einer weiteren Handlung des Kunden bedarf.

Sollte eine Bestimmung dieses DPA durch ein zuständiges Gericht für ungültig oder undurchsetzbar erklärt werden, bleiben die übrigen Bestimmungen in vollem Umfang in Kraft.

Fragen zu diesem DPA, Anforderungen einer gegengezeichneten Kopie, Anforderungen einer unterzeichneten Kopie der SCC oder nach diesem DPA erforderliche Mitteilungen können an UTC Labs unter contact@utclabs.com gesendet werden.

Anhang 1: Beschreibung der Verarbeitung

Gegenstand

UTC Labs verarbeitet personenbezogene Daten des Kunden, soweit dies zur Bereitstellung des Dienstes gemäß dem Vertrag und den dokumentierten Weisungen des Kunden erforderlich ist, einschließlich aller Funktionen und Funktionalitäten, die dem Kunden von Zeit zu Zeit zur Verfügung gestellt werden.

Dauer

Für die Laufzeit des Vertrags zuzüglich des in Abschnitt 10 festgelegten Aufbewahrungszeitraums nach Beendigung.

Art und Zweck

Die Verarbeitungstätigkeiten umfassen das Hosten, Speichern, Übermitteln, Sichern in Backups, Absichern und sonstige Handhaben personenbezogener Daten des Kunden, soweit dies vernünftigerweise erforderlich ist, um die von den Anwendungen des Kunden ausgegebenen API-Anfragen zu bedienen, ausgehende Webhooks zuzustellen und den Dienst im Übrigen gemäß dem Vertrag und den Weisungen des Kunden bereitzustellen, zu unterstützen und zu verbessern. Inhalte von Kalenderereignissen werden je Vorgang von den verbundenen Kalenderanbietern gelesen und an diese geschrieben und werden vom Dienst nicht dauerhaft gespeichert.

Kategorien betroffener Personen

• Autorisierte Nutzer des Kunden: Kontoinhaber und Mitglieder der Organisation des Kunden, die den Dienst nutzen.
• Endnutzer des Kunden: Nutzer der Anwendungen des Kunden, deren Kalenderkonten mit dem Dienst verbunden sind, sowie andere Personen, deren personenbezogene Daten in den über die API verarbeiteten Kalenderdaten erscheinen (etwa Teilnehmer von Terminen).

Kategorien personenbezogener Daten

• Identifikations- und Kontaktdaten: etwa Name und E-Mail-Adresse autorisierter Nutzer sowie die E-Mail-Adresse der verbundenen Kalenderkonten der Endnutzer.
• Konto- und Organisationsdaten: Konto- und Mitgliedschaftsinformationen autorisierter Nutzer, etwa Rollenzuweisungen und Einladungsstatus.
• Anmeldedaten für Kalenderverbindungen: OAuth-Access- und -Refresh-Tokens, anwendungsspezifische Passwörter, Kontokennungen der Anbieter, erteilte Berechtigungen (Scopes) und Verbindungsstatus der verbundenen Kalenderkonten der Endnutzer, zusammen mit etwaigen externen Kennungen, die die Anwendung des Kunden einem Endnutzer zuweist.
• Kalenderdaten: personenbezogene Daten, die in Kalender- und Ereignisdetails enthalten sind, wie sie von den verbundenen Kalenderanbietern bereitgestellt werden, verarbeitet je Vorgang zur Bedienung der API-Anfragen des Kunden und nicht dauerhaft gespeichert.
• Integrationsdaten: Kennungen und Ereignistypen, die in ausgehenden, an vom Kunden bereitgestellte Endpunkte zugestellten Webhook-Nachrichten enthalten sind, sowie andere personenbezogene Daten, die durch die Nutzung der API durch den Kunden übermittelt werden.
• Support-Kommunikation: Nachrichten und Anhänge, die mit den Support-Kanälen von UTC Labs ausgetauscht werden.

Besondere Kategorien personenbezogener Daten

Der Dienst ist nicht für besondere Kategorien personenbezogener Daten (Artikel 9 DSGVO) oder Daten, die HIPAA oder GLBA unterliegen, vorgesehen, und der Kunde sichert zu, dass er solche Daten nicht übermittelt. Soweit solche Daten unter Verstoß gegen diese Beschränkung übermittelt werden, sind sie nicht Teil der von diesem DPA vorgesehenen Verarbeitung.

Häufigkeit der Verarbeitung

Fortlaufend, für die Dauer des Vertrags.

Aufbewahrung

Wie in Abschnitt 10 dieses DPA und in unserer Datenschutzerklärung dargelegt.

Anhang 2: Technische und organisatorische Maßnahmen

UTC Labs setzt technische und organisatorische Maßnahmen um, die darauf ausgelegt sind, personenbezogene Daten des Kunden im Einklang mit Artikel 32 der DSGVO zu schützen, einschließlich: Verschlüsselung personenbezogener Daten bei der Übertragung (TLS) und im Ruhezustand; Verschlüsselung der Kalender-Passwörter der Endnutzer auf Anwendungsebene zusätzlich zur Verschlüsselung im Ruhezustand; private, netzwerkisolierte Produktionsdatenbanken, die auf AWS gehostet werden; rollenbasierte Zugriffskontrollen und das Prinzip der geringsten Rechte für Mitarbeitende; Speicherung von API-Schlüsseln ausschließlich in gehashter Form; Ratenbegrenzung der API; automatisierte verschlüsselte Backups; automatisiertes Scannen auf Schwachstellen in Abhängigkeiten; ein dokumentiertes Incident-Response-Verfahren; sowie der Abschluss von Auftragsverarbeitungsverträgen mit jedem Unterauftragsverarbeiter. UTC Labs kann diese Kontrollen von Zeit zu Zeit aktualisieren, sofern eine solche Aktualisierung das Gesamtschutzniveau personenbezogener Daten des Kunden nicht wesentlich verringert.

Anhang 3: Anhänge zu den Standardvertragsklauseln

Dieser Anhang 3 vervollständigt die Anhänge zu den Standardvertragsklauseln, soweit sie nach Abschnitt 5 dieses DPA einbezogen werden.

A. Liste der Parteien

Datenexporteur: der Kunde, identifiziert in seinem Apiroc-Konto, handelnd als Verantwortlicher, mit den Kontaktdaten, die der Kunde in seinem Konto angibt.

Datenimporteur: UTC Labs, Durana Tech Park, Rruga Ahmet Zogu, nr. pasurisë 336, ZK 3852, njësia administrative Xhafzotaj, Bashkia Shijak, kodi postar 2013, Albania, handelnd als Auftragsverarbeiter. Kontakt: contact@utclabs.com.

B. Beschreibung der Übermittlung

Die Kategorien betroffener Personen, die Kategorien personenbezogener Daten, die besonderen Kategorien von Daten (keine, wie in Anhang 1 dargelegt), Art und Zweck der Verarbeitung, Häufigkeit, Dauer und Aufbewahrung sind in Anhang 1 dargelegt.

C. Zuständige Aufsichtsbehörde

Für Übermittlungen, die der DSGVO unterliegen: die Irish Data Protection Commission (21 Fitzwilliam Square South, Dublin 2, D02 RD28, Ireland). Für Übermittlungen, die der UK GDPR unterliegen: das UK Information Commissioner's Office. Für Übermittlungen, die ausschließlich dem FADP unterliegen: der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

II. Technische und organisatorische Maßnahmen

Die vom Datenimporteur angewandten technischen und organisatorischen Maßnahmen sind in Anhang 2 dargelegt.

III. Liste der Unterauftragsverarbeiter

Die aktuelle Liste der genehmigten Unterauftragsverarbeiter ist veröffentlicht auf unserer Unterauftragsverarbeiter-Seite.